“Los datos pueden estar encriptados y aun así estar expuestos”: advierten que avance de IA obliga a reforzar la seguridad bancaria

La acelerada adopción de inteligencia artificial (IA) abre nuevas oportunidades para el negocio financiero, pero también está modificando los riesgos asociados al manejo de uno de los activos más sensibles de la banca: los datos de sus clientes.

El desafío ya no pasa solamente por mantener la información encriptada. La multiplicación de aplicaciones, servicios en la nube, integraciones y herramientas de inteligencia artificial hace que los datos abandonen cada vez con mayor frecuencia el perímetro controlado directamente por las entidades financieras.

Esta fue una de las principales advertencias realizadas por Luis O. Noguerol, experto en ciberseguridad y sistemas de información en Asia y América, durante su conferencia “Encriptado pero expuesto: gestión de los datos bancarios en la era de la IA generativa y computación poscuántica”, desarrollada en el marco de la Convención Bancaria 2026 organizada por la Asociación de Bancos del Paraguay (ASOBAN).

“Los datos pueden estar encriptados y aún así estar expuestos”, afirmó Noguerol, al plantear que el debate actual debe ir más allá de determinar si una institución financiera utiliza mecanismos de cifrado y concentrarse también en quién mantiene efectivamente el control de la información durante todo su ciclo de vida.

El dato sale del perímetro del banco

Noguerol explicó que las instituciones financieras realizan importantes esfuerzos económicos y tecnológicos para proteger la información que administran. Sin embargo, el riesgo cambia cuando esos datos comienzan a circular fuera de los sistemas directamente controlados por el banco.

La información puede encontrarse en tres estados: en uso, en tránsito o almacenada. Durante ese recorrido puede ser replicada, compartida con otras aplicaciones o transformada para diferentes finalidades. Es precisamente en esos procesos donde, según el especialista, comienza a volverse más compleja la seguridad.

“¿Dónde se pierde la soberanía del dato bancario, considerando que viaja, se replica, se transforma y es utilizado en múltiples entornos?”, planteó.

El especialista señaló que el cifrado de la información cuando se encuentra almacenada o en tránsito no necesariamente garantiza por sí solo que una institución conserve el control sobre ella. En cada una de las etapas del ciclo del dato, el banco puede perder visibilidad, control o contexto sobre la información.

El resultado de este fenómeno es lo que Noguerol definió como “datos encriptados pero expuestos”.

Más IA, nuevos desafíos sobre el control de los datos

La inteligencia artificial agrega una nueva dimensión al problema. Cada interacción con estas herramientas puede generar nuevos datos y combinar información interna y externa para producir inferencias, predicciones y contenidos derivados. Además, la aparición de agentes autónomos permite que sistemas basados en IA no solamente procesen información, sino que también actúen a partir de ella.

A esto se suman los denominados ecosistemas distribuidos, donde la información puede desplazarse entre diferentes servicios en la nube, aplicaciones y plataformas.

Noguerol resumió esta tensión con una advertencia: “Mientras más valor genera la IA, menos soberanía conserva el banco”.

Sin embargo, aclaró que la respuesta no debe ser frenar la incorporación de estas herramientas.

“¿Podemos renunciar a la adopción de IA? Para nada, debemos seguir adoptándola, es importante que lo hagamos. El renunciar a los avances tecnológicos nunca fue buena idea”, expresó.

El desafío, sostuvo, consiste en establecer mecanismos que permitan aprovechar la tecnología sin perder el control sobre la información.

El riesgo tampoco se limita a las aplicaciones que los bancos ofrecen a sus clientes. Noguerol puso como ejemplo la utilización de herramientas de inteligencia artificial generativa por parte de desarrolladores de software de una entidad financiera.

Un colaborador puede recurrir a estas plataformas para generar código o resolver problemas técnicos y terminar introduciendo en un prompt información sobre el funcionamiento interno de la institución.

Según explicó, la IA generativa puede reproducir patrones, crear información derivada y generar código que contenga vulnerabilidades. Por ello, advirtió que las entidades deben establecer controles internos sobre la manera en que estas herramientas son utilizadas por sus propios equipos.

El problema adquiere especial relevancia para una industria que administra información financiera, datos personales y credenciales cuya exposición puede generar consecuencias tanto para las instituciones como para sus clientes.

La computación cuántica pone presión sobre el cifrado tradicional

A los desafíos planteados por la inteligencia artificial se suma otro cambio tecnológico: el desarrollo de la computación cuántica.

Noguerol sostuvo que este avance obligará a revisar los sistemas criptográficos utilizados actualmente por bancos y otras organizaciones.

Durante su exposición puso particularmente el foco sobre RSA, uno de los sistemas de criptografía utilizados históricamente para proteger información y certificados digitales. Según explicó, las capacidades que ofrece la computación cuántica plantean un escenario diferente para mecanismos criptográficos cuya seguridad se apoya, entre otros factores, en la dificultad computacional necesaria para vulnerarlos.

Para el especialista, esto convierte la adaptación en una cuestión que las entidades financieras deben comenzar a abordar ahora y no cuando estas amenazas alcancen mayor madurez.

“Tres años están a la vuelta de la esquina. ¿Cómo está la arquitectura financiera para prever esto? Tres años es muy poco. El adversario no espera, actuar ahora es proteger el futuro”, afirmó.

Noguerol también apuntó a la necesidad de gobernar adecuadamente el uso de la inteligencia artificial y señaló que Paraguay todavía no cuenta con leyes específicas para abordar este fenómeno.

Paraguay debe avanzar hacia una mayor soberanía digital

El planteamiento de Noguerol fue más allá de las medidas que puede adoptar individualmente cada banco y llevó la discusión al nivel de la estrategia tecnológica del país.

A su criterio, Paraguay debería reducir progresivamente su dependencia de algoritmos y mecanismos ampliamente conocidos y desarrollar capacidades propias en materia de criptografía y seguridad.

“Ustedes como país necesitan crear sus propios algoritmos, no solo cuánticos, sino de criptografía normal”, afirmó. El objetivo, según explicó, debería ser avanzar hacia lo que denominó una “soberanía digital sostenible”.

Esto no supone aislarse de las nuevas tecnologías. Por el contrario, Noguerol insistió en que Paraguay no puede detener la utilización de inteligencia artificial, sino que debe desarrollar la capacidad de incorporarla de una manera que permita utilizarla de forma más segura y mantener un mayor control sobre sus datos.

Una transformación de hasta cinco años

El experto trazó además una hoja de ruta temporal para esa transformación. En una primera etapa, estimó que en un periodo de 6 a 18 meses es posible fortalecer el cifrado, la gestión de claves y los controles de acceso.

Noguerol puso especial énfasis en este último punto y consideró que el acceso a las claves de encriptación de certificados digitales debe encontrarse estrictamente controlado.

“El control de acceso es todo en términos de ciberseguridad”, sostuvo, al comparar esta situación con un centro de procesamiento de datos en el que demasiadas personas tengan acceso a componentes críticos de la infraestructura.

Una segunda etapa, que calificó como de “transformación segura”, podría desarrollarse en un horizonte de 36 a 60 meses e incluir arquitecturas bajo principios Zero Trust, basadas en la verificación permanente en lugar de asumir que una interacción o acceso es confiable.

Noguerol aseguró que se trata de plazos posibles y señaló que ha acompañado procesos similares en otros países de dimensiones comparables a Paraguay. Finalmente, estimó que alrededor de los 60 meses se podría avanzar hacia un esquema de “soberanía continua”, con una menor dependencia externa.

Mayor relevancia financiera también aumenta la exposición

Noguerol cerró su exposición con una advertencia particularmente dirigida a Paraguay.

El desarrollo económico y financiero que está experimentando el país aumenta su presencia y relevancia. Pero esa mayor visibilidad también puede incrementar su exposición desde la perspectiva de la ciberseguridad.

“Paraguay se está haciendo relevante. Lo que han conseguido desde el punto de vista financiero y económico los está poniendo en una posición visible, y visibilidad significa, en términos de seguridad, problemas”, sostuvo.

Para el especialista, la soberanía sobre los datos bancarios no debe entenderse como un objetivo que pueda alcanzarse mediante una única inversión tecnológica, sino como un proceso progresivo que exige combinar criptografía, controles de acceso, gobierno de la inteligencia artificial y desarrollo de capacidades propias.

“El compromiso es ahora. Proteger los datos hoy es proteger el futuro de sus clientes, las instituciones y la sociedad”, concluyó.

Fotografía principal: PR Pressencia