El BCE ordena a los bancos preparar planes de defensa contra amenazas cibernéticas de modelos de IA como Claude Mythos

El Banco Central Europeo (BCE), que actúa como regulador bancario de la eurozona, ha requerido a los bancos que preparen planes para contrarrestar las crecientes amenazas cibernéticas de modelos de IA avanzados como Claude Mythos de Anthropic PBC, según Bloomberg.

Qué amenazas ve el regulador

Los modelos de lenguaje avanzados se están volviendo cada vez más potentes en tareas que también pueden ser mal utilizadas: encontrar vulnerabilidades en el código, automatizar phishing e ingeniería social, generar mensajes falsos convincentes y grabaciones de voz para fraude. El BCE teme que los sistemas actuales de ciberseguridad bancaria no estén diseñados para resistir ataques amplificados por tales modelos, y exige a las instituciones de crédito que desarrollen contramedidas por adelantado. No se trata de un riesgo teórico: el sector bancario ya ha sido testigo de un creciente número de intentos de fraude en los últimos años utilizando grabaciones de voz y video sintetizadas que imitan a empleados o ejecutivos de la empresa, y a medida que crecen las capacidades del modelo, resulta más difícil distinguir tales ataques de solicitudes genuinas.

• El requisito proviene del BCE — el regulador bancario de la eurozona
• Como ejemplo de un modelo avanzado, el regulador cita a Claude Mythos de Anthropic PBC
• Se requiere que los bancos preparen sus propios planes para contrarrestar las amenazas cibernéticas relacionadas con la IA

Quién exactamente se ve afectado por el requisito

El BCE supervisa directamente los bancos más grandes y sistémicamente importantes de la eurozona bajo un mecanismo de supervisión única — estas instituciones serán las primeras en recibir una solicitud para presentar planes de defensa. Para bancos de esta escala, la resiliencia cibernética ya es una de las prioridades clave en inspecciones regulatorias, pero incluir amenazas de modelos específicos de IA avanzados en la lista de riesgos representa un nuevo y más concreto nivel de requisitos en comparación con las disposiciones generales sobre "ciberseguridad" en directivas anteriores.

Cómo se ajusta esto a la regulación de IA en Europa

El requisito del BCE complementa los mecanismos existentes de la UE para controlar los riesgos digitales en el sector financiero, incluida la Ley de Resiliencia Operativa Digital (DORA), que requiere que los bancos prueben regularmente la seguridad de sus sistemas de TI, y la Ley de IA, que introduce una supervisión mejorada de las aplicaciones de inteligencia artificial de alto riesgo. La nueva iniciativa añade una capa separada de requisitos, enfocada específicamente en las amenazas creadas por los propios modelos avanzados, en lugar de solo en su uso por parte de los bancos para la defensa.

Qué significa esto

Los reguladores europeos ven cada vez más los modelos de IA avanzados no solo como una herramienta que los bancos pueden usar para la protección, sino como una fuente independiente de riesgo sistémico para la industria financiera — y a medida que crecen las capacidades de tales modelos, el número de requisitos sectoriales similares probablemente aumentará.