El 10 de junio, el Financial Stability Board publicó un informe para consulta pública sobre la adopción responsable de la IA, en el que establece doce buenas prácticas para las instituciones financieras. El período para presentar comentarios cerró el 22 de julio. Se espera que la versión final se publique en octubre.
Vale la pena leerlo por razones que van más allá del calendario de compliance. El FSB se ocupa de aclarar que el documento no crea un nuevo estándar internacional ni prescribe un enfoque específico para la adopción de IA. Lo que ofrece es una descripción particularmente concreta de lo que una institución debería poder demostrar sobre un sistema de IA que ya está funcionando en producción, escrita para consejos de administración y alta dirección, y no únicamente para los equipos de riesgo de modelos.
Para las instituciones de América Latina, el momento es más relevante que en otras regiones. El Banco Central de Brasil incluyó el estudio de los riesgos e impactos de la IA en su agenda regulatoria 2025/2026 y ha señalado que las reglas formales no llegarán antes de finales de 2026. Esto deja varios trimestres en los que el toolkit del FSB es la referencia más detallada disponible, y en los que las instituciones que lo utilicen como insumo de diseño serán las que ya tengan las evidencias reunidas cuando la supervisión local avance.
Esta edición analiza qué exigen realmente las doce prácticas, especialmente las partes pensadas para sistemas agénticos, y qué necesita tener implementada una operación para responderlas sin tener que reconstruir su historial.
Referencias: FSB, Sound Practices for Responsible Adoption of Artificial Intelligence (informe para consulta pública), junio de 2026; Banco Central do Brasil, Agenda de Prioridades Regulatorias 2025/2026.
IA en Finanzas: qué te pide demostrar el toolkit
Las doce prácticas están organizadas en tres bloques. Las primeras cuatro abordan la gobernanza a nivel de toda la organización. Las prácticas cinco a diez cubren la gestión de riesgos a lo largo de las etapas de desarrollo e implementación de la IA. Las dos últimas se ocupan de los riesgos cibernéticos, de TIC y de terceros.
En todas ellas aparecen de forma transversal la proporcionalidad, la responsabilidad clara, la gobernanza de datos, la explicabilidad y la supervisión humana.
La sección sobre IA agéntica es la que probablemente tendrá mayor impacto en la configuración de una operación en producción. El informe describe medidas que las instituciones ya están adoptando: asignar identificadores individuales a los agentes de IA, restringir su capacidad para interactuar con sistemas externos sin aprobación humana y establecer controles sobre la ejecución de transacciones financieras, especialmente cuando involucran fondos de clientes.
Estas son decisiones de configuración, no declaraciones de política. Una institución que ya sabe qué versión de qué agente gestionó una determinada conversación, a qué endpoints externos podía acceder esa versión y quién aprobó su publicación ya tiene gran parte del trabajo resuelto.
Una operación cuyos agentes funcionan como una flota indiferenciada detrás de la API de un proveedor pasará el cuarto trimestre reconstruyendo ese historial a partir de logs y cadenas de emails.
Los riesgos que el FSB enumera son conocidos por cualquiera que haya llevado un proyecto de IA a un comité de riesgos: una dependencia creciente de un pequeño número de proveedores externos, comportamiento de mercado correlacionado, exposición cibernética, riesgo de modelo, calidad de los datos y brechas de gobernanza.
A esto se suman cuestiones de conducta y protección al consumidor, incluidas las recomendaciones inadecuadas y la dificultad práctica de supervisar un proceso que nadie observa de principio a fin.
La dirección también es consistente en otras jurisdicciones. En mayo, el Bank of England, la FCA y HM Treasury publicaron una declaración conjunta sobre modelos de frontera y resiliencia cibernética que no añadió nuevas reglas, pero reforzó las expectativas existentes sobre gobernanza, gestión de vulnerabilidades y riesgo de terceros.
Los supervisores regionales están leyendo las mismas señales. El Comité de Estabilidad Financiera de Brasil ha señalado modelos de IA capaces de explorar vulnerabilidades en el sistema financiero y ha indicado interés en una colaboración coordinada entre los sectores público y privado para desarrollar usos defensivos de la misma tecnología.
Hay un contrapunto importante a la idea de que la gobernanza hace más lentas a las instituciones. El primer Evident AI Index for Banks in Latin America, publicado a finales de julio, sitúa a Nubank, Itaú Unibanco, Bradesco y Banco do Brasil en las cuatro primeras posiciones entre las veinte instituciones evaluadas, con siete nombres brasileños dentro de la muestra.
Nubank se destaca por la densidad de talento, con más del 5% de su plantilla en funciones relacionadas con IA, aproximadamente tres veces el promedio regional. Itaú tiene el mayor número absoluto de profesionales de IA de la muestra y es reconocido por sus inversiones en gobernanza y controles de uso responsable.
Bradesco ha ampliado su capacidad interna mediante su plataforma Bridge y los asistentes BIA, mientras que los análisis crediticios apoyados por IA habrían contribuido a más de R$1.000 millones en ingresos adicionales. Banco do Brasil tenía más de 2.000 soluciones de IA en producción durante el primer trimestre, abarcando machine learning, IA generativa y agentes autónomos.
Las instituciones que tienen más IA en producción también son las que tienen más gobernanza alrededor de ella. Escala y control llegaron juntos. Y ese es el hallazgo más interesante del índice.
Una forma práctica de comprobar la preparación antes de octubre: elige una fecha de hace tres meses y una interacción específica con un cliente.
¿Puede la operación decir qué versión del agente estaba activa, cuáles eran sus instrucciones, a qué sistemas externos podía acceder, dónde se eliminaron o enmascararon los datos personales, qué ocurrió cuando falló el modelo principal y quién aprobó la versión que estaba funcionando?
Si reunir esas respuestas requiere una semana de trabajo de ingeniería, la brecha está en la plataforma, no en la política.
Referencias: FSB, informe para consulta pública, junio de 2026; Freshfields, AI in financial services: emerging regulatory expectations, junio de 2026; Bloomberg Professional Services, Global Regulatory Brief, julio de 2026; Evident AI Index for Banks in Latin America, julio de 2026; Banco Central do Brasil, actas del Comef, 2026.
Producto Coru®: ADI Platform
La mayor parte de lo que el FSB describe como buena práctica tiene que existir en la capa donde los agentes se construyen, publican y monitorean. ADI Platform, desarrollada por Coru®, fue diseñada precisamente para actuar en esa capa.
Identidad y aislamiento. Cada agente pertenece a una organización y, cuando corresponde, a un cliente de esa organización, con aislamiento entre tenants aplicado en el servidor. El acceso de los operadores utiliza permisos granulares basados en roles, con logs de auditoría. Así, la pregunta “¿quién cambió qué y cuándo?” tiene una respuesta que no depende de la memoria de nadie.
Versionado como proceso de release. Cualquier edición convierte al agente en un borrador. Los cambios son visibles antes de guardarlos; la publicación genera una versión numerada; y las versiones pueden compararse lado a lado o revertirse inmediatamente.
Los cambios sensibles pueden implementarse como canary release para un porcentaje del tráfico mientras se monitorean las métricas. Este es el mecanismo que convierte la pregunta “¿qué versión estaba activa en esa fecha?” en una consulta y no en una investigación.
Guardrails en dos capas. Una capa obligatoria, que no puede desactivarse, cubre prompt injection, el bloqueo de la exfiltración de datos personales y la detección de señales de crisis de salud mental, con una alerta operativa.
Una capa configurable permite que cada institución determine qué filtros aplicar y con qué nivel de rigurosidad, incluido un foco temático que mantiene la conversación dentro de los temas autorizados, con una respuesta definida o una derivación automática a un humano en cada límite.
Aprobación humana sobre lo que un agente puede alcanzar. Las acciones externas se declaran explícitamente: herramientas del sistema, como transferencia a un humano y finalización de la llamada; integraciones HTTP con los sistemas de la institución; y servidores MCP habilitados para ese cliente.
Lo que un agente puede tocar fuera de la conversación es una lista enumerada y revisable, no una propiedad emergente de un prompt.
Trazabilidad de cada interacción. Transcripciones completas, resúmenes generados por IA al cierre, campos de extracción definidos para cada conversación, eventos de webhook firmados y dashboards que cubren operación de agentes, costos y seguridad.
La evidencia que un supervisor podría solicitar se acumula como consecuencia natural de la operación, sin necesidad de un proyecto separado de exportación.
Concentración de terceros y continuidad. La orquestación de modelos es independiente del proveedor, con modelos de fallback configurados en orden cuando falla el principal.
El despliegue puede ser compartido en un entorno multi-tenant o dedicado en una nube específica para cada institución, con una arquitectura multicloud por diseño y una observabilidad que puede separarse hacia otra región o proveedor.
Las prácticas once y doce del toolkit del FSB tratan, en gran medida, este tipo de dependencia.
Gestionado o self-service, la misma plataforma. Las instituciones que prefieren que Coru® construya y opere sus agentes tienen este ciclo gestionado. Las instituciones que desean construir sus propios agentes utilizan la misma plataforma, los mismos controles y el mismo historial de auditoría, sin lock-in.
Coru Weekly Picks
Película recomendada: Margin Call (2011)
Una sola noche dentro de un banco de inversión, mientras un resultado analítico recorre el camino desde el equipo que lo produjo hasta las personas con autoridad para actuar sobre él.
La película es especialmente precisa al mostrar la escalada de decisiones: qué entiende cada nivel, qué se simplifica a medida que la información sube y cuánto depende de que alguien en la cadena pueda explicar el resultado que se le está pidiendo aprobar.
Todo lo que el FSB plantea sobre responsabilidad y supervisión humana resulta más fácil de operacionalizar después de ver una versión ficticia de este proceso fallar.
Libro recomendado: The Checklist Manifesto, Atul Gawande
Gawande analiza qué sucede en trabajos complejos y de alto riesgo cuando existe abundante conocimiento especializado, pero falta consistencia.
Su argumento es que las prácticas documentadas, aplicadas en momentos definidos, superan al juicio individual bajo presión, y que la resistencia a ellas suele estar más relacionada con la identidad profesional que con la evidencia.
Las doce buenas prácticas de un organismo internacional serán percibidas como un ejercicio burocrático o como una disciplina operativa. La diferencia se acerca mucho a lo que este libro describe.
Entre ahora y octubre hay tiempo para construir la evidencia en lugar de construir la explicación.
Las instituciones que utilicen el período de consulta como una especificación descubrirán que el informe final describe algo que ya tienen funcionando.
En Coru, no solo construimos tecnología; construimos contexto. Entendemos que, en América Latina, la inteligencia financiera es inseparable de la precisión cultural del mercado local.
Al combinar IA a escala global con precisión para los mercados locales, ayudamos a tu operación a transformar datos complejos en acciones decisivas y rentables.
Explora más en coru.com