El gobernador del Banco de Inglaterra pide evaluar con urgencia los riesgos cibernéticos para los bancos del modelo de IA de Anthropic

Andrew Bailey, gobernador del Banco de Inglaterra, ha instado a los reguladores de todo el mundo a evaluar con rapidez la amenaza que el modelo de IA Mythos de Anthropic puede representar para los bancos. La declaración importa no solo por mencionar a una empresa y un modelo concretos. Muestra que el debate sobre la inteligencia artificial en el sector financiero se desplaza de la eficiencia y la automatización hacia la ciberresiliencia y el riesgo sistémico. Para los bancos centrales y los supervisores, ya no cuenta solo el potencial de la IA, sino también la rapidez con la que puede cambiar el perfil de amenazas de las mayores entidades financieras.

Bailey dirige uno de los bancos centrales clave del mundo, y sus advertencias públicas suelen interpretarse como una señal para la comunidad reguladora en general. En materia de riesgo cibernético, la preocupación no es una abstracta «rebelión de las máquinas», sino escenarios más terrenales: ataques de phishing más rápidos, automatización del descubrimiento de vulnerabilidades, generación de código malicioso, elusión de procedimientos internos y ataques sofisticados más baratos para los delincuentes. Los bancos son especialmente sensibles a estos cambios porque gestionan a la vez dinero, infraestructura de pagos crítica y enormes volúmenes de datos confidenciales.

También importa que Bailey hable específicamente de una respuesta global de los reguladores. Los grandes bancos operan en varias jurisdicciones a la vez, dependen de servicios en la nube internacionales, están conectados a canales de pago compartidos y utilizan largas cadenas de proveedores tecnológicos externos. Si un sistema de IA potente reduce la barrera de entrada para los ciberataques o acelera la preparación de operaciones complejas, el problema no se queda en lo local. Un eslabón débil en un país o en un contratista puede convertirse rápidamente en un problema para los flujos financieros transfronterizos. Por eso, la idea de una evaluación rápida suena a llamamiento a la coordinación, no a un informe interno más.

La mención de Mythos también es reveladora. Los reguladores suelen hablar de la IA como una clase de tecnología, pero con menos frecuencia señalan en público un modelo concreto que exija una evaluación urgente de riesgos. Eso significa que el foco pasa poco a poco de los principios generales al análisis práctico de las capacidades de un producto: con qué autonomía puede ejecutar cadenas de acciones, qué tal resuelve tareas técnicas, si puede usar herramientas externas, hasta qué punto hace escalable un posible abuso y con qué rapidez mejoran sus capacidades de una versión a otra.

Este enfoque no equivale a acusar al desarrollador de crear una herramienta peligrosa. Es más bien el reconocimiento de que las capacidades de los modelos se están convirtiendo en objeto de supervisión financiera.

Para los bancos, estas señales significan que la mera ciberhigiene formal ya no basta. Probablemente tendrán que revisar de nuevo el control de acceso, cómo los empleados usan servicios de IA externos, la verificación de contratistas, las pruebas de escenarios de fraude, la protección de los repositorios de código internos y la calidad de la monitorización de actividad inusual. La IA complica el panorama porque las mismas tecnologías pueden reforzar tanto la defensa como el ataque.

Los sistemas que ayudan a los analistas a detectar anomalías más rápido y a automatizar investigaciones podrían, potencialmente, acelerar también la preparación de ataques más precisos y de mayor escala. Por ello, el viejo modelo de revisiones espaciadas y actualización lenta de los requisitos parece cada vez más insuficiente.

La declaración de Bailey puede leerse como un indicador temprano de una nueva etapa regulatoria: la IA en las finanzas se contempla ahora no solo desde la innovación, sino también desde la resiliencia operativa. Si los reguladores de todo el mundo aceleran de verdad esta evaluación, los bancos probablemente se enfrentarán a requisitos más estrictos de pruebas, divulgación de información y gestión de dependencias tecnológicas externas. Si no, la ventaja en velocidad podría quedar del lado de los atacantes. La cuestión principal no es si el sector financiero necesita la IA, sino si las normas y las defensas siguen el ritmo de desarrollo de los propios modelos.