El Banco Central Europeo (BCE) incorporará el uso de la inteligencia artificial (IA) y los riesgos asociados a esta tecnología al análisis que realiza sobre las entidades en su proceso de revisión y evaluación supervisora anual (SREP). La decisión llega mientras el sector financiero acelera la adopción de herramientas de IA para mejorar la concesión de financiación y la atención al cliente, detectar fraudes y automatizar procesos.
La tecnología ya estaba bajo el foco del supervisor. El escrutinio específico de la IA entra ahora en el análisis de riesgos del SREP con la aplicación del Reglamento europeo de Inteligencia Artificial (AI Act), aprobado en 2024 y cuya implantación progresiva se extiende hasta 2028.
«Para las entidades de crédito, el plazo más relevante es el 2 de agosto de 2026, fecha a partir de la cual los sistemas de IA utilizados en ámbitos considerados de alto riesgo deberán cumplir plenamente los requisitos del IA Act en materia de gobernanza, calidad de datos, gestión de riesgos, supervisión humana, transparencia, documentación y monitorización», explica Carla Azori, la responsable senior de asuntos regulatorios de Accuracy.
Un riesgo transversal, como los criterios ESG
Entre los sistemas clasificados de alto riesgo figuran los que evalúan la solvencia de los clientes, los que establecen su calificación crediticia y los que fijan el precio actuarial de las pólizas de seguros.
Azorí señala que el BCE incorpora el impacto de la IA «dentro de las directrices SREP 2026» no como un riesgo independiente, sino «de forma transversal, principalmente a través de los ámbitos de digitalización, gobernanza, resiliencia operativas, riesgos TIC, gestión de datos y modelos de negocio». El supervisor evaluará su afectación en todas las áreas, como ya ocurre con los riesgos ESG (ambientales, sociales y de gobernanza).
«La IA puede mejorar significativamente la eficiencia, precisión y capacidad predictiva de la gestión del riesgo de crédito, pero su utilización exige un marco sólido de gobernanza, protección de datos, supervisión humana, control de sesgos, transparencia y cumplimiento normativo», añade la directiva de Accuracy.
Resiliencia operativa y consejos formados
El ejercicio del SREP obliga al supervisor a evaluar el grado de adopción de las nuevas tecnologías y su impacto sobre la estrategia, la generación de ingresos y el control de costes. También exige que el órgano de administración de cada entidad disponga de conocimientos y competencias suficientes sobre los riesgos emergentes, incluidos de forma explícita los TIC (tecnologías de la información y la comunicación), donde se encuadran los vinculados a la IA.
El análisis alcanza la resiliencia operativa, incluidas las conexiones con proveedores terceros, y la calidad de los datos, los sistemas TIC y el reporte de información.
«En un entorno cada vez más digital, la fortaleza de una entidad no dependerá únicamente de su capacidad de innovar, sino también de su capacidad para controlar los riesgos que dicha innovación genera», apunta Azorí.
La ciberseguridad, principal amenaza
La ciberseguridad concentra la principal amenaza para la industria, porque la IA permite a los criminales automatizar ataques a gran escala. El BCE ha exigido a las principales entidades de la zona euro que elaboren y presenten un plan de acción integral frente a los riesgos que plantea el programa de Anthropic antes del próximo 31 de octubre.
