El Banco de Rusia publica recomendaciones metodológicas sobre la seguridad de la inteligencia artificial en el sector financiero: panorama general y medidas prácticas

El Banco de Rusia emitió las Recomendaciones Metodológicas No. 3-MR el 16 de junio de 2026, que abordan la seguridad de la información en el desarrollo y uso de la IA en el mercado financiero. El documento está dirigido a bancos, organizaciones financieras no crediticias, participantes en sistemas de pago y otros actores del mercado. Se basa en el Código de Ética para la IA en finanzas e introduce terminología específica de la IA, como alucinaciones, deriva de datos, inyección rápida de mensajes y conjuntos de datos envenenados, en consonancia con las normas nacionales (GOST R). Los riesgos se clasifican en seis tipos: gestión de datos, confidencialidad, mal funcionamiento del modelo, explicabilidad, riesgos de proveedores y de código abierto, y fiabilidad operativa. Los modelos de amenazas deben seguir la metodología del FSTEC; las medidas son proporcionales a la gravedad del riesgo. El ciclo de vida de la IA se divide en cuatro etapas: preparación de datos, desarrollo, entrenamiento y pruebas, y operación. Las amenazas específicas incluyen evasión, envenenamiento, robo de modelos y ataques adversarios. El documento enfatiza la seguridad de la cadena de suministro, requiriendo que las organizaciones evalúen la confianza en datos externos, modelos y componentes de código abierto, y utilicen datos desinfectados o sintéticos al compartirlos con proveedores. Se recomienda la validación humana para procesos automatizados críticos como los pagos. Las organizaciones deben hacer un inventario de los componentes de IA, evaluar riesgos, construir modelos de amenazas, implementar medidas de seguridad en todas las etapas del ciclo de vida y formalizar una política de seguridad de la IA. Se destacan las pruebas de equipo rojo, la minimización de datos, el etiquetado de salidas y los planes de apagado de emergencia. Las recomendaciones son de carácter consultivo, pero indican la dirección del regulador, instando a un cumplimiento proactivo.