EN 30 SEGUNDOS
- ¿Qué ha pasado? El Consejo de Estabilidad Financiera ha alertado en la cumbre del G20 de Asheville de que la IA avanzada puede amplificar los ciberataques contra bancos e infraestructuras financieras.
- ¿Quién está detrás? Andrew Bailey, gobernador del Banco de Inglaterra y presidente del FSB, ha pedido a gobiernos y bancos centrales prepararse para amenazas más rápidas y sin fronteras.
- ¿Qué impacto tiene? La UE y España quedan expuestas por la alta concentración de proveedores tecnológicos; la banca española ya está sujeta al reglamento DORA, pero la velocidad de los ataques puede superar los actuales protocolos de recuperación.
La IA ha entrado este lunes en la agenda del G20 de Asheville como riesgo financiero de primer orden. Andrew Bailey, presidente del Consejo de Estabilidad Financiera y gobernador del Banco de Inglaterra, ha advertido de que los modelos más avanzados pueden acelerar y multiplicar los ciberataques contra la banca global.
La reunión de ministros de Finanzas y banqueros centrales del G20, bajo presidencia de Estados Unidos, se celebra en Carolina del Norte y concluye el martes. Según Bailey, la IA de vanguardia tiene capacidades de resolución de problemas y detección de amenazas cada vez mayores, pero también puede usarse de forma maliciosa.
Los riesgos asociados con la IA de vanguardia no respetarán las fronteras nacionales, afirmó Bailey en una carta publicada este lunes. El sistema financiero global está demasiado interconectado como para que un fallo en un proveedor común no se propague entre países a través de infraestructuras compartidas y flujos transfronterizos.
Sin exagerar.
La advertencia no es genérica. Bailey señala una vulnerabilidad concreta: la altísima concentración de proveedores de servicios tecnológicos externos. Si uno de esos nodos cae o es atacado, la velocidad, la escala y la economía del riesgo cibernético cambian de forma radical.
El gobernador ha pedido a empresas y autoridades que se preparen para amenazas mayores y más rápidas. De lo contrario, advierte, el sistema podría no ser capaz de recuperarse de un ataque de forma segura.
La concentración tecnológica es la nueva gran falla del sistema: un único proveedor comprometido puede arrastrar a decenas de bancos en minutos.
La alerta de Bailey: ataques más rápidos y fronteras que no existen
Bailey no ha descrito un simple fallo informático. Ha puesto sobre la mesa un cambio de escala: la IA permite a actores maliciosos automatizar ataques, detectar vulnerabilidades y explotarlas a una velocidad sin precedentes. La frontera nacional no puede contener ese tipo de amenaza.
La UE ya tiene blindaje digital, pero la prueba real es otra
En Bruselas, el aviso del FSB no pilla del todo desprevenidos a los supervisores. Desde el 17 de enero de 2025, el reglamento europeo DORA obliga a bancos, aseguradoras y fondos de la UE a someter a pruebas sus sistemas y a notificar incidentes graves a la Autoridad Bancaria Europea.
La banca española opera bajo ese marco: Santander, BBVA, CaixaBank y el resto de entidades significativas están sujetas a la supervisión del Banco Central Europeo y deben demostrar resiliencia operativa. Sin embargo, DORA se diseñó para un mundo de ciberataques convencionales. Lo que Bailey describe es un salto cualitativo: agentes autónomos que aprenden, se adaptan y atacan en tiempos que los protocolos humanos no pueden seguir.
El problema de fondo no es solo técnico. Es también de mercado: los grandes bancos europeos dependen de un puñado de proveedores de nube y de infraestructura. El Consejo de Estabilidad Financiera ya lleva años señalando este riesgo de concentración, pero la IA generativa lo convierte en un multiplicador potencial.
En la práctica, la alerta de Asheville coloca a la UE ante una disyuntiva: endurecer los requisitos de pruebas de estrés cibernético o aceptar que la próxima crisis puede no venir de un banco con problemas de solvencia, sino de un ataque coordinado contra los servicios en la nube que sostienen la banca europea.
El Eje del Poder Europeo
La advertencia del FSB llega en un momento en que el eje franco-alemán intenta priorizar la autonomía estratégica digital. París y Berlín coinciden en reducir la dependencia de proveedores estadounidenses de nube, pero chocan cuando se trata de financiar una alternativa europea. Los países frugales del norte, con Países Bajos a la cabeza, no quieren que el presupuesto comunitario asuma el coste de duplicar infraestructuras que ya ofrecen Amazon, Microsoft o Google.
España observa el pulso desde una posición incómoda. La Moncloa apoya en público una mayor soberanía digital, pero sus grandes bancos dependen de los mismos proveedores globales y no pueden permitirse una desconexión unilateral. El Banco de España ya ha incorporado el riesgo cibernético a sus pruebas de resistencia, aunque fuentes comunitarias consultadas por Moncloa.com creen que los escenarios actuales subestiman la velocidad de un ataque impulsado por IA.
La concentración de proveedores en en el sistema financiero no es nueva. Lo que cambia con la IA generativa es la capacidad de explotar esa concentración de forma coordinada y en minutos. La lectura estratégica es otra: si Washington logra que el G20 asuma la ciberseguridad como prioridad, Bruselas tendrá que acelerar la aplicación de DORA y dotar a la EBA de poderes de inspección más intrusivos. Eso puede chocar con la banca europea, que prefiere no abrir sus sistemas a más supervisores.
El riesgo inmediato no es un colapso. Es un ataque parcial que erosione la confianza en los pagos digitales y obligue a inyectar liquidez de emergencia. Dejémoslo en un ‘ya veremos’.
La reflexión queda abierta hasta la próxima cumbre del Consejo Europeo, pero el marcador ya está puesto: la velocidad de la IA no espera a los calendarios diplomáticos.
