Los reguladores refuerzan los controles de la IA en la banca ante el temor a ciberataques

Por Nupur Anand, Phoebe Seers y Tommy Reggiori Wilkes

NUEVA YORK/LONDRES, 13 oct (Reuters) - Los reguladores bancarios están redoblando sus esfuerzos para contener los ‌crecientes riesgos relacionados con la inteligencia artificial, según seis personas informadas del asunto, y algunas de ellas señalan la posibilidad de que se produzcan ciberataques contra bancos o de que agentes rebeldes pongan en peligro la estabilidad financiera mundial. 

El escrutinio regulador, ​cuyos nuevos detalles se dan a conocer aquí por primera vez, refleja el creciente reconocimiento de que los avances en la IA de vanguardia pueden requerir costosas inversiones en recuperación cibernética, una mayor atención a la dependencia de proveedores de tecnología externos y, en algunas jurisdicciones, una orientación reguladora más formal, según indicaron las fuentes.

Tres de los principales organismos reguladores de Estados Unidos, incluida la Reserva Federal, están interrogando a los bancos sobre su uso de modelos avanzados de inteligencia ​artificial, dijeron dos de estas personas a Reuters, lo que se suma al escrutinio previo.

Las preguntas incluyen si utilizan tecnología desarrollada en China, si emplean agentes de IA en la ciberdefensa y si son capaces de controlar sistemas cada vez más autónomos, según tres de las personas consultadas.

En Europa, supervisores como el Banco de ​Inglaterra y el Banco Central Europeo están presionando a los bancos para que mejoren sus planes de recuperación, preocupados ⁠por que los rápidos avances en IA puedan causar graves daños y perturbaciones en los mercados financieros antes de lo que se temía inicialmente, según tres personas con conocimiento de su postura.

Un alto ejecutivo de un ‌gran banco europeo dijo que ellos también están preocupados por los posibles daños graves que podrían sufrir la banca y los mercados financieros "en un plazo de seis meses".

El debate sobre la supervisión de la IA se ha intensificado ante las advertencias del sector tras los recientes incidentes, y el director ejecutivo de JPMorgan , Jamie Dimon, ha instado a los líderes empresariales a unirse a ​un grupo sectorial centrado en EEUU para abordar los riesgos de la IA, como informó ‌Reuters.

La empresa estadounidense de ciberseguridad CrowdStrike dijo este mes que era probable que una persona en China hubiera utilizado un agente de IA desarrollado en ese país y ⁠el Claude Code de Anthropic en un ataque informático contra bancos surcoreanos. Por su parte, agentes de IA rebeldes desarrollados por OpenAI estuvieron implicados en una brecha de seguridad en la plataforma de IA Hugging Face, según informó Reuters.

Los investigadores de Anthropic han advertido de que los sistemas de IA, cada vez más potentes, podrían acabar escapando al control humano e incluso suponer una amenaza existencial, lo que ha dado lugar a llamamientos a favor de una regulación más estricta.

Los bancos compiten por ⁠adoptar la IA agencial, capaz de realizar tareas ‌con una supervisión humana mínima, al tiempo que se enfrentan a los retos que plantean los nuevos modelos, incluidas las vulnerabilidades informáticas señaladas por la herramienta Mythos, de Anthropic.

"La adopción de la IA ⁠suele ir por delante de la capacidad de establecer los controles necesarios", afirmó Michael Woodbridge, socio especializado en ciberseguridad de Grant Thornton con sede en Londres.

LAS PREOCUPACIONES DE EEUU SE CENTRAN EN LA IA AGENCIAL

Las investigaciones reguladoras de EEUU se ‌centran en cómo utilizan los bancos la IA agencial en ámbitos como la ciberseguridad, prestando especial atención a si se están utilizando agentes de IA para identificar, priorizar y responder a las amenazas.

Las preguntas de ⁠la Oficina del Contralor de la Moneda (OCC, por sus siglas en inglés), la Corporación Federal de Seguros de Depósitos y la Reserva Federal se centran en ⁠qué límites se imponen a los sistemas, cómo se supervisan ‌y aprueban sus acciones y si los bancos pueden realizar un seguimiento y una auditoría claros de las decisiones de los agentes de IA, indicaron dos de las personas consultadas. 

También preguntan qué medidas de seguridad existen para evitar que los ​agentes se excedan en sus competencias, si los seres humanos siguen participando en las decisiones clave y cómo pueden los bancos desactivar ‌los sistemas autónomos.

La OCC, la Reserva Federal y la FDIC se negaron a hacer comentarios.

A través de sus preguntas, los reguladores están analizando cuestiones más específicas relacionadas con los modelos avanzados de IA, incluido el uso de agentes de IA autónomos, los modelos desarrollados en el ​extranjero y los nuevos riesgos cibernéticos, dijeron las tres personas con conocimiento de su postura.

Las consultas escritas y verbales dirigidas a bancos grandes, medianos y pequeños muestran que los reguladores se están centrando en las vulnerabilidades derivadas del uso de la IA por parte de los bancos y en su preparación para actuar, añadieron.

Los reguladores siguen recabando información y aún no están imponiendo directrices sobre lo que deberían hacer las entidades crediticias, dijeron.

A LOS EUROPEOS LES PREOCUPA LA RECUPERACIÓN

Por ⁠otra parte, los supervisores de Reino Unido están animando a los bancos más grandes a examinar los denominados planes de recuperación "bare metal", según dos de las personas familiarizadas con su postura. Estos sistemas son totalmente independientes de la infraestructura tecnológica principal de un banco y pueden activarse si los sistemas operativos primarios se ven comprometidos.

Sin embargo, crear y mantener un sistema de recuperación de última generación de este tipo resulta costoso, según estas fuentes.

En lugar de introducir nuevos requisitos, las autoridades británicas pretenden colaborar con el sector, añadieron.

El Banco de Inglaterra no quiso hacer comentarios.

En julio, el BCE fijó a las entidades crediticias el plazo de finales de octubre para presentar planes destinados a contrarrestar las ciberamenazas basadas en la inteligencia artificial, incluyendo la mejora de los sistemas de copia de seguridad y recuperación.

(Reporte de Nupur Anand en Nueva York y de Phoebe Seers y Tommy Reggiori Wilkes en Londres; reporte adicional de Pete Schroeder en Washington; edición de Megan Davies, ​Elisa Martinuzzi y Alexander Smith; edición en español de Jorge Ollero Castela)