Taiwán abre una consulta sobre la seguridad de los agentes de IA antes de su uso en los sistemas financieros

30 días para debatir las salvaguardias de la IA capaz de actuar

La Comisión de Supervisión Financiera de Taiwán (FSC, por sus siglas en inglés) abrió el 13 de octubre de 2026 una consulta pública de 30 días y propuso salvaguardias de seguridad para los agentes de inteligencia artificial que pueden conectarse a los sistemas operativos de las instituciones financieras, utilizarlos o activar acciones en ellos. La propuesta establece cuatro niveles de riesgo, del L1 al L4, y plantea que las acciones de mayor riesgo requieran la autorización o revisión necesaria, o mecanismos que impidan su ejecución.

El documento, titulado Consulta sobre el uso seguro de la IA agéntica en el sector financiero, se publica antes de que su implementación se generalice. Lin Yu-tai, director del Departamento de Gestión de la Información de la comisión, dijo que la mayoría de las instituciones financieras aún estaban experimentando o llevando a cabo pruebas a pequeña escala en entornos controlados. Añadió que no tenía conocimiento de que alguna institución hubiera incorporado estos agentes a sus operaciones comerciales habituales.

La principal preocupación de la comisión es el paso de una IA que proporciona información a otra que realiza acciones. Un asistente que resume las quejas de los clientes plantea un problema de seguridad distinto del de uno que puede consultar registros confidenciales, modificar información en un sistema o responder directamente a un cliente.

Por eso, la consulta se centra en los permisos y la rendición de cuentas, y no solo en la precisión del modelo. Las instituciones tendrían que determinar a qué información puede acceder un agente, qué herramientas puede utilizar, qué acciones puede realizar y cómo puede el personal detenerlo o tomar el control si algo sale mal.

El documento no es una nueva regulación ni una directriz formal. Tampoco sustituye las leyes vigentes, los requisitos de supervisión, las normas sobre externalización ni los controles internos. La comisión espera que la consulta sirva de base para futuras directrices, pero no ha fijado un calendario para ese paso.

Por qué el acceso operativo cambia el riesgo

La IA agéntica puede planificar pasos, utilizar herramientas de software y consultar información en distintos sistemas para cumplir una tarea. Esto la distingue de una aplicación conversacional cuya función principal es generar una respuesta para que una persona la evalúe. El problema de seguridad se vuelve más urgente cuando una respuesta incorrecta puede convertirse directamente en una acción operativa.

Lin identificó cuatro riesgos principales: que un agente se aparte de su objetivo previsto, utilice indebidamente las herramientas o exceda sus permisos, exponga información sensible y permita que los errores se propaguen a lo largo de una secuencia de acciones. Estos riesgos pueden combinarse. Un agente podría consultar información que no debería utilizar, incluirla en un mensaje y enviarlo fuera de la institución.

Las alucinaciones de la IA, es decir, respuestas verosímiles pero incorrectas, siguen siendo motivo de preocupación. Lin describió una situación en la que un agente incluye información personal en un correo electrónico externo donde no debería aparecer. Se trataba de un ejemplo de un posible fallo, no de un incidente comunicado por una institución financiera.

La velocidad también cambia la escala potencial. Lin comparó a una persona que quizá gestiona un caso por hora con un agente que podría procesar 100. Ese ejemplo apunta a una diferencia de cien veces en el volumen procesado, no a un resultado de productividad medido. Su argumento era que los errores automatizados podrían propagarse a muchos casos antes de que interviniera el personal.

Gestionar la tarea, no solo la tecnología

La consulta organiza sus propuestas en torno a tres áreas: gobernanza de la seguridad, clasificación de riesgos y controles de seguridad. La unidad de gestión que propone es el escenario de aplicación, es decir, la tarea concreta que una institución quiere asignar a un agente, y no un producto de IA considerado de forma aislada.

Para cada escenario, la institución debería establecer el propósito comercial, el personal responsable, los datos permitidos, las herramientas disponibles y las acciones autorizadas. También debería determinar adónde pueden enviarse o incorporarse los resultados y qué hacer si el agente se comporta de manera anómala.

Este enfoque hace que un mismo software esté sujeto a distintos controles según la función que desempeñe. Un agente que analiza información de seguridad sin actuar es distinto de uno autorizado a modificar un sistema operativo. Por tanto, un cambio en los permisos puede ser tan importante como un cambio en el modelo subyacente.

La gobernanza iría más allá de una aprobación inicial. Las propuestas contemplan mecanismos de revisión, supervisión, inspección, limitación de capacidades, suspensión y recuperación acordes con el riesgo. La clasificación debería orientar los niveles de aprobación, las condiciones de prueba, las decisiones de implementación y la supervisión posterior, con reevaluaciones a medida que cambie la aplicación.

Cuatro niveles de riesgo, evaluados en tres ejes

La clasificación propuesta, del L1 al L4, utiliza tres ejes: la sensibilidad de los datos, el impacto de las acciones y los límites de capacidad o la posibilidad de que los efectos se propaguen. La evaluación se basa en el resultado de mayor riesgo, sin permitir que una característica de menor riesgo compense otra más peligrosa.

La sensibilidad de los datos se refiere a lo que el agente puede ver. El acceso a información pública es distinto del acceso a registros personales o secretos comerciales. El impacto de las acciones se refiere a lo que puede hacer con esa información, desde leerla hasta modificar registros o comunicarse con personas ajenas a la institución.

El tercer eje considera el alcance y la amplitud de su actividad. Un agente limitado a una sola tarea es distinto de uno que puede procesar lotes, funcionar de manera continua o avanzar por varios pasos conectados. Aquí se evalúa la posibilidad de que un error pequeño se convierta en un problema operativo de mayor alcance.

En las aplicaciones L4, la propuesta impediría que las acciones de alto riesgo se ejecutaran automáticamente sin la autorización o revisión necesaria, o sin mecanismos que las bloqueen. Las aplicaciones de menor riesgo tendrían más margen para realizar pruebas. La comisión afirma que su enfoque se basa en el riesgo, la proporcionalidad y la neutralidad tecnológica, y que toma como referencia marcos internacionales de seguridad.

El servicio al cliente muestra la importancia de los permisos

El ejemplo de Lin sobre el servicio al cliente ofrece una comparación práctica. Un agente que recopila quejas y prepara resúmenes se sitúa en un nivel de riesgo bajo o medio. Si también puede enviar respuestas a los clientes, Lin lo considera de riesgo medio o alto, porque puede actuar fuera de la institución.

La diferencia no radica simplemente en que ambas aplicaciones utilicen IA. En el primer caso, un empleado puede revisar el resumen antes de que afecte al cliente. En el segundo, el agente puede convertir su interpretación en una comunicación externa. El permiso para enviar el mensaje cambia las consecuencias de un error.

El permiso para escribir información establece otro límite. Un agente autorizado únicamente a leer no puede modificar los registros originales en virtud de ese permiso. Una vez que se le permite escribir, sus errores pueden modificar o eliminar información. Por tanto, los controles deben abordar tanto la calidad de los resultados como la integridad de los sistemas que utiliza.

El ejemplo también muestra por qué sería insuficiente asignar una única categoría a todo el programa de IA de una institución. Dos usos del mismo agente pueden necesitar condiciones de aprobación, supervisión y recuperación distintas debido a las diferencias en el acceso a los datos y las acciones permitidas.

Un empleado digital sigue necesitando supervisión humana

Lin describió al agente de IA como un empleado digital porque puede impulsar activamente una tarea. La analogía implica más que asignarle una función: la institución debe decidir qué puede hacer, probarlo antes de implementarlo, supervisar su actividad y contar con un procedimiento para detenerlo.

Al hablar de la responsabilidad por la implementación, Lin dejó claro que delegar una tarea a un agente no elimina la responsabilidad humana. En traducción al inglés, dijo:

«La IA solo puede ser un asistente; las personas son quienes supervisan en última instancia».

Este principio atribuye a las personas la responsabilidad de definir la autoridad del agente y responder ante los fallos. No se pueden eludir los controles de seguridad vigentes por el hecho de que intervenga un agente de IA. La institución necesita tanto una persona responsable de tomar decisiones como medios técnicos para hacer cumplir los límites que esa persona aprueba.

El enfoque de la comisión es más acotado que el uso de IA por parte de todos los empleados. Los asistentes personales que operan dentro de la autoridad existente de una persona pueden gestionarse mediante los controles internos y las medidas de seguridad actuales. Conectar un agente a los sistemas operativos de una institución financiera exige una nueva evaluación de riesgos y de seguridad de la información.

Los controles de identidad y acceso también se aplican al agente

Las propuestas de seguridad consideran al agente una identidad no humana y una carga de trabajo de software. En la práctica, la institución debe saber qué agente está actuando y qué permisos tiene. Su actividad no debería confundirse con la de otros usuarios o procesos automatizados.

El enfoque se basa en los principios de confianza cero: no se da por hecho que el acceso sea seguro solo porque un sistema esté dentro de la organización. Hay que verificar la identidad y los permisos, limitar el acceso a lo que requiere la tarea y permitir el rastreo de las acciones.

Los controles abarcan la identidad, los dispositivos y los entornos de ejecución, las redes, las aplicaciones y las cargas de trabajo, así como la protección de datos. Las propuestas incluyen requisitos de seguridad y objetivos de control básicos y avanzados. Los controles del comportamiento, la visibilidad y el análisis también forman parte del enfoque.

Lin expuso varias medidas concretas. Los agentes deberían funcionar en entornos con un nivel adecuado de aislamiento, las conexiones de red deberían restringirse según la tarea y las herramientas deberían limitarse a una lista aprobada. El acceso a los datos debería ajustarse al principio de mínimo privilegio. Estas medidas abordan distintas vías por las que un agente podría exceder su función prevista, en lugar de depender únicamente de las instrucciones dadas al modelo.

Las pruebas deben abarcar los fallos en todo el flujo de trabajo

Para las aplicaciones que pueden avanzar a lo largo de un flujo de trabajo, la consulta pide realizar pruebas antes de su implementación frente a la inyección de instrucciones, el uso indebido de herramientas, los permisos heredados y la contaminación de la memoria. Estas pruebas examinan cómo se comporta un agente cuando la información, las herramientas o la autoridad con las que interactúa lo apartan de la tarea aprobada.

La inyección de instrucciones ocurre cuando el material que lee un agente contiene instrucciones ocultas que intentan redirigir su comportamiento. El uso indebido de herramientas se refiere a la utilización inadecuada de software conectado. Los permisos heredados pueden dar a un agente acceso transferido desde otra cuenta o proceso, mientras que la contaminación de la memoria se produce cuando la información almacenada influye de forma no prevista en actividades posteriores.

Los objetivos operativos van más allá de prevenir fallos. Los sistemas deberían permitir la observación, la limitación o la detención, la recuperación y el rastreo. El personal necesita poder ver qué hace un agente, interrumpir actividades perjudiciales y restablecer las operaciones afectadas cuando sea posible.

Los registros de la actividad del agente deberían facilitar la investigación y la auditoría. Detener un agente no basta para resolver un fallo si ya ha escrito información incorrecta o ha activado otras acciones. Por eso, las propuestas vinculan la interrupción con la recuperación y el registro de lo ocurrido.

Una consulta, no una norma definitiva de implementación

La comisión publicó el documento en la sección de debate público de la Plataforma de Participación en Políticas Públicas de Taiwán. Afirma que la consulta permitirá incorporar experiencias prácticas al marco y sentará las bases para el trabajo en materia de políticas, posibles directrices y conversaciones sobre supervisión.

Lin dijo que el rápido cambio tecnológico era una de las razones para no emitir de inmediato una directriz fija. La comisión tampoco puede dar por sentado que ya ha identificado todos los riesgos pertinentes. Por eso, su intención de elaborar directrices depende de los comentarios recibidos y de la evolución de la tecnología; no es un compromiso de publicar un documento definitivo en una fecha determinada.

La comisión describió la siguiente secuencia:

• Julio de 2026: La FSC propuso estrategias para responder a los ataques con IA, que Lin describió como un antecedente del trabajo actual.
• 13 de octubre de 2026: La FSC publicó el documento de consulta sobre la seguridad de la IA agéntica.
• Tras la publicación: Un periodo de 30 días permite presentar comentarios sobre el enfoque propuesto.
• Después de la consulta: La posible publicación de directrices formales dependerá de los comentarios recibidos y de la evolución tecnológica; no se ha anunciado un calendario.

Las pruebas actuales ayudan a explicar el momento elegido. Lin dijo que muchos experimentos se realizaban en ciberseguridad, por ejemplo, para analizar información de inteligencia sobre amenazas sin ejecutar directamente acciones operativas. La comisión quiere que las salvaguardias estén listas antes de que los agentes se incorporen más a los procesos administrativos y comerciales. El siguiente paso concreto es la consulta; la redacción final y el estatus de cualquier directriz siguen sin decidirse.

Puntos clave

• La FSC de Taiwán abrió el 13 de octubre de 2026 una consulta de 30 días sobre el uso seguro de la IA agéntica en las finanzas.
• El enfoque está en los agentes que pueden conectarse a los sistemas operativos de las instituciones financieras, utilizarlos o activar acciones en ellos.
• La propuesta establece cuatro niveles de riesgo, evaluados según la sensibilidad de los datos, el impacto de las acciones y los límites de capacidad.
• Las acciones de mayor riesgo requieren la autorización o revisión necesaria, o mecanismos que impidan su ejecución.
• Las instituciones deberían limitar los permisos, conservar registros de actividad y poder detener a los agentes y recuperarse de los fallos.
• La responsabilidad humana se mantiene incluso cuando un agente de IA realiza la tarea.
• La mayoría de los usos siguen en fase experimental. El documento no es una directriz formal y no se ha fijado un calendario para publicarla.