La Oficina del Contralor de la Moneda (OCC) de EE. UU., el regulador que supervisa los bancos nacionales, ha emitido su primer marco de supervisión para la inteligencia artificial en la banca, indicando a los examinadores que se enfoquen menos en la potencia de un sistema de IA y más en lo que sucede cuando comete un error.

El marco de 22 páginas, emitido como el Boletín OCC 2026-54 y acompañado de un comunicado de prensa, advierte en una sección sobre resiliencia operativa que los agentes externos operados por clientes, fintechs u otras empresas podrían generar riesgos para los bancos incluso cuando estos no controlan dichos sistemas. El regulador no ha vinculado la emisión del marco con incidentes específicos, aunque llega en medio de una creciente preocupación de la industria por agentes de IA no autorizados operando dentro de cuentas de clientes.

Consecuencias por encima de la sofisticación

En el núcleo del documento hay una distinción entre la sofisticación técnica de un sistema de IA y el daño que podría causar. Un agente simple autorizado para iniciar transacciones financieras puede presentar un riesgo mayor que un modelo más avanzado limitado a redactar documentos internos, dijo el regulador. La distinción refleja cómo el software de agentes difiere de las herramientas convencionales: en lugar de solo producir texto, los agentes realizan acciones en sistemas conectados, por lo que el daño potencial de un fallo aumenta con los permisos que poseen.

Bajo el marco, los examinadores pueden considerar las consecuencias de un fallo, si una acción puede revertirse y cuánto control conservan los humanos sobre el sistema. La agencia describe cuatro niveles ilustrativos de riesgo: los agentes de pago totalmente autónomos y los sistemas de decisión crediticia en tiempo real caen en la categoría más alta, mientras que las herramientas internas básicas de productividad ocupan la más baja.

Los sistemas de mayor riesgo podrían requerir restricciones más estrictas sobre la autonomía, pruebas independientes y aprobación humana antes de que se ejecuten acciones de consecuencia.

El marco también aborda los sistemas de IA que siguen operando mientras toman decisiones dañinas. Las salvaguardas sugeridas incluyen disyuntores, límites de frecuencia, permisos restringidos y controles de apagado de emergencia.

Los agentes de IA de terceros en el centro de atención

La guía sugiere que los examinadores consideren medidas que incluyen verificación de identidad, permisos delegados, límites de transacciones, monitoreo y la capacidad de suspender o revocar el acceso. Su objetivo es abordar un dilema que los bancos ya enfrentan: cómo permitir que los clientes usen asistentes de IA para gestionar sus finanzas sin otorgar a software autónomo acceso sin restricciones a las cuentas.

El marco llega menos de dos semanas después de informes de que grandes bancos estaban descubriendo agentes de IA de terceros no autorizados operando dentro de cuentas de clientes, a veces realizando acciones que parecían ir más allá de las instrucciones de los usuarios. Según un informe de Axios del 22 de octubre, Morgan Stanley estaba bloqueando agentes externos, mientras que JPMorgan, Bank of America y Citi estaban restringiendo el acceso. Ejecutivos bancarios describieron la situación como "aterradora", planteando preguntas sobre quién controla a un agente autónomo una vez que tiene acceso al dinero de alguien.

Esas consideraciones son especialmente relevantes para los agentes externos descritos en el informe anterior de Axios, en el que los bancos tenían dificultades para distinguir el software legítimo autorizado por clientes de sistemas que operaban más allá de los permisos previstos.

Orientación, no nuevas reglas bancarias

La OCC subrayó que el marco no es vinculante y no crea nuevos requisitos regulatorios ni estándares exigibles para los bancos. En cambio, ofrece a los examinadores una forma de evaluar la IA dentro de las categorías de riesgo operativo, de cumplimiento y de ciberseguridad existentes, y los bancos no están obligados a establecer una categoría de riesgo de IA separada. Proporciona ejemplos de salvaguardas que abarcan pagos autónomos, acceso de terceros y supervisión humana. No vinculante no significa sin importancia: los examinadores de la OCC evalúan a los bancos con documentos como este durante la supervisión rutinaria, por lo que sus salvaguardas sugeridas pueden tener peso práctico sin reglas formales.

El marco cubre la IA utilizada en pagos, detección de fraude, servicio al cliente y otras operaciones bancarias, y extiende sus consideraciones de riesgo a los agentes de IA externos que se conectan a través de canales bancarios.

Notablemente, el documento usa el término obligatorio "Super Intelligence" —lenguaje que la administración de Donald Trump insiste en usar en lugar de "artificial intelligence", en línea con una acción presidencial de la Casa Blanca de septiembre— pero su alcance incluye la IA convencional y los "autonomous agents", y no solo sistemas hipotéticos con inteligencia superior a la humana.

La OCC dijo que pretende actualizar la guía a medida que se desarrolle la tecnología. Por ahora, su escala de riesgo ilustrativa sitúa a los agentes de pago autónomos en la categoría de mayor riesgo, sin importar qué tan bien funcionen en las pruebas. Cómo aplican los examinadores esos niveles en la práctica —particularmente a los agentes de terceros que los bancos han estado descubriendo en cuentas de clientes— es el detalle a observar a medida que la guía evoluciona.

Esta historia fue reportada originalmente por Decrypt.