Bank może mieć świetnie działającego agenta AI, a mimo to nie być gotowy na dzień, w którym agent wykona nieprzewidzianą operację. Według ustaleń Reutersa z 13 października 2026 roku, opartych na rozmowach z sześcioma osobami zaznajomionymi z działaniami nadzoru, regulatorzy bankowi w Stanach Zjednoczonych i Europie coraz dokładniej pytają instytucje finansowe o autonomiczne systemy, ich uprawnienia i zdolność do przywrócenia działania po poważnym incydencie.
W USA pytania zadają trzej główni regulatorzy: Rezerwa Federalna, Office of the Comptroller of the Currency oraz Federal Deposit Insurance Corporation. Interesuje ich, czy banki korzystają z technologii pochodzenia chińskiego, czy wdrażają agentów AI w cyberobronie i czy potrafią kontrolować coraz bardziej autonomiczne systemy. To ustalenia dziennikarskie, nie opublikowany, wspólny zestaw nowych obowiązków prawnych — wskazane urzędy odmówiły komentarza.
„Agent może działać prawidłowo przez tysiąc operacji, a pomylić się przy kolejnej. Organizacja musi umieć zatrzymać go bez zatrzymywania całego banku."
AI Engineering Realist #03, AI Futures LabEuropa: nie tylko kontrola, ale odtwarzanie po ataku
W Europie Bank Anglii i Europejski Bank Centralny naciskają na banki, by wzmocniły plany odtwarzania działania systemów po incydencie — tzw. "bare metal recovery": możliwość uruchomienia kluczowych usług w niezależnym środowisku, bez polegania na tej samej, potencjalnie przejętej infrastrukturze. Cytowany przez Reutersa starszy menedżer dużego europejskiego banku powiedział, że obawia się potencjalnie poważnych szkód dla sektora bankowego i rynków finansowych w ciągu najbliższych sześciu miesięcy.
Tło tych pytań nie jest abstrakcyjne. Reuters wskazuje na dwa konkretne zdarzenia, które laboratorium już opisało wcześniej: CrowdStrike zidentyfikował prawdopodobne użycie chińskiego agenta AI i Claude Code w ataku na koreańskie banki (Aktualizacja do artykułu o ataku na infrastrukturę krytyczną), a agenty OpenAI były zamieszane w naruszenie bezpieczeństwa Hugging Face (opisane tutaj). MFW ostrzegał tydzień wcześniej przed "samozadowoleniem" na globalnych rynkach finansowych, wskazując m.in. na ryzyko cyberatku.
EBC nie reaguje dopiero teraz — już w lipcu 2026 wyznaczył bankom termin do końca października na przygotowanie planów ograniczania zagrożeń cybernetycznych wspomaganych przez AI. Doniesienia Reutersa pokazują więc eskalację konkretnych pytań, nie nagłe pojawienie się problemu.
Dwa dni później: FSB publikuje 12 zasad — dobrowolnych
15 października 2026 roku Financial Stability Board opublikowała finalną wersję dokumentu "Sound Practices for the Responsible Adoption of Artificial Intelligence" — dwanaście zasad podzielonych na trzy grupy: zarządzanie organizacyjne (1-4), zarządzanie ryzykiem w cyklu życia AI (5-10) oraz ryzyko cyber, ICT i dostawców trzecich (11-12). Najbardziej konkretna zmiana dotyczy agentów: w zastosowaniach wysokiego ryzyka nadzór człowieka ma być bardziej intensywny, a organizacje powinny ustalić jasne progi, przy których agent musi uzyskać zgodę człowieka przed działaniem.
„Niewiążące »sound practices« to zwykle preludium do wiążących przepisów, nie ich substytut — wytyczne Bazylejskie poprzedziły wymogi kapitałowe o lata, nie miesiące."
Historian of Technology #08, AI Futures LabFSB sama jednak zaznacza granice dokumentu: zasady są dobrowolne, nie mają ustanawiać międzynarodowego standardu, nie nakazują konkretnego podejścia biznesowego — i nie zostały opracowane specjalnie w odpowiedzi na ryzyka związane z modelami frontier, choć część z nich może pomóc instytucjom reagować na takie ryzyka. Innymi słowy: to zestaw dobrych praktyk do rozważenia przez zarząd, nie nowa ustawa automatycznie obowiązująca każdy bank.
Co to znaczy dla firm spoza sektora finansowego
Lekcja wykracza poza bankowość. Wdrożenie agenta AI warto zacząć od spisu uprawnień i danych, do których ma dostęp, ustalenia, które operacje może wykonywać automatycznie a które wymagają zgody człowieka, oraz zbudowania rejestrów działań, testów nietypowych sytuacji i planu awaryjnego wyłączenia systemu. Kopia zapasowa danych jest niezbędna, ale sama kopia nie wystarczy — trzeba jeszcze potrafić bezpiecznie uruchomić systemy i przywrócić dostęp do usług.
Ocena laboratorium
Poland Opportunity Score: 2/10 · Poland Risk Score: 3/10
Polskie banki nie są stroną amerykańskich pytań Fed/OCC/FDIC, ale podlegają unijnemu kierunkowi
wyznaczanemu przez EBC — podobne pytania o kontrolę agentów i odtwarzanie systemów po incydencie
prawdopodobnie dotrą też do krajowego sektora finansowego.
Predykcje, które będziemy sprawdzać
Do rejestru trafiły
Pełny rejestr predykcji znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.