El BCE da a los bancos de la zona euro cuatro meses para contrarrestar riesgos de IA

El Banco Central Europeo ha dado a los bancos de la zona euro cuatro meses para elaborar planes destinados a contrarrestar las amenazas cibernéticas potenciadas por la inteligencia artificial (IA) que podrían minar la confianza en el sistema financiero y perturbar las redes de pagos.

La directiva, emitida el martes, refleja la creciente preocupación entre los reguladores europeos por las crecientes capacidades cibernéticas de los modelos avanzados de IA.

Según el BCE, los avances en IA han alcanzado un punto en el que algunos modelos se han vuelto tan potentes que se ha restringido el acceso a ellos. El banco central señaló que esta restricción actualmente excluye a los bancos de la zona euro.

El BCE destaca riesgos para los sistemas TIC de los bancos

En una carta dirigida a los consejeros delegados de los bancos, el BCE advirtió que los avances en IA podrían tener consecuencias significativas para la seguridad y la resiliencia de la infraestructura tecnológica bancaria.

«Estos desarrollos tienen implicaciones potencialmente profundas para la confidencialidad, integridad y resiliencia de los sistemas de tecnología de la información y la comunicación de los bancos», señaló el BCE en la carta.

El banco central instruyó a las entidades de crédito a priorizar la protección de los sistemas expuestos a Internet y otros activos tecnológicos más expuestos a riesgos cibernéticos.

También pidió a los bancos que refuercen la seguridad del software de terceros y de los componentes de código abierto, aceleren la corrección de las vulnerabilidades identificadas y mejoren las capacidades de monitorización.

Más allá de las medidas de seguridad inmediatas, el BCE urgió a los bancos a modernizar la infraestructura tecnológica obsoleta y a mejorar la higiene cibernética en general.

El supervisor bancario también instó a las entidades a reforzar los marcos de gestión de crisis, los acuerdos de recuperación y los mecanismos de intercambio de información para mejorar la preparación ante posibles incidentes cibernéticos.

Los bancos tienen hasta el 31 de octubre para presentar sus planes de acción de ciberseguridad al BCE.

Para ayudar a las instituciones a centrarse en estas prioridades, el banco central dijo que ha aplazado una encuesta separada sobre tecnología de la información.

También indicó que podría ajustar las inspecciones previstas y otras actividades de supervisión para liberar recursos para las nuevas iniciativas de ciberseguridad.

El ESRB advierte sobre riesgos financieros sistémicos

Junto con la comunicación del BCE, la Junta Europea de Riesgo Sistémico (ESRB) publicó una advertencia que destaca los riesgos más amplios para la estabilidad financiera que suponen los incidentes cibernéticos de gran escala.

La ESRB indicó que las interrupciones cibernéticas generalizadas podrían debilitar la confianza pública en las instituciones financieras y, en casos graves, provocar corridas contra empresas o incluso países percibidos como con menor resiliencia cibernética.

«La ESRB considera que estos desarrollos son una fuente de riesgos sistémicos para el sistema financiero», afirmó el órgano.

Los incidentes cibernéticos podrían propagarse por todo el sector financiero

Para ilustrar el impacto potencial, la ESRB describió varios escenarios posibles que implican amenazas cibernéticas potenciadas por IA.

Estos iban desde una erosión gradual de la confianza en bancos más pequeños hasta campañas de espionaje respaldadas por Estados y ataques coordinados dirigidos a los sistemas de pago, compensación y liquidación.

El órgano también advirtió que las campañas de desinformación podrían amplificar los efectos de tales incidentes al aumentar la incertidumbre y minar la confianza pública.

La ESRB añadió que los incidentes cibernéticos podrían propagarse rápidamente a través de proveedores tecnológicos compartidos y de software de uso común en todo el sector financiero, aumentando el riesgo de una interrupción generalizada.

La última directiva del BCE y la advertencia de la ESRB subrayan el creciente enfoque de los reguladores en fortalecer la resiliencia cibernética a medida que los avances en IA continúan remodelando el panorama de la ciberseguridad.

Con los bancos ahora enfrentando un plazo hasta el 31 de octubre, las autoridades europeas buscan asegurarse de que las instituciones financieras estén mejor preparadas para responder a amenazas cibernéticas cada vez más sofisticadas mientras protegen la confianza en el sistema financiero.