Daniel Wagner, Directeur Product en Engineering bij Q2 – Interviewreeks

Daniel Wagner, Directeur Product en Engineering bij Q2, is een ervaren technologie‑ en productleider met een achtergrond die kunstmatige intelligentie, machine learning, dataplatformen, digitaal bankieren en levering van enterprise‑software omvat. Voor hij bij Q2 kwam via de overname van Sensibill, werkte Wagner meer dan tien jaar bij Sensibill, waar hij door verschillende leiderschapsrollen groeide, waaronder Delivery Manager, Delivery Director, Director of Engineering en VP of Engineering. Hij leidde Data and AI teams die machine‑learning‑projecten ontwikkelden, hield toezicht op mobiele oplossingen voor grote financiële instellingen, en leidde recentelijk de engineering voor een klantdataplatform gericht op data‑verrijking en inzichten. Vroeger in zijn carrière was Wagner mede‑oprichter en CEO van de Braziliaanse activiteiten van Itelios, een applicatie‑ontwikkelingsbedrijf dat later werd overgenomen door Capgemini, nadat hij zijn loopbaan begon als software‑engineer. Q2 nam Sensibill in 2022 over om haar data‑ en machine‑learning‑mogelijkheden voor financiële instellingen te versterken.

Q2 is een fintech‑bedrijf dat digitale bank‑ en leningsoplossingen biedt aan banken, kredietunies, fintech‑bedrijven en alternatieve financiers. Het platform bestrijkt consumenten‑, MKB‑ en commerciële bankieren, evenals digitale onboarding, embedded finance, relatie‑pricing, risico‑ en fraudemanagement en datagedreven personalisatie. Q2 integreert steeds meer AI in haar productportfolio, waaronder tools die de productiviteit van bankiers verbeteren, frauduleuze activiteiten detecteren, de ervaring van rekeninghouders personaliseren en financiële instellingen helpen sneller datagedreven beslissingen te nemen. Het bedrijf bedient meer dan 1.000 financiële instellingen binnen haar bredere portfolio en positioneert haar technologie als een infrastructuurlaag om financiële instellingen te helpen hun digitale diensten te moderniseren en uit te breiden.

Uw werk bij Q2 richtte zich op cyber‑weerbaarheid en hoe organisaties zich voorbereiden op en herstellen van beveiligingsincidenten. Nu financiële instellingen AI‑agents gaan inzetten die acties kunnen ondernemen in plaats van alleen informatie te analyseren, welke nieuwe beveiligingsrisico’s baart u zich het meest zorgen?

Cybersecurity en fraudepreventie pakken verschillende delen van het probleem aan. Cybersecurity is verantwoordelijk voor “het beveiligen van de perimeter”, inclusief het waarborgen van account‑toegang en de onderliggende software. Mijn werk pakt het op vanaf dat punt, zodra iemand die perimeter heeft doorbroken, en richt zich op het bepalen of die persoon is wie hij beweert te zijn.

Met de opkomst van AI‑agents is de persoon die door die deur loopt een gedelegeerde agent die handelt namens iemand anders. Het risico waar ik mij het meest zorgen over maak, is prompt‑injectie. Dat is wanneer een fraudeur een legitieme gebruiker‑agent manipuleert om acties uit te voeren die de gebruiker nooit heeft geautoriseerd en die niet in het belang van die gebruiker zijn. Het is een nieuw front van fraude dat moeilijk te detecteren kan zijn.

Banken hebben traditioneel identiteits‑ en toegangsbeheersystemen gebouwd rond mensen, applicaties en service‑accounts. Moet een AI‑agent nu worden behandeld als een eigen, aparte identiteit, en wat zou dat in de praktijk betekenen?

De duidelijkste analogie komt uit het bedrijfsbankieren, waar gedelegeerde toegang al een volwassen discipline is. Bedrijven verlenen regelmatig werknemers beperkte toegang om specifieke taken uit te voeren, zoals het bekijken van saldi, zonder de volledige autoriteit van de accounteigenaar te geven.

Financiële instellingen zouden hetzelfde kader moeten toepassen op AI‑agents. Een agent moet worden behandeld zoals een bedrijf een menselijke assistent behandelt: een aparte identiteit met een gedefinieerde, beperkte rol. Dat betekent dat identiteits‑ en toegangsbeheer vanaf het begin moet worden opgebouwd rond nauwkeurig afgebakende agent‑permissies, in plaats van agents dezelfde status te geven als de accounteigenaar.

Wanneer een AI‑agent namens een medewerker of klant handelt, hoe moet een bank precies bepalen welke data de agent mag inzien, met welke rekeningen hij mag communiceren en welke financiële acties hij mag uitvoeren?

Begin met alleen‑lezen toegang als standaard. Het bankwezen heeft al de infrastructuur om dit niveau van granulariteit te ondersteunen, grotendeels omdat het bedrijfsbankieren dit al jaren vereist. Financiële instellingen kunnen zeer precies aangeven wat een agent mag zien en doen.

Het initiëren van een transactie en het goedkeuren ervan kunnen als afzonderlijke permissies worden behandeld, en beide kunnen verder worden beperkt op basis van bedrag of transactietype. Veel instellingen gebruiken al een twee‑persoon‑goedkeuringscyclus voor zakelijke rekeningen, en diezelfde workflow kan natuurlijk worden uitgebreid naar agents. Een agent mag een actie initiëren, maar de uiteindelijke goedkeuring moet bij de accounthouder blijven, zodat een persoon in de lus blijft voor alles behalve alleen het bekijken van informatie.

Least‑privilege toegang wordt complexer wanneer een agent tientallen stappen over meerdere systemen moet uitvoeren om een taak te voltooien. Hoe kunnen financiële instellingen agents voldoende autoriteit geven om bruikbaar te zijn zonder hen overmatige permissies te verlenen?

Er hoeft geen geld te worden verplaatst om een agent nuttig te maken. Het grootste deel van de waarde die een agent levert, komt voort uit het ophalen en organiseren van informatie, zoals het controleren van saldi, het volgen van uitgaven of het signaleren van trends. Dat vereist geen verhoogde permissies en is grotendeels de reden waarom mensen inloggen op hun rekeningen. Alles wat verder gaat, zoals geld verplaatsen of account‑gegevens wijzigen, behoort tot een aparte, strakker gecontroleerde autorisatielaag.

Fraudesystemen zijn ontworpen om verdacht menselijk gedrag te identificeren, zoals ongebruikelijke inlog‑ of transactiep Patronen. Hoe moet fraudedetectie evolueren wanneer legitieme AI‑agents zelf op machinale snelheid kunnen opereren en gedrag vertonen dat voor een menselijke gebruiker abnormaal zou lijken?

Sommige bestaande controles vertrouwen sterk op transactiesnelheid als signaal. Die signalen moeten worden herijkt voor een wereld waarin legitieme agents ook snel kunnen handelen. Dat gezegd hebbende, blijven de meeste van onze gedrags‑signalenen, die kijken naar wat normaal is voor een bepaalde gebruiker en een bepaalde begunstigde, relevant voor het opsporen van fraude. Financiële instellingen kunnen gedrag evalueren naast identiteitscontrole.

In de toekomst moeten financiële instellingen de mogelijkheid hebben om de detectie‑gevoeligheid omhoog of omlaag te draaien afhankelijk van de context, en de juiste permissies en logging hebben om een legitieme gebruikers‑agent te onderscheiden van een agent die door een fraudeur wordt bediend.

Wat gebeurt er als een aanvaller een AI‑agent compromitteert, de instructies manipuleert of de agent misleidt om een ongeautoriseerde actie uit te voeren? Welke signalen kunnen een financiële instelling helpen om een legitieme autonome actie te onderscheiden van een gecompromitteerde?

In dit scenario doet een agent iets wat de gebruiker nooit heeft gevraagd, vaak als gevolg van een prompt‑injectie‑aanval. De detectiebenadering verandert echter niet fundamenteel. We blijven kijken naar gedrag. Een actie die buiten de gevestigde patronen van een gebruiker valt, is een signaal dat het waard is om te markeren, ongeacht of een mens of een agent het heeft geïnitieerd.

Geldverplaatsing is een bijzonder risicovolle use‑case. Waar moeten banken een verplichte menselijke goedkeuring behouden, en zijn er transactietypen of drempels waarbij u vindt dat autonome agents niet zelfstandig mogen handelen?

Ja, limieten zijn noodzakelijk. Zoals eerder genoemd biedt het bedrijfsbankieren een precedent dat gemakkelijk kan worden aangepast voor AI‑agents. Tijdelijke goedkeuringen kunnen een agent toestaan een actie te initiëren, maar een mens moet deze nog steeds beoordelen en goedkeuren voordat deze definitief wordt.

In de praktijk betekent dit dat er drempels worden ingesteld zowel voor de waarde van individuele overboekingen als voor het aantal overboekingen dat een agent binnen een bepaalde periode kan initiëren. Verplichte menselijke goedkeuring mag niet alleen beperkt blijven tot geldverplaatsing. Bijvoorbeeld, het wijzigen van betalingsgegevens voor een gevestigde, vertrouwde begunstigde kan net zo riskant zijn als het verplaatsen van fondsen.

AI‑agents zullen steeds vaker samenwerken met andere agents die worden beheerd door fintech‑bedrijven, leveranciers, klanten of andere financiële instellingen. Hoe vergroot dit het risico van derden, en hoe kan een bank vertrouwen opbouwen wanneer zij niet elke agent in een financiële workflow kan controleren?

Er zijn twee scenario’s die hier genoemd moeten worden. Het eerste is wanneer de gebruiker een agent toegang geeft tot zijn of haar account. Deze agent handelt namens de gebruiker en onder diens autoriteit. Als die gebruiker de agent toelaat te werken volgens een Agent‑to‑Agent‑protocol en onder de leiding van andere agents, dan is het de gebruiker die dat risico draagt. Alles gebeurt onder zijn of haar autorisatie, en de banken zullen hun verantwoordelijkheid niet uitbreiden.

Het risicoprofiel verschuift wanneer een instelling een eigen, propriëtaire agent bouwt of exploiteert die specifiek is voor die bank. Op dat moment neemt de instelling directe verantwoordelijkheid voor het gedrag van die agent, wat verschilt van het honoreren van gedelegeerde toegang van een derde partij. Financiële instellingen moeten due diligence uitvoeren op elke derde‑partij‑agent die ze in een workflow toelaten, maar een deel van die verantwoordelijkheid wordt uiteindelijk teruggeschoven naar de eindgebruiker. De “circle of control” van de klant bepaalt hoe ver de verplichting van de instelling reikt.

Als een geautoriseerde AI‑agent een onjuiste beslissing neemt die leidt tot een financieel verlies, datalek of frauduleuze transactie, hoe moet de aansprakelijkheid dan worden verdeeld tussen de medewerker die de taak delegeerde, de financiële instelling, de technologie‑provider en het onderliggende model van de agent?

Reg E, de federale regel die consumentenbescherming voor elektronische transacties regelt, blijft hier van toepassing. Het stelt de limieten voor fraude‑aansprakelijkheid en de onderzoekseisen vast waar banken zich aan moeten houden. Omdat Reg E van kracht is, verdwijnt de plicht van een financiële instelling om een betwiste transactie te onderzoeken niet.

Wat verandert, is de onderliggende aansprakelijkheidsvraag. Als een gebruiker bewust toegang heeft gedelegeerd aan een agent en die agent een onjuiste beslissing maakt, ziet de verplichting van de instelling om de gebruiker te vergoeden er anders uit dan bij ongeautoriseerde fraude door een derde partij.

In feite betekent het delegeren van die autoriteit dat de gebruiker een deel van het risico accepteert dat ermee gepaard gaat. De instelling zal niet de aansprakelijkheid op zich nemen die normaal bij de accounthouder hoort, alleen omdat de fout is gemaakt door software in plaats van een persoon.

Vooruitkijkend, welke beveiligings‑ en governance‑fundamenten moeten banken en kredietunies vandaag nog implementeren voordat ze AI‑agents meer autonomie geven over gevoelige data, klantrekeningen en financiële transacties?

De grootste kans is om het governance‑model dat al bestaat in het bedrijfsbankieren over te nemen naar het particuliere bankieren. Zakelijke rekeningen hebben jarenlange precedenten op het gebied van granulaire permissies, gedelegeerde toegang en goedkeuringsworkflows die precies voor dit soort scenario’s zijn gebouwd.

In plaats van een volledig nieuw kader voor agent‑governance te bouwen, zouden banken en kredietunies moeten kijken naar wat al bewezen werkt aan de zakelijke kant en diezelfde controles, permissieniveaus en goedkeuringsstructuren aanpassen voor particuliere rekeningen.

Bedankt voor het geweldige interview, lezers die meer willen weten, kunnen Q2 bezoeken.