(1)

Poprední poskytovatelia umelej inteligencie vyvinuli pokročilé modely umelej inteligencie, ktoré veľmi dobre fungujú v oblasti kybernetickej bezpečnosti a dokážu vykonávať plne automatizované kybernetické útoky na komplexné systémy, a to aj prostredníctvom odhaľovania zraniteľností a vývoja exploitov a ich premeny na zbraň, čím sa zásadne mení prostredie kybernetických hrozieb.

(2)

Pokročilé modely umelej inteligencie sú pri hľadaní spôsobov vykonávania kybernetických útokov výrazne lepšie ako predchádzajúce modely umelej inteligencie a zároveň prekonávajú predchádzajúce modely z hľadiska nákladov, rýchlosti a presnosti a v súčasnosti konkurujú popredným odborníkom.

(3)

Pokročilé modely umelej inteligencie sú schopné ohroziť systémy, na ktorých sú založené prostredia informačných a komunikačných technológií (IKT), ktoré sú nevyhnutné pre fungovanie finančnej infraštruktúry, čím sa zvyšuje pravdepodobnosť a závažnosť kybernetických incidentov so systémovým vplyvom.

(4)

Pokročilé modely umelej inteligencie preukázali schopnosť odhaľovať zraniteľnosti a vytvárať nové exploity, čím vystavujú významné operačné systémy a softvéry používané v prostrediach IKT takmer všetkých organizácií riziku kybernetických útokov.

(5)

V minulosti bolo odhalenie takýchto zraniteľností zriedkavé a častokrát ich odhalili výskumní pracovníci v oblasti bezpečnosti, čo umožnilo cielenú nápravu. V takýchto prípadoch majú poskytovatelia softvéru bežne k dispozícii štandardizovaný časový rámec – zvyčajne 90 dní – na opravu zraniteľnosti pred jej zverejnením. Pokročilé modely umelej inteligencie však pravdepodobne zvýšia objem zistených zraniteľností.

(6)

Súčasné postupy týkajúce sa opráv softvéru vo finančnom systéme sú prevažne reaktívne a spoliehajú sa na pravidelné aktualizácie a ad hoc reakcie na odhalené zraniteľnosti. Tento prístup funguje v prostredí hrozieb, kde je vzhľadom na dostatok času odhalenie zraniteľnosti ešte zvládnuteľné. Vzhľadom na nárast objemu zraniteľností však súčasné postupy nemusia stačiť na zachovanie prevádzkovej odolnosti.

(7)

Vzhľadom na toto zvýšenie objemu sú preťažené aj súčasné procesy opráv, keďže s cieľom zabezpečiť prevádzkovú stabilitu tieto procesy uprednostňujú nápravné opatrenia na základe miery rizika a vyžadujú, aby sa pred zavedením uskutočnilo testovanie opráv softvéru. Ak sa v krátkom časovom období zistí príliš veľa zraniteľností s kritickým vplyvom a podstatne sa zvýši počet potrebných kritických opráv softvéru, môžu byť finančné inštitúcie nútené sa rozhodnúť, či sa vystavia významným kybernetickým rizikám alebo znížia požiadavky na testovanie opráv a budú tak riskovať, že dôjde k prevádzkovým incidentom a výpadkom.

(8)

Premena na zbraň sa v minulosti vykonávala prevažne manuálne a odborníkom trvala niekoľko dní alebo týždňov, zatiaľ čo teraz ju môžu vykonávať pokročilé modely umelej inteligencie v priebehu niekoľkých minút alebo hodín. Strácajú sa tak časové rezervy na obranu, ktoré sú potrebné na zachovanie kontinuity kritických a dôležitých funkcií počas nápravy.

(9)

Spolu s nárastom exploitov kritických zraniteľností a ich premeny na zbraň s pomocou umelej inteligencie a zodpovedajúcim skrátením časových rezerv na obranu sa prudko zvyšuje riziko pre jednotlivé kritické alebo dôležité funkcie a inštitúcie. Ak by sa takéto riziká prejavili súčasne pri viacerých týchto funkciách a inštitúciách, mohlo by to viesť k trvalému zvýšeniu systémového kybernetického rizika, pre ktoré v súčasnosti nie je k dispozícii plne účinný rámec na jeho zmiernenie. Vzhľadom na silnú prepojenosť v rámci finančného sektora Únie, ako aj medzi týmto sektorom a inými sektormi a jurisdikciami, predstavuje táto situácia systematické riziko a má potenciál viesť k systémovej nestabilite.

(10)

Okrem toho pokročilé modely umelej inteligencie v súčasnosti vyvíja len niekoľko poskytovateľov umelej inteligencie, z ktorých viacerí vyjadrili obavy, že budúce pokročilé modely umelej inteligencie môžu byť príliš výkonné na to, aby k nim mala verejnosť neobmedzený prístup.

(11)

Subjekty s nekalými úmyslami už využívajú umelú inteligenciu na posilnenie kybernetických útokov. Je pravdepodobné, že takéto subjekty napokon získajú, či už prostredníctvom únikov, krádeže, nezávislého vývoja alebo otvoreného prístupu, modely umelej inteligencie so spôsobilosťami porovnateľnými s tými, ktoré sú v súčasnosti používané v kontrolovaných obranných prostrediach.

(12)

Hoci pokročilé modely umelej inteligencie môžu výrazne zvýšiť útočné spôsobilosti a pravdepodobnosť sofistikovaných kybernetických útokov, posilnia aj obranné spôsobilosti jednotlivých inštitúcií, najmä pokiaľ ide o odhaľovanie zraniteľností, koreláciu údajov a nápravné opatrenia. V krátkodobom až strednodobom horizonte však zvýšenie rýchlosti, rozsahu a presnosti útočných spôsobilostí pravdepodobne preváži nad prínosmi týchto modelov.

(13)

Vzhľadom na rýchly vývoj pokročilých modelov umelej inteligencie je nevyhnutné bezodkladne riešiť zistené riziká pre finančnú stabilitu s cieľom zabrániť ich naplneniu, alebo aspoň zmierniť ich potenciálny vplyv. S cieľom zabezpečiť finančnú stabilitu na finančných trhoch Únie by všetci členovia Európskeho výboru pre systémové riziká (ESRB) mali vo svojich opatreniach makroprudenciálnej a mikroprudenciálnej politiky zohľadniť dôsledky pokročilých modelov umelej inteligencie na prevádzkovú spôsobilosť a odolnosť finančných inštitúcií. Týmto nie sú dotknuté mandáty centrálnych bánk v Únii v oblasti menovej politiky. Ako príklad (okrem iných súčasných iniciatív rôznych orgánov) ECB v rámci svojej úlohy ako orgánu bankového dohľadu požiadala významné inštitúcie, aby bezodkladne posúdili vplyv vyvíjajúceho sa prostredia hrozieb a aby do 31. októbra 2026 vypracovali komplexný akčný plán, v ktorom uvedú konkrétne opatrenia zamerané na riešenie takýchto rizík (4).

(14)

Keďže technológia umelej inteligencie je na vzostupe, je dôležité zabezpečiť, aby bola všetka kritická infraštruktúra, a zvlášť finančné inštitúcie, pripravené čeliť kybernetickým útokom riadeným pokročilými modelmi umelej inteligencie a uskutočnili včasné a primerané prípravy. Takéto obranné úsilie jednotlivých subjektov by však nebolo dostatočné. Na účinnú reakciu a zmierňovanie rizika je potrebná koordinovaná reakcia všetkých dotknutých osôb vrátane poskytovateľov umelej inteligencie, poskytovateľov softvéru, bezpečnostných spoločností, správcov otvorených zdrojových kódov, finančných inštitúcií a vnútroštátnych orgánov a orgánov Únie.

(15)

Pri riešení uvedených otázok je dôležité pripomenúť príslušný právny a politický rámec Únie, najmä nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 (5), nariadenie Európskeho parlamentu a Rady (EÚ) 2024/1689 (6), nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847 (7) a odporúčanie Európskeho výboru pre systémové riziká (ESRB/2021/17) (8).

(16)

Nariadenie (EÚ) 2022/2554 poskytuje finančným inštitúciám komplexný rámec na identifikáciu, riadenie, monitorovanie a zmierňovanie IKT rizík vrátane rizík vyplývajúcich z kybernetických útokov. Vzhľadom na vzájomnú prepojenosť finančného sektora a jeho závislosť od systémov IKT a externých poskytovateľov služieb by úspešný kybernetický útok na jednu alebo viacero finančných inštitúcií alebo ich poskytovateľov kritických služieb mohol mať významné systémové dôsledky. Orgány finančného dohľadu by mali činnostiam dohľadu v tejto oblasti pripisovať náležitú prioritu so zreteľom na potenciálny vplyv takýchto kybernetických útokov na stabilitu, integritu a dôveryhodnosť finančného systému, ako aj na možné z toho vyplývajúce prevádzkové a finančné škody a škody spôsobené spotrebiteľom.

(17)

V nariadení (EÚ) 2024/1689 sa stanovujú harmonizované pravidlá, pokiaľ ide o uvádzanie na trh, uvádzanie do prevádzky a používanie systémov umelej inteligencie a modelov umelej inteligencie na všeobecné účely v Únii vrátane, za určitých okolností, systémov a modelov poskytovaných poskytovateľmi umelej inteligencie so sídlom v tretích krajinách, ak sa výstup vytvorený systémom umelej inteligencie používa v Únii alebo ak je model umelej inteligencie integrovaný do systému uvedeného na trh Únie. V uvedenom nariadení sa stanovujú aj osobitné pravidlá vrátane prísnejšieho regulačného režimu pre modely klasifikované ako modely umelej inteligencie na všeobecné účely so systémovým rizikom.

(18)

Nariadením (EÚ) 2024/2847 sa zavádzajú povinné požiadavky kybernetickej bezpečnosti pre výrobcov, ktoré sa vzťahujú na plánovanie, návrh, vývoj a údržbu hardvérových a softvérových produktov s digitálnymi prvkami uvádzaných na trh Únie. Takisto stanovuje povinnosť výrobcov riešiť zraniteľnosti počas životného cyklu ich produktov. Keď sa začne uvedené nariadenie v decembri 2027 plne uplatňovať, budú musieť finančné subjekty uvádzajúce takéto produkty na trh Únie takisto zabezpečiť, aby tieto produkty spĺňali uvedené požiadavky.

(19)

V odporúčaní ESRB/2021/17 sa odporúča, aby európske orgány dohľadu vytvorili kolektívne prostredníctvom spoločného výboru a spolu s Európskou centrálnou bankou, ESRB a príslušnými vnútroštátnymi orgánmi účinnú koordinovanú reakciu na úrovni Únie v prípade závažného cezhraničného kybernetického incidentu alebo súvisiacej hrozby, ktorá by mohla mať systémový vplyv na finančný sektor Únie. Výsledkom bolo vytvorenie celoeurópskeho rámca koordinácie systémových kybernetických incidentov (pan-European Systemic Cyber Incident Coordination Framework – EU-SCICF), ktorý predstavuje cennú prevádzkovú platformu na výmenu informácií a koordináciu medzi finančnými orgánmi.

(20)

ESRB na základe uvedených východísk týmto prijíma varovanie všeobecnej povahy, ktoré sa zaoberá významnými rizikami pre finančnú stabilitu umocnenými vývojom pokročilých modelov umelej inteligencie. Toto varovanie zohľadňuje analytickú prácu v dokumente ESRB s názvom Addressing Frontier AI Models with Cyber capabilities from the financial stability perspective uverejnenom v júni 2026 (9).