El riesgo legal de la IA para la banca
Entidades, inversores, plataformas y proveedores deben de adaptarse al DORA y al Reglamento Europeo de inteligencia artificial
El pasado 7 de julio la ESMA, la CNMV europea, advirtió de los llamados riesgos frontera de la IA. Una ‘tarjeta amarilla’ que marca un punto de inflexión porque hasta ahora el debate jurídico sobre la IA se centraba en los errores de los algoritmos, las ‘alucinaciones’ y los sesgos en la toma de decisiones o en la protección de datos. Pero ahora la ESMA va más allá: la IA de frontera (la última generación de IA) puede convertir el riesgo tecnológico en un riesgo sistémico.
La última IA puede detectar vulnerabilidades, generar virus, automatizar fraudes, o acelerar la explotación de los fallos de seguridad. Hasta ahora hacía falta equipos especializados y tiempo para generar estos problemas. Ahora se pueden generar de manera automática 24/7 y con una apariencia todavía más profesional.
En el sector financiero esto es especialmente crítico porque bancos, sociedades de inversión, gestoras, plataformas de criptoactivos, aseguradores y proveedores operan en un ecosistema cada vez más interconectado. Por eso un fallo de un proveedor de nube, en una herramienta de IA, en un software o en una infraestructura crítica se puede propagar a gran velocidad y convertirse en sistémico.
Es verdad que la IA permite eficientar los sistema de defensa, pero también ofrece una clara ventaja a los atacantes porque reduce la barrera de entrada a los fraudes sofisticados y minimiza el tiempo de reacción tolerable para las entidades. Las vulnerabilidades se pueden explotar casi en tiempo real mientras que los procedimientos de revisión y parcheo pueden llevar horas o días o quedar obsoletos en minutos.
La advertencia europea no nos es ajena. La CNMV ya ha recogido la preocupación de las entidades españolas por la protección y calidad de los datos, la ciberseguridad y la dependencia de terceros. El supervisor español de los mercados también ha advertido de los fraudes financieros potenciados por la IA: páginas falsas, mensajes personalizados, suplantación de la identidad,...
La conclusión de la CNMV y de la ESMA es clara: la IA no reduce la responsabilidad de las entidades sino más bien al contrario: la eleva. Las entidades no podrán excusarse en un error de algoritmo. Al contrario, deberán acreditar diligencia, supervisión, trazabilidad, gestión de riesgos y capacidad de respuesta inmediata frente a incidentes. Es lo que cabe concluir de la MiFID II, MICA, DORA y el Reglamento Europeo de Inteligencia Artificial.
Y eso significa que las entidades deben de pasar la fascinación tecnológica a la gobernanza jurídica. La IA eficiencia los procesos de las entidades pero también acelera las posibilidades de fraude. Y las entidades están obligadas a invertir en ciberseguridad para proteger sus sistemas y la información de sus clientes de unos ataques cada día más sofisticados y automatizados.
Además de preguntarse qué puede hacer la IA por el negocio los gestores deben de preguntarse qué riesgos introduce, quién responde si los controles fallan y cómo puedo demostrar diligencia. Eso significa revisar qué herramientas se están utilizando, en qué departamento, con qué datos y para cuáles decisiones.
Las entidades deben de revisar los contratos con proveedores, la auditoría tecnológica, el sistema de responsabilidades y los protocolos de ciberseguridad. Además, deben de establecer supervisión humana en procesos especialmente sensibles como el scoring o la ejecución de órdenes. Y desde luego, deben de garantizar una información clara y completa al cliente y la conservación de pruebas de cara a posibles litigios. La confianza no se presume; se documenta.
También se abre un campo interesante para los afectados. Un inversor puede sufrir pérdidas por una recomendación automatizada o por operar en una plataforma fraudulenta. O simplemente puede haber sufrido una suplantación de la personalidad. En estos casos la entidad podría ser responsable si no cumplió con sus obligaciones de información, la diligencia debida, o las obligaciones de custodia, seguridad, control de proveedores y respuesta ante incidentes.
La advertencia de la ESMA es más que oportuna. Porque probablemente la próxima ola de litigios y reclamaciones no sea un producto tóxico sino una mala gobernanza tecnológica. Y el momento de anticiparse fue ayer… Adaptarse a DORA y al Reglamento de IA y diseñar protocolos de respuesta ante incidentes es una exigencia de supervivencia para entidades, inversores, fintech y proveedores.