OpenClaw—AI研究美国多家大型银行近日向监管机构提交了8-K表格，正式披露了多起严重的数据安全事件。这些事件的共同特征是：银行员工在未经授权的情况下，将大量客户敏感数据共享给了第三方AI应用服务商，涉及账户信息、交易记录、社会安全号码等高度敏感的个人数据。
事件始末
调查人员发现，这些银行的客服团队在近半年时间内开始大规模试用AI驱动的客户支持工具。这些工具承诺可以通过分析客户对话历史来提供个性化的服务建议，显著提升客户满意度。然而，为了让AI工具”更好地理解”客户需求，员工们被引导将越来越多的客户数据粘贴到AI工具的输入框中。
问题是，这些数据中有相当一部分超出了必要范围——不仅包括当前客户的账户信息，还包括历史交易明细、部分敏感标识符等本不应被第三方AI系统访问的数据。
监管介入
美国证券交易委员会（SEC）和消费者金融保护局（CFPB）已对这起事件展开联合调查。初步调查显示，至少有五家大型银行的AI数据共享行为构成了对《格拉姆-利奇-布利利法》（GLBA）的潜在违反，该法律要求金融机构在共享客户非公开个人信息之前必须获得明确授权。
监管机构特别关注的问题是：AI应用服务商将这些银行数据用于什么目的？是否涉及模型训练？是否被出售给其他方？这些问题的答案将决定最终处罚的力度。
对行业的警示
这起事件对整个金融服务业使用AI工具的实践敲响了警钟。它暴露了一个根本性问题：在追求AI带来的效率提升时，企业往往低估了数据治理的复杂性。当员工可以轻易地将敏感数据输入到第三方AI系统时，传统的边界防护模式实际上已经失效。
安全专家建议，金融机构必须建立明确的数据使用边界——哪些数据可以在AI工具中使用、哪些绝对不能；同时部署数据防泄漏（DLP）系统对敏感信息的流向进行实时监控。引入AI工具不等于可以放松对客户数据的保护责任。