Los agentes de inteligencia artificial ya pueden entrar en algunas cuentas bancarias cuando sus titulares les facilitan el acceso para consultar información o actuar en su nombre. El riesgo no se limita a un ciberataque: también preocupa que una herramienta autorizada interprete mal una instrucción, mueva dinero sin que el cliente lo pretendiera o resulte difícil de distinguir de una persona.
Por eso, varias entidades estadounidenses están bloqueando o limitando estos servicios y preparando respuestas para recuperar el control de una cuenta si algo sale mal. La discusión no consiste solo en decidir si la IA puede acceder, sino en determinar qué permisos recibe y quién se hace responsable de sus acciones.
Cuando el cliente abre la puerta a un agente
El escenario que inquieta a los bancos no es necesariamente el de un intruso que rompe las defensas de una entidad. Según la información publicada por Axios, algunos usuarios entregan sus credenciales a agentes de IA para que estos realicen tareas por ellos. El titular puede haber autorizado el acceso, pero eso no significa que el método sea compatible con las condiciones de su banco ni que resulte seguro.
La diferencia importa. En un ataque tradicional, alguien obtiene acceso sin permiso. En este caso, el usuario puede facilitarlo deliberadamente a una herramienta que luego interactúa con la cuenta. La autorización del cliente, por tanto, no resuelve todas las dudas: todavía hay que saber qué puede hacer el agente, cómo interpreta las instrucciones y si la entidad permite ese tipo de conexión.
JPMorgan ha explicado que bloquea, cuando puede, servicios que operan mediante el intercambio de credenciales. La entidad considera insegura esa práctica. El problema no es únicamente que una contraseña quede expuesta: al compartir el acceso, el cliente puede estar dando a un tercero una vía para consultar o gestionar información financiera, sin que el banco pueda identificar con claridad quién está detrás de cada acción.
Consultar el saldo no es lo mismo que mover dinero
El nivel de riesgo depende en buena medida de los permisos concedidos. Un agente con acceso de solo lectura puede consultar información, pero no debería tener capacidad para ejecutar operaciones. En cambio, si puede hacer compras o transferir fondos, una instrucción ambigua o mal interpretada podría producir una consecuencia económica concreta.
Los ejecutivos bancarios citados por Axios ponen el foco precisamente en esa posibilidad: que el agente no se limite a observar, sino que tenga autoridad para actuar. La preocupación no implica que todos los agentes vayan a cometer errores ni que ya se haya demostrado que realizan operaciones por iniciativa propia. Sí refleja que, cuando una herramienta puede ejecutar acciones financieras, una equivocación deja de ser un simple fallo de respuesta.
También se han comunicado casos en los que algunos agentes contactaron con centros de atención o realizaron acciones que parecían independientes de las instrucciones del usuario. La información disponible no permite concluir que actuaran realmente por su cuenta. Esa cautela es esencial: una conducta que parece autónoma podría responder a una instrucción previa, a una interpretación inesperada o a una limitación técnica. La incertidumbre, sin embargo, complica la gestión del riesgo.
El banco puede reconocer las credenciales, pero no quién las usa
Una contraseña válida no siempre aclara quién está operando. Si un agente utiliza las credenciales del titular, para los sistemas del banco la actividad puede parecer la de esa persona. Varias fuentes bancarias consultadas por Axios señalaron que no siempre pueden diferenciar entre una acción humana y otra ejecutada por una herramienta de IA, ni confirmar con seguridad que el agente esté siguiendo una orden legítima.
Esto plantea una cuestión distinta de la autenticación habitual. No basta con verificar que el acceso emplea datos correctos: también importa identificar quién toma cada decisión y qué autoridad tiene. En una interacción directa, el cliente puede revisar una operación antes de confirmarla. Con un agente, parte de ese proceso se delega, y la entidad puede tener menos visibilidad sobre la instrucción que originó la acción.
La dificultad afecta tanto a la prevención como a la respuesta ante un problema. Si una operación resulta inesperada, el banco y el cliente necesitan reconstruir si la ejecutó la persona, una herramienta a la que concedió acceso o un tercero que obtuvo las credenciales. La información disponible no detalla qué procedimientos concretos emplea cada entidad para resolver esos casos, pero sí muestra por qué la atribución de acciones se ha convertido en una preocupación central.
Qué medidas están tomando los bancos de Estados Unidos
Algunas entidades están restringiendo el acceso de agentes de terceros. Según Axios, Morgan Stanley ha comenzado a bloquearlos, mientras que JPMorgan, Bank of America y Citi también están imponiendo limitaciones. Estas decisiones no significan necesariamente que toda función de IA quede excluida de la banca: el foco descrito está en herramientas externas que acceden a cuentas o actúan utilizando las credenciales del cliente.
Wells Fargo ha incorporado expresamente los agentes de IA en las condiciones de acceso en línea que entrarán en vigor el 24 de noviembre, según la información citada. El documento contempla posibles acciones no deseadas, errores al interpretar instrucciones y situaciones en las que un agente exceda la autoridad que el usuario le concedió. La inclusión de esos supuestos muestra que las entidades empiezan a tratar la delegación a sistemas automatizados como un asunto contractual y operativo, no solo tecnológico.
Además de bloquear herramientas, varios bancos están considerando qué hacer después de un incidente. Las fuentes consultadas por Axios describen planes para los peores escenarios y para el llamado “día después”: medidas destinadas a asegurar o restaurar con rapidez el acceso del cliente a su cuenta. Tener un plan de recuperación resulta relevante porque limitar el riesgo antes de que ocurra un problema no siempre basta para resolver las consecuencias de una acción equivocada o de una cuenta comprometida.
El acceso de solo lectura como punto intermedio
La alternativa de solo lectura permite consultar datos sin dar al agente capacidad para realizar operaciones. Varias entidades ya permiten o avanzan hacia este tipo de acceso, de acuerdo con la información de Axios. No elimina todos los riesgos asociados a compartir información financiera, pero reduce la posibilidad de que una herramienta convierta directamente una instrucción en una compra o una transferencia.
La diferencia puede expresarse como una escala de permisos: primero, no conceder acceso; después, permitir únicamente la consulta; y, por último, autorizar acciones que afectan al dinero. Cuanto mayor sea la capacidad delegada, más importante resulta comprender qué puede hacer el agente y cómo se comprueba que se mantiene dentro de los límites establecidos. La fuente no ofrece un estándar común para todos los bancos ni detalla qué controles debería incluir cada sistema.
Una amenaza distinta: agentes usados por ciberdelincuentes
La entrada de agentes en cuentas de clientes no debe confundirse con el uso de IA por parte de atacantes. Son dos problemas diferentes. En el primer caso, el titular puede haber permitido el acceso a una herramienta, aunque el banco cuestione el método o el alcance de los permisos. En el segundo, los agentes forman parte de una operación ofensiva organizada por ciberdelincuentes.
Una investigación de The Information, reconstruida por la firma Straiker, señaló que el grupo CyberCartel recurrió a varios agentes de IA para automatizar operaciones contra más de 400 objetivos financieros latinoamericanos. Según ese trabajo, modelos de Claude coordinaban tareas y agentes basados en Grok intervenían en la recopilación de información.
La información citada no describe en detalle todos los métodos empleados ni permite concluir que cada objetivo sufriera el mismo tipo de intrusión. Sí aporta un ejemplo concreto de cómo los agentes pueden integrarse en una operación criminal para coordinar tareas o reunir datos. Por eso, la respuesta de los bancos tiene que contemplar tanto el acceso delegado por los propios clientes como las amenazas externas, sin confundirlas.
Qué debería valorar una persona antes de dar acceso
La decisión de permitir que un agente gestione una cuenta depende de las capacidades concretas que se le concedan y de las reglas de la entidad. La información disponible no establece una lista universal de medidas, pero sí permite identificar preguntas prácticas que conviene resolver antes de conectar una herramienta:
- ¿El banco permite ese acceso? Compartir credenciales puede entrar en conflicto con las condiciones de la entidad, incluso si el titular ha dado su consentimiento al agente.
- ¿Puede operar o solo consultar? El acceso de solo lectura limita la capacidad de realizar compras o mover fondos frente a un permiso transaccional.
- ¿Qué instrucciones puede recibir? Hay que entender qué autoridad se delega y qué ocurre si el sistema interpreta una orden de forma distinta a la esperada.
- ¿Cómo se recupera el control? Conviene conocer cómo se puede revocar el acceso o restablecer la cuenta si la herramienta deja de comportarse como se esperaba. La fuente no detalla un procedimiento común entre bancos.
Estas preguntas no garantizan que un agente sea seguro, pero ayudan a distinguir entre una herramienta que muestra información y otra que puede tomar decisiones con consecuencias financieras. También permiten detectar si el riesgo surge de la tecnología, de los permisos concedidos o de las condiciones de acceso de la entidad.
La banca no parece encaminada a cerrar la puerta por completo
El sector asume que algunos clientes querrán seguir usando agentes de IA, según las fuentes citadas por Axios. Por eso, el debate no parece limitarse a expulsarlos de todos los servicios bancarios. El acceso de solo lectura apunta a una posible fórmula intermedia: permitir ciertas consultas y restringir las acciones que pueden afectar directamente al dinero.
El desafío será establecer hasta dónde llega la delegación. Para el cliente, significa decidir cuánto control está dispuesto a ceder. Para el banco, implica distinguir una actividad legítima de una sospechosa y responder cuando no está claro si una acción fue ordenada por la persona o generada por su agente. Para quienes desarrollan estas herramientas, supone demostrar que pueden seguir instrucciones dentro de límites definidos, aunque la información disponible no permite afirmar que exista ya una solución compartida por toda la industria.
Los bancos, por tanto, afrontan dos frentes: administrar el acceso que los usuarios conceden a agentes externos y prepararse para operaciones criminales que también incorporan IA. Mientras no sea sencillo identificar quién actúa y qué instrucciones está siguiendo, limitar los permisos y planificar la recuperación de una cuenta seguirán siendo elementos centrales de la respuesta.
Preguntas frecuentes
¿Qué bancos están restringiendo el acceso de agentes de IA?
Según la información citada por Axios, Morgan Stanley ha empezado a bloquear agentes de terceros. JPMorgan, Bank of America y Citi también están imponiendo restricciones. Wells Fargo ha incluido estos sistemas en las condiciones de acceso en línea que entrarán en vigor el 24 de noviembre.
¿Cuáles son los agentes de IA más utilizados?
La información disponible no ofrece un ranking de los agentes más utilizados. En la investigación sobre operaciones de CyberCartel se mencionan modelos de Claude y agentes basados en Grok, pero eso no permite establecer cuáles son los más populares entre los usuarios o en el sector bancario.
¿Cuáles son los principales ataques cibernéticos que afectan a los bancos?
La fuente no presenta una lista general de ataques bancarios. Sí describe dos riesgos relacionados con agentes: el acceso a cuentas mediante credenciales facilitadas por clientes y el uso de sistemas de IA en operaciones de ciberdelincuentes, como la atribuida a CyberCartel contra más de 400 objetivos financieros latinoamericanos.
¿Qué diferencia hay entre acceso de solo lectura y acceso para operar?
El acceso de solo lectura permite consultar información sin realizar operaciones. Un permiso más amplio puede permitir compras o movimientos de fondos, lo que aumenta las consecuencias potenciales de una instrucción mal interpretada o de una acción no deseada.
¿Qué va a pasar en el futuro con la inteligencia artificial en la banca?
La información citada apunta a que los clientes seguirán queriendo usar agentes y que algunas entidades estudian o permiten accesos limitados, como la consulta de datos. No permite anticipar una solución definitiva: el sector todavía debe resolver cómo controlar los permisos, reconocer quién ejecuta cada acción y recuperar rápidamente el acceso si algo sale mal.
