Banki uzależniły się od dostawców chmury i AI. „Nie przemyślały tego” (WYWIAD)

Audio generowane przez AI. Może zawierać błędy.

To była jedna z największych awarii dostawców chmury obliczeniowej. 20 października w jednym z centrów danych Google Cloud w Londynie doszło do przerwy w zasilaniu, co doprowadziło do problemów wielu instytucji finansowych, na czele z Revolutem, HSBC, Halifaxem i Lloyds. Ich klienci nie mogli zalogować się do aplikacji bankowych ani dokonywać płatności.

Zdarzenie to komentował m.in. Chris Skinner – analityk rynku fintech, autor książek z obszaru bankowości oraz twórca bloga Finanser.com. Wskazywał, że dawne określenie „banków zbyt dużych, by upaść” (too big to fail) ma nową wersję w postaci „firm technologicznych zbyt ważnych, by przestać działać” (too important to fail). Skinner był gościem konferencji Visa Next, gdzie jako główny mówca opowiadał o rozwoju i zastosowaniu sztucznej inteligencji. Przy tej okazji przeprowadziliśmy z nim wywiad na temat AI i ryzyka koncentracji w sektorze bankowym.

Banki są narażone na duże ryzyko koncentracji

Piotr Sobolewski, XYZ: Co dzieje się z bankami, gdy padają chmury obliczeniowe?

Chris Skinner, analityk rynku fintech: Widzieliśmy to kilkanaście dni temu. Wskutek awarii zasilania w londyńskim centrum danych Google Cloud banki, w tym Revolut, przez 12 godzin nie mogły przeprowadzać płatności dla klientów. Wywołało to spore niezadowolenie klientów.

Sytuacja ta ujawniła problem z dużą koncentracją ryzyka wbudowaną w ten system. Instytucje finansowe chętnie korzystają z chmury obliczeniowej, a jej głównymi dostawcami są duże firmy technologiczne, jak Amazon, Google, Azure, a w Chinach Alibaba. Pojawia się pytanie, co robić w sytuacji, kiedy dochodzi u nich do awarii.

Mieć alternatywnego dostawcę chmury, najlepiej europejskiego, niezależnego od USA?

Albo po prostu systemy wewnętrzne. Do niedawna mało kto o tym myślał, ale ta świadomość zaczyna się pojawiać wskutek niedawnych awarii. Myślę, że wracamy tu do zasad disaster recovery, które mówią o sposobie zapewnienia funkcjonowania systemów po awarii. Takie koncepcje są znane od dziesięcioleci, a przykładem były wydarzenia z 11 września 2001 r. czy kryzysu finansowego z 2008 r. Wiele systemów przestało wtedy działać.

Pamiętam, jak sama organizacja SWIFT stworzyła po tym wydarzeniu pięć równoległych systemów rozmieszczonych na całym świecie [rozproszone serwerownie lokowane w bezpiecznych jurysdykcjach – red.]. Dzięki temu w razie awarii któregokolwiek z nich można było natychmiast się przełączyć na inny. System musi przecież działać nieprzerwanie, w trybie 24 godzin siedem dni w tygodniu. I to właśnie w tym aspekcie banki nie przemyślały wystarczająco dobrze swoich strategii korzystania z chmury, wybierając jednego dostawcę technologii.

Nie mają alternatywy, bo byłaby zbyt kosztowna

Dlaczego tego nie zrobiły?

Bo wiąże się to z dwukrotnie wyższymi kosztami. Jeśli jednak zdecydujemy się na ten ruch, to – mając równoległe systemy zapasowe – możemy przełączyć się na alternatywnego dostawcę. Problem polega na tym, że takie ryzyko koncentracji dotyczy nie tylko dostawców usług w chmurze, ale też dostawców rozwiązań z zakresu AI, na które mocno stawia branża. W wielu przypadkach podmioty oferujące oba rodzaje usług, czyli chmurowe i AI, są de facto tymi samymi firmami.

Na tym nie kończy się lista powiązań. Trzeba jeszcze dodać różne ekosystemy, platformy i otwartą bankowość, czyli obszary związane z fintechami, które charakteryzują się znacznie większym zróżnicowaniem i rozproszeniem. A przecież każdy z tych elementów może stanowić potencjalny punkt awarii. Banki muszą się z tym liczyć.

Da się to jakoś zmienić?

Ostatecznie wszystko sprowadza się do zarządzania ryzykiem. Myślę, że każde nowe przedsięwzięcie w sektorze powinno być poddawane testom pod kątem potencjalnej awarii, czyli tego, co by się stało, gdyby do niej doszło i jakie kroki wtedy trzeba byłoby podjąć. Trzeba wyobrazić sobie potencjalne alternatywy: jak obsługiwać klientów, zarządzać ryzykiem, utrzymywać działanie systemu i realizować przesyłanie komunikatów i płatności.

Banki powinny robić testy podatności na awarie

Może banki powinny być poddawane testom nadzorczym w tym zakresie?

Brytyjscy regulatorzy już to robią. Regularnie pytają banki o przeprowadzane testy i analizy warunków skrajnych na temat ich ekspozycji na ryzyko awarii. Chcą wiedzieć, czy banki mają systemy zapasowe, które zapewnią odtwarzanie działalności po wystąpieniu katastrofy i utrzymanie ciągłości procesu. Problem jednak, podobnie jak w przypadku stress-testów finansowych, sprowadza się do tego, że jeśli nie przeprowadzisz takich testów, to nie będziesz wiedzieć, czy system zadziała w razie awarii. Dlatego takie testy trzeba robić nieustannie.

Czy to samo dotyczy płatności?

Wyobraźmy sobie sytuację, że płacimy kartą Visa. Jeśli zajrzymy za kulisy tego, co się dzieje, odkryjemy ogromną wzajemnie powiązaną infrastrukturę. Dzięki niej płatność zbliżeniowa kartą Visa może przejść przez całą sieć – od sprzedawcy, przez wystawcę karty, aż po bank. Dlatego też w tym systemie pobierane są duże opłaty: utrzymywanie tej infrastruktury wiąże się z dużymi kosztami.

Jeśli mówimy o płatnościach globalnych, to jest to jeszcze bardziej skomplikowane. Dochodzi do tego system SWIFT czy systemy federalne w USA. Zwiększamy złożoność, aby to wszystko ze sobą połączyć. Tymczasem większość firm finansowych, wdrażając nowe rozwiązania, nie pozbywa się wcale starej infrastruktury. Dlatego warto zapytać szefów banków o to, co robią, aby pozbyć się starych systemów i upewnić się, że wszystko jest bezpieczne i odporne.

Branża korzystała z AI już dekadę temu

Na konferencji Visa Next, na której się spotykamy, mówił pan o sztucznej inteligencji. Według Banku Anglii już 86 proc. firm finansowych z niej korzysta. Jak bardzo zaawansowane są te rozwiązania? Mówimy o czymś wyrafinowanym czy po prostu o pomocy przy tłumaczeniach, pisaniu e-maili i podsumowywaniu dokumentów?

Wiele banków nadal myśli, że chodzi tu o chatboty, obniżenie kosztów obsługi klienta i zmniejszenie wydatków na back-office. Zapominają, że to nic nowego. Większość banków robi to już od dekady. JP Morgan ograniczył pracę prawników o tysiące godzin, wykorzystując AI już 10 lat temu. To równowartość ok. 1,5 tys. etatów. Prawnicy przeszli od tego, co robili wcześniej, czyli sprawdzania zapisów w umowach, do bardziej intensywnego myślenia. UBS zrobił to samo ze swoimi menedżerami ds. majątku w Szwajcarii. Już 10 lat temu AI mogła tam odpowiedzieć na pytania klienta dotyczące jego portfela w 45 sekund. Dzięki temu zarządzający majątkiem mogli skupić się na tym, jak skutecznie obsługiwać klientów. Technologia uzupełniała działania człowieka, ale go nie zastępowała.

Teraz doszliśmy jednak do innego etapu rozwoju AI.

Zdecydowanie. Różnica generatywnej sztucznej inteligencji kiedyś i dziś polega na tym, że w latach 90-tych była ona jednotorowa i np. potrafiła grać w szachy. Tymczasem dziś jest niemal jak przyjaciel. To inteligencja wielotorowa. Używa pan pewnie Gemini albo Claude'a. Te czaty uczą się, kim są ich rozmówcy i stają się ich przyjaciółmi, choć dobrze wiemy, że nie są prawdziwi. Myślę, że już ok. 2030 r. takie maszyny będą inteligentniejsze od ludzi. Rozwijamy się tak szybko, że to możliwe. Nadal nie będzie to jednak oznaczać, że zastąpimy ludzi maszynami.

Agenci są nie tylko szansą, ale i zagrożeniem dla banków

Bankowcy często mówią, że ich przewagą konkurencyjną są wyjątkowe relacje z klientami. Jak skutecznie wdrożyć AI, by ich nie zepsuć?

Przechodzimy w stronę relacji między maszynami. AI będzie reprezentować klienta, ale i dostawcę usług i produktów. Myślę, że w przyszłości konieczne będą trzy zawody związane ze sztuczną inteligencją. To trenerzy, tłumacze i podtrzymujący. Trener musi wyszkolić maszynę, aby dobrze wykonywała pracę. Podtrzymujący musi upewnić się, że dobrze wykonuje swoje zadanie. Tłumacz będzie tłumaczył, co dokładnie robi maszyna każdemu, kto będzie chciał się tego dowiedzieć.

No dobrze, ale z punktu widzenia banków to bardzo zła wiadomość. Przecież agenci będą mogli w imieniu klienta łatwo przenosić jego środki czy znajdować rzeczywiście najtańszy kredyt i nie będą podatni na marketing i reklamę.

I właśnie dlatego amerykańskie banki twardo stoją na stanowisku, by klienci nie ufali AI. Nie chodzi o to, by nie delegowali zadań. Chodzi o to, że agenci AI zaczną szukać na rynku najlepszych ofert i automatycznie przekierują klienta od dostawcy kredytu hipotecznego czy karty kredytowej do alternatywnego rozwiązania, które będzie korzystniejsze.

Skorzysta klient, ale banki tego nie chcą, bo nie są w stanie za tym nadążyć. Pojawia się pytanie: jeśli stawki zmieniają się codziennie, a bot ciągle zmienia decyzje, to w którym momencie stanie się zagrożeniem. Systemy muszą podlegać kontroli.

Konieczna jest otwartość na nowe technologie

W trakcie wystąpienia mówił pan, że banki, które nie poszły w cyfryzację dziesięć lat temu, przegapiły szansę. Czy tak samo jest z AI?

Mamy za sobą trzy rewolucje. Od komputerów mainframe w latach 70-tych przez smartfony i chmurę obliczeniową w latach 2000 i rozwój fintechu. Teraz stajemy się natywni dla sztucznej inteligencji. Nie wystarczy po prostu dodać AI do naszej infrastruktury, trzeba się zresetować, przemyśleć wszystko na nowo. Stanie się natywnym użytkownikiem AI oznacza, że każdy proces, produkt i usługa mają wbudowaną inteligencję. Kiedyś Jack Ma z Alibaby mówił, że jego firma powstała w internecie, a nie w Chinach.

Kto będzie budował swoich agentów dla użytkowników? Sklepy, banki, firmy technologiczne?

To kwestia wyboru, AI można wdrażać na wiele sposobów. Kluczowe jest to, by być otwartym na zmianę. Jeśli ktoś ma dziś rozdrobnione struktury danych w silosach i ich nie wykorzystuje, to niech nie myśli, że jest inteligentny. Trzeba kwestionować status quo i ciągle pytać: dlaczego.

Główne wnioski

1. Uzależnienie banków od wąskiego grona dostawców technologii tworzy niebezpieczną koncentrację ryzyka. Te same giganty dostarczają infrastrukturę chmurową oraz narzędzia AI. Według Chrisa Skinnera oszczędzanie na równoległych systemach zapasowych pozbawia instytucje elastyczności i naraża je na długotrwałe paraliże operacyjne w przypadku awarii.
2. Autonomiczni agenci sztucznej inteligencji reprezentujący klientów będą obiektywnie wyszukiwać najkorzystniejsze oferty finansowe i przenosić środki bez podatności na marketing. Zjawisko to zmusza banki do radykalnej redefinicji relacji z użytkownikami, gdyż dotychczasowe metody zatrzymywania klienta stracą skuteczność.
3. Doklejanie sztucznej inteligencji do przestarzałych systemów i rozproszonych baz danych nie przyniesie przewagi konkurencyjnej. Banki muszą całkowicie zresetować architekturę procesów, eliminować dawne struktury i budować usługi od podstaw w modelu natywnym dla AI, stale poddając całą infrastrukturę ciągłym testom skrajnym.