Imagina esta escena, que cada vez es menos hipotética: alguien te muestra, orgulloso, cómo su asistente de IA le "ordenó las finanzas". Revisó sus cuentas, detectó una suscripción olvidada y le propuso mover plata a un depósito con mejor tasa. Le preguntas cómo conectó el asistente a su banco. "Le di mi usuario y clave", responde, como si fuera lo más normal del mundo.
Para esa persona es comodidad. Para cualquiera que haya trabajado en banca, es una pesadilla con forma de feature.
Esta semana esa escena dejó de ser hipotética. Los bancos más grandes de Estados Unidos dijeron, casi en coro, que no van a permitir que agentes de IA externos muevan dinero desde las cuentas de sus clientes. Y creo que vale la pena mirarlo con calma, porque detrás del titular hay un problema de arquitectura que nos va a llegar —y bastante pronto— a Chile.
Qué pasó
El 13 de octubre, en la presentación de resultados de JPMorgan Chase, Jamie Dimon fue directo: no van a dejar entrar "cualquier agente externo" porque es demasiado riesgoso para los clientes y para el banco. "No quieres agentes rebeldes, y podrían ser miles", dijo, según CNBC. El banco aclaró que no permite que terceros accedan a cuentas obteniendo las credenciales del cliente y haciendo login en su nombre, pero que sí apoya el intercambio de datos autorizado a través de proveedores de open banking. En la práctica: un agente puede ver saldos en modo solo lectura, pero no puede transferir ni pagar una cuenta, que es justamente lo que lo haría útil.
Dimon agregó una frase que, como arquitecto, me parece la más importante de toda la discusión: quien use estos agentes "debería entender que hay una transferencia de responsabilidad".
En los días siguientes la postura se repitió. Según PYMNTS, Citi, Bank of America y Charles Schwab se alinearon: lectura sí, mover dinero no. El CEO de Schwab dijo que bloquean agentes no autorizados un número de dos dígitos de veces cada semana, Brian Moynihan (BofA) insistió en mantener a un humano en el circuito para aprobar salidas de dinero, y William Demchak (PNC) fue todavía más explícito: para que esto ocurra "van a tener que aprobarse leyes sobre el traspaso de responsabilidad", y tendrá que ser "con conexiones seguras, autenticación y un humano en el circuito".
Y hoy, 22 de octubre, Axios publicó que los bancos están detectando y eliminando agentes que ya operan dentro de cuentas de clientes, algunos intentando acciones que el usuario no pidió. Lo más revelador lo recogió The Verge: un ejecutivo bancario reconoció que les cuesta distinguir entre agentes, y saber si un agente fue autorizado por el usuario o simplemente "se soltó".
El problema no es la IA, es la delegación
Es fácil leer esto como bancos defendiendo su territorio (y algo de eso hay: el mismo artículo de CNBC menciona que JPMorgan está piloteando su propio asistente para mover fondos buscando mejor rendimiento). Pero si le quitamos la capa comercial, lo que queda es una pregunta que los sistemas bancarios nunca tuvieron que responder bien: ¿quién está actuando cuando se ejecuta una transacción?
Durante décadas la respuesta fue binaria. O era el cliente, autenticado con algo que sabe, tiene o es; o era el banco, actuando por instrucción del cliente. Todo el modelo de seguridad —autenticación reforzada, monitoreo de fraude, límites, la propia atribución de responsabilidad— descansa en esa simplificación.
Un agente rompe ese binario. No es el cliente, pero actúa como si lo fuera. No es un tercero regulado, pero toma decisiones. Y, a diferencia de un programa tradicional, no falla de forma determinística: falla de forma probabilística. Cuando un agente usa las credenciales del cliente, para el banco es indistinguible del cliente. Ese es el núcleo del problema que describe el ejecutivo de la nota de Axios. No es que la IA sea peligrosa en abstracto; es que la identidad del actor desaparece en el momento en que alguien entrega su clave.
Ya vivimos una versión de esto con el screen scraping de los agregadores financieros, y la industria tardó años en reemplazarlo por APIs con consentimiento explícito. Con los agentes, el mismo atajo es más tentador y bastante más riesgoso, porque ahora el que entra no solo lee: decide.
Lo que un arquitecto debería exigir
Si saco esto del plano regulatorio y lo llevo a la mesa de diseño, veo cinco piezas que no son opcionales.
1. Identidad propia para el agente. Un agente nunca debería operar con las credenciales del usuario. Debe tener su propia identidad como cliente técnico, emitida y verificable, de forma que el banco sepa en cada llamada que quien actúa es el agente X del proveedor Y, en nombre del cliente Z. Sin esto, todo lo demás es cosmético.
2. Mandatos acotados, no permisos amplios. El consentimiento no puede ser "acceso a mi cuenta". Tiene que ser un mandato con forma: qué operaciones, hasta qué monto, hacia qué beneficiarios, por cuánto tiempo, con posibilidad de revocación inmediata. Es mínimo privilegio aplicado a una entidad que, por diseño, va a intentar cosas que no anticipamos.
3. Tokens atados al que los porta. Un token robado no debería servir de nada fuera del cliente técnico al que se emitió. El perfil FAPI 2.0 exige exactamente eso: tokens sender-constrained mediante mTLS o DPoP, solicitudes de autorización empujadas (PAR) y solo clientes confidenciales. No son detalles de implementación; son la diferencia entre un agente auditado y uno suplantable.
4. Humano en el circuito, proporcional al riesgo. No todo requiere confirmación. Consultar un saldo no debería; vaciar una cuenta, sí. La arquitectura tiene que permitir step-up de autenticación según monto, destino y comportamiento, devolviendo la decisión al titular cuando el agente sale de su mandato. Lo que no puede pasar es que la confirmación humana sea un clic de trámite que el propio agente aprende a gatillar.
5. Trazabilidad de la intención, no solo de la transacción. Cuando algo salga mal —y va a salir mal— la pregunta será quién responde. Para contestarla necesitamos registrar no solo qué se ejecutó, sino bajo qué mandato, con qué instrucción del usuario y a través de qué agente. Esa es la evidencia que hará posible el "traspaso de responsabilidad" del que habla Dimon. Sin registro, la responsabilidad no se traspasa: se diluye.
Visto como flujo, la diferencia entre el atajo y el diseño correcto se ve así:
El agente nunca toca credenciales del cliente ni habla directamente con el banco con poderes ilimitados. Opera dentro de un mandato que alguien regulado gestiona y que el banco puede verificar.
¿Y en Chile?
Aquí viene la parte que me parece más interesante. Chile está construyendo, ahora mismo, buena parte de esa infraestructura.
El Sistema de Finanzas Abiertas de la Ley Fintec (Ley 21.521) entra en vigencia en julio de 2027. La NCG 514, modificada por la NCG 569 de junio de este año, define a los proveedores de servicios de iniciación de pagos (PSIP) como entidades que pueden instruir pagos y transferencias a nombre de un cliente, y exige un consentimiento previo, libre, informado, expreso y específico, almacenado en un soporte durable junto con los datos de la instrucción de pago. Incluso establece que "la persona o sistema informático" que interactúa con el usuario no puede ejercer influencia indebida para forzar su consentimiento. Según lo expuesto por la CMF y reportado por Chócale, las APIs del sistema adoptarán FAPI 2.0.
Y el 1 de octubre la CMF lanzó ATENA, un sandbox que permite probar integraciones contra un Directorio de Participantes con credenciales digitales, es decir, la pieza que establece quién es quién en el ecosistema.
Identidad verificable de participantes, consentimiento específico y trazable, perfil de seguridad fuerte. Son, casi uno a uno, los ingredientes que los bancos estadounidenses están echando de menos esta semana.
Lo que no tengo claro —y lo planteo como pregunta abierta— es cómo encajará un agente autónomo en ese modelo. ¿Será el agente un PSIP? ¿Operará a través de uno? ¿Cómo se expresa en un consentimiento "específico" la instrucción a un sistema que decide por sí mismo cuándo y cuánto pagar? Me parece que la normativa nos deja bien parados para la conversación, pero la conversación todavía no está hecha.
La oportunidad de llegar después
Estados Unidos está enfrentando esto de forma reactiva: agentes que ya están dentro, bancos que bloquean, y una discusión de responsabilidad que, como dijo Demchak, probablemente requiera nuevas leyes. Chile tiene algo poco habitual en tecnología: la oportunidad de llegar después, con la infraestructura en construcción y el problema a la vista.
Si me tocara proponer algo a un comité de arquitectura hoy, sería simple: tratemos a los agentes como un tipo de participante desde el diseño, no como una excepción que bloqueamos en producción. Que tengan identidad, que operen bajo mandatos, que dejen evidencia. Y que nunca, bajo ninguna circunstancia, la respuesta a "¿cómo conectaste tu asistente al banco?" vuelva a ser "le di mi clave".
La confianza en un banco nunca se basó en que nada falle. Se basó en saber siempre quién hizo qué. Los agentes no cambian eso; solo nos obligan a diseñarlo en serio.
