El Banco Central Europeo (BCE) ha intensificado su exigencia a la banca para que desarrolle planes efectivos que protejan sus sistemas frente a ciberataques potenciados por inteligencia artificial (IA). Este nuevo llamado a la acción fue puesto sobre la mesa en una cumbre extraordinaria celebrada el pasado martes, que reunió a alrededor de 300 participantes, entre ellos representantes de entidades bancarias, asociaciones empresariales y organismos públicos.

La reunión, liderada por Frank Elderson, miembro del Comité Ejecutivo del BCE y vicepresidente del Consejo de Supervisión bancaria, tuvo como objetivo principal alertar a los participantes sobre la rápida propagación de vulnerabilidades dentro del sector provocadas por el uso de sofisticados modelos de IA. Según fuentes cercanas al encuentro, el banco central también anunció que comenzará a enviar cartas formales a las entidades solicitando la elaboración de planes de defensa específicos contra ataques cibernéticos impulsados por estas tecnologías.

Este giro representa un avance en la supervisión bancaria frente a uno de los riesgos emergentes más significativos para la estabilidad del sistema financiero europeo. Durante la cumbre se promovió el intercambio de experiencias y conocimientos para afrontar, de manera conjunta, los retos que plantea el uso creciente de herramientas como Mythos, una IA desarrollada por la empresa estadounidense Anthropic que ha mostrado una capacidad notable para detectar y explotar debilidades en los sistemas de las entidades financieras.

En este contexto, el BCE está recopilando buenas prácticas y evaluando la creación de una guía que ayude a los bancos a establecer protocolos robustos de defensa y a reforzar sus estándares de ciberseguridad, siguiendo un modelo ya empleado en otras áreas como la gestión de préstamos improductivos. Esta iniciativa coincide con la participación activa de todos los grandes y medianos bancos españoles, así como representantes técnicos de la Comisión Europea.

Los invitados a la reunión fueron directores y responsables de sistemas y tecnologías de la información, quienes serán clave para diseñar y supervisar los mecanismos de protección tecnológicos que deberán implantarse. El BCE también reiteró la importancia de aumentar la inversión en ciberseguridad, un aspecto en el que ya había insistido tras la publicación de resultados de test de estrés temáticos sobre ciberresiliencia.

El reconocimiento de la amenaza es compartido por los principales ejecutivos bancarios. Marc Armengol, consejero delegado de Banco Sabadell, afirmó recientemente que la implementación de la IA debe ir acompañada de una gobernanza estricta, pues habrá diferencias notables entre quienes actúen con orden y quienes no. Por su parte, Antón Arriola, presidente de Kutxabank, reconoció que las entidades funcionan actualmente “algo desnudas” frente a estos riesgos crecientes.

Una fuente del sector confirma la inquietud sobre el acceso limitado a Mythos, tecnología clave para entender y combatir estas amenazas, que por ahora no está disponible para las entidades europeas. Se espera que durante el verano los bancos puedan acceder a esta herramienta previa compensación económica. Hasta entonces, prevén una posible disminución en la calidad y eficacia de los sistemas de protección cibernética debido a la aceleración del riesgo y la falta de recursos para probar adecuadamente sus planes.

La banca muestra voluntad para colaborar frente a esta amenaza, aunque existen preocupaciones sobre que la inteligencia artificial sea usada como argumento para imponer nuevas cargas regulatorias. Desde diversas asociaciones del sector insisten en que el foco debe estar en fortalecer las capacidades operativas básicas, como la detección y respuesta ante incidentes, la gestión de vulnerabilidades y la resiliencia tecnológica, más que en crear nuevos requisitos normativos.

Además, las entidades reclaman una mejor coordinación entre las autoridades nacionales y europeas involucradas en la defensa contra ciberataques. El BCE seguirá revisando las prácticas de ciberseguridad y tiene potestad para exigir mejoras, pero reconoce que las agencias nacionales de ciberseguridad son quienes poseen la información más actualizada y deben guiar técnicamente cómo actuar en operativa contra las amenazas derivadas del mal uso de la IA.

Históricamente, la duplicidad de exigencias entre distintos organismos de supervisión ha generado altos costes de cumplimiento para las entidades. Por ello, el BCE apuesta por un diálogo estrecho y continuo con el sector para asegurar una respuesta coordinada y eficaz ante este desafío tecnológico y de seguridad.

Este incremento de la vigilancia se enmarca en un entorno donde la expansión de la inteligencia artificial plantea riesgos inéditos para el sector bancario. La institución europea quiere anticiparse a posibles brechas y que las entidades comiencen a preparar las defensas necesarias para preservar la estabilidad del sistema financiero frente a la rápida evolución de estas amenazas.

Para profundizar sobre las iniciativas del BCE y las respuestas del sector bancario, puede consultarse la información en el sitio oficial del Banco Central Europeo y análisis especializados en materia de ciberseguridad financiera como los publicados por Expansión.