Octubre 2026
El reciente desarrollo de los modelos de inteligencia artificial (IA) avanzados o modelos de IA de frontera¹ plantea una serie de oportunidades y riesgos para el sector financiero que está siendo objeto de análisis y advertencia por parte de distintos organismos internacionales, instituciones europeas y autoridades financieras.
En concreto, las Autoridades Europeas de Supervisión (AES) publicaron el 31 de julio una Declaración sobre los riesgos inherentes a las tecnologías de la información y de la comunicación (TIC) derivados de los modelos de IA de frontera² y su intención de adoptar, para los tres sectores correspondientes, un enfoque supervisor consistente y basado en el riesgo.
En la Declaración, las AES llaman la atención del sector financiero sobre la creciente importancia de los riesgos asociados a estos modelos e instan a este a reforzar urgentemente sus políticas y medidas de ciberresiliencia con estructuras de gobernanza sólidas para garantizar la mitigación de dichos riesgos, mediante estrategias de prevención, detección y gestión.
Las medidas de ciberseguridad deben adaptarse al nuevo contexto e incrementar la capacidad de reacción inmediata ante potenciales incidentes. Las nuevas herramientas de IA podrían generar riesgos sistémicos dada su capacidad para descubrir y explotar vulnerabilidades a gran velocidad, atacar vulnerabilidades en infraestructuras compartidas y aprovechar los puntos únicos de fallo de las entidades. Las AES proporcionan una serie de ejemplos³ que las entidades supervisadas pueden tomar como referencia para implantar las estrategias y acciones que consideren adecuadas. Se destacan también las ventajas de estos modelos para desarrollar mejoras sustantivas en las medidas de defensa.
Por su parte, las AES trabajarán con las autoridades nacionales competentes (ANC) para mantener un enfoque de supervisión proporcionado y basado en el riesgo y están llevando a cabo diversas actuaciones que se integrarán e informarán sus actividades de supervisión previstas para 2027.
Esta Declaración se inscribe en la serie de comunicaciones realizadas en junio y julio por diversas autoridades e instituciones de la UE. Entre ellas, cabe destacar las siguientes:
- El Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial⁴, (véase el último apartado).
- El Aviso de la Junta Europea de Riesgo Sistémico (JERS)⁵ sobre el carácter sistémico que los ciberriesgos de estos modelos de IA avanzados pueden plantear y la necesidad de adopción por la industria financiera, en su acepción más amplia, de medidas urgentes y de coordinación con las autoridades nacionales y europeas.
- La carta del BCE⁶ destinada a los consejeros delegados de las entidades crediticias bajo su supervisión para que desarrollen sin demora un plan de acción con una estrategia de ciberseguridad adaptada a los nuevos modelos, que distinga entre medidas estructurales y medidas a corto plazo.
- La primera edición de recomendaciones de ENISA⁷ dirigidas, entre otros, a las autoridades nacionales y proveedores de servicios para que desarrollen sus capacidades operativas con el fin de hacer frente a estos riesgos.
En el ámbito global, es preciso reseñar el trabajo más reciente del Consejo de Estabilidad Financiera en esta área, desde la perspectiva de la estabilidad financiera:
- Por un lado, la carta que su presidente ha dirigido a los ministros de finanzas y a los gobernadores de los bancos centrales del G20 en la que advierte también sobre los nuevos riesgos planteados por los modelos de IA de frontera⁸. En dicha misiva se destaca la importancia de tener en cuenta estos nuevos desarrollos tecnológicos y sus potenciales riesgos dada la interconexión del sistema financiero global, la enorme fragmentación existente, las diferencias en el nivel de desarrollo de la ciberseguridad en las distintas jurisdicciones y la concentración de la oferta en un número limitado de proveedores de servicios. Se recuerda asimismo la necesidad de que las instituciones financieras, infraestructuras de mercados y proveedores tecnológicos adapten y refuercen sus marcos de resiliencia para afrontar un eventual entorno de amenazas con mayor número de vulnerabilidades. Por último, se establece que el despliegue a nivel global de un modelo seguro y responsable debería constituir una prioridad.
- Por otro lado, en octubre ha publicado su Informe final sobre buenas prácticas en la adopción responsable de la inteligencia artificial⁹, dirigido a todo el ámbito financiero, en el que describe los usos actuales de la industria de los modelos de IA, sus beneficios, ventajas y vulnerabilidades. El informe contiene casos prácticos y doce buenas prácticas del uso de la IA (con especial atención a la IA generativa y agéntica), no vinculantes y estructuradas en torno a las funciones de gobernanza y de gestión de riesgos a lo largo de todo el ciclo de vida de los modelos. En la adopción de estas prácticas ha de regir un criterio de proporcionalidad, teniendo en cuenta el tamaño, la complejidad y conectividad de la entidad concreta, así como el riesgo y naturaleza de las funciones en las que se aplica la IA. Se destaca la responsabilidad y necesaria involucración de los consejos de administración y cargos directivos a la hora de diseñar una estrategia y mecanismos de control de las nuevas herramientas y la necesidad de coordinación, cooperación e intercambio de información que estas prácticas tratan de favorecer. Las prácticas se actualizarán en función del desarrollo de las nuevas herramientas.
¹ En el Aviso de la Junta Europea de Riesgo Sistémico, de 25 de junio de 2026, se definen los «modelos de IA de frontera (FAIM)» como «modelos de IA de uso general más avanzados que pueden afectar significativamente a ciberoperaciones ofensivas o defensivas».
² ESAs Statement on a consistent and risk-based approach for ICT risks from AI frontier models.
³ Véase el Anexo de la Declaración (Ejemplos de acciones y estrategias de mitigación del riesgo).
⁴ Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial.
⁷ ENISA’s view on Cybersecurity in the Frontier AI Era.
⁹ Sound Practices for Responsible Adoption of Artificial Intelligence (AI). Final report.