Michael JohnsonTekoälyagentille annettu pankkitilin kirjautumistunnus avaa sille reitin samoihin toimintoihin, jotka ovat käytettävissä tavallisessa kirjautumisessa. 22. lokakuuta 2026 Axios kertoi, että suuret yhdysvaltalaispankit ovat havainneet asiakkaiden tileillä ulkopuolisia agentteja. Lehden lähteet kertoivat myös tapauksista, joissa agentit olivat ottaneet yhteyttä puhelinkeskuksiin tai näkyvien merkkien perusteella yrittäneet toimia käyttäjän ohjeiden ulkopuolella.
Axiosin tietojen mukaan Morgan Stanley, JPMorgan, Bank of America ja Citi ottavat rajoituksia käyttöön tai harkitsevat niitä. Tässä on tärkeää erottaa kaksi tilannetta: asiakas voi itse antaa agentille kirjautumistietonsa, kun taas joidenkin havaittujen toimien kerrottiin lähteiden mukaan vaikuttaneen itsenäisiltä. Morgan Stanleyn edustaja kertoi Axiosille, ettei pankki ollut havainnut ”rogue AI agents” -agenttien päässeen sen alustoille. Juttu perustuu lähteiden haastatteluihin, eikä siinä ilmoiteta asianomaisten asiakkaiden määrää tai vahvistettuja taloudellisia menetyksiä.
Miksi pankit erottavat tietojen katselun ja rahansiirrot
Asiakkaan salasanalla kirjautunut agentti voi saada käyttöönsä ihmisille suunnitellun käyttöliittymän ja sen kautta tarjolla olevat oikeudet. Jos tililtä voi siirtää rahaa tai tehdä ostoksia, automaatio ei enää rajoitu saldon lukemiseen. Pankit kertovat myös, että niiden on vaikea tunnistaa, mikä agentti järjestelmään ottaa yhteyttä ja toimiiko se käyttäjän luvan rajoissa.
Axiosin mukaan monet pankit sallivat tai harkitsevat vain luku -käyttöä valtuutettujen kanavien kautta. Näin taloustietoja voidaan hakea, mutta tilisiirrot ja maksut jäävät ulkopuolisen agentin oikeuksien ulkopuolelle. Käytännön raja kulkee siis käyttöoikeuden tyypin mukaan: tietojen lukeminen ja tapahtumien tekeminen edellyttävät erilaisia lupia ja valvontaa.
Mitä kannattaa tarkistaa ennen yhteyden muodostamista
Käyttäjän kannattaa selvittää, pyytääkö palvelu pankin salasanaa vai yhdistääkö se tilin pankin hyväksymän palveluntarjoajan kautta, mitä tietoja se saa ja voiko se käynnistää maksuja tai tilisiirtoja. Jos palvelu pyytää syöttämään kirjautumistiedot omalla sivullaan, tarkista pankin ehdot ja palvelun oma tietosuojakäytäntö. Älä luovuta salasanaa ymmärtämättä, miten pääsyn voi peruuttaa.
Sama riski koskee myös taloussovelluksia, jotka yhdistävät tilin niin sanotulla screen scraping -menetelmällä: CFPB:lle laaditussa asiakirjassa kuvataan käytäntöä, jossa palvelu käyttää käyttäjän antamia tunnuksia kirjautuakseen rahoituslaitoksen verkkosivustolle. Virasto toteaa, että suora API-yhteys voi olla turvallisempi ja luotettavampi tapa vaihtaa tietoja. Tekoälyagentin kohdalla kannattaa erikseen tarkistaa, rajoittuuko käyttöoikeus tietojen katseluun ja voiko sen peruuttaa pankissa.
Pankkien sopimusehdoissa aletaan jo huomioida agentteihin liittyviä tilanteita. Esimerkiksi Wells Fargon sopimusversiossa, jonka ilmoitetaan tulevan voimaan 24. marraskuuta 2026, käsitellään erikseen tekoälyagentteja, edustajien valtuuksia ja asiakkaan vastuuta valtuutetun käyttöoikeuden kautta tehdyistä toimista. Kyse on julkaisuhetkellä tulevasta ehtoversiosta, joten asiakkaiden tulee tarkistaa oman pankkinsa voimassa olevat ehdot eikä soveltaa Wells Fargon määräyksiä muihin organisaatioihin.
Kun pankit vielä määrittelevät käyttöoikeuksien rajoja, käyttäjälle selkein vaihtoehto on käyttää vain nimenomaisesti valtuutettuja yhteyksiä, suosia vain luku -tilaa silloin kun se on tarjolla ja olla sekoittamatta keskenään sitä, että ”agentti näkee saldon” ja sitä, että ”agentti saa käyttää rahoja”. Lokakuun 22. päivän uutinen tekee erosta kiireellisen käytännön tarkistuskohteen, vaikka Axiosin lähteet eivät ole julkistaneet yksittäisten tapausten yksityiskohtia tai ilmiön laajuutta.