Banco Central Europeu dá aos maiores bancos da zona euro até ao fim de outubro para explicarem como vão reforçar as medidas de cibersegurança face a sistemas de IA cada vez mais avançados
Supervisor bancário de topo da zona euro, o BCE, instou esta terça-feira os principais bancos europeus a prepararem planos de ação para enfrentar os riscos de cibersegurança associados a sistemas de inteligência artificial cada vez mais poderosos.
PUBLICIDADE
PUBLICIDADE
O aparecimento de modelos de IA como o Mythos, da Anthropic, particularmente eficaz a identificar vulnerabilidades em sistemas informáticos, suscitou preocupações entre governos e decisores políticos europeus.
Conselho de Supervisão do BCE enviou uma carta aos 110 bancos que supervisiona diretamente, defendendo que os mais recentes modelos de IA representam «uma mudança estrutural no panorama das ameaças, mais do que um fenómeno temporário».
«Embora estes desenvolvimentos não introduzam riscos totalmente novos, aumentam de forma significativa a velocidade e a escala com que esses riscos se materializam», escreveu Claudia Buch, presidente do Conselho de Supervisão do BCE.
BCE pede aos principais bancos, incluindo o Deutsche Bank, o BNP Paribas e o Santander, que apresentem até 31 de outubro um plano com as medidas imediatas e de mais longo prazo que tencionam adotar para reforçar a sua resiliência a ciberataques.
Segundo o BCE, os planos devem dar prioridade a uma gestão mais rápida de vulnerabilidades e atualizações de software, a sistemas de monitorização e deteção mais robustos com recurso a IA e a uma análise mais apertada dos fornecedores tecnológicos externos e dos riscos nas cadeias de fornecimento.
Estas ações, sublinha o BCE, têm de ser dirigidas a partir dos níveis mais elevados destas instituições.
Para dar aos bancos mais tempo para se concentrarem nesta nova ameaça, o BCE indicou que adiaria o seu Questionário Anual de Risco de TI de setembro de 2026 para fevereiro de 2027 e que ponderaria ajustar outras atividades de supervisão caso a caso.
Após o prazo, o BCE vai analisar o plano de cada banco, discutir o documento com cada instituição e realizar uma análise horizontal para identificar fragilidades comuns e boas práticas em todo o setor bancário.
A carta referia ainda outras tecnologias emergentes, incluindo a computação quântica, que, acrescenta, «terá um impacto significativo no panorama da cibersegurança». O BCE indicou que abordará os riscos associados à computação quântica numa carta separada «em momento oportuno».
Risco cibernético sistémico passa a «grave»
Medida do Conselho de Supervisão surge acompanhada de um alerta do Conselho Europeu do Risco Sistémico (ESRB), o organismo da UE responsável por acompanhar os riscos financeiros sistémicos.
ESRB alertou esta terça-feira para «riscos cibernéticos sistémicos decorrentes de modelos de inteligência artificial de vanguarda».
Alerta surge na sequência da decisão, tomada em junho pelo Conselho Geral do ESRB, de subir a avaliação do risco cibernético sistémico de «elevado» para «grave», face à classificação de março.
Autoridade de supervisão considera que os modelos de IA de vanguarda representam uma «mudança de paradigma» na cibersegurança e se tornaram uma fonte de risco sistémico para o sistema financeiro da UE. Segundo a mesma fonte, «a IA já está a ser utilizada por agentes maliciosos para potenciar ciberataques».
ESRB advertiu que a IA pode reduzir de forma drástica o tempo de que os bancos dispõem para identificar e corrigir vulnerabilidades de software antes de serem exploradas, aumentando o risco de incidentes cibernéticos simultâneos em todo o setor financeiro.
ESRB alertou ainda que a concentração dos principais desenvolvedores de modelos avançados de IA fora da União Europeia expõe o bloco a dependências estratégicas e a riscos geopolíticos.
A Anthropic, um dos principais desenvolvedores de IA a nível mundial, tem vindo a criar modelos de IA de vanguarda cada vez mais capazes. A empresa reteve inicialmente a versão completa do Mythos, por receio de que pudesse ser utilizada para identificar vulnerabilidades de software e apoiar piratas informáticos, antes de lançar, no mês passado, uma versão pública com mecanismos de segurança integrados.