No cabe duda razonable de que la ciberseguridad es uno de los aspectos críticos del impacto de la inteligencia artificial en el sector financiero. Es por ello por lo que nos parece oportuno dar cuenta del informe publicado el 30 de junio de 2026 por el FMI titulado “Inteligencia artificial y ciberseguridad en el sector financiero” (v. la referencia bibliográfica final).
A) Finalidad
Este Informe (artículo o nota) parte de la base de dos constataciones que son:
a) La inteligencia artificial está transformando el riesgo cibernético en el sector financiero al acelerar la velocidad, la frecuencia y el alcance del descubrimiento de vulnerabilidades y su posible explotación.
b) A medida que la IA se integra más profundamente en las instituciones financieras y las infraestructuras de mercado, puede fortalecer la ciberdefensa, pero también aumentar el riesgo sistémico, particularmente a través de infraestructuras digitales compartidas, proveedores de servicios comunes y dinámicas de ataque y defensa a velocidad de máquina que superan la respuesta humana.
Visto lo anterior, el Informe sostiene que la principal preocupación para la estabilidad financiera reside no tanto en la peligrosidad de los nuevos tipos de ciberataques como en los efectos de escala que la IA puede desatar en tecnologías comunes, amplificando la rapidez y la amplitud con que se propagan los riesgos.
Por lo tanto, el Informe señala que serán esenciales para salvaguardar la estabilidad financiera una gobernanza sólida y controles técnicos que limiten el alcance de las brechas de seguridad (es decir, el alcance del daño que pueden causar) y contengan eficazmente su propagación; una capacidad de respuesta y recuperación robusta y una mayor coordinación internacional.
A nivel nacional y dadas las implicaciones intersectoriales, los limitados incentivos privados para una gestión adecuada del riesgo cibernético y los beneficios de la colaboración público-privada; será necesario un enfoque integral que reúna a los gobiernos, el sector privado y otras partes interesadas.
B) Contenido
El Informe se estructura en cuatro apartados referidos a
a) El panorama de las amenazas a la ciberseguridad relacionadas con la IA y, en concreto, la evolución de las amenazas cibernéticas basadas en la IA, la dinámica del doble uso y el equilibrio entre ataque y defensa y la IA de vanguardia (“Frontier AI”) y el ataque autónomo (p.6 y ss.).
b) Las implicaciones para la estabilidad financiera, centrándose concretamente en el riesgo compartido de infraestructura, el riesgo de concentración de terceros, el fraude facilitado por la IA, la ingeniería social y la resiliencia operativa de la integridad del mercado y la IA como multiplicador de fuerzas para la ciberdefensa (p.8 y ss.).
c) Los marcos normativos y regulatorios internacionales emergentes con referencia a la labor de supervisión del FMI, del Consejo de Estabilidad Financiera, de IOSCO y los organismos reguladores de los mercados de valores, del BPI, los bancos centrales y los organismos de supervisión prudencial. Además del marco regulatorio de la Unión Europea; el enfoque del Reino Unido y el marco de Estados Unidos (p.11 y ss.).
d) Las lagunas y los retos en el marco regulador actual, con referencia especial a la saturación de los índices de referencia y opacidad en la supervisión, la brecha de seguridad global y la exposición de los mercados emergentes y en desarrollo y las lagunas en la gobernanza de los modelos de IA de vanguardia (“Frontier AI”) (p.13 y ss.).
C) Siete recomendaciones de política de supervisión
Nos parece especialmente oportuno y útil fijar nuestra atención en las siete recomendaciones de política legislativa dirigidas a las autoridades nacionales que hace el Informe (p.14 y ss.) para reforzar la ciberresiliencia del sector financiero en una era caracterizada por amenazas impulsadas por la IA y que, por lo tanto, operan a la velocidad de las máquinas. Sus objetivos consisten en lograr una resiliencia práctica y sistémica: reducir el alcance de los ataques y el movimiento lateral; mejorar la detección, la respuesta y la recuperación; reforzar la supervisión de las tecnologías compartidas y de terceros; y garantizar que la coordinación del sector público se adapte al ritmo de las interdependencias intersectoriales y a las capacidades de la inteligencia artificial, en rápida evolución.
Estas siete recomendaciones de política legislativa consisten en:
“a) Actualizar la vigilancia de los riesgos cibernéticos: Las autoridades deberían incorporar escenarios de amenazas basados en la inteligencia artificial en el seguimiento de la estabilidad financiera, prestando especial atención a los efectos de escala y a las dependencias de modo común, en lugar de centrarse únicamente en incidentes idiosincrásicos de las empresas. La vigilancia debería tener en cuenta la detección de vulnerabilidades nacidas de la velocidad de las máquinas, la explotación correlacionada de tecnologías de uso generalizado y las perturbaciones a través de proveedores de servicios e infraestructuras de mercado comunes.
Cuando proceda, las autoridades deberían integrar las señales de riesgo cibernético en cuadros de mando más amplios sobre el riesgo sistémico, incluyendo indicadores de concentración en servicios digitales críticos y umbrales de capacidad emergentes en materia de inteligencia artificial que puedan reducir de manera significativa los plazos de respuesta.
b) Reforzar la supervisión de los proveedores externos de servicios de IA: Las autoridades deberían ampliar y poner en práctica los marcos normativos existentes para los proveedores externos y de servicios críticos, con el fin de identificar mejor los riesgos de concentración, sustituibilidad y dependencia asociados a los principales proveedores de servicios en la nube y de IA. Esto incluye reforzar los requisitos de gobernanza para los servicios de IA externalizados e «integrados», mejorar la visibilidad de las exposiciones compartidas entre las entidades supervisadas y garantizar que los enfoques de supervisión aborden los riesgos de fallos en modo común, en lugar de tratar las relaciones con terceros como cuestiones que afectan exclusivamente a nivel de empresa. Siempre que los mandatos de supervisión lo permitan, las autoridades deberían desarrollar mecanismos para evaluar la resiliencia de los proveedores críticos que sustentan gran parte del sistema financiero, incluyendo requisitos que faciliten la elaboración de planes de contingencia fiables y la recuperación en caso de perturbaciones.
c) Mejorar la coordinación cibernética intersectorial: Aunque el ámbito de esta nota es el sector financiero, las autoridades deben reconocer que la estabilidad financiera no puede garantizarse únicamente mediante la resiliencia cibernética del sector financiero. Dado que el sector financiero depende de -y puede transmitir perturbaciones a- los sectores de la energía, las telecomunicaciones, los servicios en la nube y de datos, el transporte y otras infraestructuras críticas (FMI, 2024), los gobiernos deberían establecer o reforzar mecanismos centrales de coordinación (por ejemplo, centros nacionales de coordinación cibernética, protocolos de gestión de crisis y ejercicios conjuntos de preparación) que armonicen la preparación cibernética en todas las infraestructuras críticas. Esto debería incluir funciones y responsabilidades claras, mecanismos de intercambio de información entre sectores y una planificación coordinada de la continuidad de las operaciones para situaciones en las que las perturbaciones operativas se propaguen rápidamente por todos los sectores.
d) Ampliar los ejercicios de simulación cibernética: Las autoridades deberían actualizar las pruebas de resistencia cibernéticas y los ejercicios de simulación para reflejar que los incidentes cibernéticos impulsados por la inteligencia artificial pueden generar repercusiones tanto operativas como macrofinancieras. Los ejercicios deben seguir poniendo a prueba la contención, la continuidad de las actividades y la recuperación ante perturbaciones correlacionadas (incluso entre múltiples instituciones y proveedores comunes), pero también deben incorporar simulaciones macrofinancieras; por ejemplo, las implicaciones en materia de capital y liquidez derivadas de interrupciones prolongadas, perturbaciones en los pagos y la liquidación, los efectos sobre la confianza, las tensiones de financiación, la dinámica de los márgenes o la amplificación de las ventas precipitadas. La integración de módulos operativos y macrofinancieros ayudará a los supervisores y a los bancos centrales a evaluar si las perturbaciones operativas podrían convertirse de forma plausible en sistémicas a través de los canales de liquidez, el funcionamiento del mercado y los bucles de retroalimentación.
e) Desarrollar normas de divulgación y transparencia específicas para la IA: Las autoridades deberían reforzar la notificación oportuna, estandarizada y relevante para la toma de decisiones de los incidentes cibernéticos por parte de las entidades financieras a las autoridades de supervisión. Los regímenes de notificación deberían facilitar una clasificación y escalado rápidos, exigiendo (como mínimo) la notificación inmediata de los incidentes significativos, información estructurada sobre las funciones y dependencias afectadas, y actualizaciones sobre los plazos de contención y recuperación. Para mejorar la visión global de la situación en todo el sistema, las autoridades deberían aspirar a una taxonomía y unos umbrales de notificación coherentes en todos los subsectores, así como a la coherencia entre jurisdicciones, con el fin de reducir la fragmentación, en consonancia con las orientaciones internacionales (FSB 2023, 2025a). Los marcos de notificación también deberían facilitar el análisis de vulnerabilidades comunes y exposiciones correlacionadas, incluidas las vinculadas al software compartido, los servicios en la nube y las herramientas de IA.
f) Impulsar la coordinación internacional en materia de gobernanza de la IA: Dado que el desarrollo de la IA, la infraestructura digital y los riesgos de ciberseguridad son, por naturaleza, intrínsecamente transfronterizos, las autoridades deberían reforzar la coordinación internacional sobre los riesgos de ciberseguridad relacionados con la IA a través de organismos normativos y redes de supervisión. Una prioridad clave es reforzar la gobernanza global de la IA promoviendo una evaluación rigurosa de la seguridad de los sistemas de IA relevantes para funciones críticas -incluidas las capacidades de ciberseguridad, la autonomía y el potencial de uso indebido-, al tiempo que se mejora la comparabilidad entre los distintos enfoques de evaluación y se reduce el riesgo de fragmentación normativa. Las autoridades deberían trabajar para lograr enfoques normativos y de supervisión más coordinados -que abarquen la divulgación de información, la rendición de cuentas y las salvaguardias básicas- de modo que la resiliencia no dependa de la jurisdicción del «eslabón más débil» y las empresas y los proveedores que operan a nivel mundial tengan unas expectativas claras y coherentes.
g) Establecer una capacidad de supervisión de los modelos de IA de vanguardia (“Fontier AI Models”): Las autoridades deben considerar los riesgos cibernéticos relacionados con la IA como una prioridad de primer orden en materia de resiliencia operativa y garantizar que tanto los supervisores como las entidades supervisadas dispongan de recursos suficientes -presupuesto, personal y capacidad técnica- para adaptarse a un entorno de amenazas en constante evolución. Los supervisores deben evaluar si las entidades financieras destinan recursos adecuados a la vigilancia, las pruebas, la respuesta ante incidentes y la recuperación en materia de ciberseguridad, en consonancia con su importancia sistémica y su huella tecnológica. A nivel sectorial, las autoridades deberían evaluar periódicamente la adecuación de los recursos (incluidos los conocimientos especializados) para identificar las carencias de capacidad que podrían debilitar la supervisión y la respuesta ante crisis, especialmente cuando las amenazas evolucionan más rápido que los ciclos de supervisión tradicionales”.
Referencia bibliográfica: Los datos Informe del FMI titulado “Inteligencia artificial y ciberseguridad en el sector financiero” son los siguientes: “Artificial Intelligence and Cybersecurity in the Financial Sector”, Tobias Adrian, Tamas Gaidosch, Marina Moretti, Mahvash S Qureshi y Rangachary Ravikumar”, 30 de junio de 2026, IMF Notes, Note/20026/005 Páginas:20, Volumen :2026, DOI: https://doi.org/10.5089/9798229045742.068, Asunto:005, Serie :Notas del FMI n.º 2026/005, Número de INSEA2026005, ISBN: 9798229045742.
El lector interesado en los efectos de la IA en el sector financiero puede consultar las entradas de este blog de 8 de mayo de 2026 sobre el “Impacto de la inteligencia artificial en el sector financiero: Resolución del Parlamento Europeo de 25 de noviembre de 2025 (DOUE 24.4.2026)”; de 18 de junio de 2026 sobre el “ Impacto de la inteligencia artificial en el sector financiero: Conferencia en el Curso de Especialización en Derecho e Inteligencia Artificial de la Universidad de Salamanca”; de 28 de junio de 2026 sobre la “IA: Nuevos impactos de la IA en los mercados financieros: Incertidumbres en las bolsas mundiales. El riesgo de Mythos 5 de Anthropic. Rebaja de costes de la consultoría bancaria” y de 27 de junio de 2026 sobre “Los Modelos de Inteligencia Artificial de Frontera (FAIM) marcan un nuevo campo de batalla en la ciberseguridad financiera: Aviso de la JERS de 25 de junio de 2026”.