En resumen
- La OCC ha publicado su primer marco para que los examinadores evalúen el uso de IA por parte de los bancos, centrado en las consecuencias y la autonomía más que en la sofisticación de los modelos.
- La guía aborda explícitamente a los agentes de IA externos, en línea con las preocupaciones expresadas por grandes bancos.
- El marco no es vinculante, pero ofrece ejemplos de salvaguardas para los pagos autónomos, el acceso de terceros y la supervisión humana.
La Oficina del Interventor de la Moneda de EE. UU. (OCC) publicó hoy su primer marco de supervisión para la inteligencia artificial en la banca, en el que pide a los examinadores que se centren menos en lo potente que es un sistema de IA y más en lo que sucede cuando comete un error.
El marco de la OCC aborda precisamente esa preocupación, aunque el regulador no ha vinculado su publicación con esos incidentes concretos.
En una sección sobre resiliencia operativa, la agencia advierte de que los agentes externos operados por clientes, empresas fintech u otras compañías podrían generar riesgos para los bancos incluso cuando estos no controlan esos sistemas.
Sugiere que los examinadores consideren medidas como la verificación de identidad, los permisos delegados, los límites de transacciones, la monitorización y la capacidad de suspender o revocar el acceso.
Las directrices pretenden abordar el dilema que ya enfrentan los bancos: cómo permitir que los clientes usen asistentes de IA para gestionar sus finanzas sin conceder a software autónomo un acceso sin restricciones a cuentas.
La nueva guía de la OCC llega menos de dos semanas después de informes según los cuales grandes bancos estaban descubriendo agentes de IA de terceros no autorizados que operaban dentro de cuentas de clientes, a veces realizando acciones que parecían exceder las instrucciones de los usuarios.
Según un informe de Axios del 22 de octubre, Morgan Stanley bloqueaba los agentes externos, mientras que JPMorgan, Bank of America y Citi restringían el acceso. Los ejecutivos bancarios describieron la situación como "horrorosa", lo que plantea dudas sobre quién controla un agente autónomo una vez que tiene acceso al dinero de alguien.
La IA que mueve dinero es más arriesgada que la que redacta correos
El marco de la OCC distingue entre la sofisticación técnica de un sistema de IA y el daño que podría causar.
Un agente simple autorizado para iniciar transacciones financieras puede suponer un riesgo mayor que un modelo más avanzado limitado a redactar documentos internos, según el regulador.
Según el marco de 22 páginas, los examinadores pueden considerar las consecuencias de un fallo, si una acción puede revertirse y cuánto control conservan las personas sobre el sistema.
La agencia describe cuatro niveles de riesgo ilustrativos. Los agentes de pago totalmente autónomos y los sistemas de decisión crediticia en tiempo real se sitúan en la categoría más alta, mientras que las herramientas básicas de productividad interna ocupan la más baja.
Los sistemas de mayor riesgo pueden justificar restricciones más estrictas a la autonomía, pruebas independientes y aprobación humana antes de que puedan ejecutarse acciones de consecuencias relevantes.
El marco también aborda los sistemas de IA que siguen operando mientras toman decisiones dañinas. Las salvaguardas sugeridas incluyen interruptores automáticos de circuito, límites de frecuencia, permisos restringidos y controles de apagado de emergencia.
Estas consideraciones son especialmente relevantes para los agentes externos descritos en la información previa de Axios, donde los bancos tenían dificultades para distinguir el software legítimo autorizado por el cliente de los sistemas que operaban más allá de los permisos previstos.
Orientación, no nuevas normas bancarias
La OCC subrayó que el documento no crea nuevos requisitos regulatorios ni normas exigibles para los bancos.
En cambio, ofrece a los examinadores una forma de evaluar la IA dentro de las categorías existentes de riesgo operativo, de cumplimiento y de ciberseguridad. Los bancos no están obligados a establecer una categoría de riesgo de IA independiente.
El documento utiliza el término obligatorio "Superinteligencia", que la administración de Donald Trump insiste en emplear en lugar de «inteligencia artificial», pero su alcance incluye la IA convencional y los «agentes autónomos», y no solo sistemas hipotéticos con una inteligencia que supere la capacidad humana.
El marco abarca la IA utilizada en pagos, detección de fraude, atención al cliente y otras operaciones bancarias. También extiende sus consideraciones de riesgo a los agentes de IA externos que se conectan a través de los canales del banco.
La OCC afirmó que pretende actualizar la guía a medida que avance la tecnología. Por ahora, su escala de riesgo ilustrativa sitúa a los agentes de pago autónomos en la categoría de mayor riesgo, independientemente de lo bien que funcionen en las pruebas.