Het Amerikaanse Office of the Comptroller of the Currency (OCC), de toezichthouder die nationale banken supervisieert, heeft zijn eerste toezichtskader voor kunstmatige intelligentie in het bankwezen uitgegeven, waarbij examinatoren minder moeten letten op hoe krachtig een AI-systeem is en meer op wat er gebeurt als het een fout maakt.

Het kader van 22 pagina's, uitgegeven als OCC Bulletin 2026-54 en begeleid door een persbericht, waarschuwt in een sectie over operationele veerkracht dat externe agents die worden beheerd door klanten, fintechs of andere bedrijven risico's kunnen creëren voor banken, zelfs wanneer de banken die systemen niet beheren. De toezichthouder heeft de uitgifte van het kader niet gekoppeld aan specifieke incidenten, maar het verschijnt te midden van toenemende zorgen in de sector over ongeautoriseerde AI-agents die actief zijn in klantrekeningen.

Gevolgen boven geavanceerdheid

De kern van het document is het onderscheid tussen de technische geavanceerdheid van een AI-systeem en de schade die het kan aanrichten. Een eenvoudige agent die is gemachtigd om financiële transacties te initiëren, kan een groter risico vormen dan een geavanceerder model dat beperkt is tot het schrijven van interne documenten, aldus de toezichthouder. Het onderscheid weerspiegelt hoe agentsoftware verschilt van conventionele tools: in plaats van alleen tekst te produceren, nemen agents acties in gekoppelde systemen, waardoor de potentiële schade bij falen groeit met de machtigingen die ze hebben.

Onder het kader kunnen examinatoren rekening houden met de gevolgen van falen, of een actie ongedaan kan worden gemaakt en hoeveel controle mensen over het systeem behouden. De instantie schetst vier illustratieve risicoklassen: volledig autonome betaalagents en realtime kredietbeslissystemen vallen in de hoogste categorie, terwijl basale interne productiviteitstools in de laagste zitten.

Systemen met een hoger risico kunnen strengere beperkingen op autonomie, onafhankelijke tests en menselijke goedkeuring rechtvaardigen voordat gevolgrijke acties mogen worden uitgevoerd.

Het kader gaat ook in op AI-systemen die blijven opereren terwijl ze schadelijke beslissingen nemen. Voorgestelde maatregelen omvatten circuit breakers, snelheidslimieten, beperkte machtigingen en noodstop-controles.

AI-agents van derden in focus

De richtlijn suggereert dat examinatoren maatregelen overwegen zoals identiteitsverificatie, gedelegeerde machtigingen, transactielimieten, monitoring en de mogelijkheid om toegang op te schorten of in te trekken. Het heeft tot doel een dilemma aan te pakken waarmee banken al worden geconfronteerd: hoe klanten AI-assistenten kunnen laten gebruiken om hun financiën te beheren zonder autonome software onbeperkte toegang tot rekeningen te geven.

Het kader verscheen minder dan twee weken nadat berichten naar buiten kwamen dat grote banken ongeautoriseerde AI-agents van derden ontdekten die actief waren in klantrekeningen, soms met acties die leken te gaan verder dan de instructies van gebruikers. Volgens een rapport van Axios op 22 oktober blokkeerde Morgan Stanley externe agents, terwijl JPMorgan, Bank of America en Citi de toegang beperkten. Bankbestuurders omschreven de situatie als "schrikbarend", wat vragen oproept over wie een autonome agent beheerst zodra deze toegang heeft tot iemands geld.

Die overwegingen zijn bijzonder relevant voor de externe agents die in het eerdere berichtgeving van Axios werden beschreven, waarin banken moeite hadden om legitieme, door de klant geautoriseerde software te onderscheiden van systemen die buiten hun beoogde machtigingen opereerden.

Richtlijn, geen nieuwe bankregels

De OCC benadrukte dat het kader niet-bindend is en geen nieuwe regulatoire vereisten of afdwingbare normen voor banken creëert. In plaats daarvan geeft het examinatoren een manier om AI te evalueren binnen bestaande risicocategorieën voor operationeel beleid, compliance en cybersecurity, en banken hoeven geen aparte AI-risicocategorie in te stellen. Het biedt voorbeelden van maatregelen met betrekking tot autonome betalingen, toegang van derden en menselijk toezicht. Niet-bindend betekent niet zonder betekenis: OCC-examinatoren beoordelen banken tijdens routineonderzoek aan de hand van dit soort documenten, dus de voorgestelde maatregelen kunnen praktisch gewicht hebben zonder formele regels.

Het kader dekt AI die wordt gebruikt in betalingen, fraudedetectie, klantenservice en andere bankactiviteiten, en strekt zijn risicooverwegingen uit tot externe AI-agents die verbinding maken via bankkanalen.

Opmerkelijk is dat het document de verplichte term "Super Intelligence" gebruikt — taalgebruik waar de regering van Donald Trump op aandringt in plaats van "artificial intelligence", in lijn met een presidentiële actie van het Witte Huis uit september — maar de reikwijdte omvat conventionele AI en "autonome agents" in plaats van alleen hypothetische systemen met intelligentie die de menselijke capaciteiten te boven gaat.

De OCC heeft aangegeven de richtlijn te willen bijwerken naarmate de technologie zich ontwikkelt. Voorlopig plaatst de illustratieve risicoschaal autonome betaalagents in de categorie met het hoogste risico, ongeacht hoe goed ze presteren in tests. Hoe examinatoren die klassen in de praktijk toepassen — met name op de agents van derden die banken in klantrekeningen aantreffen — is het detail om in de gaten te houden naarmate de richtlijn zich ontwikkelt.

Dit verhaal werd oorspronkelijk gemeld door Decrypt.