El BCE exige a los bancos un plan de defensa contra ciberataques con IA antes de octubre

El Banco Central Europeo ha expresado una seria preocupación por la posibilidad de que los modelos de IA de frontera (los LLM más potentes, como GPT de OpenAI, Claude de Anthropic o el chino DeepSeek) se utilicen para lanzar ciberataques contra la infraestructura financiera de la eurozona. El regulador exige a los mayores bancos que elaboren planes de defensa antes de octubre de 2026.

En qué consiste la amenaza

Los modelos de IA de frontera pueden:

• Automatizar el escaneo de redes para buscar vulnerabilidades
• Generar correos de phishing dirigidos e ingeniería social
• Escribir y adaptar código malicioso
• Analizar sistemas bancarios y localizar puntos débiles
• Suplantar a empleados del banco (deepfakes, clonación de voz)

La diferencia con los ciberataques clásicos: los LLM avanzados pueden funcionar 24/7 sin un operador humano y adaptarse a los mecanismos de defensa en tiempo real.

Qué exige el BCE

Antes de octubre de 2026, todos los grandes bancos de la eurozona deben presentar al BCE:

• Un plan para monitorizar los modelos de IA de frontera y su disponibilidad (incluidos los de pesos abiertos)
• Una estrategia para detectar ciberataques iniciados por IA
• Procedimientos para comprobar las vulnerabilidades de sus propios sistemas frente a herramientas de IA
• Planes de contingencia (sistemas de respaldo) por si se compromete la infraestructura principal
• Formación para que los empleados reconozcan el phishing y la ingeniería social generados por IA

Contexto: la regulación de la IA de frontera

Es la primera vez que un gran banco central (el BCE es responsable de la política monetaria de 20 países de la eurozona) llama oficialmente la atención sobre una amenaza concreta de la IA de frontera. Hasta ahora, la regulación de la IA era general (la Ley de IA de la UE). Ahora el regulador pasa a amenazas específicas.

Qué significa

El BCE muestra que el regulador financiero considera la IA de frontera un riesgo operativo, comparable a los ciberataques de actores estatales. Otros bancos centrales (la Fed, el Banco de Inglaterra) probablemente seguirán su ejemplo. Esto podría derivar en:

• Un control más estricto sobre la distribución de modelos potentes
• Auditorías obligatorias de los sistemas bancarios para detectar vulnerabilidades frente a la IA
• Multas por no estar preparados ante ciberataques con IA
• Coordinación entre bancos y empresas de IA para alertar de forma temprana sobre riesgos

Para las empresas de IA, esto significa que la aparición de modelos potentes ya no será vigilada solo por especialistas en ética académica, sino también por los reguladores financieros.