Bank AS Blokir Agen AI, Keamanan Rekening Nasabah Jadi Sorotan

Sejumlah bank besar di Amerika Serikat (AS) mulai memperketat akses agen Artificial Intelligence (AI) pihak ketiga ke rekening nasabah. Langkah ini dilakukan untuk mencegah agen AI mengakses akun perbankan menggunakan nama pengguna dan kata sandi nasabah, terutama ketika agen tersebut berpotensi melakukan tindakan di luar instruksi yang diberikan.

Kebijakan tersebut menjadi perhatian karena agen AI kini semakin mampu menjalankan berbagai tugas secara mandiri, termasuk mengakses layanan keuangan, memeriksa saldo, hingga melakukan transaksi. Namun, kemampuan ini juga menghadirkan risiko baru ketika agen memperoleh akses langsung ke rekening bank.

Axios melaporkan pada 22 Oktober bahwa sejumlah bank mulai mendeteksi keberadaan agen AI eksternal di rekening nasabah. Beberapa di antaranya bahkan diduga mencoba melakukan tindakan yang tampak berjalan secara mandiri tanpa mengikuti instruksi pengguna.

Pada hari yang sama, Reuters juga melaporkan bahwa sejumlah bank besar AS telah memblokir agen AI pihak ketiga agar tidak dapat beroperasi di dalam rekening nasabah maupun melakukan transaksi.

Meski demikian, belum diketahui secara pasti berapa banyak rekening yang terdampak dan tindakan apa saja yang sempat dilakukan oleh agen tersebut.

Morgan Stanley menjadi salah satu bank yang mengambil langkah pemblokiran. Namun, sumber yang mengetahui kebijakan bank tersebut mengatakan kepada Reuters bahwa pihaknya belum menemukan aktivitas tidak sah ataupun tindakan menyimpang yang dilakukan agen AI.

Langkah serupa dilakukan Charles Schwab. CEO Charles Schwab, Rick Wurster, mengatakan kepada Bloomberg Television pada 16 Oktober bahwa perusahaannya memblokir sekitar 10 hingga 20 agen eksternal berukuran besar setiap minggu, termasuk Muse milik Meta.

Meski membatasi akses agen eksternal, Schwab tidak sepenuhnya menutup peluang pemanfaatan AI. Perusahaan berencana mengizinkan model AI pihak ketiga untuk memeriksa saldo rekening dan melakukan riset melalui server Model Context Protocol (MCP) miliknya sendiri. Namun, akses tersebut tidak mencakup kemampuan memindahkan uang atau melakukan transaksi.

Bank Tegaskan Risiko Berbagi Kata Sandi

Sikap sejumlah bank terhadap agen AI juga berkaitan erat dengan keamanan informasi login nasabah. JPMorgan Chase, misalnya, menegaskan bahwa berbagi nama pengguna dan kata sandi dengan layanan pihak ketiga merupakan praktik yang tidak aman.

Dalam panggilan konferensi laporan keuangan kuartal III pada 13 Oktober, Chief Financial Officer JPMorgan, Jeremy Barnum, mengatakan bank berupaya memblokir layanan yang menggunakan metode berbagi kredensial tersebut selama memungkinkan.

Ia juga mengingatkan bahwa nasabah yang memberikan informasi login kepada agen AI harus menanggung risiko apabila agen tersebut melakukan tindakan yang tidak diinginkan.

Sementara itu, CEO JPMorgan Jamie Dimon mengatakan perusahaannya telah menggunakan agen AI untuk kebutuhan internal dan berencana memanfaatkannya dalam layanan kepada nasabah.

"Kami tidak menentang agen AI, tetapi juga tidak secara khusus mendukungnya," ujar Dimon.

Bank of America turut memberikan peringatan kepada nasabah. Dalam email yang dikirimkan kepada pelanggan, bank tersebut mengingatkan bahwa siapa pun yang membagikan informasi login harus bertanggung jawab atas aktivitas yang terjadi melalui akses tersebut.

Wells Fargo bahkan memperbarui perjanjian layanan perbankan online yang mulai berlaku pada 24 November.

Dalam ketentuan baru itu, instruksi maupun transaksi yang dilakukan agen AI menggunakan informasi login atau kewenangan yang diberikan nasabah dapat dianggap sebagai tindakan nasabah sendiri tanpa memerlukan verifikasi tambahan, sepanjang diizinkan oleh hukum yang berlaku.

Artinya, nasabah dapat dimintai pertanggungjawaban apabila agen melakukan tindakan yang tidak diinginkan atau melampaui kewenangan yang diberikan.

Wells Fargo juga mempertahankan hak untuk membatasi akses agen AI ke rekening nasabah.

Di tengah pembatasan tersebut, sejumlah bank mulai mempertimbangkan mekanisme akses yang lebih terbatas, yakni read-only. Dengan mekanisme ini, agen AI hanya dapat membaca informasi rekening, seperti saldo dan riwayat transaksi, tanpa memiliki kemampuan untuk memindahkan dana.

JPMorgan telah menerapkan pendekatan serupa dengan mengizinkan sejumlah perangkat pihak ketiga melihat data rekening nasabah. Namun, perangkat tersebut tidak diperbolehkan mengirim uang ataupun membayar tagihan.

Aturan Open Banking AS Masih Tertahan

Persoalan akses agen AI ke rekening bank sebenarnya berkaitan dengan perdebatan lama antara industri perbankan dan perusahaan teknologi finansial atau fintech. Selama bertahun-tahun, bank dan perusahaan fintech berselisih mengenai penggunaan aplikasi pengelolaan anggaran dan pembayaran yang mengumpulkan data perbankan dengan cara masuk ke rekening nasabah menggunakan kata sandi mereka.

Praktik tersebut dikenal sebagai screen scraping. Metode ini memungkinkan aplikasi pihak ketiga mengambil informasi dari halaman situs perbankan dengan mengaksesnya seperti pengguna biasa.

Namun, metode tersebut memiliki risiko keamanan karena mengharuskan nasabah membagikan informasi login kepada layanan eksternal. Untuk mengatasi persoalan tersebut, Consumer Financial Protection Bureau (CFPB), lembaga perlindungan konsumen sektor keuangan AS, menetapkan aturan Section 1033 pada Oktober 2024.

Aturan ini merupakan bagian penting dari kebijakan open banking yang bertujuan memberikan akses data keuangan kepada pihak ketiga melalui mekanisme yang lebih aman dan terstandarisasi.

Melalui ketentuan tersebut, bank diwajibkan menyediakan antarmuka bagi pengembang, yang umumnya berupa Application Programming Interface (API). Dengan API, pihak ketiga yang telah mendapatkan izin dapat mengakses data keuangan nasabah tanpa harus menggunakan metode berbagi kata sandi.

Menurut firma hukum Cooley, bank tidak dapat memenuhi kewajiban tersebut hanya dengan mengizinkan pihak ketiga melakukan screen scraping. Aturan itu juga melarang bank mengandalkan penggunaan kredensial nasabah oleh pihak ketiga untuk mengakses antarmuka tersebut.

CFPB berharap penerapan aturan ini dapat mengurangi praktik screen scraping yang selama ini menjadi salah satu sumber persoalan keamanan dalam pertukaran data perbankan.

Bank-bank terbesar di AS semula dijadwalkan mulai mematuhi aturan tersebut pada 1 April 2026. Namun, pelaksanaannya terhambat setelah pengadilan federal di Distrik Timur Kentucky mengeluarkan keputusan yang melarang CFPB memberlakukan aturan tersebut.

CFPB kemudian mulai meninjau kembali ketentuan Section 1033 pada Agustus 2025. Menurut firma hukum Cozen O'Connor, hingga Agustus 2026, rancangan revisi aturan tersebut telah dikirim untuk menjalani peninjauan regulasi oleh Gedung Putih, tetapi belum dipublikasikan.

Akibatnya, belum tersedia jalur akses yang diatur secara khusus untuk memungkinkan agen AI masuk ke rekening bank melalui mekanisme open banking. Mantan penasihat AI Gedung Putih, David Sacks, menilai bank seharusnya mendukung penggunaan agen AI yang bekerja berdasarkan instruksi pengguna.

Melalui pendekatan tersebut, nasabah dapat menentukan jenis akses yang diberikan, membatasi kewenangan agen, bahkan mencabut izin akses kapan saja. Sebagai tahap awal, bank dapat menyediakan akses read-only sebelum memberikan kemampuan yang lebih luas kepada agen AI.

Personal Agent Protocol Jadi Alternatif Standar Akses

Di tengah ketidakpastian regulasi open banking, sejumlah perusahaan teknologi dan perbankan mulai mendorong pembentukan standar bersama untuk mengatur akses agen AI. Bank of America, BBVA, Synchrony, dan Wells Fargo dilaporkan bergabung dengan Personal Agent Protocol, menurut laporan American Banker pada 15 Oktober.

Personal Agent Protocol merupakan standar terbuka yang dipimpin oleh Sierra dan Meta. Protokol ini dirancang untuk mengatur bagaimana agen AI mengidentifikasi dirinya ketika berinteraksi dengan perusahaan, memastikan pihak yang diwakilinya, serta membatasi akses sesuai dengan izin yang diberikan pengguna.

Standar tersebut menggunakan OAuth, yaitu protokol otorisasi yang memungkinkan pengguna memberikan akses terbatas kepada aplikasi atau layanan pihak ketiga tanpa harus membagikan kata sandi secara langsung. 

Melalui mekanisme ini, pengguna dapat menentukan apakah agen AI hanya diperbolehkan membaca informasi atau juga memiliki izin untuk melakukan perubahan dan tindakan tertentu. BBVA, yang menyebut dirinya sebagai bank Eropa pertama yang bergabung dalam inisiatif tersebut, menilai bahwa agen AI saat ini masih menghadapi kendala ketika berinteraksi dengan layanan digital.

Banyak agen AI masih harus mengakses situs web yang dirancang untuk digunakan manusia. Dalam sejumlah kasus, agen bahkan harus menggunakan kredensial milik pengguna untuk menyelesaikan tugas tertentu. BBVA menyebut Personal Agent Protocol telah melibatkan 35 mitra desain dari berbagai sektor, mulai dari teknologi, layanan keuangan, hingga e-commerce.

Keterlibatan Bank of America dan Wells Fargo dalam inisiatif ini memperlihatkan bahwa pembatasan akses agen AI tidak serta-merta menghentikan pengembangan teknologi tersebut. Sebaliknya, industri mulai mencari mekanisme yang memungkinkan agen AI tetap bekerja tanpa mengorbankan keamanan rekening nasabah.

Bank Lindungi Nasabah atau Pertahankan Keuntungan?

Di balik alasan keamanan, kebijakan bank memblokir agen AI juga memunculkan pertanyaan mengenai kepentingan bisnis perbankan.

Jim Bianco, Presiden Bianco Research, berpendapat bahwa agen AI berpotensi mengubah cara nasabah mengelola uang mereka. Agen AI dapat membantu memindahkan dana yang selama ini mengendap di rekening dengan bunga rendah ke instrumen keuangan lain, seperti reksa dana pasar uang atau money market funds.

Jika semakin banyak nasabah menggunakan agen AI untuk mengoptimalkan pengelolaan keuangan, bank berpotensi kehilangan sebagian dana simpanan yang selama ini menjadi sumber pendapatan mereka.

"Apakah Anda sebenarnya melindungi saya, atau justru melindungi keuntungan Anda sendiri?" ujar Bianco, seperti dikutip Malwarebytes.

Namun, Jamie Dimon memiliki pandangan berbeda. Ia menegaskan bahwa pembatasan akses agen eksternal merupakan langkah untuk melindungi nasabah dan sistem perbankan dari risiko keamanan.

Menurut laporan Malwarebytes, Dimon mengatakan JPMorgan tidak akan mengizinkan agen eksternal masuk ke sistem bank karena tindakan tersebut dinilai terlalu berisiko, baik bagi nasabah maupun bagi JPMorgan sendiri.

Perdebatan ini menunjukkan adanya tantangan besar dalam mengintegrasikan agen AI ke sektor keuangan. Di satu sisi, teknologi tersebut menawarkan kemudahan untuk mengelola rekening, memantau saldo, membandingkan produk keuangan, hingga menjalankan transaksi secara otomatis. Di sisi lain, akses yang terlalu luas dapat membuka peluang terjadinya penyalahgunaan, kesalahan transaksi, maupun tindakan yang tidak sesuai dengan keinginan nasabah.

Selama revisi aturan Section 1033 belum diberlakukan dan standar industri belum diterapkan secara luas, perusahaan pengembang agen AI masih harus menghadapi kebijakan akses yang berbeda-beda di setiap bank.

Dengan demikian, masa depan penggunaan agen AI dalam layanan keuangan tidak hanya bergantung pada kecanggihan teknologinya, tetapi juga pada kejelasan regulasi, standar keamanan, dan pembagian tanggung jawab antara bank, penyedia agen AI, serta nasabah.