Bankers klassiske sikkerhedslogik har været enkel: bekræft identiteten ved onboarding, og lad resten af relationen arve den tillid. Unite.ai formulerer det direkte: “For as long as banks have opened accounts, compliance has rested on a single assumption: that a real, identifiable person stands behind each one. Verify that the person at onboarding and everything downstream inherits the trust.” Ifølge samme kilde er den antagelse under pres fra to fronter på én gang.
EU’s AI Act rammesætter også et nyt tilsynsbillede. Ifølge EU’s officielle FAQ er AI Office, European Data Protection Supervisor og nationale kompetente myndigheder ansvarlige for at føre tilsyn og håndhæve reglerne for AI‑systemer, og markedsovervågningsmyndigheder håndhæver reglerne for blandt andet højrisiko‑AI. Det sætter rammen for, hvordan banker både som brugere og indkøbere af AI kan tænke compliance fremadrettet.
Hvorfor den gamle model er under pres
Unite.ai peger på to konkrete årsager til, at én verifikation ikke længere kan bære al tillid: “AI agents now transact on people’s behalf, and synthetic identities now pass for people who never existed.” Det bliver dermed vanskeligere at bekræfte, at et rigtigt menneske står bag en konto, og at vedkommende faktisk har til hensigt det, kontoen foretager sig. Det er kildens centrale diagnose.
Det praktiske spørgsmål bliver derfor, hvordan banker forholder sig til handlinger på konti over tid, ikke kun til oprettelsen. Unite.ai’s konklusion peger netop i den retning: Opgaven er at kunne bekræfte den menneskelige afsender og intention, ikke kun ved start, men løbende.
Hvad ændrer sig i praksis ifølge kilderne
Manual‑briefen, der udlægger artiklens pointer operationelt, fremhæver et skifte væk fra engangs‑KYC og over mod løbende identitetsvalidering, agent‑detektion, realtids anomalimonitorering og krydssammenkobling af adfærdsdata for at sikre, at transaktioner reelt repræsenterer menneskelige beslutningstagere. Unite.ai dokumenterer problemet; briefen beskriver et tilsvarende behov for modtræk på proces‑ og teknologisiden.
De konkrete teknikker og præcise implementeringskrav varierer efter kontekst. Kilderne giver ikke benchmarks for bestemte signallag, modeltyper eller performance‑mål. Derfor bør anbefalinger læses som rammer for pilotering og måling, ikke som faste recepter.
Omfang og kendte ukendte
Kilderne leverer ikke sektorbrede tal for, hvor stor en del af problemer i bankdrift der i dag kan tilskrives AI‑agenter eller syntetiske identiteter. Det bør nævnes klart. Det ændrer ikke ved, at Unite.ai’s diagnose om eroderet tillidspostulat er dokumenteret – men det betyder, at beslutninger om opgraderinger af kontrolmiljøet træffes uden præcise prævalenstal.
Konsekvensen er, at banker med fordel kan arbejde hypotesedrevet: test, mål, og justér. Det ligger på linje med briefens anbefaling om at indføre løbende validering og agent‑detektion som en disciplin, der kræver målepunkter og iterativ læring, frem for et stort “alt eller intet”‑løft.
Regulatoriske roller under AI Act
EU’s AI Act‑FAQ angiver tydeligt, hvem der gør hvad: AI Office, EDPS og de nationale kompetente myndigheder fører tilsyn og håndhæver, og markedsovervågningsmyndigheder håndhæver regler for AI‑systemer, herunder højrisiko‑AI. Det er de formuleringer, banker kan holde sig til, når governance og leverandørstyring skal planlægges.
Heraf følger et nøgternt prioriteringsskifte i compliancearbejdet: dokumentation af modeller og kontroller, klarhed om brug og formål, samt sporbarhed på tværs af processer. Kilderne specificerer ikke standardiserede skabeloner eller logkrav; retningen – at der er dedikerede tilsynsroller og et højere kravsniveau på højrisiko‑området – fremgår af FAQ’en.
Informationskilder og provenance i AI‑understøttet arbejde
Relevansen af kildevalg i AI‑værktøjer er illustreret af en undersøgelse gengivet af Artificialintelligence‑news.com: I et panel af søgninger om vitaminer og kosttilskud optrådte YouTube i 186 af 350 AI Overviews, svarende til 53,1 procent, og var den eneste side nævnt i mere end halvdelen af svarene. Ifølge artiklens beskrivelse fulgte aktøren bag undersøgelsen 50 søgninger dagligt fra 30. august til 5. september 2026, alle med AI Overviews til stede. Resultaterne siger ikke noget om bankdomænet, men peger på, at kildeudvalg kan være skævt i praksis.
Derfor giver det mening, at due diligence også ser på, hvilke kilder AI‑understøttede værktøjer trækker på, og hvordan man kan revidere og dokumentere det. Det er en forsigtighedsbetragtning, ikke en specifikation af tekniske krav ud over, hvad kilderne viser.
Fra diagnose til forsvarslinjer – uden overkonklusioner
Både Unite.ai og briefen peger på, at én kontrol ved start ikke rækker. En nøgtern oversættelse til praksis er at etablere løbende identitetsvalidering, agent‑detektion og realtids overvågning, understøttet af krydskorrelation af adfærdsdata. Hvilke konkrete signaler og modeller der virker bedst, må afgøres i afgrænsede forsøg med klare succeskriterier. Kilderne leverer ikke præcisionsmål eller tværgående benchmarks, og det bør være styrende for, hvordan anbefalingerne udmøntes.
Det er også værd at fastholde, at aggregerede arbejdsmængder, false positive‑rater og SLA‑effekter ikke er dokumenteret i kilderne. Formuleringer om driftsbelastning bør derfor behandles som hypoteser, der skal be‑ eller afkræftes i piloter, ikke som givne udfald.
Hvad man med fordel kan beslutte nu
På baggrund af kildernes diagnose og briefens rammer kan tre skridt tages, uden at gå ud over dokumentationen: 1) Kortlæg, hvor AI kan handle på kunders vegne i kanaler og processer. 2) Pilotér løbende identitetsvalidering og agent‑detektion på en afgrænset kunderejse med eksplicit måling af præcision og kundepåvirkning. 3) Etabler en praksis for at gennemgå og dokumentere kilde‑ og inputvalg i AI‑understøttede værktøjer. Hvert skridt bør følges af en evaluering, før der skaleres.
Bundlinjen er den samme som hos Unite.ai: Opgaven er at kunne bekræfte, at et ægte menneske står bag kontoen, og at handlingerne er tilsigtede. Resten må justeres efter resultaterne fra konkrete forsøg og under det tilsynsbillede, som EU’s AI Act FAQ beskriver.
