El cliente da el permiso, el banco dice que no
JPMorgan ya bloquea, cuando puede, los servicios que acceden a cuentas de clientes mediante intercambio de credenciales. Morgan Stanley ha empezado a bloquear agentes de terceros. Bank of America y Citi también están imponiendo restricciones. Y Wells Fargo ya incorporó los agentes de IA a las condiciones que entran en vigor el 24 de noviembre, con mención expresa a acciones no deseadas, errores de interpretación de instrucciones y casos en los que el agente excede la autoridad concedida.
El detalle que importa: aquí no hablamos de hackers que vulneran sistemas. Hablamos de clientes que entregan sus credenciales a un agente para que opere en su nombre. Para el banco, esa distinción es secundaria. Una cosa es tener el permiso del titular y otra muy distinta cumplir las reglas de acceso de la entidad.
La investigación de Axios que recoge Xataka describe un sector que ya no discute si los agentes van a entrar en la banca, sino cómo limitar el daño cuando algo salga mal.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Por qué un agente con tus credenciales es un problema para el banco?
Porque el banco no puede distinguir quién está detrás de una sesión válida. Varias fuentes bancarias consultadas para la investigación explicaron que sus sistemas no siempre logran diferenciar la actividad de una persona de la ejecutada por una herramienta de IA, ni determinar con certeza si esa herramienta sigue una orden legítima del titular.
El problema se agrava cuando el agente no solo consulta saldos, sino que puede mover fondos o ejecutar compras. Ahí una instrucción mal interpretada deja de ser un bug de software y se convierte en una transacción real.
Jamie Dimon, CEO de JPMorgan, lo planteó en la llamada de resultados del 13 de octubre: "No quieres agentes descontrolados, y podría haber miles de ellos". Añadió que los clientes deben entender el posible traslado de responsabilidad cuando dan acceso a software externo. Según CrowdfundInsider, un portavoz del banco confirmó después a CNBC que la entidad ya impide que agentes externos actúen en nombre de clientes minoristas, aunque mantiene el acceso de solo lectura a través de intermediarios de open banking como Plaid.
Ese es el matiz técnico que separa un acceso tolerable de uno bloqueado: leer saldos sí, iniciar transferencias no.
Wells Fargo y el "día después": quién responde cuando el agente se equivoca
Lo llamativo no es solo la restricción. Es que varias entidades ya están diseñando planes para el escenario posterior al fallo: cómo restablecer el acceso de un cliente a su cuenta si algo se rompe.
Las condiciones de Wells Fargo que entran en vigor el 24 de noviembre son el ejemplo más explícito de cómo se está trasladando el riesgo al usuario. La entidad contempla acciones no deseadas, errores de interpretación y exceso de autoridad por parte del agente. Es decir: el banco se está cubriendo por escrito antes de que ocurra.
Para un founder esto tiene una lectura directa. Si tu producto toca cuentas bancarias de terceros, el contrato de tu proveedor financiero va a cambiar este trimestre. Y probablemente no a tu favor.
El otro frente: ciberdelincuentes que también usan agentes
Mientras los bancos gestionan las herramientas que sus propios clientes dejan entrar, existe un problema distinto y mucho más agresivo. Una investigación publicada por The Information y recogida por PYMNTS revela que el grupo CyberCartel usó una red de agentes de IA para atacar más de 400 objetivos financieros en América Latina, incluidos bancos y empresas de pagos.
Straiker, la firma de ciberseguridad que reconstruyó la infraestructura, encontró modelos de Claude coordinando tareas y agentes basados en Grok participando en la recopilación de información. Los agentes habrían servido para robar contraseñas y datos de consumidores y para acceder a cuentas bancarias de forma autónoma, con poca intervención humana.
"La ofensiva va muy por delante de la defensa ahora mismo, así es como está", dijo Ankur Shah, CEO de Straiker, a The Information. Anthropic abrió una investigación tras conocer los hallazgos y bloqueó el uso de Claude por parte de los atacantes.
La asimetría es brutal: el defensor tiene que acertar siempre, el atacante solo una vez. Y ahora el atacante escala con agentes que no se cansan.
¿Qué tan preparadas están las instituciones?
Poco, si se mira la capa de gobierno. Según EY, más del 70% de las entidades bancarias usa agentes de IA en algún grado, pero sus marcos de gobernanza no han avanzado al mismo ritmo. El informe de supervisión de FINRA para 2026 identifica cuatro riesgos concretos: agentes que actúan sin validación humana, agentes que operan fuera del alcance previsto, vacíos de auditabilidad en cadenas de razonamiento de varios pasos y manejo indebido de datos sensibles de clientes.
El dato de adopción no es marginal. Según el 2026 Agentic Enterprise Index de Salesforce, el número medio de agentes activos por organización pasó de cinco en febrero de 2025 a trece en abril de 2026, y el sector financiero registró un crecimiento de 13 veces en consumo de acciones de agentes.
¿Qué significa esto para tu startup?
Primero: el acceso a cuentas ya no es un detalle de integración, es un riesgo legal. Si tu producto lee o mueve dinero de cuentas de usuarios, revisa hoy bajo qué figura accedes. Credenciales compartidas es la vía que los bancos están cerrando. Open banking con consentimiento explícito y alcance limitado es la que sobrevive.
Segundo: diseña para el permiso granular desde el día uno. El modelo que se está imponiendo separa lectura de escritura. Pide solo el alcance que necesitas, con límites de monto y aprobación por transacción. Un agente que puede consultar saldo sin poder transferir es infinitamente más fácil de aprobar en un banco que uno con acceso total.
Tercero: prepara tu capa de auditoría antes de la primera venta a una entidad financiera. Cada acción del agente necesita un registro recuperable de qué datos usó y por qué llegó a esa conclusión. FINRA ya lo está pidiendo. Un banco te lo va a pedir en el cuestionario de proveedor.
Cuarto: si operas en LATAM, el riesgo ya está materializado. Los 400 objetivos de CyberCartel no son un caso teórico de laboratorio. Son bancos y fintechs de la región. La autenticación por comportamiento —el terreno que Visa reforzó con su acuerdo para adquirir BioCatch por US$2.400M— dejó de ser un extra.
La pregunta que queda abierta
El sector asume que los clientes van a seguir usando estas herramientas, así que la discusión no va de expulsar agentes de la banca. Va de hasta dónde delegar.
Y ahí hay un dato que los bancos no ignoran: el temor no es solo la seguridad. Según FinanceFeeds, un agente capaz de comparar tasas de depósito y mover saldos ociosos hacia cuentas con mejor rendimiento erosiona la estabilidad de los depósitos baratos, que es la base del margen de interés. Cuando Meta lanzó su agente Muse en septiembre de 2026, el índice financiero del S&P 500 llegó a caer hasta un 2,4% en una sola sesión, con Charles Schwab perdiendo un 6,7%.
La conclusión para quien construye: el agente financiero no compite solo contra otro software. Compite contra el modelo de negocio del banco. Y eso define qué tan fácil te van a dejar entrar.
Fuentes
- Xataka: Los agentes de IA ya se mueven por cuentas bancarias
- FinanceFeeds: Morgan Stanley, BofA and JPMorgan Flag Unauthorized AI Agents
- CrowdfundInsider: JPMorgan Chase Restricts External AI Agents
- Yahoo Finance: Meta AI agent triggers heavy selloff in banks
- PYMNTS: Hackers Employ Grok and Claude to Attack LatAm Banks
- ZDNET: Business adoption of AI agents tripled this year
- Forbes: Why Compliance Teams Are The Wrong Place To Start Agentic AI Adoption
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
