El regulador APRA advierte a los bancos australianos de lagunas en el control de agentes de IA

El regulador prudencial australiano APRA advirtió a las empresas financieras de que la implantación de agentes de IA avanza más rápido que el control sobre ellos. El aviso apunta a bancos y gestoras de ahorro para pensiones, que ya usan estos sistemas tanto en procesos internos como en la atención a clientes.

La señal de APRA

APRA indicó que a finales de 2025 realizó una revisión específica de varias grandes organizaciones reguladas para evaluar cómo adoptan la IA. Formalmente, no se trata de prohibir la tecnología ni de pausar los experimentos. El regulador se fijó en otra cosa: hasta qué punto las empresas saben dónde funcionan exactamente sus sistemas de IA, quién responde por ellos y qué mecanismos de control operan tras el lanzamiento.

El simple hecho de una revisión aparte muestra que el tema dejó de ser cosa de pilotos y pasó a ser una cuestión de riesgo operativo y de supervisión.

El aviso llega cuando las entidades financieras amplían el uso de IA en dos frentes a la vez. El primero son las operaciones internas: análisis de documentos, apoyo a empleados, automatización de decisiones rutinarias. El segundo, los escenarios con clientes: asistentes, respuestas a consultas, acompañamiento de servicios y otros puntos de contacto donde un error afecta no solo a la eficiencia del back office, sino también al dinero, la confianza y el cumplimiento de las normas. Para el sector financiero, eso basta para que la gestión de la IA deje de ser un asunto técnico.

Dónde se hallaron las lagunas

La idea central de APRA es sencilla: las prácticas de gobernanza y de verificación de fiabilidad de los agentes de IA son hoy débiles. Es decir, las empresas lanzan nuevas herramientas, pero no siempre logran formalizar reglas claras a su alrededor.

Por assurance conviene entender aquí no una promesa de marketing, sino un conjunto de comprobaciones: cómo se prueba el sistema antes del lanzamiento, cómo se rastrean los errores después, cómo se documentan las limitaciones del modelo y cómo se escalan las decisiones dudosas. Sin esta capa, incluso un agente útil se convierte rápido en un riesgo opaco.

En esencia, el regulador lleva al mercado a plantearse varias preguntas básicas:

• quién aprueba los escenarios en los que un agente de IA puede tomar o proponer una decisión;
• cómo comprueba la empresa la precisión, la robustez y los límites del modelo antes de pasarlo a producción;
• qué acciones tiene prohibidas el agente sin intervención humana, sobre todo en procesos sensibles;
• quién se encarga de la monitorización, el registro y el análisis de errores tras el lanzamiento.

Para bancos y gestoras de pensiones esto no es burocracia para cumplir el trámite. Si la IA participa en la gestión de solicitudes de clientes, la preparación de recomendaciones, el análisis de documentos o el enrutamiento de operaciones, un control débil genera una cadena de riesgos: una respuesta errónea al cliente, el incumplimiento de políticas internas, un fallo en la pista de auditoría y, en el peor caso, reclamaciones del supervisor. Cuanto más cerca está el agente del dinero y de las obligaciones con el cliente, más caro resulta que las responsabilidades no estén claras.

Por qué ahora

El motivo del tono severo es comprensible: el mercado pasa rápido de los experimentos a la escala. Mientras la IA se usaba de forma puntual, las lagunas de proceso podían disimularse con revisión manual y el entusiasmo de equipos concretos. Pero cuando estos sistemas se integran en operaciones permanentes, los problemas de gobernanza dejan de ser locales. Afectan al riesgo de modelo, al cumplimiento normativo, a la protección del cliente y a la resiliencia del negocio.

El regulador viene a decir a las empresas que la velocidad de implantación ya no justifica un control débil.

Esto importa sobre todo con agentes de IA, y no solo con modelos analíticos. Un agente no solo genera texto o una previsión, sino que cada vez más ejecuta acciones: inicia pasos, habla con el usuario, propone el siguiente escenario y transfiere datos entre sistemas. Cuanta más autonomía, más importante es definir de antemano los límites de autoridad, los requisitos de verificación de resultados y las condiciones en que un humano debe intervenir. Para las empresas financieras, ya no es una cuestión de comodidad, sino de control sobre toda la cadena digital.

Qué significa

La señal de APRA difícilmente frenará la adopción de IA en finanzas, pero sin duda volverá más cauteloso al mercado. No ganarán quienes antes acoplaron un agente a un proceso, sino quienes puedan mostrar reglas transparentes, control de calidad y responsabilidad clara por el resultado. Para el resto, 2026 puede ser el momento en que el interés por la IA se mida por primera vez no por el número de pilotos, sino por la madurez de la gobernanza.