El nuevo juego del compliance con IA
La IA hace posible monitorear todo, todo el tiempo, y eso cambia el precio del trabajo mecánico de compliance. Pero viene con dos problemas nuevos: el falso positivo en escala y la norma alucinada. Por eso, en este módulo, ninguna alerta y ninguna cita se convierte en acción sin verificación.
Conectas el monitoreo continuo de transacciones de la empresa a una IA y le pides que marque cualquier cosa fuera de lo normal. En la primera semana llegan cuatro mil alertas. Tendrías capacidad de investigar cincuenta. En medio de la pila, un pago fraccionado para evitar el límite de reporte pasa junto con tres mil novecientas alertas de gente que solo pagó a un proveedor en un día distinto al habitual. Mientras tanto, en el informe trimestral que la misma IA ayudó a armar, cita "conforme al artículo 12 de la norma interna de terceros", solo que ese artículo habla de otra cosa. Nadie abrió la norma para verificar antes de llevarlo al comité.
Le pides a la IA que revise seis mil asientos contables del trimestre en busca de señal de fraude o error material, algo que la auditoría interna tardaría semanas en muestrear manualmente. Revisa todo y marca ciento cuarenta asientos; la mayoría es reclasificación de rutina, falso positivo que se descarta rápido. Tres, sin embargo, muestran un patrón de asiento fraccionado que ninguna muestra manual habría detectado. En el informe que justifica el hallazgo, la IA cita "conforme la norma contable CPC 47, ítem 31", solo que el ítem real habla de otra cosa. El CFO que firma el informe de auditoría es quien responde por la cita, no quien generó el borrador.
Le pides a la IA que acelere la due diligence de una adquisición, revisando cuatrocientos contratos de suministro en busca de cláusula de exclusividad que entre en conflicto con el negocio nuevo. Revisa todo en minutos y señala doce contratos. Diez tienen exclusividad ya vencida, falso positivo que se descarta al instante. Dos son reales y cambiarían el valor del negocio. En el mismo informe, sin embargo, cita "el artículo 480 del Código Civil autoriza la resolución", un número que no corresponde al dispositivo que describe. Quien firma el dictamen de M&A es quien responde por la cita equivocada, no la IA.
Le pides a la IA que revise todas las piezas publicitarias del trimestre en busca de claim que necesite comprobación regulatoria, algo que el equipo de compliance de marketing nunca logró hacer pieza por pieza al ritmo manual. Revisa trescientas piezas y marca veintidós; la mayoría es lenguaje exagerado pero dentro de lo aceptable, falso positivo descartado en minutos. Dos, sin embargo, hacen una promesa de resultado que el organismo regulador rechazaría con certeza. En el dictamen que libera la campaña, la IA cita "el artículo 37 del Código de Defensa del Consumidor ampara esta comparación", solo que el artículo real trata otra hipótesis. Quien aprueba la pieza es quien responde por la publicidad engañosa, no la herramienta.
Le pides a la IA que cruce el entrenamiento obligatorio de compliance de toda la empresa con quién realmente completó el módulo, tarea que RRHH tardaría semanas en reconciliar manualmente entre tres sistemas distintos. Revisa toda la base y marca ciento ochenta pendientes; la mayoría es gente que terminó pero el sistema no sincronizó, falso positivo que se resuelve con un clic. Doce, sin embargo, son gerentes que nunca hicieron el entrenamiento anticorrupción, hallazgo que la auditoría anual no detectaría a tiempo. En el informe de conformidad que va al comité, sin embargo, la IA afirma "conforme la política interna 4.2, ítem III", que trata otro asunto. Quien firma el informe de RRHH responde por la cita equivocada.
Le pides a la IA que revise el backlog de features en busca de cualquier cosa que trate dato personal de un modo que necesite evaluación de impacto a la protección de datos, revisión que el equipo de producto nunca hizo feature por feature. Revisa doscientas entradas y marca dieciocho; la mayoría es dato ya anonimizado, falso positivo descartado rápido. Dos, sin embargo, involucran geolocalización de un menor sin ninguna base legal, hallazgo que nadie había levantado. En el documento que justifica el lanzamiento, la IA cita "el artículo 14 de la LGPD autoriza este tratamiento sin consentimiento", una lectura que no corresponde al texto real del artículo. Quien aprueba el lanzamiento responde por la cita.
Le pides a la IA que revise el funnel de ventas en busca de cualquier negocio que involucre pago a un agente público o intermediario sin due diligence previa, algo que el equipo comercial nunca tendría tiempo de revisar negociación por negociación. Revisa ochocientas oportunidades y marca quince; la mayoría es confusión de nombre parecido, falso positivo que se descarta al instante. Una, sin embargo, muestra una comisión a un intermediario con historial de sanción, riesgo real de anticorrupción. En el dictamen que libera el cierre, la IA cita "la política comercial 3.1 permite comisión de hasta 10% sin aprobación adicional", cuando el límite real de la política es otro. Quien firma la liberación de la venta responde por el número equivocado.
Le pides a la IA que revise el historial de mil órdenes de compra en busca de fraccionamiento para evadir el nivel de aprobación, análisis que la auditoría interna haría por muestreo una vez al año. Revisa todo y marca sesenta órdenes; la mayoría es coincidencia de monto sin relación entre sí, falso positivo que se descarta rápido. Cinco, sin embargo, muestran al mismo proveedor recibiendo pedidos fraccionados en la misma semana, para quedar siempre por debajo del límite que exige segunda aprobación. En el informe de controles internos, sin embargo, la IA cita "conforme el límite de aprobación definido en la norma 2.3", solo que esa norma define otro valor. Quien firma el informe de controles responde por la cita equivocada.
Le pides a la IA que revise toda la base de proveedores en busca de señal de conflicto de interés y devuelve doscientos diez proveedores marcados en una mañana, algo que tomaría un mes hacer a mano. La mayoría son homónimos sin relación alguna con un colaborador, falso positivo que descartas rápido. Solo que dos de verdad tienen un socio oculto vinculado a un gerente del área de compras, hallazgo que nadie tendría tiempo de encontrar al ritmo manual. Al mismo tiempo, en un dictamen de adecuación a la LGPD generado en el mismo flujo, la IA afirma "el tratamiento está amparado por el artículo 7, inciso I", cuando el proceso real usa otra base legal. La ganancia de escala y el riesgo de invención llegan juntos, siempre.
Le pides a la IA que revise los logs de acceso al sistema financiero en busca de cualquier patrón que sugiera uso indebido de credencial privilegiada, revisión que seguridad nunca lograría hacer log por log manualmente. Revisa un mes entero de acceso y marca cuarenta eventos; la mayoría es uso legítimo fuera del horario común, falso positivo descartado rápido. Tres, sin embargo, muestran una credencial de un ex empleado todavía activa accediendo a dato sensible, hallazgo que nadie había notado. En el informe de incidente, la IA cita "conforme la política de acceso 6.4, ítem II", que en realidad trata otro control. Quien firma el informe de seguridad responde por la cita.
Le pides a la IA que revise todas las pantallas de recolección de consentimiento del producto en busca de cualquiera que no deje claro qué se está recolectando y por qué, revisión que el equipo de diseño nunca hizo pantalla por pantalla en un producto con doscientas pantallas. Revisa todo y marca dieciséis; la mayoría es redacción solo un poco genérica, falso positivo que se ajusta en minutos. Dos, sin embargo, recolectan ubicación sin ningún aviso visible al usuario, riesgo real de incumplimiento. En el informe que justifica el lanzamiento, la IA cita "el patrón de diseño aprobado en la guía 2.1 permite este formato", cuando la guía real no trata ese caso. Quien aprueba la pantalla responde por la cita.
Le pides a la IA que revise las actas de comité y los planes de expansión de los últimos tres años en busca de una decisión que hoy entraría en conflicto con una nueva política de compliance para operaciones internacionales. Revisa todo en minutos y marca ocho documentos; la mayoría es mención de paso, falso positivo descartado rápido. Uno, sin embargo, muestra que la empresa ya había decidido entrar a ese país y retrocedió justamente por riesgo de compliance, memoria que nadie recordaba. En el resumen ejecutivo que va al directorio, la IA cita "conforme el dictamen jurídico de 2023, artículo 5 del acuerdo bilateral", cuando ese dictamen nunca mencionó artículo alguno. El ejecutivo que firma el memorando responde por el dato inventado.
Oye, fíjate en algo: el peligro del compliance con IA no es que vigile menos cosas. Es lo contrario. Enciende el monitoreo en todo, todo el tiempo, y dos problemas nuevos aparecen justo por eso. El primero es la alerta que sobra: cuando apuntas una IA a vigilar cada transacción, cada contrato, cada proveedor, te devuelve más señal de la que cualquier equipo puede investigar, y lo real se esconde en la multitud de lo irrelevante. El segundo es peor: la misma IA que te ayuda a armar el informe para justificar la decisión a veces cita una norma que no existe, o que existe y dice otra cosa. En casi cualquier otro lugar esto sería retrabajo. En compliance, esto se convierte en reporte equivocado al regulador, sanción y una firma que no tiene vuelta atrás.
La idea central de esta lección. La IA comoditiza el monitoreo mecánico de compliance (leer cada transacción, cada contrato, cada log, cada currículum de proveedor), y eso se vuelve barato y continuo en vez de muestral y anual. Lo que se vuelve más caro es lo que ella no entrega: el criterio de materialidad (¿esta alerta es riesgo real o ruido?) y la responsabilidad de quien firma el informe ante el comité o el regulador. Y existen dos problemas que vienen juntos, siempre: el falso positivo en escala, que ahoga al analista en alertas, y la norma alucinada, que la IA cita con la misma cara de certeza que una cita verdadera. Por eso la regla de este módulo es dura: ninguna alerta se convierte en descarte y ninguna norma citada se convierte en informe sin verificación en la fuente.
01Lo que la IA comoditiza en compliance
Comoditizar es lo que pasa cuando algo que era caro y raro se vuelve barato y constante. Eso fue lo que la IA hizo con el monitoreo de compliance, y vale la pena enfrentarlo de frente.
Piensa en lo que era compliance hasta hace poco: muestreo. No podías leer cada transacción, entonces elegías una porción y cruzabas los dedos para que la bomba no estuviera fuera de ella. La auditoría de proveedores era anual, el mapa de riesgo era un PowerPoint que nadie actualizaba entre una reunión de comité y otra, el entrenamiento era genérico porque personalizar por cargo daba demasiado trabajo. La IA cambia esa cuenta: lee el volumen entero, todos los días, sin cansarse.
Esto no es amenaza, es palanca. Lo que se volvió commodity pierde el precio de hacerse manualmente, y el dinero que sobra va hacia donde está el valor de verdad. La pregunta correcta no es "cómo protejo ese monitoreo", es "a dónde se fue el trabajo que sobró de hacer esto a mano". ¿Listo?
02Lo que se vuelve más caro: criterio de materialidad y responsabilidad
Si el monitoreo se convirtió en commodity, el valor no desapareció, migró. Migró hacia dos cosas que la IA no entrega sola.
La primera es el criterio de materialidad. La IA enciende una alerta y te cuenta el patrón que vio: pago fuera de lo común, cláusula que desentona, currículum con vacío. No te dice, con responsabilidad, si esa alerta es el riesgo que derrumba la empresa o una coincidencia inocua. Ese criterio pesa el contexto del negocio, la historia del proveedor, el tamaño del impacto si es real. Es trabajo de gente que entiende el negocio, no solo el patrón.
La segunda es la responsabilidad, y aquí no hay medias tintas. Quien firma el informe de compliance ante el comité, quien certifica el cumplimiento ante el regulador, responde. Siempre. La IA no comparece en la reunión con el directorio, no presta declaración, no pierde el cargo si el informe estaba mal. Puede producir la revisión, pero no puede tener la última palabra.
Piénsala como un pasante incansable que lee todo y nunca duerme, pero a veces se equivoca con la misma cara de quien acertó. Usas su trabajo, y aun así eres tú quien firma y responde. ¿Listo?
03La salvedad mortal: falso positivo en escala y norma alucinada
Ahora la parte que hace que el compliance con IA sea diferente de casi cualquier otro dominio. Dos riesgos aparecen juntos, y ambos vienen del mismo lugar: la escala.
El primero es el falso positivo en escala. Cuando apuntas una IA a vigilar todo, enciende todo lo que desentona, aunque la mayoría sea ruido. Miles de alertas por semana no es señal de un sistema que funciona bien, es señal de que nadie calibró lo que importa, y el efecto colateral es serio: el analista se acostumbra a descartar, y el día que aparece la alerta de verdad, la descarta junto con el resto. Es la fatiga de la alarma, y mata más compliance que la falta de monitoreo.
El segundo es la norma alucinada. La misma IA que revisa el volumen a veces cita un artículo de ley, una cláusula de política interna, un ítem de norma técnica que no dice lo que afirma, o que ni siquiera existe. Lo hace con el mismo tono seguro que usa cuando acierta. Un informe de compliance apoyado en una norma inventada no es solo un error de redacción: es un incumplimiento reportado de forma equivocada al propio comité de riesgo o al regulador.
04La regla de oro: verificar antes de convertir en acción
De todo lo que vimos sale una única regla práctica, y vale el módulo entero: en compliance, ninguna alerta se convierte en descarte y ninguna norma citada se convierte en informe sin pasar por verificación. Sin excepción.
Verificar aquí quiere decir dos cosas concretas. Primero, toda alerta descartada como falso positivo necesita un motivo registrado, no un "parece que no es nada". Segundo, toda cita de norma, sea la Ley General de Protección de Datos (LGPD), una política interna o un estándar técnico, se verifica en el texto oficial antes de entrar en un informe. Si la IA dijo que el artículo 7 ampara el tratamiento, abres el artículo 7 y verificas que lo ampara de verdad.
El marco económico cierra el razonamiento: la IA derrumba el costo de monitorear todo, pero el costo de verificar es el nuevo trabajo caro, y es el que protege la firma en el informe. Quien se salta esa verificación está tercerizando su propia responsabilidad a un modelo que no responde por nada ante el regulador. Piensa en una represa: la IA construye las compuertas rápido, pero es el ingeniero quien firma el dictamen antes de dejar pasar el agua. ¿Listo?
05El mapa del módulo Compliance
Esta lección es la puerta de entrada. De aquí en adelante el módulo baja a cada pieza concreta del compliance con IA, siempre bajo la misma regla de oro.
Vas a aprender a conectar las políticas internas y las evidencias de auditoría a la IA, con la Ley General de Protección de Datos (LGPD) como el caso permanente que atraviesa el módulo entero. Vas a ver el mapa de riesgo que se actualiza solo en vez de convertirse en PowerPoint anual. Vas a usar la IA en la due diligence de terceros, revisando proveedor y socio sin confiar ciegamente en el resumen. Vas a armar un entrenamiento que realmente funciona, en lugar del e-learning genérico que nadie recuerda. Vas a estructurar el canal de denuncia y la investigación con secreto absoluto. Y vas a auditar toda norma citada, el paso que separa un informe confiable de un pecado capital del área, hasta diseñar el OS, el sistema operativo de compliance que amarra todo esto en un flujo.
Hazlo ahora
Toma una tarea de compliance real y mecánica de tu día que estarías dispuesto a delegar a la IA: tu tarea real.
- Clasifica: ¿qué en esa tarea es mecánico (monitorear, revisar, cruzar base) y qué es criterio (materialidad del riesgo, prioridad, decisión de reportar)? Enumera en dos columnas.
- Señala la firma: ¿quién responde si el informe final está mal o si la alerta real fue descartada? Escribe el nombre del humano responsable.
- Enumera lo que tendría que verificarse antes de convertirse en acción: cada norma citada, cada alerta descartada como falso positivo.
- Define el portero: escribe en una frase la regla de verificación que vas a aplicar antes de que cualquier alerta o cita de la IA se convierta en informe.
Acabas de separar lo que la IA comoditiza de lo que sigue siendo tuyo, y diseñaste la puerta de verificación que protege tu firma.
Practica
1. En el nuevo juego del compliance con IA, ¿qué describe mejor lo que la IA hace y lo que se vuelve más caro?
2. ¿Por qué el falso positivo en escala es un riesgo central de usar IA en compliance?
3. ¿Cuál es la regla de oro de este módulo para usar IA en compliance con seguridad?
Para la pizarra
Sobre lo que cambia de preciobaja el precio del barrido mecánico y sube el valor de juzgar qué es riesgo real.
Sobre el falso positivovigilar todo sin calibrar produce más señal de la que el equipo puede investigar, y ahí es donde se pierde el riesgo real.
Sobre la regla de oroverificar antes de que se vuelva acción. Es el portero que protege tu firma.
Gracias por el feedback. Esto ayuda a afinar la próxima lección.