Sudáfrica: Joint Standard 2 of 2024, ciberseguridad e IA en finanzas

En un banco de Johannesburgo, una analista de riesgos prepara una nota para el comité de crédito. Pega en un asistente de IA un extracto de la cartera de préstamos, con nombres de clientes, ingresos e impagos, para obtener un resumen claro. En la misma planta, un desarrollador pide a una herramienta de código que corrija un script que contiene una clave de acceso a la base de clientes.

Hace unos años, estos gestos eran sobre todo una cuestión de POPIA y de cumplimiento interno. Desde el 1 de junio de 2025, también entran en una norma prudencial: el Joint Standard 2 of 2024 sobre ciberseguridad y ciberresiliencia, publicado conjuntamente por la FSCA y la Prudential Authority. Para bancos, aseguradoras y otras entidades financieras sudafricanas, el uso de la IA es ya un asunto de supervisión.

Una norma común de la FSCA y la Prudential Authority

El Joint Standard 2 of 2024 fue publicado el 17 de mayo de 2024 por la Financial Sector Conduct Authority y la Prudential Authority, integrada en el South African Reserve Bank. Entró en vigor el 1 de junio de 2025. Completa el Joint Standard 1 of 2023 sobre gobernanza y gestión de riesgos tecnológicos, vigente desde el 15 de noviembre de 2024.

Su alcance es amplio. Cubre, entre otros:

• los bancos y los bancos mutualistas;

• las aseguradoras;

• las infraestructuras de mercado: bolsas, depositarios centrales, cámaras de compensación;

• los fondos de pensiones registrados y algunos administradores de fondos;

• los proveedores de derivados OTC y las agencias de calificación registradas.

Lo que exige la norma sobre los datos sensibles

El texto no menciona la IA generativa como tal. Pero varias de sus exigencias se aplican directamente a lo que se envía en un prompt. Las entidades deben mantener un inventario de sus activos de información, limitar el acceso a la información a usuarios y dispositivos autorizados e impedir el uso no autorizado de datos sensibles. También deben desplegar protección en los puestos de trabajo y probar con regularidad la eficacia de sus controles.

Un asistente de IA de consumo usado sin control contradice casi todos estos puntos. Los datos salen del perímetro hacia un servicio que no figura en ningún inventario, sin una traza útil. Y las herramientas clásicas de filtrado de red ven mal lo que ocurre, como explicamos en por qué la DLP de red falla con ChatGPT.

Notificar un incidente en 24 horas

Las entidades deben notificar a la autoridad competente cualquier incidente cibernético o tecnológico calificado como material. Desde el 1 de septiembre de 2026 se aplica una plantilla común de notificación, fijada por el Joint Notice 2 of 2026. La primera notificación debe enviarse en las 24 horas siguientes a la calificación del incidente como material, fines de semana y festivos incluidos. Se espera una actualización en un plazo de 14 días naturales.

Los bancos y las aseguradoras notifican a la Prudential Authority. Las demás entidades afectadas lo hacen ante la FSCA. Al mismo tiempo, la POPIA obliga a informar al Information Regulator y a las personas afectadas cuando se comprometen datos personales. Una fuga de datos de clientes a través de una herramienta de IA puede activar dos circuitos de notificación a la vez.

La IA avanza rápido en las finanzas sudafricanas

A finales de 2025, la FSCA y la Prudential Authority publicaron un estudio sobre la IA en el sector financiero, basado en una encuesta realizada entre octubre y diciembre de 2024. Recibió unas 2.100 respuestas. El 52 % de los bancos y el 50 % de los proveedores de pagos declaraban usar ya la IA, frente al 8 % de las aseguradoras.

El riesgo más citado por los encuestados fue la protección de datos personales en el marco de la POPIA. Le siguieron la ciberseguridad, el riesgo de modelo y los riesgos propios de la IA generativa, como las respuestas inexactas. Los reguladores tienen, por tanto, una visión clara del problema, y sería imprudente pensar que lo pasarán por alto en las próximas revisiones.

Los usos que causan problemas

En las entidades financieras, algunas situaciones se repiten:

1. Análisis de crédito: extractos de expedientes con números de identidad sudafricanos, ingresos e historiales de pago.

2. Siniestros: informes periciales y expedientes médicos resumidos para acelerar una liquidación.

3. Atención al cliente: reclamaciones pegadas con números de cuenta y datos de contacto.

4. Desarrollo: scripts y archivos de configuración con secretos, un riesgo que tratamos en nuestro artículo sobre los agentes de IA en línea de comandos y la fuga de secretos.

Para el caso concreto del número de identidad de 13 dígitos, publicamos una guía específica: detectar y anonimizar el número de identidad sudafricano antes de la IA.

Cómo ayuda ZeusLock a las entidades financieras

ZeusLock funciona en los equipos y navegadores de los empleados. Antes de que un prompt o un archivo llegue a ChatGPT, Copilot, Gemini o Claude, detecta números de identidad, números de cuenta, tarjetas, claves de API y otros datos sensibles. Según la política definida, los anonimiza manteniendo su formato, avisa al usuario o bloquea el envío. Cada evento queda registrado con fecha y hora. Estos registros ayudan a demostrar el control sobre el uso de datos sensibles y a calificar rápido un incidente, algo importante cuando empieza a correr el plazo de 24 horas. El recorrido completo de una fuga se describe en nuestra anatomía de una fuga de datos por IA.

En resumen

Con el Joint Standard 2 of 2024, la ciberseguridad de las entidades financieras sudafricanas se ha convertido en una obligación prudencial precisa, con plazos de notificación cortos. La IA generativa, ya adoptada por la mitad de los bancos, abre nuevas vías de fuga que la norma obliga a controlar. Controlar lo que entra en los prompts es una de las medidas más concretas para lograrlo.

¿Trabaja en un banco, una aseguradora o una gestora en Sudáfrica? Solicite una demo de ZeusLock y descubra cómo encuadrar el uso de la IA.