Un banco que decide no adoptar inteligencia artificial (IA) también asume un riesgo: detectará menos fraude, procesará más lento y servirá peor. Esa paradoja —la omisión como exposición— está hoy en el centro del debate supervisor internacional. En junio de 2026, el Financial Stability Board (FSB, Consejo de Estabilidad Financiera) abrió una consulta sobre doce prácticas sólidas para la adopción responsable de IA, dirigida a todo tipo de instituciones financieras. El ejercicio no establece un estándar vinculante: propone un menú de prácticas calibradas por proporcionalidad. Ese gesto —ordenar sin prescribir— es la idea más útil para una región donde las instituciones operan con presupuestos acotados y equipos pequeños.
Diagnóstico con evidencia:
La distancia entre adopción y gobernanza se mide con dos instrumentos independientes. El Cost of a Data Breach 2025 de IBM, construido sobre 602 organizaciones de dieciséis países, documentó que las brechas vinculadas a shadow AI —la adopción de herramientas de IA sin autorización— añadieron 670.000 dólares al costo promedio de cada incidente. El mismo informe registró que el 63% de las organizaciones carecía de un marco formal de gobernanza para sus despliegues. Una fuente independiente, con metodología distinta, apunta en la misma dirección: el Data Breach Investigations Report (DBIR) 2025 de Verizon, sobre más de 22.000 incidentes, registró que el 15% de los empleados accede rutinariamente a IA generativa desde dispositivos corporativos. De esos accesos, el 72% ocurre por cuentas personales que la organización no puede ver. Telemetría de red y forense de brechas, dos métodos que no comparten sesgo, coinciden: el uso corre más rápido que la supervisión.
En finanzas ese desfase tiene un nombre específico: concentración de terceros. Las instituciones consumen modelos fundacionales, nube y datos de un puñado de proveedores verticalmente integrados, y conservan íntegra la responsabilidad por el resultado. El FSB identificó ya en 2024 cuatro vulnerabilidades relevantes para la estabilidad: dependencias de terceros, correlación de mercado, ciberriesgo y riesgo de modelo. La consulta de 2026 añade un matiz incómodo: con IA agéntica —sistemas autónomos que planifican y ejecutan tareas—, la supervisión humana en tiempo real se vuelve impracticable a escala, y el control debe desplazarse de revisar decisiones a diseñar límites: permisos, interruptores de apagado e impugnación.
La proporcionalidad ordena todo lo anterior: no los mismos controles para todo, sino controles calibrados a la materialidad y al riesgo de cada caso de uso. Un chatbot de preguntas frecuentes y un agente que ejecuta transacciones no merecen la misma supervisión.
Traducción regional:
En América Latina la asimetría es doble: las instituciones consumen servicios de IA sin capacidad de inspeccionar el modelo, y supervisan con equipos más pequeños que el riesgo que administran. El Reporte de Ciberseguridad 2025 del Banco Interamericano de Desarrollo (BID), la Organización de los Estados Americanos (OEA) y la Universidad de Oxford sobre treinta países documenta que las estrategias existen pero falta capacidad de ejecución. El costo ya está sobre la mesa: el promedio de una brecha en la región alcanzó 4,65 millones de dólares en 2026, un 85% más que el año anterior, según IBM.
El Índice Latinoamericano de IA 2025 de la Comisión Económica para América Latina y el Caribe (CEPAL) sitúa a Chile, Brasil y Uruguay como pioneros por encima de los 60 puntos. Perú ocupa el séptimo lugar con 51,9. Detrás de los puntajes hay caminos distintos: Perú activó su Estrategia 2026-2030, que crea un Oficial de IA en cada entidad pública; Colombia incorporó lineamientos de IA a su modelo de seguridad y privacidad vía CONPES 4144 (Consejo Nacional de Política Económica y Social), sin esperar una ley; México regula por sectores mientras su ley general espera turno, y República Dominicana aprobó su estrategia en 2024. Para el supervisor financiero regional, el menú del FSB opera como puente voluntario: adoptable sin legislación y calibrable a la capacidad de cada institución.
El fenómeno toca los pilares de Seguridad, Desarrollo y Democracia: una IA financiera no gobernada erosiona la estabilidad, la inclusión y la capacidad de rendir cuentas.
Alternativas de solución:
El primer camino está al alcance de cualquier institución, incluso sin equipo especializado: inventariar los casos de uso de IA —incluidos los que surgieron sin autorización— y evaluar materialidad y riesgo de cada uno con los criterios de las propias prácticas del FSB y las funciones del AI RMF (marco de gestión de riesgos de IA) del NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos). Sobre esa base, aplicar la proporcionalidad en reversa: procesos simplificados para usos de baja materialidad y proceso riguroso solo para funciones críticas. El instrumento es público y gratuito, y el ejercicio duplica como detección de shadow AI cuando el inventario se contrasta con la telemetría de red. El horizonte es de seis a diez semanas y decide la dirección técnica. Resuelve visibilidad y priorización; no resuelve la concentración de terceros ni la supervisión de agentes autónomos, y tiene un límite que conviene declarar: la evaluación de materialidad depende de criterios que la propia institución debe calibrar.
El segundo requiere equipo propio y decisión de alta dirección: diseñar supervisión humana proporcional con las formas que describe el FSB —humano en el ciclo para decisiones críticas, humano sobre el ciclo para operaciones rutinarias, interruptor e impugnación para agentes— y sumar controles compensatorios donde la explicabilidad falle: modelos retadores, pruebas de estrés y monitoreo intensificado. Aquí existe evidencia de eficacia, aunque de caso único: una institución documentada por el FSB desplegó un sistema agéntico con humano en el ciclo que contribuyó a actualizar tres cuartas partes de sus reglas de fraude. Las pérdidas cayeron más de 20% en un semestre. Es un solo caso, sin grupo de control y con institución anónima, y así debe tratarse. El horizonte es un trimestre y decide la alta dirección. No resuelve la dependencia del proveedor ni la impracticabilidad de revisar cada decisión de un agente a escala.
El tercero es para supervisores y esquemas de cooperación regional: incorporar el menú a la supervisión por acto administrativo —como Colombia hizo vía CONPES 4144, y Perú al construir en capas ley, reglamento y estrategia— y gestionar la concentración con estrategias de salida, portabilidad de datos y ejercicios de escenario conjuntos con proveedores, como hace el Reino Unido con su biblioteca de escenarios. El horizonte es un ciclo presupuestario y decide el regulador. El costo es acotado pero no nulo: registro de terceros y un equipo de dos o tres personas. No resuelve la integración vertical de la cadena global, pero cambia la negociación: un supervisor con inventario y estrategia de salida no depende igual.
Cierre:
Ninguno de los tres caminos exige una ley. El menú del FSB es voluntario, y ahí está su valor: permite actuar antes que el legislador. La pregunta que se propone a la región no es cuándo habrá un estándar de IA financiera, sino quién responde por la decisión que tomó un agente mientras la institución esperaba el suyo.
