Frontier AI stała się ryzykiem systemowym dla cyberbezpieczeństwa

ESRB wezwała unijne organy do zwiększenia kompetencji, zasobów i strategicznej autonomii w obszarze AI i cyberbezpieczeństwa. Zaapelowała również o skoordynowane działania dostawców AI, instytucji finansowych i organów nadzoru .

EBA, EIOPA i ESMA popierają ostrzeżenie

Tego samego dnia wspólne stanowisko wydały trzy europejskie urzędy nadzoru sektorowego: Europejski Urząd Nadzoru Bankowego (EBA), Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA) oraz Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA). Wspólnie określa się je skrótem ESA.

Urzędy wezwały wszystkie podmioty objęte zakresem rozporządzenia DORA — w tym banki, ubezpieczycieli, zarządzających aktywami i firmy inwestycyjne — do dostosowania zabezpieczeń cybernetycznych oraz systemów zarządzania ryzykiem ICT do zagrożeń związanych z frontier AI .

31 lipca ESA opublikowały kolejne wspólne stanowisko, JC 2026 25. Zaapelowały w nim o podejście międzysektorowe, oparte na ryzyku i spójne w całej Unii . Najważniejsze oczekiwania obejmują:

• większą odpowiedzialność zarządów i organów nadzorczych za ryzyko cybernetyczne związane z AI;
• stałą ocenę ryzyka oraz aktualizowanie ram zarządzania ryzykiem ICT;
• zdolność do szybkiego reagowania na incydenty, dostosowaną do skróconego przez AI czasu ataku;
• zapewnienie porównywalnych wymogów we wszystkich sektorach finansowych .

EBC żąda konkretnych planów od istotnych banków

7 lipca Claudia Buch, przewodnicząca Rady ds. Nadzoru Europejskiego Banku Centralnego, skierowała listy do prezesów wszystkich istotnych instytucji nadzorowanych w ramach Jednolitego Mechanizmu Nadzorczego (SSM) . EBC zażądał natychmiastowych i proaktywnych działań przeciwko zagrożeniom cybernetycznym wspieranym przez AI oraz przedstawienia konkretnych planów działania .

Według doniesień około 110 kredytodawców miało złożyć kompleksowe plany do końca października 2026 r. . To sygnał, że oczekiwania nadzorcze przestały ograniczać się do ogólnych deklaracji o „gotowości na AI”.

Wielka Brytania działa równolegle

Brytyjskie organy finansowe podjęły podobne działania, łącząc istniejące zasady odporności operacyjnej z bardziej bezpośrednim podejściem do ryzyka frontier AI.

Wspólne stanowisko Banku Anglii, FCA i HM Treasury

15 maja Bank Anglii, brytyjski urząd nadzoru finansowego FCA oraz Ministerstwo Skarbu (HM Treasury) wezwały regulowane firmy finansowe i infrastrukturę rynków finansowych do pilnego wzmocnienia obrony przed zagrożeniami stwarzanymi przez modele frontier AI .

Stanowisko wskazało pięć obszarów wymagających działań:

1. zarządzanie i strategia;
2. zarządzanie podatnościami;
3. ryzyko związane z dostawcami zewnętrznymi;
4. ochrona systemów;
5. reagowanie na incydenty oraz odtwarzanie działania .

Brytyjskie organy podkreśliły, że istniejące zasady odporności operacyjnej oraz Senior Managers and Certification Regime już zobowiązują firmy do planowania działań ograniczających tego rodzaju ryzyko . Wspólne stanowisko nie wprowadzało zatem całkowicie nowych regulacji, lecz doprecyzowywało, jak należy stosować obecne wymogi w świecie szybszych i bardziej autonomicznych ataków.

Bank Anglii uznaje AI za ryzyko dla stabilności systemu

7 lipca Komitet Polityki Finansowej Banku Anglii wskazał w półrocznym raporcie o stabilności finansowej, że AI tworzy odrębne ryzyko systemowe w dwóch obszarach: dźwigni i koncentracji na rynkach powiązanych z AI oraz zagrożeń cybernetycznych wzmacnianych przez modele frontier AI .

Wicegubernator Sarah Breeden zasugerowała, że w przyszłości mogą pojawić się specjalne rozwiązania dotyczące autonomicznych agentów AI . Reuters odnotował również, że Bank Anglii zwrócił uwagę na zwiększoną podatność banków na cyberataki .

Przegląd FCA: AI zwiększy skalę oszustw

6 lipca FCA opublikowała obszerny przegląd zastosowań AI w usługach finansowych. Wskazała, że technologia może nasilać zarówno oszustwa, jak i ryzyko cybernetyczne: fałszerstwa mogą stać się bardziej wiarygodne, łatwiejsze do skalowania i trudniejsze do wykrycia . Wśród zagrożeń wymieniono m.in. deepfake’i, syntetyczne tożsamości i spersonalizowaną inżynierię społeczną.

Co mówią dane z badań?

Regulatorzy nie działają w próżni informacyjnej. Wyniki badań z 2026 r. pokazują jednocześnie rosnącą skalę zagrożeń i poczucie, że wiele firm nie jest jeszcze odpowiednio przygotowanych.

• World Economic Forum, Global Cybersecurity Outlook 2026: 87% respondentów uznało podatności związane z AI za najszybciej rosnące ryzyko cybernetyczne. Odsetek osób postrzegających narzędzia AI jako zagrożenie bezpieczeństwa wzrósł z 37% w 2025 r. do 64% w 2026 r.
• Gigamon 2026 Hybrid Cloud Security Survey — usługi finansowe: 77% zaatakowanych firm finansowych doświadczyło incydentu związanego z AI, 54% odnotowało wzrost ataków z wykorzystaniem AI i inżynierii społecznej, a 88% uznało, że ich organizacja nie jest odpowiednio przygotowana na cyberatak wygenerowany przez AI .
• KPMG 2026 Banking Technology Survey: 76% menedżerów bankowych odnotowało wzrost liczby cyberataków w ciągu ostatniego roku. W odpowiedzi 92% banków zwiększa budżety na cyberbezpieczeństwo, a 84% zwiększa inwestycje konkretnie z powodu ryzyk wprowadzanych przez AI .
• ProSight 2026 CRO Outlook Survey: 74% dyrektorów ds. ryzyka wskazało ryzyko technologiczne i cybernetyczne jako najważniejszą kategorię ryzyka. Cyfryzacja i AI zwiększają liczbę potencjalnych punktów wejścia dla napastników .
• Cloud Security Alliance, State of Cloud and AI for Financial Services 2026: 20% firm zgłosiło incydenty bezpieczeństwa związane z AI, a kolejne 21% nie wiedziało, czy takie incydenty miały miejsce. To wskazuje na poważne luki w widoczności i monitorowaniu .
• Badanie Darktrace z sektora finansowego: 92% respondentów obawia się konsekwencji bezpieczeństwa związanych z używaniem agentów AI przez pracowników .
• CSI 2026 Banking Priorities Survey: inżynieria społeczna wzmacniana przez AI trzeci rok z rzędu została uznana za najważniejsze zagrożenie cybernetyczne .

Podobny obraz wyłania się poza Europą. Raport stabilności finansowej Banku Rezerw Indii z czerwca 2026 r. wskazał zagrożenia cybernetyczne wspierane przez AI jako najpoważniejsze postrzegane ryzyko dla tamtejszego sektora finansowego . Z kolei dane DSCI sugerują, że okno czasowe na wykorzystanie podatności skróciło się z około 745 dni do około 44 dni, a koszty ataków spadły o ponad 70% .

Jak powinna zareagować branża?

Z wypowiedzi regulatorów, organizacji branżowych i ekspertów wyłania się spójny zestaw priorytetów.

1. Odpowiedzialność zarządów

Ryzyko związane z cyberatakami wspieranymi przez frontier AI powinno zostać wpisane do apetytu na ryzyko zarządu i ram zarządzania ryzykiem ICT. Nie należy traktować go wyłącznie jako problemu operacyjnego — może wpływać na wiele instytucji jednocześnie i mieć konsekwencje dla całego systemu .

Potrzebne jest także jednoznaczne przypisanie odpowiedzialności na poziomie kadry kierowniczej za ryzyko cybernetyczne związane z AI .

2. Widoczność i podstawowa higiena cybernetyczna

Firmy powinny inwestować w bieżącą widoczność ruchu sieciowego oraz narzędzia AI wspierające obronę. Organizacje z lukami w monitorowaniu są znacznie bardziej narażone na incydenty wykorzystujące AI .

Jednocześnie eksperci zalecają konsekwentne stosowanie podstawowych zabezpieczeń: szybkie instalowanie poprawek, kontrolę dostępu, segmentację sieci i architekturę zero trust . W obliczu ataków działających z prędkością maszyn nie chodzi wyłącznie o kupowanie kolejnych narzędzi, lecz o bezbłędne wykonywanie fundamentów bezpieczeństwa.

3. Ograniczanie skali szkód i testowanie

Instytucje powinny stosować mechanizmy ograniczające „promień rażenia” incydentu, tak aby włamanie do jednego systemu nie prowadziło automatycznie do rozprzestrzenienia się ataku na całą organizację .

Konieczne są również regularne ćwiczenia red team oraz testy adversarial AI, projektowane specjalnie pod kątem scenariuszy wykorzystujących możliwości modeli frontier .

4. Współpraca ponad granicami

Międzynarodowy Fundusz Walutowy i ESRB wskazują na potrzebę podejścia obejmującego cały ekosystem: regulatorów finansowych, organy cyberbezpieczeństwa, dostawców AI i sektor prywatny . Współpraca powinna być wzmacniana m.in. za pośrednictwem Cyber Expert Group grupy G7 oraz Rady Stabilności Finansowej.

Organy publiczne muszą też zwiększać własne kompetencje w dziedzinie AI i cyberbezpieczeństwa, aby nadążyć za możliwościami sektora prywatnego .

5. Nadzór praktyczny zamiast samych zasad

Europejscy i brytyjscy regulatorzy przesuwają się od samego ustanawiania reguł w stronę praktycznego nadzorowania odporności firm . Skrócone okno między ujawnieniem podatności a atakiem powinno być traktowane jako nowa norma, a umowy dotyczące czasu reakcji na incydenty należy odpowiednio zmienić .

Warto również ocenić, czy obecne progi raportowania oraz wymogi kapitałowe wynikające z DORA i Solvency II wystarczająco uwzględniają ryzyko frontier AI .

To już nie jest scenariusz na przyszłość

Najważniejsza zmiana dotyczy nie samej technologii, lecz tempa. Frontier AI może przyspieszyć zarówno atak, jak i jego skalowanie. Dlatego instytucje finansowe nie mogą ograniczyć się do ogólnych deklaracji dotyczących innowacji i zgodności z przepisami.

Wspólne stanowisko regulatorów jest jasne: potrzebne są odpowiedzialność zarządów, solidna higiena cybernetyczna, inwestycje w narzędzia obronne, ograniczanie zasięgu incydentów oraz ścisła współpraca transgraniczna. Ryzyko cybernetyczne związane z frontier AI nie jest już odległą możliwością. Stało się aktywnym ryzykiem systemowym, które instytucje finansowe muszą uwzględniać już dziś.