Los supervisores de la UE instan a una gobernanza unificada del riesgo de IA y a una supervisión DORA para el sector financiero

El 31 julio 2026 la Autoridad Bancaria Europea (EBA), la Autoridad Europea de Seguros y Pensiones Ocupacionales (EIOPA) y la Autoridad Europea de Valores y Mercados (ESMA) publicaron una declaración conjunta que solicita un enfoque de supervisión transversal, basado en riesgos y coherente para mitigar los riesgos de TIC derivados de los modelos de inteligencia artificial (IA) de frontera. La declaración también insta a las entidades financieras a adoptar estructuras de gobernanza sólidas y a aplicar la Digital Operational Resilience Act (DORA) a los proveedores críticos de TIC de terceros (CTPPs).

Declaración conjunta y contexto regulatorio

El comunicado de prensa emitido por la ESMA confirma que los tres elementos clave de la propuesta, supervisión transversal, supervisión basada en riesgos y gobernanza alineada con DORA, son esenciales para la respuesta de las ESA a los nuevos vectores de ciber‑riesgo relacionados con la IA. El documento hace referencia al Plan de Acción de la Comisión Europea sobre Ciberseguridad e IA, así como a las orientaciones del European Systemic Risk Board (ESRB), la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y el Mecanismo Único de Supervisión. Al anclar las nuevas expectativas de supervisión en marcos existentes, las ESA pretenden evitar la fragmentación regulatoria y garantizar que las instituciones financieras adopten salvaguardas coherentes.

Sector bancario: negociaciones contractuales y resiliencia operativa

Para los bancos, la petición de una supervisión DORA reforzada se traduce en un probable cambio en la forma en que gestionan los contratos con proveedores de servicios en la nube y otros proveedores de TIC que alojan o procesan modelos de IA de frontera. Según DORA, los bancos deben asegurarse de que los proveedores críticos de terceros cumplan con normas de resiliencia estrictas, incluidas obligaciones de notificación de incidentes y pruebas regulares de los controles de seguridad. La declaración de las ESA indica que los supervisores examinarán si los bancos han incorporado evaluaciones de riesgo de IA en sus criterios de selección de proveedores y si los órganos de gobernanza, como los comités de riesgo, tienen una responsabilidad clara sobre las exposiciones cibernéticas relacionadas con la IA.

En la práctica, los bancos podrían necesitar renegociar los acuerdos de nivel de servicio (SLAs) para incluir cláusulas sobre la transparencia de los modelos de IA, derechos de auditoría y notificaciones obligatorias de brechas. El énfasis supervisivo en un enfoque basado en riesgos sugiere que las instituciones con mayor exposición a algoritmos de negociación impulsados por IA, modelos de puntuación crediticia o herramientas de detección de fraude enfrentarán la supervisión más intensiva. Aunque la declaración no prescribe umbrales cuantitativos específicos, deja claro que la mirada supervisora se calibrará según la materialidad del riesgo de TIC relacionado con la IA dentro del perfil operativo de cada banco.

Seguros y pensiones: protección de los datos de los asegurados

Las aseguradoras y los fondos de pensiones ocupacionales están igualmente expuestos al impacto de la orientación de las ESA. La declaración subraya la necesidad de una gobernanza robusta de los modelos de IA que procesan grandes volúmenes de datos personales y de salud. Según DORA, las aseguradoras deben demostrar que sus CTPPs pueden resistir ciberataques que pudieran comprometer la información de los asegurados o interrumpir los sistemas de tramitación de siniestros impulsados por IA.

Se espera que los supervisores examinen si las aseguradoras han integrado indicadores de riesgo de IA en sus marcos de gestión de riesgos a nivel empresarial y si realizan pruebas de resistencia periódicas de las plataformas de suscripción habilitadas por IA. La naturaleza transversal de la petición de las ESA implica que los reguladores de seguros coordinarán con los supervisores bancarios y de valores para garantizar que se apliquen estándares comparables en todo el ecosistema financiero. Esta coordinación podría dar lugar a inspecciones supervisoras conjuntas centradas en la gobernanza de IA, las salvaguardas de privacidad de datos y la resiliencia de los servicios de TIC externalizados.

Gestores de activos y el mercado en general: efectos colaterales sobre los proveedores de TIC

Los gestores de activos, que dependen cada vez más de la IA de frontera para la construcción de carteras, el análisis de riesgos y la elaboración de informes a clientes, también deberán alinear sus prácticas de adquisición de TIC con las expectativas de DORA descritas en la declaración conjunta. Las ESA señalan que la supervisión de los proveedores críticos de TIC de terceros es una palanca clave para mitigar el riesgo sistémico. En consecuencia, los gestores de activos pueden enfrentar requisitos de diligencia debida más estrictos al incorporar plataformas en la nube que alojan herramientas analíticas impulsadas por IA.

Desde la perspectiva del proveedor, las empresas de TIC que suministran infraestructura de IA al sector financiero pueden anticipar una mayor rigurosidad en la supervisión. La referencia de la declaración a una "gobernanza robusta" implica que los proveedores deberán proporcionar documentación detallada sobre la procedencia de los modelos, los flujos de datos de entrenamiento y los controles de seguridad. No cumplir con los estándares alineados con DORA podría dar lugar a acciones supervisoras, incluidas restricciones de acceso al mercado para los proveedores no conformes.

Lo que sigue sin claridad

La declaración conjunta no especifica un calendario para la puesta en marcha del régimen supervisor reforzado, ni cuantifica los costes de cumplimiento esperados para las instituciones financieras o los proveedores de TIC. Las ESA también se abstuvieron de detallar cómo monitorizarán la efectividad del nuevo marco de gobernanza una vez implementado. Como resultado, los participantes del mercado estarán atentos a orientaciones complementarias de la Comisión Europea y de las autoridades supervisoras nacionales para aclarar las obligaciones de información y los mecanismos de aplicación.

Los analistas anticipan que el enfoque coordinado de las ESA impulsará una ola de renegociaciones contractuales y revisiones de políticas internas en bancos, aseguradoras y gestores de activos durante la segunda mitad de 2026. El énfasis en una metodología basada en riesgos y transversal sugiere que las instituciones con despliegues de IA más avanzados serán las primeras en sentir presión supervisora, mientras que las firmas más pequeñas podrían recibir una supervisión proporcional.

En ausencia de objetivos cuantitativos detallados, la conclusión principal para los participantes del mercado financiero es clara: el panorama supervisor para el riesgo de TIC relacionado con IA está pasando de una guía fragmentada y sectorial a un marco unificado anclado en DORA. Las empresas que integren proactivamente la gobernanza del riesgo de IA en sus programas de resiliencia operativa probablemente navegarán la transición con mayor fluidez que aquellas que consideren la supervisión de IA como una reflexión posterior.