TL;DR:
- Andrew Bailey, presidente del Consejo de Estabilidad Financiera y gobernador del Banco de Inglaterra, escribió al G20 que el efecto de la IA de frontera sobre el riesgo cibernético es la preocupación más inmediata del sistema financiero.
- La carta pide que bancos, infraestructuras de mercado y proveedores tecnológicos puedan restaurar sistemas y datos críticos desde "bare metal" después de un incidente grave.
- No fija ninguna fecha. El BCE sí: los bancos significativos de la zona euro deben entregar un plan de acción a su equipo conjunto de supervisión antes del 31 de octubre de 2026.
El presidente del Consejo de Estabilidad Financiera (FSB), Andrew Bailey, escribió a los ministros de Finanzas y gobernadores de bancos centrales del G20 que el efecto de la inteligencia artificial de frontera sobre el riesgo cibernético es la preocupación más inmediata para el sistema financiero. La carta lleva fecha del 28 de agosto de 2026 y el organismo la publicó el lunes 31, antes de las reuniones del G20 del 31 de agosto y el 1 de septiembre en Asheville, Carolina del Norte. Bailey, que además gobierna el Banco de Inglaterra, pide a las jurisdicciones apoyar un despliegue seguro y responsable de los modelos, y a las entidades financieras reforzar su capacidad de respuesta y recuperación. El texto no fija ninguna fecha para nada de eso. La zona euro sí tiene una encima: el 31 de octubre.
La carta pide que los bancos puedan restaurar sus sistemas desde "bare metal"
El documento sostiene que los modelos de frontera muestran una autonomía y una capacidad de resolución de problemas cada vez más sofisticadas, y también capacidades ofensivas. De ahí salta al punto que le interesa como regulador: esa tecnología podría alterar de forma material la velocidad, la escala y la economía del riesgo cibernético, y erosionar la confianza del mercado en su conjunto por la alta concentración de proveedores externos.
Bailey insiste en que el problema no se queda en casa. Los riesgos de la IA de frontera, escribe, "no van a respetar las fronteras nacionales": la interrupción viaja entre jurisdicciones a través de proveedores tecnológicos comunes, infraestructura compartida y actividad financiera transfronteriza. Y añade un matiz que cambia el sentido de la advertencia: las diferencias de marco legal, capacidad cibernética y capacidad de recuperación entre países pueden convertirse ellas mismas en una fuente de vulnerabilidad.
La petición operativa llega poco después y usa un término técnico que la carta pone entre comillas. Bailey pide a entidades, infraestructuras de mercado y proveedores tecnológicos capacidad para restaurar sistemas y datos críticos desde "bare metal" tras un incidente grave, es decir, reconstruyendo desde el hardware desnudo sin apoyarse en la capa de software anterior, que podría estar comprometida. Pide también prepararse para escenarios más severos, con interrupción simultánea en varias firmas a la vez o en dependencias tecnológicas compartidas.
El documento incluye además una advertencia sobre su propia receta. La carta anticipa un entorno con mayor volumen de vulnerabilidades y un ritmo de parcheo más rápido, y advierte que esa misma dinámica puede generar problemas operativos y de resiliencia si los procesos de cambio, prueba y recuperación no logran adaptarse de forma segura. La defensa recomendada aparece señalada, en el mismo documento, como posible causa de fallo.
La carta no nombra ningún incidente. Menciona dos veces desarrollos recientes y ahí se detiene, sin identificar empresa, modelo ni caso. Entre julio y agosto de 2026 sí hubo una secuencia pública de episodios en los que modelos de laboratorios de frontera salieron a internet desde entornos de evaluación y tocaron sistemas ajenos, un arco que contamos en su momento y que Bailey no menciona ni descarta.
Patricia Rodriguez
El plazo que sí existe vence el 31 de octubre y obliga a la banca de la zona euro
Mientras el FSB explora qué puede hacer dentro de su mandato, la supervisión bancaria del Banco Central Europeo ya cerró ese debate en julio. La carta SSM-2026-0301, firmada el 7 de julio de 2026 por Claudia Buch, presidenta del Consejo de Supervisión, fue dirigida al consejero delegado de cada entidad significativa de la zona euro y describe lo que pasa como "un cambio de largo plazo en el panorama de amenazas", no un fenómeno pasajero atado a una herramienta concreta.
Lo que exige es un plan de acción con medidas concretas, recursos asignados, responsables con nombre y calendario de implementación, entregado al equipo conjunto de supervisión (JST) antes del 31 de octubre de 2026. En el corto plazo el BCE marca tres frentes: acelerar la gestión de vulnerabilidades y parches a escala, reforzar la monitorización y las capacidades defensivas asistidas por IA, y comprobar que la gestión del riesgo de terceros sigue siendo adecuada dado el papel de los proveedores tecnológicos en las cadenas de suministro críticas. A medio plazo añade sustituir tecnología heredada o sin soporte y mejorar respuesta, recuperación y gestión de crisis.
El propio BCE puso algo sobre la mesa a cambio: aplazó de septiembre de 2026 a febrero de 2027 la recogida anual del cuestionario de riesgo tecnológico, para que los equipos de TI de los bancos concentren esfuerzos en el plan. Después hará un análisis horizontal de todos los planes recibidos y devolverá conclusiones al sector. Euronews contó entre los destinatarios a Deutsche Bank, BNP Paribas y Santander.
Detrás de esa carta hay una tercera pieza. La Junta Europea de Riesgo Sistémico (JERS) adoptó el 25 de junio de 2026 una advertencia sobre riesgos cibernéticos sistémicos derivados de los modelos de IA de frontera, publicada el 7 de julio junto con el escrito del BCE, que la cita expresamente. Según la propia JERS, el organismo había elevado en junio su clasificación del riesgo cibernético sistémico de "elevado" a "grave", tras situarlo en el primer nivel en marzo.
Los tres documentos describen el mismo riesgo con distinto grado de obligación:
| Documento | Qué pide | Fecha límite |
|---|---|---|
| Carta del FSB al G20 (28 de agosto de 2026) | Despliegue seguro y responsable de los modelos; gestión de vulnerabilidades y capacidad de restaurar desde bare metal | Ninguna |
| Carta del BCE SSM-2026-0301 (7 de julio de 2026) | Plan de acción con medidas, recursos, responsables y calendario, entregado al equipo conjunto de supervisión | 31 de octubre de 2026 |
| Advertencia de la JERS (25 de junio de 2026) | Que las autoridades reflejen el riesgo en su trabajo supervisor y macroprudencial | Ninguna, con revisión trimestral |
La otra mitad de la carta habla de ETF apalancados y de inversión cruzada en la IA
El apartado sobre IA de frontera ocupa la segunda parte del texto. La primera es de mercados, y ahí Bailey escribe que el sistema financiero absorbió el choque de oferta del conflicto en Oriente Medio, pero que los mercados siguen expuestos a una corrección desordenada capaz de cruzar fronteras. Enumera tres focos: fragilidades en deuda soberana, con emisión elevada, vencimientos más cortos y mayor apalancamiento de algunos participantes; vulnerabilidades en crédito privado, por interconexión, desajuste de liquidez y opacidad; y valoraciones tensadas, en particular las de las inversiones ligadas a la IA.
La novedad de los últimos meses, según la carta, es el aumento del apalancamiento en los mercados de renta variable. Bailey señala en concreto el mayor uso de ETF apalancados y de estrategias correlacionadas de momentum, incluidas las de inversores minoristas, además de una presencia creciente de vehículos apalancados como los hedge funds, expuestos también a deuda soberana, lo que amplía el margen de contagio. Ese uso minorista de ETF apalancados ya se vio de cerca en Corea del Sur, donde entraron 6,200 millones de dólares a ETF apalancados mientras se hundían.
El punto donde Bailey cruza las dos mitades de su carta llega en una sola frase. Sitúa el problema en la interacción: el apalancamiento se combina con valoraciones altas y con la concentración del mercado, y en particular con la inversión cruzada creciente entre las empresas de IA y los hiperescaladores, de una forma que podría amplificar una corrección futura. Le preocupa, escribe, que un choque grande o una combinación de choques active varias vulnerabilidades a la vez.
En la zona euro, la diferencia entre los dos documentos es práctica. La carta al G20 describe el riesgo y pide prioridad política; la del BCE ya convirtió esa descripción en un entregable con fecha, destinatario y seguimiento posterior. Del lado del FSB, lo único comprometido es que el organismo está estudiando qué medidas puede tomar dentro de su mandato.
