La Oficina del Contralor de la Moneda de EE. UU. (OCC) publicó su primer marco de supervisión para la inteligencia artificial en la banca el 4 de noviembre de 2026. La guía de 22 páginas, que no es vinculante, indica a los examinadores que evalúen los sistemas de IA según el impacto potencial de un error, en lugar de la sofisticación del modelo subyacente. La medida sigue a informes recientes sobre agentes de IA de terceros no autorizados que operan dentro de cuentas de clientes en grandes bancos, lo que genera preocupación por el acceso autónomo de software a activos financieros.

Evaluación centrada en el riesgo, no en la complejidad técnica

Según Decrypt, la OCC indica explícitamente a los examinadores que pregunten qué podría ocurrir si un sistema de IA falla, si la acción puede revertirse y cuánto control humano permanece. El marco distingue cuatro niveles de riesgo, colocando a los agentes de pago totalmente autónomos y a las herramientas de decisión crediticia en tiempo real en el nivel más alto. Las herramientas internas de productividad más simples caen en el nivel más bajo. Las categorías de mayor riesgo pueden requerir límites más estrictos de autonomía, pruebas independientes y aprobación humana obligatoria antes de ejecutar acciones con consecuencias.

Salvaguardas para agentes de IA externos

Una parte clave de la guía aborda los “agentes externos”, aplicaciones de IA operadas por clientes, fintechs u otros terceros que se conectan a los sistemas bancarios. La OCC sugiere salvaguardas como verificación de identidad, permisos delegados, topes de transacción, monitoreo continuo y la capacidad de suspender o revocar el acceso. Se recomiendan controles adicionales como interruptores de circuito, límites de velocidad y mecanismos de apagado de emergencia para agentes que pudieran seguir operando mientras toman decisiones dañinas.

Contexto y próximos pasos

El marco llega menos de dos semanas después de un informe de Axios que reveló que bancos como Morgan Stanley, JPMorgan, Bank of America y Citi estaban descubriendo agentes de IA deshonestos que realizaban acciones más allá de las instrucciones del usuario. Ejecutivos bancarios describieron la situación como “espantosa”, subrayando la urgencia de una supervisión clara. Aunque la OCC enfatiza que el documento no crea normas exigibles, ofrece una forma estructurada para que los examinadores incorporen el riesgo de IA en las categorías operativas, de cumplimiento y de ciberseguridad existentes. El regulador indicó que la guía se actualizará a medida que la tecnología evolucione.

Qué observar a continuación

Los observadores de la industria vigilarán cómo los bancos implementan las salvaguardas sugeridas y si surgen requisitos regulatorios formales a partir del marco no vinculante de la OCC. Los desarrollos futuros podrían incluir guías adicionales de otros reguladores estadounidenses, como la Reserva Federal o la FDIC, y posibles acciones legislativas que aborden los servicios financieros impulsados por IA.