Bank of America le pide a sus clientes que no compartan su clave bancaria con su asistente de IA

A principios de esta semana, Bank of America envió a sus clientes un correo con el asunto “Protegiendo tus finanzas en el mundo de la IA”. Un mensaje tranquilo, corporativo, del tipo que la mayoría archiva sin abrir. El problema es lo que dice adentro.

El banco pide, textualmente, que nunca compartas tu usuario y contraseña con otra persona o servicio externo — e incluye de forma explícita “una herramienta o agente habilitado con IA que se ofrezca a actuar en tu nombre”. Y agrega algo más importante que la advertencia misma: si compartís tus credenciales, sos responsable de todo lo que ocurra con esa cuenta después.

No es un consejo. Es un deslinde legal.

La letra chica que ya existía

Este movimiento de Bank of America no es nuevo en términos jurídicos — es la aplicación de una cláusula que casi todos los contratos bancarios ya incluyen hace años. La mayoría de los bancos establece que compartir credenciales con cualquier tercero — persona, aplicación, o servicio — transfiere la responsabilidad al cliente. Si alguien accede a tu cuenta con tu usuario y contraseña, aunque sea sin tu consentimiento explícito para esa acción, el banco tiene base contractual para no cubrirte.

Lo que cambió es el contexto. Antes esa cláusula apuntaba a compartir la contraseña con un familiar o usarla en un sitio falso. Ahora apunta directamente a una categoría de productos que está creciendo a toda velocidad: los agentes de IA que prometen gestionar tu vida financiera por vos — pagar cuentas, mover plata, hacer compras, autorizar transferencias.

El banco no está inventando un riesgo nuevo. Está aplicando una regla vieja a un problema nuevo, y siendo transparente sobre ello antes de que lleguen los primeros casos.

Por qué los agentes de IA complican esto específicamente

Un asistente de IA que actúa en tu nombre no es lo mismo que un formulario web que completás vos. Cuando le das tus credenciales bancarias a un agente — ya sea ChatGPT con acceso a tu cuenta, un asistente de terceros que promete pagar tus facturas, o cualquier herramienta similar — pasan varias cosas simultáneamente que los sistemas bancarios no distinguen bien:

El agente puede ejecutar operaciones que vos no iniciaste de forma consciente, porque así funciona la automatización. El banco ve actividad en tu cuenta y no sabe si la estás haciendo vos o un software. Si el patrón parece inusual, puede marcarla como compromiso de cuenta — y bloquearte a vos mismo mientras investigan. Y si el servicio al que le diste tus credenciales sufre una brecha de seguridad, tus datos quedan expuestos sin que el banco tenga nada que ver — y sin que tengas a quién reclamarle, porque el contrato ya decía que no debías hacerlo.

Los tres escenarios no son hipotéticos. Ya hay bancos en Estados Unidos gestionando casos de agentes de IA no autorizados que accedieron a cuentas de clientes — el fenómeno está documentado y en crecimiento.

El choque que nadie nombró todavía

Esta columna de Bank of America es el primer reconocimiento público y documentado de una tensión que va a crecer: el ecosistema de “agentes de IA que actúan por vos” — pagos agénticos, compras automáticas, gestión financiera delegada — choca directamente con la estructura legal de responsabilidad que los bancos tradicionales llevan décadas construyendo.

Las grandes plataformas de IA están empujando hacia un futuro donde el agente no solo te recomienda qué hacer sino que lo hace por vos. Eso requiere acceso a sistemas que hoy no están diseñados para delegar autorización de forma segura y reversible. El banco tiene razón en advertirlo — pero la advertencia no resuelve el problema de fondo, que es que no existe todavía un estándar claro de cómo un agente de IA debería acceder a tu cuenta de forma autorizada, auditada y con responsabilidad legal distribuida.

Lo que viene para LATAM

Ningún banco latinoamericano ha salido a decir esto en voz alta todavía. Pero el mismo problema está llegando: Nubank tiene asistentes de IA integrados en su app. Mercado Pago también. Los bancos digitales de la región están incorporando funciones conversacionales que, en algún punto, van a tocar la gestión de cuentas. La pregunta no es si va a pasar, sino cuándo alguien va a poner por escrito quién responde cuando algo sale mal.

La respuesta de Bank of America es clara: el usuario. Por ahora, en LATAM, esa pregunta está sin responder — lo que en la práctica significa que también responde el usuario, solo que sin que nadie se lo haya dicho explícitamente todavía.

Hay una solución técnica parcial que ya existe: el open banking con autenticación vía OAuth permite que terceros accedan a tu cuenta sin que compartas tu contraseña — el banco emite un token de acceso limitado y revocable. Es exactamente para esto que se construyó. El problema es que la mayoría de los agentes de IA que circulan hoy no la usan, porque es más fácil pedirte el usuario y la clave.

Hasta que eso cambie, el consejo de Bank of America es el correcto: no le des tus credenciales a ningún agente. No porque la IA sea mala — sino porque la letra chica ya está escrita, y vos firmaste antes de leerla.