Los bancos españoles ya tienen casi preparados los planes de contingencia que deben remitir antes del próximo sábado al BCE detallando sus recursos y capacidades de respuesta frente a las nuevas amenazas en torno a la inteligencia artificial. El objetivo es responder al desafío de los modelos más avanzados de IA, que pueden poner en jaque los sistemas informáticos del sector. El BBVA ya ha enviado su plan y el resto de entidades cumplirá en tiempo y forma con la exigencia del banco central, que llega en un momento de nerviosismo en los mercados ante los riesgos de ataques.
La preocupación por los modelos de IA capaces de detectar vulnerabilidades tiene en guardia a los bancos desde comienzos de año, cuando se supo que un desarrollo de Anthropic, Mythos, puede provocar ciberataques a gran escala. Sin embargo, estos días se han producido incidentes adicionales, como la caída de los sistemas de Revolut en Reino Unido o los estragos provocados por una IA en Estados Unidos que operó de forma independiente con la cuenta de clientes particulares.
Las alianzas con OpenAI, Nividia o Anthropic también incluyen elementos de ciberseguridad
Los nuevos planes de contingencia son una respuesta a una carta enviada en julio a los consejeros delegados de los bancos por Claudia Buch, la presidenta del consejo de supervisión del BCE. En ella reclamaba a cada uno de ellos esta medida antes del 31 de octubre. La exigencia se dirige a las “instituciones significativas”, entre las que figuran Santander, BBVA, CaixaBank, Sabadell, Bankinter o Unicaja.
Los bancos deben detallar las medidas, en las que en algunos casos llevan tiempo trabajando, al equipo conjunto de supervisión del BCE, el conocido como JST, que se reunirá más adelante con cada entidad para analizar los planes y monitorizar su aplicación. El BCE prepara además un “análisis horizontal” de todos los planes para identificar tendencias, retos y áreas de mejora. Compartirá sus conclusiones con los bancos.
El tono de la carta y de la petición del BCE es propio de las grandes ocasiones. Los nuevos modelos, dice, son capaces de hallar fallos y explotarlos a una velocidad sin precedentes, lo que puede tener “profundas implicaciones para la confidencialidad, integridad y resiliencia de los bancos”. “Es un cambio a largo plazo más que un fenómeno temporal o un riesgo asociado a una herramienta puntual”, explicaba Buch en julio.
El trabajo con el BCE es constante: “Esto no va de rellenar un informe”
Fuentes de los bancos aseguran que en realidad el contacto con el BCE para tratar asuntos de resiliencia frente a ataques de la IA es “casi diario” y va más allá de remitir un plan de contingencia. “Esto no va de rellenar un informe”, afirman. Sin embargo, al ir dirigida al consejero delegado de cada banco, la carta del BCE garantiza que la amenaza de la IA se ha debatido en los consejos de administración de las entidades.
Los bancos están cerrando importantes alianzas estas semanas con gigantes tecnológicos como Nvidia, OpenAI, Anthropic o Google Cloud. Los movimientos se presentan como potenciadores de un negocio, el de la banca, llamado a obtener fuertes eficiencias con la IA. Sin embargo, en ellos también hay acuerdos para lograr que las operaciones sean más seguras.
Los bancos están también marcando líneas rojas frente a los ciberataques, incluida la de que ningún bot ajeno pueda operar las cuentas de los clientes. Entienden que es una forma de intermediar su actividad y de perder el control, y rechazan la posibilidad de que la IA pueda realizar sin intervención humana operaciones de inversión.
Los planes de contingencia recogen seis grandes bloques de actividad y veinte puntos. Van desde formar a la plantilla y mejorar la gobernanza hasta identificar proveedores tecnológicos y los sistemas conectados a redes públicas de internet. Los bancos deben detallar su perímetro tecnológico, incluida la nube, además de modernizar infraestructuras y tener capacidad para parchear con velocidad cualquier fallo en los sistemas. El banco central usa el término “ciber higiene” para definir algunas de las prácticas.
Mala semana en bolsa para un sector en máximos
Un ejemplo del posible contagio del nerviosismo en torno a la IA está en lo ocurrido el jueves en la cotización de Bankinter, que llegó a caer un 7% en bolsa. Sobre el retroceso no solo pesó la incertidumbre acerca del precio del petróleo o los problemas con la deuda pública francesa.
Sin citar a Revolut, su consejera delegada, Gloria Ortiz, aludió durante la rueda de prensa de presentación de resultados del jueves otra posible causa para el retroceso en bolsa: “La caída de los sistemas de algún neobanco, ha puesto sobre la palestra el impacto sobre la ciberseguridad”.
El resto de bancos cotizados en España tampoco han tenido una buena semana en bolsa, aunque sus bajadas han sido más moderadas. Santander, BBVA, CaixaBank y Sabadell se han dejado entre el 3% y el 5% de su valor desde el lunes. Sin embargo, los títulos se encuentran en máximos históricos y los analistas pronostican que la próxima semana los bancos presentarán de nuevo resultados trimestrales récord.
Al hablar de la IA, desde CaixaBank explican que el banco ha desarrollado un plan específico de respuesta e incrementado inversiones. También ha creado una nueva unidad especializada en ciberseguridad en CaixaBank Tech.
