SEC prioriza IA y ciberataques en exámenes 2027

La SEC incorporó en sus prioridades de examen fiscal 2027 la preparación de entidades financieras frente a ciberataques vinculados con sistemas de inteligencia artificial, incluyendo phishing generado por IA y voz o video sintéticos usados en ingeniería social, según una fuente secundaria no confirmada oficialmente. El material también indica que las revisiones pondrán atención en controles sobre robo de identidad, transferencias fraudulentas, credenciales robadas y otros riesgos emergentes.

¿Qué alcance tienen estas prioridades de examen?

Las prioridades de examen fiscal 2027 de la SEC no son exhaustivas y pueden ajustarse durante el año en respuesta a riesgos emergentes, eventos de mercado y preocupaciones de inversores, según el análisis de Troutman Pepper. Ese mismo análisis aclara que no se trata de una nueva regla, una propuesta normativa ni una acción de enforcement.

Troutman Pepper agrega que los exámenes prestarán atención al cumplimiento de Regulation S-P y Regulation S-ID. En ese marco, la SEC observará riesgos de toma de control de cuentas, transferencias fraudulentas, credenciales robadas y riesgos emergentes de robo de identidad vinculados con SI.

¿Qué deberían poder mostrar las entidades examinadas?

Las entidades deberían poder demostrar un inventario de sus usos de IA, controles de gobernanza y monitoreo, y programas de respuesta a incidentes y prevención del robo de identidad que contemplen ataques generados por IA y credenciales robadas, de acuerdo con el análisis de Sidley. Esa firma también ubica bajo revisión usos de IA en análisis de inversiones, gestión de clientes y desarrollo de código.

Norton Rose Fulbright coincide en que la SEC evaluará políticas y procedimientos vinculados con amenazas de SI. Entre ellas menciona phishing generado por SI, ingeniería social mediante voz o video deepfake y ransomware, además de un mayor alcance para Regulation SCI.

¿Qué cambios aparecen en Regulation SCI?

Regulation SCI incluirá áreas emergentes como SI, tokenización de valores, horarios de negociación ampliados y computación cuántica, según Norton Rose Fulbright. El análisis sitúa estos temas dentro de la ampliación de foco de la SEC sobre tecnología, ciberseguridad y protección del inversor.

En paralelo, el material sobre Bethesda Magazine informa que la ley de Maryland sobre representaciones de inteligencia artificial y deepfake define una representación deepfake como una fotografía, película, video, grabación de audio, imagen digital o imagen generada por computadora indistinguible de una persona humana real e identificable.

¿Qué dijo Norton Rose Fulbright sobre data breach y ransomware?

Norton Rose Fulbright incluyó el ransomware dentro de las amenazas que la SEC evaluará en sus exámenes, junto con phishing generado por IA, ingeniería social mediante voz o video deepfake y otros riesgos de ciberseguridad. El punto central es que la revisión no se limita a una sola técnica de ataque, sino que amplía el foco sobre amenazas que pueden derivar en filtraciones de datos y compromisos operativos.

Ese análisis ubica esos riesgos dentro de la ampliación de foco de la SEC sobre tecnología, ciberseguridad y protección del inversor. También lo conecta con las prioridades de examen fiscal 2027, que contemplan credenciales robadas, transferencias fraudulentas, robo de identidad y controles frente a ataques asistidos por IA.