BCE obriga bancos a prepararem planos de defesa contra ameaças cibernéticas de modelos de IA como Claude Mythos

O Banco Central Europeu (BCE), que atua como regulador bancário da zona do euro, exigiu que os bancos preparem planos para combater as crescentes ameaças cibernéticas de modelos avançados de IA, como Claude Mythos do Anthropic PBC, segundo Bloomberg.

Que ameaças o regulador vê

Modelos avançados de linguagem estão se tornando cada vez mais poderosos em tarefas que também podem ser mal utilizadas: encontrar vulnerabilidades de código, automatizar phishing e engenharia social, gerar mensagens falsas convincentes e gravações de voz para fraude. O BCE está preocupado que os sistemas atuais de cibersegurança bancária não sejam projetados para resistir a ataques amplificados por esses modelos, e exige que as instituições de crédito desenvolvam contramedidas com antecedência. Não se trata de um risco teórico: o setor bancário já viu um número crescente de tentativas de fraude nos últimos anos usando gravações de voz e vídeo sintetizadas que imitam funcionários ou executivos da empresa, e à medida que as capacidades do modelo crescem, fica mais difícil distinguir esses ataques de solicitações genuínas.

• O requisito vem do BCE — o regulador bancário da zona do euro
• Como exemplo de um modelo avançado, o regulador cita Claude Mythos do Anthropic PBC
• Os bancos são obrigados a preparar seus próprios planos para combater ameaças cibernéticas relacionadas a IA

Quem exatamente é afetado pelo requisito

O BCE supervisiona diretamente os maiores bancos e sistemicamente importantes da zona do euro sob um mecanismo de supervisão único — essas instituições serão as primeiras a receber uma solicitação para apresentar planos de defesa. Para bancos dessa escala, a resiliência cibernética já é uma das principais prioridades nas inspeções regulatórias, mas incluir ameaças de modelos específicos de IA avançados na lista de riscos representa um novo e mais concreto nível de requisitos em comparação com as disposições gerais sobre "cibersegurança" em diretivas anteriores.

Como isso se encaixa na regulação de IA na Europa

O requisito do BCE complementa os mecanismos existentes da UE para controlar riscos digitais no setor financeiro, incluindo a Lei de Resiliência Operacional Digital (DORA), que exige que os bancos testem regularmente a segurança de seus sistemas de TI, e a Lei de IA, que introduz supervisão aprimorada de aplicações de inteligência artificial de alto risco. A nova iniciativa adiciona uma camada separada de requisitos, focada especificamente nas ameaças criadas pelos próprios modelos avançados, em vez de apenas no seu uso pelos bancos para defesa.

O que isso significa

Os reguladores europeus veem cada vez mais os modelos de IA avançados não apenas como uma ferramenta que os bancos podem usar para proteção, mas como uma fonte independente de risco sistêmico para a indústria financeira — e conforme as capacidades de tais modelos crescem, o número de requisitos setoriais semelhantes provavelmente aumentará.