BCU refuerza seguridad e IA en instrumentos electrónicos

El Banco Central del Uruguay modificó las reglas de seguridad para instrumentos electrónicos y, desde el 1 de octubre de 2026, exige autenticación reforzada para acceder a canales digitales, hacer transferencias o pagos desde cuentas bancarias, pedir préstamos no presenciales y acceder, modificar o actualizar datos sensibles. La actualización fue comunicada en la Circular N.º 249, que informó cambios introducidos por la Resolución N.º 2025-744 de la Superintendencia de Servicios Financieros.

¿Qué cambió en los controles de seguridad?

La nueva redacción de los artículos 364 y 364.1 de la Recopilación de Normas de Regulación y Control del Sistema Financiero incorpora exigencias más estrictas para los emisores. Además de la autenticación reforzada, el artículo 364 obliga a contar con un sistema de monitoreo y control capaz de detectar hechos irregulares vinculados con el uso del instrumento o su entorno, incluidos cambios e intentos de cambio de claves y datos de contacto.

¿Qué sanciones prevé el BCU?

El incumplimiento de los artículos 364 y 364.1 puede ser sancionado con una multa de entre 1/10.000 y 2/1.000 de la responsabilidad patrimonial básica para bancos, según la cobertura consultada. Ese esquema de sanción acompaña el refuerzo normativo que el regulador uruguayo aplicó sobre los instrumentos electrónicos.

¿Qué otros movimientos recientes tomó el regulador?

El BCU también aprobó un Marco de Gobernanza para el uso de inteligencia artificial, que contempla seguridad de la información, cumplimiento de la normativa aplicable, robustez, resiliencia, monitoreo continuo y respuesta ante fallos o vulnerabilidades, según Búsqueda. El marco establece, además, que todo sistema de IA desplegado o en desarrollo en el organismo debe registrarse en un inventario institucional como control mínimo obligatorio, independientemente de su nivel de riesgo. La cobertura agrega que el marco prevé mecanismos de trazabilidad para reconstruir las decisiones y resultados generados durante el ciclo de vida de los sistemas de IA que el organismo desarrolle o contrate.

En paralelo, El Observador informó que el BCU impuso una multa de 325.000 Unidades Indexadas a Avenida S.A., luego de rechazar sus descargos. Según esa nota, la empresa entregaba dinero recibido desde el exterior en efectivo a una persona que no era apoderada ni tenía un vínculo formal con el cliente, sin aplicar debida diligencia.

Como contexto de cumplimiento en el sector público, El Observador señaló que solo 10 de 244 organismos estatales cumplían con el decreto que exige doble factor de autenticación, de acuerdo con datos previamente difundidos por Búsqueda.