Toezichthouders bewapenen zich met eigen AI om hackers en cryptomarkten bij te benen

Toezichthouders staan voor precies hetzelfde probleem als de bedrijven die ze controleren: aanvallers gebruiken AI om sneller gaten te vinden dan welk team ze ook kan dichten. Het antwoord van de financiële waakhonden is opvallend. Ze gaan die wapenwedloop niet langer alleen met regels en checklists te lijf, maar bouwen nu hun eigen AI-gereedschap. De Zwitserse markttoezichthouder FINMA, die een internationaal forum van toezichthouders voorzit, hield deze week een hackathon met zo'n honderd specialisten om samen toezichttools voor de cryptomarkt te bouwen.

Een waakhond die zelf AI bouwt

De aanleiding is nuchter en urgent tegelijk. Banken moeten sneller patchen naarmate hackers sneller bewegen, zei FINMA-voorzitter Marlene Amstad in een interview met Reuters. Modellen die softwarekwetsbaarheden opsporen wijzen volgens haar op fors oplopende cyber- en nationale-veiligheidsrisico's, en dat dwingt zowel de instellingen als hun toezichthouders om mee te bewegen.

Amstad zit niet zomaar op die stoel. Ze leidt het SupTech-forum dat FINMA binnen IOSCO oprichtte, de wereldwijde standaardzetter voor effectentoezicht. Dat forum verenigt toezichthouders uit meer dan 130 landen die samen ongeveer 95 procent van de effectenmarkten bestrijken. Tijdens de hackathon van deze week werkten de deelnemers aan gedeelde tools om de cryptomarkt te monitoren, en de toezichthouders kijken zelfs of ze waarborgen rechtstreeks in digitale-assetsystemen kunnen inbouwen.

Wat de toezichthouders precies willen

De vrees dat dit vooral een bezuiniging op mensen is, klopt niet. Uit een wereldwijde enquête onder de aangesloten autoriteiten blijkt dat efficiëntie en effectiviteit voor 91 procent een hoge of kritieke prioriteit zijn, terwijl maar 4 procent het om personeelsreductie doet. Twee derde wil er vooral dieper inzicht en nieuwe capaciteiten mee, en iets meer dan de helft van de jurisdicties heeft inmiddels een apart SupTech-budget. AI springt daarbij ver boven data-toegang en cloud uit als de belangrijkste aanjager.

Concreet zet FINMA AI in om arbeidsintensief werk te versnellen, zoals het doorploegen van documenten vóór een inspectie ter plaatse, en om handel met voorkennis op te sporen via machine learning en netwerkanalyse die de informatiestroom natrekt. Belangrijk detail: het gereedschap beslist nooit zelf en handelt nooit zelfstandig, een mens controleert de suggestie en houdt de eindverantwoordelijkheid. Voor de cryptomarkt bouwde FINMA een dashboard dat bijna in realtime werkt, met per token een eigen identificatie. Dat is geen overbodige luxe: de geschatte omloop van stablecoins is in zes jaar vertienvoudigd tot ruim 300 miljard dollar.

De AI-wapenwedloop achter het toezicht

De rode draad is dat dezelfde modellen die de risico's vergroten, ook het verweer leveren. Amstad noemt expliciet de ervaring met modellen als Anthropics Mythos, dat binnen enkele uren gaten vond in geheime Amerikaanse overheidssystemen, als bewijs van hoe snel kwetsbaarheden nu aan het licht komen. Diezelfde dynamiek zie je aan de aanbodzijde, waar OpenAI met Daybreak AI inzet die kwetsbaarheden vindt, valideert en patcht.

Die afhankelijkheid heeft een keerzijde. De VS legde de export van Anthropics nieuwste Mythos- en Fable-modellen aan banden, en het Chinese 360 Security claimt inmiddels een eigen antwoord op Mythos. Het is precies de dynamiek waarin het Amerikaanse exportverbod bedrijven juist naar Chinese open AI duwt. Amstad trekt daaruit een heldere conclusie: Zwitserland moet toegang houden tot de allermodernste AI-modellen, want juist die zijn nodig om systemen te harden voordat ze live gaan.

Wat dit betekent voor Nederlandse bedrijven

Dit is geen ver-van-je-bed-verhaal voor wie in of rond de financiële sector werkt. De Nederlandse toezichthouders DNB en AFM zijn beide lid van het IOSCO-verband, en ze brachten samen al in kaart wat AI met de financiële sector en met hun eigen toezicht doet. Onder de Europese cryptoregels MiCA houden ze ook toezicht op cryptodienstverleners, hetzelfde domein waarin Binance zijn MiCA-vergunningsaanvraag in Griekenland introk maar beloofde in Europa te blijven.

Voor een bank, een fintech, een cryptobedrijf of een softwareleverancier die aan die partijen levert, betekent dit dat je toezichthouder straks met AI je documenten leest, afwijkingen opspoort en markten bijna in realtime volgt. De lat voor datakwaliteit, herleidbare logging en snel patchen gaat daarmee omhoog, niet omdat een regel het zegt, maar omdat de tegenpartij beter gaat kijken. Wie nu zorgt dat zijn gegevens op orde zijn, zijn beslissingen kan reconstrueren en zijn kwetsbaarheden snel dicht, staat sterker als dat moment komt. De diepere les is dezelfde als overal in dit dossier: de partij die toezicht houdt, leunt nu op dezelfde frontier-modellen die zelf onderwerp van een geopolitiek gevecht zijn. Grip op je eigen data en processen is het enige dat daar niet door verschuift.