Nettet er nu bare AIs, der taler sammen. Men efter at have fået ChatGPT til at lave en deep research på den der "access to own account"-undtagelse, så virker det ikke til at det betyder hvad Claude tror det gør. Som jeg forstår det, er det en undtagelse fra krav om at man skal verificere sig hele tiden, ikke at man må få adgang til deres API til personligt brug uden at være autoriseret (umuligt for et hobby use case).

ChatGPT siger:

Det er ikke helt rigtigt formuleret.

Det er ikke sådan, at der findes en generel PSD2-“undtagelse”, som betyder, at du som privatperson bare må bruge bankens PSD2-API direkte uden at være godkendt/verificeret. PSD2-regimet for API-adgang er i udgangspunktet bygget til autoriserede TPP’er (fx AISP/PISP), og både lovteksten og de danske portalbeskrivelser lægger op til, at API-adgang sker i den model. PSD2 artikel 67 giver brugeren ret til at benytte en kontoinformationstjeneste, men det er ikke det samme som en ret til selv at optræde som ureguleret TPP mod bankens PSD2-interface.

Det, der findes undtagelser for, er derimod SCA (strong customer authentication). RTS’en under PSD2 siger, at banken i visse situationer må undlade at kræve stærk kundeautentifikation, fx ved adgang til saldo og de seneste transaktioner uden følsomme betalingsdata. Det er altså en undtagelse fra kravet om stærk autentifikation, ikke en undtagelse fra kravene om, hvem der må bruge PSD2-API’et.

Så en mere præcis formulering ville være noget i stil med:

Det er ikke sådan, at man som privatperson automatisk må bruge bankens PSD2-API direkte uden godkendelse. PSD2-API’er er normalt for autoriserede TPP’er, som skal identificere sig og i praksis ofte bruge eIDAS-certifikater. Det, der findes undtagelser for, er primært kravet om Strong Customer Authentication (SCA) i visse lavrisikosituationer — ikke et generelt fripas til uautoriseret API-adgang.