BCE dá quatro meses a bancos da zona do euro para enfrentar riscos de IA

O Banco Central Europeu deu aos bancos da zona do euro quatro meses para elaborar planos destinados a combater ameaças cibernéticas potencializadas por inteligência artificial (IA) que possam minar a confiança no sistema financeiro e interromper redes de pagamentos.

A diretiva, emitida na terça-feira, reflete a crescente preocupação dos reguladores europeus com as capacidades cibernéticas cada vez maiores de modelos avançados de IA.

Segundo o BCE, os avanços em IA alcançaram um estágio em que alguns modelos se tornaram tão poderosos que o acesso a eles foi restringido. O banco central observou que essa restrição atualmente não se aplica aos bancos da zona do euro.

BCE destaca riscos aos sistemas de TIC dos bancos

Em uma carta dirigida aos diretores-executivos dos bancos, o BCE alertou que os avanços em IA podem ter consequências significativas para a segurança e a resiliência da infraestrutura tecnológica bancária.

"Esses desenvolvimentos têm implicações potencialmente profundas para a confidencialidade, integridade e resiliência dos sistemas de tecnologia da informação e comunicação dos bancos", disse o BCE na carta.

O banco central instruiu os credores a priorizarem a proteção de sistemas expostos à internet e outros ativos tecnológicos mais suscetíveis a riscos cibernéticos.

Também solicitou que os bancos reforcem a segurança de software de terceiros e componentes de código aberto, acelerem a correção de vulnerabilidades identificadas e melhorem as capacidades de monitoramento.

Além das medidas de segurança imediatas, o BCE instou os bancos a modernizarem a infraestrutura tecnológica envelhecida e a aprimorarem a higiene cibernética em geral.

O supervisor bancário também pediu aos credores que reforcem os mecanismos de gestão de crise, os planos de recuperação e os mecanismos de compartilhamento de informações para melhorar a preparação para eventuais incidentes cibernéticos.

Os bancos têm até 31 de outubro para submeter seus planos de ação de cibersegurança ao BCE.

Para ajudar as instituições a se concentrarem nessas prioridades, o banco central disse que adiou uma pesquisa separada sobre tecnologia da informação.

Também indicou que pode ajustar inspeções planejadas e outras atividades de supervisão para liberar recursos para as novas iniciativas de cibersegurança.

ESRB alerta para riscos sistêmicos ao sistema financeiro

Paralelamente à comunicação do BCE, o Conselho Europeu de Risco Sistêmico (ESRB) publicou um alerta destacando os riscos mais amplos à estabilidade financeira colocados por incidentes cibernéticos em grande escala.

O ESRB afirmou que perturbações cibernéticas generalizadas poderiam enfraquecer a confiança pública nas instituições financeiras e, em casos graves, desencadear corridas contra empresas ou até países percebidos como tendo menor resiliência cibernética.

"O ESRB considera esses desenvolvimentos uma fonte de riscos sistêmicos para o sistema financeiro", disse o órgão.

Incidentes cibernéticos podem se espalhar pelo setor financeiro

Para ilustrar o impacto potencial, o ESRB delineou vários cenários possíveis envolvendo ameaças cibernéticas habilitadas por IA.

Esses cenários vão desde uma erosão gradual da confiança em bancos menores até campanhas de espionagem apoiadas por Estados e ataques coordenados direcionados a sistemas de pagamentos, compensação e liquidação.

O conselho também alertou que campanhas de desinformação poderiam amplificar os efeitos desses incidentes ao aumentar a incerteza e minar a confiança pública.

O ESRB observou ainda que incidentes cibernéticos podem se propagar rapidamente por meio de provedores de tecnologia compartilhada e softwares de uso comum no setor financeiro, aumentando o risco de uma interrupção generalizada.

A mais recente diretiva do BCE e o alerta do ESRB ressaltam o foco crescente dos reguladores em fortalecer a resiliência cibernética, enquanto os avanços em IA continuam a remodelar o cenário da segurança digital.

Com os bancos agora enfrentando o prazo de 31 de outubro, as autoridades europeias buscam garantir que as instituições financeiras estejam melhor preparadas para responder a ameaças cibernéticas cada vez mais sofisticadas, preservando a confiança no sistema financeiro.