El FSB propone 12 prácticas de gobernanza de IA para instituciones financieras

El 15 de octubre de 2026, el Consejo de Estabilidad Financiera (FSB) publicó el informe final titulado "Prácticas sólidas para la adopción responsable de la inteligencia artificial por parte de las instituciones financieras", en el que se presentan 12 prácticas de gobernanza para que las instituciones financieras las consideren. El informe abarca aspectos como la estrategia de IA, la evaluación de riesgos, la gestión de datos, la supervisión humana, la ciberseguridad y los servicios de terceros, respondiendo a una serie de problemas de gestión que han surgido tras la rápida adopción de IA generativa y agentes de IA por parte de las instituciones financieras en los últimos años.

La gobernanza de la IA en las instituciones financieras conecta a los responsables de negocio, los equipos de riesgo y los proveedores externos.

Este informe fue finalizado tras una consulta pública y proporciona un marco de prácticas a nivel internacional para que las instituciones lo adapten a sus propias operaciones y situaciones de riesgo. Las instituciones financieras deben implementar estas prácticas teniendo en cuenta las leyes y regulaciones específicas de su región.

¿Por qué es necesario que un conjunto de prácticas cubra tantos aspectos como la junta directiva, los datos, los modelos y los proveedores? Se puede entender a través de un caso común: un banco que se prepara para permitir que la IA ayude en el procesamiento de préstamos para pequeñas empresas. El equipo de negocio desea reducir el tiempo de revisión, el equipo de modelos se preocupa por la precisión de identificación, el equipo de cumplimiento se interesa por la información del cliente y la explicación de decisiones, mientras que el equipo de operaciones necesita garantizar que el negocio de préstamos pueda continuar incluso si el proveedor se detiene. Solo revisar el rendimiento del modelo no puede responder a las preguntas de las otras partes. El informe del FSB intenta integrar estas decisiones en un mismo proceso de gestión.

I. Las 12 prácticas se extienden desde la gobernanza institucional hasta todo el ciclo de vida de la IA

El FSB divide las 12 prácticas en dos grupos. Las primeras cuatro se centran en la gobernanza a nivel institucional, mientras que las últimas ocho cubren todas las etapas de la IA, desde su introducción, desarrollo, implementación hasta su uso continuo.

Las cuatro prácticas de gobernanza institucional primero incorporan la responsabilidad, el registro y el ajuste continuo en el marco de gestión.

La parte de gobernanza institucional exige que la junta directiva y la alta dirección consideren el uso de la IA en conjunto con el modelo de negocio, la tolerancia al riesgo y la estrategia general. Cuando la IA participa en la revisión de crédito, el servicio al cliente, la supervisión de transacciones o la toma de decisiones internas, la dirección necesita entender dónde se utiliza, qué funciones desempeña y qué impacto tendría un error.

La segunda práctica enfatiza la división de responsabilidades. Las instituciones deben aclarar qué responsabilidades asumen los equipos de negocio, tecnología, riesgo, cumplimiento y auditoría, e integrar los riesgos de IA en el marco de gestión de riesgos existente. La tercera práctica continúa esta idea, exigiendo el registro de cómo se utiliza la IA, la evaluación de riesgos y los controles relacionados.

El valor del registro radica en que, cuando surgen problemas, la institución puede reconstruir qué juicios se hicieron en el sistema, qué datos se utilizaron, quién tomó las decisiones y qué controles estaban en funcionamiento en ese momento. La cuarta práctica recuerda a las instituciones que tanto el entorno tecnológico como el de negocio pueden cambiar, por lo que la estructura de gobernanza también necesita ajustarse en consecuencia.

Estas cuatro prácticas determinan quién aprueba un proyecto de IA, quién lo mantiene y quién tiene la autoridad para detenerlo. La junta directiva no necesita revisar cada parámetro del modelo, pero debe saber en qué negocios importantes se ha integrado la IA, qué beneficios se espera obtener y qué riesgos se está dispuesto a asumir. La dirección luego traduce estos requisitos generales en la aprobación de productos y responsabilidades laborales. Por ejemplo, el responsable del negocio de préstamos decide en qué etapa de aprobación puede entrar la recomendación de la IA; el equipo de riesgo del modelo diseña las pruebas; el personal de cumplimiento verifica los derechos del cliente; y la auditoría interna evalúa si los controles mencionados realmente están funcionando. Si hay vacíos entre los puestos, se debe designar un último decisor antes de la implementación.

La documentación mencionada por el FSB no equivale a guardar un manual de producto. Un caso de uso debe al menos permitir rastrear el propósito comercial, la fuente de datos, la versión del modelo, los resultados de las pruebas, los puntos de intervención humana, la dependencia de terceros y el registro de cambios significativos. Si un cliente cuestiona el resultado de la aprobación, la institución puede reconstruir el proceso a partir de estos materiales. Lo mismo se aplica a los software de oficina ya adquiridos: si un producto originalmente sin IA incorpora funciones de resumen automático o clasificación de clientes, la institución debe reconfirmar el flujo de datos de entrada y el alcance de uso.

Las últimas ocho prácticas, desde escenarios de uso específicos, cubren la importancia de los casos de uso de IA y la evaluación de riesgos, la selección de modelos y sistemas, la gobernanza de datos, la interpretabilidad y la transparencia. Las prácticas posteriores también abordan el rendimiento del sistema, la supervisión humana, los riesgos de tecnologías de información y comunicación (TIC), así como la dependencia de la IA de terceros.

Las 12 prácticas están organizadas por temas de gobernanza, y muchos requisitos atraviesan múltiples etapas del uso de la IA. Las instituciones pueden decidir la profundidad de las medidas de control en función de su tamaño, la complejidad de sus operaciones, su papel en el sistema financiero y el grado en que la IA se integra en los negocios clave.

Aquí, la "evaluación de materialidad" se refiere, en términos simples, a juzgar si una aplicación de IA afectará las operaciones clave de la institución, los derechos de los clientes o las decisiones de riesgo. Las herramientas utilizadas para organizar actas de reuniones requieren un nivel de revisión diferente en comparación con los sistemas que participan en la aprobación de préstamos o la gestión de activos de clientes. El FSB propone ajustar la intensidad de la gobernanza según el escenario de aplicación y el riesgo, permitiendo que las instituciones destinen más recursos de control a los usos que tienen un mayor impacto.

Esta gestión del ciclo de vida exige que las instituciones examinen los datos, los modelos y los escenarios comerciales en conjunto. La calidad de los datos de entrenamiento y operación puede afectar la salida del modelo, las actualizaciones del modelo pueden cambiar el rendimiento original, y las formas en que los clientes y empleados utilizan la IA también pueden presentar nuevos riesgos. Por lo tanto, la evaluación de riesgos debe abarcar la selección, las pruebas, la implementación y la operación continua.

La quinta práctica, "evaluación de materialidad y riesgos", es adecuada para completar la primera ronda en la fase de proyecto, y luego debe repetirse cuando cambie el uso, se amplíe el rango de datos o se actualice el modelo. Un conocimiento de la base de datos de atención al cliente sobre el horario de operación de productos, en comparación con la recomendación automática de productos de inversión de alto riesgo, enfrenta diferentes consecuencias para los consumidores. Las instituciones pueden incluir en la tabla de evaluación el número de personas afectadas, la reversibilidad de las decisiones, la sensibilidad de los datos, la exposición financiera y la capacidad de intervención humana, y luego decidir qué tipo de pruebas y aprobaciones son necesarias. De esta manera, los recursos se priorizarán hacia los sistemas que realmente podrían dañar a los clientes o interrumpir el servicio.

La sexta práctica es la selección de modelos. En el mercado hay modelos autoconstruidos, así como funciones de IA integradas en API externas y software común. El equipo de negocio generalmente ve primero el precio y las funciones, mientras que el equipo de riesgo también debe preguntar: ¿puede el modelo funcionar de manera estable en el idioma, la base de clientes y las condiciones del mercado de esta institución? ¿Se notificará cuando el proveedor realice actualizaciones? ¿Se utilizarán los datos para un entrenamiento adicional? Si solo se puede obtener información técnica limitada, la institución puede limitar primero el uso y el rango de datos, y luego probar continuamente con sus propias muestras después de la implementación, en lugar de considerar la demostración de compra como una validación formal.

Las séptima y octava prácticas están conectadas con los datos y la interpretación. Si la muestra histórica de préstamos omite un tipo de cliente, el modelo puede seguir siendo inexacto en esas solicitudes; si los empleados de primera línea no pueden explicar los resultados recomendados, será más difícil manejar las objeciones de los clientes. Por lo tanto, la gobernanza de datos implica integridad, precisión, permisos de origen, acceso y seguridad. Los requisitos de interpretabilidad también deben organizarse según el escenario: proporcionar fuentes para la búsqueda interna y explicar a los clientes las decisiones que afectan sus oportunidades de financiamiento requieren diferentes niveles de claridad. El FSB permite que las instituciones establezcan restricciones de uso, revisiones y controles compensatorios adicionales en modelos difíciles de interpretar, con el enfoque en que quienes toman las decisiones tengan suficiente información.

Las novena y décima prácticas entran en la operación diaria. Las instituciones deben monitorear si el rendimiento del modelo cambia con el entorno de negocio, observando la tasa de errores, quejas, llamadas anómalas y cambios de decisión manual; los indicadores de monitoreo deben estar conectados con el uso original. La supervisión humana también debe tener poder real. Si un auditor solo hace clic en "aceptar" en la pantalla, no verá la base y no tendrá la autoridad para cambiar la salida, lo que dificultará que la supervisión tenga efecto. Los procesos de alto riesgo pueden establecer confirmaciones obligatorias, revisiones aleatorias y umbrales de detención automática; registrar por qué se adoptaron o rechazaron las recomendaciones del modelo puede, a su vez, mejorar las pruebas.

Las últimas dos prácticas devuelven la IA al entorno tecnológico y de la cadena de suministro. Las interfaces de modelo, los conectores de datos y las herramientas de agente pueden convertirse en nuevos puntos de ataque, y los ejercicios de ciberseguridad deben cubrir inyecciones de mensajes, filtraciones de claves, llamadas erróneas a herramientas y interrupciones de servicios externos. Los riesgos de proveedores también incluyen el rendimiento del modelo, la transparencia, la calidad de los datos de entrenamiento y operación, la cadena de subcontratación y la dependencia centralizada. Si varios bancos utilizan simultáneamente unas pocas plataformas en la nube o modelos básicos, la falla de un proveedor puede tener un impacto más amplio en los negocios. Las instituciones deben al menos saber dónde están las dependencias clave y quién asumirá el control en caso de interrupción de negocios importantes.

II. La consulta pública permitió que el borrador final incluyera detalles operativos

El FSB publicó un borrador de consulta en junio de 2026 y finalizó la consulta el 22 de julio. Se recibieron aproximadamente 160 comentarios de bancos, compañías de seguros, otras instituciones financieras, asociaciones de la industria, proveedores de servicios tecnológicos, académicos y el sector público. En general, los encuestados apoyaron un enfoque basado en principios que enfatiza la proporcionalidad; al mismo tiempo, también plantearon dificultades prácticas en la implementación.

El borrador final mantuvo el marco orientado a principios y tecnológicamente neutral, y también agregó explicaciones sobre cómo las instituciones más pequeñas pueden implementar la gobernanza aprovechando los puestos existentes y las capacidades profesionales externas. La sección de casos aumentó las prácticas de compañías de seguros, instituciones de gestión de activos y proveedores de servicios de pago, haciendo que estas prácticas sean aplicables a más tipos de instituciones. El FSB presentó los casos como una demostración de rutas prácticas, y la organización específica aún debe adaptarse a la situación de cada institución.

La dependencia de terceros en IA fue uno de los problemas más comentados. Cuando las instituciones financieras utilizan modelos externos o productos de IA integrados, la información visible sobre modelos, datos y cadena de suministro suele ser limitada, lo que aumenta la dificultad de evaluar los riesgos de manera independiente. La creciente participación de unos pocos proveedores clave en la infraestructura de IA también llevó a las instituciones a preocuparse por cómo cambiar de proveedor y restaurar los negocios después de una interrupción del servicio.

La dependencia de terceros y la ciberseguridad también ingresan a la gestión del ciclo de vida de la IA.

Por lo tanto, el borrador final amplió aún más la discusión sobre la IA de terceros, cubriendo IA integrada, servicios subcontratados y dependencias de la cadena de suministro, y enfatizando la gestión de concentración, la continuidad del negocio y los planes de salida. Los planes de salida para servicios críticos, en términos simples, se refieren a cómo las instituciones pueden cambiar de servicio o mantener la operación del negocio cuando un proveedor deja de operar, se termina un contrato o el riesgo supera la capacidad de la institución.

En las negociaciones contractuales, las instituciones financieras pueden obtener información sobre cuatro aspectos: cómo el proveedor maneja las entradas y salidas, cómo se notifican los cambios significativos en el modelo o servicio, qué registros pueden proporcionar en caso de incidentes y cómo se devolverán o eliminarán los datos después de la terminación de la colaboración. Los grandes proveedores no siempre aceptan términos personalizados de cada cliente, pero las instituciones aún pueden reducir la dependencia de un solo punto limitando el acceso, manteniendo procesos de respaldo internos y probando regularmente rutas alternativas. Los planes de salida deben concretarse en personas, formatos de datos y el tiempo necesario para la conversión, y no deben quedarse en el "se puede terminar" del contrato.

La IA de agentes también se convirtió en un enfoque de modificación. Se diferencia de las herramientas de generación de texto comunes, ya que puede ejecutar múltiples pasos de manera continua después de establecer un objetivo, y algunos sistemas también pueden invocar herramientas externas o acceder a datos comerciales. Los comentarios sugirieron controles como autorización previa a la ejecución, permisos mínimos, registros de operaciones inalterables y monitoreo en tiempo de ejecución. El informe final agregó consideraciones relacionadas y explicó que esta parte de la práctica aún está en desarrollo, y que en el futuro podría requerir orientaciones más profundas.

Los comentarios de la consulta también mencionaron que si varias instituciones dependen del mismo modelo o de unos pocos proveedores, el comportamiento del mercado podría volverse homogéneo y los riesgos podrían amplificarse mutuamente. El informe final se centra en cómo una institución financiera puede adoptar la IA de manera responsable; los riesgos sistémicos más amplios seguirán siendo observados a través de otras evaluaciones de estabilidad financiera.

III. Para las instituciones financieras, el trabajo clave es integrar los principios en los procesos diarios

Estas 12 prácticas deben implementarse internamente en las instituciones, comenzando con una lista de uso de IA que se pueda actualizar continuamente. La lista debe indicar qué negocio sirve el sistema, quién es responsable, qué clientes o procesos clave se verán afectados, qué modelos y servicios en la nube dependen, y cómo se pausará o cambiará en caso de anomalías. Las capacidades de IA también pueden estar integradas en productos de oficina, atención al cliente o análisis comunes, por lo que la lista debe cubrir herramientas y software de negocio diarios más allá de los proyectos de adquisición.

En segundo lugar, la evaluación de riesgos de IA debe comenzar en la fase de adquisición y prueba. El equipo de negocio debe explicar los objetivos de aplicación, el equipo técnico debe evaluar los modelos y datos, y el personal de riesgo y cumplimiento debe juzgar su impacto en las decisiones de los clientes, los negocios clave o las obligaciones legales. Después de la implementación del sistema, la institución también debe seguir observando el rendimiento operativo y verificar si las actualizaciones de datos o modelos traen nuevos riesgos.

Cuando el camino de decisión del modelo es difícil de explicar, la institución puede reducir los riesgos limitando el uso, aumentando la revisión manual o estableciendo pruebas adicionales. Estos "controles compensatorios" se utilizan para mitigar los riesgos derivados de la falta de transparencia del modelo y se implementan junto con las obligaciones legales relacionadas con la protección de datos y los derechos de los consumidores.

Un proceso interno utilizable también debe distinguir entre "prueba" y "producción". El entorno de prueba puede utilizar datos desensibilizados o sintéticos, limitando usuarios y llamadas; antes de acceder a datos reales de clientes y sistemas comerciales, debe ser confirmado por los equipos de negocio, técnico, de seguridad y legal conjuntamente. La aprobación de implementación no debe ser el final. Las instituciones pueden establecer desencadenadores de cambios de versión: al cambiar el modelo base, acceder a nuevas herramientas externas, expandirse a nuevos grupos de clientes o ajustar el nivel de automatización, se debe iniciar automáticamente una revisión. Muchos riesgos de IA surgen después de que el uso se expande gradualmente, mientras que los materiales iniciales del proyecto aún permanecen en el escenario de bajo riesgo original.

La gestión de terceros también debe integrarse en los procesos de adquisición y contrato. Las instituciones necesitan entender qué información del modelo puede proporcionar el proveedor, cómo se manejan los datos, qué empresas de abajo apoyan el servicio, cómo se notifican a los clientes las actualizaciones significativas y qué alternativas existen en caso de interrupción de servicios críticos.

Cuando los proveedores solo ofrecen información técnica parcial del modelo, las instituciones financieras pueden registrar la información obtenida, los riesgos pendientes y los arreglos operativos como base para la debida diligencia y la gestión posterior.

Para la IA de agentes, también es necesario aclarar los límites de autorización: qué datos puede acceder, qué herramientas puede invocar, qué operaciones deben ser confirmadas por empleados y cómo se pausarán las tareas en caso de anomalías. El personal de supervisión debe tener poder real de intervención, tiempo suficiente y registros de ejecución accesibles.

Por ejemplo, si se permite que un agente organice materiales de solicitud de clientes, se le puede permitir leer una carpeta específica y generar una lista de verificación para verificación, pero dejar la modificación de límites de crédito y el envío de decisiones a los empleados. Si el mismo agente debe completar tres acciones: consulta, escritura y notificación, el sistema puede emitir un comprobante temporal en diferentes pasos y registrar cada llamada. De esta manera, el equipo de riesgo ya no verá una etiqueta abstracta como "se utilizó un agente", sino una cadena de ejecución que se puede probar, auditar y pausar.

En la práctica, estas 12 prácticas pueden resumirse en cuatro tipos de entregables: principios de uso de IA aprobados por la junta directiva, una lista de aplicaciones y dependencias que se actualiza continuamente, evaluaciones y registros de pruebas de cada caso de uso importante, y planes de desactivación y recuperación en caso de anomalías. Estos cuatro tipos de materiales están interconectados. La lista informa a la dirección sobre qué proyectos existen; la evaluación decide qué controles son más estrictos; las pruebas demuestran si los controles son efectivos; y el registro de incidentes impulsa la modificación de reglas. Las instituciones más pequeñas también pueden reutilizar reuniones de riesgos existentes y procesos de adquisición, siendo clave que la responsabilidad y la evidencia sean rastreables.

IV. Esta es una referencia de gestión, su implementación dependerá de la jurisdicción

El FSB posiciona estas 12 prácticas como herramientas de práctica que pueden ajustarse a la situación de cada institución. Al aplicar este marco, las instituciones aún deben comparar cada caso de uso de IA con los requisitos específicos de su jurisdicción sobre protección de datos, derechos de los consumidores, gestión de subcontratación, riesgos de modelos o gobernanza de instituciones financieras.

Su función práctica radica en proporcionar una lista de gobernanza común: desde la responsabilidad de la junta directiva, la documentación interna, hasta la selección de modelos, la supervisión humana y la gestión de proveedores, las instituciones pueden verificar la cobertura de sus procesos existentes sobre los aspectos clave. A medida que la IA se integra más en los negocios financieros, los responsables, las medidas de control y los planes de emergencia detrás de esta lista también necesitarán ser actualizados continuamente.

Desde la perspectiva de políticas internacionales, la práctica del FSB también tiene un valor: diferentes jurisdicciones pueden examinar las aplicaciones de IA de las instituciones financieras a través de problemas similares. Los reguladores pueden no utilizar la misma tabla, pero todos se preocuparán por quién asume los riesgos, cómo funcionan los modelos en los negocios clave y si los clientes se ven afectados cuando hay fallos en las dependencias externas. Si las instituciones pueden preparar la evidencia mencionada, será más fácil explicar sus arreglos de control frente a los requisitos de protección de datos, derechos de los consumidores y regulación prudencial en diferentes regiones.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.