Najveći neposredni AI rizik za globalni financijski sustav više nije pogrešan odgovor modela ni loša automatizacija. To je cyber napad koji može postati brži, jeftiniji i veći nego što ga financijske institucije mogu zaustaviti. A iza njega pojavljuje se još ozbiljnije pitanje: što se događa kada velik broj banaka počne ovisiti o istoj šačici tehnoloških kompanija?
Predsjednik Financial Stability Boarda Andrew Bailey upozorio je ministre financija i guvernere središnjih banaka G20 da je utjecaj najnaprednijih AI modela na cyber rizik trenutačno najizravnija AI prijetnja financijskom sustavu.
Takvi modeli mogu promijeniti brzinu, razmjere i ekonomiku napada, dok mnoge države još nemaju sustave sposobne pratiti njihovo brzo uvođenje.
AI rizik za banke zato više nije ograničen na pogreške modela ili pojedinačne cyber incidente. Problem postaje sistemski kada velik broj financijskih institucija ovisi o istoj tehnologiji.
Kada dobavljač banke postane sistemski rizik
Banke već desetljećima posluju pod strogim pravilima jer kolaps velike institucije može proizvesti posljedice daleko izvan njezine bilance.
Umjetna inteligencija otvara drukčiju koncentraciju rizika.
Cloud infrastruktura, računalni kapacitet, napredni modeli i specijalizirani AI servisi koncentrirani su kod relativno malog broja globalnih tehnoloških kompanija. Što ih više banaka koristi, to problem jednog pružatelja manje ostaje problem pojedinačne banke.
Europska središnja banka ove je godine upozorila da koncentracija kritičnih AI alata kod malog broja tehnoloških kompanija može povećati operativnu ovisnost i cyber rizik te pojačati „too-big-to-fail“ dinamiku.
To ne znači da su tehnološke kompanije formalno proglašene „prevelikima da propadnu“. Ali logika postaje slična.
Ako dovoljno velik dio financijskog sustava ovisi o jednom pružatelju, njegova otpornost prestaje biti samo komercijalno pitanje između banke i dobavljača.
Postaje pitanje financijske stabilnosti.
AI mijenja ekonomiku cyber napada
Najnapredniji AI modeli mogu povećati brzinu, razmjere i složenost cyber napada. Istodobno mogu pomoći obrani.
Problem je u ekonomici.
Za banku nije dovoljno pronaći sigurnosnu ranjivost. Potrebno ju je analizirati, popraviti kod, testirati zakrpu, provjeriti da nije izazvala novi problem i sigurno je primijeniti na velikom broju sustava.
Napadaču je dovoljan jedan otvoreni prozor.
Zato se vrijeme za odgovor skraćuje.
Na Financa.ba već smo na primjeru modela Mythos pokazali zašto mogućnost AI-ja da sam pronalazi dosad nepoznate softverske ranjivosti mijenja sigurnosnu računicu banaka.
Sada je problem veći od pojedinačnog napada. Ista tehnologija koja povećava sposobnosti jedne banke može istodobno postati zajednička točka ranjivosti za mnoge institucije.
Banka mora znati o kome ovisi
Regulatori više ne tretiraju AI samo kao alat koji može povećati produktivnost.
FSB je u lipnju predložio 12 praksi za odgovorno korištenje umjetne inteligencije u financijskim institucijama. Obuhvaćaju upravljanje AI-jem na razini organizacije, životni ciklus modela te cyber, ICT i rizike povezane s vanjskim dobavljačima. Konačni dokument očekuje se u listopadu.
To odgovornost pomiče izvan IT odjela.
Ako AI ulazi u kreditiranje, upravljanje rizikom, otkrivanje prijevara ili odnos s klijentima, njegova uporaba postaje pitanje za upravu, risk management i nadzorni odbor.
Banka zato više ne treba znati samo je li AI model siguran.
Mora znati i može li nastaviti poslovati ako njegov pružatelj prestane raditi.
Tko pruža infrastrukturu? Gdje se obrađuju podaci? Postoji li alternativni dobavljač? Koliko brzo se na njega može prijeći?
Najnapredniji model nije nužno i najmanje rizičan izbor ako iza njega stoji infrastruktura bez stvarne alternative.
Rizik postoji i kada nema cyber napada
AI može utjecati na financijsku stabilnost i bez hakera.
Simulacije ECB-a objavljene ove godine pokazale su da AI sustavi u stresnim uvjetima mogu proizvesti vrlo različite obrasce ponašanja, uključujući snažnu koordinaciju i ekstremnu dinamiku nalik bank runu.
To otvara još jedan problem.
Sistemski rizik ne nastaje samo kada AI pogriješi. Može nastati i kada mnogo institucija sa sličnim sustavima reagira na isti signal.
To je stari financijski problem u novom tehnološkom obliku: odluka koja je racionalna za pojedinačnu instituciju može postati destabilizirajuća kada je mnogi donesu istodobno.
Zato će regulatori morati pratiti ne samo sigurnost pojedinačnih modela nego i ponašanje financijskog sustava u kojem se automatizirane odluke donose sve brže.
Za banke se mijenja ključno pitanje
Dosad je osnovno pitanje bilo što AI može donijeti banci.
Bržu obradu podataka, bolje otkrivanje prijevara, niže troškove, automatizaciju i preciznije procjene rizika.
To pitanje ostaje važno.
Ali uz njega sada dolazi drugo:
Što se događa ako AI infrastruktura o kojoj ovisimo prestane raditi, bude kompromitirana ili je istodobno koristi velik dio tržišta?
Za uprave banaka to mijenja logiku tehnološke odluke.
Više nije dovoljno procijeniti kvalitetu modela, njegovu cijenu i potencijalnu uštedu. Potrebno je znati gdje nastaje koncentracija, postoji li zamjena i koliko brzo banka može nastaviti poslovati ako ključna tehnologija postane nedostupna.
To je granica na kojoj tehnološki rizik prelazi u financijski.
Sljedeći „too big to fail“ možda neće biti banka
Financijska regulacija dugo je bila usmjerena na institucije koje drže depozite, odobravaju kredite i pomiču kapital.
AI dio kritične infrastrukture pomiče izvan tradicionalnih granica financijskog sektora.
Tehnološka kompanija ne mora imati bankarsku licencu da bi njezin kvar jednog dana pogodio velik broj banaka istodobno.
AI rizik za banke zato više nije samo pitanje koliko je dobar njihov cyber tim. Postaje pitanje koliko financijski sustav ovisi o istoj infrastrukturi – i postoji li plan kada ona zakaže.
U financijama smo naučili pratiti koje su banke prevelike da bi njihov pad prošao bez posljedica.
Sada će regulatori morati pratiti i tko stoji iza tehnologije bez koje te banke više ne mogu poslovati.
