Anthropic y ChatGPT 5.5 preocupan a la banca: los nuevos modelos de IA elevan el riesgo operativo

La aparición de modelos más potentes está empezando a generar inquietud en sectores especialmente sensibles como el financiero. La banca, que tradicionalmente ha sido cautelosa con la adopción tecnológica, ve ahora cómo la IA generativa avanza más rápido de lo que sus sistemas de control interno pueden gestionar.

Advertencia del regulador británico

El regulador británico ha advertido de que sistemas como Mythos de Anthropic y ChatGPT 5.5 Instant pueden provocar una disrupción considerable en la banca. La advertencia, publicada por la Prudential Regulation Authority (PRA), se basa en pruebas realizadas con varios modelos de lenguaje de última generación en entornos bancarios simulados.

Los resultados de las pruebas mostraron que estos modelos son capaces de identificar vulnerabilidades en sistemas heredados que los auditores humanos habían pasado por alto. En algunos casos, los modelos propusieron secuencias de operaciones que habrían eludido controles de fraude, levantando alarmas sobre posibles usos maliciosos o accidentales.

El problema de los sistemas heredados

La banca opera con sistemas heredados (legacy systems) que en muchos casos tienen décadas de antigüedad. Estos sistemas contienen lógica compleja, parches acumulados y documentación incompleta. Los modelos de IA modernos, gracias a su capacidad para procesar grandes volúmenes de código y documentación, pueden mapear estos sistemas con una profundidad que los equipos humanos no alcanzan por falta de tiempo o recursos.

La paradoja es que lo que hace más eficiente a la IA (su capacidad para encontrar patrones y anomalías) es también lo que la hace peligrosa: puede descubrir fallos operativos que la entidad no sabía que existían. Si esos fallos son explotados por actores maliciosos o incluso por el propio modelo debido a alucinaciones, las consecuencias pueden ser graves.

Riesgos específicos en el sector financiero

La razón es sencilla: estos modelos no solo automatizan tareas, también pueden detectar debilidades en sistemas heredados y exponer fallos operativos con rapidez. En la banca, un fallo operativo puede traducirse en transacciones erróneas, violaciones de cumplimiento normativo o incluso insolvencia técnica temporal.

El regulador británico identificó tres categorías de riesgo principales. La primera es la automatización descontrolada: modelos que toman decisiones operativas (como aprobar préstamos o ejecutar transferencias) sin supervisión humana efectiva. La segunda es la exposición de vulnerabilidades: modelos que, al ser consultados por empleados malintencionados o descuidados, revelan cómo eludir controles. La tercera es la alucinación operativa: modelos que inventan procedimientos o interpretan erróneamente normativas, llevando a acciones incorrectas.

El caso de Mythos de Anthropic

Mythos, el modelo de Anthropic, ha sido diseñado específicamente para tareas de análisis de documentos largos y razonamiento complejo. En las pruebas del regulador, Mythos demostró ser especialmente hábil en la detección de contradicciones internas en manuales de procedimiento bancarios. Encontró casos donde dos departamentos tenían políticas opuestas sobre el mismo tipo de transacción, algo que los auditores humanos no habían detectado en años.

Esta capacidad es valiosa, pero también peligrosa. Un empleado bancario que consulte a Mythos sobre cómo procesar una transacción inusual podría recibir una respuesta basada en una política que ya no está vigente o que contradice otra política. Sin la trazabilidad adecuada, el banco no sabría qué instrucción siguió realmente el empleado.

ChatGPT 5.5 Instant y la velocidad de respuesta

ChatGPT 5.5 Instant, por su parte, está optimizado para baja latencia. Puede generar respuestas en milisegundos, lo que lo hace atractivo para integraciones en tiempo real. Pero esa misma velocidad dificulta la supervisión: no hay tiempo para que un humano revise cada interacción antes de que se ejecute una acción.

En las pruebas bancarias, ChatGPT 5.5 Instant fue capaz de completar transacciones simuladas en menos de un segundo, incluyendo la generación de justificaciones aparentemente razonables. El regulador alertó de que, sin barreras de control adicionales, un banco podría terminar ejecutando cientos de miles de operaciones basadas en respuestas de IA no verificadas.

Reacciones de las entidades financieras

Para las entidades financieras, esto obliga a reforzar controles, validaciones y políticas de uso de IA antes de ampliar su despliegue interno. Varios bancos internacionales han pausado o ralentizado sus planes de integración de IA generativa tras conocer los resultados de las pruebas del regulador británico.

JPMorgan Chase, por ejemplo, ha creado un comité interno de revisión de IA que debe aprobar cada nuevo caso de uso. Goldman Sachs exige que todos los modelos de IA utilizados internamente sean "explicables", es decir, que se pueda trazar cada decisión hasta un conjunto específico de reglas o datos de entrenamiento. HSBC ha contratado a empresas externas de auditoría algorítmica para evaluar los riesgos de los modelos antes de desplegarlos.

Controles y validaciones necesarias

El regulador británico ha propuesto un conjunto mínimo de controles. El primero es la segregación de funciones: el modelo de IA no debe tener capacidad para ejecutar transacciones directamente; solo puede hacer recomendaciones que un humano o un sistema separado debe aprobar. El segundo es la trazabilidad obligatoria: cada interacción con el modelo debe quedar registrada con un identificador único, incluyendo el prompt exacto y la respuesta generada. El tercero es la validación periódica: los modelos deben ser reevaluados cada seis meses con nuevos casos de prueba diseñados por auditores independientes.

El incumplimiento de estos controles podría acarrear sanciones que van desde multas hasta la prohibición de usar ciertos modelos en actividades bancarias reguladas.

El debate sobre la gobernanza de la IA en la empresa

La noticia confirma que el verdadero debate ya no es si la IA entra en la empresa, sino cómo se gobierna cuando su capacidad supera la de muchos procesos tradicionales. La banca es solo un sector avanzadilla; otros sectores regulados como la sanidad, la energía o el transporte enfrentarán dilemas similares en los próximos meses.

La dificultad es que los modelos más avanzados son también los más opacos. Ni siquiera sus propios creadores pueden explicar completamente por qué un modelo dio una respuesta concreta. Esta "caja negra" es incompatible con los requisitos de explicabilidad que imponen los reguladores financieros. El desafío técnico de hacer modelos explicables sin sacrificar su potencia está siendo abordado por startups y centros de investigación, pero aún no hay soluciones maduras.

Modelos de gobernanza emergentes

Están surgiendo varios modelos de gobernanza. El más restrictivo es el de "solo recomendación", donde la IA nunca ejecuta acciones automáticamente. El más permisivo es el de "supervisión estadística", donde la IA ejecuta acciones pero un humano revisa una muestra aleatoria para detectar anomalías. Entre ambos hay opciones híbridas: umbrales automáticos (la IA ejecuta solo si la confianza supera el 99,9%), validación por excepción (un humano revisa solo los casos raros) o doble validación (dos modelos distintos deben coincidir para ejecutar una acción).

El regulador británico no ha prescrito un modelo único, pero ha dejado claro que la elección debe ser documentada y justificada, y que la entidad debe demostrar que el modelo elegido es adecuado para el nivel de riesgo de cada operación.

Herramientas para el futuro: potencia, trazabilidad y supervisión humana

En este contexto, las herramientas más valiosas serán las que combinen potencia, trazabilidad y supervisión humana efectiva. No basta con tener un modelo muy capaz; hay que saber por qué dijo lo que dijo y tener mecanismos para que un humano pueda vetar sus decisiones cuando sea necesario.

Empresas como Anthropic están desarrollando versiones "explicables" de sus modelos para el sector financiero. Estas versiones generan no solo la respuesta, sino también un "rastro de razonamiento": una cadena de pasos lógicos que justifican la respuesta. Esto permite a los auditores reconstruir por qué el modelo tomó una decisión, algo esencial para el cumplimiento normativo.

OpenAI, por su parte, ha anunciado que ChatGPT 5.5 Instant incluirá un modo "bancario" con restricciones adicionales: no puede generar instrucciones para ejecutar transacciones, no puede interpretar normativas de forma creativa, y tiene un límite de confianza autoinformada. Si el modelo no está seguro de una respuesta, debe decir explícitamente "no puedo responder con la suficiente confianza" en lugar de inventar una respuesta plausible.

El papel del regulador en la evolución tecnológica

La intervención del regulador británico es significativa porque no prohíbe el uso de IA avanzada, sino que exige controles proporcionados al riesgo. Este enfoque evita frenar la innovación innecesariamente, pero impone costes de cumplimiento que pueden ser difíciles de asumir para los bancos pequeños. La banca comunitaria y las cooperativas de crédito han expresado su preocupación por quedar excluidas de la carrera tecnológica debido a la carga regulatoria.

El regulador ha respondido que los requisitos son proporcionales: un banco pequeño que use IA solo para tareas no críticas (como resumir actas de reuniones) tendrá exigencias mucho menores que un banco sistémico que use IA para ejecutar transacciones. La clave está en la materialidad del riesgo, no en el tamaño de la entidad.

Conclusión: la IA llega al núcleo de la banca

La advertencia del regulador británico sobre Mythos y ChatGPT 5.5 marca un antes y un después. La IA ya no es un experimento periférico en la banca; está empezando a tocar el núcleo operativo. Su capacidad para detectar vulnerabilidades es un arma de doble filo: puede ayudar a reforzar la seguridad o puede exponer fallos que los atacantes exploten.

Los próximos años serán decisivos para establecer estándares globales sobre el uso de IA en finanzas. El regulador británico ha tomado la delantera, pero otros reguladores (europeo, estadounidense, singapurense) están siguiendo de cerca. Lo que está claro es que la banca no podrá ignorar la IA, pero tampoco podrá adoptarla sin una gobernanza rigurosa. El equilibrio entre innovación y seguridad será la gran prueba para el sector en esta década.