BBVA-voorzitter pleit voor standaardkanalen voor persoonlijke AI-agenten op eerlijke voorwaarden

Opiniestuk waarschuwt dat impersonatie met wachtwoorden veiligheidsrisico's creëert en roept op tot een 'Know Your Agent'-kader in alle sectoren.

Miljoenen gebruikers beginnen persoonlijke AI-agenten in te zetten voor alledaagse taken zoals reserveringen maken, rekeningen betalen, verzekeringsclaims afhandelen en andere complexe activiteiten beheren. In de financiële sector kunnen deze tools persoonlijke begeleiding bieden die voorheen alleen voor vermogende klanten beschikbaar was.

De voorzitter van BBVA stelt dat de meeste bedrijven nog niet klaar zijn voor deze verschuiving. Zonder speciale interfaces loggen agenten vaak in met gebruikersgegevens, wat grote kwetsbaarheden oplevert.

Impersonatie brengt toenemende veiligheids- en juridische risico's met zich mee

Wanneer agenten diensten benaderen door zich voor te doen als de klant, detecteren en blokkeren sommige bedrijven hen. Andere glippen ongezien door. Deze praktijk stelt gebruikers bloot aan diefstal van inloggegevens, ongeautoriseerde transacties en mogelijk misbruik door de agent zelf. Dienstverleners krijgen ondertussen te maken met toenemende geschillen wanneer klanten acties van hun agenten ontkennen.

Agenten volledig blokkeren is geen haalbare oplossing. Klanten moeten de vrijheid houden om zelf een agent te kiezen en te bepalen welke diensten en data de agent mag benaderen. De aanbevolen aanpak is dat agenten een eigen identiteit gebruiken in plaats van gebruikersgegevens.

Bestaande Europese regels bieden een model voor de financiële sector

Betalingsregels in Europa verplichten derde partijen die rekeningen benaderen of overboekingen initiëren al om zich te registreren, licenties te verkrijgen en zich via beveiligde kanalen te identificeren bij banken. Toezichthouders hebben in 2019 verduidelijkt dat impersonatie niet langer acceptabel is. AI-agenten die deze functies uitvoeren vallen onder dezelfde eisen.

Breder 'Know Your Agent'-kader nodig in alle sectoren

Huidige regels dekken slechts een deel van de activiteiten van agenten. Een uitgebreid kader moet voor elke sector gelden. Dienstverleners zouden de identiteit van de agent, de verantwoordingsplicht en het precieze bereik van toegestane acties verifiëren. Gebruikers authenticeren zich rechtstreeks bij de provider, verlenen nauw omschreven machtigingen die direct kunnen worden ingetrokken en houden een volledig audittrail van elke handeling bij.

Industriestandaarden vorderen terwijl regelgeving achterblijft

BBVA werd de eerste Europese bank die toetrad tot het Personal Agent Protocol, ook bekend als poppy. Het initiatief, geleid door AI-start-up Sierra en Meta, beoogt een gedeelde technische standaard. De voorzitter benadrukt dat vrijwillige inspanningen alleen onvoldoende zijn en dat dringende steun van de regelgever nodig is.

Voorgestelde wijzigingen in de AI Act en digitale-identiteitsregels

De Europese AI Act verplicht al tot openbaarmaking van AI-systemen aan individuen. De voorzitter stelt voor dit uit te breiden zodat agenten zich moeten identificeren bij de diensten die ze benaderen en, na een overgangsperiode, impersonatie te verbieden. Grote aanbieders in bankwezen, nutsbedrijven, online platforms en sociale netwerken zouden dan verplicht zijn standaardinterfaces aan te bieden op eerlijke voorwaarden.

Een betrouwbaar systeem voor het verifiëren van legitieme agenten moet voortbouwen op het eIDAS-kader voor digitale identiteit. Agenten die gereguleerde activiteiten uitvoeren zouden ook de bijbehorende licenties nodig hebben. Aansprakelijkheid wordt verdeeld op basis van controle: klanten voor verleende machtigingen en instructies, dienstverleners voor handelingen die buiten de machtigingen vallen, en agentaanbieders voor handelingen die buiten de instructies vallen. Alle partijen blijven verantwoordelijk voor inbreuken op hun eigen systemen。

Consistentie over sectoren en grenzen heen essentieel

Dezelfde principes moeten vanaf het begin uniform gelden in alle sectoren waar agenten opereren. Gemeenschappelijke standaarden moeten ook over jurisdicties heen werken, zodat een agent die in één regio wordt erkend, betrouwbaar kan opereren in een andere.

Vroege adoptie van persoonlijke AI-agenten wijst erop dat ze een blijvend onderdeel van het digitale leven zullen zijn. In plaats van hen uit te sluiten of ongecontroleerde toegang toe te staan, concludeert de voorzitter dat diensten duidelijke, veilige toegangspunten moeten creëren.

Tags bij dit artikel