O Banco Central Europeu (BCE) adotou uma posição firme. Em carta enviada aos CEOs dos 110 bancos que supervisiona diretamente, a presidente do Conselho de Supervisão, Claudia Buch, exige que os bancos apresentem, até 31 de outubro, um plano detalhado para mitigar os riscos de cibersegurança decorrentes da inteligência artificial (IA). A carta, descrita como tendo um tom "excepcionalmente urgente", estabelece essa tarefa como "prioridade absoluta" e atribui a responsabilidade diretamente aos órgãos de gestão, e não apenas às equipes técnicas.
A razão para tamanha urgência reside no surgimento de modelos de IA de última geração, como o Mythos, desenvolvido pela empresa americana Anthropic. Segundo Buch, esses sistemas são capazes de identificar vulnerabilidades de software em uma velocidade sem precedentes, reduzindo drasticamente o tempo entre a descoberta de uma falha e sua exploração generalizada . O supervisor alerta que esse não é um risco passageiro, mas sim "uma mudança estrutural no cenário de ameaças".
A ameaça do Mythos e a resposta coordenada das instituições europeias.
Em abril, a Anthropic reconheceu que o Mythos possui capacidades de programação tão avançadas que a empresa decidiu vetar seu lançamento para o público em geral. Apenas um pequeno grupo de gigantes da tecnologia e das finanças, como Amazon, Google, Microsoft e JPMorgan Chase, tem acesso ao modelo por meio do Projeto Glasswing. A Casa Branca chegou a proibir temporariamente seu uso por estrangeiros por motivos de segurança nacional , embora a proibição tenha sido suspensa no início de julho devido ao surgimento da concorrência chinesa, como o modelo da Zhipu AI.
Nesse contexto, o Conselho Europeu de Risco Sistémico (ESRB) elevou o risco de ciberataques sistémicos de "alto" para "grave". Em comunicado, o organismo alerta que os modelos de IA mais avançados "dão aos cibercriminosos uma vantagem", permitindo-lhes descobrir vulnerabilidades e executar ataques com maior rapidez, escala e sofisticação . O ESRB observa ainda que a concentração de fornecedores de IA fora da UE expõe o bloco à dependência estratégica e a riscos geopolíticos, e, por conseguinte, apela a uma resposta coordenada que envolva bancos, empresas de segurança e programadores de software.
Três linhas de defesa e prazos apertados para os bancos.
A carta do BCE não é excessivamente prescritiva, mas destaca três áreas-chave que os bancos devem reforçar. A primeira é a "segurança desde a concepção": impedir que o software apresente vulnerabilidades desde o início . A segunda é corrigir quaisquer vulnerabilidades que surjam o mais rapidamente possível através de atualizações, reduzindo drasticamente o tempo de correção para dias, e não meses. A terceira é ter defesas robustas implementadas, incluindo sistemas de detecção de intrusões, protocolos para isolar sistemas comprometidos e a capacidade de restaurar rapidamente as operações.
Grandes bancos espanhóis, como o Santander e o BBVA, devem apresentar seus planos às Equipes Conjuntas de Supervisão (JSTs) até 31 de outubro, restando menos de quatro meses para elaborar, aprovar e documentar as estratégias que, posteriormente, precisarão ser ratificadas por seus conselhos de administração. O BCE decidiu adiar a coleta anual do Questionário de Risco Tecnológico para fevereiro de 2027, para que os bancos possam concentrar seus recursos nessa prioridade. Além disso, o supervisor alerta que utilizará todos os instrumentos à sua disposição, incluindo possíveis multas ou sobretaxas de capital, caso detecte deficiências graves.
Buch também destacou que outras tecnologias emergentes, como a computação quântica, terão um impacto significativo na cibersegurança, embora, por ora, o foco esteja na IA. "Embora esses avanços não introduzam riscos totalmente novos, eles amplificam significativamente a velocidade e a escala com que se materializam ", alerta o presidente do Conselho de Supervisão. Os bancos europeus, portanto, enfrentam um grande desafio: proteger-se contra uma ameaça que evolui mais rápido do que seus próprios departamentos de tecnologia, numa corrida contra o tempo.