El BCE exige a un centenar de bancos europeos planes urgentes ante las ciberamenazas de la IA
ECONOMÍA
Fráncfort da hasta el 31 de octubre a las entidades para presentar medidas de refuerzo en ciberseguridad
07 jul 2026 . Actualizado a las 12:22 h.«Estimado consejero delegado: Los rápidos avances en tecnologías emergentes, en particular los sistemas de inteligencia artificial (IA), representan cambios decisivos en el panorama de la ciberseguridad». Este mensaje —seguido de tres folios más— es el que han recibido un centenar de consejeros delegados de entidades europeas bajo la supervisión del Banco Central Europeo (BCE). La carta la firma Claudia Buch, presidenta del Consejo de Supervisión del ente presidido por Christine Lagarde.
Una misiva que ha llegado a los buzones de los despachos nobles de los bancos en el Viejo Continente —entre ellos los españoles— después de que el pasado 18 de junio Frank Elderson, vicepresidente del Consejo de Supervisión, lo anunciara.
El aviso no es menor. El BCE no está hablando de una amenaza hipotética ni de un riesgo acotado a una herramienta concreta. Lo que plantea en la carta es un cambio de fondo: la inteligencia artificial está acelerando la capacidad de los atacantes para encontrar vulnerabilidades, explotarlas y reducir al mínimo el tiempo de reacción de las entidades. En otras palabras, los bancos ya no solo tienen que protegerse mejor, sino hacerlo mucho más rápido.
El supervisor europeo advierte de que los nuevos modelos de IA pueden identificar fallos de software y generar herramientas capaces de explotarlos a una velocidad inédita. Eso comprime el plazo entre el descubrimiento de una vulnerabilidad y su posible explotación, con implicaciones directas para la confidencialidad, la integridad y la resiliencia de los sistemas tecnológicos de las entidades financieras. El BCE lo formula como un cambio estructural en el mapa de amenazas, no como una moda pasajera.
No es el primer aviso que el ente presidido por Lagarde envía a los bancos europeos. El pasado 26 de mayo, como comentó este periódico, los principales dirigentes del sector fueron llamados a los cuarteles generales del BCE en Fráncfort para debatir los riesgos cibernéticos que entrañan los nuevos modelos de IA, capaces de detectar vulnerabilidades en los sistemas de los bancos.
La señal que lanza el BCE con esta carta es clara. No se trata de una comunicación rutinaria. El último gran precedente se remonta al 2022, todavía con el sector digiriendo las consecuencias de la pandemia, cuando el supervisor puso el foco en la gestión de las operaciones apalancadas y en su potencial capacidad para convertirse en un riesgo sistémico ante un shock de mercado.
Cada vez que Fráncfort recurre a una carta de este tipo, el mensaje suele tener recorrido dentro del sector. Las entidades tienden a concentrar recursos y esfuerzos en el área señalada por el supervisor. Esta vez, además, el BCE deja claro que no se limitará a lanzar la advertencia: seguirá de cerca los planes de acción de los bancos y medirá periódicamente sus avances.
Más presión
La advertencia llega acompañada de deberes concretos. El BCE reclama a las entidades significativas que evalúen sin demora el impacto de este nuevo escenario y elaboren un plan de acción completo para reforzar sus controles tecnológicos. Ese documento deberá incluir medidas específicas, recursos asignados, responsables claros y plazos de ejecución. La fecha límite marcada por Fráncfort es el 31 de octubre del 2026.
El foco inmediato está en tres frentes. El primero, acelerar la gestión de vulnerabilidades y parches, especialmente en los sistemas expuestos a internet, tecnologías perimetrales, entornos cloud, software de terceros y componentes de código abierto. El segundo, mejorar la monitorización y la detección, también mediante capacidades defensivas apoyadas en IA. Y el tercero, revisar si la gestión del riesgo de proveedores tecnológicos está preparada para un contexto en el que la cadena de suministro se ha convertido en una pieza crítica de la resiliencia bancaria.
El mensaje de fondo es claro: las debilidades tecnológicas que hasta ahora podían figurar como tareas pendientes pasan a tener otra dimensión cuando la IA reduce los tiempos de ataque. El BCE recuerda que los bancos deben resolver sin demora los hallazgos supervisores abiertos en materia TIC y de ciberseguridad, incluidos los detectados en inspecciones, revisiones específicas y en el test de ciberresiliencia del 2024.