Ciberataques con IA: por qué el FMI ya los ve como un riesgo financiero sistémico

La novedad no es el ciberataque; es la velocidad

Bancos, aseguradoras, gestores y operadores de mercado ya convivían con phishing, ransomware, brechas de datos y fallos de proveedores. Lo que subrayan los reguladores no es que haya nacido una amenaza totalmente nueva, sino que la misma amenaza puede moverse mucho más rápido.

El 8 de mayo de 2026, la Australian Securities and Investments Commission (ASIC), el regulador australiano de mercados y servicios financieros, pidió a entidades con licencia y participantes del mercado reforzar con urgencia su resiliencia cibernética porque la IA de frontera intensifica el entorno global de riesgo cibernético . Según informaciones sobre el análisis del FMI, la IA está reduciendo de forma drástica el coste y el tiempo que necesitan los hackers para identificar y explotar vulnerabilidades . ASIC advirtió, además, que el uso indebido de modelos de IA de frontera podría exponer fallos de seguridad a una velocidad, escala y sofisticación sin precedentes .

Para una entidad financiera, eso se traduce en presiones muy concretas:

1. Menos tiempo para cerrar una brecha. Si una vulnerabilidad se detecta y se explota antes, también se estrecha la ventana para descubrirla, corregirla y contener el daño .
2. Controles sometidos a más presión. La cobertura de la carta abierta de ASIC destacó que no se trata necesariamente de categorías de riesgo completamente nuevas, sino de controles existentes probados con más frecuencia y bajo mayor tensión .
3. Más superficie de ataque. La Australian Prudential Regulation Authority (APRA), el supervisor prudencial australiano, ha advertido que la adopción acelerada de IA está superando la gobernanza, la resiliencia cibernética y los controles de riesgo, con inquietudes sobre supervisión del consejo, seguimiento, uso por empleados, concentración de proveedores y sistemas opacos .

Por qué un incidente técnico puede acabar en problema financiero

Una brecha en una sola empresa puede ser costosa y dañar la reputación. Pero el FMI mira algo más amplio: la dependencia del sistema financiero de infraestructura digital compartida, como software, servicios en la nube y redes para pagos y datos . Si el ataque golpea una pieza que usan muchas instituciones, el problema deja de ser solo del departamento de TI.

El análisis del FMI sostiene que pérdidas extremas por incidentes cibernéticos podrían provocar tensiones de financiación, elevar dudas sobre solvencia y alterar mercados más amplios . Su trabajo sobre riesgo cibernético en el Global Financial Stability Report también apunta al crecimiento del riesgo de cola: los ciberataques casi se duplicaron frente al periodo anterior a la pandemia de COVID-19; la mayoría de las pérdidas directas declaradas son relativamente pequeñas, de unos US$500.000; pero ha aumentado el riesgo de pérdidas extremas de al menos US$2.500 millones .

Esa diferencia es importante. Que la mayoría de incidentes no sean sistémicos no elimina el peligro de eventos raros pero muy dañinos. El FMI identifica canales como salidas de depósitos, interrupciones de negociación y volatilidad en los precios de los activos .

Por qué las advertencias llegan ahora

Las alertas llegan juntas porque la capacidad de la IA está avanzando más rápido que parte de los programas de gobierno, control y resiliencia del sector.

APRA advirtió que los bancos australianos no estaban siguiendo el ritmo de los desarrollos de la industria de IA y que muchas prácticas de seguridad de la información tenían dificultades para igualar esa velocidad de cambio . También señaló que la adopción rápida de IA en instituciones financieras está superando la gobernanza, la resiliencia cibernética y los controles de riesgo .

El FMI, en su análisis del 7 de mayo de 2026, planteó los ciberataques impulsados por IA como un riesgo para la estabilidad financiera . Al día siguiente, ASIC pidió al sector actuar ya y no esperar a contar con herramientas avanzadas de IA para reforzar los fundamentos de ciberseguridad . Además, informaciones separadas señalaron que el FMI pidió más cooperación internacional frente a las ciberamenazas potenciadas por IA .

La directora gerente del FMI, Kristalina Georgieva, lo expresó en términos especialmente directos en declaraciones recogidas por Economic Times: el mundo aún no tiene capacidad para proteger el sistema monetario internacional frente a riesgos cibernéticos masivos .

Qué significa reforzar la resiliencia

El mensaje regulatorio no equivale a comprar una herramienta más y dar el asunto por cerrado. Va de gobernanza, responsabilidad y continuidad operativa.

Para bancos y firmas financieras, las prioridades más claras son:

• Responsabilidad al nivel del consejo. APRA ha señalado rezagos en gobernanza y supervisión del consejo mientras se acelera la adopción de IA .
• Fundamentos de ciberseguridad antes que dependencia de nuevas herramientas. ASIC pidió actuar ahora y no esperar a herramientas avanzadas de IA para elevar las defensas básicas .
• Mejor seguimiento del uso de IA. APRA identificó riesgos en seguimiento, controles y uso por parte del personal .
• Gestión de terceros y dependencias compartidas. APRA apuntó a la concentración de proveedores y a sistemas opacos, mientras que el FMI centra el riesgo sistémico en infraestructura común como software, nube, pagos y datos .
• Coordinación más allá de una sola entidad. El FMI ha pedido mayor cooperación internacional porque los choques cibernéticos pueden cruzar fronteras y afectar infraestructuras compartidas .

En resumen

Los ciberataques con IA no hacen inevitable una crisis bancaria. Pero sí vuelven un riesgo conocido más rápido, barato de escalar y capaz de tensar dependencias comunes. Las pérdidas medias pueden seguir siendo pequeñas mientras aumenta el riesgo de eventos extremos; por eso el FMI, ASIC y APRA insisten en mejorar gobernanza, resiliencia cibernética y controles antes de que un incidente acelerado por IA se convierta en una prueba real para la estabilidad financiera .