ECB zet banken op deadline terwijl AI-toezicht wereldwijd aanscherpt
Grote banken in de eurozone hebben nog tot 31 oktober om de ECB uit te leggen hoe zij zich tegen door AI versterkte cyberdreigingen wapenen. Tegelijk vragen Amerikaanse toezichthouders banken hoe zij autonome AI-agents begrenzen, controleren en zo nodig uitschakelen.
De twee ontwikkelingen laten dezelfde verschuiving zien. Toezichthouders willen niet meer alleen weten waar banken AI gebruiken. Ze vragen steeds nadrukkelijker wie de software mag laten handelen en wat er gebeurt wanneer een systeem de verkeerde kant op gaat.
ECB eist concreet actieplan vóór 31 oktober
De Europese deadline komt uit een brief die ECB-toezichtsvoorzitter Claudia Buch op 7 juli aan significante banken stuurde.
Daarin moeten banken een actieplan opstellen met concrete maatregelen, toegewezen verantwoordelijkheden, benodigde middelen en uitvoeringstermijnen.
Dat plan moet uiterlijk 31 oktober 2026 bij het verantwoordelijke Joint Supervisory Team liggen. Daarna bespreekt het toezichtteam de aanpak met de bank en volgt de ECB de voortgang.
De verplichting geldt voor de significante instellingen waarop de brief is gericht. Het gaat dus niet automatisch om iedere bank in de eurozone.
AI verkort de tijd tussen lek en aanval
De zorg van de ECB begint bij snelheid.
Nieuwe AI-systemen kunnen kwetsbaarheden in software sneller vinden en werkende aanvalsmethoden genereren. Daardoor kan de periode tussen het ontdekken van een zwakke plek en daadwerkelijk misbruik korter worden.
De ECB vraagt banken daarom onder meer sneller kwetsbaarheden te verhelpen, hun detectie te verbeteren en leveranciers van externe IT-diensten scherper te controleren. Ook verouderde technologie en herstel na een aanval moeten worden aangepakt.
AI kan daarbij zelf onderdeel van de verdediging zijn.
De ECB staat positief tegenover AI-tools die kwetsbaarheden helpen opsporen, maar verlangt vooraf een afweging van voordelen en risico's. Menselijk toezicht en duidelijke waarborgen moeten blijven bestaan.
Reuters: Amerikaanse toezichthouders vragen naar noodstop
In de Verenigde Staten gaat de aandacht verder richting autonome software.
Reuters meldde op 13 oktober op basis van zes mensen die bekend zijn met toezichtsgesprekken dat onder meer de Federal Reserve, OCC en FDIC banken vragen stellen over agentic AI.
Daarbij gaat het volgens de bronnen om vragen als: welke grenzen krijgt een agent, wie keurt handelingen goed en kunnen beslissingen achteraf worden gecontroleerd?
Ook willen toezichthouders weten of mensen betrokken blijven bij belangrijke beslissingen en hoe een bank een autonoom systeem kan uitschakelen wanneer dat nodig is.
Dat is een andere vraag dan of een AI-model goede antwoorden produceert.
Een agent kan daadwerkelijk acties uitvoeren. De schade van een fout hangt daardoor mede af van zijn toegangsrechten.
Nieuwe Amerikaanse vragen zijn nog geen nieuwe regels
Dat onderscheid verdient nadruk.
De Amerikaanse toezichthouders verzamelen volgens Reuters nog informatie. De bronnen zeggen dat zij banken op dit moment niet voorschrijven welke specifieke technische oplossing zij moeten gebruiken. De Fed, OCC en FDIC wilden tegenover Reuters niet reageren.
De gerapporteerde vragen tonen dus waar toezichthouders naar kijken.
Ze vormen nog geen nieuwe bindende AI-regel voor Amerikaanse banken.
Bij de ECB ligt dat anders: de Europese brief en deadline zijn openbaar en rechtstreeks controleerbaar.
Herstellen wordt even belangrijk als tegenhouden
Europa richt zich bovendien sterk op wat er ná een aanval gebeurt.
De ECB verlangt robuuste crisisprocedures, back-ups, herstelmechanismen en regelmatig geteste plannen. Banken moeten rekening houden met snelle aanvallen, ransomware en uitval bij externe leveranciers.
Reuters meldt dat ook Britse toezichthouders grote banken aansporen om herstel vanaf volledig onafhankelijke systemen te onderzoeken.
Het idee daarachter is simpel: als een aanvaller de normale systemen én gekoppelde back-ups weet te raken, moet een bank toch zijn belangrijkste diensten kunnen herstellen.
Voor klanten gaat dat verder dan dataverlies.
Een ernstig incident kan mensen uitsluiten van hun rekening of betalingen verstoren. Snel en betrouwbaar herstel wordt daardoor een onderdeel van financiële stabiliteit.
Bankbestuur kan AI-risico niet bij IT parkeren
De ECB legt de verantwoordelijkheid nadrukkelijk bij het bestuur.
Bestuurders moeten beoordelen of budget, personeel, beveiliging en de snelheid waarmee systemen kunnen worden aangepast nog passen bij de nieuwe dreigingen.
Ook afhankelijkheid van externe technologiebedrijven telt mee. Banken blijven volgens de ECB zelf verantwoordelijk voor risico's die via uitbestede IT-diensten binnenkomen.
Dat wordt belangrijker wanneer veel financiële instellingen dezelfde cloudproviders, modellen of softwareleveranciers gebruiken.
Eén probleem bij een breed gebruikte leverancier kan dan meerdere banken tegelijk raken.
FSB trekt het probleem naar mondiaal niveau
Die zorg speelt ook bij de Financial Stability Board.
De FSB maakte op 12 oktober bekend dat voorzitter Andrew Bailey opnieuw voor AI-risico's voor het mondiale financiële systeem waarschuwt. De organisatie heeft daarnaast haar aanbevelingen voor verantwoorde AI-inzet afgerond na een eerdere openbare consultatie.
De FSB kijkt onder meer naar bestuur, beheersing tijdens de levensduur van een AI-systeem en risico's van externe leveranciers.
De reden is systemisch: een technisch probleem hoeft niet bij één bedrijf te blijven wanneer dezelfde technologie overal wordt gebruikt.
Voor crypto geldt dezelfde bevoegdheidsvraag
Die discussie stopt niet bij banken.
Een AI-agent bij een exchange kan alleen markten analyseren, maar hij kan ook handelsorders plaatsen. Dat zijn twee compleet verschillende risicoprofielen.
Het verschil wordt nog groter wanneer software toegang krijgt tot wallets of zelfstandig stablecoins kan versturen.
Dan worden limieten, menselijke toestemming en een noodstop direct financieel relevant.
Een agent die slechts een verdachte betaling markeert, kan hooguit een slecht advies geven. Een agent met het recht om geld te verplaatsen kan zelf verlies veroorzaken.
31 oktober wordt eerste meetpunt
De nieuwe aandacht betekent niet dat toezichthouders AI uit banken willen houden.
De ECB zegt juist dat AI kan helpen bij detectie en beveiliging. Het probleem ontstaat wanneer de snelheid waarmee banken mogelijkheden toevoegen groter wordt dan de snelheid waarmee controles worden gebouwd.
Daarom is 31 oktober meer dan een administratieve datum.
De ECB krijgt dan van haar grootste rechtstreeks gecontroleerde banken concrete plannen voor kwetsbaarheden, leveranciers, herstel en bestuur. Daarna volgt een horizontale vergelijking om zwakke plekken en betere werkwijzen tussen instellingen zichtbaar te maken.
De vraag voor banken verschuift daarmee van “gebruiken jullie AI?” naar iets ongemakkelijkers: wat mag die AI zelfstandig doen, en hoe snel kun je de controle terugnemen als het fout gaat?
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
