1 引言：反洗钱岗手里有什么敏感数据
在一般金融机构里，反洗钱岗手里同时握着三类性质完全不同的敏感数据：
第一类是客户数据，受《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《个人金融信息保护技术规范》和《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》保护；
第二类是监管内部文件，包括不对外公开的指引、风险提示、类型分析报告、监管通报和名单数据；
过去几年，这个岗位的数据风险主要来自"人"：谁能查、谁能导出、谁能发出去，管理人就做好了敏感数据保密。但生成式AI进入日常工作流之后，风险的形成路径变了，一线人员每天要写排查说明、写可疑交易报告、翻译境外客户的资料、整理监管要求、通过AI学习监管的文件要求——这些都是大模型最擅长的事。风险管理要求，反洗钱岗需要考虑把哪些工作交给什么样的AI，才能保证信息安全。
本篇文章从内部文件上网事件说起，在进行日常AI辅助收集资料的工作时，意外发现了以下几个"细思其恐"的情况。
2 监管内部文件的"意外上网"
2.1 两个案例
2.1.1 《金融机构洗钱风险自评估指引》意外上网
2025年10月，中国人民银行反洗钱局印发《金融机构洗钱风险自评估指引》（银反洗发〔2025〕19号），自2025年11月1日起实行。这是一份发给义务机构的规范性文件，人民银行官网并未公开全文。
但在2025年12月，这份指引的全文出现在某期货官网的"客服中心—常见问题"栏目里。2026年4月，某证券官网又在"法律法规"栏目下发布了同一份文件，标题直接标注文号，正文完整，连第二十五条里那张固有风险与控制措施有效性的二维矩阵图，都作为图片单独上传了，页面末尾还列出了附件一至附件五的名称。
两家机构都不是被攻击、也不是被员工私自外传，而是自己主动发到了官网上。这一点比"泄露"本身更值得重视：它说明问题不在于某个人故意泄露，而在于机构内部没有人分得清"法律法规"和"监管发给我们的内部文件"有什么区别。
2.1.2 《金融机构反洗钱客户尽职调查工作指引》意外上网
第三个案例更能说明这种"分不清"的状态。就在某证券发布自评估指引的同一天，2026年4月8日，该公司官网的上传目录里还出现了另一份PDF：〔监管机关〕印发的《〔金融机构反洗钱客户尽职调查工作指引〕》。与自评估指引不同，尽职调查指引是直接指导一线操作的文件：什么样的客户要做强化尽职调查、哪些情形可以简化、非自然人客户穿透到什么程度、受益所有人怎么识别、哪些行业和地域要重点核实、什么信号触发重新识别。指引这些内容对洗钱犯罪分子的价值，比自评估的方法论高得多，——它相当于把机构准入审查的问题清单提前交给了被审查的人。
同一天、同一个上传目录、两份监管内部文件，说明这不是一次偶然的操作失误，而是一次批量的"合规宣导"：负责维护栏目的同事把近期收到的反洗钱文件整理了一遍，统一挂了上去。没有人在这个过程中问一句"这份文件能不能公开"。
截止【捷软反洗钱】发稿日，这三个文件的网络链接依然有效，普通用户依然可以通过AI大模型或者直接输入网址的方式直接看到监管未公开的文件。
2.2 文件上网的典型路径
从一线的经验看，监管文件走到公网上，通常有四条路径。
第一条是合规宣导的惯性。机构官网都有"反洗钱专栏"或"法律法规"栏目，负责维护的同事习惯性地把收到的每一份反洗钱文件都往上放，认为这是履行宣传义务。法律、规章这类依法社会公开的文件放上去没问题，但"银发""银反洗发""银办发"字号的文件如果是发给金融机构的，不是发给社会公众的，放上去就是把内部文件公开了。
第二条是培训材料的二次传播。总部把监管文件做成培训PPT，PPT发到分支机构，分支机构的员工截图发到工作群，工作群里有人转到微信公众号。每一步都是"分享学习"，加起来就是全文外流。
第三条是员工上传文库网站。道客巴巴、百度文库这类平台用积分或下载次数激励上传，一线员工手里恰好有大量监管文件，上传几份换积分是很多人不觉得有问题的行为。这条路径过去比较常见，但是近期金融机构对文件管理日趋严格，随意上传的情况也少了很多。
第四条是AI时代给反洗钱工作带来的新冲击。近几年反洗钱监管节奏明显加快，新规章、新指引、风险提示、类型分析报告接连下发，一线人员要学的东西越来越多、越来越厚，学习压力可想而知。于是，把监管文件丢给AI大模型"帮我总结要点""帮我解读一下""帮我出几道测试题"，成了不少人下意识的选择——效率高、上手快。但这个动作本身，就是把监管文件原文一字不落地发给了AI大模型：那些没有公开全文的内部指引、写着可疑交易特征的风险提示，一旦粘进对话框，就离开了机构的控制范围。学习的初衷是合规，动作本身却可能已经违规——这正是AI时代反洗钱数据安全最隐蔽、也最容易被忽视的一个风险面。
3 AI带来的新风险面
3.1 最现实的风险：数据被"喂给"外部大模型
一线反洗钱工作人员的工作中有大量文字劳动：写排查结论、写可疑交易报告的"可疑特征描述"、把监管新规整理成内部制度。这些工作大模型都能做，做得比人快、有时也比人好。
于是最现实的场景出现了：排查人员把一个客户可疑资料交给AI，让模型"根据监管指引或者可疑交易模型，总结一下这个客户资金特征，判断是否符合某某可疑交易模型的可疑特征"；把一份英文的公司注册证书粘进去，让模型翻译并提取受益所有人信息；把一份写好的可疑交易报告初稿粘进去，让模型润色。但每一次粘贴，监管的反洗钱要求、可疑模型的具体设置以及客户的明文数据都进入了AI模型的怀抱。
境外模型的服务器在境外，输入即出境，触发《数据安全法》和《个人信息保护法》关于数据出境的全部要求。境内模型的服务器在境内，但服务商是否留存对话内容、留存多久、是否用于训练、内部谁能查看，一线人员不知道，多数机构的采购部门也不知道。有些模型的用户协议写明"免费版对话可能用于模型改进"，这在法律上就是把客户数据授权给了第三方。
3.2 新的挑战：AI的数据搜索能力可穿透普通的网页管理
AI带来的另一个新挑战，是它的数据检索能力正在穿透传统的网页管理。这篇文章的灵感，本身就来自一和AI大模型的对话：【捷软反洗钱】原本只想和AI大模型讨论一个反洗钱专业问题，没想到AI大模型告诉我它了解《金融机构反洗钱客户尽职调查工作指引》的原文，还给出了出处——那是一条早已删除的网页链接的附件，普通人在今天的互联网上根本看不到这份文件存在的网页，但AI顺着被删除网页的附件链接，依然能找到附件内容，并把它"学"进了自己的知识里。网页删掉了，但附件内容并没有消失，只是从"人可见"变成了"AI可见"、到"AI交互的人人可见"。
无独有偶，2026年7月国际数学家大会（ICM）官网的日程系统中，几条被标记为"隐藏（HIDDEN）"的菲尔兹奖颁奖演讲条目被人发现，前端数据里赫然写着四位获奖者的姓名——正式公布之前，获奖名单就这样从"看不见的网页"里流了出来。隐藏字段对普通访客不可见，对会抓取数据的AI却形同虚设。
这两件事指向同一个结论：AI大模型的数据获取能力已经远超普通人，而机构习惯的管控逻辑——即使文件误传上网了，删掉网页就行。当搜索引擎缓存和AI模型把公开过的链接都保存，"删除网页"不再等于"消失"，传统的数据管控和错误上传后的补救方案，在AI面前很容易失效。
4 捷软反洗钱建议
4.1 对监管文件的管理
监管文件不慎上网的四条路径背后是同一个缺口：没有人告诉一线人员哪些文件能公开、哪些不能。反洗钱监管文件因为面向金融机构层层反洗钱岗，很少标注密级，"内部文件，请勿外传"的字样有时有、有时没有；机构内部也不一定有"监管文件对外发布前审查"这道程序，官网栏目维护人员往往是行政或客服岗，不具备判断能力。法规公开与内部指引的界限，从监管到机构再到一线，缺少人系统把关。
第一，机构应当建立监管文件的分类台账。收到的每一份反洗钱文件在入库时就标注类型：依法公开的规章和规范性文件、发给义务机构的内部指引和通知、带有明确保密要求的风险提示和通报。分类标准可以很简单：发布范围"社会公开"的就可以（简单标准：能在人民银行官网查到全文的可以公开，查不到的不能公开）。
4.2 对AI工具的管理
第一，明确禁止在未经批准的外部AI工具中输入任何客户信息、交易信息、监管内部文件和可疑交易报告。这条规定应当写进反洗钱岗位的操作规程，而不只是信息科技部门的通用制度，并且配套培训说明为什么——一线人员理解了"为什么不能这么做"，比单纯的禁令有效。
第二，为反洗钱条线提供经过审批的AI工具。上一条如果没有替代方案，为了提高工作效率，员工很可能会转入地下使用AI工具。需要使用AI模型时，建议机构应当评估并采购或私有化部署一款可用的模型，明确其数据处理协议中关于留存、训练、访问的条款。另外本地部署的AI模型的接入数据源必须继承原系统的权限体系。模型对某个员工能回答的问题范围，不得超过该员工在原系统中能查到的范围。模型对话日志作为数据集纳入信息安全管理和审计。
第四，AI辅助生成的可疑交易报告等文件不能直接使用，建立"生成—核对—确认"三步流程：模型生成初稿，报告人逐条核对交易特征与系统流水的对应关系并留下核对记录，签署人对核对记录负责。责任归属写进制度：报告的最终责任在确认人，同时机构应当为核对环节提供足够的时限。
第五，采购AI反洗钱系统时，将数据安全条款作为与功能条款同等重要的评审项。重点审查：数据是否离开机构、训练数据的使用和销毁、厂商员工的访问控制、模型逻辑的归属、服务终止后的数据处置。
第六，在机构日后的洗钱风险自评估中，把AI工具的使用作为控制措施评估的新增风险因素。必要时根据《金融机构洗钱风险自评估指引》第二十七条要求在应用可能对洗钱风险产生显著影响的新技术前开展专项评估。
