El BCE exige a los bancos europeos un plan para protegerse de las amenazas de la IA

BarcelonaEl Banco Central Europeo (BCE) ha instado a las principales entidades financieras de la zona euro a presentar "antes del 31 de octubre de 2026" un plan de acción integral con medidas concretas para abordar las amenazas de ciberseguridad relacionadas con los modelos de inteligencia artificial (IA) de vanguardia, como Mythos, desarrollado por Anthropic.

En una carta dirigida a los consejeros delegados de los bancos más significativos de la zona del euro, la presidenta del Consejo de Supervisión del BCE, la alemana Claudia Buch, advierte que la capacidad de los modelos emergentes de IA para identificar vulnerabilidades y generar exploits funcionales tiene implicaciones potencialmente profundas para la confidencialidad, la integridad y la resiliencia de los sistemas de tecnología de la información y la comunicación (TIC) del sector bancario. "Se trata de un cambio a largo plazo en el panorama de amenazas, más que un fenómeno temporal o un riesgo vinculado a una sola herramienta", señala en la carta, publicada este martes por el BCE.

A finales de mayo, el BCE se reunió con las entidades europeas para analizar las implicaciones de los modelos de IA de vanguardia para el sector, y Frank Elderson, representante neerlandés en el directorio del BCE y vicepresidente del Consejo de Supervisión de la institución, ya avanzó que la institución enviaría una carta para todos los altos directivos de los bancos más grandes de la eurozona para solicitar la implementación de medidas proactivas para garantizar la solidez y la seguridad de sus sistemas ante estos cambios. En este sentido, en su misiva, Buch insta a las entidades clave a evaluar sin demora el impacto del panorama de amenazas y a desarrollar "un plan de acción integral que describa medidas concretas" para reforzar los controles pertinentes, asignar los recursos necesarios, definir claramente las funciones y responsabilidades y establecer los plazos de implementación.

Este plan de acción, que los bancos deberán presentar a los técnicos del BCE antes del 31 de octubre de 2026, deberá incluir la estrategia de ciberriesgo de la entidad y abordar tanto las prioridades inmediatas como los aspectos estratégicos a largo plazo. El regulador bancario hará un análisis transversal de los diversos planes de acción presentados por los bancos para identificar tendencias, desafíos y áreas de mejora, y compartirá las conclusiones con las entidades.

A corto plazo, el BCE pide al sector bancario que acelere la gestión de vulnerabilidades a gran escala; mejore la detección y las capacidades defensivas basadas en IA; y verifique que la gestión de riesgos de terceros sea la adecuada, teniendo en cuenta el papel de los proveedores de servicios de TIC en las cadenas de suministro críticas. Además, el BCE señala que la resiliencia operativa y cibernética a largo plazo debe reforzarse mediante medidas estructurales, incluyendo el fortalecimiento de la defensa en profundidad y la higiene cibernética, así como la modernización de la infraestructura.

Los temores hacia Anthropic

Hace años que la irrupción de sistemas con IA es un posible elemento de riesgo identificado por el BCE, pero la presentación a principios de abril de Mythos, entonces el modelo más avanzado de IA de la multinacional norteamericana Anthropic, impulsó a los reguladores estatales del continente y a la mayoría de instituciones de la Unión Europea a recopilar información sobre los riesgos potenciales. La capacidad de Mythos para detectar vulnerabilidades de software llevó a la empresa dirigida por Dario Amodei a limitar cautelosamente su implementación.

A principios del pasado mes de junio, Anthropic amplió el acceso a Claude Mythos Preview a aproximadamente 150 nuevas organizaciones con sede en más de 15 países, incluyéndo España, extendiendo así el alcance del Proyecto Glasswing, la iniciativa colaborativa implementada por la start-up norteamericana desde principios de abril junto con 50 socios iniciales con acceso preferente a su modelo avanzado de IA, incluyéndo las autoridades de los Estados Unidos norteamericanos y empresas del país.