房利美新规：新增AI治理章节 36小时上报安全事件

时间：2026 年 10 月 21 日房利美发布补充公告 26-01，2027 年 1 月 18 日生效；11 月 2 日法律行业媒体 JD Supra 刊文梳理其中的 AI 治理与 36 小时通报要求。 地点：美国，房利美（Federal National Mortgage Association，政府支持企业 GSE）业务覆盖的住房抵押贷款市场。 人物：房利美；受补充文件约束的房贷卖方与服务商、多户住宅贷款机构、技术服务提供商、文档保管人，以及第三方方案提供方。 事件详情：房利美更新了《信息安全与业务韧性补充文件》，新增一节专门管 AI 的条款，并把网络安全事件的首次通报时限压到 36 小时。补充公告 26-01（Supplemental Bulletin 26-01）写明生效日期为 2027 年 1 月 18 日，即发布后 90 天。公告用「超级智能」（Super Intelligence，SI）替换补充文件里全部「人工智能」（Artificial Intelligence）的表述，脚注写明这只是为对齐不断演变的行业术语，不改变要求的适用范围、含义与适用性。新增的第 4 节对在相关业务中使用 SI 的机构提出三项要求：SI 治理项目、供应链管理、向房利美披露。按 Claude for Compliance 对第 4 节的梳理，卖方与服务商需要维护 AI 用例清单，制定与自身风险容忍度匹配的政策程序，对模型与系统做变更管理，为提示注入、数据泄露、对抗性操纵这类 AI 特有风险做安全测试，并把 AI 输出本身视为机密信息；第 4 节还要求第三方实施不低于自身标准的 AI 治理，并在房利美要求时披露所用 AI 的类型、用途与防护措施。第 5 节改为网络安全事件须在 36 小时内向房利美初次通报，之后「及时（prompt）」补充细节；初次通报须包含事件日期、已采取的措施，以及事件是否导致业务中断；5.3 节还要求报送受影响个人的全部数据属性，并把企业发给受影响个人的通知函副本一并交给房利美。3.14 节把「供应商」（vendor）统一改为「第三方」（third party），并把保证第三方遵守补充文件的责任落到企业自己身上。免掉的部分包括年度威胁风险评估、第四方供应商应急预案，以及业务连续性计划须向管理层「正式宣讲」的要求；威胁评估与连续性计划改为业务影响分析，并新增事件响应沟通策略要求。新增与修订的部分包括：信息安全项目可对齐 NIST 800-53 框架，新增保险单要求，独立安全评估的要求由「合格独立审计师」改为「独立第三方安全专业人员」。ABA Banking Journal 10 月 27 日的报道给出一个背景口径：改名「是应特朗普政府的偏好」；房利美不像房地美那样要求第三方提供赔偿协议，但新公告把第三方合规责任压给了企业。11 月 2 日，JD Supra 刊发法律行业分析，把这次变更概括为新增「超级智能」治理与 36 小时网络事件通报。 背景：房利美是美国政府支持企业，这份补充文件是它与合作方之间的合同性要求，不是监管处罚。LegisGate 的法规参考页把它归为「通用信息安全、事件通报与业务连续性合同条款」，并指出约束对象是任何在发起、承保、估值或服务环节使用 AI 工具，且存储、访问、处理或传输房利美机密信息或接入房利美系统的机构。新版补充文件开篇写明，它包含信息安全、事件管理、超级智能治理与业务韧性四类要求；文件对「Company」的定义是被相关协议明确指定为受约束的实体，包括单户贷款机构、多户贷款机构、文档保管人和第三方方案提供方。房利美的 AI 治理要求此前落在 2026 年 8 月 6 日生效的 Lender Letter LL-2026-04 上；Claude for Compliance 10 月 21 日的更新说明写着，房利美已用补充文件取代 LL-2026-04，AI 规则现在位于补充文件第 4 节，可以提前采用，2027 年 1 月 18 日起强制。FHLB Chicago 的 MPF 项目公告 2026-72（10 月 26 日）同样提到，房利美已用这份补充文件取代原有 AI 指引，使用超级智能技术的 MPF Xtra 参与机构在手册政策更新前，仍需遵循既有指引、协议与法律。 影响：对直接与房利美有业务往来的卖方与服务商来说，2027 年 1 月 18 日之前要补齐的是 SI 风险评估、数据治理标准、模型训练与测试控制以及对 SI 的安全风险监控，同时把 36 小时通报写进事件响应预案和供应商合同。对做 AI 基础设施与模型的公司，这是一份可以观察的样本：AI 治理要求开始以合同条款的形式进入美国政府支持企业的供应商体系，而不只是机构内部的政策文件。需要注意，这份补充文件约束的是美国 GSE 体系内的合作方，不直接适用于中国的金融机构或中国企业。 总结：房利美把三件事装进了同一份文件：用「超级智能」替换「人工智能」、新增第 4 节 AI 治理要求、把网络安全事件的首次通报压到 36 小时。公告在 2026 年 10 月 21 日发布，2027 年 1 月 18 日生效，留给机构 90 天过渡期。它不是监管处罚，而是合同条款，但对合作方的约束力是实的：第三方合规、事件通报时限、AI 治理框架都会被逐项检查。对 AI 厂商而言，值得记住的是这种「把 AI 治理写进金融合同」的做法正在美国住房金融体系里落地。 常见问题： 问：房利美是什么机构？ 答：房利美是美国政府支持企业（GSE），这份补充文件约束的是被相关协议明确指定的实体，包括单户贷款机构、多户贷款机构、文档保管人和第三方方案提供方。 问：36 小时通报要求什么时候生效？ 答：随补充公告 26-01 于 2027 年 1 月 18 日生效，公告按发布后 90 天设定该生效日期。 参考来源： 房利美官方补充公告 26-01 原文（PDF） https://www.fanniemae.com/media/document/pdf/supplement-bulletin-26-01.pdf JD Supra 法律行业分析（2026-11-02） https://www.jdsupra.com/legalnews/fannie-mae-updates-information-security-6864578/ ABA Banking Journal 报道（2026-10-27） https://bankingjournal.aba.com/2026/10/fannie-mae-posts-updates-to-its-ai-and-cybersecurity-requirements/ Claude for Compliance 收录的补充公告 26-01 逐条原文 https://claudeforcompliance.com/regs/fnma-isbrs-bulletin-26-01/ Claude for Compliance 收录的新版补充文件逐条原文（2027 年 1 月 18 日生效） https://claudeforcompliance.com/regs/fnma-infosec-resiliency-supplement-2027/ Claude for Compliance 房利美 AI 治理手册（补充文件第 4 节要求） https://claudeforcompliance.com/fnma-ai-kit/ BankingNewsAI 每日简报（2026-10-28） https://www.bankingnewsai.com/issues/2026-10-28/fannie-mae-updates-ai-cybersecurity-requirements-sellers AWACS 收录的 FHLB Chicago MPF 项目公告 2026-72（2026-10-26） https://awacs.flightlinehq.com/changes/mpf/mpf-announcement-2026-72 LegisGate 法规参考：房利美补充文件的适用范围 https://www.legisgate.com/intelligence-library/fannie-mae-iss