La inteligencia artificial ha dejado de ser únicamente una herramienta con la que los bancos intentan mejorar productividad, automatizar procesos o detectar fraude.
También empieza a ser considerada un posible riesgo sistémico.
El Financial Stability Board ha advertido este lunes 31 de agosto a los ministros de Finanzas y gobernadores de bancos centrales del G20 de que el impacto de los modelos de inteligencia artificial de frontera sobre la ciberseguridad constituye actualmente su preocupación más inmediata relacionada con la IA para el sistema financiero.
La advertencia aparece en una carta enviada por Andrew Bailey, presidente del FSB y gobernador del Bank of England, antes de las reuniones del G20 que se celebran entre el 31 de agosto y el 1 de septiembre.
No se trata de una advertencia contra la utilización de inteligencia artificial en banca.
El problema está en lo que ocurre cuando las mismas capacidades que permiten automatizar tareas complejas pueden utilizarse para encontrar vulnerabilidades y ejecutar ataques a una velocidad imposible para un atacante humano.
Ataques más rápidos, baratos y escalables
La principal preocupación del FSB es la evolución de los modelos más avanzados.
Estos sistemas están adquiriendo mayores capacidades de razonamiento, autonomía y resolución de problemas.
Aplicadas a la ciberseguridad, esas capacidades pueden modificar tres variables fundamentales.
Velocidad.
Escala.
Coste.
Un atacante equipado con sistemas de IA suficientemente avanzados podría automatizar partes del proceso que actualmente requieren equipos humanos especializados.
Buscar vulnerabilidades.
Analizar sistemas.
Generar código.
Modificar ataques en función de las defensas encontradas.
Y repetir el proceso de manera simultánea contra múltiples objetivos.
El FSB considera que esta combinación podría cambiar sustancialmente la economía de los ciberataques y terminar afectando a la confianza en el sistema financiero.
El problema no termina en un banco
Una de las características más delicadas del riesgo tecnológico actual es la concentración.
Bancos, aseguradoras, mercados y fintech dependen cada vez más de un número relativamente reducido de proveedores tecnológicos.
Cloud.
Modelos de inteligencia artificial.
Centros de datos.
Servicios de identidad.
Infraestructura de ciberseguridad.
Cuando muchas instituciones utilizan los mismos proveedores, una vulnerabilidad deja de ser necesariamente un problema individual.
Puede propagarse.
El FSB pide por ello que las entidades financieras no analicen únicamente su propia capacidad de resistencia, sino también la de sus proveedores tecnológicos críticos.
La IA también puede defender a los bancos
Existe una paradoja importante.
La misma tecnología que aumenta el riesgo puede convertirse en una de las mejores herramientas para combatirlo.
Los sistemas de inteligencia artificial ya permiten analizar enormes cantidades de eventos de seguridad, detectar comportamientos anómalos y responder a determinadas amenazas mucho más rápidamente.
La carrera, por tanto, no enfrenta simplemente a bancos contra inteligencia artificial.
Enfrenta IA defensiva contra IA ofensiva.
Y probablemente obligará a las instituciones financieras a automatizar una parte creciente de sus sistemas de ciberseguridad.
Los reguladores miran hacia la recuperación
La advertencia del FSB introduce además un cambio interesante en la conversación.
Durante años, la estrategia de ciberseguridad se concentró fundamentalmente en evitar que un atacante entrase en un sistema.
Eso sigue siendo imprescindible.
Pero los reguladores empiezan a asumir que determinados ataques terminarán teniendo éxito.
La cuestión pasa entonces a ser cuánto tarda una institución en recuperarse.
El FSB reclama capacidades robustas de respuesta, recuperación y resiliencia, incluyendo escenarios donde diferentes instituciones puedan verse afectadas simultáneamente.
En infraestructura financiera, unas horas de interrupción pueden tener consecuencias muy diferentes a las de una caída convencional de un servicio digital.
Pagos.
Mercados.
Liquidaciones.
Acceso a depósitos.
Todos dependen de sistemas que deben permanecer operativos incluso bajo condiciones extremas.
La IA convierte la ciberseguridad en un problema de estabilidad financiera
Aquí aparece el verdadero cambio.
Un ciberataque contra un banco siempre ha sido un problema de seguridad.
Pero cuando una tecnología permite aumentar simultáneamente la escala y velocidad de los ataques, el problema puede adquirir otra dimensión.
Estabilidad financiera.
Un incidente suficientemente amplio podría afectar a varias instituciones, interrumpir infraestructuras críticas o generar dudas sobre la capacidad de determinadas entidades para proteger sus sistemas.
La confianza es uno de los activos fundamentales de cualquier sistema financiero.
Y precisamente esa confianza es lo que el FSB teme que pueda verse afectado por ataques de nueva generación.
La regulación tendrá que moverse a la velocidad de los modelos
El segundo gran problema es temporal.
Las capacidades de los modelos avanzan mucho más rápidamente que los ciclos regulatorios tradicionales.
Una norma financiera puede necesitar años para diseñarse, negociarse y entrar en vigor.
Un modelo de IA puede adquirir nuevas capacidades en cuestión de meses.
Bailey señala que muchas jurisdicciones todavía no disponen de protocolos adecuados para gestionar el despliegue de modelos avanzados y reclama coordinación internacional para favorecer una liberación y utilización responsable de estas tecnologías.
El desafío será encontrar un equilibrio.
Limitar los riesgos sin impedir que bancos y fintech utilicen la misma tecnología para mejorar eficiencia, seguridad y servicios financieros.
La dependencia tecnológica será tan importante como el capital
Durante décadas, los reguladores financieros han medido la resistencia de un banco principalmente mediante variables financieras.
Capital.
Liquidez.
Exposición al riesgo.
Calidad de los activos.
La digitalización está añadiendo otra dimensión.
Resiliencia tecnológica.
Un banco puede estar perfectamente capitalizado y, sin embargo, ser incapaz de operar si pierde acceso a una infraestructura tecnológica crítica.
La inteligencia artificial amplifica esa dependencia.
Las instituciones no solamente tendrán que demostrar que disponen de capital suficiente para resistir una crisis financiera.
También deberán demostrar que pueden seguir funcionando durante una crisis tecnológica.
La próxima prueba de estrés puede ser digital
Los bancos centrales llevan años sometiendo a las entidades financieras a pruebas de estrés.
Recesiones.
Caídas inmobiliarias.
Desempleo.
Impagos.
Shock de tipos de interés.
El avance de la IA puede obligar a incorporar escenarios muy diferentes.
Ataques automatizados simultáneos.
Interrupciones de proveedores tecnológicos.
Compromiso de sistemas críticos.
Pérdida temporal de determinadas capacidades digitales.
La pregunta ya no será únicamente cuánto dinero perdería un banco.
También cuánto tardaría en volver a funcionar.
La IA entra definitivamente en la agenda de estabilidad financiera
La advertencia del FSB marca una frontera importante.
La inteligencia artificial comenzó entrando en las instituciones financieras como una tecnología de productividad.
Después llegó a atención al cliente, análisis de datos, programación, fraude y gestión de riesgos.
Ahora entra en otra área.
La estabilidad del propio sistema.
Esto no significa que la IA vaya a provocar una crisis financiera.
El FSB tampoco afirma que exista actualmente una amenaza sistémica inevitable.
Lo que está diciendo es que las capacidades están evolucionando suficientemente rápido como para que bancos, reguladores y gobiernos tengan que prepararse antes de que aparezca el problema.
Y esa probablemente sea una de las grandes transformaciones regulatorias de los próximos años.
La inteligencia artificial ya no será evaluada únicamente por lo que puede hacer por los bancos, sino también por lo que podría hacerles.
La advertencia procede directamente del Financial Stability Board y de la carta enviada hoy al G20. Reuters también ha informado este 31 de agosto sobre la petición de reforzar la resiliencia del sistema financiero frente a ataques potenciados por IA.