La soberanía digital en el sector bancario

Hace una década, ni los países ni las instituciones financieras consideraban la soberanía digital una prioridad, y en la mayoría de los casos ni siquiera era lo suficientemente relevante como para debatirla. La globalización de la cadena de suministro era la tendencia dominante para la mayoría de las categorías de adquisiciones, y dónde y qué subcontratar era simplemente una cuestión de comprar el mejor producto o servicio posible al mejor precio, determinado únicamente por las sanciones, las regulaciones y otros riesgos operativos existentes, como tener un proveedor de respaldo listo para los suministros críticos. 

Pero el mundo ha cambiado desde entonces, con la interrupción de la cadena de suministro durante la COVID y las nuevas dinámicas en el panorama geopolítico. Ahora, muchos bancos, aseguradoras e instituciones financieras quieren desarrollar un control más autónomo, si no total, de su tecnología y operaciones. A veces, esto viene impulsado por la estrategia de la organización, pero, en otros casos, lo imponen los reguladores, ya que el papel de los bancos en la economía y la sociedad aumenta su importancia más allá de los resultados empresariales individuales.

Como consecuencia, la mentalidad del sector ha cambiado de la "globalización predeterminada" a la "regionalización o localización cuando sea posible". Este es un cambio transformador para el sector bancario que probablemente lleve años implementar, ya que los proveedores de tecnología están presentes en toda la cadena de valor de los bancos y en todo el ecosistema financiero, con conectividad e interdependencia tecnológica entre proveedores, partners y clientes.

¿Qué es la soberanía digital?

Según el Foro Económico Mundial, la soberanía digital de los países se refiere a su capacidad para controlar su propio destino digital, es decir, los datos, el hardware y el software en los que se basan y que crean. Por exclusión, también significa que nadie ajeno a la administración del país puede tener control sobre sus datos, hardware y software; nadie puede acceder a su tecnología ni apagar ninguno de sus sistemas sin consentimiento, y nadie puede eludir sus regulaciones. Esto significa que el país no depende de la voluntad de terceros para seguir sus normas, ya que es técnicamente imposible que alguien asuma el control (o cierre) de cualquier parte fundamental de su tecnología, operaciones o datos. 

Al aplicar esto a nivel de la organización bancaria, vale la pena destacar que la soberanía no se trata solo de la residencia de los datos (ya que esto existe desde hace años). También abarca el hardware, el software y las operaciones de los que dependen los bancos, e incluso la gobernanza de aquellos proveedores que son fundamentales para la actividad bancaria. El objetivo final es mitigar, o al menos comprender mejor, los riesgos que podrían derivarse de decisiones de terceros, como que un proveedor tenga su sede u opere en un país con regulaciones diferentes, o incluso las interrupciones sistémicas o repetitivas que se originen en otros países. Por ejemplo, una entidad de subcontratación en el extranjero que ejecuta un sistema bancario central, o una infraestructura proporcionada por una filial nacional de una empresa extranjera, probablemente se señalen como que necesitan atención en materia de soberanía.

Hay cuatro niveles de soberanía digital:

• Soberanía de los datos: Centros de datos ubicados en el país o la región (p. ej., la UE)
• Soberanía técnica: Uso de estándares abiertos y open source
• Soberanía operativa: Red Hat Confirmed Sovereign Support para la Unión Europea, tanto para los clientes de la UE como para quienes prefieran esta opción
• Soberanía de Assurance: Software open source verificable, listas de materiales de software (SBOM) y compilaciones reproducibles

El papel de la tecnología open source en el apoyo a la soberanía digital 

El software propietario está controlado por las empresas que lo desarrollan y distribuyen, y los clientes tienen un control muy limitado sobre los productos de software que utilizan. Por ejemplo, los usuarios de software propietario pueden influir en el comportamiento del software a través de las opciones de configuración, pero no pueden cambiar la funcionalidad del software modificando el código. Tampoco podrán comprender la funcionalidad del software (y los posibles errores u otros problemas) leyendo el código fuente.

Aunque muchas empresas de software propietario operan internacionalmente y cumplen plenamente las normativas locales a través de sus filiales, su gobernanza interna a menudo las obliga a adherirse a la regulación y gobernanza de su empresa matriz. Un buen ejemplo de las implicaciones de esta estructura son los EE. UU. Cloud Act (Clarifying Lawful Overseas Use of Data Act), aprobada en 2018, que tiene implicaciones significativas en la residencia y el tránsito de datos de los bancos. Esta ley federal de EE. UU. permite que las fuerzas del orden de EE. UU. obliguen a las empresas de tecnología con sede en EE. UU. a divulgar datos electrónicos, incluso si los datos se almacenan fuera de los Estados Unidos. Como consecuencia, muchos bancos tuvieron que revisar sus estrategias de almacenamiento y tránsito de datos de clientes de acuerdo con sus normas específicas de protección de datos; por ejemplo, el Reglamento General de Protección de Datos (GDPR) de la UE o la Ley de Protección de Datos Personales Digitales (DPDP Act) de la India.

En cambio, el software open source es creado por comunidades globales y desarrollado por personas y empresas que pueden estar ubicadas en cualquier parte del mundo. 

Ningún gobierno ni regulación puede obligar a estas comunidades a insertar puertas traseras, interruptores de seguridad, geovallas u otros mecanismos no deseados que puedan eludir los controles del usuario, o que de alguna manera influyan o restrinjan el uso del código, ya que el código fuente está disponible para que cualquier persona lo examine en cualquier momento. 

Hay dos características intrínsecas del software open source que son particularmente adecuadas para la soberanía digital:

• Autonomía: El software open source está creado por desarrolladores que pueden estar en cualquier parte del mundo y contribuir a proyectos comunitarios de colaboración. Además, ningún país u organización tiene derecho a reclamar la propiedad intelectual o la gobernanza del open source, ni puede cerrar aplicaciones que utilicen software open source.
• Transparencia: El open source ofrece la transparencia de la que carecen las soluciones propietarias. Cada línea de código open source puede ser inspeccionada y auditada, no solo por la organización que utiliza el software, sino también por las comunidades de desarrolladores. Los sistemas de gestión de código fuente distribuido que se utilizan con mayor frecuencia en los proyectos open source, como Git (y GitHub, GitLab, etc.) proporcionan registros de cambios, y todos los cambios están firmados digitalmente. Esta transparencia y trazabilidad inherentes fomentan prácticas de seguridad sólidas, facilitan el cumplimiento normativo, generan confianza y agilizan los procesos de auditoría. 

Multicloud híbrida para obtener flexibilidad y resiliencia 

Una de las principales preocupaciones sobre la soberanía es la dependencia de una lista reducida de proveedores de infraestructura, muchos de los cuales tienen su sede en un solo país. Esto es especialmente cierto en el panorama de los proveedores de servicios en la nube, donde tres proveedores controlan casi el 65 % de la cuota de mercado a nivel mundial. Incluso antes del auge de la soberanía digital, esta concentración de riesgos ya estaba en el punto de mira de algunas regulaciones, como la Ley de Resiliencia Operativa Digital (DORA) de la UE y la política de resiliencia operativa SS1/21 de la Autoridad de Regulación Prudencial (PRA) del Reino Unido.

Muchos bancos han optado por una plataforma multicloud híbrida, lo que permite el control y la elección con un enfoque flexible y abierto. Esto les permite mantener abiertas sus opciones en cuanto a qué servicios de nube utilizar, así como aprovechar la innovación, la velocidad y la flexibilidad que ofrecen los servicios nativos de la nube. 

Red Hat: Tu nube, tus reglas

Con las tecnologías open source empresarial de Red Hat, los clientes pueden seguir utilizando el software si finaliza su relación legal y comercial con Red Hat. Red Hat está aumentando su apoyo a los bancos que buscan opciones soberanas, lo que ayuda a mitigar el riesgo y eliminar la carga de cambiar de proveedor. Red Hat ha publicado nuestro compromiso con los principios de la nube soberana y ha presentado Red Hat Confirmed Sovereign Support para la Unión Europea, con personal de la UE que trabaja de acuerdo con las regulaciones de la UE y la expansión del ecosistema local.

Red Hat también proporciona una cadena de suministro de software confiable y claramente documentada, utiliza prácticas de desarrollo seguras y tiene procesos de compilación sólidos, empaquetado robusto y distribución transparente. Complementado con una supervisión y verificación continuas, todo esto ayuda a evitar que se introduzcan componentes no soberanos que puedan interrumpir el servicio.

Las plataformas de Red Hat también están diseñadas para implementaciones multicloud, lo que aborda los requisitos críticos de residencia de datos y operacionales. Nuestra plataforma de nube híbrida abierta ofrece portabilidad de cargas de trabajo, por lo que las organizaciones pueden migrar cargas de trabajo entre diferentes proveedores de nube o a sus propios entornos locales. Esto les permite reaccionar rápidamente a los requisitos soberanos en evolución y ayuda a mejorar la resiliencia operativa.

Liberando el futuro con inteligencia artificial soberana

Ya existen muchas opciones de modelos en el panorama de la inteligencia artificial, desde los modelos predictivos que existen desde hace años, hasta los modelos dinámicos de lenguaje grande (LLM) de inteligencia artificial generativa que han surgido más recientemente, y casi todas las semanas se anuncian nuevas innovaciones o mejoras. 

Los modelos de inteligencia artificial generativa (IA generativa) tienen una variedad de tamaños, opciones de alojamiento, grados de apertura y otros factores, cada uno con ventajas y desventajas según el caso de uso. Esto es particularmente importante para la banca, ya que los datos de los clientes deben protegerse y las regulaciones dan forma al uso de las tecnologías disponibles. Hay tres dimensiones que determinan si una inteligencia artificial es adecuada para un propósito. 

• Transparencia: Para los casos de uso bancarios que tomarán decisiones o interactuarán con los clientes en el momento de la inferencia, es fundamental comprender cómo funciona el modelo y qué datos se han utilizado para el entrenamiento. Esto es vital porque las alucinaciones de la inteligencia artificial pueden tener importantes implicaciones regulatorias, comerciales y de reputación.
• Soberanía tecnológica y operativa: Nadie ajeno al banco o a su gobernanza supervisora debe poder desactivar los servicios críticos en el momento de la inferencia. Este requisito significa que los modelos no pueden alojarse fuera del control tecnológico de los bancos.
• Datos del cliente: Las regulaciones hacen que los bancos sean totalmente responsables de la confidencialidad de los datos de los clientes, por lo que deben poder garantizar que los datos de los clientes estén protegidos y se mantengan privados. Aunque algunos modelos de inteligencia artificial afirman contractualmente que no utilizarán ni verán los datos de los clientes, la posibilidad de una posible infracción significa que, para algunos casos de uso, es preferible utilizar modelos que estén más cerca de los datos de los clientes.  

En Red Hat creemos que los bancos utilizarán diferentes modelos de inteligencia artificial, infraestructura y aceleradores de hardware para diferentes casos de uso. También creemos que esta plataforma de inteligencia artificial se integrará estrechamente con sus plataformas de aplicaciones, vivirá en la nube híbrida y compartirá procesos y herramientas para ejecutar los servicios y operaciones tecnológicos de los bancos de manera más eficiente. Esta arquitectura de nube híbrida integrada ayudará a los bancos a mantener abiertas sus opciones y a estar preparados para el futuro a medida que los requisitos de soberanía digital se expandan y evolucionen.

Obtén más información sobre lo que Red Hat tiene para ofrecer al sector de los servicios financieros.