La auditoría de la norma citada: el pecado capital del compliance

Un analista de compliance le pidió a la IA el sustento legal para liberar un nuevo flujo de datos de clientes y recibió, en segundos, "conforme al artículo 7, inciso IX, de la Ley General de Protección de Datos (LGPD), el tratamiento está amparado por interés legítimo, eximiendo el consentimiento". La redacción era impecable, el número del artículo parecía correcto. Casi lo adjuntó directo al dictamen que iba al comité de riesgo. Un colega, por costumbre, abrió el texto de la ley antes de presentarlo: el inciso IX trata la protección al crédito, una hipótesis completamente distinta de la que el flujo exigía. El informe entero estaba apoyado en una lectura equivocada del artículo, y solo la verificación en la fuente, antes de reportar, evitó que el comité aprobara un flujo sin base legal real.

Un analista le pidió a la IA la norma contable que fundamentaba una clasificación de provisión y recibió la cita de un ítem del CPC "en vigor", con redacción convincente. El ítem real del CPC, al verificarlo, trataba otra hipótesis contable, y la clasificación propuesta por la IA no se sostenía. La verificación en la fuente oficial, hecha antes de adjuntar al informe de auditoría, impidió que la clasificación equivocada saliera.

Un abogado interno le pidió a la IA jurisprudencia para sustentar la defensa de la empresa en una fiscalización y recibió cuatro fallos con resultado, sala y ponente. Al auditar antes de presentar, descubrió que dos estaban inventados desde cero y un tercero era real, pero decía exactamente lo opuesto de lo que la IA afirmó que decía. Faltaba una hora para el plazo de respuesta al organismo fiscalizador.

Un equipo le pidió a la IA el sustento regulatorio de un claim de campaña ("aprobado por la autoridad sanitaria") y recibió la cita de un registro con número y fecha. La pieza casi salió al aire. En la auditoría, el registro citado no correspondía al producto real de la campaña, y el claim sin respaldo exponía a la empresa a un juicio por publicidad engañosa. Verificar el registro en la fuente antes de aprobar la pieza fue lo que impidió que el claim saliera al aire.

Una analista de RRHH le pidió a la IA el artículo de la legislación laboral que amparaba una política de monitoreo de correo corporativo y recibió la cita de un dispositivo "vigente", convincente. Iba a adjuntarlo a la política que se comunicaría a toda la empresa. En la verificación, el artículo citado trataba otra hipótesis de monitoreo, y la política propuesta excedía lo que la ley realmente autoriza. Verificar el texto oficial antes de comunicar la política evitó exponer a la empresa a una práctica sin respaldo legal real.

Un PM le pidió a la IA si una feature de geolocalización necesitaba un aviso de privacidad específico y recibió la cita de un artículo de la Ley General de Protección de Datos (LGPD) "que exime el aviso para ese tipo de dato". Ya iba a pegarlo en el PRD para justificar la ausencia del aviso. Antes, fue a buscar el texto oficial: el artículo citado no trataba ninguna exención, y la feature sí exigía un aviso claro. La priorización entera estaba apoyada en una lectura fabricada, y verificar la fuente antes del lanzamiento evitó lanzar una feature sin la base legal que necesitaba.

Un gerente comercial le pidió a la IA el límite legal de regalo a un agente público antes de cerrar una negociación con un organismo estatal y recibió la cita de una norma anticorrupción "vigente", con un valor específico. Casi siguió ese valor en la negociación. Fue a verificar en la política real de la empresa y en la ley citada: el valor real era bastante menor, y la IA había mezclado el límite de dos normas distintas. Verificar antes de negociar evitó una oferta que configuraría ventaja indebida a un agente público.

Un coordinador de operaciones le pidió a la IA el límite de aprobación definido en la norma interna de aprobación de compra y recibió un valor específico, citado con confianza. Iba a distribuirlo al equipo como regla oficial. En la auditoría, abrió la norma real: el valor citado por la IA no correspondía al texto vigente, que definía un nivel de aprobación distinto. El documento parecía operativo y estaba basado en una lectura equivocada, y solo abrir la norma real antes de distribuirlo evitó difundir la regla equivocada.

Una analista le pidió a la IA el artículo de la Ley General de Protección de Datos (LGPD) que sustentaba un control interno de retención de dato y recibió la cita de un dispositivo "vigente", con número y redacción convincente. Iba a adjuntarlo al dictamen de riesgo que cerraría el trimestre. Antes de firmar, verificó en el texto oficial: el artículo citado había sido interpretado de forma equivocada por la IA, que mezcló el texto de un artículo con el criterio de otro. Un control apoyado en base regulatoria mal citada es el tipo de falla que la próxima auditoría externa encuentra con certeza, y verificar el texto oficial antes de firmar fue lo que evitó eso.

Un analista de seguridad le pidió a la IA el ítem de la política de acceso que amparaba la concesión de una credencial privilegiada y recibió la cita de un ítem "vigente", con número y texto convincente. Casi concedió el acceso con base en eso. Fue a verificar la política real: el ítem citado trataba otro tipo de acceso, y la concesión propuesta no tenía respaldo real en la norma interna. Verificar la política antes de conceder el acceso evitó una concesión indebida.

Una diseñadora le preguntó a la IA si un patrón de pantalla de consentimiento estaba alineado con la Ley General de Protección de Datos (LGPD), pidiéndole el artículo que amparaba el análisis, y recibió "conforme al artículo 9, el formato es adecuado", segura, lista para aprobar el flujo. En la verificación, el artículo 9 trataba otro requisito, y el formato propuesto no cumplía el requisito real de transparencia de la ley. Verificar el artículo antes de aprobar el flujo evitó lanzar una pantalla fuera de cumplimiento.

Un analista de estrategia le pidió a la IA la exigencia regulatoria para entrar a un nuevo mercado internacional y recibió la cita de una norma de licenciamiento "vigente en ese país", con número y organismo regulador. Ya iba a entrar en el memorando para el directorio como asunto resuelto. Antes de presentarlo, fue a buscar la fuente oficial del país: la norma citada no existía con ese número, y la exigencia real era otra, más restrictiva. La decisión de entrada estaba apoyada en una lectura fabricada, y solo la verificación en la fuente primaria, antes de llevarlo al directorio, evitó presentar una exigencia que no existía.