PCI SSC发布《AI系统安全注意事项》——针对支付环境中AI的指南（包括涉及持卡人数据的AI代理操作需人工审批）

2026年10月7日（爱丁堡；json-ld datePublished=2026-10-07，已通过获取主要新闻稿确认），PCI安全标准委员会发布了额外指南《AI系统安全注意事项》，该指南由全球执行评估师圆桌会议（GEAR）和PCI SSC顾问委员会共同制定。指南阐述了组织如何在持卡人数据环境中保护AI系统的安全——包括AI的部署方式、降低滥用风险、AI如何融入现有PCI标准以及实际用例——并明确涵盖在有限人工参与下运行的AI代理（两种代理行为模型，包括对涉及持卡人数据的高影响操作进行明确人工审批）。新闻稿指出该指南非强制性：PCI标准具有优先效力。

这是全球支付标准机构发布的首份专门AI安全指南，针对最敏感的AI管理环境之一。它表明了PCI生态系统期望商户、收单机构、支付服务提供商和QSA如何对待持卡人数据环境中的AI系统和AI代理——弥合AI能力与问责之间的差距，并可能被后续PCI DSS/评估实践以及PCI SSC欧洲社区会议（10月20-22日）引用。

将指南中的注意事项映射到现有PCI DSS 4.x控制项；对照人工审批和问责模型审查支付环境中的AI/代理部署；在PCI SSC欧洲社区会议前向合规和安全团队简要通报。