Notas

PRIMEROS ESFUERZOS DE REGULACIÓN DE LA IA

He participado de los dos últimos y recientes congresos importantes sobre gestión de riesgos (Club de Riesgos, Rep. Dominicana y CLAR-FELABAN, Antigua), en los que el tema de la aplicación de la IA en la banca fue predominante. Todos los expositores estuvimos de acuerdo en la importancia de la incorporación de IA en la actual administración de riesgos, especialmente en lo que refiere al riesgo de crédito. El objetivo: no solo permitir una mayor velocidad de análisis, sino un mejoramiento de la eficiencia de gestión. Sin embargo, también hemos coincidido en que quizá aun sería demasiado temprano para confiar de una forma razonable en los resultados esperados. Y hay algo que los gestores de riesgo ya sabemos: no hay suficiente información (data histórica) para jugársela. Muy bonito todo, pero… hay que ver pa´ver como dicen los colegas venezolanos.

Las principales normas que regulan la inteligencia artificial, por ejemplo la IA Omnibus Act, se encuentran en la Unión Europea, China, Estados Unidos y otros países que ya aprobaron leyes específicas. Aunque no hayan sido creadas exclusivamente para IA, también le aplican normas integrales como el Reglamento General de Protección de Datos (RGPD) que rige en Europa. Las reglas IA Omnibus, incluyen identificación de prácticas prohibidas y de implementación de sistemas de alto riesgo y obligaciones de transparencia, entre otros aspectos y para aplicación de modelos de propósito general. Sobre el particular, y específicamente en el ámbito bancario, la pieza legal más reciente, y de mayor aspiración en cuanto a practicidad, es la Guidelines on Artificial Intelligence Risk Management, del controlador bancario de Singapur (October 7th, 2026).

Pautas

• Las pautas de las Guidelines establecen un conjunto de expectativas generales que todas las instituciones financieras de Singapur deberían seguir al implementar IA, incluyendo la generativa y desarrollos más recientes como los agentes de IA. Según aquellas el uso de la IA, sin dudas, puede mejorar el rendimiento en áreas comerciales y funcionales, pero es necesario alertar acerca de su complejidad y naturaleza probabilística de la IA, las que pueden generar incertidumbres, así como comportamientos inesperados o sesgados que son más difíciles de identificar en comparación con el uso de métodos tradicionales. La mayor complejidad también genera desafíos para comprender y explicar resultados que pueden ser inexactos. Conclusión: los riesgos del uso de la IA suelen ser una extensión de las categorías de riesgo existentes.
• Para las Guidelines los riesgos derivados incluyen no solo los financieros, sino operacionales, cuando el comportamiento inesperado de la IA utilizada para automatizar transacciones de una institución financiera pudiera provocar interrupciones operativas o errores en procesos críticos. Asimismo, el uso de la IA puede resultar en resultados sesgados, lo que podría llevar al trato injusto de ciertos grupos de clientes, o alentar ciertos tipos de inversión sobre otros. También en el ámbito LD/FT existen objeciones, en tanto la mayor incertidumbre y el comportamiento inesperado de la IA podrían hacer que transacciones sospechosas pasen desapercibidas. Finalmente, pero no por último, la norma incluye en el espectro los riesgos reputacionales, generados cuando los sistemas que interactúan con clientes -chatbots- que podrían dar información incorrecta o hacer comentarios ofensivos que provocasen atención negativa en los medios y daños a la imagen institucional.
• La norma de Singapur no retacea advertencias. Complementa el listado anterior señalando que la IA generativa puede alentar otros riesgos interrelacionados, como los de seguridad, derivados de ataques mediante inyecciones de instrucciones o envenenamiento de datos; y también riesgos contra la privacidad, por filtración de datos confidenciales por uso inapropiado de datos de clientes sin el consentimiento adecuado. Y por supuesto, riesgos legales y de propiedad intelectual, cuando la IA generativa es entrenada con datos que infringen derechos de autor o patentes existentes.

Gobernanza

Las Guidelines demandan la aplicación de directrices especiales para gobernanza de la IA por la que las instituciones financieras deben establecer marcos, políticas y procedimientos para supervisar su uso de la IA, incluyendo la identificación clara de los casos de su uso e implementar evaluaciones robustas, y una inventariación adecuada. Exigen, y detalladamente, aplicar controles relevantes a lo largo del ciclo de vida, y establecer capacidades e infraestructura tecnológica adecuadas para el uso de IA, siendo que dichos controles deberán ajustarse en función de su relevancia para los casos de uso, sistemas o modelos de IA implementados.

• Las políticas y procedimientos básicos de gobernanza de IA para la norma asiática, deberían incluir al menos lo siguiente: a) responsabilidad clara en la supervisión de la IA (por ejemplo, designando a un miembro de la alta dirección como responsable de su supervisión; b) usos permitidos y prohibidos de la IA (prohibiciones de introducir información confidencial, propietaria o de clientes en herramientas de IA públicas); c) supervisión humana eficaz (casos en los que se requiere revisión y validación humana obligatoria de los resultados de la IA antes de su uso); d) mantenimiento de una lista aprobada de herramientas de IA y un proceso definido para solicitar la aprobación de nuevas herramientas de IA; e) educación del personal sobre las políticas relacionadas con la IA de la institución financiera; f) controles de cumplimiento regulares; y g) revisión periódica y basada en eventos para asegurar que el de la IA en la institución sigue cumpliendo con los criterios establecidos.

• Y como era de esperarse: los Guidelines no olvidan mencionar que la junta y la alta dirección de las instituciones son responsables últimos de la administración de la IA, las que deberán asegurarse de que los marcos, políticas y prácticas de gestión de riesgos identifiquen, evalúen y aborden adecuadamente los riesgos que aquella plantea.