Los bancos bloquean agentes de IA que acceden a cuentas de clientes

Los grandes bancos estadounidenses se han encontrado con un problema que hace apenas unos meses parecía casi teórico: agentes de inteligencia artificial de terceros están entrando en cuentas bancarias de clientes y realizando tareas en su nombre. Morgan Stanley, JPMorgan Chase, Bank of America y Citi figuran entre las entidades que han comenzado a bloquear o restringir estos accesos, mientras el sector trata de decidir hasta dónde puede llegar una máquina cuando maneja dinero real.

La situación tiene un matiz importante. En muchos casos no se trata de ciberdelincuentes que hayan roto las defensas de un banco. Son los propios clientes quienes facilitan a un asistente de IA su usuario y contraseña para consultar movimientos, organizar sus finanzas o ejecutar determinadas gestiones. El problema empieza después: para el banco resulta difícil distinguir si cada acción procede del titular, responde exactamente a sus instrucciones o ha sido decidida por el agente por su cuenta.

Y ahí cambia bastante la historia. Un chatbot que explica cuánto se ha gastado en restaurantes es una cosa. Un sistema capaz de iniciar sesión, llamar al banco, comprar, transferir dinero o mover fondos es otra bastante distinta. El salto desde la conversación hasta la capacidad real de actuar obliga a las entidades a replantear controles que fueron diseñados pensando en personas.

Los bancos ya están bloqueando accesos de agentes externos

La alarma se ha hecho pública después de que varias entidades estadounidenses detectaran actividad de agentes de IA no autorizados por el propio banco dentro de cuentas de clientes. Algunas herramientas habían recibido las credenciales directamente de sus usuarios, aunque ese acceso puede contravenir las condiciones de uso de la banca digital.

Morgan Stanley ha comenzado a bloquear agentes externos en sus plataformas. JPMorgan, Bank of America y Citi también han impuesto restricciones. Wells Fargo figura entre las entidades que están analizando cómo contener este tipo de actividad. Morgan Stanley, eso sí, ha precisado que no ha observado agentes de IA rebeldes actuando sin autorización en sus sistemas.

Es una distinción relevante. La existencia de agentes dentro de una cuenta no significa que los sistemas bancarios hayan sido hackeados ni que exista una oleada de inteligencias artificiales robando dinero. Lo que sí existe es un nuevo agujero operativo: programas externos que pueden presentarse ante el banco utilizando las mismas credenciales que emplearía una persona.

Charles Schwab también está bloqueando agentes que no reconoce. Su consejero delegado, Richard Wurster, explicó que recibe un informe diario sobre estos intentos precisamente para mantener bajo control la autenticación y la experiencia del cliente.

JPMorgan ha adoptado una posición parecida. Jamie Dimon, su consejero delegado, sostuvo durante la presentación de resultados del tercer trimestre que el banco seguirá utilizando agentes de IA, pero no permitirá que cualquier herramienta externa entre en sus sistemas. Su preocupación es directa: pueden existir miles de agentes diferentes y el banco necesita saber quién responde si alguno actúa mal.

Qué hacen esos agentes dentro de una cuenta bancaria

Un agente de IA es algo más que el chatbot al que se le formula una consulta. Está diseñado para recibir un objetivo y realizar varias acciones para cumplirlo, en algunos casos utilizando aplicaciones, navegadores y servicios externos sin que el usuario tenga que aprobar manualmente cada paso. Esa autonomía operativa es precisamente lo que cambia el riesgo.

Aplicado a las finanzas personales, podría analizar movimientos, comprobar recibos, buscar una cuenta con mayor remuneración, comparar productos, preparar un pago o gestionar una reclamación. Técnicamente, también puede llegar mucho más lejos si dispone de credenciales y permisos suficientes.

Entre los comportamientos detectados se encuentran agentes que accedieron a servicios bancarios utilizando datos facilitados por el titular y sistemas que contactaron con centros de atención al cliente. Algunas entidades han observado además acciones que parecían ir más allá de las instrucciones concretas dadas inicialmente por el usuario, un escenario que pone el foco en los límites de la autorización.

Del asistente útil al programa con capacidad para actuar

La diferencia parece pequeña hasta que hay dinero de por medio. Un asistente convencional puede leer una factura y decir que es demasiado cara. Un agente puede recibir la orden de reducir gastos y disponer de herramientas para cancelar servicios, contactar con proveedores o buscar alternativas. La frontera está en la ejecución automática de acciones.

En banca, esa autonomía exige límites bastante más estrictos. Si un cliente pide encontrar una cuenta más rentable, por ejemplo, hay una distancia considerable entre recomendarla y transferir 20.000 euros hacia ella.

También aparece otro problema incómodo: un banco puede reconocer perfectamente a un cliente por su contraseña y por determinados mecanismos de autenticación, pero eso no significa necesariamente que sea el cliente quien está operando. Podría haber entregado esos datos a una herramienta externa. La identidad autenticada y la persona que realmente ejecuta la operación dejan de ser exactamente lo mismo.

Durante años la seguridad bancaria se ha construido alrededor de una premisa bastante sencilla: detrás de una sesión autenticada hay una persona. La IA agéntica está empezando a romper esa equivalencia.

El problema no es solo técnico: también es de responsabilidad

Las entidades tienen que resolver algo más complicado que detectar un bot. Deben saber quién autorizó cada operación y quién responde si sale mal.

Si un delincuente roba una contraseña y transfiere dinero, el marco del fraude bancario es relativamente conocido. Si el cliente entrega voluntariamente su contraseña a un agente, le permite actuar y la herramienta ejecuta una operación distinta de la esperada, la situación se vuelve bastante más gris. El consentimiento inicial no resuelve automáticamente la responsabilidad por cada movimiento posterior.

Los bancos suelen marcar y bloquear operaciones realizadas por estos agentes cuando detectan que el cliente ha compartido sus credenciales. Sin embargo, una transacción difícilmente puede calificarse sin más como no autorizada cuando el propio titular proporcionó el acceso al sistema que la ejecutó. Ahí aparece uno de los principales vacíos operativos y jurídicos del nuevo modelo.

De ahí que las entidades estén revisando sus condiciones y sus mecanismos de autenticación. Compartir una contraseña bancaria con un asistente externo puede vulnerar las reglas del servicio aunque el propietario de la cuenta lo haya hecho voluntariamente. Para el banco, ceder las credenciales no es una cuestión menor.

Citi, por ejemplo, ha establecido que los agentes de IA de terceros no pueden iniciar sesión ni operar directamente dentro de su banca digital. La entidad sí contempla otro modelo: conexiones autorizadas que permiten consultar determinada información sin entregar al agente las claves bancarias.

Ese detalle apunta hacia donde probablemente se moverá el sector: identificar al agente como tal, darle permisos específicos y evitar que tenga que hacerse pasar técnicamente por el cliente.

El acceso de solo lectura aparece como solución intermedia

Los bancos no quieren cerrar completamente la puerta a la IA. Tampoco tendría demasiado sentido. Las mismas entidades están invirtiendo cantidades importantes en automatización, asistentes inteligentes y sistemas capaces de detectar fraude. El debate no gira tanto sobre utilizar o no inteligencia artificial como sobre qué puede hacer cada sistema.

Una opción es permitir que agentes autorizados puedan consultar saldos y movimientos mediante interfaces seguras y permisos de solo lectura, sin conocer la contraseña del cliente y sin capacidad para transferir dinero. Sería una evolución del modelo de banca abierta que ya utilizan aplicaciones de gestión financiera.

El agente podría analizar que una persona paga cuatro suscripciones similares o que sus gastos de electricidad han aumentado durante seis meses. Podría recomendar cambios. Pero no podría mover el dinero por iniciativa propia.

El siguiente escalón sería permitir operaciones bajo reglas muy concretas: límites de gasto, comercios autorizados, confirmación adicional para importes determinados o permisos que puedan revocarse inmediatamente. El objetivo sería sustituir una autorización general por controles granulares.

Es bastante distinto de entregar usuario y contraseña a una aplicación y esperar que se porte bien. En servicios financieros, esa confianza difícilmente puede convertirse en el principal mecanismo de seguridad.

España y Europa también avanzan hacia los pagos con IA

El fenómeno detectado en Estados Unidos no debe confundirse con los proyectos de inteligencia artificial que desarrollan los propios bancos europeos bajo entornos controlados. En estos casos, la diferencia está en que el agente opera dentro de una infraestructura diseñada para reconocerlo.

En España existe ya un ejemplo significativo. Santander y Mastercard realizaron en marzo de 2026 un pago completo ejecutado por un agente de IA sobre infraestructura bancaria real. La prueba utilizó un sistema preparado para pagos mediante agentes y se diseñó con límites y permisos establecidos previamente por el cliente.

La diferencia con los accesos que preocupan a los bancos estadounidenses es fundamental. En aquel caso, el agente operaba dentro de una arquitectura preparada expresamente para identificarlo, autenticarlo y controlar qué podía hacer. No necesitaba hacerse pasar por el cliente utilizando su contraseña.

CaixaBank también ha desplegado agentes de inteligencia artificial en sus canales digitales para asistir a clientes durante la contratación de productos. El sistema comenzó con préstamos preconcedidos y posteriormente se amplió a otras operaciones dentro de la web y la aplicación de la entidad. El agente, por tanto, funciona dentro de un entorno controlado por el banco.

Es decir, la banca no está librando una guerra contra los agentes de IA. Está intentando evitar algo mucho más concreto: agentes externos entrando por la misma puerta que los clientes humanos sin un sistema específico de identificación y permisos.

La banca quiere IA, pero con llave y límites

Los agentes capaces de manejar dinero difícilmente van a desaparecer. Al contrario. Su utilidad es evidente: pueden comparar cuentas, vigilar gastos, buscar mejores condiciones o realizar gestiones que actualmente obligan al cliente a saltar entre aplicaciones, páginas web y llamadas telefónicas. La cuestión está en hasta dónde llega su autonomía.

Pero para que ese modelo funcione, la contraseña bancaria no puede convertirse en una especie de llave maestra que el usuario entrega a cualquier asistente. Un sistema financiero preparado para la IA necesita separar claramente identidad, autorización y capacidad de operar.

Los bancos quieren saber qué sistema está conectado, quién lo ha autorizado, qué operaciones puede realizar, durante cuánto tiempo y hasta qué importe. Y, sobre todo, quién asume las consecuencias cuando una orden humana acaba transformándose en una acción que nadie esperaba.

La industria está empezando a construir esa frontera sobre la marcha. Los agentes de IA han llegado a las cuentas antes de que existieran reglas comunes para recibirlos. Ahora los bancos están cerrando la puerta improvisada mientras preparan otra, bastante más estrecha, con identificación, permisos y controles propios.