AI, risc sistemic pentru bănci: ameninţare pentru canalele prin care circulă creditul, plăţile şi încrederea contractuală

Faptul central nu este constatarea că inteligenţa artificială poate deveni periculoasă, ci că o instituţie cu rol de supraveghere sistemică tratează deja AI drept factor care schimbă economia atacului cibernetic.

În logica expusă de BCE, schimbarea decisivă vine din reducerea costului de intrare pentru atacatori. Dacă modele tot mai capabile identifică vulnerabilităţi mai repede, le combină şi transformă patch-urile [n.n - modificare aplicată unui program] în noi puncte de exploatare, atunci avantajul tradiţional al apărării - timp, expertiză, scară organizaţională - se erodează.

În acest cadru, pericolul AI nu derivă doar din „inteligenţa” tehnologiei, ci din comprimarea timpului de reacţie a instituţiilor şi din extinderea bazei de actori capabili să producă daune.

Un prim mecanism esenţial arată că AI nu măreşte doar severitatea riscului, ci şi frecvenţa şi accesibilitatea lui.

În modelele clasice de securitate, atacurile sofisticate cereau competenţe rare, timp şi resurse. BCE susţine că noile instrumente schimbă acest raport, iar riscul nu mai rămâne concentrat la vârful piramidei criminalităţii cibernetice, ci se distribuie mai larg.

Dacă bariera tehnică scade, numărul potenţialilor agresori creşte, iar apărarea trebuie să răspundă nu doar atacurilor excepţionale, ci unei presiuni continue şi mai dense.

• De la incident punctual la contagiune operaţională

Al doilea mecanism priveşte trecerea de la riscul punctual la riscul de contagiune operaţională.

BCE leagă explicit vulnerabilitatea băncilor de dependenţa lor de infrastructuri externe - cloud, telecom, sisteme de plăţi, electricitate, apă.

În aceste condiţii, pericolul AI nu se citeşte exclusiv la nivelul unei singure instituţii. Dacă AI accelerează descoperirea şi exploatarea slăbiciunilor într-un furnizor comun, un incident local se poate transforma mai repede într-o disfuncţie sectorială.

AI amplifică, astfel, una dintre trăsăturile definitorii ale finanţei moderne: interdependenţa. Cu cât mai multe procese se digitalizează şi se externalizează, cu atât contează mai puţin doar bilanţul unei bănci şi mai mult robusteţea reţelei în care operează.

• Riscul urcă din IT în guvernanţă

Al treilea mecanism mută riscul din sfera IT în sfera guvernanţei.

Elderson afirmă explicit că problema nu mai poate rămâne doar o temă de securitate cibernetică, ci devine o provocare strategică pentru conducerea băncilor.

Logica este clară: dacă ameninţarea afectează continuitatea serviciilor critice, reputaţia, încrederea clienţilor, costurile de conformare şi capacitatea competitivă, ea nu mai poate fi delegată exclusiv specialiştilor tehnici. Devine o chestiune de alocare de capital, prioritizare managerială şi arhitectură instituţională.

În acest sens, pericolul AI nu stă doar în posibilitatea unui atac reuşit, ci şi în faptul că obligă organizaţiile la un ritm investiţional şi decizional mai rapid decât cel în care multe dintre ele funcţionează în mod obişnuit.

Discursul BCE introduce şi o distincţie importantă între profitabilitate şi rezilienţă.

Faptul că sectorul bancar înregistrează profituri ridicate, invocat de Elderson ca argument pentru capacitatea de investiţie, nu elimină riscul, ci indică doar existenţa unor resurse pentru atenuarea lui. Analitic, acest punct arată că pericolul AI nu se suprapune mecanic peste fragilitatea financiară clasică.

O bancă bine capitalizată şi lichidă poate suferi totuşi o perturbare majoră dacă nu îşi poate menţine operaţiunile.

BCE foloseşte exact această idee când pune accent pe rezilienţa non-financiară. În termeni mai largi, AI extinde noţiunea de vulnerabilitate sistemică: nu mai este suficient să întrebi dacă o instituţie poate absorbi pierderi, ci şi dacă poate continua să funcţioneze sub stres digital sever.

• Sistemul e mai pregătit, dar şi mai expus

Apare aici o contradicţie relevantă.

Pe de o parte, BCE afirmă că sectorul financiar se numără printre domeniile cel mai bine pregătite în faţa atacurilor cibernetice, după ani de investiţii, teste de stres şi întărire a cadrului de supraveghere, inclusiv prin Regulamentul privind rezilienţa operaţională digitală (DORA).

Pe de altă parte, aceeaşi instituţie vorbeşte despre o schimbare structurală ce reduce eficienţa standardelor defensive considerate până recent avansate.

Cele două idei se întâlnesc: pregătirea existentă nu dispare, dar poate deveni insuficientă într-un mediu în care capacitatea ofensivă se democratizează şi accelerează.

Sistemul poate fi mai bine pregătit decât înainte şi, totuşi, relativ mai expus decât credea.

O a doua contradicţie priveşte asimetria dintre băncile mari şi cele medii sau mici.

Discursul BCE promovează ideea că marile instituţii suportă mai uşor costurile de apărare, în timp ce actorii mai mici pot resimţi noile cerinţe drept presiune disproporţionată.

Efectul este dublu.

1. La nivel micro, riscul rezidual se poate concentra în verigile mai slabe.

2. La nivel macro, supravegherea ajunge să gestioneze o tensiune între proporţionalitate şi uniformitatea minimă a rezilienţei.

Dacă regulile sunt prea relaxate pentru actorii mici, aceştia pot deveni puncte de intrare în sistem.

Dacă sunt prea exigente, costul conformării poate atenua consolidarea sectorului.

Prin urmare, pericolul AI nu este doar tehnologic, ci şi structural: poate accelera diferenţierea competitivă dintre instituţii în funcţie de buget, expertiză şi acces la infrastructură.

În cadrul supravegherii bancare, reacţia BCE sugerează că instituţiile publice tratează AI tot mai puţin ca sursă de productivitate şi tot mai mult ca factor de reconfigurare a raportului dintre eficienţă şi vulnerabilitate.

Aceasta nu înseamnă că utilizările benefice ale AI dispar.

BCE afirmă chiar că inteligenţa artificială poate îmbunătăţi operaţiunile şi managementul riscului. Dar tocmai această dublă natură explică dificultatea problemei: aceeaşi tehnologie care optimizează procese poate mări şi suprafaţa de atac poate crea noi dependenţe şi poate reduce fereastra de remediere.

Pericolul nu vine din simpla existenţă a AI, ci din simultaneitatea efectelor sale ofensive şi defensive într-un sistem deja dens interconectat.

Dacă sistemul de referinţă se lărgeşte de la supravegherea bancară la infrastructura economică europeană, semnificaţia avertismentului se schimbă. BCE nu mai descrie doar un risc pentru bănci, ci şi un risc pentru canalele prin care circulă creditul, plăţile şi încrederea contractuală.

Într-un cadru de securitate economică, AI apare ca multiplicator de vulnerabilităţi în infrastructuri critice dependente de furnizori comuni.

Pe un orizont temporal mai lung, acest episod poate marca trecerea de la reglementarea post-criză financiară, centrată pe capital şi lichiditate, la o fază în care continuitatea operaţională devine componentă egală a stabilităţii.

Într-un cadru mai larg al teoriei riscului sistemic, intervenţia BCE semnalează deplasarea pericolului de la şocurile produse de dezechilibre interne ale bilanţurilor la şocurile produse de vulnerabilităţi tehnologice propagate în reţea.