Singapur fija normas sobre los riesgos de la IA para las entidades financieras, con plazos en 2027 y 2028

Dos plazos ponen la supervisión de la IA en la agenda del sector financiero

Las instituciones financieras de Singapur tienen hasta el 7 de octubre de 2027 para cumplir las expectativas básicas de supervisión de la inteligencia artificial (IA), y hasta el 7 de octubre de 2028 para aplicar controles, capacidades e infraestructura más amplios. La Autoridad Monetaria de Singapur (MAS, por sus siglas en inglés) publicó sus Directrices sobre gestión de riesgos de la inteligencia artificial el 7 de octubre de 2026. Estas abarcan a todas las instituciones financieras y todas las formas de tecnología de IA.

El marco va más allá de los chatbots y del software que ayuda al personal a redactar documentos. Incluye el aprendizaje automático tradicional, la IA generativa que produce contenido y los agentes de IA capaces de tomar decisiones o realizar acciones mediante herramientas conectadas. La MAS advierte que los agentes con acceso a herramientas podrían ejecutar de forma autónoma acciones erróneas o no autorizadas, por lo que la autoridad para actuar es tan importante como la precisión de una respuesta.

Las directrices sobre riesgos de la IA del organismo regulador establecen expectativas de supervisión, en lugar de una ley independiente que prescriba los mismos requisitos técnicos para todas las empresas. Su principio central es la proporcionalidad: las instituciones deben identificar cómo utilizan la IA, evaluar la importancia y los riesgos de cada aplicación e implantar controles acordes con ese nivel de exposición.

Esto crea un amplio ámbito de aplicación regulatoria sin tratar todas las aplicaciones de la misma manera. Un sistema que influya en recomendaciones de inversión o evaluaciones de riesgo de los clientes requiere un nivel de escrutinio distinto al de una herramienta usada para corregir un correo electrónico interno. La distinción depende de las posibles consecuencias, incluidos los daños a los clientes y a otras instituciones, y no simplemente de que un producto se presente como IA.

¿A quién abarca el marco?

El ámbito de aplicación incluye bancos, gestores de fondos, asesores financieros, aseguradoras, instituciones de pago, bolsas, entidades de compensación, custodios, agencias de calificación crediticia y empresas que operan con productos del mercado de capitales. También incluye expresamente a los intermediarios de futuros exentos y a los intermediarios de derivados extrabursátiles.

La cobertura se extiende a todas las tecnologías de IA, por lo que el marco no es solo un reglamento sobre IA generativa ni una medida dirigida únicamente a los bancos más grandes. La MAS permite que las instituciones adapten su aplicación a sus perfiles de riesgo, incluida la escala y la naturaleza de su uso de la IA.

Las directrices también complementan los requisitos y principios vigentes de la MAS, incluidos los de Equidad, Ética, Rendición de cuentas y Transparencia, conocidos como FEAT por sus siglas en inglés. Añaden un marco de gestión de riesgos de IA, pero no sustituyen las obligaciones más amplias que ya rigen los servicios financieros.

Para las instituciones que deben determinar cuánto trabajo necesitan realizar, la distinción clave está entre el amplio alcance de la norma y la intensidad de los controles. Estar incluido no significa que cada empresa deba establecer la misma estructura de gobernanza. Sí significa que cada institución necesita saber, de manera fundamentada, dónde utiliza IA y qué podría ocurrir si esos sistemas funcionan mal o dejan de estar disponibles.

¿Qué cambia de aquí a octubre de 2028?

La publicación llega tras una consulta iniciada en noviembre de 2025. En una respuesta parlamentaria de agosto de 2026, la MAS indicó que las directrices propuestas se finalizarían pronto y confirmó que abarcaban la IA agéntica. El anuncio de octubre estableció entonces dos etapas de aplicación.

• Noviembre de 2025: La MAS inició una consulta pública sobre las directrices propuestas para la gestión de riesgos de la IA.
• 5 de agosto de 2026: Una respuesta parlamentaria confirmó que las propuestas abarcaban todos los casos de uso de IA por parte de las instituciones financieras, incluida la IA agéntica.
• 7 de octubre de 2026: La MAS publicó las directrices definitivas.
• 7 de octubre de 2027: Entran en vigor las directrices y, a partir de esta fecha, se aplican las expectativas de las secciones 3 y 4.
• 7 de octubre de 2028: Las instituciones deben cumplir las expectativas de las secciones 5 y 6.

El calendario da a las empresas un año desde la publicación para establecer el marco básico de supervisión, gestión de riesgos y políticas, y otro año para poner en marcha las disposiciones operativas más amplias. El plazo posterior no aplaza la aplicación de todo el marco hasta 2028.

Un breve informe indica que la fecha de entrada en vigor es el 7 de octubre, pero no especifica el año. La publicación y el anuncio de la MAS son explícitos: la fecha de entrada en vigor es el 7 de octubre de 2027, y la aplicación gradual continuará hasta 2028.

Los consejos de administración conservan la responsabilidad sin necesidad de crear un nuevo comité

La MAS espera que los consejos de administración y la alta dirección supervisen eficazmente los riesgos de la IA. Esto incluye definir responsabilidades, establecer el apetito de riesgo y crear marcos, políticas y procedimientos de gestión de riesgos. El apetito de riesgo es el nivel y los tipos de riesgo que una institución está dispuesta a aceptar.

El anuncio de la publicación del organismo regulador aborda una preocupación práctica planteada durante la consulta: las empresas pueden utilizar las estructuras de gobernanza existentes si estas permiten una supervisión adecuada y la coordinación entre las funciones pertinentes. No se exige crear un comité específico de IA únicamente para cumplir esta expectativa.

La distinción es importante para la aplicación. El requisito es una rendición de cuentas efectiva, no un nombre determinado para el comité ni un organigrama concreto. Las estructuras existentes pueden cumplir la expectativa, pero solo si permiten supervisar los riesgos de la IA y coordinar a las personas responsables de gestionarlos.

Las instituciones deben gestionar esos riesgos en dos niveles: en toda la organización y en cada aplicación. Una aplicación puede parecer manejable por sí sola, mientras que la expansión del uso de IA en la empresa puede exigir mayor supervisión, más conocimientos especializados o más infraestructura. Por ello, la MAS espera que las instituciones desarrollen sus capacidades a medida que aumenta la adopción.

Los inventarios concretan la evaluación de riesgos

Las instituciones financieras deben identificar sus usos de la IA y mantener inventarios con un nivel de detalle adecuado. Un inventario sienta las bases para evaluar qué aplicaciones son más importantes y decidir qué controles necesitan. Sin esa base, la alta dirección no puede determinar de forma fiable la exposición de la institución.

La MAS también espera una evaluación de la importancia de los riesgos de cada aplicación. En términos sencillos, esto significa determinar si los fallos, el rendimiento deficiente o la falta de disponibilidad podrían tener consecuencias importantes para la institución, sus clientes u otras partes interesadas, incluidas otras instituciones financieras.

El marco identifica riesgos financieros, operativos, de conducta, de delitos financieros y reputacionales. La IA generativa también plantea riesgos de seguridad y privacidad, así como riesgos relacionados con proveedores externos. Estas categorías amplían la evaluación más allá de comprobar si un modelo suele generar respuestas precisas.

La MAS permite aplicar políticas y procedimientos básicos cuando es poco probable que el rendimiento deficiente o la falta de disponibilidad de los servicios de IA tengan un efecto importante. Una mayor exposición debe dar lugar a controles más sofisticados. La prueba práctica son las posibles consecuencias de un fallo, no lo novedosa que sea la tecnología.

Los controles deben mantenerse después de introducir un sistema de IA

Las directrices exigen controles proporcionales durante todo el ciclo de vida de la IA, es decir, desde las etapas de desarrollo y prueba hasta la implementación, el uso y los cambios posteriores. Entre esos controles, la MAS menciona la gobernanza de datos, las pruebas, la supervisión humana, la ciberseguridad, el monitoreo y la gestión de cambios.

La gobernanza de datos se refiere a cómo se gestiona y utiliza la información. Las pruebas permiten determinar si un sistema es adecuado para el propósito previsto. El monitoreo comprueba su rendimiento durante el funcionamiento, mientras que la gestión de cambios aborda las modificaciones que podrían alterar su comportamiento o nivel de riesgo. Son responsabilidades relacionadas, no un único proceso de aprobación previo al lanzamiento.

La supervisión humana también forma parte del marco. En el caso de un sistema de IA que pueda influir en una decisión financiera o ejecutarla, la cuestión no es solo si una persona puede leer el resultado. Las instituciones deben considerar cómo adaptar la supervisión a los riesgos de la aplicación y a las acciones que esta puede realizar.

La MAS espera que los controles se revisen periódicamente a medida que se amplía el uso de la IA y evolucionan las tecnologías. Puede ser necesario reevaluar las medidas diseñadas para una herramienta que redacta textos si esta obtiene después acceso a sistemas desde los que puede realizar acciones. Las directrices relacionan específicamente las revisiones periódicas con el aumento del uso de agentes autónomos.

Comprar IA no transfiere la responsabilidad

Las instituciones financieras siguen siendo responsables de la IA que utilizan en los servicios que prestan, incluidos los sistemas desarrollados, operados o suministrados por empresas externas. Externalizar la tecnología no significa externalizar la responsabilidad por los riesgos que genera.

La MAS espera que las empresas obtengan garantías suficientes de los proveedores y evalúen si la IA de estos es adecuada para el uso previsto. Cuando existan limitaciones prácticas o insuficiencias en las garantías, las instituciones deben aplicar controles compensatorios. Se trata de medidas destinadas a reducir los riesgos cuando no se dispone de las garantías o los controles preferidos.

El organismo regulador también establece qué hacer cuando esas medidas no son suficientes. Si los riesgos no pueden mantenerse dentro del apetito de riesgo de una institución, esta debe considerar limitar, suspender o sustituir el servicio de IA. Por tanto, el uso continuado no se justifica simplemente porque el proveedor resulte atractivo desde el punto de vista comercial o porque el sistema ya esté integrado en las operaciones.

Esto aborda otra preocupación planteada durante la consulta: la IA integrada en productos y servicios. La pregunta pertinente es cómo utiliza la institución esa funcionalidad y gestiona sus consecuencias, no si desarrolló el modelo. La evaluación debe vincular las garantías del proveedor con el uso que la empresa realmente prevé dar al sistema.

La IA agéntica está incluida antes de que lleguen nuevas directrices

La IA agéntica puede hacer más que generar una respuesta. Puede utilizar herramientas para llevar a cabo tareas y actuar con mayor autonomía. En los servicios financieros, esto hace que los permisos, la capacidad de intervención y el registro de las decisiones sean elementos centrales para gestionar el riesgo de acciones erróneas o no autorizadas.

En la respuesta parlamentaria de agosto, Gan Kim Yong, viceprimer ministro, ministro de Comercio e Industria y presidente de la MAS, confirmó que las directrices propuestas se aplicaban a todos los casos de uso de IA por parte de las instituciones financieras, incluida la IA agéntica. La respuesta abordó una pregunta de Mariam Jaafar, miembro del Parlamento por la circunscripción de Sembawang GRC, sobre los agentes autónomos y los posibles requisitos de supervisión.

Gan también describió recursos prácticos desarrollados junto con el sector. En el marco del Proyecto MindForge, el sector elaboró un conjunto de herramientas de gestión de riesgos de IA para ayudar a las instituciones a aplicar las directrices. El marco de salvaguardias para las finanzas agénticas en tiempo de ejecución, conocido como SAFR por sus siglas en inglés, presenta un posible enfoque para autorizar las acciones de los agentes, activar la supervisión humana y registrar lo que ocurre en cada decisión relevante.

Estos recursos tienen una función distinta a la del marco de supervisión. El conjunto de herramientas facilita la aplicación, mientras que SAFR describe un posible enfoque operativo. La respuesta parlamentaria no anunció que SAFR fuera a ser obligatorio.

La MAS prevé consultar al sector financiero en 2027 sobre la utilidad de ofrecer directrices adicionales para la IA agéntica. No ha dado una fecha concreta para la consulta ni ha anunciado el contenido de posibles directrices posteriores. Los agentes ya están incluidos en el ámbito de las directrices, por lo que la consulta prevista no es motivo para aplazar la gestión de sus riesgos.

Claridad regulatoria, con límites al riesgo aceptable

La MAS presenta el marco como un respaldo a la adopción responsable, no como una prohibición de la IA. Quienes respondieron a la consulta apoyaron un enfoque basado en principios y controles proporcionales, pero solicitaron aclaraciones sobre las estructuras de gobernanza existentes, la IA integrada y las circunstancias en las que bastarían las políticas básicas. El marco definitivo conserva las principales expectativas y atiende esas preocupaciones.

Ho Hern Shin, subdirectora gerente de la MAS, vinculó los posibles beneficios de la IA con la necesidad de que las instituciones comprendan sistemas cada vez más capaces. Dijo:

«Para obtener estos beneficios de manera sostenible, las instituciones financieras deben comprender y gestionar los riesgos que conllevan los sistemas de IA cada vez más capaces».

Su declaración señala el equilibrio central de las directrices. Las instituciones pueden buscar aumentos de productividad, una mejor gestión de riesgos y nuevos servicios, pero deben seguir siendo responsables de los sistemas que utilizan para ofrecerlos.

Los próximos hitos fijados son los plazos de aplicación de octubre de 2027 y octubre de 2028. La consulta adicional sobre IA agéntica está prevista para 2027, mientras que la MAS también ha indicado que seguirá revisando y actualizando las expectativas de supervisión cuando sea necesario. No se ha anunciado ningún plazo aparte para nuevos requisitos sobre IA agéntica.

Puntos clave

• La MAS publicó sus directrices sobre gestión de riesgos de IA el 7 de octubre de 2026. Estas abarcan a todas las instituciones financieras y tecnologías de IA.
• Las expectativas básicas de las secciones 3 y 4 se aplican desde el 7 de octubre de 2027; las secciones 5 y 6 deben aplicarse antes del 7 de octubre de 2028.
• Los consejos de administración y la alta dirección deben garantizar una supervisión efectiva, pero no se exige crear un comité específico de IA.
• Las instituciones deben hacer un inventario de sus usos de IA, evaluar la importancia de los riesgos y aplicar controles proporcionales a los posibles daños.
• Las empresas siguen siendo responsables de la IA suministrada por proveedores externos y deben considerar restringir o sustituir los servicios que presenten riesgos inaceptables.
• La IA agéntica ya está incluida. La MAS prevé una nueva consulta sobre posibles directrices adicionales en 2027.