IA en el sector financiero: qué controles exigir

Llega primero, pero llega regulado

El sector financiero es de los que más rápido adopta IA en Latinoamérica y también el que opera bajo más escrutinio. El mensaje de los reguladores es consistente: la IA no está prohibida; se audita. La OCDE ya identificaba en 2021 los riesgos que más preocupan a los supervisores: decisiones difíciles de explicar, sesgos, manejo de datos personales y dependencia de terceros (OCDE, 2021).

Para que un agente opere en una entidad financiera hacen falta cinco controles verificables. Cada uno corresponde a una decisión de diseño concreta, no a una política en PDF.

1. Trazabilidad: cada acción, registrada

Las entidades vigiladas ya deben conservar el soporte de sus operaciones y poder reconstruirlas ante una revisión, por ejemplo en la prevención de lavado de activos (SARLAFT). Un agente que atiende o decide dentro de esos procesos hereda la misma exigencia.

En la práctica, cada acción del agente (respuesta enviada, caso escalado, documento consultado, decisión tomada) queda registrada con tres datos: quién actuó, qué información consultó y qué regla aplicó. Así, atender una solicitud del supervisor toma minutos, no semanas.

2. Explicación: por qué respondió eso

Un agente en finanzas debe poder explicar cada respuesta al cliente, al equipo interno y al supervisor. La forma más directa es que responda solo con lo que puede citar: cada afirmación se rastrea al documento que la sostiene y, si la fuente no existe, el agente dice “no encontré la información” y pasa el caso a una persona. Eso cierra la puerta al riesgo más grave en finanzas: el dato inventado dicho con seguridad.

3. Sesgos: no se resuelven con el modelo más nuevo

Los sesgos en evaluación de crédito y prevención de fraude son un riesgo conocido. El Reglamento europeo de IA, por ejemplo, clasifica como de alto riesgo los sistemas que evalúan la solvencia de las personas (UE, Reglamento 2024/1689). La respuesta práctica tiene tres partes: pruebas antes de salir a producción, seguimiento de cambios en el comportamiento después y revisión humana de una muestra de las decisiones automáticas.

4. Datos personales: autorización y uso limitado

En Colombia, la Ley 1581 de 2012 regula el tratamiento de datos personales y la Superintendencia de Industria y Comercio la supervisa. Un agente que maneja datos de clientes debe respetar la autorización del titular y usar los datos solo para la finalidad autorizada. En el diseño eso se traduce en:

• Separación por cliente. La información de una empresa nunca se mezcla con la de otra.
• Cifrado. Tanto en tránsito como almacenada.
• Conservación controlada. Queda registro de qué dato vio el agente, cuándo y con qué autorización.

5. Continuidad: sin punto único de falla

Si la atención al cliente depende de un agente, su caída es un problema operativo. La respuesta: respaldo entre modelos, paso explícito a una persona cuando algo falla y pruebas periódicas de continuidad.

En operación

Las cooperativas financieras están entre los casos donde el resultado llega más rápido. En Cootradecun, el 85% de las solicitudes se resuelve sin intervención humana, con registro de cada acción del agente.

Cinco preguntas antes de salir a producción

• ¿Quién responde por cada decisión que toma el agente?
• ¿Cómo se explica una decisión puntual a un cliente y al supervisor?
• ¿Cómo se detectan y corrigen los sesgos, y cada cuánto?
• ¿Qué pasa si el agente falla y cuánto tarda una persona en tomar el caso?
• ¿Dónde están los datos, quién los vio y por cuánto tiempo se guardan?

Las cinco respuestas están en el diseño, no en una política. El registro de acciones responde la primera, la cuarta y la quinta; las respuestas con fuente, la segunda; las pruebas y el seguimiento, la tercera.

La pregunta no es si tu entidad puede usar IA. Es si puede defender ante un auditor cada respuesta que dio el agente.

Lo que viene

El Reglamento europeo de IA se aplica por etapas desde 2024 y alcanza a proveedores que operan en Europa. En la región, Brasil discute su propio proyecto de ley (PL 2338 de 2023) y Colombia avanza en su política de IA. La exigencia regulatoria solo va a subir, y ajustar un sistema ya construido cuesta más que diseñarlo bien desde el inicio.