El FSB propone 12 prácticas de gobernanza de IA para instituciones financieras

El 15 de octubre de 2026, el Consejo de Estabilidad Financiera (FSB) publicó el informe final titulado "Prácticas sólidas para la adopción responsable de la inteligencia artificial por parte de las instituciones financieras", que presenta 12 prácticas de gobernanza para que las instituciones financieras las consideren. El informe abarca estrategias de IA, evaluación de riesgos, gestión de datos, supervisión humana, ciberseguridad y servicios de terceros, respondiendo a una serie de problemas de gestión que han surgido a medida que las instituciones financieras han acelerado la adopción de IA generativa y agentes de IA en los últimos años.

La gobernanza de la IA en las instituciones financieras conecta a los responsables de negocio, los equipos de riesgo y los proveedores externos.

Este informe fue finalizado tras una consulta pública y proporciona un marco práctico a nivel internacional para que las instituciones lo adapten a sus propios negocios y situaciones de riesgo. Las instituciones financieras deben tener en cuenta las leyes y regulaciones específicas de su región al implementar estas prácticas.

¿Por qué es necesario que un conjunto de prácticas cubra tantos aspectos como la junta directiva, los datos, los modelos y los proveedores? Se puede entender a través de un caso común: un banco se prepara para permitir que la IA ayude en el procesamiento de préstamos para pequeñas empresas. El equipo de negocio desea reducir el tiempo de revisión, el equipo de modelos se preocupa por la precisión en la identificación, el equipo de cumplimiento se centra en la información del cliente y la explicación de las decisiones, mientras que el equipo de operaciones necesita garantizar que el negocio de préstamos pueda continuar incluso si el proveedor se detiene. Solo revisar el rendimiento del modelo no puede responder a las preguntas de las otras partes. El informe del FSB intenta integrar estas decisiones en un mismo proceso de gestión.

I. Las 12 prácticas se extienden desde la gobernanza institucional hasta el ciclo completo de la IA

El FSB ha dividido las 12 prácticas en dos grupos. Las primeras cuatro se centran en la gobernanza a nivel institucional, mientras que las últimas ocho abarcan todas las etapas de la IA, desde su introducción, desarrollo, implementación hasta su uso continuo.

Las cuatro prácticas de gobernanza institucional primero integran la responsabilidad, el registro y el ajuste continuo en el marco de gestión.

La parte de gobernanza institucional requiere que la junta directiva y la alta dirección consideren el uso de la IA junto con el modelo de negocio, la tolerancia al riesgo y la estrategia general. Cuando la IA participa en la revisión de crédito, el servicio al cliente, la supervisión de transacciones o la toma de decisiones internas, la dirección necesita entender dónde se está utilizando, qué funciones desempeña y qué impacto tendría un error.

La segunda práctica enfatiza la división de responsabilidades. Las instituciones deben aclarar qué responsabilidades asumen los equipos de negocio, tecnología, riesgo, cumplimiento y auditoría, e integrar los riesgos de la IA en el marco de gestión de riesgos existente. La tercera práctica continúa esta línea de pensamiento, exigiendo el registro de cómo se utiliza la IA, la evaluación de riesgos y los controles relacionados.

El valor del registro radica en que, en caso de problemas, la institución puede reconstruir qué juicios se hicieron en el sistema, qué datos se utilizaron, quién tomó las decisiones y qué controles estaban en funcionamiento en ese momento. La cuarta práctica recuerda a las instituciones que el entorno tecnológico y de negocio puede cambiar, y que la estructura de gobernanza también necesita ajustarse en consecuencia.

Estas cuatro prácticas determinan quién aprueba un proyecto de IA, quién lo mantiene y quién tiene la autoridad para detenerlo. La junta directiva no necesita revisar cada parámetro del modelo, pero debe saber en qué negocios importantes se está utilizando la IA, qué beneficios se esperan y qué riesgos se están dispuestos a asumir. La dirección luego traduce estos requisitos generales en la aprobación de productos y responsabilidades laborales. Por ejemplo, el responsable del negocio de préstamos decide en qué etapa de aprobación puede entrar la recomendación de la IA; el equipo de riesgo del modelo diseña las pruebas; el personal de cumplimiento verifica los derechos del cliente; y la auditoría interna evalúa si los controles mencionados realmente están en funcionamiento. Si hay vacíos entre los puestos, se debe designar un último decisor antes de la implementación.

La documentación mencionada por el FSB no es simplemente guardar un manual de producto. Un caso de uso debe al menos poder rastrear el propósito del negocio, la fuente de datos, la versión del modelo, los resultados de las pruebas, los puntos de intervención humana, la dependencia de terceros y los registros de cambios significativos. Si un cliente cuestiona el resultado de la aprobación, la institución puede reconstruir el proceso a partir de estos materiales. Lo mismo se aplica a los softwares de oficina ya adquiridos: si un producto que originalmente no incluía IA añade funciones de resumen automático o clasificación de clientes, la institución debe reconfirmar la dirección y el alcance del flujo de datos de entrada.

Las últimas ocho prácticas, desde escenarios de uso específicos, cubren la importancia y evaluación de riesgos de los casos de uso de IA, la selección de modelos y sistemas, la gobernanza de datos, la interpretabilidad y la transparencia. Las prácticas posteriores también abordan el rendimiento del sistema, la supervisión humana, los riesgos de tecnologías de información y comunicación (TIC), y la dependencia de la IA de terceros.

Las 12 prácticas están organizadas por temas de gobernanza, y muchos requisitos atraviesan múltiples etapas del uso de la IA. Las instituciones pueden decidir la profundidad de las medidas de control en función de su tamaño, complejidad del negocio, rol en el sistema financiero y el grado en que la IA entra en negocios clave.

La "evaluación de materialidad" aquí, en términos simples, es juzgar si una aplicación de IA afectará los negocios clave de la institución, los derechos de los clientes o las decisiones de riesgo. Las herramientas utilizadas para organizar actas de reuniones requieren una intensidad de revisión diferente a las que participan en la aprobación de préstamos o gestión de activos de clientes. El FSB propone ajustar la intensidad de la gobernanza según el escenario de aplicación y el riesgo, permitiendo a las instituciones destinar más recursos de control a los usos que tienen un mayor impacto.

Este enfoque de gestión del ciclo de vida requiere que las instituciones examinen los datos, modelos y escenarios de negocio en conjunto. La calidad de los datos de entrenamiento y operación afectará la salida del modelo, las actualizaciones del modelo pueden cambiar el rendimiento original, y la forma en que los clientes y empleados utilizan la IA también puede traer nuevos riesgos. Por lo tanto, la evaluación de riesgos debe abarcar la selección, prueba, implementación y operación continua.

La quinta práctica, "evaluación de materialidad y riesgos", es adecuada para completar la primera ronda en la fase de inicio, y luego debe repetirse cuando cambie el uso, se amplíe el rango de datos o se actualice el modelo. Un sistema de atención al cliente que responde sobre el horario de atención de productos, y uno que recomienda automáticamente a los clientes comprar productos de inversión de alto riesgo, enfrentan diferentes consecuencias para los consumidores. Las instituciones pueden incluir en la tabla de evaluación el número de personas afectadas, la reversibilidad de las decisiones, la sensibilidad de los datos, la exposición financiera y la capacidad de intervención humana, y luego decidir qué pruebas y aprobaciones son necesarias. De esta manera, los recursos se priorizarán hacia los sistemas que realmente podrían dañar a los clientes o interrumpir el servicio.

La sexta práctica es la selección de modelos. En el mercado hay modelos autoconstruidos, así como funciones de IA integradas en API externas y software común. El equipo de negocio generalmente primero ve el precio y las funciones, mientras que el equipo de riesgo debe preguntar: ¿puede el modelo funcionar de manera estable en el idioma, grupo de clientes y condiciones de mercado de esta institución? ¿Se notificará cuando el proveedor realice actualizaciones? ¿Se utilizarán los datos para entrenamiento adicional? Si solo se puede obtener información técnica limitada, la institución puede limitar primero el uso y el rango de datos, y luego continuar probando con sus propias muestras después de la implementación, en lugar de considerar la demostración de compra como una validación formal.

Las séptima y octava prácticas están conectadas con los datos y la interpretación. Si la muestra histórica de préstamos omite un tipo de cliente, el modelo puede seguir siendo impreciso en esas solicitudes; si los empleados de primera línea no pueden explicar los resultados recomendados, será más difícil manejar las objeciones de los clientes. Por lo tanto, la gobernanza de datos implica integridad, precisión, permisos de origen, acceso y seguridad. Los requisitos de interpretabilidad también deben organizarse según el escenario: proporcionar fuentes para la búsqueda interna y explicar a los clientes las decisiones que afectan sus oportunidades de financiamiento requieren diferentes niveles de claridad. El FSB permite a las instituciones establecer restricciones de uso, revisiones y pruebas adicionales como controles compensatorios en modelos difíciles de interpretar, con el enfoque en que quienes toman decisiones tengan suficiente información.

Las novena y décima prácticas entran en la operación diaria. Las instituciones deben monitorear si el rendimiento del modelo cambia con el entorno de negocio, observando tasas de error, quejas, llamadas anómalas y decisiones humanas; los indicadores de monitoreo deben estar conectados con el uso original. La supervisión humana también debe tener poder real. Si el auditor solo hace clic en "aceptar" en la pantalla, sin ver la base, ni tener la autoridad para cambiar la salida, la supervisión será difícil de implementar. Los procesos de alto riesgo pueden establecer confirmaciones secundarias obligatorias, revisiones aleatorias y umbrales de detención automática; registrar por qué se adoptó o se rechazó la recomendación del modelo puede, a su vez, mejorar las pruebas.

Las últimas dos prácticas devuelven la IA al entorno técnico y de la cadena de suministro. Las interfaces de modelo, conectores de datos y herramientas de agentes pueden convertirse en nuevos puntos de ataque, y los ejercicios de ciberseguridad deben cubrir inyecciones de mensajes, filtraciones de claves, llamadas erróneas de herramientas y interrupciones de servicios externos. Los riesgos de proveedores también incluyen el rendimiento del modelo, transparencia, calidad de los datos de entrenamiento y operación, cadenas de subcontratación y dependencias concentradas. Si varios bancos utilizan simultáneamente unas pocas plataformas en la nube o modelos básicos, la falla de un proveedor puede tener un impacto más amplio en los negocios. Las instituciones deben al menos saber dónde están las dependencias clave y quién asumirá el control en caso de interrupción de negocios importantes.

II. La consulta pública permitió que el borrador final incluyera detalles operativos

El FSB publicó un borrador de consulta en junio de 2026 y cerró la consulta el 22 de julio. Se recibieron aproximadamente 160 comentarios de bancos, compañías de seguros, otras instituciones financieras, asociaciones de la industria, proveedores de servicios tecnológicos, académicos y el sector público. En general, los encuestados apoyaron un enfoque basado en principios que enfatiza la proporcionalidad; al mismo tiempo, también señalaron las dificultades prácticas en la implementación.

El borrador final mantuvo el marco orientado a principios y tecnológicamente neutral, y también agregó explicaciones sobre cómo las pequeñas instituciones pueden implementar la gobernanza utilizando los puestos existentes y capacidades profesionales externas. La sección de casos aumentó las prácticas de compañías de seguros, instituciones de gestión de activos y proveedores de servicios de pago, haciendo que estas prácticas sean aplicables a más tipos de instituciones. El FSB presentó los casos como ejemplos de rutas prácticas, pero la implementación específica aún debe adaptarse a la situación de cada institución.

La dependencia de terceros en la IA fue uno de los problemas más comentados. Cuando las instituciones financieras utilizan modelos externos o productos de IA integrados, a menudo tienen información limitada sobre los modelos, datos y la cadena de suministro, lo que aumenta la dificultad de evaluar los riesgos de manera independiente. La creciente participación de unos pocos proveedores clave en la infraestructura de IA también ha llevado a las instituciones a preocuparse por cómo cambiar de proveedor y restaurar los negocios en caso de interrupciones en el servicio.

La dependencia de terceros y la ciberseguridad también se integran en la gestión del ciclo de vida de la IA.

Por lo tanto, el borrador final amplió aún más la discusión sobre la IA de terceros, abarcando la IA integrada, los servicios subcontratados y las dependencias de la cadena de suministro, y enfatizando la gestión de la concentración, la continuidad del negocio y los planes de salida. En términos simples, los planes de salida para servicios clave se refieren a cómo las instituciones pueden cambiar de servicio o mantener la operación en caso de que un proveedor detenga el servicio, termine un contrato o el riesgo supere lo que la institución puede soportar.

Durante las negociaciones contractuales, las instituciones financieras pueden obtener información sobre cuatro aspectos: cómo el proveedor maneja las entradas y salidas, cómo se notifican los cambios significativos en el modelo o servicio, qué registros pueden proporcionar en caso de incidentes y cómo se devolverán o eliminarán los datos después de terminar la colaboración. Los grandes proveedores no siempre aceptan términos personalizados de cada cliente, pero las instituciones aún pueden reducir la dependencia de un solo punto limitando el acceso, manteniendo procesos de respaldo internos y probando regularmente rutas alternativas. Los planes de salida deben concretarse en términos de personal, formatos de datos y el tiempo necesario para la conversión, y no deben quedarse en la cláusula de "se puede terminar" en el contrato.

La IA de agentes también se convirtió en un enfoque de modificación. Se diferencia de las herramientas de generación de texto comunes, ya que puede ejecutar múltiples pasos de manera continua después de establecer un objetivo, y algunos sistemas también pueden invocar herramientas externas o acceder a datos comerciales. Los comentarios sugirieron controles como autorización previa a la ejecución, permisos mínimos, registros de operaciones inalterables y monitoreo en tiempo real. El informe final incorporó estas consideraciones y explicó que esta parte de la práctica aún está en desarrollo y que en el futuro podría requerir orientaciones más profundas.

Los comentarios de la consulta también mencionaron que si varias instituciones dependen del mismo modelo o de unos pocos proveedores, el comportamiento del mercado podría converger y los riesgos también podrían amplificarse mutuamente. El informe final se centra en cómo una institución financiera puede adoptar la IA de manera responsable; los riesgos sistémicos más amplios seguirán siendo observados a través de otras evaluaciones de estabilidad financiera.

III. Para las instituciones financieras, el trabajo clave es integrar los principios en los procesos diarios

Estas 12 prácticas deben implementarse internamente en las instituciones, comenzando con una lista de uso de IA que se pueda actualizar continuamente. La lista debe indicar qué negocio sirve el sistema, quién es responsable, qué clientes o procesos clave se verán afectados, de qué modelos externos y servicios en la nube depende, y cómo se pausará o cambiará en caso de anomalías. Las capacidades de IA también pueden estar integradas en productos de oficina, atención al cliente o análisis comunes, por lo que la lista debe cubrir herramientas de software y negocios diarios más allá de los proyectos de adquisición.

En segundo lugar, la evaluación de riesgos de IA debe comenzar en la fase de adquisición y prueba. El equipo de negocio explica los objetivos de la aplicación, el equipo técnico evalúa los modelos y datos, y el personal de riesgo y cumplimiento determina su impacto en las decisiones de los clientes, los negocios clave o las obligaciones legales. Después de que el sistema se implemente, la institución también debe seguir observando el rendimiento operativo y verificar si las actualizaciones de datos o modelos traen nuevos riesgos.

Cuando la ruta de decisión del modelo es difícil de explicar, la institución puede reducir el riesgo limitando el uso, aumentando la revisión humana o estableciendo pruebas adicionales. Estos "controles compensatorios" se utilizan para mitigar los riesgos derivados de la falta de transparencia del modelo y deben implementarse junto con las obligaciones legales de protección de datos y derechos de los consumidores.

Un proceso interno utilizable también debe distinguir entre "pruebas" y "producción". El entorno de prueba puede utilizar datos desensibilizados o sintéticos, limitando usuarios y llamadas; antes de acceder a datos reales de clientes y sistemas comerciales, el negocio, la tecnología, la seguridad y el departamento legal deben confirmar conjuntamente los datos y permisos. La aprobación de la implementación no debe ser el final. Las instituciones pueden establecer desencadenadores de cambios de versión: al cambiar el modelo base, acceder a nuevas herramientas externas, expandirse a nuevos grupos de clientes o ajustar el grado de automatización, se debe iniciar automáticamente una revisión. Muchos riesgos de IA surgen después de que el uso se amplía lentamente, mientras que los materiales iniciales de inicio aún se mantienen en escenarios de bajo riesgo.

La gestión de terceros también debe integrarse en los procesos de adquisición y contrato. Las instituciones necesitan entender qué información de modelo puede proporcionar el proveedor, cómo se manejan los datos, qué empresas de abajo apoyan el servicio, cómo se notifican a los clientes las actualizaciones significativas y qué alternativas existen en caso de interrupciones en los servicios clave.

Cuando los proveedores solo ofrecen información técnica parcial del modelo, las instituciones financieras pueden registrar la información obtenida, los riesgos pendientes y los arreglos operativos como base para la debida diligencia y la gestión posterior.

Para la IA de agentes, también es necesario aclarar los límites de autorización: qué datos puede acceder, qué herramientas puede invocar, qué operaciones deben ser confirmadas por empleados y cómo se pausarán las tareas en caso de anomalías. El personal de supervisión debe tener poder real de intervención, tiempo suficiente y registros de ejecución accesibles.

Por ejemplo, si se permite que un agente organice materiales de solicitud de clientes, puede leer una carpeta designada, generar una lista de verificación para verificación, pero dejar la modificación de los límites de crédito y el envío de decisiones a los empleados. Si el mismo agente debe completar tres acciones: consulta, escritura y notificación, el sistema puede emitir un comprobante temporal en diferentes pasos y registrar cada llamada. De esta manera, el equipo de riesgo ya no verá una etiqueta abstracta como "se utilizó el agente", sino una cadena de ejecución que se puede probar, auditar y pausar.

En la práctica, estas 12 prácticas pueden resumirse en cuatro tipos de entregables: principios de uso de IA aprobados por la junta directiva, una lista de aplicaciones y dependencias que se actualiza continuamente, evaluaciones y registros de pruebas de cada caso de uso importante, y planes de desactivación y recuperación en caso de anomalías. Estos cuatro tipos de materiales están interconectados. La lista informa a la dirección sobre qué proyectos existen; la evaluación determina qué controles son más estrictos; las pruebas demuestran si los controles son efectivos; y los registros de incidentes impulsan la modificación de reglas. Las pequeñas instituciones también pueden reutilizar las reuniones de riesgo y los procesos de adquisición existentes, siendo clave que la responsabilidad y la evidencia sean rastreables.

IV. Esta es una referencia de gestión, su implementación dependerá de la jurisdicción

El FSB ha posicionado estas 12 prácticas como herramientas prácticas que pueden ajustarse a la situación de cada institución. Al aplicar este marco, las instituciones aún deben comparar cada caso de uso de IA con los requisitos específicos de su jurisdicción sobre protección de datos, derechos de los consumidores, gestión de subcontratación, riesgos de modelos o gobernanza de instituciones financieras.

Su función práctica radica en proporcionar una lista de gobernanza común: desde la responsabilidad de la junta directiva, la documentación interna, hasta la selección de modelos, supervisión humana y gestión de proveedores, las instituciones pueden verificar la cobertura de sus procesos existentes en los aspectos clave. A medida que la IA se integra más en los negocios financieros, los responsables, las medidas de control y los planes de emergencia detrás de esta lista también necesitarán ser actualizados continuamente.

Desde la perspectiva de políticas internacionales, el enfoque del FSB también tiene un valor: diferentes jurisdicciones pueden examinar las aplicaciones de IA de las instituciones financieras a través de problemas similares. Los reguladores pueden no utilizar la misma lista, pero todos se preocuparán por quién asume los riesgos, cómo funcionan los modelos en los negocios clave y si los clientes se ven afectados cuando hay fallos en las dependencias externas. Si las instituciones pueden preparar la evidencia mencionada, será más fácil explicar sus arreglos de control frente a los requisitos de protección de datos, derechos de los consumidores y regulaciones prudenciales en diferentes regiones.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.