Huippuluokan tekoälystä tuli järjestelmäriski finanssialalle – tätä EU ja Britannia vaativat pankeilta

ESRB:n yleiskomitea oli samalla nostanut systeemisen kyberriskin arvionsa maaliskuun tasolta ”kohonnut” kesäkuussa tasolle ”vakava” . Komitean mukaan frontier AI voi muun muassa löytää niin sanottuja nollapäivähaavoittuvuuksia, kehittää toimivia hyväksikäyttömenetelmiä ja toteuttaa laajoja kyberhyökkäyksiä ilman ihmisen jatkuvaa ohjausta .

ESRB kehotti EU:n viranomaisia kasvattamaan alan osaamista, valvontakykyä ja strategista riippumattomuutta. Lisäksi se painotti tekoälykehittäjien, finanssiyhtiöiden ja valvojien koordinoitua toimintaa .

Kolme eurooppalaista valvojaa tukivat varoitusta

Euroopan pankkiviranomainen EBA, vakuutus- ja lisäeläkeviranomainen EIOPA sekä arvopaperimarkkinaviranomainen ESMA tukivat ESRB:n varoitusta samana päivänä .

Viranomaiset kehottivat kaikkia digitaalista häiriönsietokykyä koskevan DORA-asetuksen piiriin kuuluvia finanssialan toimijoita – kuten pankkeja, vakuutusyhtiöitä, varainhoitajia ja sijoituspalveluyrityksiä – mukauttamaan kyberturvallisuuden ja tieto- ja viestintäteknologian riskienhallinnan järjestelynsä frontier AI:n aiheuttamiin uhkiin .

Heinäkuun 31. päivänä ESAt julkaisivat vielä yhteisen lausunnon, jossa ne vaativat toimialarajat ylittävää, riskiperusteista ja yhdenmukaista valvontatapaa . Käytännössä tämä tarkoittaa muun muassa:

• hallitusten ja ylimmän johdon selkeämpää vastuuta tekoälyyn liittyvistä kyberriskeistä
• jatkuvasti päivitettäviä riskiarvioita ja ICT-riskienhallintakehyksiä
• hyökkäysten nopeuteen suhteutettua häiriötilanteisiin reagointia
• yhdenmukaisia valvontaodotuksia pankki-, vakuutus- ja sijoitussektoreilla .

EKP vaati merkittäviltä pankeilta suunnitelmia

EKP:n valvontaelimen puheenjohtaja Claudia Buch lähetti 7. heinäkuuta kirjeet kaikille merkittäville laitoksille, joita valvotaan Euroopan keskitetyn pankkivalvonnan eli SSM:n piirissä . Kirjeissä vaadittiin välittömiä ja ennakoivia toimia frontier AI:n mahdollistamia kyberhyökkäyksiä vastaan sekä konkreettisia toimintasuunnitelmia jokaiselta laitokselta .

Raporttien mukaan noin 110 pankin odotettiin toimittavan kattavat suunnitelmansa lokakuun 2026 loppuun mennessä . Viesti on selvä: kyse ei ole enää vain hallituksen kokouksissa käsiteltävästä tulevaisuuden uhkakuvasta, vaan valvojan edellyttämästä käytännön työstä.

Britannia kulki samaan suuntaan

Myös Britannian viranomaiset kiristivät linjaansa lähes samassa aikataulussa.

Pank of England nosti tekoälyn järjestelmätason vakausriskiksi

Bank of Englandin rahoituspolitiikan komitea (FPC) nimesi tekoälyn 7. heinäkuuta julkaistussa puolivuosittaisessa Financial Stability Report -raportissa erilliseksi järjestelmäriskiksi kahdella tavalla. Ensimmäinen liittyy tekoälyyn kytkeytyvien markkinoiden velkavipuun ja keskittymiseen. Toinen koskee frontier AI:n voimistamia kyberuhkia .

Apulaispääjohtaja Sarah Breeden vihjasi, että itsenäisesti toimiville tekoälyagenteille saatetaan myöhemmin tarvita erillisiä politiikkatoimia . Reutersin mukaan keskuspankki korosti erityisesti sitä, että tekoäly voi kasvattaa pankkien alttiutta kyberhyökkäyksille .

Yhteinen lausunto velvoittaa varautumaan jo nykyisten sääntöjen nojalla

Bank of England, Britannian finanssivalvoja FCA ja valtiovarainministeriö HM Treasury julkaisivat 15. toukokuuta yhteisen lausunnon frontier AI -malleista ja kyberhäiriönsietokyvystä . Lausunto ei luonut kokonaan uutta sääntelykehikkoa, vaan vahvisti nykyisten operatiivista häiriönsietokykyä ja ylimmän johdon vastuuta koskevien vaatimusten tulkintaa .

Viranomaiset odottavat finanssiyhtiöiltä toimia viidellä alueella:

1. hallinto ja strategia
2. haavoittuvuuksien hallinta
3. ulkopuolisiin palveluntarjoajiin liittyvät riskit
4. suojaus
5. häiriötilanteisiin vastaaminen ja toiminnan palauttaminen .

FCA:n 6. heinäkuuta julkaisema laaja katsaus tekoälystä finanssipalveluissa päätyi lisäksi siihen, että tekoäly voi vahvistaa petoksia ja kyberriskejä. Petoksista voi tulla uskottavampia, laajempia ja vaikeammin havaittavia, esimerkiksi syväväärennösten, synteettisten identiteettien ja personoidun huijauksen avulla .

Kyselyt kertovat nopeutuvasta uhkasta ja valmistautumisen puutteesta

Viranomaiset eivät tehneet johtopäätöksiään tyhjiössä. Vuoden 2026 kyselyt osoittavat, että uhka kasvaa nopeasti samalla kun monien organisaatioiden näkyvyys ja valmius ovat puutteellisia.

• Maailman talousfoorumin Global Cybersecurity Outlook 2026 -raportissa 87 prosenttia vastaajista piti tekoälyyn liittyviä haavoittuvuuksia nopeimmin kasvavana kyberriskinä. Tekoälytyökalujen turvallisuutta huolestuttavana pitävien osuus nousi 37 prosentista 64 prosenttiin vuodessa .
• Gigamonin finanssialaa koskevassa kyselyssä 77 prosenttia murretuista yrityksistä kertoi tietomurron liittyneen tekoälyyn. Vastaajista 54 prosenttia oli havainnut tekoälyllä tehostettujen sosiaalisen manipuloinnin hyökkäysten lisääntyneen, ja 88 prosenttia sanoi, ettei organisaatio koe olevansa riittävästi valmistautunut tekoälyn tuottamaan kyberhyökkäykseen .
• KPMG:n pankkialan teknologiakyselyssä 76 prosenttia johtajista kertoi kyberhyökkäysten lisääntyneen viimeisen vuoden aikana. Vastauksena 92 prosenttia pankeista kasvattaa kyberturvallisuusbudjettiaan ja 84 prosenttia lisää investointeja nimenomaan tekoälyn tuomiin riskeihin varautumiseksi .
• ProSightin riskijohtajien kyselyssä 74 prosenttia vastaajista nimesi teknologia- ja kyberriskin tärkeimmäksi riskiluokakseen. Tekoälyyn perustuva digitalisaatio kasvattaa samalla hyökkäyspinta-alaa .
• Cloud Security Alliancen kyselyssä 20 prosenttia yrityksistä ilmoitti kokeneensa tekoälyyn liittyvän tietoturvapoikkeaman. Lisäksi 21 prosenttia ei osannut sanoa, oliko sellainen tapahtunut . Tämä kertoo merkittävästä näkyvyysaukosta.
• Darktracen tammikuussa tekemässä finanssialan kyselyssä 92 prosenttia vastaajista oli huolissaan siitä, mitä tekoälyagenttien käyttö työvoimassa merkitsee turvallisuudelle .
• CSI:n pankkialan kyselyssä tekoälyllä tehostettu sosiaalinen manipulointi nousi kyberturvallisuuden merkittävimmäksi uhaksi jo kolmantena peräkkäisenä vuonna .

Kuva vahvistuu myös Euroopan ulkopuolella. Intian keskuspankin RBI:n kesäkuun 2026 rahoitusvakausraportissa tekoälyyn perustuvat kyberuhat olivat Intian finanssisektorin suurin koettu kyberturvallisuusriski seuraavan vuoden aikana . DSCI:n mukaan haavoittuvuuksien hyväksikäyttöön käytettävissä oleva aika on lyhentynyt noin 745 päivästä noin 44 päivään, samalla kun hyökkäysten kustannukset ovat laskeneet yli 70 prosenttia .

Mitä finanssiyhtiöiltä nyt odotetaan?

Viranomaisten, Kansainvälisen valuuttarahaston IMF:n ja kyberturvallisuusalan asiantuntijoiden suositukset ovat yllättävän yhteneviä.

Vastuu on nostettava hallitustasolle

Frontier AI:n kyberriski pitäisi sisällyttää hallituksen riskinottohalukkuuteen ja ICT-hallinnon rakenteisiin. Sitä ei pidä käsitellä vain tietohallinnon teknisenä ongelmana, vaan koko laitoksen ja pahimmillaan koko järjestelmän riskinä . Ylimmälle johdolle on määriteltävä selkeä vastuu tekoälyyn liittyvistä kyberriskeistä .

Perusasiat on tehtävä nopeammin ja johdonmukaisemmin

Asiantuntijat suosittelevat reaaliaikaista verkkonäkyvyyttä ja tekoälyä hyödyntäviä puolustusratkaisuja. Näkyvyysaukot lisäävät riskiä joutua tekoälyllä tehostetun hyökkäyksen kohteeksi .

Samalla tarvitaan tuttua kyberturvallisuuden perustyötä: nopeaa paikkaamista, käyttöoikeuksien hallintaa, verkkojen segmentointia ja zero trust -arkkitehtuuria. Britannian kansallinen kyberturvallisuuskeskus NCSC korostaa, ettei ratkaisu ole pelkkä uusien työkalujen hankinta, vaan perusasioiden johdonmukainen toteuttaminen .

Yritysten pitäisi myös rajoittaa mahdollisen tietomurron ”räjähdysaluetta” eli vahingon leviämistä järjestelmästä toiseen, testata puolustustaan säännöllisesti ja harjoitella erityisesti frontier AI:n mahdollistamia hyökkäysskenaarioita .

Yksittäinen finanssiyhtiö ei pysty ratkaisemaan ongelmaa yksin

IMF ja ESRB ovat painottaneet niin sanottua koko yhteiskunnan lähestymistapaa: finanssivalvojien, kyberturvallisuusviranomaisten, teknologiayhtiöiden ja tekoälykehittäjien on jaettava tietoa ja toimittava yhdessä . Kansainvälistä yhteistyötä tarvitaan esimerkiksi G7:n kyberasiantuntijaryhmässä ja rahoitusvakausneuvostossa.

Samalla julkisen sektorin osaamista on kasvatettava, jotta viranomaiset pystyvät arvioimaan yksityisen sektorin nopeasti kehittyviä kyvykkyyksiä .

Johtopäätös: reagointiaika on uusi valvontamittari

Frontier AI:n kyberriski ei ole enää hypoteettinen tulevaisuusskenaario. EU:n ja Britannian viranomaiset käsittelevät sitä aktiivisena järjestelmäuhkana, joka voi nopeuttaa hyökkäyksiä, laajentaa niiden mittakaavaa ja hyödyntää finanssijärjestelmän yhteisiä riippuvuuksia.

Finanssiyhtiöiltä odotetaan nyt ennen kaikkea neljää asiaa: vahvaa hallintoa, kyberturvallisuuden perusasioiden moitteetonta toteutusta, investointeja puolustavaan tekoälyyn sekä tiivistä kansainvälistä yhteistyötä. Samalla on arvioitava, kuvaavatko nykyiset ilmoituskynnykset ja esimerkiksi DORA-asetuksen ja Solvenssi II -sääntelyn pääomavaatimukset frontier AI:n riskejä riittävästi .

Sääntelyn painopiste on siirtymässä sääntöjen kirjoittamisesta niiden käytännön valvontaan. Kun hyväksikäyttöön käytettävä aika voi kutistua vuosista viikoiksi, pankin kyky havaita, pysäyttää ja palauttaa toiminta nopeasti ei ole enää vain tietoturvamittari – se on finanssijärjestelmän vakauden mittari.