¿Qué casos de uso y avances de la IA identifica IOSCO en los mercados de capitales y qué beneficios y riesgos conlleva su adopción?

El informe constata un uso creciente de la IA en los mercados de capitales. Entre las aplicaciones observadas se encuentran el análisis de los mercados, el desarrollo de proyecciones financieras y la optimización de carteras; las funciones de soporte y de gestión de riesgos; la detección y prevención del fraude; el cumplimiento normativo; y la atención y relación con los clientes. Trabajos anteriores de IOSCO identificaron, además, los servicios de asesoramiento y soporte , la identificación y el seguimiento de clientes, la selección de algoritmos de negociación, la gestión de activos y carteras, el asesoramiento automatizado (robo-advising), la negociación algorítmica, el análisis de inversiones y de sentimiento de mercado, la vigilancia del mercado y el seguimiento de operaciones en materia de prevención del blanqueo de capitales y financiación del terrorismo (AML/CFT). La GenAI avanza cada vez más desde pruebas de concepto y proyectos piloto hacia una integración más amplia, mientras que la IA agéntica se encuentra todavía, en gran medida, en una fase de experimentación o de prueba de concepto. Los miembros también informaron sobre evaluaciones de la IA realizadas a través de otros sistemas de IA, así como de pruebas con datos sintéticos y con combinaciones de IA y blockchain. Los principales impulsores del uso de la IA son la eficiencia operativa y la reducción de costes, la mejora en la recopilación de datos de alta calidad, la personalización y mejora de la experiencia del cliente y la gestión de riesgos y la detección del fraude; también se señala que la IA respalda el cumplimiento normativo, la comunicación de información y la detección de amenazas cibernéticas. Entre las barreras figuran la ausencia de gobernanza, la dependencia de modelos o proveedores externos y la escasez de personal cualificado. Los riesgos siguen siendo muy dependientes del contexto y se refieren a la gobernanza y la supervisión, el desarrollo y las pruebas de modelos y algoritmos, la calidad de los datos y los sesgos, la transparencia y la explicabilidad, la externalización y la concentración, los usos maliciosos, las cuestiones éticas y la interacción entre humanos e IA. La GenAI añade incertidumbre y riesgo de alucinaciones, mientras que la IA agéntica podría aumentar la complejidad mediante una mayor autonomía en las labores de planificación, con posibles riesgos en materia de datos, ciberseguridad, operativa, comportamientos inesperados y fallos en cadena. En consecuencia, IOSCO aboga por una supervisión basada en el riesgo y proporcionada, con una mayor atención supervisora para los usos de mayor riesgo o impacto.

¿Qué abarca el primer nivel del conjunto de herramientas – los ámbitos de atención supervisora?

El primer nivel ofrece a los supervisores un marco para identificar dónde podría estar justificada una atención más rigurosa y de qué forma podrían desplegarse con mayor eficacia los recursos de supervisión. Se apoya en los trabajos previos de IOSCO en materia de IA y se centra en las características del sistema de IA, su uso y despliegue, su ciclo de vida, el grado de supervisión humana y sus posibles efectos sobre los inversores, las entidades y los mercados. Se anima a los supervisores a evaluar la naturaleza y la complejidad del sistema, las posibles vulnerabilidades de los modelos o los datos, el uso indebido, los incidentes cibernéticos, la eficacia de la mitigación de riesgos y los mecanismos de gobernanza y gestión de riesgos de la entidad. La supervisión humana puede oscilar entre el modelo humano al mando (human-in-control), en el que la persona puede utilizar o descartar el resultado de la IA a su discreción; el humano en el bucle (human-in-the-loop), en el que la IA actúa únicamente si la persona lo aprueba; el humano sobre el bucle (human-on-the-loop), en el que la IA actúa salvo que la persona lo desapruebe; y el humano fuera del bucle (human-out-of-the-loop), en el que el sistema actúa sin intervención humana. Entre los aspectos de impacto que deberían considerarse se encuentran la protección del inversor, la idoneidad, la privacidad y la protección de datos, la no discriminación, el número y el tipo de inversores afectados y la disponibilidad de vías de reparación, así como la posible alteración de las actividades esenciales de la entidad y sus consecuencias operativas, legales o reputacionales. Las evaluaciones de impacto y los mapas de riesgos deberían respaldar la proporcionalidad: los sistemas de mayor riesgo o impacto deberían someterse a un examen más riguroso, mientras que los de menor riesgo podrían recibir un tratamiento más simplificado. IOSCO señala asimismo que las entidades de importancia sistémica deberían recibir una atención más rigurosa, debido a su mayor impacto en los mercados, y que la dependencia común de proveedores de IA externos podría generar vulnerabilidades sistémicas y efectos en cadena.

¿Qué herramientas ofrece el segundo nivel para la supervisión de la gobernanza y la gestión de riesgos, el riesgo de terceros y la externalización, la divulgación de información y el mantenimiento de registros y la comunicación de información?

El segundo nivel recoge herramientas de supervisión detalladas y preguntas orientativas en cuatro ámbitos. La gobernanza y la gestión de riesgos deberían aplicarse a lo largo de todo el ciclo de vida de la IA, debiendo contar con políticas documentadas, una asignación clara de responsabilidades, una supervisión humana adecuada, mecanismos de escalado y registros de auditoría. IOSCO destaca en este ámbito la supervisión por parte del consejo de administración y la alta dirección, las políticas de IA para toda la entidad, los inventarios de sistemas de IA, las evaluaciones de riesgo e impacto, la validación de los modelos y el seguimiento continuo de las desviaciones y los sesgos, la gobernanza de datos, la capacitación y formación del personal y las prácticas específicas para la GenAI y otros sistemas avanzados. En cuanto a terceros y externalización, las entidades deberían llevar a cabo una diligencia debida proporcionada al riesgo, evaluar la transparencia y la equidad, validar los elementos de código abierto y de terceros, gestionar los riesgos de la cadena de suministro y de concentración, mantener planes de contingencia y de salida, e incluir cláusulas contractuales adecuadas sobre desempeño, protección de datos, auditoría y notificación. La entidad supervisada conservaría la responsabilidad legal y la rendición de cuentas respecto de las tareas externalizadas. La divulgación de información debería permitir una valoración adecuada del uso material de la IA, su desempeño y sus limitaciones, los riesgos, la gobernanza y, cuando proceda, los mecanismos de consentimiento u opción de exclusión del cliente y las dependencias de terceros. IOSCO también llama la atención sobre las afirmaciones engañosas o promocionales relativas a la IA, o «lavado de imagen de IA» (AI-washing). El mantenimiento de registros debería conservar la documentación a lo largo de todo el ciclo de vida de la IA relativa al desarrollo y los cambios del sistema, las decisiones sobre los modelos, los resultados generados por la IA, las intervenciones humanas, las explicaciones y los incidentes. La comunicación de información debería proporcionar a los supervisores datos relevantes y suficientemente detallados, incluidos los fallos significativos, los sesgos, los incidentes de ciberseguridad, las brechas de datos y otros incidentes de IA, permitiendo al mismo tiempo revisar los marcos de comunicación de información existentes a medida que evolucione el uso de la IA.

¿Qué ofrece a los supervisores el tercer nivel – los indicadores y las fuentes de datos para el seguimiento del uso de la IA?

El tercer nivel respalda el seguimiento supervisor continuo mediante indicadores sobre la adopción, el uso, las dependencias y el desempeño de la IA, así como mediante la identificación de vías para recabar información relevante. Entre los indicadores figuran la proporción de entidades que utilizan IA; la proporción de casos de uso en fase de desarrollo o ya en producción; el gasto en investigación y desarrollo (I+D) en IA y las patentes desarrolladas; los inventarios de casos de uso y de tipos de sistemas de IA; la información sobre los modelos subyacentes y sus características; la dependencia y la concentración en proveedores externos; la frecuencia y gravedad de los fallos, errores, interrupciones, incidentes cibernéticos, brechas de datos y conductas indebidas; y las medidas de desempeño de los modelos, incluyendo la precisión de las predicciones y las tasas de error. IOSCO ofrece asimismo ejemplos específicos por sector, como las prácticas de venta inadecuada o las recomendaciones no adecuadas impulsadas por IA en el caso de los intermediarios de valores (broker-dealers), las medidas de valoración y de desviaciones de la cartera en el caso de los gestores de activos, y los indicadores de calidad del mercado, vigilancia, volatilidad y liquidación en el caso de los mercados y otros intermediarios financieros. Los supervisores podrían obtener esta información a través de la información recibida de las entidades supervisadas, los exámenes e inspecciones, el diálogo con las entidades, las encuestas sectoriales, la información disponible públicamente, las herramientas de seguimiento en tiempo real, el análisis asistido por IA, el intercambio de información entre autoridades y los sandboxes, centros de innovación y otras iniciativas de colaboración. La finalidad es identificar los patrones de adopción y los ámbitos de mayor riesgo, priorizar la actuación supervisora y detectar riesgos y vulnerabilidades emergentes, manteniendo en todo momento un enfoque basado en el riesgo y proporcionado.