Ninguna norma de la CNBS habla todavía de IA generativa, pero la Resolución GRD No.793/16-12-2022 ya cubre casi todo lo que implica usarla: la gestión del proveedor, la tercerización, los servicios en la nube, los contratos, los incidentes, la capacitación y las bitácoras. Desde la norma, usar Claude o Gemini en un banco hondureño se analiza como contratar un servicio tecnológico en la nube.
Eso es una buena noticia: no tienes que esperar una norma nueva para saber qué hacer. Tienes que aplicar la que ya existe.
¿La CNBS tiene una norma sobre IA?
A octubre de 2026, no encontramos ninguna resolución ni circular de la Comisión Nacional de Bancos y Seguros (CNBS) específica sobre inteligencia artificial. Lo que sí publicó, en enero de 2026, es un boletín informativo sobre IA en los servicios financieros.
El boletín reconoce que el país "aún no cuenta con una estrategia nacional de IA formalizada" y recoge buenas prácticas regulatorias recomendadas por organismos internacionales: un enfoque basado en riesgos, transparencia sobre cómo se toman las decisiones automatizadas, gobernanza de modelos con validación independiente, y protección de datos con detección y corrección de sesgos. No es una norma, pero es la mejor pista de lo que la CNBS va a mirar.
¿Qué artículos de la norma de TI aplican a un servicio de IA?
La Resolución GRD No.793/16-12-2022 contiene las Normas para la Gestión de Tecnologías de Información, Ciberseguridad y Continuidad del Negocio y aplica a todas las instituciones supervisadas. Estos son los artículos que tocan un servicio de IA:
| Artículo | Qué pide | Qué significa para un servicio de IA |
|---|---|---|
| Art. 4 | Que el riesgo de TI esté dentro del marco de gobierno de riesgo, con apetito de riesgo, políticas, controles y una función de riesgo tecnológico | La IA entra en la matriz de riesgo tecnológico, con su propia política |
| Arts. 10 y 12 | Gestionar a los proveedores de TI según su criticidad, considerando si el servicio se ejecuta en el sitio, fuera o en otro país, y analizar su viabilidad técnica, financiera y legal | El proveedor de IA necesita el mismo expediente de debida diligencia que cualquier otro |
| Art. 11 | Que la información tercerizada esté aislada lógicamente del resto de las operaciones del proveedor | Una cuenta empresarial de la institución, nunca cuentas personales |
| Arts. 13 y 14 | La tercerización significativa se notifica a la CNBS 30 días calendario antes de firmar; la de procesamiento de datos requiere además auditoría independiente y acceso de lectura para la CNBS | Si el uso de IA califica como significativo, el reloj empieza antes de la firma |
| Art. 15 | Permite tercerizar en la nube si el contrato permite gestionar los riesgos, considerando el proveedor, los sitios de procesamiento y el tipo de información | La IA en la nube está permitida, con condiciones |
| Art. 16 | El contrato debe permitir auditar al proveedor, por la institución y por la CNBS, recuperar los datos y la documentación, fijar SLA y obligar controles de seguridad y continuidad | Hay que revisar si los términos del proveedor de IA cubren esto |
| Art. 21 | Los incidentes que afecten de forma significativa la confidencialidad se notifican en 2 horas, con reporte preliminar en 2 días hábiles y final en 15 días hábiles | Una fuga a una herramienta de IA puede activar ese reloj |
| Art. 23 | Un programa de capacitación en seguridad para el personal y el órgano de administración | La IA entra en ese programa, incluida la junta directiva |
| Art. 36 | Si el procesamiento significativo está fuera del país, la institución debe conocer la arquitectura con personal en Honduras y garantizar el acceso de la CNBS | Hay que saber dónde se procesan los datos del servicio de IA |
| Arts. 42 y 43 | Bitácoras automatizadas de accesos, transacciones y consultas, guardadas 5 años las transacciones y 6 meses las consultas | El servicio de IA necesita registros que la institución pueda conservar |
¿Usar IA generativa es tercerización significativa?
Depende del uso. La norma define la tercerización significativa como la de servicios "de carácter vital" para la institución, que si fallan afectarían la continuidad del negocio. Además, considera significativas por definición la auditoría de sistemas, la seguridad de la información, el riesgo tecnológico y la infraestructura de TI, y deja que la CNBS o la propia institución identifiquen otras.
Algunos ejemplos para ordenar la discusión con cumplimiento:
| Uso de IA | Pregunta clave | Cómo pensarlo |
|---|---|---|
| Asistente para redactar, resumir o traducir documentos internos | ¿Una falla detiene una operación? | Normalmente no es vital, pero igual necesita proveedor evaluado, política y cuenta empresarial |
| Agente que atiende clientes por WhatsApp o en la web | ¿Los clientes dependen de él para operar? | Puede ser vital; evalúalo como un canal de atención |
| Procesamiento de expedientes de crédito o reclamos de seguros | ¿Procesa datos de clientes en un proceso central? | Puede ser procesamiento de datos significativo |
| IA dentro de la seguridad, la auditoría o el riesgo tecnológico | ¿Toca una función que la norma ya considera significativa? | Probablemente significativa |
Una advertencia honesta: esta tabla ordena la conversación, no la sustituye. La clasificación la hace la institución, con su área de cumplimiento, y la CNBS puede pedir el análisis.
¿Qué cláusulas hay que revisar en el contrato con un proveedor de IA?
El artículo 16 pide cinco cosas. Antes de firmar, confirma dónde está cada una en el contrato o en los términos del proveedor:
- Derecho de auditoría para la institución y para la CNBS sobre el servicio tercerizado.
- Recuperación de la información y la documentación si el proveedor tiene un problema que afecte el servicio.
- Niveles de servicio acordes con lo que la institución necesita.
- Obligaciones de seguridad de la información para el proveedor.
- Continuidad del negocio y recuperación ante desastres.
Los términos estándar de los grandes proveedores de IA no siempre se escribieron pensando en un supervisor centroamericano. Si una cláusula no aparece, documenta cómo la cubres: con un acuerdo empresarial, con la vía de contratación o con controles propios.
¿Qué va a preguntar la CNBS sobre IA?
Con base en la norma de TI y en el boletín de 2026, es razonable prepararse para estas preguntas:
- ¿Qué herramientas y servicios de IA usa la institución, y quién los aprobó?
- ¿Dónde está la evaluación de riesgo de cada uso?
- ¿Dónde está la debida diligencia del proveedor y el contrato?
- ¿Algún uso se clasificó como tercerización significativa y se notificó?
- ¿Cómo se registra la actividad y cuánto tiempo se conserva?
- ¿El personal y la junta directiva recibieron capacitación?
Las cooperativas de ahorro y crédito tienen su propia norma de tecnología, aprobada por CONSUCOOP en diciembre de 2022; las mismas preguntas sirven como punto de partida.
¿Cómo lo hacemos en Andes?
Nuestro paquete de gobierno de IA entrega la política de IA, el inventario de casos de uso, la evaluación de riesgos mapeada al marco de la CNBS y al estándar de tu grupo financiero, las plantillas de debida diligencia de proveedores y la capacitación del personal. Si todavía estás eligiendo la herramienta, revisa qué plan de Claude necesita tu institución, y si no sabes qué se usa hoy, empieza por cómo controlar la IA en la sombra.
¿Tu institución podría responder hoy esas seis preguntas?
Si alguna se queda sin respuesta, ese es el punto de partida. Conoce nuestro servicio de IA para instituciones reguladas y armemos el expediente antes de que alguien lo pida.
Fuentes
- CNBS, Circular No.025/2022, Resolución GRD No.793/16-12-2022 (Normas para la Gestión de Tecnologías de Información, Ciberseguridad y Continuidad del Negocio): https://circulares.cnbs.gob.hn/Archivo/Viewer/2520/1
- CNBS, Inteligencia Artificial en los Servicios Financieros (boletín, enero de 2026): https://www.cnbs.gob.hn/wp-content/uploads/2026/01/Boletin-Informativo-Inteligencia-Artificial-en-los-Servicios-Financieros.pdf