Inteligența artificială – instrument strategic sau trivial în domeniul financiar-bancar?

Președinta Consiliului de Supraveghere al Băncii Centrale Europene (BCE), Claudia Buch, în calitate de semnatară a scrisorii deschise SSM-2026-0301 din 7 iulie 2026[1], îndeamnă conducerile instituțiilor bancare semnificative să acorde o atenție deosebită modului de abordare a amenințărilor cibernetice bazate pe inteligența artificială (IA). În conținut, este relevată evoluția accelerată a IA care nu introduce riscuri complet noi, dar, care, prin dinamica utilizării sale (de către personalul care nu ar cunoaște temeinic consecințele acțiunilor sale și, în special, de către atacatorii rău intenționați), amplifică semnificativ viteza de propagare și amploarea cu care riscurile IT&C se materializează.

Fundamentată pe unele dintre formele de manifestare a sistemelor de IA, ca urmare a progresului înregistrat în tehnologiile emergente, cu impact major sau chiar critic de transformare a peisajului amenințărilor la adresa securității cibernetice pentru instituțiile financiare (de exemplu, identificarea vulnerabilităților software sau de natură umană, exploatarea identităților compromise și dezvoltarea unei criminalități digitale puternic industrializată, cu o viteză fără precedent), scrisoarea BCE pune accentul pe modalitățile specifice prin care IA amplifică riscurile existente și noii vectori de atac pe care îi facilitează, dar, în egală măsură, și pe provocările de ordin defensiv pe care le generează.          Din această perspectivă, sistemele de guvernanță și control trebuie consolidate, fiind subliniat și faptul că ”responsabilitatea pentru răspunsul la mediul de risc cibernetic aflat în evoluție revine în principal organelor de conducere ale băncilor”. Concomitent, cerințele Regulamentului privind reziliența operațională digitală (DORA) trebuie să se reflecte prin măsuri solide de gestionare a riscurilor ICT, a vulnerabilităților existente și prefigurate, precum și care să îmbunătățească monitorizarea și să asigure reziliența operațională.

Recomandările BCE, prezentate atât în scrisoarea principală, cât și în anexele acesteia, se concentrează pe enunțarea unor măsuri concrete pe care instituțiile financiare le pot adopta pentru a-și consolida securitatea cibernetică și reziliența operațională, ca răspuns la amenințările generate de inteligența artificială, care evoluează rapid și, pe cale de consecință, favorizează creșterea numărului de atacuri sofisticate. În acest sens, reclamă elaborarea și transmiterea unui plan de acțiune cuprinzător, până la 31 octombrie 2026, cu alocarea resurselor necesare, clarificarea responsabilităților și stabilirea unor termene clare de implementare a cerințelor legale care să demonstreze conformitatea cu DORA și să răspundă la amenințările cibernetice facilitate de IA.

Totodată, prelungirea termenului pentru completarea Chestionarului de Risc IT, din septembrie 2026 în februarie 2027, nu este o simplă amânare birocratică, ci reprezintă o oportunitate critică de calibrare pentru managementul instituțional și o relaxare tactică oferită cu un scop precis: alinierea perfectă a conformității cu execuția tehnică.

1. Instabilitatea structurală și fragmentarea tehnologică

Starea actuală a economiei globale și a piețelor financiare este marcată de instabilitate structurală și riscuri cibernetice majore pentru bănci și instituții financiare, astfel cum rezultă și din rapoartele periodice de stabilitate financiară publicate de instituții internaționale de referință[2], având ca principale cauze și forme de manifestare:

• rupturile geopolitice, marcate de tensiunile comerciale și politice care fragmentează piețele globale și lanțurile de valoare (aprovizionare);
• divergențele tehnologice, prin care standardele IT și ecosistemele digitale se separă pe regiuni și, ca urmare, limitează interoperabilitatea la nivel sistemic;
• presiunile macroeconomice, care confirmă că incertitudinile persistente afectează deciziile de investiții pe termen lung ale companiilor;
• vulnerabilitatea pieței muncii, pe fondul tranziției digitale accelerate care schimbă cerințele de competențe și structura locurilor de muncă.

Această dinamică, a actualului climat nefavorabil unei devoltări economice sănătoase, suplimentar, este alimentată de apariția noilor blocaje economice și de standarde tehnologice divergente între marile puteri (Uniunea Europeană, Statele Unite ale Americii, China și Rusia) care, la rândul lor, denotă o fragmentare tehnologică ce are, în esență, următoarele efecte strategice necompetitive:

• costuri ridicate pentru adaptarea la noile reglementări și dezvoltarea de sisteme paralele care cresc cheltuielile operaționale;
• reorientarea investițiilor, astfel încât capitalul să fie mutat spre măsuri/zone de securitate (siguranță) sau infrastructură critică și inteligență artificială;
• autonomie strategică, prin care statele și marile companii caută independența tehnologică și lanțuri scurte de aprovizionare.

În acest context, argumentele și tendințele din whitepaper-ul recent publicat de prima platformă europeană de gestionare a tranzacțiilor digitale[3], Intitulat „Regândirea încrederii digitale: conformitate și suveranitate în era noilor riscuri”[4] relevă principalele orientări în materie de încredere digitală în Europa și strategii practice pentru adoptarea conformității digitale la nivel organizațional.

Astfel, reziliența digitală trebuie să se bazeze pe transformarea conformității și a securității cibernetice în avantaje competitive sustenabile, prin trecerea de la o abordare reactivă, bazată strict pe bifarea unor cerințe legale, la o strategie proactivă care generează încredere, loialitate și diferențiere pe piață, pornind de la realitatea actuală, în care:

• organizațiile europene operează într-un mediu marcat de instabilitate geopolitică, fiind obligate să acționeze pentru reevaluarea urgentă a lanțurilor de aprovizionare tehnologice și strategice;
• dependența de infrastructuri critice controlate de actori externi transformă vulnerabilitățile tehnice în riscuri directe de securitate națională și continuitate a afacerilor, în timp ce dependența de furnizorii critici non-europeni (cloud, infrastructură, IA) expune organizațiile la riscul aplicării legilor extrateritoriale (Cloud Act SUA – permite autorităților americane să solicite date stocate de companii din SUA, chiar dacă serverele se află fizic în Europa), vulnerabilități operaționale (întreruperea lanțurilor de aprovizionare sau deciziile politice unilaterale pot bloca accesul la servicii esențiale de Cloud sau IA) și de suveranitate digitală (stocarea datelor critice în afara UE oferă putere disproporționată marilor monopoluri tehnologice – hyperscalers – și facilitează pierderea controlului economic);
• fragmentarea tehnologică este pregnantă (există standarde tehnice divergente și ecosisteme software incompatibile), iar această separare blochează inovația transfrontalieră și crește masiv costurile de integrare;
• utilizarea IA în mod haotic și/sau de către personalul neinstruit adecvat accelerează procesele, pe de o parte, dar introduce și riscuri noi, pe de altă parte (deepfake, documente sintetice, contracte neconforme și neaplicabile, atacuri automate, dificultăți de audit și trasabilitate etc.), sens în care organizațiile trebuie să poată demonstra oricând că sistemele IA și infrastructura digitală sunt conforme, sigure și supravegheate;
• cadrul legislativ recent (IA Act, DORA, NIS2, GDPR) impune cerințe stricte privind transparența algoritmică, auditabilitatea, supravegherea umană, protecția datelor cu caracter personal și reziliența operațională, în timp ce ”inflația” reglementărilor europene incidente sau complementare (eIDAS 2.0, PSD2, AMLR, Digital Markets Act – DMA[5], Digital Services Act – DSA[6], Regulamentul privind Subvențiile Străine – FSR[7]) este în creștere și incumbă implementarea de soluții moderne (automatizate, pentru interoperabilitate) care, integrate nativ în procesele organizației, nu sunt doar bariere de protecție, ci devin chiar infrastructura de performanță și diferențiere pe piață în era IA și a riscurilor geopolitice.

În plus, transformarea conformității (compliance) și a securității cibernetice din obligații birocratice în diferențiatori de piață le-ar permite entităților FinTech (prin agilitate și  „Compliance by Design”[8]) și autorităților de reglementare (BNR și/sau ASF ca ”facilitatori ai inovării”) să atingă obiectivul suprem al modernizării ecosistemului financiar românesc, astfel încât:

• să genereze încredere, să atragă investitori și să accelereze inovația digitală sigură într-un cadru sustenabil, prin reglementare proactivă (pentru anticiparea riscurilor emergente, standardizarea ex-ante, clasificarea sistemelor pe niveluri de risc etx.), standardizare unitară (pentru reducerea incertitudinii juridice și a decalajului procedural și/sau tehnologic, însă, facilitând mediul concurențial), eficiență administrativă (prin digitalizarea fluxurilor de raportare scade birocrația pentru instituțiile supravegheate);
• să creeze și să dezvolte ”competitive intelligence” ca resursă strategică[9], cu accent pe educație, formare, certificare și integrare instituțională, la nivelul comunității financiar-bancare din România pentru relevarea avantajelor competitive sustenabile: reputație și transparență (încrederea sporită a consumatorilor rerezintă cel mai valoros activ pe termen lung), reziliența la criză (reducerea riscurilor de breșe de securitate sau de sancțiuni legale) și atractivitate pentru capital (fondurile de investiții preferă entitățile cu un profil de risc solid și guvernanță corporativă maturizată).

Prin urmare, integrarea IA în mod sistematic, la nivel sistemic (nemaifiind un simplu instrument tehnologic, ci devinind însăși arhitectura centrală de funcționare a capabilităților de business), precum și integrarea controalelor de securitate în arhitectura digitală a instituțiilor financiare (realizată ca o capabilitate nativă, structurală și automatizată, eliminând abordarea tradițională de tip barieră adăugată ulterior), conform principiilor BCE și reglementărilor europene, poate transforma riscurile în avantaje competitive.

2. Amenințările de securitate cibernetică bazate pe inteligența artificială

Analiza realizată mai sus arată că, în contextul fragmentării tehnologice globale, al tensiunilor geopolitice și al accelerării reglementărilor europene, conformitatea nu mai este doar o obligație, ci devine un avantaj competitiv pentru organizațiile care o integrează strategic.

Revenind la scrisoarea BCE, temele centrale din conținutul acesteia relevă modul în care amenințările la adresa securității cibernetice facilitate de IA remodelează cadrele de conformitate reglementară. Cadrele de conformitate devin tot mai dinamice, bazate pe tehnologie și proactive, punând un accent puternic pe rapiditate, reziliență și integrarea unor măsuri de control specifice inteligenței artificiale. Instituțiile trebuie să se adapteze prin actualizarea guvernanței, accelerarea proceselor operaționale și alinierea la cele mai bune practici internaționale.

Din această perspectivă, consolidarea securității digitale și răspunsul la incidentele de securitate ar necesita accelerarea și extinderea cerințelor de conformitate. Însă, până la actualizarea/completarea cadrelor de conformitate[10], corelarea dintre raportarea incidentelor IA și cerințele DORA s-ar baza pe principiul că orice sistem IA utilizat într-o bancă sau instituție financiară este clasificat tehnic drept capabilitate (sistem) TIC[11] și, prin urmare, raportarea unei breșe de securitate sau a unei disfuncționalități generate de un algoritm IA se va realiza prin canalele și termenele ultra-rapide impuse de DORA (de ex. BNR/ASF/DNSC), integrând simultan criteriile de risc etic și tehnic din EU AI Act[12].

Dincolo de aspectele și tendințele evidențiate explicit sau abordate pe deplin în documentul Consiliului de Supraveghere al BCE, relevăm câteva riscuri și realități operaționale omise, dar care pot afecta securitatea cibernetică bazată pe IA la nivel organizațional, și anume:

3. În loc de concluzie

Inteligența Artificială (IA) este paradigma supremă a tehnologiei cu dublă utilizare (dual-use). Dualitatea de ”armă cu două tăișuri” a IA explică motivul pentru care autoritățile de reglementare europene abordează cu rigoare această tehnologie, mai mult decât oricare tehnologie emergentă.

Potrivit și avertismentelor Comitetului European pentru Risc Sistemic (ESRB) privind riscul cibernetic sistemic[13], emise în aceeași perioadă cu îndrumările BCE, prin coroborare și cu cerințele regulamentului DORA, se impune utilizarea inteligenței artificiale atât ca vector de atac, cât și ca scut defensiv în sectorul bancar european (mizele fiind sistemice, iar ”continuitatea activității” depinzând de capacitatea instituțiilor financiare de a rula instrumente de apărare mai rapide și mai inteligente decât cele ale atacatorilor). De altfel, Regulamentul privind Inteligența Artificială nu interzice utilizarea IA în apărare, dar reclamă o supraveghere umană obligatorie (human oversight[14]) pentru a preveni deciziile autonome eronate ale sistemelor de securitate.

Pe cale de consecință, îmbunătățirea detectării amenințărilor prin intermediul inteligenței artificiale în sectorul financiar necesită o abordare pe mai multe niveluri, cum ar fi combinarea unor instrumente avansate de IA, a unor procese operaționale solide, asigurarea unei guvernanțe mai solide și a expertizei umane (prin instruirea continuă a personalului și colaborarea la nivelul întregului sector). La aceasta se adaugă și o abordare proactivă, bazată pe informații relevante și operative (intelligence-driven), atât în ceea ce privește tehnologia, cât și procesele, pentru a anticipa amenințările care evoluează rapid, testate riguros, în mod continuu și adaptiv.

Este de menționat faptul că, trecerea de la o inteligență artificială aplicată în sarcini punctuale la o viziune strategică riscă să devină trivială, la rândul său (prin omiterea deciziilor oportune, neoriginale și lipsite de profunzime), dacă ecosistemul financiar-bancar trece cu vederea și ignoră semnalele transmise de autoritățile de reglementare la nivel european și internațional, precum și dacă sistemele care utilizează IA se limitează doar la rezolvarea stereotipurilor cotidiene și la procesarea automată a datelor, fără o înțelegere conceptuală reală.

[1] https://www.bankingsupervision.europa.eu/press/letterstobanks/shared/pdf/2026/ssm.2026_letter_on_AI_enabled_cybersecurity_threats.en.pdf

[2] Global Financial Markets Confront the War in the Middle East and Amplification Risks, aprilie 2026, https://www.imf.org/en/publications/gfsr/issues/2026/04/14/global-financial-stability-report-april-2026

[3] Platforma Namirial, https://www.namirial.com/ro/compania/cine-suntem

[4] Rethinking Digital Trust – Compliance and Sovereignty in the Age of New Risks, https://www.signaturit.com/resources/whitepaper-digital-trust-compliance-sovereignty/

[5] Impune reguli stricte pentru platformele de tip „gatekeeper” (Google, Apple, Microsoft, Amazon), interzicându-le să își favorizeze propriile servicii în detrimentul concurenților mai mici, https://eur-lex.europa.eu/eli/reg/2022/1925/oj/eng

[6] Obligă platformele mari la transparență totală privind algoritmii de recomandare și moderarea conținutului, https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng

[7] Permite Comisiei Europene să investigheze și să blocheze companiile non-UE finanțate masiv de guvernele lor, care încearcă să cumpere companii europene sau să câștige licitații publice în UE, https://eur-lex.europa.eu/eli/reg/2022/2560/oj?locale=ro

[8] Modelul „Compliance by Design” (Conformitatea implicită) presupune integrarea nativă a controalelor de securitate și conformitate în procesele digitale, nu adăugarea lor ulterioară

[9] Cezara Giugula (2025), Cyberintelligence și amenințările hibride în România: parteneriate public-privat, OSINT, inteligență artificială și dezvoltarea competitive intelligence, https://www.intelligenceinfo.org/cyberintelligence-si-amenintarile-hibride-in-romania/, accesat la 27.08.2025

[10] În România, Memorandumul Guvernului României adoptat la 12 martie 2026, https://sgg.gov.ro/1/proiectele-de-acte-normative-care-ar-putea-fi-incluse-in-sedinta-guvernului-romaniei-din-12-03-2026/, stabilește guvernanța partajată, sens în care Autoritatea Națională pentru Administrare și Reglementare în Comunicații (ANCOM) a fost desemnată ca autoritate de supraveghere a pieței pentru AI Act la nivel național și, de asemenea, au fost nominalizate Banca Națională a României și Autoritatea pentru Supraveghere Financiară pentru supravegherea IA-ului în sectorul financiar (BNR acoperă sistemele IA utilizate în sectorul bancar și servicii de plăți – scoring de credit la bănci, sisteme de detecție a fraudelor, aprobare automată a creditelor, iar ASF acoperă sistemele IA utilizate în asigurări, piețe de capital și pensii private – scoring de credit la o instituție financiară nebancară, subscriere de asigurări, tranzacționare algoritmică sau consultanță automatizată de investiții)

[11] Considerentul 81 și art.73 din Regulamentul IA (UE) 2024/1689, coroborat cu art.3(1) din Regulamentul DORA (UE) 2022/2554

[12] Regulamentul (UE) 2024/1689 de stabilire a unor norme armonizate privind inteligența artificială (Legea privind inteligența artificială), https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng, a intrat în vigoare pe 2 august 2026, în timp ce termenele limită majore de conformitate cu risc ridicat au fost amânate până la sfârșitul anului 2027 și 2028 prin intermediul pachetului de simplificare Omnibus privind IA (Digital Omnibus), https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:52025PC0837

[13] WARNING OF THE EUROPEAN SYSTEMIC RISK BOARD of 25 June 2026 on systemic cyber risks stemming from frontier artificial intelligence models (ESRB/2026/3), https://www.esrb.europa.eu/pub/pdf/warnings/esrb.warning260625_on_systemic_cyber_risks_stemming_from_frontier_ai_models~ef424708cf.en.pdf

[14] Art.14 din Regulamentul IA (UE) 2024/1689