ABD ve Avrupa’daki düzenleyiciler, bankaların kullandığı yapay zeka ajanlarına yönelik incelemelerini yoğunlaştırıyor. Siber güvenlik ve finansal istikrar üzerindeki olası etkiler değerlendirilirken sistemlerin yetki sınırları, insan denetimi ve saldırı sonrasında hizmetlerin sürdürülmesi öne çıkıyor. Avrupa Merkez Bankası (ECB), bankalardan güvenlik ve kurtarma planlarını 31 Ekim 2026’ya kadar hazırlamalarını istedi.
ABD’de incelemeler bilgi toplama aşamasında
ABD Merkez Bankası (FED), Para Birimi Denetleme Ofisi (OCC) ve Federal Mevduat Sigorta Kurumu (FDIC), büyük ve küçük ölçekli bankaların gelişmiş yapay zeka kullanımını inceliyor. Denetçilerin odağında siber tehditleri tespit edebilen, öncelik sırasına koyan ve müdahale edebilen yapay zeka ajanları bulunuyor. Bankaların Çin’de geliştirilen yapay zeka teknolojilerinden yararlanıp yararlanmadığı da araştırılıyor.
Düzenleyiciler, ajanların hangi yetkilere sahip olduğunu ve kararlarının nasıl kaydedildiğini öğrenmek istiyor. Bir sistem yetki sınırlarını aşarsa bankanın nasıl müdahale edeceği, kritik işlemlerde insan onayının bulunup bulunmadığı ve gerektiğinde sistemin tamamen kapatılıp kapatılamayacağı da inceleniyor. Bankaların dış teknoloji sağlayıcılarına bağımlılığı da değerlendirme kapsamına giriyor. ABD’li kurumlar şimdilik bilgi topluyor; bankalara belirli bir teknik çözüm dayatmıyor.
Siber olaylar erişim yetkileri tartışmasını artırdı
Son dönemdeki olaylar, yapay zeka ajanlarının erişim izinleri hakkındaki endişeleri gündeme taşıdı. CrowdStrike, ekim ayında Çin’deki bir kişinin Güney Kore bankalarına yönelik saldırıda Çin’de geliştirilen bir yapay zeka ajanını kullanmış olabileceğini belirtti. Şirketin değerlendirmesinde Anthropic’in Claude Code aracının da saldırıda kullanılmış olabileceği bilgisi yer aldı.
Başka bir olayda, OpenAI tarafından geliştirilen bir yapay zeka ajanının kontrolden çıkarak Hugging Face platformundaki güvenlik ihlalinde rol oynadığı bildirildi. Bu örnekler, ajanların erişim izinlerinin sınırlandırılması ve faaliyetlerinin denetlenmesi için alınabilecek önlemlere yönelik ilgiyi artırdı.
ECB bankalardan 31 Ekim’e kadar plan istiyor
Avrupa Merkez Bankası, finans kuruluşlarından yapay zeka destekli siber tehditlere karşı hazırlıklarını güçlendirmelerini talep ediyor. ECB, temmuz ayında bankalara gönderdiği yazıda güvenlik ve kurtarma planlarının 31 Ekim 2026’ya kadar hazırlanmasını istedi. Planların veri yedekleme, bilgi işlem sistemlerini yeniden çalıştırma ve dış hizmet sağlayıcılarından doğabilecek riskleri ele alması gerekiyor. Bankaların kullandıkları yapay zeka sistemlerini ve bunların üçüncü taraf hizmetlerle bağlantılarını belirlemesi de bekleniyor.
Avrupa’da kesinti sonrası hizmetlerin sürdürülmesi de gündemde
İngiltere Merkez Bankası, ülkenin büyük finans kuruluşlarıyla ana bilgi işlem altyapısından bağımsız kurtarma sistemleri üzerinde çalışıyor. Bu sistemlerin ciddi bir siber saldırının ardından temel hizmetlerin yeniden başlatılmasına yardımcı olması hedefleniyor. Ayrı bir altyapının kurulup sürekli hazır tutulması bankalar için ek maliyet oluşturuyor. İngiliz yetkililer şu aşamada yeni zorunluluklar duyurmadı ve finans kuruluşlarıyla görüşmelerini sürdürüyor.
Avrupa’daki denetçiler, bankaların yapay zeka sistemlerini kontrollü biçimde kapatıp yeniden başlatabilmesini de önemsiyor. Gelişmiş modellerin güvenlik açıklarını daha hızlı belirleme ve giderme amacıyla kullanılması da gündemde. Bu çerçevede Anthropic’in Mythos modeli gibi teknolojilere erişim konusu bankalar arasında ele alınıyor. Bazı Avrupa bankaları, ABD’deki finans kuruluşlarının bu tür modellere daha önce erişebileceğinden kaygı duyuyor.
Uluslararası Para Fonu (IMF), büyük siber saldırıların finans kuruluşlarına duyulan güveni zedeleyebileceği uyarısında bulunuyor. Kritik bir bankanın ya da teknoloji sağlayıcısının etkilenmesi, müşterilerin hesaplarına ulaşmasını ve ödeme işlemlerini aksatabilir. Bu nedenle düzenleyiciler, kesinti yaşanması halinde bankaların hangi faaliyetleri ne kadar sürede yeniden başlatabileceğini de sorguluyor. İncelemeler, yapay zeka sistemlerinin kontrolünün yanı sıra bankaların operasyonel dayanıklılığını kapsıyor.
ABD’de yeni bağlayıcı kurallar henüz yok
ABD’deki incelemeler, yapay zeka ajanlarına ilişkin kapsamlı ve bağlayıcı yeni kurallarla sonuçlanmış değil. OCC’nin Nisan 2026’da güncellediği model risk yönetimi rehberinde üretken yapay zeka ve yapay zeka ajanları açıkça kapsam dışında bırakılıyor. Avrupa’daki bankalar ise ECB’nin belirlediği ekim sonu tarihine kadar güvenlik ve kurtarma hazırlıklarını tamamlamaya çalışıyor. Düzenleyiciler insan denetimi, işlem kayıtları, üçüncü taraf hizmetleri ve kesinti sonrasında faaliyetlerin sürdürülebilmesine odaklanıyor.
