APRA CPS 234 regula la seguridad de la información para todas las entidades reguladas por APRA, bancos, aseguradoras y fondos de pensiones. Con la aceleración de la adopción de IA en los servicios financieros australianos, el cumplimiento de CPS 234 ahora requiere considerar explícitamente los sistemas de IA, la IA en la sombra y el riesgo de proveedores de IA.
Lo que realmente exige CPS 234
CPS 234 tiene cuatro pilares fundamentales: Capacidad (capacidad de seguridad de la información proporcional al riesgo), Marco de Políticas (políticas documentadas), Implementación (controles) y Auditoría (garantía independiente). Cada pilar ahora se cruza con la IA.
Dónde la IA crea riesgos de cumplimiento con CPS 234
Tres áreas de riesgo específicas requieren atención: (1) herramientas de IA que procesan datos de clientes sin la clasificación adecuada, esto viola el estándar de mínimo necesario; (2) IA en la sombra, empleados que usan ChatGPT no aprobado, herramientas de transcripción IA y servicios similares que no están registrados en el inventario de activos de información; (3) riesgo de proveedores de IA, los proveedores externos de IA deben cumplir con los requisitos de terceros de CPS 234, incluyendo acuerdos de procesamiento de datos equivalentes a BAA.
El problema de la IA en la sombra para entidades reguladas por APRA
APRA espera que las entidades reguladas mantengan un inventario de activos de información que cubra todos los sistemas que almacenan o procesan información regulada. Las herramientas de IA en la sombra usadas por empleados, herramientas de redacción IA, análisis de datos IA, comunicación IA, son activos de información que casi con certeza no están en ese inventario. APRA ha señalado un aumento en el escrutinio de la gobernanza de IA mediante CPG 234.
Qué espera la auditoría CPS 234 sobre IA
Una auditoría independiente bajo CPS 234 preguntará cada vez más: (1) ¿Qué sistemas de IA están en uso? (2) ¿Qué datos de clientes y regulados procesan? (3) ¿Existen acuerdos con proveedores? (4) ¿Qué controles existen para evitar la exfiltración de datos vía IA? Si no puede responder con evidencia, tendrá un hallazgo.
5 pasos prácticos para el cumplimiento de IA regulado por APRA
- Realice un inventario de sistemas de IA incluyendo el descubrimiento de IA en la sombra
- Clasifique las herramientas de IA según sus niveles de activos de información
- Revise todos los acuerdos con proveedores de IA conforme a los requisitos de terceros de CPS 234
- Implemente controles en tiempo real para evitar que datos regulados ingresen a herramientas de IA no aprobadas
- Documente su marco de gobernanza de IA para evidencias de auditoría
Cómo Aona ayuda a las entidades reguladas por APRA
Aona ofrece a las instituciones financieras australianas la capa de descubrimiento, los límites y el registro de auditoría necesarios para demostrar el cumplimiento de CPS 234 para IA: descubrimiento automático de herramientas IA (incluyendo IA en la sombra), controles de protección de datos en tiempo real, registros completos de auditoría e informes de cumplimiento diseñados para exámenes APRA.
