Frontier-AI er blevet en systemisk cyberrisiko

EU skruer op for presset

Den europæiske reaktion udfoldede sig i en tæt koordineret række initiativer fra slutningen af juni til slutningen af juli 2026.

ESRB kalder risikoen alvorlig

Det Europæiske Udvalg for Systemiske Risici (ESRB) vedtog den 25. juni en formel advarsel, ESRB/2026/3, som blev offentliggjort den 7. juli. Her blev frontier-AI-modeller klassificeret som en kilde til systemisk cyberrisiko for EU's finansielle system .

ESRB's generalforsamling havde samtidig hævet sin vurdering af den systemiske cyberrisiko fra "forhøjet" i marts til "alvorlig" i juni 2026 . Ifølge advarslen kan frontier-AI-modeller blandt andet finde såkaldte zero-day-sårbarheder, udvikle fungerende angrebsværktøjer og udføre fuldskalaangreb automatisk og med maskinhastighed .

ESRB opfordrede EU's myndigheder til at styrke deres kapacitet, ekspertise og strategiske uafhængighed på området. Samtidig efterlyste udvalget en koordineret indsats mellem AI-udbydere, finansielle virksomheder og tilsynsmyndigheder .

EBA, EIOPA og ESMA bakker op

Samme dag støttede de tre europæiske tilsynsmyndigheder – EBA for banksektoren, EIOPA for forsikring og pension samt ESMA for værdipapirmarkederne – ESRB's advarsel .

De opfordrede alle finansielle virksomheder, der er omfattet af Digital Operational Resilience Act (DORA), til at tilpasse deres cybersikkerhed og styring af IT-risici til truslen fra frontier-AI. Det gælder blandt andet banker, forsikringsselskaber, kapitalforvaltere og investeringsselskaber .

I en fælles udtalelse den 31. juli efterlyste de tre myndigheder en tværsektoriel, risikobaseret og ensartet tilgang til tilsynet . Udmeldingen lægger især vægt på:

• stærkere ledelsesansvar og bestyrelsestilsyn med AI-relaterede cyberrisici
• løbende risikovurderinger og opdaterede rammer for IT-risikostyring
• hurtigere beredskab og hændelseshåndtering, der passer til AI-forkortede angrebstider
• ensartede forventninger på tværs af bank-, forsikrings- og værdipapirsektoren

ECB kræver konkrete planer fra bankerne

Den 7. juli sendte Claudia Buch, formand for ECB's tilsynsråd, breve til direktørerne for alle betydende institutter under Den Fælles Tilsynsmekanisme (SSM) . Brevene krævede øjeblikkelige og proaktive tiltag mod AI-understøttede cybertrusler samt konkrete handlingsplaner fra hvert institut .

Ifølge rapporter blev omkring 110 långivere bedt om at indsende omfattende planer inden udgangen af oktober 2026 . Det markerer en bevægelse fra generelle forventninger til mere direkte og håndfast tilsyn.

Storbritannien følger samme spor

De britiske myndigheder har reageret i et lignende tempo med flere indgreb i løbet af maj og juli.

Fælles krav fra Bank of England, FCA og finansministeriet

Den 15. maj udsendte Bank of England, Financial Conduct Authority (FCA) og HM Treasury en fælles udtalelse. Her blev regulerede finansielle virksomheder og finansielle markedsinfrastrukturer opfordret til hurtigst muligt at styrke deres cyberforsvar mod frontier-AI .

Myndighederne fremhævede fem områder, hvor virksomhederne forventes at handle:

1. ledelse og strategi
2. håndtering af sårbarheder
3. risici hos tredjepartsleverandører
4. beskyttelse af systemer og data
5. reaktion, genopretning og beredskab

Udmeldingen indskærpede samtidig, at de eksisterende regler om operationel robusthed og Senior Managers and Certification Regime allerede kræver, at virksomheder identificerer og begrænser disse risici .

Bank of England kalder AI en systemisk stabilitetsrisiko

Den 7. juli beskrev Bank of Englands Financial Policy Committee AI som en særskilt systemisk risiko i sin halvårlige rapport om finansiel stabilitet. Risikoen blev især knyttet til to forhold: gearing og koncentration i AI-relaterede markeder samt cybertrusler, der forstærkes af frontier-AI .

Vicecentralbankchef Sarah Breeden signalerede, at der kan komme særlige politiske eller regulatoriske tiltag for autonome AI-agenter . Reuters rapporterede samtidig, at Bank of England specifikt fremhævede AI's rolle i at øge bankernes sårbarhed over for cyberangreb .

FCA advarer om mere overbevisende svindel

I sin gennemgang af AI i finansielle tjenester den 6. juli konkluderede FCA, at AI vil forstærke både svindel- og cyberrisici. Svindel kan blive mere overbevisende, skalerbar og vanskeligere at opdage, blandt andet gennem deepfakes, syntetiske identiteter og målrettet social engineering .

Tallene bag myndighedernes bekymring

Myndighedernes reaktion kommer ikke ud af det blå. En række undersøgelser fra 2026 peger på en hurtigt voksende trussel og på betydelige huller i finanssektorens beredskab.

• World Economic Forum – Global Cybersecurity Outlook 2026: 87 procent af de adspurgte pegede på AI-relaterede sårbarheder som den hurtigst voksende cyberrisiko. Andelen, der vurderede AI-værktøjer som en sikkerhedsbekymring, steg fra 37 procent i 2025 til 64 procent i 2026 .
• Gigamons undersøgelse af finansielle tjenester: 77 procent af de finansielle virksomheder, der havde været udsat for et brud, oplyste, at bruddet involverede AI, mens 54 procent havde oplevet flere AI-drevne angreb med social engineering .
• KPMG's Banking Technology Survey 2026: 76 procent af bankcheferne havde set en stigning i cyberangreb det seneste år. Som reaktion øgede 92 procent deres cybersikkerhedsbudgetter, og 84 procent øgede specifikt investeringerne for at håndtere AI-relaterede risici .
• ProSight CRO Outlook Survey 2026: 74 procent af risikoansvarlige pegede på teknologi- og cyberrisiko som deres vigtigste risikokategori. AI-drevet digitalisering udvider samtidig angrebsfladen .
• Cloud Security Alliance: 20 procent af virksomhederne havde oplevet sikkerhedshændelser relateret til AI, mens yderligere 21 procent ikke vidste, om de havde haft sådanne hændelser. Det peger på et markant hul i overvågning og synlighed .
• Darktrace-undersøgelse fra januar 2026: 92 procent af respondenterne i finanssektoren var bekymrede over sikkerhedskonsekvenserne ved AI-agenter, der anvendes på tværs af arbejdsstyrken .
• CSI Banking Priorities Survey 2026: AI-forstærket social engineering var den førende cybersikkerhedstrussel for tredje år i træk .

Også uden for Europa er billedet tilsvarende. Indiens centralbank, Reserve Bank of India, fandt i sin rapport om finansiel stabilitet fra juni 2026, at AI-understøttede cybertrusler var den største oplevede cybersikkerhedsrisiko for landets finanssektor .

Data fra DSCI peger desuden på, at tiden, hvor angribere kan udnytte en sårbarhed, er faldet fra cirka 745 dage til omkring 44 dage, mens angrebsomkostningerne er faldet med mere end 70 procent .

Hvad bør finanssektoren gøre?

På tværs af myndigheder, brancheorganisationer og eksperter tegner der sig en forholdsvis klar anbefaling: Virksomhederne skal ikke vente på særregler eller et fremtidigt gennembrud i AI-sikkerhed. De skal opgradere den eksisterende styring og det eksisterende cyberberedskab nu.

Gør ansvaret til et ledelsesanliggende

Frontier-AI bør indarbejdes i bestyrelsens risikotolerance og i virksomhedens rammer for IT- og cybersikkerhed. Risikoen bør behandles som en mulig systemisk trussel – ikke kun som et teknisk problem i IT-afdelingen .

Der bør samtidig være et tydeligt ansvar på øverste ledelsesniveau for AI-relaterede cyberrisici . Bestyrelser og direktioner skal kunne dokumentere, hvilke AI-systemer og leverandører virksomheden er afhængig af, og hvordan konsekvenserne af et angreb begrænses.

Få styr på de grundlæggende sikkerhedsforanstaltninger

Eksperterne anbefaler investeringer i blandt andet overvågning af netværk i realtid og AI-baserede forsvarsværktøjer. Virksomheder med mangelfuld synlighed i deres IT-miljøer har større risiko for AI-relaterede brud .

Samtidig er de klassiske sikkerhedstiltag fortsat afgørende: hurtig installation af sikkerhedsopdateringer, stram adgangsstyring, netværkssegmentering og zero-trust-arkitektur .

Virksomheder bør også begrænse et eventuelt angrebs såkaldte "blast radius" – altså hvor stor en del af organisationen og infrastrukturen et brud kan ramme . Regelmæssige red-team-øvelser og adversarial testing bør desuden målrettes scenarier, hvor frontier-AI anvendes som angrebsværktøj .

Styrk samarbejdet på tværs af grænser

Den Internationale Valutafond (IMF) og ESRB anbefaler en samlet indsats, hvor finansielle tilsyn, cybersikkerhedsmyndigheder, AI-udviklere og virksomheder samarbejder tættere .

International koordinering gennem fora som G7's cyberekspertgruppe og Financial Stability Board bliver vigtigere, fordi et angreb på en fælles leverandør eller infrastruktur kan ramme mange virksomheder på én gang . Samtidig skal den offentlige sektor opbygge tilstrækkelig AI- og cyberkompetence til at følge med udviklingen i den private sektor .

Tilpas beredskabet til AI-hastigheden

Regulatorerne bevæger sig fra primært at formulere regler til også at føre mere praktisk og løbende tilsyn med AI-relaterede cyberrisici . For finansielle virksomheder betyder det, at den forkortede udnyttelsestid bør behandles som den nye normal.

Beredskabsaftaler, servicemål for hændelseshåndtering og rapporteringsprocedurer skal derfor kunne fungere i et miljø, hvor angribere kan handle langt hurtigere end tidligere . Myndigheder og virksomheder bør også overveje, om eksisterende tærskler for indberetning og kapitalkrav under blandt andet DORA og Solvency II i tilstrækkelig grad fanger frontier-AI-risiko .

En ny virkelighed for banker og tilsyn

Budskabet fra EU og Storbritannien er samlet set klart: Frontier-AI er ikke længere et hypotetisk fremtidsscenarie. Teknologien kan allerede øge hastigheden, skalaen og præcisionen i cyberangreb, og dens anvendelse kan skabe fælles sårbarheder på tværs af den finansielle sektor.

Det passende svar er derfor en kombination af tydeligt ledelsesansvar, konsekvent cyberhygiejne, investeringer i defensiv AI, begrænsning af skadeomfanget og tættere internationalt tilsynssamarbejde. For finanssektoren handler udfordringen ikke kun om at tage ny teknologi i brug – men om at kunne modstå den, når den bruges imod systemet.