El Banco Central Europeo (BCE) ha encendido las alarmas en los consejos de administración de la Eurozona. El regulador ha identificado una nueva amenaza sistémica para la estabilidad financiera: la capacidad de los modelos avanzados de inteligencia artificial, concretamente el programa «Mythos» de Anthropic, para detectar y explotar agujeros de ciberseguridad. Ante este escenario, Fráncfort ha enviado una carta directa a las cúpulas directivas exigiéndoles un plan de acción antes del próximo 31 de octubre.
La misiva, conocida en el argot financiero como «Dear CEO», es el mecanismo de máxima alerta del regulador (no se utilizaba desde 2022) y va dirigida expresamente a los presidentes y consejeros delegados. El objetivo es forzar un debate al más alto nivel sobre una tecnología de doble filo. Y es que el mismo algoritmo que permite rastrear vulnerabilidades en el «software» bancario en cuestión de minutos, en manos equivocadas, podría facilitar ataques capaces de vaciar cuentas corrientes a un ritmo inédito.
La nueva carrera armamentística del código
Actualmente, el sector ya trabaja codo con codo con los equipos conjuntos de supervisión para diseñar esta hoja de ruta defensiva. A corto plazo, la exigencia pasa por acelerar el parcheo de vulnerabilidades, monitorizar las redes corporativas y auditar los protocolos de seguridad de los proveedores externos. Mirando a largo plazo, el supervisor pide jubilar la tecnología obsoleta (el temido «legacy») y robustecer la resiliencia operativa mediante mecanismos avanzados de recuperación poscrisis.
Este ultimátum por carta es el broche a una serie de movimientos tácticos del BCE durante los últimos meses. La institución lleva tiempo reuniéndose en privado con los principales banqueros del continente para medir la temperatura de sus defensas cibernéticas y evaluar si están realmente preparados para neutralizar los riesgos de herramientas generativas de alto impacto, que ya operan en la misma liga de capacidades que «ChatGPT», «Gemini» o «Copilot».
Auditorías proactivas y escudos en la nube
Para aterrizar esta estrategia, el documento europeo pone deberes muy concretos sobre la mesa. Reclama a las entidades que revisen a fondo si sus presupuestos tecnológicos y el tamaño de sus equipos están alineados con la magnitud de la amenaza. Además, exige un esfuerzo extra en la formación de las plantillas y una revisión exhaustiva de toda la cadena de suministro, poniendo bajo la lupa los acuerdos con los «partners» tecnológicos.
La gran obsesión del regulador es que la banca pase a la ofensiva. El BCE insta a las entidades a utilizar estas mismas herramientas de IA para auditar su propio código antes de que lo hagan los atacantes, parcheando fallos en tiempo real y haciendo saltar las costuras de sus propios sistemas en entornos controlados. También exige identificar cualquier activo expuesto a la red, blindando especialmente la infraestructura en la nube. Una vez recibidos los planes en octubre, Fráncfort analizará los datos de forma global y volverá a convocar a los directores de tecnología para ajustar este nuevo escudo algorítmico continental.
