BCE evaluează planurile băncilor împotriva atacurilor cibernetice amplificate de AI, în timp ce 85% folosesc AI generativă

Banca Centrală Europeană evaluează planurile de apărare ale băncilor împotriva atacurilor cibernetice amplificate de inteligența artificială, după termenul de transmitere din 31 octombrie. Instituția confirmă această etapă în contribuția publicată pentru reuniunea Eurogrupului din 9 noiembrie 2026. Riscul privește un sector în care peste 90% dintre băncile supravegheate direct de BCE folosesc AI, iar 85% utilizează AI generativă, potrivit datelor prezentate în septembrie. Separat, BCE estimează expunerile directe de creditare către firme asociate dezvoltării AI la aproximativ 62 de miliarde de euro și urmărește legăturile dintre riscurile tehnologice și cele financiare.

Banca Centrală Europeană a prezentat evaluarea prin contribuția Claudiei Buch, președinta Consiliului de supraveghere, la schimbul de opinii cu Eurogrupul. Analiza privește atât capacitatea băncilor de a folosi noile tehnologii, cât și protecția serviciilor esențiale atunci când aceleași tehnologii sunt utilizate împotriva lor.

Amploarea utilizării AI explică de ce supraveghetorul tratează riscul ca pe o problemă a întregului sector. Peste 90% dintre băncile supravegheate direct de BCE folosesc inteligența artificială, iar 85% utilizează AI generativă, potrivit datelor de supraveghere prezentate de Claudia Buch la 22 septembrie și reluate în documentul din noiembrie. Aceste procente descriu adoptarea tehnologiei, nu rezultatele verificării planurilor cibernetice.

Utilizarea AI nu se limitează la aplicații de conversație sau la redactarea documentelor. Băncile folosesc asemenea tehnologii pentru detectarea fraudelor, prevenirea criminalității cibernetice, evaluarea creditelor, analiza documentelor, relația cu clienții și automatizarea operațiunilor. Potrivit datelor prezentate în septembrie, 64% dintre instituțiile supravegheate utilizează AI pentru prevenirea fraudelor și a infracțiunilor cibernetice. Automatizarea poate reduce costurile și poate accelera procesarea informațiilor, dar depinde de calitatea datelor, de controlul sistemelor și de capacitatea personalului de a verifica rezultatele.

Modelele AI avansate, denumite frontier AI, pot însă accelera și atacurile. BCE arată că ele identifică vulnerabilități software și produc metode funcționale de exploatare cu o viteză fără precedent. Scrisoarea din iulie descrie o amplificare a vitezei și a dimensiunii unor riscuri existente, prin scurtarea intervalului dintre descoperirea unei vulnerabilități și folosirea ei împotriva unei instituții.

Pentru o bancă, această accelerare schimbă modul în care trebuie organizată securitatea informatică. Procedurile tradiționale, care presupun perioade lungi între identificarea problemelor și instalarea actualizărilor de protecție, pot deveni insuficiente. Sistemele de plăți, aplicațiile accesibile pe internet, interfețele folosite de clienți și infrastructura administrată de furnizori externi pot fi expuse unor atacuri mai rapide și mai complexe. O defecțiune importantă poate afecta accesul la conturi, executarea plăților sau disponibilitatea unor servicii esențiale, chiar dacă banca nu are probleme imediate de capital.

Prin scrisoarea adresată directorilor băncilor semnificative la 7 iulie, Claudia Buch a cerut planuri de acțiune cu măsuri concrete, resurse, responsabilități și termene de implementare. Prioritățile imediate sunt corectarea mai rapidă a vulnerabilităților, îmbunătățirea monitorizării și a capacităților defensive și verificarea furnizorilor IT. O atenție specială revine sistemelor accesibile din exterior, infrastructurilor cloud și componentelor software terțe, inclusiv celor open-source.

AI poate fi folosită și defensiv, pentru identificarea problemelor și gestionarea unor volume mai mari de alerte. BCE precizează însă că utilizarea unor asemenea instrumente trebuie precedată de evaluarea beneficiilor și riscurilor și însoțită de validare, control uman și garanții adecvate. Un instrument de apărare intră, la rândul său, în responsabilitatea conducerii și în cadrul de gestionare a riscurilor al băncii.

Anexa scrisorii oferă exemple de măsuri pe care băncile le pot lua în considerare: modernizarea infrastructurii vechi, segmentarea rețelelor, autentificarea cu mai mulți factori, limitarea drepturilor de acces și testarea sistemelor de rezervă și recuperare. Sunt avute în vedere exerciții cu atacuri rapide și de mare amploare, ransomware, compromiterea lanțurilor de aprovizionare și întreruperi ale serviciilor cloud. Exemplele trebuie adaptate riscurilor instituției; anexa nu transformă fiecare opțiune tehnică într-o obligație nouă identică pentru toate băncile.

Responsabilitatea pentru aceste măsuri revine conducerii băncilor, nu numai departamentelor IT. Scrisoarea din iulie cere evaluarea resurselor financiare, a personalului, a sistemelor de control și a nivelului de risc pe care instituția este dispusă să îl accepte. În cazul unor vulnerabilități semnificative, conducerea trebuie să stabilească priorități și termene de remediere. BCE urmărește astfel ca securitatea cibernetică să fie tratată drept o componentă a strategiei și a continuității afacerii bancare.

Dependența de furnizorii externi ocupă un loc distinct în evaluare. Băncile utilizează servicii cloud, programe specializate, centre de procesare a datelor și soluții de securitate dezvoltate de alte companii. Acest model poate reduce costurile și poate facilita adoptarea tehnologiilor noi, dar poate crea dependențe comune pentru mai multe instituții. Dacă un furnizor critic este afectat de o vulnerabilitate sau de o întrerupere, consecințele pot depăși o singură bancă. Din acest motiv, BCE solicită verificarea capacității furnizorilor de a identifica și corecta rapid problemele, inclusiv prin obligațiile contractuale.

Cadrul juridic este deja stabilit prin Regulamentul privind reziliența operațională digitală a sectorului financiar, cunoscut drept DORA, aplicabil din 17 ianuarie 2025. Acesta acoperă gestionarea riscurilor IT, raportarea incidentelor majore, testarea rezilienței și relațiile cu furnizorii terți de tehnologie. Solicitarea BCE se înscrie în aceste responsabilități existente; documentul prezentat Eurogrupului este o evaluare de supraveghere, fără să adopte un regulament nou.

Planurile trebuiau transmise echipelor comune de supraveghere până la 31 octombrie. BCE afirmă că le evaluează acum pentru a identifica domeniile care necesită îmbunătățiri și pentru a transmite sectorului observații și exemple de bune practici. Echipele vor discuta măsurile cu băncile și vor urmări implementarea. Pentru a permite concentrarea resurselor asupra acestor priorități, termenul chestionarului anual de risc IT a fost mutat din septembrie 2026 în februarie 2027.

Evaluarea include și expunerea financiară la dezvoltarea AI. Pe baza datelor AnaCredit pentru trimestrul al doilea din 2026, BCE estimează creditarea asociată acestui sector la aproximativ 62 de miliarde de euro, echivalentul a 1,2% din totalul expunerilor corporative angajate ale băncilor din zona euro. Cifra măsoară expuneri de creditare, nu pierderi sau credite declarate neperformante.

Selecția urmărește companii asociate dezvoltării AI prin categorii de activități economice care includ centre de date, semiconductori și dezvoltatori de software. Expunerile angajate includ finanțarea utilizată și angajamentele de creditare din baza de raportare. Estimarea nu reprezintă totalul investițiilor europene în AI și nici întreaga finanțare disponibilă sectorului.

BCE precizează că unele centre de date sunt încadrate la activități imobiliare și nu apar în selecția utilizată. Sunt excluse și finanțările indirecte, inclusiv cele prin entități cu scop special. Cele 62 de miliarde de euro descriu astfel o categorie delimitată de expuneri directe la jumătatea anului, fără să ofere o măsură completă a tuturor legăturilor financiare cu industria AI.

BCE apreciază că băncile semnificative din zona euro joacă deocamdată un rol relativ redus în finanțarea directă a companiilor din lanțul AI. Totuși, dezvoltarea sectorului este finanțată și prin fonduri de credit privat și alți intermediari nebancari. Dacă unele companii acumulează datorii ridicate, iar veniturile proiectelor nu evoluează potrivit așteptărilor, dificultățile se pot transmite către instituțiile financiare prin relații de finanțare, investiții sau schimbări ale condițiilor generale de piață. Această posibilitate este un risc monitorizat, nu constatarea unei crize deja produse.

Sectorul bancar intră în această etapă cu poziții de capital și lichiditate pe care BCE le consideră robuste. Tabelul anexat contribuției arată, pentru toate instituțiile din supravegherea bancară europeană, inclusiv cele mai puțin semnificative, active totale de 34.449,39 miliarde de euro în trimestrul al doilea din 2026, o rentabilitate anualizată a capitalurilor proprii de 10,07% și o rată CET1 de 16,62%. Pentru băncile semnificative, supravegheate direct de BCE, valorile sunt diferite: active de 29.468,59 miliarde, rentabilitate de 10,73% și CET1 de 16%. Sunt agregate pentru grupurile respective, nu valori aplicabile fiecărei bănci și nici statisticile consolidate pentru întregul sector bancar al UE.

Soliditatea actuală nu elimină riscurile viitoare. Claudia Buch observă că nivelurile ridicate ale datoriei publice pot limita capacitatea guvernelor de a răspunde unor șocuri, în timp ce costurile de finanțare ale băncilor sunt influențate de evoluția dobânzilor și a piețelor obligațiunilor suverane. Companiile expuse la prețuri mai mari ale energiei și la lanțuri de aprovizionare fragile pot întâmpina dificultăți de rambursare. Împreună cu riscurile tehnologice, aceste evoluții explică de ce autoritățile urmăresc simultan calitatea creditelor, dependențele de finanțarea nebancară și capacitatea operațională de a face față unor întreruperi.

În evaluarea prezentată aceleiași reuniuni, Comitetul Unic de Rezoluție, SRB, avertizează că atacurile cibernetice și întreruperile IT sau ale infrastructurilor critice pot amenința continuitatea serviciilor bancare chiar și atunci când băncile sunt solide financiar. Autoritatea arată că pregătirea pentru crize s-a îmbunătățit, dar că există în continuare lacune ale cadrului european, în special privind lichiditatea și solvabilitatea.

BCE își digitalizează și propriile procese de supraveghere, inclusiv prin instrumente AI. În bilanțul mai larg al reformelor, instituția raportează reducerea duratei aprobărilor pentru anumite tranzacții de capital și securitizări de la câteva luni la aproximativ două săptămâni, cu condiția respectării standardelor prudențiale. A întrerupt și utilizarea a 40 din circa 100 de ghiduri, rapoarte, scrisori și metodologii; numărul de referință exclude documente deja identificate drept depășite.

Pentru Claudia Buch, reducerea complexității nu trebuie să slăbească mecanismele de protecție a sistemului bancar. BCE susține armonizarea regulilor naționale, o integrare mai profundă a pieței bancare și completarea uniunii bancare, inclusiv printr-un cadru european de garantare a depozitelor și soluții de asigurare a lichidității în rezoluție. Acestea sunt direcții de reformă instituțională, nu măsuri adoptate prin reuniunea Eurogrupului din 9 noiembrie. Instituția insistă și asupra păstrării standardelor internaționale de capital și a independenței autorităților de supraveghere.

În contribuția către Eurogrup, Buch subliniază că supravegherea este neutră față de tehnologia aleasă de bănci, dar cere instituțiilor să înțeleagă riscurile și să poată furniza servicii critice în timpul întreruperilor. Digitalizarea trebuie integrată într-o strategie pe termen lung, cu sisteme informaționale fiabile, guvernanță, gestionarea riscurilor și bugete suficiente. Pentru clienți, miza este continuitatea plăților și a accesului la servicii, alături de beneficiile automatizării și ale detectării mai rapide a fraudelor.

Pentru România, obligațiile europene și sfera supravegherii directe trebuie distinse. România nu participă la Mecanismul unic de supraveghere, astfel că băncile de pe piața românească nu devin automat destinatari direcți ai scrisorii BCE. DORA se aplică însă instituțiilor financiare românești care intră în domeniul regulamentului, iar grupurile bancare supravegheate de BCE pot avea filiale și sucursale în România, cu politici de risc și dependențe tehnologice comune. Documentul nu oferă procente separate de utilizare a AI sau expuneri distincte pentru România.

Analiza planurilor și dialogul cu băncile reprezintă etapa următoare a supravegherii, nu încheierea verificărilor. Contribuția din 9 noiembrie nu publică rezultate individuale ori sancțiuni. Pentru deficiențele semnificative, BCE spune că își poate intensifica intervenția prin instrumentele de supraveghere existente, astfel încât remedierea să aibă loc într-un calendar clar.