Fed, OCC og FDIC gransker bankenes KI-agenter i cybersikkerheten – også kinesiske modeller
Sentralbanken Fed, tilsynsorganet OCC og innskuddsforsikreren FDIC har begynt å stille bankene skarpe spørsmål om bruken av avansert og autonom KI – særlig KI-agenter i cybersikkerhetsarbeidet og kinesiskutviklede modeller. Samtidig setter ECB en frist i slutten av oktober for bankenes planer mot KI-drevne cybertrusler. Rapporteringen, som bygger på seks anonyme kilder, er på informasjonsinnhenting – ikke rettet mot noen enkelt bank eller leverandør.
Hva regulatorerne faktisk gjør
Den 13. oktober 2026 meldte Reuters, gjennom gjengivelser i blant annet Arise News og Crypto Briefing, at Fed, OCC og FDIC har trappet opp tilsynet med hvordan banker bruker avanserte KI-modeller. Ifølge seks kilder med kjennskap til saken undersøker myndighetene hvordan finansinstitusjoner bruker avansert KI, håndterer teknologirelaterte risikoer og forbereder seg på forstyrrelser fra stadig mer autonome systemer.
Særlig går oppmerksomheten mot KI-agenter som brukes til å identifisere, vurdere og svare på cybersikkerhetstrusler, samt mot kinesiskutviklede modeller. Ifølge to kilder med kjennskap til henvendelsene vil regulatorerne forstå hvilke begrensninger slike systemer har, hvordan de overvåkes, og hvor reviderbare de er – og om mennesker fortsatt kan koble dem fra når noe går galt.
Det er verdt å understreke hva dette ikke er: Ifølge Crypto Briefing handler henvendelsene bredt om å innhente informasjon, og de retter seg ikke mot noen spesifikk bank eller leverandør. Alle tre amerikanske regulatorerne og Bank of England har nektet å kommentere.
Hvorfor nå
Tidsfestingen faller sammen med en rekke KI-koblede sikkerhetshendelser. Det amerikanske sikkerhetsselskapet CrowdStrike opplyste i oktober at en person i Kina sannsynligvis brukte en kinesiskutviklet KI-agent sammen med Anthropics Claude Code i et angrep mot sørkoreanske banker. I en separat sak skal KI-agenter utviklet av OpenAI ha vært involvert i et sikkerhetsbrudd på KI-plattformen Hugging Face, ifølge Reuters. Begge punktene er selskaps- og sekundærkilder – underliggende hendelsesrapporter foreligger ikke i det tilgjengelige kildematerialet – men de illustrerer frykten som driver tilsynet: autonome systemer som kan kapres eller feilhandle.
Det finnes også et synlig regelverkshull. Den 17. april 2026 reviderte føderale etater sin veiledning for modellrisikostyring – regelverket for hvordan banker validerer og overvåker de kvantitative modellene de er avhengige av. Men oppdateringen dekket ikke generativ eller agentbasert KI, med begrunnelse at teknologien endres for raskt. Den 16. september 2026 lanserte Conference of State Bank Supervisors (CSBS) et frivillig KI-tilsynsrammeverk for eksaminatorer ved delstatskonsesjonerte banker – et tegn på at tilsynsorganene prøver å kompensere med veiledning fremfor regler.
Den europeiske sporet
I Europa har presset allerede faste frister. ECB ga i juli bankene frist ved utgangen av oktober til å utarbeide planer mot KI-drevne cybertrusler, inkludert forbedret sikkerhetskopiering og gjenoppretting. Det følger opp en tale i juni av styremedlem Frank Elderson.
I Storbritannia oppmuntrer tilsynsmyndighetene de største bankene til å se på såkalte «bare metal recovery»-planer, opplyser to av kildene til IBTimes UK. Slike systemer ligger fullstendig atskilt fra bankens øvrige tekniske oppsett og kan trå i kraft om de primære operativsystemene kompromitteres. Kildene beskriver samtidig at britiske myndigheter foretrekker samarbeid fremfor nye krav. Bank of England har nektet å kommentere, og de britiske myndighetenes faktiske posisjon kan ikke bekreftes uavhengig av de anonyme kildene.
Bekymringen under overflaten
Kjernen i saken, slik kildene beskriver den, er frykt for at raskt bevegelige KI-systemer kan kapres eller feilhandle på måter som truer kundenes tilgang og den finansielle stabiliteten. Det er viktig å være presis: kildene sier at systemene kan «truе kundetilgang», men ingen mekanisme for dette er dokumentert i det tilgjengelige kildematerialet.
Fagmiljøet deler i stor grad bekymringen. «Innføringen av KI løper ofte foran evnen til å etablere kontrollene», sa Michael Woodbridge, cybersikkerhetspartner i Grant Thornton i London, til IBTimes UK. Det internasjonale pengefondet advarte tirsdagen mot «selvtilfredshet» i de globale finansmarkedene, med cyberangrep blant de nevnte risikoene, og oppfordret beslutningstakere til å styrke cyberberedskapen.
I privat sektor har JPMorans konsernsjef Jamie Dimon oppfordret næringslivsledere til å delta i et amerikansk bransjeinitiativ mot KI-relaterte trusler, har Reuters tidligere meldt.
En anonym leder i en stor europeisk bank sa til IBTimes UK at vedkommende også var bekymret for betydelig skade på bankvesenet og finansmarkedene innen seks måneder. Dette må leses som en utattribuert oppfatning – ikke en verifisert prognose.
Hva som er bekreftet – og hva som er kildebasert spekulasjon
Det som kan slås fast som rimelig godt belagt gjennom flere uavhengige gjengivelser av samme Reuters-rapportering: at Fed, OCC og FDIC innhenter informasjon om bankenes bruk av avansert KI, at fokusområdene er cybersikkerhet, autonome systemer, revisjonsevne og frakoblingsmulighet, og at henvendelsene ikke retter seg mot enkelte aktører. ECBs frist i slutten av oktober er også konkret.
Det som hviler på anonyme kilder alene: detaljene om hva regulatorerne konkret ønsker av begrensninger og overvåking, den britiske samarbeidstilnærmingen og «bare metal recovery»-tilmålingen, og den anonyme lederens seksmåneders-bekymring. Ingen av regulatorerne har kommentert.
Hva banker og leverandører bør følge med på
Det åpne spørsmålet er om informasjonsinnhendingen herdes til formelle tilsynsforventninger eller ny veiledning som dekker agentbasert KI. April-revisjonen av modellrisikoveiledningen viste at regelverket henger etter teknologien; CSBS' frivillige rammeverk fyller deler av hullet, men binder ikke føderalt tilsyn. For banker betyr henvendelsene i praksis at de må kunne dokumentere hvem som styrer deres KI-agenter, hvordan de logges og revideres, og hvordan de kan slås av. For KI-leverandører som selger sikkerhetsagenter til finanssektoren, blir sporbarhet og menneskelig overstyring et kommersielt krav, ikke bare et teknisk trekk. For kundene er det foreløpig ingen dokumenterte konsekvenser – men regulatorernes egen bekymring peker mot at tilgang, stabilitet og beredskap nå vurderes gjennom linse KI.