JPMorganChase, banka tarafından kontrol edilmeyen üçüncü taraf AI ajanlarının müşterilerin hesaplarına girerek doğrudan finansal işlem gerçekleştirmesine izin vermeyeceğini açıkladı.
CEO Jamie Dimon, müşterilerin dış AI ajanlarına hesaplarında işlem yapma yetkisi vermesinin güvenlik ve sorumluluk açısından önemli riskler doğurabileceğini söyledi. Özellikle kontrol dışına çıkan ajanlar, müşteri verisinin nasıl kullanıldığı ve sorun yaşandığında finansal zarardan kimin sorumlu olacağı JPMorgan’ın temel endişeleri arasında yer alıyor.
Bu yaklaşım JPMorgan’ın AI ajanlarına bütünüyle kapalı olduğu anlamına gelmiyor.
Banka kendi sistemlerinde agentic AI kullanıyor ve müşterilere yönelik yeni AI tabanlı finansal araçlar geliştiriyor. Çizilen sınır, JPMorgan’ın denetimi dışındaki bir AI ajanının müşteri adına hesap üzerinde para hareketi veya başka finansal aksiyon gerçekleştirmesi.
Veri erişimi ile işlem yetkisi ayrılıyor
Bir AI ajanının müşterinin banka bakiyesini okuyabilmesi ile hesaptan para transferi yapabilmesi arasında önemli bir fark bulunuyor.
İlk durumda sistem finansal bilgiye erişiyor.
İkinci durumda ise kullanıcının parasını hareket ettiren aktif bir finansal aktöre dönüşüyor.
Bu noktada kimlik doğrulama, yetkilendirme, fraud kontrolü ve işlem sorumluluğu daha kritik hale geliyor.
JPMorgan’ın kendi agentic AI güvenlik çalışmasında da bu ayrım açık biçimde vurgulanıyor. Banka, AI ajanlarının artık yalnız çıktı üretmediğini, gerçek dünyada aksiyon aldığını ve bunun saldırı yüzeyini doğrudan genişlettiğini belirtiyor.
Yetki devri yeni risk oluşturuyor
Agentic AI sistemleri kullanıcı adına API’lere bağlanabiliyor, servisleri çağırabiliyor ve gerçek işlemler gerçekleştirebiliyor.
Bu modelde temel güvenlik sorusu, ajanın hangi yetkiyle hareket ettiği.
JPMorgan’ın güvenlik yaklaşımına göre kuruluşların AI ajanlarına verilen yetkinin sınırlarını açık biçimde tanımlaması, işlemleri sorumlu kimliklerle ilişkilendirmesi ve çalışma sırasında ayrıntılı denetim kayıtları tutması gerekiyor.
Risk yalnız tek bir işlemin yetkili olup olmamasıyla da sınırlı değil.
Banka, ayrı ayrı bakıldığında yetkili görünen eylemlerin bir araya geldiğinde beklenmeyen sonuçlar üretebileceğine dikkat çekiyor.
Bu nedenle agentic AI güvenliği modelin kendisinden çok, ajanın hangi araçları hangi sırayla kullandığına ve dış sistemlerle nasıl etkileşime girdiğine kadar genişliyor.
JPMorgan kendi AI ajanlarını geliştirmeye devam ediyor
JPMorgan’ın dış AI ajanlarına yönelik temkinli yaklaşımı, bankanın kendi agentic AI çalışmalarını yavaşlattığı anlamına gelmiyor.
Banka kurum içinde yüzlerce AI kullanım senaryosu üzerinde çalışıyor ve agentic workflow’ları farklı operasyonlara taşıyor. Bankacılık sektöründe genel olarak da AI yönetişimi ve kullanım sınırlarına yönelik kontroller hızla yaygınlaşıyor.
Tüketici tarafında JPMorgan daha kontrollü ajan modellerine yöneliyor.
Banka daha önce müşteriye yönelik AI seyahat ajanını pilot aşamaya taşımayı planladığını açıklamıştı.
Dimon’ın açıklamaları bu nedenle “AI ajanına karşı çıkış” olarak okunmamalı.
Asıl ayrım, bankanın kendi güvenlik ve yetkilendirme mimarisi içinde çalışan ajanlarla dışarıdan hesaba erişmek isteyen ajanlar arasında oluşuyor.
Finansal ajanın sahibi kim olacak?
Bu yaklaşım agentic banking’in önümüzdeki dönemindeki daha büyük bir soruyu görünür hale getiriyor.
Bir müşterinin finansal kararlarını AI ajanı yönetecekse, bu ajan kime ait olacak?
Bankanın kendi ajanına mı?
Bir fintech şirketine mi?
Büyük teknoloji platformuna mı?
Yoksa kullanıcının bağımsız kişisel AI ajanına mı?
Bu ayrım yalnız teknoloji rekabetini etkilemeyecek.
Müşteri ilişkisine kimin sahip olduğu, finansal veriyi kimin gördüğü ve işlem anında yetkinin hangi platformda bulunduğu da bu sorunun parçası.
Dış ajanlar mevduat rekabetini de değiştirebilir
Üçüncü taraf AI ajanlarının banka hesaplarında işlem yapabilmesi başka bir potansiyel etki daha yaratıyor.
Bir ajan kullanıcının farklı bankalardaki faiz oranlarını sürekli karşılaştırıp parayı otomatik olarak daha yüksek getirili hesaba taşıyabiliyorsa müşterinin bankaya bağlılığı önemli ölçüde azalabilir.
Bu durum bankaların mevduat rekabetini de değiştirebilir.
AI ajanı müşterinin yerine sürekli optimizasyon yapan finansal aracıya dönüştüğünde, kullanıcıların para hareketlerini bugünkünden çok daha hızlı gerçekleştirmesi mümkün hale gelir.
Bu nedenle bankaların üçüncü taraf AI ajanlarına yaklaşımı yalnız siber güvenlik konusu olarak kalmayabilir.
Mevduat, müşteri ilişkisi ve dağıtım kanalı açısından da stratejik sonuçlar doğurabilir.
Agentic banking’in ilk döneminde ana tartışma AI ajanlarının hangi bankacılık işlemlerini yapabileceği üzerine kuruldu.
Şimdi ikinci aşama başlıyor.
Bankalar, kendi kontrol alanlarının dışındaki AI ajanlarının hangi işlemleri yapmasına izin vereceklerini belirlemeye başlıyor.
JPMorgan’ın yaklaşımı bu açıdan önemli.
Banka kendi agentic AI sistemlerini geliştirirken, üçüncü taraf bir ajanın müşteri hesabında doğrudan finansal işlem gerçekleştirmesine kapıyı kapatıyor.
Bu ayrım gelecekte bankacılığın en önemli rekabet alanlarından birine dönüşebilir.
Çünkü AI ajanı yalnızca müşteri adına bilgi topluyorsa bankanın müşteri ilişkisi büyük ölçüde değişmiyor.
Ajan para transferi yapmaya, faturaları ödemeye, yatırımları değiştirmeye veya nakdi farklı hesaplara taşımaya başladığında ise müşteri ile banka arasına yeni bir finansal karar katmanı giriyor.
JPMorgan’ın bugünkü tavrı da tam olarak bu katmanın kimin kontrolünde olacağına ilişkin erken bir sınır çiziyor.
Önümüzdeki dönemde asıl tartışma, AI ajanının kullanılıp kullanılmayacağından çok müşterinin finansal kararlarını yöneten ajanın kime ait olacağı ve banka hesabında ne kadar yetkiye sahip olacağı üzerinden ilerleyebilir.
