Singapur establece directrices de riesgo de IA para finanzas

La Autoridad Monetaria de Singapur (MAS) publicó este miércoles (7) la versión final de sus Directrices de Gestión de Riesgo de Inteligencia Artificial, que entrarán en vigor el 7 de octubre de 2027 para todas las instituciones financieras bajo su supervisión. El texto abarca todas las formas de tecnología de IA, incluidos modelos generativos y agentes, y permite implementación en fases hasta el 7 de octubre de 2028.

Las directrices concluyen un proceso abierto el 13 de noviembre de 2025, cuando la MAS publicó el documento de consulta P017-2025, que aceptó comentarios hasta el 31 de enero de 2026. La versión final llegó acompañada de la respuesta de la autoridad a las contribuciones recibidas. Se trata de expectativa de supervisión, no de ley: el regulador exige cumplimiento en las inspecciones, pero el texto no crea sanciones propias como las previstas en la Ley de IA europea.

Lo que los bancos deberán tener

La primera demanda es saber dónde está la IA. Según la MAS, las instituciones necesitan procesos para identificar el uso de IA en toda la organización, mantener inventarios actualizados y evaluar la materialidad de riesgo de cada uso a partir de tres dimensiones: impacto, complejidad y grado de dependencia. Los controles, dice el regulador, deben ser proporcionales a esta evaluación.

El consejo y la alta administración son responsables de la supervisión del riesgo de IA, lo que incluye definir roles, apetito al riesgo y políticas. La MAS aclaró, sin embargo, que nadie está obligado a crear un comité de IA solo para cumplir las directrices: las estructuras de gobernanza existentes sirven, siempre que sean adecuadas. Según la MAS, los participantes de la consulta pidieron aclaraciones sobre esto, además de dudas sobre cómo tratar la IA embebida en productos de terceros.

Sobre proveedores, la regla es que la responsabilidad no se puede externalizar. La institución necesita obtener garantías adecuadas sobre la IA adquirida, evaluar si esta sirve para el uso pretendido y aplicar controles compensatorios. Si el riesgo no se ajusta al apetito definido, el texto prevé limitar, suspender o reemplazar el servicio. La lista de áreas de control incluye gobernanza de datos, pruebas, ciberseguridad, supervisión humana, monitoreo y gestión de cambios.

Agentes quedan para después

El texto final no trae reglas específicas para agentes autónomos. Según el sitio Blockhead, la MAS indicó que orientaciones dedicadas a la IA agéntica deben venir en 2027, y las directrices publicadas ahora piden revisiones periódicas a medida que este tipo de sistema se expanda.

La lectura en tres plazas

En Singapur, las directrices son válidas para bancos locales como DBS, OCBC y UOB, así como para las filiales de grupos globales licenciados por la MAS, lo que coloca operaciones de HSBC, Citi y JPMorgan en la ciudad bajo el mismo inventario y la misma evaluación de materialidad. Para un banco global, esto significa al menos un mapa de uso de IA que debe coordinarse con las exigencias de otras jurisdicciones donde opera.

En la zona del euro, el calendario es más ajustado. El Banco Central Europeo envió el 7 de julio una carta, firmada por Claudia Buch, presidenta del Consejo de Supervisión, pidiendo a los 110 bancos que supervisa directamente planes de acción contra amenazas cibernéticas potenciadas por IA hasta el 31 de octubre de 2026. En la Ley de IA, las obligaciones para sistemas de alto riesgo, categoría que incluye el análisis de crédito, fueron pospuestas para el 2 de diciembre de 2027 por la revisión simplificadora aprobada este año, según la Comisión Europea. El resultado es que un banco con operaciones en Fráncfort y en Singapur tendrá dos regímenes de gobernanza de IA entrando en vigor con dos meses de diferencia.

La diferencia en el diseño importa para quienes prestan servicios. El modelo europeo clasifica el sistema por categoría de uso e impone obligaciones a partir de eso. El de Singapur parte de la evaluación de materialidad realizada por la propia institución y es, por diseño, menos prescriptivo. Una consultoría que vende frameworks de gobernanza de IA a bancos globales ya no puede entregar una matriz única: necesita un inventario que alimente las dos lógicas.

Donde el texto deja espacio

El principal punto abierto es el propio criterio de materialidad. La evaluación de impacto, complejidad y dependencia queda a cada institución, y dos bancos pueden clasificar el mismo modelo de crédito de forma diferente. A partir del 7 de octubre de 2027, cuando se exijan las directrices, el inventario de cada banco dejará de ser un documento interno y se convertirá en la base de la conversación con el supervisor sobre dónde termina el uso de bajo riesgo.