El debate sobre la IA ha sido últimamente catastrofista y desalentador: desde el alarmismo global por una supuesta amenaza para la supervivencia de la humanidad, hasta la estrategia empresarial para asentar inversiones o para desarrollar sus sistemas con mayor velocidad que sus competidores. Frente a ello, el limitado margen de actuación del ciudadano promedio ha aupado una corriente estoica frente a la IA apocalíptica.
Sin embargo, hasta el día del Juicio Final debemos abordar otros retos inminentes. Retos que sí impactan en cada ciudadano. Retos como el potencial Terminator en los pagos digitales.
Este riesgo de las máquinas no tiene nada que ver con la saga protagonizada por Arnold Schwarzenegger y Linda Hamilton. No amenazan a la raza humana, sino a la seguridad en los medios digitales de pago[1].
Pese a que los fraudes y las estafas digitales ya constituían una de las principales preocupaciones actuales de la sociedad, ahora están adquiriendo una nueva dimensión por la inteligencia artificial. La IA no crea (por el momento) el engaño[2]: lo replica, imita, simplifica, potencia, diversifica… hace más real el fraude.
Cuantos más datos e informaciones disponga la herramienta, más fácilmente puede estafar[3]. Cuanto más asequible sea la tecnología, más ciberdelincuentes pueden surgir. Y cuanto mayores sean los avances técnicos, mayores riesgos fraudulentos presentan. En consecuencia, la IA se presenta en este campo como un potencial ‘terminador’ de la seguridad en los medios de pago digitales.
Los pagos digitales (y su garantía) ha sido una prioridad para la Unión Europea desde los comienzos de la digitalización del sector financiero. Primero la Directiva 2007/64/CE (PSD1), y después la Directiva 2015/2366 (PSD2), han normativizado la actividad de los proveedores y los usuarios de servicios de pago. No obstante, no han logrado solventar toda la problemática de los pagos digitales y, en muchos casos, han sido incapaces de anticiparse a la evolución de los propios fraudes. Las técnicas de ingeniería social empleadas en el phishing y otras estafas han superado las previsiones regulatorias, de modo que las numerosas pérdidas de los clientes han ido resolviéndose en resoluciones judiciales cada vez más contundentes frente a los proveedores[4].
Ante ello, y tras la aparición y auge de la IA generativa (y su uso para fines malintencionados), era patente la necesidad de replantear el régimen legal de los servicios de pago. Eso es lo que ha hecho Europa.
El pasado abril de 2026 se publicaron los textos de compromiso final de la nueva Directiva sobre servicios de pago y dinero electrónico (PSD3) y del Reglamento de Servicios de Pago (PSR). Falta la adopción del texto definitivo y la publicación en el Diario Oficial para su entrada en vigor, pero las entidades financieras afectadas ya pueden –y deberían– comenzar a implementar todas las novedades.
Como no podía ser de otra manera, entre los objetivos primordiales del paquete regulatorio se encuentra la mejora en la prevención y lucha del fraude. Profundiza en ello el PSR al regular el régimen de responsabilidad de los proveedores y los derechos de los usuarios (lo cual no es baladí, dado que todo lo que establece será de aplicación directa a diferencia de lo que sucedía con la PSD1 y PSD1)[5]. En este sentido, el reglamento señala que los usuarios de servicios de pago deben estar adecuadamente protegidos frente al fraude por ingeniería social. Como estos fraudes difuminaban la distinción entre transacciones autorizadas y no autorizadas, a partir de ahora la autorización de una transacción se basará en el consentimiento real del usuario[6].
No obstante, el reglamento no establece una suerte de reembolso automático y sistemático de todas las transacciones alegadas como fraudulentas (ello podría generar un riesgo moral y una disminución de la vigilancia del cliente). Por el contrario, define las condiciones en las que un usuario de un servicio de pago tiene derecho a un reembolso. Conforme a las mismas, es posible sostener que la manipulación que afecte a la integridad del consentimiento a través de phishing, spoofing, y otras técnicas de ingeniería social será, como regla general, objeto de reembolso por el proveedor del servicio de pago siempre y cuando no exista un comportamiento fraudulento o gravemente negligente en el usuario.
De este modo, el concepto de la negligencia grave surge nuevamente como piedra angular en el régimen de devolución de los importes defraudados. Es importante destacar que esta negligencia del usuario del servicio de pago supone más que un simple y leve descuido, y que se evalúa teniendo en cuenta todas las circunstancias particulares del caso. A estos efectos, el reglamento expone varios ejemplos para valorar el comportamiento del usuario: la innovación y complejidad del fraude; los medios o estrategias utilizados por los terceros para apoderarse ilegalmente de las credenciales de seguridad personalizadas; reincidencia como víctima en el mismo tipo de fraude; la vulnerabilidad del usuario de pago; la adopción de medidas adecuadas de seguridad y confidencialidad por el usuario; la existencia de advertencias claras, específicas y personalizadas de los proveedores de servicios de pago; etc[7]. Las consideraciones anteriores permiten aseverar que, de forma general, los fraudes impulsados por IA deberán ser reembolsados.
En cualquier caso, el contexto tecnológico de cada momento traerá nuevas complicaciones e incertidumbres en los pagos digitales. Por ello, frente al auge de intromisiones artificiales y la expansión de otras novedades digitales es necesaria una diligencia financiera más reforzada que nunca. Los proveedores de servicios de pago no deben adaptarse superficialmente al nuevo marco normativo, sino que deben adoptar sistemas antifraude más proactivos. El enfoque, por tanto, no ha de ser la reparación ni la reacción, sino la prevención, el cual debe alcanzar una doble perspectiva:
- por un lado, la implementación de medidas de seguridad dirigidas a prevenir nuevos tipos de fraude a partir de la monitorización de transacciones y la detección de actividades potencialmente fraudulentas (se enfatiza la idoneidad de la IA para estos propósitos)[8];
- por otro lado, la información y concienciación sobre las amenazas de fraude a los clientes y usuarios de servicios de pago[9].
Resulta innegable que todo ciudadano debe ser consciente de los riesgos de la IA como un posible ‘Terminator’ en los pagos digitales. Pero, al final, las entidades financieras son las realmente encargadas de gestionar dichos riesgos tanto por su posición, como por sus capacidades técnicas y operativas. En caso contrario, podrían enfrentarse a consecuencias civiles, sancionadoras e incluso penales, frente a las que ni John Connor puede salvarles.
[1] Hemos hablado sobre este tema en otros artículos disponibles en: https://gabeiras.com/actualidad/.
[2] Por el momento, muchos ciberdelincuentes están empleando IA para la perpetración de ilícitos. Pero en el futuro podría ser la propia IA. Esto ya se ha advertido por la AEPD, quien ha recibido la primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA (disponible en: https://www.aepd.es/prensa-y-comunicacion/blog/primera-notiviacion-brecha-datos-personales-causada-por-ataque-ejecutado-mediante-agente-ia), y por el Centro Criptológico Nacional, que ha alertado del cambio de paradigma que supone la IA ofensiva para la ciberseguridad (disponible en: https://www.ccn.cni.es/es/actualidad-ccn/1363-el-centro-criptologico-nacional-alerta-del-cambio-de-paradigma-que-supone-la-ia-ofensiva-para-la-ciberseguridad).
[3] Para la IA, al igual que para Francis Bacon, toda información es poder. Y ello engloba el conocimiento del usuario (sus compras, sus preferencias, sus temores, sus relaciones sociales…), el empleo de sus datos (clonación de voces, imitación de respuestas y forma de hablar, ultrafalsificación de imágenes…) y el diseño de elementos probatorios o de legitimidad (webs falsas, creación de imágenes falsas).
[4] Véase, entre otras, la STS 571/2025, de 9 de abril.
[5] Artículos 45 y siguientes del PSR.
[6] Considerando 79 del PSR.
[7] Considerando 82 del PSR. Advierte el citado considerando que la lista citada no es exhaustiva, acumulativa ni vinculante, y no menoscaba la discreción de los tribunales nacionales o de la UE ni de los órganos de resolución de controversias. Además, se prevé la elaboración de directrices por la Autoridad Bancaria Europea (EBA) para especificar con mayor precisión las circunstancias fácticas que deben tenerse en cuenta al evaluar la posible negligencia grave por parte del usuario del servicio de pago.
[8] Considerando 103 del PSR.
[9] Considerando 106 del PSR.