Frontier AI став системним кіберризиком для фінансової системи

ESRB закликав органи влади ЄС нарощувати компетентність, технічні спроможності та стратегічну автономію у сфері AI й кібербезпеки. Також рада наголосила на необхідності узгоджених дій постачальників AI, фінансових установ і наглядових органів .

EBA, EIOPA та ESMA підтримали попередження

Того самого дня три європейські наглядові органи — Європейське банківське управління (EBA), Європейське управління зі страхування та професійних пенсій (EIOPA) і Європейське управління з цінних паперів та ринків (ESMA) — спільно підтримали висновки ESRB .

Вони закликали всі фінансові установи, на які поширюється Закон ЄС про цифрову операційну стійкість (DORA), адаптувати кіберзахист і системи управління ризиками інформаційно-комунікаційних технологій до загроз frontier AI. Це стосується банків, страховиків, керуючих активами та інвестиційних компаній .

31 липня EBA, EIOPA та ESMA опублікували нову спільну заяву JC 2026 25. У ній вони закликали до міжсекторального, ризик-орієнтованого та послідовного нагляду за ризиками, пов’язаними з frontier AI . Серед ключових очікувань:

• посилення управління та персональної відповідальності рад директорів за AI-кіберризики;
• постійне оцінювання ризиків і регулярне оновлення рамок управління ІКТ-ризиками;
• спроможність швидко реагувати на інциденти з урахуванням скороченого часу атаки;
• однакові підходи до нагляду в банківському, страховому та інвестиційному секторах .

ЄЦБ вимагає конкретних планів від банків

7 липня Клаудія Бух, голова Наглядової ради Європейського центрального банку, направила листи керівникам усіх значущих установ, які перебувають під наглядом у межах Єдиного наглядового механізму (SSM) .

ЄЦБ закликав банки негайно та проактивно посилити захист від кіберзагроз, що використовують frontier AI, і підготувати конкретні плани дій . За повідомленнями, близько 110 кредиторів мають подати комплексні плани до кінця жовтня 2026 року .

Це важливий сигнал для керівників фінансових установ: питання AI-безпеки вже не можна залишати лише на рівні ІТ-відділу. Воно переходить до порядку денного правлінь, комітетів із ризиків і безпосереднього діалогу з наглядовими органами.

Велика Британія діє паралельно

Британські органи влади вжили низку заходів у близькі строки, посилюючи очікування щодо кіберстійкості фінансового сектору.

Спільна заява Банку Англії, FCA та Мінфіну

15 травня Банк Англії, Управління з фінансового нагляду (FCA) та Міністерство фінансів Великої Британії опублікували спільну заяву щодо frontier AI моделей і кіберстійкості .

Регулятори закликали всі піднаглядні фінансові компанії та інфраструктури фінансових ринків терміново посилити захист. Очікувані дії охоплюють п’ять напрямів:

1. управління та стратегія;
2. управління вразливостями;
3. ризики третіх сторін і постачальників;
4. захист систем;
5. реагування та відновлення .

Водночас заява не створює окремого нового режиму регулювання. Вона підкріплює вже наявні вимоги щодо операційної стійкості та режиму відповідальності керівників і сертифікованих менеджерів .

Банк Англії назвав AI системним ризиком

7 липня Комітет з фінансової політики Банку Англії у своєму піврічному звіті про фінансову стабільність визначив два окремі канали системного ризику, пов’язані з AI: надмірне кредитне плече й концентрацію на ринках, пов’язаних із AI, а також посилені frontier AI кіберзагрози .

Заступниця керівника Банку Англії Сара Бріден припустила, що для автономних AI-агентів можуть знадобитися спеціальні політичні та регуляторні заходи . Reuters окремо повідомив, що британський центробанк наголосив на зростанні вразливості банків до кібератак через AI .

Огляд FCA: AI посилює шахрайство

6 липня FCA опублікувало масштабний огляд використання AI у фінансових послугах. У ньому регулятор дійшов висновку, що AI зробить шахрайство переконливішим, масштабованішим і складнішим для виявлення. Також технологія може прискорити пошук і використання вразливостей у цифровій інфраструктурі фінансових компаній .

Що показують опитування

Регулятори діяли не в інформаційному вакуумі. Дослідження 2026 року свідчать, що загроза швидко зростає, а готовність багатьох компаній залишається недостатньою.

• World Economic Forum — Global Cybersecurity Outlook 2026. 87% респондентів назвали вразливості, пов’язані з AI, кіберризиком, що зростає найшвидше. Частка тих, хто вважає AI-інструменти загрозою для безпеки, майже подвоїлася — з 37% у 2025 році до 64% у 2026-му .
• Gigamon 2026 Hybrid Cloud Security Survey. 77% фінансових компаній, які пережили витік або інше порушення безпеки, повідомили про інцидент із залученням AI. 54% зафіксували зростання атак соціальної інженерії з використанням AI, а 88% заявили, що їхні організації не почуваються достатньо підготовленими до кібератаки, створеної AI .
• KPMG 2026 Banking Technology Survey. 76% банківських керівників повідомили про збільшення кількості кібератак за останній рік. У відповідь 92% банків збільшують бюджети на кібербезпеку, а 84% окремо нарощують інвестиції для протидії ризикам, пов’язаним із AI .
• ProSight 2026 CRO Outlook Survey. 74% директорів із ризиків назвали технологічний і кіберризик головною категорією загроз. За їхніми оцінками, цифровізація та AI розширюють поверхню атаки для зловмисників .
• Cloud Security Alliance — State of Cloud and AI for Financial Services 2026. 20% компаній повідомили про інциденти безпеки, пов’язані з AI. Ще 21% не змогли сказати, чи відбувалися такі інциденти, що вказує на значний дефіцит видимості та моніторингу .
• Опитування Darktrace у фінансовому секторі. 92% респондентів стурбовані наслідками використання AI-агентів у робочих процесах .
• CSI 2026 Banking Priorities Survey. Соціальна інженерія з посиленням за допомогою AI третій рік поспіль стала головною кіберзагрозою для банків .

Подібні сигнали надходять і з-за меж Європи. У червневому звіті про фінансову стабільність Резервний банк Індії назвав кіберзагрози з використанням AI головним ризиком для фінансового сектору країни . За даними DSCI, часовий проміжок для використання вразливості скоротився приблизно з 745 до 44 днів, а вартість атак зменшилася більш ніж на 70% .

Що мають робити фінансові компанії

Рекомендації регуляторів, Міжнародного валютного фонду, галузевих організацій і фахівців зводяться до кількох практичних напрямів.

1. Перенести відповідальність на рівень керівництва

Ризик frontier AI потрібно включити до апетиту компанії до ризику, роботи рад директорів і системи управління ІКТ. Його слід розглядати не як вузько операційну проблему, а як потенційно системну загрозу .

Водночас відповідальність керівників має бути чітко визначена: хтось на рівні топменеджменту повинен відповідати за AI-кіберризик, ресурси та результати тестування .

2. Посилити базову кібергігієну

Регулятори та експерти не радять покладатися лише на нові AI-інструменти захисту. Потрібно стабільно виконувати фундаментальні вимоги:

• швидко встановлювати виправлення безпеки;
• контролювати доступи та привілеї;
• сегментувати мережі;
• впроваджувати архітектуру нульової довіри;
• контролювати залежність від третіх сторін;
• забезпечувати резервування, реагування та відновлення .

3. Готуватися до атак із меншим часом на реакцію

Фінансовим установам потрібні моніторинг мереж у реальному часі, якісна видимість цифрової інфраструктури та захисні AI-інструменти. Компанії з прогалинами у видимості, за даними досліджень, значно частіше стикаються з AI-підсиленими атаками .

Також рекомендується застосовувати обмеження «радіуса ураження» — технічні та організаційні бар’єри, які не дають одному інциденту швидко поширитися на всю компанію або пов’язані установи . Регулярні командно-штабні навчання, red teaming і adversarial testing мають включати сценарії атак із використанням frontier AI .

4. Координуватися за межами однієї компанії

МВФ і ESRB підтримують підхід, за якого разом працюють фінансові регулятори, органи кібербезпеки, державні структури та розробники AI . Міжнародна координація також має посилюватися через такі майданчики, як Група кіберекспертів G7 і Рада з фінансової стабільності. Окреме завдання — нарощувати експертизу державного сектору, щоб він не відставав від приватних компаній у розумінні можливостей frontier AI .

5. Переглянути нормативні пороги

Скорочення часу між появою вразливості та атакою означає, що старі строки реагування можуть бути недостатніми. Компаніям варто переглянути угоди про рівень обслуговування для реагування на інциденти, а регуляторам — оцінити, чи повністю чинні пороги повідомлення, вимоги DORA та норми Solvency II враховують ризики frontier AI .

Новий етап для нагляду

Головний висновок європейських і британських регуляторів простий: frontier AI більше не є віддаленим сценарієм майбутнього. Це вже активний системний кіберризик.

Відповідь на нього не зводиться до придбання ще одного інструменту на базі AI. Фінансовим компаніям потрібні сильне корпоративне управління, бездоганна базова кібергігієна, швидке реагування, контроль над постачальниками та постійне тестування. А регуляторам — тісна транскордонна координація й перехід від загальних правил до практичного нагляду за тим, як саме установи витримують AI-підсилені атаки.