ESMA, EBA e EIOPA alertam que os modelos de IA mais avançados já conseguem identificar e explorar vulnerabilidades informáticas em prazos muito curtos, ameaçando a resiliência operacional do sector financeiro europeu
Os três supervisores financeiros europeus — a Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA), a Autoridade Bancária Europeia (EBA) e a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) — emitiram um comunicado conjunto a apelar às entidades financeiras europeias para reforçarem as suas capacidades de lidar com riscos e ataques relacionados com novos modelos de Inteligência Artificial (IA) mais avançados.
“Para reforçar a mitigação de riscos, promover uma abordagem de supervisão coordenada e garantir condições de concorrência equitativas em toda a UE”, sublinham os reguladores, “as entidades financeiras, tendo em conta as expectativas das respectivas autoridades de supervisão, [devem] ajustar os processos, procedimentos e controlos de gestão de riscos das TIC de acordo com as seguintes três estratégias de mitigação de riscos: i) prevenção; ii) detecção; iii) gestão”.
O comunicado conjunto das três autoridades europeias de supervisão (ESA, na sigla inglesa) surge poucas semanas depois de o Comité Europeu do Risco Sistémico (ESRB) ter emitido um alerta sobre os riscos cibernéticos sistémicos representados pelos chamados “modelos de IA de fronteira” (frontier AI models) — a designação usada para os sistemas de inteligência artificial mais avançados actualmente disponíveis. As três autoridades manifestaram apoio expresso a esse aviso, sublinhando que os avanços recentes destes modelos “melhoraram significativamente a sua capacidade de identificar e explorar vulnerabilidades de elevada gravidade em sistemas informáticos, em prazos de tempo muito curtos”.
Segundo as autoridades, embora o quadro regulatório da União Europeia — nomeadamente o Regulamento sobre a Resiliência Operacional Digital (DORA) e o Regulamento da IA (AI Act) — forneça uma base sólida para gerir os riscos cibernéticos e associados à IA, a velocidade e a escala destas novas ferramentas levantam sérias preocupações quanto à possibilidade de ataques cibernéticos potenciados por IA virem a comprometer a resiliência operacional das entidades financeiras.
Uma abordagem transversal a bancos, seguradoras e mercados de capitais
O comunicado apela a uma abordagem de supervisão transversal, baseada no risco e consistente em todos os sectores financeiros — bancário, segurador e dos mercados de valores mobiliários —, tendo em conta as exigências regulatórias já existentes, o Plano de Acção da Comissão Europeia sobre Cibersegurança e Inteligência Artificial, bem como publicações recentes de outras entidades relevantes, como a Agência da União Europeia para a Cibersegurança (ENISA) e o Mecanismo Único de Supervisão (SSM), que integra o Banco Central Europeu.
As três autoridades já tinham sinalizado esta preocupação anteriormente, no primeiro relatório anual sobre incidentes graves relacionados com as TIC no sector financeiro europeu, elaborado ao abrigo do próprio regulamento DORA — documento que mostrava que os riscos ligados às tecnologias de informação e comunicação são cada vez mais transfronteiriços e interligados, exigindo respostas coordenadas entre diferentes países e autoridades de supervisão.
Um sector que já opera sob forte pressão regulatória
O apelo desta semana insere-se numa estratégia mais ampla de reforço da resiliência digital do sector financeiro europeu, que tem sido uma das prioridades centrais da ESMA, da EBA e da EIOPA nos últimos dois anos, num contexto em que o próprio Comité Conjunto das três autoridades já tinha alertado, em relatórios anteriores, para os desafios colocados à estabilidade financeira pelas tensões geopolíticas e pelo aumento dos riscos cibernéticos a nível global. Com este novo comunicado, as autoridades europeias convidam ainda as autoridades nacionais competentes a reflectir estas preocupações nas suas próprias actividades de supervisão, num esforço para garantir que a resposta regulatória acompanhe o ritmo acelerado de desenvolvimento dos modelos de IA mais avançados — e não fique, como tantas vezes acontece com a regulação tecnológica, permanentemente um passo atrás das ameaças que pretende combater.