Los organismos reguladores del sector bancario intensifican el control de la inteligencia artificial ante el creciente temor por la estabilidad, según fuentes consultadas
Por Nupur Anand, Phoebe Seers y Tommy Reggiori Wilkes
NUEVA YORK/LONDRES, 13 oct (Reuters) - Los reguladores bancarios están intensificando sus esfuerzos para contener los crecientes riesgos relacionados con la IA, según seis personas familiarizadas con el asunto, y algunas de ellas señalan la posibilidad de que se produzcan ciberataques contra bancos o de que agentes rebeldes socaven la estabilidad financiera mundial.
El escrutinio regulador, cuyos nuevos detalles se dan a conocer aquí por primera vez, refleja el creciente reconocimiento de que los avances en la IA de vanguardia pueden requerir costosas inversiones en recuperación cibernética, una mayor atención a la dependencia de proveedores de tecnología externos y, en algunas jurisdicciones, una orientación reguladora más formal, según indicaron las fuentes.
Tres de los principales organismos reguladores de Estados Unidos, incluida la Reserva Federal, están interrogando a los bancos sobre su uso de modelos avanzados de inteligencia artificial, según han declarado dos de estas personas a Reuters, lo que se suma al escrutinio previo (link).
Las preguntas incluyen si utilizan tecnología desarrollada en China, si emplean agentes de IA en la ciberdefensa y si son capaces de controlar sistemas cada vez más autónomos, según indicaron tres de las personas consultadas.
En Europa, organismos supervisores como el Banco de Inglaterra y el Banco Central Europeo están presionando a los bancos para que mejoren sus planes de recuperación, preocupados por que los rápidos avances en IA puedan causar graves perjuicios y perturbaciones en los mercados financieros antes de lo que se temía inicialmente, según afirmaron tres personas con conocimiento de su postura.
Un alto ejecutivo de un gran banco europeo afirmó que ellos también están preocupados por los posibles daños graves que podrían sufrir los mercados bancarios y financieros «en un plazo de seis meses».
El debate sobre la supervisión de la IA se ha intensificado en medio de las advertencias del sector tras los recientes incidentes, y el director ejecutivo de JPMorgan JPM.N, Jamie Dimon, ha instado a los líderes empresariales a unirse a un grupo sectorial centrado en EEUU para abordar los riesgos de la IA, según informó Reuters (link).
La empresa estadounidense de ciberseguridad CrowdStrike afirmó este mes que una persona en China probablemente utilizó un agente de IA desarrollado en ese país y el «Claude Code» de Anthropic en un ataque informático (link) contra bancos surcoreanos. Por su parte, agentes de IA rebeldes desarrollados por OpenAI estuvieron implicados en una brecha de seguridad en la plataforma de IA Hugging Face, según informó Reuters (link).
Los investigadores de Anthropic han advertido de que los sistemas de IA, cada vez más potentes, podrían acabar escapando al control humano e incluso suponer una amenaza existencial, lo que ha provocado llamamientos a una regulación más estricta (link).
Los bancos compiten por adoptar la IA «agente» (link), capaz de realizar tareas con una supervisión humana mínima, al tiempo que se enfrentan a los retos que plantean los nuevos modelos, incluidas las vulnerabilidades informáticas señaladas por la herramienta Mythos de Anthropic (link).
«La adopción de la IA suele ir por delante de la capacidad de establecer los controles necesarios», afirmó Michael Woodbridge, socio especializado en ciberseguridad de Grant Thornton con sede en Londres.
LAS PREOCUPACIONES DE EEUU SE CENTRAN EN LA IA AGENTICA
Las investigaciones reguladoras de EEUU se centran en cómo utilizan los bancos la IA «agente» en ámbitos como la ciberseguridad, prestando especial atención a si se están utilizando agentes de IA para identificar, priorizar y responder a las amenazas.
Las preguntas de la Oficina del Contralor de la Moneda (OCC), la Corporación Federal de Seguros de Depósitos (FDIC) y la Reserva Federal se centran en qué límites se imponen a los sistemas, cómo se supervisan y aprueban sus acciones y si los bancos pueden realizar un seguimiento y una auditoría claros de las decisiones de los agentes de IA, según indicaron dos de las personas consultadas.
También preguntan qué medidas de seguridad existen para evitar que los agentes se excedan en sus competencias, si los seres humanos siguen participando en las decisiones clave y cómo pueden los bancos desactivar los sistemas autónomos.
La OCC, la Reserva Federal y la FDIC se negaron a hacer comentarios.
A través de sus preguntas, los reguladores están analizando cuestiones más específicas relacionadas con los modelos avanzados de IA, incluido el uso de agentes de IA autónomos, los modelos desarrollados en el extranjero y los nuevos riesgos cibernéticos, según afirmaron las tres personas con conocimiento de su postura.
Las consultas escritas y verbales dirigidas a bancos grandes, medianos y pequeños muestran que los reguladores se están centrando en las vulnerabilidades derivadas del uso de la IA por parte de los bancos y en su preparación para actuar, añadieron.
Los reguladores siguen recabando información y aún no están imponiendo directrices sobre lo que deberían hacer las entidades crediticias, afirmaron.
A LOS EUROPEOS LES PREOCUPA LA RECUPERACIÓN
Por otra parte, los supervisores del Reino Unido están animando a los bancos más grandes a examinar los denominados planes de recuperación «bare metal», según afirmaron dos de las personas familiarizadas con su postura. Estos sistemas son totalmente independientes de la infraestructura tecnológica principal de un banco y pueden activarse si los sistemas operativos primarios se ven comprometidos.
Sin embargo, desarrollar y mantener este tipo de sistemas de recuperación de última generación resulta costoso, según estas fuentes.
En lugar de introducir nuevos requisitos, las autoridades del Reino Unido pretenden colaborar con el sector, añadieron.
El Banco de Inglaterra se ha negado a hacer comentarios.
En julio, el BCE fijó a las entidades crediticias el plazo de finales de octubre para presentar planes destinados a contrarrestar las ciberamenazas basadas en la inteligencia artificial (link), incluyendo la mejora de los sistemas de copia de seguridad y recuperación.
Al ser preguntado sobre su estrategia para regular la IA, el BCE se remitió a su carta de julio, así como a un discurso pronunciado en junio por el miembro del consejo Frank Elderson, quien subrayó la necesidad de crear un sentido de urgencia, no de alarma, respecto a las amenazas.
La necesidad de adoptar medidas de supervisión ha cobrado mayor urgencia después de que los bancos y reguladores europeos expresaran su frustración (link) por tener un acceso limitado a Mythos este año, en medio de la preocupación de que los bancos estadounidenses sean los primeros en probar los modelos de vanguardia.
Al igual que sus homólogos estadounidenses, los supervisores del Reino Unido también están pidiendo a los bancos que utilicen la IA de vanguardia para identificar vulnerabilidades y acelerar la aplicación de parches, según afirmaron dos personas, y una de ellas añadió que, hasta ahora, las entidades crediticias estaban haciendo un buen trabajo.
La tercera persona señaló que también se estaba pidiendo a los bancos de la zona del euro que elaboraran un mapa del uso de la IA en sus negocios y entre los proveedores externos, con el fin de comprender las dependencias clave y garantizar que puedan apagar y reiniciar los sistemas de forma controlada.
Añadieron que en algunas entidades seguían existiendo importantes carencias.
«Para protegerse contra los ataques, la recuperación rápida es tan importante como la prevención», afirmó Sukand Ramachandran, director general y socio sénior de BCG.
Sin copias limpias y seguras de los datos críticos, almacenadas por separado, «un ataque grave podría impedir a los clientes acceder a sus cuentas y perturbar los pagos en toda la economía», explicó Ramachandran a Reuters.
(En beneficio de las personas cuya lengua materna no es el inglés, Reuters automatiza la traducción de algunos artículos a otros idiomas. Dado que la traducción automática puede cometer errores o no incluir el contexto necesario, Reuters no se hace responsable de la exactitud del texto traducido automáticamente, sino que proporciona estas traducciones únicamente para conveniencia de sus lectores. Reuters no se hace responsable de los daños o pérdidas —del tipo que sean— causados por el uso de la función de traducción automática.)