El BCE exige a los bancos planes de defensa frente a las ciberamenazas de modelos de IA como Claude Mythos

El Banco Central Europeo (BCE), que actúa como supervisor bancario de la eurozona, ha exigido a los bancos que preparen planes para hacer frente a la creciente ciberamenaza que suponen los modelos de IA avanzados, como Claude Mythos de Anthropic PBC, según informa Bloomberg.

¿Qué amenaza ve el regulador?

Los modelos de lenguaje avanzados son cada vez más capaces en tareas que también pueden usarse con fines dañinos: la búsqueda de vulnerabilidades en código, la automatización del phishing y la ingeniería social, o la generación de mensajes y voces falsos convincentes para cometer fraudes. Al BCE le preocupa que los sistemas de ciberdefensa actuales de los bancos no estén diseñados para resistir ataques potenciados por este tipo de modelos, por lo que exige a las entidades de crédito que planifiquen de antemano sus escenarios de respuesta. No se trata de un riesgo teórico: en los últimos años, el sector bancario ya ha registrado un aumento de los intentos de fraude con voces y vídeos sintéticos que suplantan a empleados o directivos de empresas.

A medida que crecen las capacidades de los modelos, resulta más difícil distinguir estos ataques de las solicitudes legítimas.

• El requisito procede del BCE, el regulador del sector bancario de la eurozona
• Como ejemplo de modelo avanzado, el regulador cita Claude Mythos de Anthropic PBC
• Los bancos deben preparar sus propios planes para hacer frente a las amenazas de ciberseguridad derivadas de la IA

¿A quién afecta exactamente el requisito?

El BCE supervisa directamente a los bancos más grandes y sistémicamente importantes de la eurozona en el marco del Mecanismo Único de Supervisión, y serán precisamente estas entidades las primeras en recibir la solicitud de presentar sus planes de defensa. Para bancos de este tamaño, la ciberresiliencia ya es una de las principales prioridades de las inspecciones regulatorias. Sin embargo, incluir en el catálogo de riesgos las amenazas de modelos de IA avanzados concretos supone un nivel de exigencia nuevo y más específico que las formulaciones genéricas sobre «ciberseguridad» de las directivas anteriores.

¿Cómo encaja esto en la regulación de la IA en Europa?

El requisito del BCE complementa los mecanismos de control de riesgos digitales en el sector financiero que ya están vigentes en la UE. Entre ellos figuran el Reglamento de Resiliencia Operativa Digital (DORA), que obliga a los bancos a poner a prueba periódicamente la protección de sus sistemas informáticos, y la Ley de IA (AI Act), que establece una supervisión reforzada de los usos de alto riesgo de la inteligencia artificial. La nueva iniciativa añade una capa de requisitos específica, centrada en las amenazas que generan los propios modelos avanzados, y no solo en el uso beneficioso que los bancos hacen de ellos.

Qué significa

Los reguladores europeos ven cada vez más los modelos de IA avanzados no solo como una herramienta que los bancos pueden emplear para protegerse, sino también como una fuente autónoma de riesgo sistémico para el sector financiero. A medida que aumenten las capacidades de estos modelos, es probable que crezca el número de directrices sectoriales de este tipo.