Agentic Engineering για Τράπεζες: Ένα Σχέδιο 2026 για την Ανώτατη Διοίκηση και τους Μηχανικούς που θα το Χτίσουν

TL;DR. Η agentic AI έχει περάσει από το πιλοτικό στάδιο στην παραγωγή σε ολόκληρο τον παγκόσμιο τραπεζικό κλάδο. Το 70% των ιδρυμάτων τη χρησιμοποιεί σε κάποιον βαθμό· μόνο ένα στα πέντε διαθέτει ώριμο μοντέλο διακυβέρνησης. Στο μεταξύ, αυτόνομοι αντίπαλοι λειτουργούν με ταχύτητα μηχανής, το παλαιό απόθεμα COBOL με το οποίο πρέπει να διαλειτουργούν τα νέα συστήματα γράφτηκε για τις παραδοχές μαζικής επεξεργασίας (batch) της δεκαετίας του 1960, και η προθεσμία υψηλού κινδύνου του EU AI Act τον Αύγουστο του 2026 απέχει δώδεκα εβδομάδες. Αυτή είναι η θέση μηχανικής και διακυβέρνησης που μια τράπεζα πρέπει να κρατήσει.

Points clés

Agentic Engineering για Τράπεζες: Ένα Σχέδιο 2026 για την Ανώτατη Διοίκηση και τους Μηχανικούς που θα το Χτίσουν. Η agentic AI έχει περάσει από το πιλοτικό στάδιο στην παραγωγή σε ολόκληρο τον παγκόσμιο τραπεζικό κλάδο.
Η Χρονιά που η Agentic Engineering Έγινε Αναπόφευκτη. Η συζήτηση για την AI στις χρηματοοικονομικές υπηρεσίες κυριαρχούνταν, μέχρι πολύ πρόσφατα, από δύο γειτονικά αλλά διακριτά πράγματα: τα γενετικά (generative) περιβάλλοντα συνομιλίας (χρήσιμα αλλά με όρια), και τα…
Η Κατάσταση της Υιοθέτησης στον Τραπεζικό Κλάδο. Η συνολική εικόνα είναι σαφής.
Τρεις Φορείς Κινδύνου που οι Τράπεζες Πρέπει να Εσωτερικεύσουν. Πριν από οποιαδήποτε αρχιτεκτονική συζήτηση, η προσοχή του διοικητικού συμβουλίου θα πρέπει να επικεντρωθεί σε τρεις κινδύνους που είναι ειδικοί για τα agentic συστήματα και που φτάνουν νωρίτερα από ό,τι έχουν…

Agentic Engineering για Τράπεζες: Ένα Σχέδιο 2026 για την Ανώτατη Διοίκηση και τους Μηχανικούς που θα το Χτίσουν

Η agentic AI έχει περάσει από το πιλοτικό στάδιο στην παραγωγή σε ολόκληρο τον παγκόσμιο τραπεζικό κλάδο. Εβδομήντα τοις εκατό των ιδρυμάτων τη χρησιμοποιεί σε κάποιον βαθμό· μόνο ένα στα πέντε διαθέτει ώριμο μοντέλο διακυβέρνησης. Στο μεταξύ, αυτόνομοι αντίπαλοι λειτουργούν με ταχύτητα μηχανής, το παλαιό απόθεμα COBOL με το οποίο πρέπει να διαλειτουργούν τα νέα συστήματα γράφτηκε για τις παραδοχές μαζικής επεξεργασίας (batch) της δεκαετίας του 1960, και η προθεσμία υψηλού κινδύνου του EU AI Act απέχει δώδεκα εβδομάδες. Αυτή είναι η θέση μηχανικής και διακυβέρνησης που μια τράπεζα πρέπει να κρατήσει.

Βασικά Συμπεράσματα

Η μετάβαση από το vibe coding στην ανάπτυξη καθοδηγούμενη από προδιαγραφές δεν είναι πλέον απλώς φιλόδοξη επιδίωξη. Ο Andrej Karpathy, ο οποίος επινόησε τον όρο «vibe coding» τον Φεβρουάριο του 2025, αναγνώρισε έναν χρόνο αργότερα ⧉ ότι η εποχή αυτή τελειώνει και ότι η νέα προεπιλογή για τους επαγγελματίες είναι η agentic engineering — η ενορχήστρωση πρακτόρων έναντι λεπτομερών προδιαγραφών με ανθρώπινη εποπτεία.

Η υιοθέτηση στον τραπεζικό κλάδο είναι πραγματική και επιταχύνεται. Το 70% των τραπεζικών εταιρειών ⧉ αναφέρει ότι χρησιμοποιεί την agentic AI σε κάποιον βαθμό (16% σε παραγωγή, 52% σε πιλοτική φάση, EY 2026)· το 44% των χρηματοοικονομικών ομάδων θα τη χρησιμοποιήσει φέτος — αύξηση άνω του 600% σε ετήσια βάση σύμφωνα με τη Wolters Kluwer.

Η διακυβέρνηση δεν έχει ακολουθήσει τον ρυθμό. Η έρευνα State of AI 2026 της Deloitte διαπιστώνει ότι μόνο μία στις πέντε εταιρείες διαθέτει ώριμο μοντέλο διακυβέρνησης για αυτόνομους πράκτορες AI. Η ανάλυση της Deloitte για τη βάση δεδομένων MIT AI Risk Database εντοπίζει περισσότερους από 350 κινδύνους ⧉ που μπορούν να προκύψουν από αυτόνομη ή agentic συμπεριφορά.

Το τοπίο των απειλών έχει βιομηχανοποιηθεί. Η Anthropic αποκάλυψε τον Νοέμβριο του 2025 ότι η κινεζική κρατικά υποστηριζόμενη ομάδα GTG-1002 πειρατεύει το Claude Code για να διεξάγει αυτόνομη κατασκοπεία εναντίον περίπου 30 στόχων, με την AI να διαχειρίζεται το 80–90% των τακτικών επιχειρήσεων ανεξάρτητα. Η Flashpoint παρατήρησε αύξηση 1.500% στις σχετικές με την AI παράνομες συζητήσεις ⧉ μόνο μεταξύ Νοεμβρίου και Δεκεμβρίου 2025.

Το παλαιό απόθεμα είναι ο σιωπηλός περιορισμός. Οι προϋπολογισμοί IT των χρηματοοικονομικών υπηρεσιών καταναλώνονται κατά 70–75% από τη συντήρηση παλαιών συστημάτων, το 63% των τραπεζών εξακολουθεί να βασίζεται σε κώδικα γραμμένο πριν από το 2000, και οι περισσότερες τράπεζες αναφέρουν μόνο ένα ή δύο άτομα εσωτερικά που μπορούν να συντηρήσουν τον COBOL στον οποίο τρέχουν οι βασικές τους πλατφόρμες. Η agentic AI είναι πλέον η κυρίαρχη προσέγγιση για την κάλυψη αυτού του κενού.

Η ρυθμιστική στοίβα συγκλίνει. Υπό τον EU AI Act, η 2α Αυγούστου 2026 ενεργοποιεί την πλήρη εκτελεστότητα για τα συστήματα AI υψηλού κινδύνου (το Παράρτημα III περιλαμβάνει ρητά τη βαθμολόγηση πιστοληπτικής ικανότητας και την αξιολόγηση πιστοληπτικής ικανότητας). Το DORA είναι ήδη σε ισχύ. Ο SR 11-7 έχει επεκταθεί στην πρακτική των ρυθμιστικών αρχών ώστε να καλύπτει τα LLM και τα agentic συστήματα. Τα πρόστιμα για παραβίαση φτάνουν τα 35 εκατομμύρια ευρώ ή το 7% του παγκόσμιου ετήσιου κύκλου εργασιών.

Η ανθρώπινη εποπτεία δεν είναι μία ενιαία έννοια. Η διάκριση μεταξύ HITL (Human-in-the-Loop, όπου ο πράκτορας δεν μπορεί να εκτελέσει χωρίς ρητή ανθρώπινη έγκριση) και HOTL (Human-on-the-Loop, όπου ο πράκτορας εκτελεί αυτόνομα υπό ανθρώπινη παρακολούθηση) είναι πλέον το λειτουργικό πλαίσιο για τη συμμόρφωση με το Άρθρο 14 του EU AI Act, και κάθε πράκτορας υψηλού κινδύνου χρειάζεται μια ρητή θέση για το ποιο μοντέλο ισχύει.

Οι περισσότεροι πράκτορες θα αγοραστούν, όχι θα κατασκευαστούν. Η διαχείριση κινδύνου τρίτων υπό το DORA είναι η πιο ηχηρή, υποεκτιμημένη πρόκληση του 2026. Οι προμηθευτές θα προμηθεύσουν το μεγαλύτερο μέρος της agentic ικανότητας που θα αναπτύξουν οι τράπεζες· η ρυθμιστική υποχρέωση παραμένει στην τράπεζα, και τα περισσότερα υφιστάμενα συμβόλαια προμηθευτών δεν μπορούν να ικανοποιήσουν τις απαιτήσεις τεκμηρίωσης του Άρθρου 13.

Η agentic engineering δεν είναι «ChatGPT συν διακομιστές MCP». Είναι μια δομική θέση ιδιοκτησίας επί των από άκρη σε άκρη ροών του ιδρύματος — διαδρομές πελατών, κύκλοι ζωής συναλλαγών, επίπεδο ελέγχου, υπόστρωμα ελέγχου (audit), κβαντικά ασφαλές κρυπτογραφικό θεμέλιο — που κατασκευάζεται και λειτουργεί από την ίδια τη μηχανική λειτουργία του ιδρύματος, όχι εκχωρημένη σε ένα chatbot.

Η Χρονιά που η Agentic Engineering Έγινε Αναπόφευκτη

Η συζήτηση για την AI στις χρηματοοικονομικές υπηρεσίες κυριαρχούνταν, μέχρι πολύ πρόσφατα, από δύο γειτονικά αλλά διακριτά πράγματα: τα γενετικά (generative) περιβάλλοντα συνομιλίας (χρήσιμα αλλά με όρια), και τα μοτίβα Retrieval-Augmented Generation που τοποθετούνται πάνω σε εταιρικά δεδομένα (χρήσιμα, επίσης με όρια). Αυτό που άλλαξε μεταξύ τέλους 2025 και αρχών 2026 είναι ότι η τρίτη κατηγορία — αυτόνομοι πράκτορες που σχεδιάζουν, εκτελούν και ολοκληρώνουν ροές εργασίας πολλαπλών βημάτων με περιορισμένη ανθρώπινη επίβλεψη — μετακινήθηκε από την τεχνική επίδειξη στην επιχειρησιακή πραγματικότητα, και πέρασε ταυτόχρονα τόσο στην επιχείρηση όσο και στον φορέα απειλής.

Ο Andrej Karpathy, ο οποίος επινόησε τον όρο «vibe coding» τον Φεβρουάριο του 2025 ⧉, πέρασε τον επόμενο χρόνο παρακολουθώντας επαγγελματίες μηχανικούς να το ξεπερνούν. Η αναθεώρησή του — «agentic engineering» — είναι πλέον ο λειτουργικός όρος σε ολόκληρο τον κλάδο. Η ουσία της μετατόπισης είναι απλή: στη σοβαρή εργασία λογισμικού το 2026, οι μηχανικοί δεν γράφουν απευθείας τον κώδικα το 99% του χρόνου. Ενορχηστρώνουν πράκτορες που το κάνουν, ενώ οι ίδιοι ενεργούν ως επόπτες. Η εργασία δεν είναι πλέον η πληκτρολόγηση χαρακτήρων σε έναν επεξεργαστή· είναι η παραγωγή προδιαγραφών που περιορίζουν το τι μπορούν να παραγάγουν οι πράκτορες, ο σχεδιασμός των πυλών επαλήθευσης από τις οποίες πρέπει να περάσει η έξοδος, και η επιμέλεια των αρχιτεκτονικών αποφάσεων που υλοποιούν οι πράκτορες.

Αυτή η μετατόπιση ακούγεται σαν συζήτηση ομάδας μηχανικών. Στον τραπεζικό κλάδο δεν είναι. Είναι συζήτηση επιπέδου διοικητικού συμβουλίου, επειδή η ίδια agentic ικανότητα που ξαναγράφει τον τρόπο παραγωγής του εσωτερικού κώδικα ξαναγράφει επίσης τον τρόπο με τον οποίο λειτουργούν οι εξωτερικοί αντίπαλοι, τον τρόπο με τον οποίο οι ρυθμιστικές αρχές αναμένουν να ασκείται η εποπτεία, και τον τρόπο με τον οποίο ορίζεται η θεσμική περίμετρος. Μια τράπεζα που δεν κατέχει τη θέση της επί της agentic engineering μέχρι το τέλος του 2026 δεν είναι μια τράπεζα που απέφυγε το ερώτημα. Είναι μια τράπεζα της οποίας οι προμηθευτές, οι αντίπαλοι και οι ρυθμιστικές αρχές απάντησαν το ερώτημα για λογαριασμό της.

Η Κατάσταση της Υιοθέτησης στον Τραπεζικό Κλάδο

Η συνολική εικόνα είναι σαφής. Σύμφωνα με έρευνα που συγκεντρώθηκε από πολλαπλές μελέτες του 2026, το 70% των τραπεζικών στελεχών ⧉ αναφέρει ότι οι εταιρείες τους χρησιμοποιούν ήδη την agentic AI σε κάποιον βαθμό. Η Gartner προβλέπει ⧉ ότι μέχρι το τέλος του 2026 περίπου το 40% όλων των εταιρειών χρηματοοικονομικών υπηρεσιών θα λειτουργεί πράκτορες AI σε κάποια μορφή. Οι δαπάνες AI στις χρηματοοικονομικές υπηρεσίες βρίσκονται σε τροχιά να φτάσουν τα 67 δισεκατομμύρια δολάρια μέχρι το 2028 (IDC). Η McKinsey εκτιμά ότι η agentic AI μπορεί να επιστρέψει 10–12 ώρες την εβδομάδα στους διαχειριστές σχέσεων στον τραπεζικό κλάδο.

Η εικόνα της υλοποίησης είναι λιγότερο ενθαρρυντική. Η KPMG αναφέρει ⧉ ότι το 99% των εταιρειών σχεδιάζει να θέσει αυτόνομους πράκτορες σε παραγωγή, αλλά μόνο το 11% το έχει κάνει. Η EY διαπιστώνει ότι το 34% των ηγετών έχει αρχίσει να χρησιμοποιεί πράκτορες AI και μόνο το 14% τους έχει υλοποιήσει πλήρως. Η Forrester διαπιστώνει ότι το 57% των οργανισμών πιστεύει ότι στερείται των εσωτερικών ικανοτήτων για να αξιοποιήσει την agentic AI. Το χάσμα μεταξύ πρόθεσης και υλοποίησης δεν είναι διαφημιστικό τέχνασμα. Είναι μια πραγματική αντανάκλαση της εργασίας μηχανικής, διακυβέρνησης και κουλτούρας που δεν έχει ακόμη γίνει.

Η Αρχή Χρηματοοικονομικής Συμπεριφοράς (FCA) του Ηνωμένου Βασιλείου έχει εκφράσει δημόσια ανησυχίες ⧉ σχετικά με το ότι η ταχύτητα ανάπτυξης ξεπερνά την ωριμότητα της διακυβέρνησης — μια ένταση την οποία η Chief Data Officer της FCA, Jessica Rasu, έχει περιγράψει ως βραχυπρόθεσμο κίνδυνο για τους καταναλωτές λιανικής. Η McKinsey, χωριστά, προειδοποίησε ότι οι τράπεζες που αποτυγχάνουν να προσαρμόσουν τα επιχειρηματικά τους μοντέλα ⧉ κινδυνεύουν να διαβρώσουν έως και 170 δισεκατομμύρια δολάρια σε παγκόσμια κέρδη μέχρι το 2030. Και οι δύο παρατηρήσεις είναι ταυτόχρονα ορθές. Το ερώτημα δεν είναι αν πρέπει να κινηθούμε· είναι πώς να κινηθούμε με την επιχειρησιακή ακεραιότητα και ακεραιότητα διακυβέρνησης που η ρύθμιση των χρηματοοικονομικών υπηρεσιών πάντα απαιτούσε, και την οποία τα agentic συστήματα καθιστούν οξύτερη.

Τρεις Φορείς Κινδύνου που οι Τράπεζες Πρέπει να Εσωτερικεύσουν

Πριν από οποιαδήποτε αρχιτεκτονική συζήτηση, η προσοχή του διοικητικού συμβουλίου θα πρέπει να επικεντρωθεί σε τρεις κινδύνους που είναι ειδικοί για τα agentic συστήματα και που φτάνουν νωρίτερα από ό,τι έχουν σχεδιάσει οι περισσότερες τράπεζες.

1. Ο Αυτόνομος Αντίπαλος

Η πιο αποπροσανατολιστική εξέλιξη του 2026 είναι η επιχειρησιακοποίηση της agentic AI στην πλευρά της επίθεσης. Τον Αύγουστο του 2025, η Anthropic αποκάλυψε μια κατηγορία δραστηριότητας που ονόμασε vibe hacking ⧉: κυβερνοεγκληματίες που χρησιμοποιούν την agentic AI για να εκτελούν εξελιγμένες επιθέσεις σε κλίμακα, με την AI ενσωματωμένη σε αναγνώριση, συλλογή διαπιστευτηρίων, διείσδυση δικτύου και ανάλυση κλεμμένων δεδομένων. Τον Νοέμβριο του 2025 ⧉, η Anthropic αποκάλυψε ότι είχε διαταράξει μια εκστρατεία από μια κινεζική κρατικά υποστηριζόμενη ομάδα (με την ονομασία GTG-1002) που πειράτευσε στιγμιότυπα Claude Code για να διεξάγει αυτόνομη κατασκοπεία εναντίον περίπου τριάντα στόχων άμυνας, ενέργειας και τεχνολογίας, με την AI να διαχειρίζεται το 80–90% των τακτικών επιχειρήσεων και να λειτουργεί με χιλιάδες αιτήματα ανά δευτερόλεπτο — ταχύτητες αδύνατες για ανθρώπινους χειριστές.

Τον Ιανουάριο του 2026, η Step Finance — ένας διαχειριστής χαρτοφυλακίου DeFi βασισμένος στο Solana — παραβιάστηκε με έναν τρόπο που μετέτρεψε μια εισβολή σε συσκευή σε απώλεια 27–30 εκατομμυρίων δολαρίων, επειδή οι πράκτορες συναλλαγών AI της εταιρείας είχαν δικαιώματα να εκτελούν μεγάλες μεταφορές χωρίς ανθρώπινη έγκριση. Ο επιτιθέμενος χειραγώγησε κοινωνικά την ίδια την AI, ισχυριζόμενος ότι εκτελούσε ένα εξουσιοδοτημένο πρόγραμμα bug bounty. Το μάθημα ⧉ δεν ήταν ότι η AI ήταν εγγενώς μη ασφαλής· ήταν ότι ένας πράκτορας AI που αποδέχεται ισχυριζόμενη εξουσιοδότηση χωρίς επαλήθευση αποτελεί αδυναμία της περιμέτρου.

Η συνολική τάση είναι αυτό που οι τράπεζες πρέπει να εσωτερικεύσουν. Η Έκθεση Παγκόσμιας Πληροφορίας Απειλών 2026 της Flashpoint εντόπισε αύξηση 1.500% στις σχετικές με την AI παράνομες συζητήσεις ⧉ μεταξύ Νοεμβρίου και Δεκεμβρίου 2025, με τους επιτιθέμενους να αναπτύσσουν ενεργά αυτόνομα συστήματα που εξάγουν δεδομένα (scraping), εναλλάσσουν υποδομές, προσαρμόζουν τα μηνύματα και μαθαίνουν από αποτυχημένες προσπάθειες χωρίς συνεχή ανθρώπινη εποπτεία. Ο Jamie Dimon της JPMorgan έχει δηλώσει δημόσια και ρητά ⧉ ότι το αρχικό πλεονέκτημα σε αυτή την τεχνολογία ανήκει στην επίθεση, όχι στην άμυνα. Το συμπέρασμα είναι δυσάρεστο: μια τράπεζα που εκτελεί κλασικές επιχειρήσεις ασφάλειας εναντίον agentic αντιπάλων βρίσκεται, δομικά, στη θέση ενός σκακιστή του οποίου ο αντίπαλος έχει έναν υπολογιστή στη διάθεσή του.

2. Η Οπισθοδρόμηση στην Ποιότητα Κώδικα

Ο δεύτερος φορέας είναι εσωτερικός και πιο σιωπηλός. Ο κώδικας που παράγεται από LLM, ελλείψει πειθαρχίας προδιαγραφών και αυστηρής επαλήθευσης, κυκλοφορεί με ελαττώματα σε ρυθμό ουσιωδώς υψηλότερο από τον κώδικα που γράφεται από ανθρώπους. Μια ανάλυση της SonarQube πέντε κορυφαίων LLM ⧉ που παρήγαγαν κώδικα Java διαπίστωσε ότι πάνω από το 70% των εντοπισμένων ευπαθειών στην έξοδο του Llama 3.2 90B βαθμολογήθηκαν με σοβαρότητα BLOCKER, με περίπου τα δύο τρίτα των ευπαθειών του GPT-4o και του OpenCoder-8B να βαθμολογούνται ως BLOCKER ή CRITICAL. Οι Pearce et al. (IEEE S&P) διαπίστωσαν ότι περίπου το 40% των προγραμμάτων που παράγονται από LLM σε πλαίσια ευαίσθητα ως προς την ασφάλεια περιείχαν ευπάθειες. Οι Yan et al. (2025) τοποθέτησαν το εύρος στο 9,8–42,1% στα benchmarks τους. Ένας ξεχωριστός κατάλογος από τους Fu et al. εντόπισε 43 CWE σε τρία εργαλεία παραγωγής κώδικα AI.

Για έναν μη ρυθμιζόμενο κλάδο, αυτό είναι ένας φόρος παραγωγικότητας. Για μια τράπεζα, είναι ένας ρυθμιστικός και επιχειρησιακός κίνδυνος που συσσωρεύεται. Ο κώδικας που κυκλοφορεί με υψηλό ποσοστό ευπαθειών σε ένα σύστημα που διαχειρίζεται πληρωμές, εκκαθάριση ή δεδομένα πελατών δεν είναι ένα ζήτημα ποιότητας κώδικα στην αφαίρεση· είναι η επιφάνεια που οι αντίπαλοι κατηγορίας GTG-1002 θα ανιχνεύουν το 2027 με τα ίδια agentic εργαλεία που τον παρήγαγαν. Η άμυνα δεν είναι να απαγορευτεί ο κώδικας που παράγεται από LLM (εμπορικά αδύνατο), αλλά να περιβληθεί με την υποδομή επαλήθευσης και προδιαγραφών που εξασφαλίζει ότι τα ελαττώματα αναδεικνύονται πριν από την ανάπτυξη. Αυτός είναι ο πρακτικός λόγος για τον οποίο η ανάπτυξη καθοδηγούμενη από προδιαγραφές υιοθετείται με ταχύτητα από εταιρικούς οργανισμούς μηχανικής που δεν είναι εγγενώς εταιρείες τεχνολογίας.

3. Η Άγκυρα των Παλαιών Συστημάτων

Ο τρίτος φορέας είναι αυτός που οι τράπεζες ήδη κατανοούν καλύτερα, και τον οποίο η agentic μετάβαση κατέστησε ταυτόχρονα πιο επείγοντα και πιο διαχειρίσιμο. Περισσότερες από το 70% των εταιρειών Fortune 500 εξακολουθούν να βασίζονται σε mainframe, όπως σημειώνει η ανάλυση του Computer Weekly ⧉, συχνά χτισμένα πάνω σε δεκαετίες αλληλένδετου COBOL και RPG με προσαρμοσμένη επιχειρησιακή λογική. Στις χρηματοοικονομικές υπηρεσίες συγκεκριμένα, οι παλαιές τεχνολογίες καταναλώνουν το 70–75% των ετήσιων δαπανών IT ⧉. Μια μελέτη CIO που παρατέθηκε σε ανάλυση του κλάδου το 2026 διαπίστωσε ότι το 63% των τραπεζών εξακολουθεί να βασίζεται σε κώδικα γραμμένο πριν από το 2000, και περισσότερο από το 75% ανέφερε ότι διαθέτει μόνο ένα ή δύο άτομα εσωτερικά με τις δεξιότητες να τον συντηρήσουν.

Αυτό που άλλαξε τον Φεβρουάριο του 2026 ήταν η άφιξη αξιόπιστων agentic εργαλείων για τον εκσυγχρονισμό των παλαιών συστημάτων. Η ανακοίνωση της Anthropic ότι το Claude Code μπορούσε να χαρτογραφήσει εξαρτήσεις COBOL, να τεκμηριώσει ροές εργασίας και να εντοπίσει κινδύνους ⧉ που οι ανθρώπινοι αναλυτές θα χρειάζονταν μήνες για να αναδείξουν — σε συνδυασμό με παρόμοιες δυνατότητες από τη Microsoft (GitHub Copilot for COBOL, Watsonx Code Assistant) και την AWS (Mainframe Modernization με agentic AI) — έχει συμπιέσει ουσιαστικά την καμπύλη κόστους εκσυγχρονισμού. Η αντίδραση στην τιμή της μετοχής της IBM (μια πτώση 13% την ημέρα της ανακοίνωσης) ήταν ένα άκομψο αλλά ακριβές σήμα της αγοράς. Η AI αντιπροσωπεύει πλέον περίπου το ένα τρίτο των εταιρικών επενδύσεων εκσυγχρονισμού, και περισσότερες από το 75% των επιχειρήσεων χρησιμοποιούν AI στη στρατηγική εκσυγχρονισμού τους. Η άγκυρα των παλαιών συστημάτων είναι, για πρώτη φορά, ένα διαχειρίσιμο πρόβλημα μηχανικής παρά ένα ζήτημα μιας ολόκληρης γενιάς.

Γιατί το Vibe Coding Δεν Μπορεί να Είναι η Προεπιλογή στον Τραπεζικό Κλάδο

Αξίζει να είμαστε ακριβείς για το γιατί το vibe coding — σύντομο prompt, παρατήρηση εξόδου, επανάληψη — αποτυγχάνει ως προεπιλεγμένη ροή εργασίας σε ένα ρυθμιζόμενο απόθεμα. Ο τρόπος αποτυχίας δεν είναι ο προφανής (το LLM περιστασιακά παραισθάνεται). Ο τρόπος αποτυχίας είναι δομικός και εμφανίζεται σε τέσσερα σημεία ταυτόχρονα.

Το πρώτο είναι η έλλειψη κοινών συμβάσεων. Πολλαπλοί μηχανικοί που εργάζονται μέσω prompts συνομιλίας θα παραγάγουν πέντε διαφορετικούς τρόπους για να κάνουν το ίδιο πράγμα στην ίδια βάση κώδικα εντός ενός μόνο τριμήνου. Σε ένα μη ρυθμιζόμενο πλαίσιο, αυτό είναι τεχνικό χρέος. Σε ένα ρυθμιζόμενο πλαίσιο, αυτό είναι η επιφάνεια που καταρρέει υπό εξέταση.

Το δεύτερο είναι η αποσύνθεση του πλαισίου (context decay). Οι πράκτορες AI είναι χωρίς κατάσταση (stateless). Σε ένα μεγάλο έργο, οι συνομιλίες υπερβαίνουν τα παράθυρα πλαισίου, και το σκεπτικό πίσω από προηγούμενες αρχιτεκτονικές αποφάσεις εξατμίζεται. Ο ίδιος πράκτορας, δύο εβδομάδες αργότερα, θα λάβει την αντίστροφη απόφαση σε μια νέα συνομιλία επειδή τίποτα δεν διατηρεί το σκεπτικό της πρώτης. Για συστήματα που χρειάζονται μια διαδρομή ελέγχου (audit trail) για τις ρυθμιστικές αρχές, αυτό είναι δομικά ασύμβατο.

Το τρίτο είναι η αόρατη συσσώρευση ελαττωμάτων. Τα ευρήματα των Pearce, Yan και SonarQube που παρατέθηκαν παραπάνω δεν είναι ακραίες περιπτώσεις. Είναι ο βασικός ρυθμός με τον οποίο τα LLM παράγουν ευάλωτο κώδικα ελλείψει πειθαρχίας προδιαγραφών και αυστηρής δοκιμής. Μια τράπεζα που εκτελεί ροές εργασίας vibe coding στην παραγωγή συσσωρεύει αυτά τα ελαττώματα με τον ίδιο ρυθμό, χωρίς την ορατότητα να γνωρίζει τι έχει κυκλοφορήσει.

Το τέταρτο είναι το πρόβλημα της ρυθμιστικής ιχνηλασιμότητας. Το Άρθρο 12 του EU AI Act απαιτεί αυτόματη καταγραφή εισόδων και εξόδων για τα συστήματα AI υψηλού κινδύνου. Ο SR 11-7 απαιτεί τεκμηριωμένους ρόλους ιδιοκτήτη μοντέλου και επικυρωτή, διαχείριση αλλαγών για τις ενημερώσεις μοντέλων, και αναφορά στο διοικητικό συμβούλιο για τον κίνδυνο μοντέλων AI. Το DORA απαιτεί ολοκληρωμένη διαχείριση κινδύνου ICT με τεκμηριωμένα στοιχεία. Καμία από αυτές τις υποχρεώσεις δεν μπορεί να ικανοποιηθεί από μια ροή εργασίας της οποίας το κύριο τεχνούργημα είναι ένα ιστορικό συνομιλίας που κανείς δεν διατηρεί.

Το συμπέρασμα δεν είναι ότι τα LLM είναι ακατάλληλα για τον τραπεζικό κλάδο. Το συμπέρασμα είναι ότι η ροή εργασίας που τα περιβάλλει πρέπει να παράγει προδιαγραφές, διαδρομές ελέγχου και πύλες επαλήθευσης ως αποτελέσματα πρώτης κατηγορίας παρά ως εκ των υστέρων σκέψεις. Αυτό ακριβώς είναι η ανάπτυξη καθοδηγούμενη από προδιαγραφές, σε επιχειρησιακό επίπεδο.

Ανάπτυξη Καθοδηγούμενη από Προδιαγραφές σε ένα Ρυθμιζόμενο Απόθεμα

Η ανάπτυξη καθοδηγούμενη από προδιαγραφές (SDD) αντιστρέφει τη σειρά της εργασίας. Αντί να μεταπηδά στην υλοποίηση και να επαναλαμβάνει με έναν πράκτορα, η ομάδα παράγει πρώτα μια προδιαγραφή — αρχιτεκτονικές αποφάσεις, απαιτήσεις, συμβόλαια διεπαφών, κριτήρια επιτυχίας, περιορισμούς ασφαλείας — και ο πράκτορας παράγει κώδικα που ικανοποιεί την προδιαγραφή. Η επαλήθευση είναι δομημένη: η προδιαγραφή ορίζει τι πρέπει να κάνει η έξοδος, και μια ξεχωριστή διαδικασία (παραγωγή δοκιμών, αναθεώρηση κώδικα, τυπική επαλήθευση όπου εφαρμόζεται) ελέγχει αν έχει γίνει.

Τα πρακτικά εργαλεία ενοποιήθηκαν στα τέλη του 2025 και στις αρχές του 2026. Το Spec Kit της GitHub ⧉ (κυκλοφόρησε στα τέλη του 2025) τυποποιεί την πρόθεση πριν από την παραγωγή κώδικα. Η AWS ενσωματώνει ροές εργασίας spec-first απευθείας στο IDE Kiro της. Η JetBrains και η Cursor έχουν εισαγάγει λειτουργίες σχεδιασμού που δομούν την αλληλεπίδραση με την AI. Πλαίσια όπως το BMAD (Breakthrough Method for Agile AI-Driven Development) προχωρούν περαιτέρω με ομάδες εξειδικευμένων πρακτόρων AI που αντικατοπτρίζουν τους ρόλους αναλυτή, αρχιτέκτονα, προγραμματιστή και QA σε ολόκληρο τον SDLC. Το Constitutional SDD, που τυποποιήθηκε σε ένα paper του arXiv τον Φεβρουάριο του 2026, ενσωματώνει ρητούς περιορισμούς ασφαλείας με αντιστοιχίσεις ευπαθειών CWE μέσα στην ίδια την προδιαγραφή.

Για μια τράπεζα, η παραλλαγή που έχει σημασία είναι αυτό που η ανάλυση της Augment Code αποκαλεί spec-anchored development — οι προδιαγραφές έρχονται πρώτες, η AI παράγει κώδικα περιορισμένο από αυτές, και πρόσθετα επίπεδα διακυβέρνησης (constitutional περιορισμοί, σημεία ελέγχου επίβλεψης, πύλες ανθρώπινης έγκρισης) βρίσκονται μεταξύ της παραγωγής και της συγχώνευσης (merge). Αυτή είναι η μόνη παραλλαγή που παράγει τη διαδρομή ελέγχου που αναμένει το Άρθρο 12 του EU AI Act, τον τεκμηριωμένο ρόλο επικυρωτή που απαιτεί ο SR 11-7, και την πειθαρχία διαχείρισης αλλαγών που απαιτεί το DORA.

Η απαιτούμενη επένδυση είναι πραγματική, αλλά είναι επίσης διαχειρίσιμη. Τα ιδρύματα που το κάνουν καλά αυτό έχουν μετακινήσει την καθημερινότητα των μηχανικών από την πληκτρολόγηση χαρακτήρων στην παραγωγή δύο τεχνουργημάτων: μιας προδιαγραφής που θα ικανοποιήσει ο πράκτορας, και ενός πλαισίου επαλήθευσης (verification harness) από το οποίο πρέπει να περάσει η έξοδος. Η γνωστική απαίτηση από τον μηχανικό είναι υψηλότερη από ορισμένες απόψεις (η σαφήνεια της πρόθεσης έχει μεγαλύτερη σημασία από ποτέ) και χαμηλότερη από άλλες (η μηχανική εργασία της συγγραφής boilerplate έχει εξαφανιστεί). Τα ιδρύματα που δεν έχουν ακόμη κάνει αυτή τη μετατόπιση εξακολουθούν να λειτουργούν σε μια κατάσταση όπου το LLM είναι ένας ταχύτερος δακτυλογράφος. Αυτή η θέση δεν είναι βιώσιμη σε ένα ρυθμιζόμενο απόθεμα πέρα από τους επόμενους δώδεκα μήνες.

Η Ρυθμιστική Στοίβα που Ισχύει Πλέον

Η ρυθμιστική περίμετρος του 2026 γύρω από την AI στον τραπεζικό κλάδο δεν είναι πλέον μια λίστα ελέγχου· είναι μια στοίβα επικαλυπτόμενων υποχρεώσεων που πρέπει να εξεταστούν από κοινού. Η πιο κρίσιμη μεμονωμένη ημερομηνία είναι η 2α Αυγούστου 2026, όταν οι υποχρεώσεις για τα συστήματα υψηλού κινδύνου του EU AI Act καθίστανται πλήρως εκτελεστές ⧉. Το Παράρτημα III ταξινομεί ρητά τη βαθμολόγηση πιστοληπτικής ικανότητας, την αξιολόγηση πιστοληπτικής ικανότητας, την αξιολόγηση κινδύνου στην ασφάλιση ζωής και υγείας, και την αξιολόγηση ή ταξινόμηση της χρηματοοικονομικής κατάστασης ατόμων ως υψηλού κινδύνου. Οι υποχρεώσεις που απορρέουν από αυτή την ταξινόμηση περιλαμβάνουν αξιολογήσεις συμμόρφωσης, συστήματα διαχείρισης ποιότητας, πλαίσια διαχείρισης κινδύνου, τεχνική τεκμηρίωση, εγγραφή σε βάση δεδομένων της ΕΕ, ισχυρή διακυβέρνηση δεδομένων, ανθρώπινη εποπτεία, και προστασία κυβερνοασφάλειας. Οι κυρώσεις για παραβίαση των υποχρεώσεων υψηλού κινδύνου φτάνουν τα 35 εκατομμύρια ευρώ ή το 7% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο.

Δίπλα στον AI Act βρίσκονται:

Το DORA (Digital Operational Resilience Act) είναι σε ισχύ από τον Ιανουάριο του 2025 και δημιουργεί 22 υποχρεώσεις διαχείρισης κινδύνου ICT που καλύπτουν ρητά τα συστήματα AI που χρησιμοποιούνται σε κρίσιμες χρηματοοικονομικές λειτουργίες. Η διαχείριση κινδύνου ICT, η εποπτεία τρίτων, η αναφορά περιστατικών, και ο έλεγχος επιχειρησιακής ανθεκτικότητας ισχύουν για τα στοιχεία AI εξίσου με οποιοδήποτε άλλο περιουσιακό στοιχείο ICT.
Ο SR 11-7 — η καθοδήγηση διαχείρισης κινδύνου μοντέλων της Federal Reserve και του OCC, που γράφτηκε αρχικά το 2011 — έχει επεκταθεί στην πρακτική των ρυθμιστικών αρχών ⧉ ώστε να καλύπτει τα LLM και τα agentic συστήματα. Οι εξετάσεις FFIEC περιλαμβάνουν πλέον ρητά το πεδίο εφαρμογής της διακυβέρνησης AI. Τα ιδρύματα που δεν μπορούν να προσκομίσουν έναν κατάλογο μοντέλων AI και αξιολογήσεις κινδύνου κατόπιν αιτήματος λαμβάνουν ευρήματα σήμερα.
Το NIST AI RMF (1.0, Ιανουάριος 2023) είναι εθελοντικό στις ΗΠΑ αλλά αναφέρεται ως βάση από τις ομοσπονδιακές ρυθμιστικές αρχές. Οι τέσσερις λειτουργίες του (Govern, Map, Measure, Manage) αντιστοιχίζονται καθαρά στις δομικές απαιτήσεις του EU AI Act.
Το ISO/IEC 42001 (δημοσιεύτηκε τον Δεκέμβριο του 2023) είναι το πρώτο πιστοποιήσιμο πρότυπο Συστήματος Διαχείρισης AI, δομημένο όπως το ISO/IEC 27001 για την ασφάλεια πληροφοριών. Η ζήτηση για πιστοποίηση 42001 επιταχύνθηκε απότομα κατά το Α΄ τρίμηνο του 2026 καθώς οι απαιτήσεις προμηθειών άρχισαν να το αναφέρουν.
Τα UK SM&CR και Consumer Duty — το Senior Managers and Certification Regime απαιτεί πλέον ονομαστική λογοδοσία για κάθε σύστημα AI υψηλού κινδύνου. Το Consumer Duty έχει επεκταθεί σε πρόσφατη καθοδήγηση της FCA ⧉ ώστε να καλύπτει τα αποτελέσματα για τους πελάτες λιανικής που επηρεάζονται από AI.
Ο μετακβαντικός οδικός χάρτης της G7 (Ιανουάριος 2026), το πλαίσιο μετάβασης τριών φάσεων του NCSC, και τα ευρήματα του Project Leap της BIS βρίσκονται δίπλα σε αυτή τη στοίβα. Το σημείο τομής έχει σημασία: ένα σύστημα AI που εκπαιδεύεται ή λειτουργεί σε ένα κρυπτογραφικό υπόστρωμα που δεν επιβιώνει από τη μετακβαντική μετάβαση είναι ένα σύστημα AI του οποίου η διαδρομή ελέγχου και οι ισχυρισμοί ακεραιότητας έχουν χρόνο ημιζωής μικρότερο από μια δεκαετία. Η συζήτηση για την agentic engineering και η συζήτηση για τη μετακβαντική κρυπτογραφία είναι, ολοένα και περισσότερο, η ίδια συζήτηση. (Για τη βαθύτερη εικόνα από την κρυπτογραφική πλευρά, δείτε το κείμενο του Μαΐου 2026 για τη μετακβαντική μετάβαση στα εταιρικά χρηματοοικονομικά.)

Σύγκριση Τριών Τρόπων Ανάπτυξης Υποβοηθούμενης από AI

Διάσταση	Vibe Coding	Ανάπτυξη Καθοδηγούμενη από Προδιαγραφές	Agentic Engineering
Κύρια είσοδος	Σύντομο prompt	Τυπική προδιαγραφή	Προδιαγραφή + σχέδιο ενορχήστρωσης πρακτόρων
Ρόλος μηχανικού	Επαναλήπτης prompt	Συγγραφέας προδιαγραφών	Ενορχηστρωτής και επικυρωτής
Πειθαρχία εξόδου	Άμεση παραγωγή κώδικα	Κώδικας περιορισμένος από την προδιαγραφή	Ροές εργασίας πολλαπλών πρακτόρων που παράγουν κώδικα, δοκιμές, τεκμηρίωση
Διαδρομή ελέγχου	Ιστορικό συνομιλίας (δεν διατηρείται)	Προδιαγραφή + παραγόμενος κώδικας + δοκιμές	Προδιαγραφή + ίχνη πρακτόρων + τεχνουργήματα επαλήθευσης
Ποσοστό ελαττωμάτων (μόνο LLM)	Ποσοστό ευπαθειών 10–40% (βάση βιβλιογραφίας)	Ουσιωδώς μειωμένο από τους περιορισμούς της προδιαγραφής	Χαμηλότερο με πύλες επαλήθευσης
Ρυθμιστική ιχνηλασιμότητα	Ανεπαρκής για AI υψηλού κινδύνου	Συμβατή με το Άρθρο 12 του EU AI Act	Σχεδιασμένη για το Άρθρο 12 + SR 11-7 + DORA
Κατάλληλο για τον τραπεζικό κλάδο;	Όχι, για παραγωγή	Ναι, με διακυβέρνηση	Ναι, με ώριμη διακυβέρνηση
Ανώτατο όριο δυνατοτήτων	Περιορισμένο από το single-shot prompting	Περιορισμένο από την ποιότητα της προδιαγραφής	Περιορισμένο από την ποιότητα της ενορχήστρωσης

Πηγή: Σύνθεση των σχολίων του Karpathy (2026), της ανάλυσης SDD της Augment Code ⧉, της ανάλυσης Spec-Driven Development της CGI ⧉, και της ακαδημαϊκής βιβλιογραφίας για τα ποσοστά ευπαθειών παραγωγής κώδικα από LLM (Pearce et al., Yan et al., Fu et al., 2023–2025).

Χτίζοντας την Agentic Τράπεζα: Μια Αρχιτεκτονική Ματιά

Η στρατηγική θέση πίσω από αυτές τις ροές εργασίας είναι αυτό που η ανώτατη διοίκηση πρέπει να κατέχει ρητά. Η agentic engineering στον τραπεζικό κλάδο δεν είναι μια πρωτοβουλία παραγωγικότητας προγραμματιστών. Είναι μια θεσμική ικανότητα που αγγίζει τις από άκρη σε άκρη διαδρομές πελατών, ολόκληρο τον κύκλο ζωής των συναλλαγών, και το κρυπτογραφικό υπόστρωμα και υπόστρωμα ελέγχου που υπόκειται και των δύο. Τέσσερα επίπεδα αυτής της ικανότητας αξίζουν άμεση προσοχή από τη διοίκηση, από πάνω προς τα κάτω:

Επίπεδο 4 — Επίπεδο Ελέγχου Πρακτόρων Διακυβέρνηση, έλεγχος, διακόπτες τερματισμού (kill switches), ανίχνευση συμπεριφορικών ανωμαλιών, ανθρώπινη παράκαμψη. Διαμορφώσεις εποπτείας HITL και HOTL ανά κατηγορία πράκτορα.

Επίπεδο 3 — Agentic Ροές Εργασίας Διαδρομές πελατών, εσωτερικές λειτουργίες, αγωγός ανάπτυξης. Καθοδηγούμενες από προδιαγραφές εξ ορισμού για τις ροές υψηλού κινδύνου.

Επίπεδο 2 — Επίπεδο Δεδομένων & Μοντέλων AIBOM (AI Bill of Materials), μητρώο μοντέλων, υπόστρωμα ανάκτησης, έλεγχος εκδόσεων προτύπων prompt, προέλευση fine-tune.

Επίπεδο 1 — Κβαντικά Ασφαλές Θεμέλιο ML-KEM, ML-DSA, υβριδική PKI, ευελιξία κρυπτογραφίας (crypto-agility). Το υπόστρωμα από το οποίο εξαρτώνται οι ισχυρισμοί ακεραιότητας κάθε ανώτερου επιπέδου.

Επίπεδο 1 — Το Κβαντικά Ασφαλές Θεμέλιο. Κάθε επίπεδο πάνω από αυτό προϋποθέτει την ακεραιότητα του κρυπτογραφικού υποστρώματος. Με τον οδικό χάρτη της G7, το σχέδιο τριών φάσεων του NCSC, και το Project Leap της BIS όλα δημόσια καταγεγραμμένα, αυτό δεν είναι πλέον ένα εξειδικευμένο ζήτημα. Τα agentic συστήματα των οποίων οι διαδρομές ελέγχου υπογράφονται υπό κλασικό ECDSA, ή των οποίων η εγκαθίδρυση κλειδιών εξαρτάται από RSA ή ECDH, θα δουν τους ισχυρισμούς ακεραιότητάς τους να λήγουν μαζί με την κρυπτογραφία. Τα ιδρύματα που το κάνουν σωστά μετακινούν τη μετακβαντική εργασία ανάντη (upstream) και αντιμετωπίζουν τα ML-KEM, ML-DSA, και την υβριδική PKI ως το υπόστρωμα πάνω στο οποίο εδράζονται οι εγγυήσεις ελέγχου και ακεραιότητας κάθε ανώτερου επιπέδου.

Επίπεδο 2 — Το Επίπεδο Δεδομένων και Μοντέλων. Εδώ βρίσκεται το AI Bill of Materials (AIBOM). Ανάλογο με το Cryptographic Bill of Materials που χρησιμοποιείται στον σχεδιασμό μετακβαντικής μετάβασης, το AIBOM είναι ο κατάλογος κάθε μοντέλου, συνόλου δεδομένων, προτύπου prompt, δείκτη ανάκτησης, fine-tune, και εξάρτησης AI τρίτων που λειτουργεί το ίδρυμα. Είναι το τεχνούργημα που το Άρθρο 49 του EU AI Act ουσιαστικά απαιτεί, ο κατάλογος που ζητούν πλέον οι εξετάσεις SR 11-7, και το θεμέλιο κάθε αξιόπιστης στάσης διακυβέρνησης. Τα περισσότερα ιδρύματα δεν διαθέτουν ένα. Θα χρειαστούν ένα μέχρι τον Αύγουστο.

Επίπεδο 3 — Agentic Ροές Εργασίας. Αυτό είναι το επίπεδο που τα περισσότερα ιδρύματα χτίζουν αυτή τη στιγμή, συχνά χωρίς επαρκή προσοχή στα επίπεδα 1, 2 και 4. Οι ίδιες οι ροές εργασίας κυμαίνονται από εσωτερικές (παραγωγή κώδικα, σύνταξη ρυθμιστικών εγγράφων, διαλογή εξυπηρέτησης πελατών) έως προσανατολισμένες στον πελάτη (copilots διαχειριστών σχέσεων, onboarding, ενορχήστρωση KYC, παρακολούθηση συναλλαγών, βελτιστοποίηση FX) έως πλήρως αυτόνομες (λειτουργίες treasury, ορισμένες λειτουργίες συναλλαγών και διαχείρισης κινδύνου όπου το επιτρέπει η ανοχή των ρυθμιστικών αρχών). Η στρατηγική πειθαρχία σε αυτό το επίπεδο είναι να το αντιμετωπίζουμε ως μηχανική συστημάτων, όχι ως ανάπτυξη εφαρμογών — τα μοτίβα ενορχήστρωσης, οι κανόνες κλιμάκωσης, οι πύλες human-in-the-loop, και η εκπομπή ελέγχου είναι θέματα σχεδιασμού πρώτης κατηγορίας.

Επίπεδο 4 — Το Επίπεδο Ελέγχου Πρακτόρων. Αυτό είναι που η Deloitte έχει χαρακτηρίσει ως το «δωμάτιο ελέγχου πρακτόρων» ⧉: η υποδομή ελέγχου σε πραγματικό χρόνο, καταγραφής ενεργειών, ανίχνευσης συμπεριφορικών ανωμαλιών, διακοπτών τερματισμού, και ανθρώπινης παράκαμψης που περιβάλλει κάθε πράκτορα στην παραγωγή. Η απώλεια της Step Finance δεν ήταν, τεχνικά, μια αποτυχία AI. Ήταν μια αποτυχία του επιπέδου ελέγχου: οι πράκτορες είχαν δικαιώματα που δεν θα έπρεπε να είχαν, και η συμπεριφορική ανωμαλία που θα έπρεπε να είχε προκαλέσει διακοπή δεν το έκανε. Τα ιδρύματα που χτίζουν πρώτα το επίπεδο ελέγχου — πριν κλιμακώσουν την ανάπτυξη πρακτόρων — είναι αυτά που δεν θα δουν περιστατικά κατηγορίας Step Finance το 2027.

Η σχετική σύγκριση για την ανώτατη διοίκηση δεν είναι «κάνουμε περισσότερη AI από τους ανταγωνιστές μας;». Είναι το κατά πόσον το ίδρυμα κατέχει και τα τέσσερα επίπεδα, ή κατά πόσον ένα ή περισσότερα επίπεδα εκχωρούνται σιωπηλά σε έναν προμηθευτή χωρίς συμβατική δυνατότητα να ικανοποιήσει τις απαιτήσεις τεκμηρίωσης του Άρθρου 13 του EU AI Act. Το τελευταίο είναι μια θέση που φαίνεται καλή μέχρι που μια ρυθμιστική αρχή ανοίγει το ερώτημα.

Ανθρώπινη Εποπτεία στην Πράξη: HITL έναντι HOTL

Η μεμονωμένη διάκριση εντός του Επιπέδου 4 στην οποία επικεντρώνονται περισσότερο οι ρυθμιστικές αρχές το 2026 είναι μεταξύ δύο μοντέλων εποπτείας. Και τα δύο είναι μορφές ανθρώπινης επίβλεψης· διαφέρουν ως προς την καθυστέρηση, την κλίμακα, και την παραδοχή που η ρυθμιστική αρχή είναι πρόθυμη να παραχωρήσει σχετικά με τη συμπεριφορά του πράκτορα.

Το Human-in-the-Loop (HITL) είναι το μοντέλο στο οποίο ένας πράκτορας δεν μπορεί να εκτελέσει μια ουσιώδη ενέργεια χωρίς ρητή ανθρώπινη έγκριση. Ο πράκτορας προετοιμάζει την απόφαση, την παρουσιάζει, και περιμένει. Ένας πράκτορας αποκατάστασης KYC που επισημαίνει έναν λογαριασμό για κλείσιμο αλλά δεν μπορεί να τον κλείσει χωρίς την έγκριση ενός υπευθύνου συμμόρφωσης είναι HITL. Ο συμβιβασμός είναι επιχειρησιακός: το HITL είναι ασφαλέστερο και παράγει μια σαφή διαδρομή ελέγχου κατά το Άρθρο 14, αλλά δεν κλιμακώνεται σε ροές εργασίας υψηλού όγκου, χαμηλής καθυστέρησης.

Το Human-on-the-Loop (HOTL) είναι το μοντέλο στο οποίο ένας πράκτορας εκτελεί αυτόνομα εντός οριοθετημένων παραμέτρων, με τους ανθρώπους να παρακολουθούν την τηλεμετρία σε πραγματικό χρόνο και να διατηρούν την εξουσία να διακόψουν τον πράκτορα σε οποιοδήποτε σημείο. Ένας πράκτορας ελέγχου απάτης σε πραγματικό χρόνο που μπλοκάρει αυτόματα τις συναλλαγές που ταιριάζουν με συγκεκριμένα μοτίβα κινδύνου, με μια ανθρώπινη ομάδα λειτουργιών να παρακολουθεί τον όγκο των ειδοποιήσεων και να παρεμβαίνει στις ανωμαλίες, είναι HOTL. Ο συμβιβασμός είναι αντίστροφος: το HOTL κλιμακώνεται, αλλά βασίζεται στη σωστή ρύθμιση των παραμέτρων του πράκτορα και σε ανίχνευση συμπεριφορικών ανωμαλιών που εντοπίζει την απόκλιση (drift) πριν συσσωρευτεί η βλάβη.

Το Άρθρο 14 του EU AI Act δεν καθορίζει HITL έναντι HOTL· απαιτεί η ανθρώπινη εποπτεία να είναι ουσιαστική. Η πρακτική συνέπεια είναι ότι κάθε πράκτορας υψηλού κινδύνου που λειτουργεί η τράπεζα πρέπει να έχει μια ρητή, τεκμηριωμένη θέση για το ποιο μοντέλο ισχύει, γιατί, και ποια είναι η διαδρομή κλιμάκωσης όταν ο πράκτορας αντιμετωπίζει καταστάσεις εκτός των οριοθετημένων παραμέτρων του. Οι περισσότερες τράπεζες που έτρεχαν πιλοτικά προγράμματα το 2025 δεν είχαν αυτή την τεκμηρίωση. Οι περισσότερες τράπεζες που θα λειτουργούν πράκτορες σε παραγωγή μέχρι τον Αύγουστο του 2026 θα τη χρειαστούν.

Ο κανόνας απόφασης δεν είναι σύνθετος. Για ουσιώδεις, χαμηλού όγκου, μη αναστρέψιμες ενέργειες — άρνηση πίστωσης σε φυσικό πρόσωπο, κλείσιμο λογαριασμού, εξουσιοδότηση εμβάσματος μεγάλης αξίας, υποβολή ρυθμιστικής αναφοράς — το HITL είναι η υπερασπίσιμη προεπιλογή. Για ενέργειες υψηλού όγκου, αναστρέψιμες, οριοθετημένες από παραμέτρους — ειδοποιήσεις παρακολούθησης συναλλαγών, ταξινόμηση εγγράφων, ρουτίνα διαλογής εξυπηρέτησης πελατών — το HOTL είναι κατάλληλο, υπό την προϋπόθεση ότι η υποδομή ανίχνευσης συμπεριφορικών ανωμαλιών και διακόπτη τερματισμού είναι ώριμη. Οι τράπεζες που αντιμετωπίζουν κάθε ροή εργασίας ως HITL δεν θα αποκομίσουν τη λειτουργική μόχλευση των agentic συστημάτων. Οι τράπεζες που αντιμετωπίζουν κάθε ροή εργασίας ως HOTL θα έχουν τελικά μια στιγμή Step Finance.

Αγορά έναντι Κατασκευής: Το Πρόβλημα του Πράκτορα Τρίτου

Η πραγματικότητα του 2026 που έχει διαφύγει από τις περισσότερες τράπεζες είναι ότι δεν θα κατασκευάσουν, κατά κύριο λόγο, την agentic ικανότητα. Θα την αγοράσουν. Το τοπίο των προμηθευτών — η agentic τραπεζική πλατφόρμα της Oracle που λανσαρίστηκε τον Φεβρουάριο του 2026, το Watsonx της IBM, η σουίτα Copilot της Microsoft, τα AWS Bedrock Agents, το Salesforce Agentforce, το NowAssist της ServiceNow, και το κύμα εξειδικευμένων στο fintech προμηθευτών πρακτόρων — κινείται ταχύτερα από ό,τι μπορεί η εσωτερική μηχανική των τραπεζών. Η στρατηγική συνέπεια είναι ότι οι περισσότεροι πράκτορες που θα λειτουργούν εντός μιας τράπεζας το 2027 θα έχουν γραφτεί από κάποιον άλλον, και το ερώτημα της διακυβέρνησης δεν είναι πλέον «μπορούμε να εμπιστευτούμε τους πράκτορές μας;» αλλά «μπορούμε να εμπιστευτούμε τους πράκτορες που έχουμε προμηθευτεί, και μπορούμε να το αποδείξουμε σε μια ρυθμιστική αρχή;».

Αυτή είναι η πιο ηχηρή, υποεκτιμημένη πρόκληση υπό το DORA. Τα Άρθρα 28–30 του κανονισμού καθιστούν τη διαχείριση κινδύνου ICT τρίτων έναν ενεργό εποπτικό τομέα, με ρητές απαιτήσεις που καλύπτουν συμβατικές διατάξεις, συνεχή παρακολούθηση, αξιολόγηση κινδύνου συγκέντρωσης, και στρατηγικές εξόδου. Οι Ευρωπαϊκές Εποπτικές Αρχές τηρούν ένα μητρώο κρίσιμων παρόχων ICT τρίτων, με άμεσες εποπτικές εξουσίες επί εκείνων που χαρακτηρίζονται ως τέτοιοι. Η νέα επιχειρησιακή πραγματικότητα είναι ότι οι προμηθευτές AI του 2026 — πάροχοι κορυφαίων μοντέλων, προμηθευτές πλατφορμών πρακτόρων, SaaS με δυνατότητες AI — είναι, ολοένα και περισσότερο, οι τρίτοι ICT για τους οποίους γράφτηκε το DORA.

Για μια τράπεζα σε θέση αγοραστή, ισχύουν τρεις πρακτικές πειθαρχίες:

Απαιτήστε το AIBOM από τον προμηθευτή. Κάθε προϊόν πράκτορα που προμηθεύεται για χρήση σε ροές εργασίας υψηλού κινδύνου πρέπει να συνοδεύεται από ένα τεκμηριωμένο bill of materials που καλύπτει τα υποκείμενα μοντέλα, την προέλευση και τους περιορισμούς των δεδομένων εκπαίδευσης, τα fine-tunes που εφαρμόστηκαν, τους δείκτες ανάκτησης που προσπελάστηκαν, τις εκδόσεις των προτύπων prompt, και την αλυσίδα εξαρτήσεων προς τα κατάντη στοιχεία του πράκτορα. Αυτό είναι το τεχνούργημα που θα χρειαστεί η τράπεζα για να ικανοποιήσει τις απαιτήσεις τεκμηρίωσης του Άρθρου 13 υπό το EU AI Act. Η τράπεζα δεν μπορεί να το παραγάγει αναδρομικά από έναν προμηθευτή που δεν έχει δεσμευτεί συμβατικά να το παρέχει.

Δοκιμάστε το μαύρο κουτί, όχι το φυλλάδιο. Οι αξιολογήσεις προμηθειών προμηθευτών επικεντρώνονταν ιστορικά στη σύγκριση χαρακτηριστικών και στις συνεντεύξεις με πελάτες αναφοράς. Για τα agentic συστήματα, αυτό δεν επαρκεί. Το ίδρυμα πρέπει να διεξάγει συμπεριφορική δοκιμή του πράκτορα υπό συνθήκες ανάλογες με την προβλεπόμενη ανάπτυξή του στην παραγωγή — συμπεριλαμβανομένης της αντιπαλικής ανίχνευσης για prompt injection, της αντοχής στην κοινωνική μηχανική (ο φορέας της Step Finance), της απόκλισης υπό μετατοπίσεις κατανομής δεδομένων, και των τρόπων καθυστέρησης και αποτυχίας των διαδρομών διακόπτη τερματισμού και παράκαμψης. Τα περισσότερα τρέχοντα συμβόλαια προμηθευτών δεν επιτρέπουν αυτό το βάθος δοκιμής χωρίς ειδική διαπραγμάτευση· αυτή η διαπραγμάτευση πρέπει να γίνει πριν υπογραφεί το συμβόλαιο, όχι μετά.

Επαναδιαπραγματευτείτε τα συμβόλαια με βάση τους όρους του Άρθρου 13. Οι περισσότερες υφιστάμενες συμφωνίες προμηθευτών AI δεν περιλαμβάνουν καμία από τις απαιτήσεις τεκμηρίωσης, δικαιωμάτων ελέγχου, ειδοποίησης αλλαγής μοντέλου, αναφοράς περιστατικών, ή αποκάλυψης υπο-επεξεργαστών που απαιτούν μαζί ο EU AI Act και το DORA. Η ανάλυση της Regulativ για εταιρείες του Ηνωμένου Βασιλείου ⧉ ήταν ρητή σε αυτό το σημείο: η νομική αναθεώρηση των συμφωνιών προμηθευτών διαρκεί εβδομάδες, και τα περισσότερα ιδρύματα δεν μπορούν να ικανοποιήσουν το Άρθρο 13 για ένα μοντέλο του οποίου την εσωτερική λειτουργία ο προμηθευτής τους δεν ήταν ποτέ συμβατικά υποχρεωμένος να αποκαλύψει. Η ρυθμιστική υποχρέωση βρίσκεται στον φορέα εγκατάστασης (deployer), όχι στον προμηθευτή. Οι ομάδες προμηθειών πρέπει να το γνωρίζουν αυτό πριν από τον επόμενο κύκλο ανανέωσης, όχι μετά από μια ρυθμιστική έρευνα.

Η σύνοψη σε επίπεδο διοικητικού συμβουλίου είναι ότι η σχέση με τον προμηθευτή έχει μετακινηθεί από την προμήθεια στη μεταφορά κινδύνου — και ο κίνδυνος, στην πραγματικότητα, δεν μεταφέρεται. Η τράπεζα παραμένει ο φορέας εγκατάστασης. Η τράπεζα παραμένει υπεύθυνη. Η τράπεζα χρειάζεται τα συμβατικά μέσα και την πειθαρχία δοκιμών που καθιστούν την ευθύνη της διαχειρίσιμη παρά απλώς τυπική.

Τι Σημαίνει Αυτό ανά Τύπο Τράπεζας

Η σωστή απάντηση ποικίλλει. Το μοτίβο που ακολουθεί είναι μια χονδρική κατάτμηση, όχι μια συνταγή.

Καθολικές Τράπεζες Πρώτης Βαθμίδας

Τα ιδρύματα με ισολογισμούς 1 τρισ.+ δολαρίων και παγκόσμια παρουσία είναι ταυτόχρονα τα πιο εκτεθειμένα (ευρύτερη ρυθμιστική περίμετρος, μεγαλύτερο παλαιό απόθεμα, στόχος υψηλότερης αξίας για αυτόνομους αντιπάλους) και τα καλύτερα προικισμένα με πόρους. Η στρατηγική προτεραιότητα είναι να χτίσουν πρώτα το επίπεδο ελέγχου — το Επίπεδο 4 της παραπάνω αρχιτεκτονικής — και να φέρουν την πειθαρχία της ανάπτυξης καθοδηγούμενης από προδιαγραφές στην εσωτερική λειτουργία μηχανικής πριν κλιμακώσουν περαιτέρω την ανάπτυξη πρακτόρων. Η ανταγωνιστική συνέπεια του να το κάνεις σωστά είναι σημαντική· η συνέπεια του να το κάνεις λάθος είναι υπαρξιακή, δεδομένης της έκθεσης σε κυρώσεις υπό τον EU AI Act και της επιχειρησιακής έκθεσης σε μοτίβα απειλής κατηγορίας GTG-1002.

Τράπεζες Μεσαίας Βαθμίδας και Περιφερειακές Τράπεζες

Το ανταγωνιστικό ερώτημα για τις τράπεζες δεύτερης βαθμίδας είναι οξύτερο από ό,τι για τις τράπεζες πρώτης βαθμίδας. Αντιμετωπίζουν την ίδια ρυθμιστική περίμετρο χωρίς τον ίδιο προϋπολογισμό διακυβέρνησης, την ίδια επιφάνεια απειλής χωρίς τους ίδιους αμυντικούς πόρους, και μια πελατειακή βάση που τις συγκρίνει ολοένα και περισσότερο με fintech εγγενή στην AI. Η πρακτική απάντηση είναι να τυποποιήσουν αυστηρά σε ένα μικρό σύνολο ελεγμένων προμηθευτών (με συμβόλαια που ικανοποιούν τις απαιτήσεις τεκμηρίωσης του Άρθρου 13), να επενδύσουν στην πειθαρχία της ανάπτυξης καθοδηγούμενης από προδιαγραφές παρά σε προσαρμοσμένη μηχανική πλατφόρμας, και να χρησιμοποιήσουν τα agentic εργαλεία για να συμπιέσουν το χρονοδιάγραμμα εκσυγχρονισμού του COBOL που αποτελεί στρατηγική άγκυρα για δύο δεκαετίες. Τα ιδρύματα που κινούνται νωρίς εδώ θα κλείσουν, ουσιωδώς, το τεχνολογικό χάσμα με τις τράπεζες πρώτης βαθμίδας για πρώτη φορά σε μια γενιά.

Fintechs, PSPs, και Ιδρύματα Συναφή με τα Κρυπτονομίσματα

Το τμήμα των fintech και των ιδρυμάτων πληρωμών έχει το αντίστροφο πρόβλημα: η ευελιξία είναι υψηλή, η διακυβέρνηση είναι συχνά χαμηλότερη από τις ομότιμες τράπεζες, και η έκθεση σε κυρώσεις του EU AI Act είναι, για ένα μεσαίου μεγέθους fintech, δυνητικά υπαρξιακή. Η στρατηγική πειθαρχία είναι να αντιμετωπίζεται η διακυβέρνηση AI ως πύλη ετοιμότητας προϊόντος παρά ως επικάλυψη συμμόρφωσης — χτίζοντας το AIBOM, το υπόστρωμα ελέγχου, και τις ροές εργασίας καθοδηγούμενες από προδιαγραφές μέσα στην κουλτούρα μηχανικής από την αρχή παρά να τα προσθέτουν εκ των υστέρων υπό ρυθμιστική πίεση. Για τα ιδρύματα των οποίων η υποδομή πληρωμών τέμνεται με την προθεσμία δομημένης διεύθυνσης SWIFT CBPR+ του Νοεμβρίου 2026, η επένδυση στην agentic engineering είναι επίσης ο φυσικός μηχανισμός για τη βιομηχανοποίηση της εργασίας αποκατάστασης δομημένων διευθύνσεων — οι κανόνες επικύρωσης, η επιβολή ποιότητας δεδομένων, και η ενσωμάτωση στον αγωγό CI είναι ακριβώς τα μοτίβα που οι ροές εργασίας καθοδηγούμενες από προδιαγραφές καθιστούν διαχειρίσιμα.

Εσωτερικές Λειτουργίες Μηχανικής

Για τους μηχανικούς και τους ερευνητές που διαβάζουν αυτό, η λειτουργική πειθαρχία που έχει σημασία είναι η καθημερινή. Μετακινήστε το κέντρο βάρους της εργασίας από την πληκτρολόγηση χαρακτήρων στην παραγωγή προδιαγραφών και πλαισίων επαλήθευσης. Αντιμετωπίστε τα ίχνη πρακτόρων, τα ενδιάμεσα σχέδια, και τις πύλες έγκρισης ως τεχνουργήματα πρώτης κατηγορίας στον έλεγχο εκδόσεών σας. Επενδύστε σε εργαλεία — Spec Kit, Kiro, τη λειτουργία plan της Cursor, το Claude Code με αρχεία δεξιοτήτων σε επίπεδο έργου — που καθιστούν την προδιαγραφή το ανθεκτικό τεχνούργημα και τον παραγόμενο κώδικα το αναλώσιμο. Η εργονομική μετατόπιση είναι πραγματική. Το επαγγελματικό όφελος είναι ότι η πειθαρχία που υιοθετείται στην αιχμή είναι επίσης η πειθαρχία που επιβιώνει από τον ρυθμιστικό έλεγχο.

Το Σχέδιο Δράσης 12 Εβδομάδων έως τον Αύγουστο του 2026

Για τον εκτελεστικό χορηγό που τρέχει ένα πρόγραμμα agentic engineering από τώρα μέχρι την ημερομηνία επιβολής του EU AI Act, η εργασία συμπιέζεται σε μια ακολουθία δώδεκα εβδομάδων. Το σχέδιο που ακολουθεί δεν είναι εξαντλητικό· είναι το ελάχιστο που ένα διοικητικό συμβούλιο θα πρέπει να αναμένει από ένα αξιόπιστο πρόγραμμα να έχει ολοκληρώσει μέχρι τις 2 Αυγούστου 2026.

Εβδομάδες 1–2 — Παραγωγή του AIBOM. Δημιουργήστε τον κεντρικό κατάλογο κάθε συστήματος AI, μοντέλου, συνόλου δεδομένων, προτύπου prompt, δείκτη ανάκτησης, fine-tune, και εξάρτησης AI τρίτων σε παραγωγή ή υπό ανάπτυξη. Αντιστοιχίστε κάθε εγγραφή στην ταξινόμηση του Παραρτήματος III του EU AI Act. Το παραδοτέο είναι μια ενιαία πηγή αλήθειας που ο CRO, ο CCO, ο CISO και ο CTO μπορούν ο καθένας να αναζητήσει.

Εβδομάδες 3–4 — Ταξινόμηση του μοντέλου εποπτείας ανά σύστημα. Για κάθε πράκτορα υψηλού κινδύνου και ουσιώδη πράκτορα, τεκμηριώστε ρητά αν το μοντέλο εποπτείας είναι HITL ή HOTL, το σκεπτικό, τη διαδρομή κλιμάκωσης, και τον κατονομαζόμενο υπεύθυνο άνθρωπο υπό το SM&CR (Ηνωμένο Βασίλειο) ή το ισοδύναμο εθνικό καθεστώς. Όπου η απάντηση είναι ασαφής, χρησιμοποιήστε ως προεπιλογή το HITL μέχρι να ολοκληρωθεί η ανάλυση.

Εβδομάδες 5–6 — Κατασκευή ή ενίσχυση του Επιπέδου Ελέγχου Πρακτόρων. Καταγραφή ενεργειών σε πραγματικό χρόνο, ανίχνευση συμπεριφορικών ανωμαλιών, διαδρομές διακόπτη τερματισμού και παράκαμψης λειτουργικές σε κάθε πράκτορα παραγωγής. Όπου το επίπεδο ελέγχου δεν υπάρχει ακόμη για ένα σύστημα, αυτό το σύστημα τίθεται σε κατάσταση περιορισμένης ανάπτυξης μέχρι να υπάρξει.

Εβδομάδες 7–8 — Αναθεώρηση συμβολαίων προμηθευτών. Η νομική υπηρεσία και οι προμήθειες ελέγχουν κάθε ενεργό συμβόλαιο προμηθευτή AI για δικαιώματα τεκμηρίωσης του Άρθρου 13, ειδοποίηση αλλαγής μοντέλου, αναφορά περιστατικών, δικαιώματα ελέγχου, και αποκάλυψη υπο-επεξεργαστών. Το αποτέλεσμα είναι μια κλιμακωτή λίστα: συμμορφούμενα, απαιτείται αποκατάσταση, απαιτείται αντικατάσταση. Οι αποφάσεις αντικατάστασης πρέπει να ξεκινήσουν τώρα ώστε να έχουν οποιαδήποτε πιθανότητα να ολοκληρωθούν φέτος.

Εβδομάδες 9–10 — Δοκιμαστική εκτέλεση της αξιολόγησης συμμόρφωσης. Για κάθε σύστημα υψηλού κινδύνου υπό το Παράρτημα III, ολοκληρώστε τη ροή εργασίας αξιολόγησης συμμόρφωσης σαν ένας κοινοποιημένος οργανισμός να επρόκειτο να φτάσει την επόμενη εβδομάδα. Αυτό θα αναδείξει κενά που φαίνονται ασήμαντα στα χαρτιά και είναι επιχειρησιακά σοβαρά υπό εξέταση. Διορθώστε ό,τι μπορεί να διορθωθεί· τεκμηριώστε το υπόλοιπο.

Εβδομάδες 11–12 — Επικύρωση πριν από τη μετάβαση και έγκριση από το διοικητικό συμβούλιο. Τελική αναθεώρηση του AIBOM, των ταξινομήσεων HITL/HOTL, των στοιχείων του επιπέδου ελέγχου, της κατάστασης αποκατάστασης προμηθευτών, και των αποτελεσμάτων της αξιολόγησης συμμόρφωσης. Επιβεβαίωση της ονομαστικής λογοδοσίας ανώτερου διοικητικού στελέχους. Καταγραφή της θέσης στα πρακτικά του διοικητικού συμβουλίου. Ειδοποίηση της ρυθμιστικής αρχής όπου το πλαίσιο αναμένει προειδοποίηση.

Τα ιδρύματα που ολοκληρώνουν αυτή την ακολουθία δώδεκα εβδομάδων δεν θα έχουν λύσει την agentic engineering. Θα έχουν θεμελιώσει το ελάχιστο επίπεδο που απαιτεί ένα αξιόπιστο πρόγραμμα. Τα ιδρύματα που δεν έχουν ξεκινήσει μέχρι τη δημοσίευση αυτού του άρθρου δεν είναι, όπως έθεσε το ίδιο σημείο η ανάλυση της Regulativ από την πλευρά του SWIFT, μοναδικά αμελή. Είναι η πλειοψηφία. Το ερώτημα που κάθε CCO, CRO και CTO πρέπει να απαντήσει τις επόμενες δεκαπέντε ημέρες είναι αν η εταιρεία δρα τον Μάιο ή σπεύδει εσπευσμένα τον Ιούλιο.

Συμπέρασμα

Η σκληρή παρατήρηση που έχει αποκρυσταλλωθεί σε ολόκληρο τον κλάδο τους τελευταίους έξι μήνες είναι ότι οι παλιοί τρόποι λειτουργίας σε εταιρική κλίμακα ξεπερνιούνται όχι από μια νέα τεχνολογία αλλά από ένα νέο μοτίβο εργασίας. Τα agentic εργαλεία έχουν αποκαλύψει — άλλοτε στην παραγωγή, άλλοτε σε αναφορές περιστατικών — ελαττώματα και κενά σε παλαιά αποθέματα που συσσωρεύονταν σιωπηλά επί χρόνια. Τα ίδια εργαλεία έχουν προσφέρει σε κακόβουλους φορείς πόρους που προηγουμένως απαιτούσαν την υποστήριξη κρατικού φορέα. Τα ίδια εργαλεία, χρησιμοποιούμενα εσωτερικά και με πειθαρχία, είναι η πιο αξιόπιστη διαδρομή που έχουν τα ιδρύματα για να κλείσουν το κενό των παλαιών συστημάτων, να ικανοποιήσουν τη ρυθμιστική προθεσμία του Αυγούστου 2026, και να φτάσουν τον επιχειρησιακό ρυθμό που απαιτούν πλέον οι προσδοκίες των πελατών και οι ανταγωνιστικές πραγματικότητες.

Τα ιδρύματα που κατέχουν αυτή τη θέση εσωτερικά — που αντιμετωπίζουν την agentic engineering ως δομική ικανότητα της τράπεζας παρά ως επικάλυψη παραγωγικότητας που προμηθεύεται από έναν προμηθευτή — θα περάσουν τα επόμενα δύο χρόνια συσσωρεύοντας πλεονέκτημα. Τα ιδρύματα που δεν το κάνουν θα περάσουν τα επόμενα δύο χρόνια ανακαλύπτοντας, σε αναφορές περιστατικών και ευρήματα ρυθμιστικών αρχών, τι θα έπρεπε να είχαν χτίσει. Η επιλογή μεταξύ αυτών των δύο εκβάσεων είναι μια απόφαση επιπέδου διοικητικού συμβουλίου του 2026, όχι ένα τεχνολογικό ζήτημα του 2028.

Για προηγούμενο πλαίσιο σε αυτόν τον ιστότοπο, το κείμενο του Απριλίου 2026 για τα κβαντικά κατώφλια κάλυψε την τροχιά υλικού που υποστηρίζει το Επίπεδο 1 της παραπάνω αρχιτεκτονικής, το κείμενο του Μαΐου 2026 για τη μετακβαντική μετάβαση στα εταιρικά χρηματοοικονομικά κάλυψε το κρυπτογραφικό υπόστρωμα σε βάθος, η ανάλυση του Μαΐου 2026 για την προθεσμία δομημένης διεύθυνσης pacs.008 κάλυψε τη ρυθμιστική και μηχανική πειθαρχία που καθιστά διαχειρίσιμη η επικύρωση καθοδηγούμενη από προδιαγραφές, και η εργασία ανοιχτού κώδικα σε Rust για τα KyberLib, pain001 και pacs008 εντάσσεται στην ευρύτερη προσπάθεια να τεθούν πρωτογενή στοιχεία επιπέδου παραγωγής — κβαντικά ασφαλή, συμβατά με πληρωμές, έτοιμα για έλεγχο — στα χέρια των ομάδων μηχανικής που θα χτίσουν την agentic τράπεζα. Η σύνδεση μεταξύ αυτών των κειμένων δεν είναι συμπτωματική. Είναι το σχήμα της εργασίας που απαιτούν τα επόμενα δύο χρόνια.

Συχνές Ερωτήσεις

Ποια είναι η διαφορά μεταξύ generative AI, agentic AI και agentic engineering;

Η generative AI παράγει περιεχόμενο ως απάντηση σε ένα prompt· είναι αντιδραστική. Η agentic AI επιδιώκει καθορισμένους στόχους αυτόνομα, προσπελαύνοντας δεδομένα, χρησιμοποιώντας εργαλεία, και αναλαμβάνοντας ενέργειες σε ροές εργασίας πολλαπλών βημάτων χωρίς να απαιτεί ανθρώπινο prompt σε κάθε βήμα. Η agentic engineering — ο όρος που υιοθέτησε ο Karpathy το 2026 ⧉ — είναι η λειτουργική πειθαρχία της ενορχήστρωσης πρακτόρων έναντι λεπτομερών προδιαγραφών με ανθρώπινη εποπτεία. Για τον τραπεζικό κλάδο, η διάκριση έχει σημασία επειδή η ρυθμιστική περίμετρος, το μοντέλο απειλής, και η πειθαρχία μηχανικής είναι διαφορετικά για κάθε κατηγορία. Ένα περιβάλλον συνομιλίας και ένας πλήρως αυτόνομος πράκτορας συναλλαγών δεν βρίσκονται στην ίδια ρυθμιστική κατηγορία, και η αντιμετώπισή τους σαν να είναι δημιουργεί έκθεση και στα δύο άκρα.

Γιατί η προθεσμία του Αυγούστου 2026 του EU AI Act είναι τόσο κρίσιμη για τις τράπεζες;

Το Παράρτημα III του AI Act ταξινομεί ρητά πολλές βασικές τραπεζικές περιπτώσεις χρήσης AI ως υψηλού κινδύνου: την αξιολόγηση πιστοληπτικής ικανότητας και τη βαθμολόγηση πιστοληπτικής ικανότητας φυσικών προσώπων, την αξιολόγηση κινδύνου και την τιμολόγηση στην ασφάλιση ζωής και υγείας, και την αξιολόγηση ή ταξινόμηση της χρηματοοικονομικής κατάστασης ατόμων. Από τις 2 Αυγούστου 2026, οι φορείς εγκατάστασης αυτών των συστημάτων πρέπει να αποδείξουν συμμόρφωση με συστήματα διαχείρισης ποιότητας, πλαίσια διαχείρισης κινδύνου, τεχνική τεκμηρίωση, αξιολογήσεις συμμόρφωσης, εγγραφές σε βάση δεδομένων της ΕΕ, ισχυρή διακυβέρνηση δεδομένων, ανθρώπινη εποπτεία, και προστασία κυβερνοασφάλειας. Το Άρθρο 12 απαιτεί αυτόματη καταγραφή εισόδων και εξόδων. Το Άρθρο 14 απαιτεί ουσιαστική ανθρώπινη εποπτεία (HITL ή HOTL, ανάλογα με το σύστημα). Οι κυρώσεις για παραβίαση φτάνουν τα 35 εκατομμύρια ευρώ ή το 7% του παγκόσμιου ετήσιου κύκλου εργασιών. Η εργασία για την ικανοποίηση αυτών των υποχρεώσεων είναι εργασία μηχανικής — όχι εργασία τεκμηρίωσης — και είναι ο πρακτικός λόγος για τον οποίο η πειθαρχία καθοδηγούμενη από προδιαγραφές επιταχύνθηκε κατά το Α΄ τρίμηνο του 2026.

Ποια είναι η πρακτική διαφορά μεταξύ HITL και HOTL, και πότε πρέπει να εφαρμόζεται καθένα;

Το HITL (Human-in-the-Loop) σημαίνει ότι ο πράκτορας δεν μπορεί να εκτελέσει ουσιώδεις ενέργειες χωρίς ρητή ανθρώπινη έγκριση. Το HOTL (Human-on-the-Loop) σημαίνει ότι ο πράκτορας εκτελεί αυτόνομα εντός οριοθετημένων παραμέτρων, με τους ανθρώπους να παρακολουθούν την τηλεμετρία και να διατηρούν την εξουσία να διακόψουν σε οποιοδήποτε σημείο. Το Άρθρο 14 του EU AI Act απαιτεί η εποπτεία να είναι ουσιαστική αλλά δεν καθορίζει ποιο μοντέλο. Ο κανόνας απόφασης είναι να εφαρμόζεται HITL όπου η ενέργεια είναι ουσιώδης, χαμηλού όγκου, και μη αναστρέψιμη (άρνηση πίστωσης, κλείσιμο λογαριασμού, εξουσιοδότηση εμβάσματος μεγάλης αξίας, υποβολή ρυθμιστικής αναφοράς)· και HOTL όπου η ενέργεια είναι υψηλού όγκου, αναστρέψιμη, και οριοθετημένη από παραμέτρους (ειδοποιήσεις παρακολούθησης συναλλαγών, ταξινόμηση εγγράφων, ρουτίνα διαλογής εξυπηρέτησης πελατών). Και τα δύο απαιτούν η υποδομή διακόπτη τερματισμού και παράκαμψης να είναι λειτουργική και δοκιμασμένη· η διαφορά είναι αν ο άνθρωπος βρίσκεται ανάντη της εκτέλεσης (HITL) ή δίπλα της (HOTL).

Οι περισσότεροι από τους πράκτορές μας θα προέρχονται από προμηθευτές. Πώς ικανοποιούμε το DORA και το EU AI Act για συστήματα που δεν κατασκευάσαμε;

Η ρυθμιστική υποχρέωση βρίσκεται στον φορέα εγκατάστασης, όχι στον προμηθευτή. Η πρακτική απάντηση είναι τριπλή. Πρώτον, απαιτήστε ένα τεκμηριωμένο AIBOM από τον προμηθευτή πριν από την υπογραφή — προέλευση μοντέλου, προέλευση δεδομένων εκπαίδευσης, fine-tunes, πρότυπα prompt, δείκτες ανάκτησης, αλυσίδα εξαρτήσεων. Δεύτερον, διεξάγετε συμπεριφορική δοκιμή του πράκτορα υπό συνθήκες ανάλογες με την παραγωγή, συμπεριλαμβανομένης της αντιπαλικής ανίχνευσης για prompt injection και της αντοχής στην κοινωνική μηχανική. Τρίτον, επαναδιαπραγματευτείτε τα συμβόλαια προμηθευτών ώστε να περιλαμβάνουν δικαιώματα τεκμηρίωσης του Άρθρου 13, ειδοποίηση αλλαγής μοντέλου, αναφορά περιστατικών, δικαιώματα ελέγχου, και αποκάλυψη υπο-επεξεργαστών — τα περισσότερα υφιστάμενα συμβόλαια δεν έχουν κανένα από αυτά. Τα Άρθρα 28–30 του DORA καλύπτουν τη διαχείριση κινδύνου ICT τρίτων και αποτελούν τη σχετική ρυθμιστική άγκυρα από την ευρωπαϊκή πλευρά· η καθοδήγηση FFIEC είναι το ισοδύναμο από την πλευρά των ΗΠΑ. Η εργασία είναι ουσιώδης· δεν μπορεί να αναβληθεί.

Πόσο ανήσυχες θα πρέπει πραγματικά να είναι οι τράπεζες για τους agentic αντιπάλους;

Η ειλικρινής απάντηση είναι ότι η απειλή είναι πραγματική και είναι επιχειρησιακά διακριτή από τις προηγούμενες κυβερνοαπειλές. Η αποκάλυψη της GTG-1002 από την Anthropic τον Νοέμβριο του 2025 είναι το κανονικό παράδειγμα: agentic AI που διαχειρίζεται το 80–90% των τακτικών επιχειρήσεων σε μια κρατικά υποστηριζόμενη εκστρατεία κατασκοπείας εναντίον περίπου τριάντα στόχων άμυνας, ενέργειας και τεχνολογίας, λειτουργώντας με χιλιάδες αιτήματα ανά δευτερόλεπτο. Το περιστατικό της Step Finance τον Ιανουάριο του 2026 — μια απώλεια 27–30 εκατομμυρίων δολαρίων που προκλήθηκε από πράκτορες συναλλαγών AI με υπερβολικά δικαιώματα — είναι το κανονικό παράδειγμα του πώς μια εσωτερική ανάπτυξη AI μπορεί να γίνει επιφάνεια επίθεσης. Η GTIR 2026 της Flashpoint παρατήρησε αύξηση 1.500% στις σχετικές με την AI παράνομες συζητήσεις σε έναν μόνο μήνα. Αυτά δεν είναι υποθετικά σενάρια· είναι υλικό αναφορών περιστατικών 2025–2026. Οι τράπεζες που εκτελούν κλασικές αμυντικές επιχειρήσεις εναντίον agentic αντιπάλων είναι, δομικά, ασύμμετρα εκτεθειμένες, και η σωστή απόκριση είναι να χτίσουν αμυντική ικανότητα AI-εναντίον-AI παρά να επιβραδύνουν την agentic μετάβαση στην επιθετική πλευρά.

Είναι η agentic AI απλώς «ChatGPT συν διακομιστές MCP»;

Όχι, και αυτή είναι μία από τις πιο κρίσιμες παρανοήσεις στην τρέχουσα αγορά. Ένα περιβάλλον συνομιλίας ενισχυμένο με διακομιστές MCP είναι ένα χρήσιμο μοτίβο για την ανάκτηση και ενέργεια επί δεδομένων εντός μιας οριοθετημένης συνεδρίας. Η agentic engineering είναι μια δομική ικανότητα του ιδρύματος — το AIBOM, το επίπεδο ελέγχου πρακτόρων, ο αγωγός ανάπτυξης καθοδηγούμενης από προδιαγραφές, το υπόστρωμα ελέγχου, το κβαντικά ασφαλές κρυπτογραφικό θεμέλιο, τα μοτίβα ενορχήστρωσης σε ολόκληρες τις από άκρη σε άκρη διαδρομές πελατών. Αυτά δεν είναι χαρακτηριστικά που αγοράζονται από έναν προμηθευτή· είναι μια θέση θεσμικής ιδιοκτησίας. Οι τράπεζες που αντιμετωπίζουν το ερώτημα ως απόφαση προμήθειας καταλήγουν με ρηχές αναπτύξεις που αποτυγχάνουν υπό εξέταση. Οι τράπεζες που το αντιμετωπίζουν ως ερώτημα ιδιοκτησίας μηχανικής και διακυβέρνησης καταλήγουν με ένα περιουσιακό στοιχείο που συσσωρεύει αξία.

Ποιο είναι το ένα πιο σημαντικό πράγμα που μια τράπεζα θα πρέπει να κάνει τις επόμενες δώδεκα εβδομάδες;

Τρία πράγματα, σε ακολουθία. Πρώτον, παραγάγετε το AI Bill of Materials — τον πλήρη κατάλογο κάθε συστήματος AI, μοντέλου, συνόλου δεδομένων, προτύπου prompt, δείκτη ανάκτησης, και εξάρτησης AI τρίτων σε παραγωγή ή υπό ανάπτυξη, με κάθε εγγραφή ταξινομημένη έναντι του Παραρτήματος III του EU AI Act. Το ίδρυμα που δεν μπορεί να το παραγάγει όταν το ζητήσει μια ρυθμιστική αρχή είναι το ίδρυμα που θα λάβει ευρήματα. Δεύτερον, χτίστε το επίπεδο ελέγχου πρακτόρων για κάθε σύστημα AI που λαμβάνει ή επηρεάζει ουσιωδώς αυτή τη στιγμή αποφάσεις που επηρεάζουν πελάτες — καταγραφή ελέγχου, ανίχνευση συμπεριφορικών ανωμαλιών, ανθρώπινη παράκαμψη, και διακόπτες τερματισμού ως προεπιλεγμένη υποδομή, όχι ως μελλοντικό στοιχείο οδικού χάρτη. Τρίτον, μετακινήστε την εσωτερική κουλτούρα μηχανικής από το vibe coding στην ανάπτυξη καθοδηγούμενη από προδιαγραφές στην εργασία που έχει τη μεγαλύτερη σημασία — συστήματα υψηλού κινδύνου, ρυθμιζόμενες ροές εργασίας, και ο αγωγός εκσυγχρονισμού παλαιών συστημάτων. Τα δύο πρώτα είναι εργασία συμμόρφωσης· το τρίτο είναι ανταγωνιστική εργασία. Τα ιδρύματα που κάνουν και τα τρία θα βρίσκονται σε ουσιωδώς ισχυρότερη θέση από εκείνα που κάνουν ένα ή κανένα. Η πλήρης ακολουθία δώδεκα εβδομάδων παρατίθεται στην ενότητα του σχεδίου δράσης παραπάνω.

Αναφορές

Sebastien Rousseau, (2026). Ασφαλίζοντας το Καθολικό: Ένας Οδηγός σε Επίπεδο Διοικητικού Συμβουλίου για τη Μετα-Κβαντική Μετάβαση στη Χρηματοοικονομική Επιχειρήσεων.
Sebastien Rousseau, (2026). Η προθεσμία δομημένης διεύθυνσης pacs.008 του Νοεμβρίου 2026: Μια εξάμηνη ματιά.
Sebastien Rousseau, (2026). Quantum Thresholds Are Moving Again.
Sebastien Rousseau, (2023). CRYSTALS-Kyber: Ο αλγόριθμος προστασίας στην κβαντική εποχή.
Mansurova, M. (2026). From Vibe Coding to Spec-Driven Development ⧉. Towards Data Science.
CGI, (2026). Spec-driven development: From vibe coding to intent engineering ⧉. CGI.
Augment Code, (2026). What Is Spec-Driven Development? A Complete Guide ⧉. Augment Code.
BCMS, (2026). Spec-Driven Development: The Definitive 2026 Guide ⧉. BCMS.
Deloitte, (2026). Managing the new wave of risks from AI agents in banking ⧉. Deloitte Center for Financial Services.
Anthropic, (2025). Detecting and countering misuse of AI: août 2025 ⧉. Anthropic.
Anthropic, (2025). Disrupting the first reported AI-orchestrated cyber espionage campaign ⧉. Anthropic.
Flashpoint, (2026). 2026 Global Threat Intelligence Report ⧉. HSToday / Flashpoint.
Beam AI, (2026). 5 Real AI Agent Security Breaches in 2026 and Their Lessons ⧉. Beam.
Congressional Research Service, (2026). Agentic Artificial Intelligence and Cyberattacks ⧉. Congress.gov.
European Commission, (2024). Regulation (EU) 2024/1689 on Artificial Intelligence (EU AI Act).
Knowlee, (2026). EU AI Act for Financial Services: Annex III Obligations for Banks, Fintechs, and Insurers ⧉. Knowlee.
Regulativ, (2026). The EU AI Act's août 2026 Deadline: What Financial Services Firms Must Do Now ⧉. Finextra.
AegisAI Compliance, (2026). AI Governance for Banks: SR 11-7 & EU AI Act Compliance Guide ⧉. AegisAI.
The Financial Brand, (2026). How Autonomous AI Agents Will Really Redefine Banking Growth ⧉. The Financial Brand.
UXDA, (2026). Could Agentic AI Banking Threaten Global Financial Services? ⧉. UXDA.
Neurons Lab, (2026). Agentic AI in Financial Services: A Research Roundup for 2026 ⧉. Neurons Lab.
Computer Weekly, (2026). AI to help mainframes remain business critical in 2026 ⧉. Computer Weekly.
The Financial Revolutionist, (2026). Legacy systems are putting banks at risk ⧉. The Financial Revolutionist.
CIO Magazine, (2025). Using AI to modernize mainframes: Turning legacy tech into a strategic advantage ⧉. CIO Magazine.
Microsoft Azure, (2025). How We Use AI Agents for COBOL Migration and Mainframe Modernization ⧉. Microsoft DevBlogs.
VentureBeat, (2026). Agentic coding at enterprise scale demands spec-driven development ⧉. VentureBeat.
The News (Pakistan), (2026). Why British banks' push for agentic AI is worrying UK regulators ⧉. The News International.
CNBC, (2026). Anthropic's Mythos set off a cybersecurity 'hysteria' ⧉. CNBC.

Τελευταία αναθεώρηση 2026-07-17.

Αναδημοσίευση αυτού του άρθρου

Agentic Engineering για Τράπεζες: Ένα Σχέδιο 2026 για την Ανώτατη Διοίκηση και τους Μηχανικούς που θα το Χτίσουν — Sebastien Rousseau

Η agentic AI έχει περάσει από το πιλοτικό στάδιο στην παραγωγή σε ολόκληρο τον παγκόσμιο τραπεζικό κλάδο. Το 70% των ιδρυμάτων τη χρησιμοποιεί σε κάποιον βαθμό· μόνο ένα στα πέντε διαθέτει ώριμο μοντέλο διακυβέρνησης. Στο μεταξύ, αυτόνομοι αντίπαλοι λειτουργούν με ταχύτητα μηχανής, το παλαιό απόθεμα COBOL με το οποίο πρέπει να διαλειτουργούν τα νέα συστήματα γράφτηκε για τις παραδοχές μαζικής επεξεργασίας (batch) της δεκαετίας του 1960, και η προθεσμία υψηλού κινδύνου του EU AI Act τον Αύγουστο του 2026 απέχει δώδεκα εβδομάδες. Αυτή είναι η θέση μηχανικής και διακυβέρνησης που μια τράπεζα πρέπει να κρατήσει.

Αυτό το άρθρο διατίθεται με άδεια Creative Commons Attribution 4.0 International. Η αναδημοσίευση απαιτεί αναφορά στην κανονική διεύθυνση URL.

Agentic Engineering για Τράπεζες: Ένα Σχέδιο 2026 για την Ανώτατη Διοίκηση και τους Μηχανικούς που θα το Χτίσουν — Sebastien Rousseau

Η agentic AI έχει περάσει από το πιλοτικό στάδιο στην παραγωγή σε ολόκληρο τον παγκόσμιο τραπεζικό κλάδο. Το 70% των ιδρυμάτων τη χρησιμοποιεί σε κάποιον βαθμό· μόνο ένα στα πέντε διαθέτει ώριμο μοντέλο διακυβέρνησης. Στο μεταξύ, αυτόνομοι αντίπαλοι λειτουργούν με ταχύτητα μηχανής, το παλαιό απόθεμα COBOL με το οποίο πρέπει να διαλειτουργούν τα νέα συστήματα γράφτηκε για τις παραδοχές μαζικής επεξεργασίας (batch) της δεκαετίας του 1960, και η προθεσμία υψηλού κινδύνου του EU AI Act τον Αύγουστο του 2026 απέχει δώδεκα εβδομάδες. Αυτή είναι η θέση μηχανικής και διακυβέρνησης που μια τράπεζα πρέπει να κρατήσει.

Originally published at https://sebastienrousseau.com/el/2026-05-17-agentic-engineering-banks-blueprint-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER