Etter 160 innsigelser endret FSB bare én praksis: tredjepartsrisiko hos den enkelte bank
Det finansielle stabilitetsrådet FSB publiserte 15. oktober 2026 sine endelige «Sound Practices for Responsible Adoption of Artificial Intelligence» – tolv ikke-bindende praksiser for ansvarlig bruk av AI i finansnæringen. Rapporten navngir selv risikoene ved at mange banker bruker samme modeller og få leverandører, men konsultasjonsoversikten konstaterer at «no changes have been made to address broader systemic risks» – ingen endringer er gjort for å håndtere bredere systemiske risikoer. Dermed blir ansvaret for konsentrasjonsrisikoen, i praksis, liggende hos den enkelte institusjon – og hos bankene som signerer AI-leverandørkontrakter akkurat nå.
Hva rammeverket faktisk krever
De tolv praksisene deles i to deler, ifølge Forkast: de fire første handler om organisasjonsomfattende AI-styring, de åtte siste om risikostyring gjennom hele AI-livssyklusen.
Midtpunktet er Sound Practice 10, som krever robust menneskelig overvåking. FSB er tydelig på at intensiteten i overvåkingen må skaleres etter hva slags bruk det er snakk om – betydningen av bruken, risikonivået og graden av autonomi. I praksis betyr det at rutineoppgaver med lav risiko kan kjøre mer automatisk, mens høyrisikoscenarioer skal ha risikobaserte utløsere som krever menneskelig godkjenning.
Forkast beskriver rapporten som «the first attempt by global regulators to create a unified framework» for agentiske AI-systemer i finans – altså første forsøk fra globale regulatører på et samlet rammeverk. Det er altså utgivelsens eget kjennetegn, ikke FSBs egen formulering, og bør leses som et medies karakterisering.
Det globale omfanget er reelt: Ifølge Forkast var arbeidet koordinert på tvers av 24 jurisdiksjoner, blant annet med USAs sentralbank, SEC, CFTC, OCC og finansdepartementet, og ble overlevert G20s finansministre og sentralbanksjefer av FSBs leder Andrew Bailey. Dette er detaljer som foreløpig hviler på én enkelt sekundær kilde.
Hvorfor agentisk AI bekymrer FSB
Det er ikke generell maskinlæring som triggar rapporten, men agentiske systemer – AI som ikke bare svarer på spørsmål, men som handler: utfører oppgaver, kaller verktøy og flytter penger eller data i systemer uten konstant menneskelig mellomlegg.
Rapporten advarer, ifølge CTOL Digital Solutions, om at svært autonome systemer «may act unpredictably or outside intended boundaries, potentially resulting in unauthorised or erroneous actions, data security incidents and disruption to connected systems» – kan opptre uforutsigbart eller utenfor tiltenkte grenser, og potensielt gi uautoriserte eller feilaktige handlinger, datasikkerhetshendelser og forstyrrelser i tilkoblede systemer.
En språklig endring fra utkastet sier noe om hvor kontroversielt feltet er. June 2026-utkastet omtalte AI-agenter som «synthetic employees» – syntetiske ansatte. Etter bransjemotstand har FSB droppet begrepet helt, rapporterer Forkast. Den endelige rapporten bruker en mer presis ramme: AI-agenter resonnerer ikke som mennesker, og de tolker forhåndsdefinerte mål på måter som kan være dypt uventede. Forskjellen er ikke kosmetisk – «ansatt»-språket antyder en ansvarlig part, mens rapportens faktiske ramme peker mot et system som kan feiltolke oppdraget det har fått.
Konsultasjonen: 160 svar og ett konkret svar
FSB mottok rundt 160 svar på juniutkastet. Flere respondenter ba ifølge CTOL om en diskusjon av makroprudensielle bekymringer – risiko for hele systemet, som korrelert oppførsel fra bruk av samme modeller, eller konsentrasjon hos leverandører.
Rapporten selv navngir altså nettopp disse risikoene: Avhengighet av felles AI-modeller «can lead to correlated behaviours across financial institutions» – kan føre til korrelert atferd på tvers av finansinstitusjoner – mens konsentrerte leverandører «create systemic third party dependencies» – skaper systemiske tredjepartsavhengigheter.
Men FSBs konsultasjonsoversikt konstaterer at «no changes have been made to address broader systemic risks», og at den endelige rapporten «does not address them» – ikke tar dem opp.
Det endelige svaret på kritikken var i stedet firmspesifikt. Sound Practice 12, om tredjepartsrisiko, ble endret – «especially by adding language on how individual financial institutions could manage risks from third party AI providers», slik oversikten formulerer det. Tilleggene handler om kontraktsvilkår, beredskapsplanlegging, uttrekksstrategier og gjennomgang av underleverandører.
Hva det betyr i praksis
For bankene blir konsekvensen konkret: Fordi ingen internasjonal mekanisme fanger opp risikoen ved at hele bransjen kjøper samme modeller fra få leverandører, er verktøyene tilgjengelige for en enkelt institusjon kontraktstekniske. Banken som signerer med en AI-leverandør i dag, skal per rammeverket forhandle vilkår, planlegge kontinuitet hvis leverandøren faller bort, ha en exit-strategi og se gjennom underleverandørens underleverandører.
Hvor langt det rekker, er et åpent spørsmål. En exit-strategi fra en dominær modellleverandør er på papiret enkel – i praksis kan den kollidere med at alternativa er dårligere, dyrere eller ikke eksisterer. Rammeverket gir ingen mekanisme som skaper alternativer; den forutsetter at den enkelte bank kan stå alene i forhandling.
Det er verdt å merke seg at oversikten, ifølge CTOL, sier at de agentiske betraktningene ikke var fullt ut konsultert, men destillert fra de offentlige konsultasjonssvarene. En rapport som skal styre teknologi som «can act unpredictably or outside intended boundaries» er altså delvis bygget på innspill som ikke var designet for å dekke akkurat dette.
FSB sier selv at dette ikke er et sluttpunkt. Ifølge Forkast vil styret oppdatere praksisene etter hvert som teknologien utvikler seg, med erkjennelsen at utviklingstakten raskt gjør enhver statlig regelbok utdatert.
Forbehold og åpne spørsmål
Denne saken hviler på sekundærkilder. Verken FSBs endelige rapport eller konsultasjonsoversikten ligger i det dokumentgrunnlaget denne saken er basert på; alle sitater fra FSB er gjengitt gjennom Forkast og CTOL. Det betyr at ordlyden i sitatene er troverdig gjengitt, men ikke uavhengig verifisert mot originaldokumentene.
Tre spørsmål står åpne. Det første er hvorvidt FSB senere vil flytte konsentrasjonsrisikoen inn i rammeverket – selskapene har allerede pekt på den, og styret har lovt oppdateringer. Det andre er om nasjonale regulatører – SEC, sentralbankene, de europeiske tilsynene – vil legge inn strengere makroprudensielle krav lokalt, noe rammeverkets ikke-bindende status i så fall åpner for. Det tredje er det mest praktiske: hvorvidt bankene faktisk får forhandlingsmakt nok til å bruke kontraktene som risikoverktøy mot et konsentrert leverandørmarked. Rammeverket peker dem dit, men gir dem ingen støtte når de kommer fram.