רגולטורים בנקאיים מרחיבים את הפיקוח על מערכות AI מתקדמות

רגולטורים פיננסיים בארה״ב ובאירופה מגבירים את בחינת הסיכונים הקשורים לבינה מלאכותית, במקביל להרחבת השימוש של הבנקים במערכות אוטונומיות יותר ויותר. לפי אנשים המכירים את הנושא, שצוטטו בדיווח שסופק, הרשויות מתמקדות בשאלה אם מוסדות פיננסיים מסוגלים לשלוט בטכנולוגיות המתפתחות, להתאושש ממתקפות סייבר המופעלות בסיוע AI ולמנוע מכשלים תפעוליים להתפשט ברחבי המערכת הפיננסית.

בארה״ב, הפדרל ריזרב, משרד מבקר המטבע הפדרלי (OCC) והתאגיד הפדרלי לביטוח פיקדונות (FDIC) פנו לבנקים בשאלות הנוגעות לשימוש שלהם במודלי AI מתקדמים. לפי הדיווח, השאלות עוסקות בין היתר בשימוש בטכנולוגיה שפותחה בסין, בהפעלת סוכנים אוטונומיים לצורכי אבטחת סייבר ובקיומם של מנגנוני בקרה יעילים על מערכות המסוגלות לפעול תוך פיקוח אנושי מוגבל.

הרגולטורים בוחנים את אמצעי ההגנה הקשורים לקבלת החלטות, לניטור, לתהליכי אישור וליכולת לערוך ביקורת על המערכות. הם מבקשים גם להבין כיצד הבנקים מונעים מסוכני AI לחרוג מהסמכויות שניתנו להם, והאם העובדים יכולים להתערב או להשבית את המערכות בעת הצורך.

הבירורים מעידים על התמקדות גוברת באופן שבו AI פועל בתוך מוסדות פיננסיים, ולא רק בשאלה אם הבנקים מאמצים את הטכנולוגיה. הרשויות עדיין אוספות מידע, והבירורים המתוארים בדיווח טרם הובילו לקביעת דרישות מחייבות ומפורטות.

איומי סייבר מגבירים את הסיכון למוסדות פיננסיים

הפיקוח המוגבר מגיע בעקבות דיווחים על תקריות שהחריפו את החששות מפני שימוש לרעה בכלי AI מתקדמים. חברת אבטחת הסייבר CrowdStrike מסרה כי אדם בסין השתמש ככל הנראה בסוכן AI שפותח בסין וב-Claude Code של Anthropic במסגרת פריצה שבה היו מעורבים בנקים בדרום קוריאה. בנפרד, לפי דיווחים, סוכני AI שפיתחה OpenAI היו מעורבים בפרצת אבטחה שפגעה בפלטפורמת הבינה המלאכותית Hugging Face.

התקריות הללו הגבירו את תשומת הלב לאפשרות שבינה מלאכותית תסייע לגורמים זדוניים לבצע מתקפות או תקשה על ניהול חולשות קיימות. במקביל, בנקים מאמצים AI סוכני (Agentic AI) כדי להפוך משימות לאוטומטיות ולחזק את ההגנה מפני מתקפות סייבר. מצב זה מציב בפניהם אתגר: להפיק תועלת מהטכנולוגיה מבלי ליצור סיכונים תפעוליים בלתי קבילים.

מייקל וודברידג׳, שותף בתחום אבטחת הסייבר ב-Grant Thornton, ציין כי אימוץ AI מתקדם לעיתים קרובות מהר יותר מפיתוח אמצעי הבקרה הדרושים לניהולו. הפער הזה משמעותי במיוחד עבור מוסדות פיננסיים, שבהם כשלים טכנולוגיים עלולים להשפיע על חשבונות לקוחות, על תשלומים ועל האמון בשירותים חיוניים.

לכן, הבנקים ניצבים בפני שתי מטרות מרכזיות: להשתמש ב-AI כדי לזהות חולשות ולהגיב לאיומים, ובמקביל להבטיח שהמערכות עצמן יישארו תחת פיקוח אנושי אפקטיבי.

הרגולטורים באירופה מתמקדים בהתאוששות ובחוסן התפעולי

הרגולטורים באירופה שמים דגש מיוחד על יכולתם של הבנקים להשיב לפעילות מערכות קריטיות לאחר כשל טכנולוגי חמור. בבריטניה, הרשויות מעודדות מלווים גדולים לבחון מערכות התאוששות עצמאיות שיוכלו לפעול במקרה שתשתית הטכנולוגיה הראשית שלהם תיפגע.

תוכניות התאוששות מסוג Bare-Metal Recovery מאפשרות למוסדות לשחזר או להפעיל מחדש מערכות בנפרד מסביבת התפעול הרגילה שלהם. עם זאת, פיתוח יכולות כאלה ותחזוקתן עלולים להיות יקרים, ולהוסיף עלויות בזמן שהבנקים משקיעים גם ב-AI ובתשתיות דיגיטליות אחרות.

הבנק המרכזי האירופי קבע למלווים מועד אחרון בסוף אוקטובר להכנת תוכניות להתמודדות עם איומי סייבר המונעים בסיוע AI, לרבות שיפור מערכי הגיבוי וההתאוששות. הרגולטורים מבקשים גם מבנקים בגוש האירו למפות את השימוש ב-AI בפעילות הפנימית ובקרב ספקי צד שלישי, לזהות תלותים קריטיים ולהוכיח שניתן להשבית מערכות ולהפעילן מחדש באופן מבוקר.

לפי הדיווח, בחלק מהמוסדות עדיין קיימים פערים משמעותיים. הגישה המוגבלת למודלים מתקדמים המשמשים לזיהוי חולשות תרמה גם היא לחששות בקרב בנקים ורגולטורים באירופה, באשר ליכולתם של המוסדות לבחון איומים מתפתחים באופן מספק.