Expectativas de BaFin para la Gestión de Riesgos de TIC y el Uso de IA
Situación Actual
La Autoridad Federal de Supervisión Financiera ha emitido una guía no vinculante que aclara cómo las instituciones financieras deben gestionar los riesgos de Tecnologías de la Información y Comunicación (TIC) que surgen de los sistemas basados en Inteligencia Artificial (IA) en el contexto de la Regulación (UE) 2022/2554 (DORA) y regulaciones relacionadas de la UE.
Resultados
Los sistemas de IA, en especial la IA generativa y los modelos de lenguaje grandes (LLM), deben estar completamente integrados en los marcos existentes de gobernanza de TIC, pruebas y gestión de riesgos de terceros, con un mayor escrutinio por parte de los supervisores.
Perspectivas Futuras
Las instituciones financieras que utilizan o planean implementar IA deben reevaluar sus prácticas de gobernanza, pruebas, subcontratación en la nube e informes de incidentes para cumplir con las expectativas supervisoras en evolución. La guía tiene como objetivo proporcionar dirección adicional a las instituciones financieras bajo la supervisión de BaFin sobre el tratamiento de sistemas basados en IA bajo DORA y sobre los riesgos de terceros y subcontratación.
Directrices Específicas
Las instituciones financieras deben asegurarse de que los sistemas basados en IA sean gobernados, asegurados y monitoreados de manera consistente dentro de sus marcos de cumplimiento de DORA, lo que incluye:
- Adopción de una estrategia de IA aprobada por la gestión: Definir responsabilidades claras, construir competencias en IA y asegurar colaboración interdisciplinaria, especialmente donde la IA apoye funciones críticas.
- Integración de sistemas basados en IA: Deben estar integrados en el marco de gestión de riesgos de TIC conforme a DORA.
- Normas robustas de desarrollo y gestión de cambios: Aplicar estándares a los desarrollos de IA internos, prestando especial atención a los componentes de código abierto y la generación de código asistida por IA.
- Extensión de las obligaciones de prueba: A los sistemas basados en IA, de la misma manera que a otros sistemas de TIC.
- Gestión de riesgos de terceros: Enfatizar la importancia de la gestión de riesgos de TIC de terceros, especialmente dado el uso extendido de servicios en la nube.
- Controles de ciberseguridad y seguridad de datos: Aplicar controles en todo el ciclo de vida de la IA, adecuados a la criticidad del sistema.
- Identificación y reporte de incidentes relacionados con TIC: Involucrando sistemas de IA, asegurando que se identifiquen, evalúen y reporten adecuadamente.
Conclusiones Clave
- La guía confirma que los sistemas basados en IA no están sujetos a un régimen separado y deben integrarse en la gobernanza de TIC conforme a DORA.
- Aunque la guía no es vinculante, se espera que los supervisores la utilicen como un estándar de facto, lo que implica un mayor escrutinio sobre los sistemas de IA.
- Las instituciones financieras deben centrarse en una gestión robusta de riesgos de terceros y de nube, así como en la ciberseguridad y la detección de incidentes relacionados con IA para asegurar el cumplimiento de las expectativas supervisoras.
