El Banco Central Europeo (BCE) ha dado un golpe sobre la mesa. En una carta remitida a los consejeros delegados de las 110 entidades bancarias que supervisa directamente, la presidenta del Consejo de Supervisión, Claudia Buch, exige que los bancos presenten antes del 31 de octubre un plan detallado para mitigar los riesgos de ciberseguridad derivados de la inteligencia artificial (IA). La misiva, calificada de tono «inusualmente apremiante», sitúa esta tarea como una «prioridad absoluta» y coloca la responsabilidad directamente en los órganos de gestión, no solo en los equipos técnicos.
El motivo de tanta urgencia no es otro que la irrupción de modelos de IA de última generación, como Mythos, desarrollado por la firma estadounidense Anthropic. Según Buch, estos sistemas son capaces de identificar vulnerabilidades de software a una velocidad sin precedentes, comprimiendo el tiempo entre el descubrimiento de una brecha y su explotación masiva. La supervisora advierte que no se trata de un riesgo pasajero, sino de «un cambio estructural en el panorama de amenazas».
La amenaza de Mythos y la respuesta coordinada de las instituciones europeas
Anthropic reconoció en abril que Mythos posee capacidades de programación tan avanzadas que la empresa decidió vetar su lanzamiento al público general. Solo un grupo reducido de gigantes tecnológicos y financieros, como Amazon, Google, Microsoft o JPMorgan Chase, tienen acceso al modelo a través del ‘Proyecto Glasswing’. La Casa Blanca llegó a prohibir temporalmente su uso a ciudadanos extranjeros por motivos de seguridad nacional, aunque el veto se levantó a principios de julio ante el avance de la competencia china, como el modelo de Zhipu AI.
En este contexto, la Junta Europea de Riesgo Sistémico (JERS) ha elevado de «elevado» a «grave» el riesgo de ciberataques sistémicos. En un comunicado, el organismo advierte que los modelos de IA más avanzados «ofrecen una ventaja a los ciberdelincuentes» al permitirles descubrir vulnerabilidades y ejecutar ataques con mayor rapidez, escala y sofisticación. La JERS también señala que la concentración de proveedores de IA fuera de la UE deja al bloque expuesto a una dependencia estratégica y a riesgos geopolíticos, por lo que insta a una respuesta coordinada que incluya a bancos, empresas de seguridad y desarrolladores de software.
Tres líneas de defensa y plazos ajustados para la banca
La carta del BCE no es excesivamente prescriptiva, pero sí marca tres áreas clave que los bancos deben reforzar. La primera es la «seguridad por diseño»: evitar que el software presente vulnerabilidades desde su creación. La segunda, corregir las que aparezcan lo más rápido posible mediante parches, reduciendo drásticamente los plazos de subsanación, que ya no pueden ser de meses sino de días. La tercera, contar con defensas robustas que incluyan sistemas de detección de intrusiones, protocolos para aislar sistemas comprometidos y capacidad de restablecer la operativa rápidamente.
Las entidades españolas significativas, como Santander y BBVA, deberán presentar sus planes a los equipos conjuntos de supervisión (JST) antes del 31 de octubre, lo que deja menos de cuatro meses para diseñar, aprobar y documentar estrategias que deberán pasar por los consejos de administración. El BCE ha decidido aplazar hasta febrero de 2027 la recogida anual del Cuestionario de Riesgo Tecnológico para que los bancos puedan centrar sus recursos en esta prioridad. Además, el supervisor advierte que utilizará todas las herramientas a su alcance, incluidas posibles multas o recargos de capital, si detecta deficiencias graves.
Buch también ha señalado que otras tecnologías emergentes, como la computación cuántica, tendrán un impacto significativo en la ciberseguridad, aunque por ahora el foco está en la IA. «Si bien estos avances no introducen riesgos completamente nuevos, amplifican significativamente la velocidad y la escala con la que se materializan», advierte la presidenta del Consejo de Supervisión. La banca europea se enfrenta, por tanto, a un reto mayúsculo: blindarse a contrarreloj frente a una amenaza que evoluciona más rápido que sus propios departamentos tecnológicos.