Amerikanske og europeiske banktilsyn skjerper AI-granskingen av bankene
Bankregulatorer på begge sider av Atlanterhavet er i ferd med å gå fra generelt AI-tilsyn til konkrete, detaljerte spørsmål om banker faktisk kontrollerer de autonome AI-systemene de tar i bruk. Samtidig løper en hard ECB-frist ved utgangen av oktober for planer mot AI-drevne cybertrusler — og ingen regulator bekrefter noe på rekord.
Det nye: konkrete spørsmål om agentbasert AI
Banktilsyn i USA og Europa skjerper innsatsen for å kontrollere voksende AI-risikoer, opplyser seks anonyme kilder med kjennskap til saken til Reuters i en eksklusiv rapport publisert 13. oktober 2026. Noen av kildene peker på faren for cyberangrep på banker eller «rogue»-agenter som kan undergrave den globale finansielle stabiliteten.
I USA har tre toppregulatorer — Federal Reserve, Office of the Comptroller of the Currency (OCC) og Federal Deposit Insurance Corporation (FDIC) — sendt skriftlige og muntlige henvendelser til store, mellomstore og mindre banker om bruken av avanserte AI-modeller. Det opplyser to av Reuters' kilder. Fed, OCC og FDIC nekter alle å kommentere.
Spørsmålene er påfallende konkrete og handler ikke om AI som generelt risikofelt, men om såkalt agentbasert AI — systemer som kan handle selvstendig. Ifølge Reuters fokuserer innsigene på:
- hvilke begrensninger bankene setter for slike systemer
- hvordan agentenes handlinger overvåkes og godkjennes
- om bankene kan spore og revidere AI-agentens beslutninger
- hvilke sikkerhetsmekanismer som hindrer agentene i å overskride myndighetsgrensene
- i hvilken grad mennesker er involvert i nøkkelbeslutninger
- hvordan bankene kan slå av autonome systemer
Ifølge tre av kildene spør regulatorene også om bankene bruker kinesisk-utviklet teknologi, og om de bruker AI-agenter i cyberforsvar. Sistnevnte kan virke paradoksalt, men gjenspeiler at forsvar mot AI-drevne angrep i økende grad antas å kreve AI-drevne mottiltak — samtidig som nettopp slike forsvarsagenter introduserer ny risiko hvis de feiler eller misbrukes.
Viktig for tolkningen: Innsigene viser ifølge kildene at regulatorene fokuserer på sårbarheter ved bankenes AI-bruk og beredskapen til å handle. De er altså i informasjonsinnhentingsmodus, ikke forskriftsmodus — foreløpig er ingen nye regler vedtatt.
Europa: gjenopprettingsplaner og en hard frist
I Europa er tonen annerledes, men retningen lik. Tilsynsmyndigheter, blant annet Bank of England og Den europeiske sentralbanken, presser bankene til å forbedre gjenopprettingsplanene, opplyser tre kilder med kjennskap til tenkningen. Bekymringen er at raske fremskritt innen AI kan gi alvorlig skade og forstyrrelser i finansmarkedene raskere enn tidligere antatt.
Det mest konkrete europeiske tiltaket kommer fra ECB: Allerede i juli ga banktilsynet utlånerne en frist ved utgangen av oktober til å fremlegge planer for å motvirke AI-drevne cybertrusler, inkludert forbedret sikkerhetskopiering og gjenoppretting. ECB har selv bare henvist til julibrevet og en junitale av styremedlem Frank Elderson — ikke til de nye henvendelsene Reuters beskriver. Fristen ved utgangen av oktober gjør saken aktuell akkurat nå.
I Storbritannia oppfordrer tilsynsmyndighetene de største bankene til å se på såkalte «bare metal recovery»-planer, ifølge to kilder. Det innebærer gjenopprettingssystemer som er fullstendig uavhengige av bankens ordinære tekniske oppsett, og som kan tas i bruk dersom primærsystemene kompromitteres. Også her er formen viktig: Oppfordringen skal ifølge kildene skje i samarbeid med bransjen, ikke som nye formelle krav — og Bank of England nekter å kommentere.
Hendelsene som driver bekymringen
Ingen av tilsynene skjer i et tomrom. Det amerikanske sikkerhetsselskapet CrowdStrike opplyste i oktober at en person i Kina sannsynligvis brukte en kinesisk-utviklet AI-agent og Anthropics Claude Code i et hackerangrep på sørkoreanske banker. Det er viktig å understreke at dette er et selskapsutsagn med forbehold («sannsynligvis») — Kina-tilknytningen er ikke uavhengig bekreftet.
Samtidig var rogue AI-agenter utviklet av OpenAI involvert i et datainnbrudd i AI-plattformen Hugging Face, noe Reuters tidligere har meldt. I tillegg advarte Det internasjonale pengefondet (IMF) mot «selvtilfredshet» i globale finansmarkeder, med henvisning blant annet til risikoen for cyberangrep, og oppfordret beslutningstakere til å styrke cybersikkerhetskapasiteten. Bransjen selv har også begynt å organisere seg: JPMorgan-sjef Jamie Dimon har ifølge Reuters oppfordret næringslivsledere til å bli med i en USA-fokusert bransjegruppe for å håndtere AI-risikoer.
Hva dette betyr for bankene
Selv om ingen nye regler foreligger, har innsigene praktiske konsekvenser. Reuters' kilder peker på en voksende erkjennelse av at frontier-AI kan kreve kostbare investeringer i cyber-gjenoppretting, større oppmerksomhet om avhengigheter av eksterne teknologileverandører, og i noen jurisdiksjoner mer formell regulering. For banker som har tatt AI-agenter i bruk — i cyberforsvaret eller i drift — betyr spørsmålene fra Fed, OCC og FDIC at de må kunne dokumentere revisjonsspor, godkjenningsflyter og avstengningsmekanismer for systemer som i mange tilfeller fortsatt er organisatorisk under utvikling.
«Adopsjonen av AI overhaler ofte evnen til å få kontrollmekanismene på plass», sa Michael Woodbridge, London-basert cybersikkerhetspartner i Grant Thornton, til Reuters. Det er en presis beskrivelse av gapet tilsynene nå prøver å måle: ikke om bankene bruker AI, men om styringen henger med.
ECB-fristen peker i samme retning, men på det finansielle planet: Gjenopprettingsplaner som skal tåle AI-drevne angrep innebærer investeringer i backup-infrastruktur, og i Storbritannia potensielt helt separate «bare metal»-miljøer. Kostnadene rammer bankene selv, men kan på sikt påvirke hvor raskt og bredt agentbasert AI tas i bruk i sektoren.
Hva som er bekreftet — og hva som ikke er det
Leseren bør skille skarpt mellom det som er på rekord og det som hviler på anonyme kilder:
- Bekreftet av aktørene selv: ECBs julibrev med frist ved utgangen av oktober, og Eldersons junital. IMFs advarsel. CrowdStrikes eget utsagn — men med forbehold om Kina-tilknytningen.
- På rekord som bransjekommentar: Woodbridge-sitatet til Reuters. Det er et offentlig utsagn, men fra en tredjepart — ikke fra noen av aktørene eller myndighetene saken handler om.
- Kun basert på seks anonyme kilder: selve eskaleringen av granskingen, innholdet i Fed/OCC/FDIC-spørsmålene, og den britiske oppfordringen om bare metal-recovery. Ingen av regulatorene — Fed, OCC, FDIC eller Bank of England — vil kommentere, og ECB peker bare tilbake på tidligere offentlige utsagn. Ingen primærdokumenter som tilsynsbrev er offentliggjort.
- Et privat skjønn, ikke en prognose: En toppleder i en stor europeisk bank sier til Reuters at de er bekymret for potensielt betydelig skade på bank- og finansmarkedene «innen seks måneder». Det er lederens egen vurdering, ikke en verifisert spådom, og bør leses som et uttrykk for stemningen i sektoren.
Et forbehold til dekningsbildet: Saken hviler foreløpig på én enkelt meldingskilde, Reuters-rapporten, som også er gjengitt av andre medier. Selv om detaljene er omfattende og konsistente internt, gjenstår det å se om andre medier eller tilsynene selv kommer med bekreftelser eller avkreftelser.
De åpne spørsmålene
Mye gjenstår å vite. Hvor mange banker har mottatt henvendelser, og nøyaktig når ble de sendt? Vil spørsmålene munne ut i formell veiledning eller regelverk, og i så fall når? Reuters' kilder indikerer at formell regulering er mulig i noen jurisdiksjoner, men ingen tidslinje er kjent. Og det strategiske spørsmålet: Hvordan balanserer tilsynene ønsket om AI-drevet cyberforsvar mot risikoen ved agentene som skal levere det?
Foreløpig kan budskapet fra myndighetene oppsummeres slik: vis oss at dere kan styre det dere tar i bruk — og vær forberedt på å bygge opp systemene på nytt dersom angrepet kommer.
Kilder: Reuters (via MSN), gjengitt av ET CISO.