Tilsyn advarer om AI, der finder sårbarheder hurtigere
Den 31. juli 2026 opfordrede de tre europæiske tilsynsmyndigheder EBA, EIOPA og ESMA til strammere styring og mere ensartet tilsyn med avanceret AI i den finansielle sektor. To dage senere beskrev PYMNTS, hvordan de samme modeller presser tidsrummet mellem fund og udnyttelse af en sårbarhed sammen.
Den 31. juli 2026 offentliggjorde de tre europæiske tilsynsmyndigheder EBA, EIOPA og ESMA en fælles erklæring om IKT-risici ved avancerede AI-modeller i den finansielle sektor. Kernen: styringen omkring brugen af disse modeller skal strammes, og tilsynet med dem skal blive mere ensartet på tværs af medlemsstaterne. Myndighederne vælger udtrykkeligt en risikobaseret og tværsektoriel tilgang og henviser til Europa-Kommissionens handlingsplan for cybersikkerhed og AI.
Hvorfor nu
Erklæringen kommer ikke ud af det blå. Den 3. august 2026 beskrev PYMNTS, hvordan avancerede AI-modeller kraftigt formindsker tidsrummet mellem, at en sårbarhed findes, og at den udnyttes. Hvor en forsker før brugte uger på en enkelt kodebase, kan en model i dag gennemløbe tusindvis af projekter på jagt efter implementeringsfejl. Sidste uges Coldcard-hul, hvor en fejlkonfigureret bygning undergravede entropien i seedgenereringen, er præcis den type fejl, der dukker op på den måde.
Scott Aaronson, videnskabelig rådgiver hos StarkWare, formulerede det lige ud i samme artikel: tidspunktet at tænke på migration til kvantesikker kryptering er nu, ikke senere.
Hvor DORA kommer ind
For sektoren hænger det direkte sammen med DORA. Den forordning pålægger finansielle virksomheder at styre deres IKT-risici påviseligt og bringer kritiske eksterne IKT-leverandører under direkte europæisk tilsyn. En AI-model, der bruges til kodegennemgang, svindeldetektion eller kundekontakt, falder i praksis ind under det. Tilsynene gør det klart, at indkøb af en sådan model ikke flytter ansvaret.
Samme linje gælder for CASP under MiCA. Har man en tilladelse i EU, skal den operationelle modstandskraft være i orden, leverandører inklusive.
Hvad det ikke er
Det er hverken en ny regel eller en høring. Det er et fælles signal om, hvor tilsynet kommer til at kigge hen i den kommende tid. Konkrete pligter følger af DORA og AI-forordningen, ikke af denne erklæring.
Hvad du får ud af det
Som privat bruger mærker du intet til dette tilsyn direkte, men retningen er brugbar. Gå ud fra, at tiden mellem en sårbarhed bliver offentlig, og at den udnyttes, bliver kortere, ikke længere. Det betyder: lad ikke firmwareopdateringer til wallets og enheder ligge i ugevis, og sikr ved et meldt hul først din saldo, og find derefter ud af, om du overhovedet hører til den ramte gruppe. Arbejder du i en virksomhed omfattet af DORA, er det nu, du skal kortlægge AI-leverandørerne i din kæde, før tilsynet spørger.
Kilder: EBA, EIOPA og ESMA (fælles erklæring, 31. juli 2026), PYMNTS (3. august 2026), forordning (EU) 2022/2554 (DORA). Sidst kontrolleret: 6. august 2026.