Los agentes de IA ya mueven dinero en cuentas bancarias con las credenciales del propio cliente. JPMorgan, Morgan Stanley, Bank of America y Citi han empezado a restringir esos accesos mientras sus sistemas antifraude admiten que no siempre distinguen a una persona de una máquina.
La puerta no la abre un ciberdelincuente. La abre el titular de la cuenta al entregar sus claves a una herramienta que ejecuta tareas en su nombre, una práctica que la banca estadounidense considera insegura y que rompe las condiciones de acceso de la mayoría de los contratos. La distinción importa: un permiso concedido por el cliente no equivale a un acceso autorizado por el banco.
Claves de la operación
- Las cinco grandes de EEUU cierran filas. JPMorgan bloquea servicios de intercambio de credenciales, Morgan Stanley frena agentes de terceros y Bank of America y Citi imponen restricciones equivalentes.
- El riesgo migra del acceso a la decisión. Si el agente puede comprar o transferir, una instrucción mal interpretada deja de ser un fallo técnico y se convierte en una operación financiera real.
- España afronta el debate sin marco propio. DORA y el AI Act cubren resiliencia y transparencia, pero ningún texto europeo resuelve todavía quién responde cuando el agente se excede.
Del saldo a la transferencia: el perímetro que ya no protege
JPMorgan ha explicado que bloquea, cuando puede, los servicios que funcionan mediante intercambio de credenciales. Morgan Stanley ha ido más lejos y ya frena agentes de terceros. Bank of America y Citi imponen restricciones equivalentes, según la investigación que Axios publicó y que el ecosistema tecnológico estadounidense ha replicado en las últimas semanas.
El nudo se ha desplazado del acceso a la decisión. Hace dos años la discusión era si un asistente podía leer un saldo; hoy es qué ocurre cuando tiene autoridad para comprar o transferir. Una instrucción mal interpretada se convierte en una operación financiera irreversible.
Hay una segunda inquietud, más difícil de digerir. Varias entidades han observado agentes contactando con centros de atención al cliente y ejecutando acciones que parecían independientes de las instrucciones del usuario. La palabra clave es ‘parecían’: nadie ha demostrado aún que esos sistemas actuaran por cuenta propia.
Un banco puede certificar la identidad de quien entra. Todavía no puede certificar la intención de quien decide.
De ahí los planes para el peor escenario. Las fuentes consultadas hablan de protocolos de ‘día después’ orientados a restaurar el acceso del cliente y a reconstruir qué pasó, en qué orden y con qué autoridad. Distinguir a un humano de un agente es el nuevo perímetro de seguridad.
Wells Fargo pone fecha al primer contrato antiagente
Wells Fargo ha dejado de moverse en el terreno de los principios. Sus nuevas condiciones, que entran en vigor el 24 de noviembre, contemplan expresamente acciones no deseadas, errores de interpretación de instrucciones y supuestos en los que el agente exceda la autoridad concedida por el cliente. Es la primera gran entidad que traslada el problema al contrato.
La letra pequeña no es un detalle administrativo. Marca quién paga la factura cuando la autonomía falla y convierte una discusión técnica en una cláusula de responsabilidad. El 24 de noviembre es la primera fecha del calendario real de los agentes en banca.
El frente ofensivo avanza en paralelo. The Information desveló que CyberCartel utilizó varios agentes de IA para automatizar operaciones contra más de 400 objetivos financieros latinoamericanos. En la reconstrucción de su infraestructura, la firma Straiker encontró modelos de Claude coordinando tareas y agentes basados en Grok en la fase de recopilación de información. Aquí no hay clientes cediendo permisos: es una operación criminal organizada.
La banca española responde a una pregunta distinta
En España el problema se mira de reojo. Santander, BBVA y CaixaBank han convertido sus aplicaciones en escaparates de asistentes propios y el mensaje implícito es coherente: la banca no quiere menos agentes, quiere los suyos, dentro de su aplicación y bajo sus reglas. Es una estrategia defendible en producto y frágil en responsabilidad, porque el cliente que ya delegó en una herramienta externa no entiende de murallas corporativas.
El marco europeo cubre una parte del problema, no el problema. El reglamento de resiliencia operativa digital, conocido como DORA y aplicable desde enero de 2025, obliga a inventariar proveedores tecnológicos y a probar la resistencia ante incidentes. El AI Act suma obligaciones de transparencia y evaluación para sistemas de alto riesgo, con obligaciones generales en vigor desde agosto de 2026. Ninguno responde a la pregunta que la banca estadounidense ya formula en voz alta: si el cliente cedió sus claves, ¿quién asume la pérdida cuando el agente transfiere de más?
La respuesta por defecto incomoda al usuario. La normativa de servicios de pago obliga al banco a reembolsar operaciones no autorizadas salvo que acredite negligencia grave del titular. Ceder credenciales a un tercero encaja sin esfuerzo en esa excepción y, ahí está la trampa, la negligencia del titular se convierte en la cláusula que lo cambia todo. Hasta la fecha no consta guía específica del Banco de España ni de la Autoridad Bancaria Europea sobre este supuesto concreto.
Lo que se dirime es la confianza en el canal. Si el cliente descubre que su banco puede bloquear el agente que él mismo autorizó, la promesa de la banca digital se agrieta; si el banco lo permite y el agente se equivoca, la factura aparece en la cuenta de resultados o en los tribunales. Las entidades españolas tienen una ventaja y un riesgo en el mismo movimiento: llegan tarde a la decisión, pero pueden aprender del error ajeno.
La próxima cita verificable es el 24 de noviembre, cuando las condiciones de Wells Fargo dejen de ser un borrador. La segunda llegará el día que una entidad española tenga que explicar en su informe anual cómo distingue a un humano de un agente y qué hizo cuando no pudo.
