Bailey dice al G20 que IA de frontera puede alterar la velocidad, escala y economía del riesgo cibernético global
Presidente del FSB y gobernador del Banco de Inglaterra abre reunión del G20 en Asheville con carta que clasifica el riesgo cibernético alimentado por modelos de frontera como una amenaza inmediata a la estabilidad financiera.
El Financial Stability Board publicó el 31 de agosto la carta anual del presidente Andrew Bailey a los ministros de finanzas y presidentes de bancos centrales del G20, distribuida en la apertura de la reunión que se lleva a cabo entre el 31 de agosto y el 1 de septiembre en Asheville, Carolina del Norte. El documento coloca la IA de frontera en la cima de la lista de amenazas inmediatas a la estabilidad financiera, por delante de la deuda soberana, el crédito privado y las valoraciones estiradas.
La frase que sostiene el argumento es directa. Según Bailey, que también gobierna el Banco de Inglaterra, 'la IA de frontera puede tener la capacidad de alterar materialmente la velocidad, escala y economía del riesgo cibernético, lo que puede socavar la confianza del mercado a escala sistémica, especialmente debido a proveedores externos altamente concentrados'. La lectura implícita es que una ofensiva coordinada contra un puñado de hyperscalers o proveedores críticos de SaaS genera hoy un riesgo de correlación para el sistema financiero que la regulación prudencial tradicional no modela.
El ranking de riesgo que el FSB montó
La carta trabaja con una pila de vulnerabilidades sistémicas. Bailey enumera la posibilidad de corrección desordenada en los mercados de deuda soberana, fragilidades en el crédito privado, apalancamiento creciente en fondos de bonos y acciones, concentración de mercado en las grandes tecnológicas y el optimismo en torno al capex de IA. Según Bailey, estas fuerzas interactúan 'de manera que amplificarían una futura corrección'. El punto nuevo de esta edición, sin embargo, es la promoción del riesgo cibernético alimentado por IA a la categoría de amenaza inmediata, colocándolo por delante de los temas macro de siempre.
El argumento converge con datos que los propios reguladores ya tenían en mano. Analistas de Goldman Sachs proyectaron a principios de esta semana que el capex global en IA debe superar 1 billón de dólares en 2026, frente al consenso anterior de 800 mil millones. Según Mike Mayo, analista de Wells Fargo, 'IA es el motor número uno' de las ganancias de los grandes bancos estadounidenses este año, tesis que se alinea con el resultado de las cinco mayores instituciones de Wall Street, que reportaron 114 mil millones de dólares en ingresos del mercado de capitales en el primer semestre, un aumento del 31,5% interanual. Es este mismo auge que el FSB ahora señala como una posible fuente de fragilidad.
Dónde los supervisores locales necesitan responder
La carta pide a los supervisores nacionales que traten 'el despliegue y la liberación segura y responsable de modelos de frontera' como una prioridad global y que exijan a las instituciones financieras 'capacidades robustas de respuesta y recuperación, además de resiliencia entre proveedores críticos externalizados'. La orden práctica es clara: los ejercicios de continuidad no pueden asumir más que las interrupciones en la nube, LLMs empresariales y proveedores de identidad ocurren en silos.
En el Reino Unido, el Banco de Inglaterra y la Autoridad de Regulación Prudencial ya han señalado que van a endurecer la próxima ronda del ejercicio de ciber stress test para incluir escenarios de compromiso simultáneo de modelos utilizados por varios bancos. En los Estados Unidos, la Reserva Federal y la Oficina del Contralor de la Moneda estudian ampliar la Interagency Guidance on Third-Party Relationships para cubrir explícitamente a los proveedores de IA generativa. En Japón, la Agencia de Servicios Financieros emitió en julio orientación sobre el uso de IA que probablemente será revisada a partir del nuevo texto del FSB. Cada supervisor tendrá que reconciliar esta exigencia con el mandato paralelo de no sofocar la adopción de la tecnología.
Qué cambia en el comité de riesgo del banco
La práctica que el CRO necesita institucionalizar es el mapa de dependencias de terceros y cuartos involucrando LLMs, proveedores de nube y proveedores de identidad, con métrica de concentración explícita. El regulador va a preguntar. La carta del FSB también abre espacio para que auditores externos empiecen a exigir pruebas de recuperación con escenario de indisponibilidad combinada de un hyperscaler y el proveedor de LLM primario, algo que aún es raro en un plan de continuidad típico.
Existe una lectura opuesta que necesita ser nombrada. Analistas del Institute of International Finance y economistas de bancos centrales menores argumentan que el FSB tiene un historial de exagerar riesgos emergentes, y que el propio sector privado ya entrena modelos defensivos capaces de compensar la asimetría ofensiva. Bailey reconoce esta tesis al decir que la respuesta 'requiere coordinación entre autoridades y el sector privado', pero elige clasificar como inmediato un riesgo que buena parte del mercado aún trata como probabilístico. Esta divergencia de clasificación es lo que los próximos 90 días van a probar, cuando el G20 tenga que decidir si el texto se convierte en un compromiso formal en Nueva Delhi o queda en el pie de página del comunicado.