Recomiendan dejar de concebir el Open Finance como un proyecto tecnológico a cargo exclusivamente de TI, y comenzar a construirlo como una capacidad organizacional estratégica.
El Perú avanza hacia la implementación del Open Finance de la mano de las regulaciones de la Superintendencia de Banca, Seguros y AFP (SBS). Pero el mismo intercambio de datos financieros entre bancos, fintechs y aseguradoras que promete impulsar la inclusión financiera también amplía la superficie de exposición a ciberataques cada vez más sofisticados, muchos de ellos potenciados por inteligencia artificial.
Diego Francia, Account Director Perú y Bolivia de Red Hat, identifica los principales desafíos y soluciones tecnológicas que debe considerar el ecosistema financiero peruano. Aquí, cinco puntos clave.
- El consentimiento del usuario es el pilar. Para Francia, el mayor desafío del ecosistema no es únicamente evitar filtraciones de información, sino garantizar la gobernanza del consentimiento del usuario, mitigar los riesgos que introducen terceros en la cadena de intercambio de datos y prevenir que los algoritmos de decisión automatizada —por ejemplo, en la evaluación de créditos— repliquen sesgos históricos de exclusión.
«El pilar principal del Open Finance es el consentimiento del usuario para compartir su información. El reto está en que todo el ecosistema, bancos, fintechs, aseguradoras y nuevos actores digitales, mantenga el mismo nivel de rigurosidad en sus capas de seguridad, alineado con la regulación que hoy construye la SBS», afirma el especialista de Red Hat.
- Tres pilares tecnológicos para proteger el ciclo de vida de los dato. Según Francia, para que la información se mantenga segura durante todo su ciclo de vida se necesitan: Arquitectura de seguridad de grado financiero, basada en los estándares FAPI (Financial-grade API), OAuth 2.0 y OpenID Connect. Un motor de consentimiento capaz de registrar de forma trazable, y revocar en cualquier momento, cada autorización del usuario. Una arquitectura Zero Trust, bajo el principio de «nunca confiar, siempre verificar», que exige validar de forma continua la identidad, el dispositivo y el contexto de cada interacción, además de cifrar los datos en tránsito y en reposo.
La SBS prevé definir entre septiembre y noviembre de 2026 las bases sobre las cuales se establecerán los elementos tecnológicos y regulatorios del modelo local, que contempla una prueba piloto inicial entre cuatro entidades financieras.
- La IA ataca, pero también defiende. El uso de IA por parte de ciberdelincuentes para sofisticar sus ataques obliga a las organizaciones financieras a responder con la misma velocidad, mediante ciberseguridad predictiva y automatizada. Francia destaca el avance de plataformas de «autorremediación» o self-healing, capaces de aislar de forma automática sistemas comprometidos o cerrar ventanas de exposición en cuestión de minutos, sin depender de una respuesta manual.
«Así como la inteligencia artificial avanza muy rápido, hay que contrarrestarla con la misma velocidad: con IA aplicada a la defensa. Es necesario automatizar la ciberseguridad y tener una resiliencia operativa continua», señala el ejecutivo de Red Hat.
- Las cifras que explican la urgencia. El sector financiero y asegurador ya concentra el 47% de los ciberataques en América Latina. En Perú, el mercado de ciberseguridad crecería a una tasa anual de 14,7%. La expansión de la inteligencia artificial podría acelerar aún más la velocidad, escala y sofisticación de los ataques, según el reporte IBM X-Force Threat Intelligence 2026.
- Código abierto y nube híbrida, las bases de la soberanía digital. En un entorno donde conviven bancos tradicionales, fintechs, aseguradoras y nuevos actores digitales, el software de código abierto y la nube híbrida se perfilan como habilitadores clave de interoperabilidad y soberanía digital:
El open source aporta transparencia frente a los modelos de IA de «caja negra», reduciendo el riesgo de sesgos no auditables en decisiones como la aprobación de un crédito, y evita el vendor lock-in con un proveedor específico. La nube híbrida permite a las instituciones decidir de forma autónoma dónde alojar sus cargas de trabajo críticas, on-premise, nube privada o pública, según la normativa local, sin perder una gestión centralizada y segura.
Recomendación para los líderes financieros
Diego Francia recomienda dejar de concebir el Open Finance como un proyecto tecnológico a cargo exclusivamente de TI, y comenzar a construirlo como una capacidad organizacional estratégica, con una célula de trabajo multidisciplinaria respaldada por la alta dirección. Entre las acciones concretas, sugiere: Definir con claridad el rol que la institución quiere jugar en el ecosistema: plataforma, integrador o proveedor de nicho; y, lanzar un producto mínimo viable que genere un resultado visible en menos de 180 días.
