El BCE aumenta la presión sobre los bancos por el riesgo de ciberataques impulsados por la IA

• Nacho Grosso @grosso_nacho
• Cádiz (1973) Redactor y editor especializado en tecnología. Escribiendo profesionalmente desde 2017 para medios de difusión y blogs en español.
• • 13/10/2026 10:27
  • Actualizado: 13/10/2026 10:27

Los supervisores bancarios están ampliando las preguntas que hacen a las entidades sobre inteligencia artificial. Según adelanta Reuters, preocupan tanto los ciberataques contra bancos como los agentes de IA que actúen fuera de control, dos riesgos capaces de afectar a la estabilidad financiera.

Los bancos compiten por adoptar la IA agéntica, que completa tareas con muy poca supervisión humana, y los consultores del sector advierten de que los controles van más despacio que la tecnología. Michael Woodbridge, socio de ciberseguridad de Grant Thornton en Londres, lo resume al señalar que la adopción de la IA suele ir por delante de la capacidad de ponerle límites.

El reloj del BCE marca el 31 de octubre

El Banco Central Europeo envió el 7 de julio una carta a los bancos que supervisa directamente, un grupo de unas 110 entidades en la eurozona entre las que figura Santander. Les pide un plan de acción frente a las amenazas cibernéticas que hace posibles la IA, y deben presentarlo antes del 31 de octubre de 2026.

Según la carta, el plan debe acelerar la gestión de vulnerabilidades y la aplicación de parches, reforzar la detección con herramientas de IA, vigilar mejor a los proveedores externos y mejorar las copias de seguridad y la recuperación. Después, los equipos de supervisión del BCE analizarán cada plan con la entidad correspondiente.

Frank Elderson, miembro del consejo ejecutivo, pidió en un discurso de junio crear un sentido de urgencia y no de alarma. Una de las fuentes de Reuters asegura que persisten brechas significativas en algunas entidades, y un alto directivo de un gran banco europeo, que habla bajo anonimato, teme daños graves en los mercados financieros en un plazo de seis meses.

Lo que deben hacer los bancos españoles

Las entidades españolas que supervisa directamente el BCE tienen que traducir esa lista a su propia casa. Según una fuente de Reuters, los supervisores de la eurozona les piden mapear dónde usan la IA, tanto en el negocio como con proveedores externos, para entender de qué dependen.

También quieren garantías de que pueden apagar y reiniciar sus sistemas de forma controlada. La carta añade que el esfuerzo debe dirigirse desde los niveles más altos de cada entidad, es decir, que no se queda en el departamento técnico.

Una copia aislada vale tanto como un cortafuegos

En Reino Unido, el Banco de Inglaterra y los supervisores británicos animan a los grandes bancos a estudiar planes de recuperación «bare metal». Son sistemas totalmente independientes de la infraestructura tecnológica principal, que se activan si los sistemas operativos primarios quedan comprometidos. Mantenerlos es caro, y las autoridades británicas no prevén nuevos requisitos, sino trabajar con el sector.

Sukand Ramachandran, socio sénior de BCG, sostiene que ‘la recuperación rápida importa tanto como la prevención’. Advierte de que, sin copias limpias de los datos críticos guardadas por separado, un ataque serio podría dejar a los clientes sin acceso a sus cuentas e interrumpir pagos en el conjunto de la economía.

Una copia de seguridad que comparte red con el sistema atacado puede caer con él, y por eso se guarda aparte. Para el cliente de a pie, esa es la diferencia entre un susto pasajero y quedarse sin acceso a su dinero mientras el banco reconstruye sus sistemas.

Agentes de IA con interruptor de apagado

En Estados Unidos, tres reguladores, entre ellos la Reserva Federal, la Oficina del Contralor de la Moneda y la Corporación Federal de Seguro de Depósitos, preguntan a bancos grandes, medianos y pequeños, por escrito y de palabra. Quieren saber si usan tecnología desarrollada en China, si emplean agentes de IA en la ciberdefensa y si pueden controlar sistemas cada vez más autónomos.

Las preguntas son sobre qué límites tienen los agentes, cómo se supervisan y aprueban sus acciones, si el banco puede rastrear y auditar sus decisiones, qué evita que excedan su autoridad, si hay personas en las decisiones clave y cómo se pueden apagar los sistemas autónomos. Según Reuters, los reguladores todavía recaban información y no son prescriptivos con lo que deben hacer las entidades.

Los casos reales alimentan la inquietud. CrowdStrike informó este mes de que una persona en China probablemente utilizó Claude Code, de Anthropic, junto con un agente de IA desarrollado en China en un hackeo a bancos surcoreanos. Reuters añade que herramientas como Mythos, también de Anthropic, están sacando a la luz debilidades informáticas que los bancos deben gestionar.