BCE exige que bancos preparem planos de defesa contra ameaças cibernéticas de modelos de IA como o Claude Mythos

O Banco Central Europeu (BCE), que atua como regulador bancário da zona do euro, exigiu que os bancos preparem planos para enfrentar a crescente ameaça cibernética representada por modelos de IA de ponta, como o Claude Mythos, da Anthropic PBC. A informação é da Bloomberg.

Que ameaça o regulador enxerga

Os modelos de linguagem de ponta estão cada vez mais capazes em tarefas que também podem ser usadas para causar danos: encontrar vulnerabilidades em código, automatizar phishing e engenharia social e gerar mensagens e vozes falsas convincentes para fraudes. O BCE teme que os sistemas atuais de defesa cibernética dos bancos não tenham sido projetados para ataques potencializados por esses modelos e exige que as instituições de crédito planejem cenários de resposta com antecedência. Não se trata de um risco teórico: nos últimos anos, o setor bancário já registra um aumento nas tentativas de fraude com vozes e vídeos sintéticos que imitam funcionários ou executivos de empresas.

À medida que os modelos ganham capacidade, fica mais difícil distinguir esses ataques de solicitações legítimas.

• A exigência parte do BCE, regulador do setor bancário da zona do euro
• Como exemplo de modelo de ponta, o regulador cita o Claude Mythos, da Anthropic PBC
• Os bancos devem preparar seus próprios planos para enfrentar ameaças de IA à cibersegurança

Quem exatamente é afetado pela exigência

O BCE supervisiona diretamente os maiores bancos da zona do euro e os de importância sistêmica, no âmbito do Mecanismo Único de Supervisão. São essas instituições que receberão primeiro o pedido para apresentar planos de defesa. Para bancos desse porte, a resiliência cibernética já é uma das principais prioridades das inspeções regulatórias. Ainda assim, incluir ameaças de modelos de IA de ponta específicos na lista de riscos representa um nível de exigência novo e mais concreto do que as formulações genéricas sobre "cibersegurança" das diretivas anteriores.

Como isso se encaixa na regulação de IA na Europa

A exigência do BCE complementa os mecanismos de controle de riscos digitais no setor financeiro já em vigor na UE. Entre eles estão a lei de resiliência operacional digital (DORA), que obriga os bancos a testar regularmente a proteção de seus sistemas de TI, e a lei de IA (AI Act), que impõe supervisão reforçada a aplicações de inteligência artificial de alto risco. A nova iniciativa acrescenta uma camada própria de exigências, focada especificamente nas ameaças criadas pelos próprios modelos de ponta, e não apenas no uso benéfico que os bancos fazem deles.

O que isso significa

Os reguladores europeus passam cada vez mais a ver os modelos de IA de ponta não só como uma ferramenta que os bancos podem usar para se defender, mas também como uma fonte independente de risco sistêmico para o setor financeiro. Com o avanço da capacidade desses modelos, o número de determinações setoriais desse tipo provavelmente vai crescer.