IA en programas de prevención de lavado de dinero: qué cambia y qué sigue igual

Última actualización: octubre de 2026

La IA en los programas de AML (prevención de lavado de dinero) cambia la forma en que se realiza el trabajo dentro del programa: cómo se clasifican las alertas, cómo se recopilan las pruebas, cómo se redactan los informes narrativos, cómo se revisan las coincidencias de filtrado y cómo se ajusta el monitoreo. No cambia quién responde por el programa. El oficial designado de la BSA (Ley de Secreto Bancario), la evaluación de riesgos de la institución, la decisión de presentar un informe de actividad sospechosa (SAR) y las pruebas independientes siguen a cargo de personas. Los examinadores juzgarán un programa respaldado por IA en función de si la institución comprende sus sistemas, puede mostrar dónde deciden las personas y puede reconstruir cada resultado.

Resumen rápido (TL;DR)

• La IA cambia el trabajo dentro de un programa de AML: clasificación de alertas, investigación, redacción de informes narrativos de SAR, revisión de filtrado, ajuste de monitoreo y control de calidad.

• La responsabilidad no se traslada. La regulación nombra a un individuo responsable del cumplimiento diario, no a un sistema, y la decisión de presentar un SAR sigue siendo de la institución.

• Cuando una persona revisa cada resultado de la IA, esa revisión es un control de calidad sobre la IA. Aún se necesitan, además, un aseguramiento de calidad de segunda línea y pruebas independientes.

• La guía sobre riesgo de modelos cambió el 17 de abril de 2026. Las normas SR 26-2, el boletín de la OCC 2026-13 y la norma FDIC FIL-15-2026 reemplazaron a la SR 11-7; los modelos de monitoreo de aprendizaje automático están incluidos, mientras que la IA generativa y la agéntica quedan explícitamente fuera.

• La FinCEN retiró su propuesta de programa de AML de 2024 y propuso una nueva regla en abril de 2026. Dicha regla no es definitiva a fecha de octubre de 2026, por lo que la regla actual de los cinco elementos sigue aplicando.

¿Qué cambia la IA en un programa de AML?

La IA cambia la forma en que se realiza el trabajo dentro de un programa de AML, mientras que la responsabilidad de ese trabajo permanece donde estaba. Los modelos de aprendizaje automático y los agentes de IA pueden encargarse de la recopilación de pruebas, la primera revisión y la redacción en la clasificación de alertas, investigaciones, informes de SAR, revisión de filtrado y monitoreo. Cada decisión que conlleve responsabilidad regulatoria sigue estando a cargo de una persona designada en la institución.

Un programa de AML, bajo la regla bancaria actual (31 CFR 1020.210), tiene cinco elementos: un sistema de controles internos, pruebas independientes, un individuo o individuos designados responsables de coordinar y monitorear el cumplimiento diario, capacitación para el personal adecuado y procedimientos basados en el riesgo para la debida diligencia continua del cliente. El Manual de Examen de BSA/AML del FFIEC denomina al individuo designado como el oficial de cumplimiento de la BSA. La mayor parte de lo que toca la IA se encuentra dentro de los controles internos. Los demás elementos describen quién es responsable y cómo se supervisa el programa.

La segunda columna muestra dónde la IA cambia el trabajo; la tercera indica lo que un examinador seguirá esperando que asuma una persona física.

Ciertas decisiones siguen siendo exclusivamente humanas en casi todos los programas que usan IA hoy en día: las determinaciones finales de SAR, las aprobaciones de clientes de alto riesgo y las confirmaciones de coincidencias reales de sanciones. La velocidad es solo una parte de las ventajas de la IA. El director de operaciones de filtrado de un gran banco señaló que la consistencia en la ejecución importa más, y que esa consistencia es donde los equipos con altos volúmenes de trabajo suelen fallar.

El trabajo que cambia: clasificación, investigación, informes de SAR y filtrado

La clasificación de alertas es donde la IA cambia el trabajo en primer lugar. Un agente de IA puede revisar una alerta, recopilar el contexto de la cuenta y la transacción, y recomendar una resolución con su justificación, para que luego el analista decida. Los compradores suelen trazar el límite en el mismo lugar.

Un oficial de la BSA en un banco lo expresó así: "No creo que lleguemos al punto en que la IA se encargue de todo el caso y del SAR, al menos no en un futuro cercano. Pero sí sé que muchos se están moviendo hacia el uso de agentes de IA para reemplazar la parte de clasificación inicial". Cómo cambia la clasificación cuando un analista aprueba cada recomendación es el tema de nuestro artículo sobre la revisión de alertas de nivel 1 (L1).

En las investigaciones, la IA cambia la forma en que se recopilan las pruebas. Reunir transacciones, alertas previas y expedientes de clientes en un solo registro de caso es un trabajo que un sistema de IA puede preparar. El significado de la actividad, y si es sospechosa, sigue siendo decisión del investigador.

La redacción del informe de SAR también cambia, ya que el primer borrador puede generarse a partir de las pruebas del caso. Las funciones en torno al informe no cambian. Un oficial de la BSA de un banco patrocinador describió la división habitual: los analistas investigan, preparan el SAR y redactan el informe, y los gerentes de la BSA realizan el control de calidad, lo firman y lo envían a la FinCEN. La IA puede asumir parte de la redacción, mientras que el control de calidad, la firma y la presentación permanecen donde estaban.

Los compradores también se preguntan si la redacción automatizada es legalmente sólida, y los equipos de control de calidad establecen un límite estricto. Un responsable de aseguramiento de calidad de AML en una fintech comentó: "Lo último que quiero ver es un montón de informes de SAR generados por IA sin la supervisión y validación de un humano en el proceso". Nuestro artículo sobre informes de SAR detalla cómo se integran la redacción y la aprobación humana.

La revisión de filtrado de sanciones cambia de la misma manera. Un sistema de IA puede presentar las pruebas a favor y en contra de una posible coincidencia, y el analista la confirma o la descarta. Un oficial sénior de cumplimiento de sanciones en un banco señaló que un sistema que prepara la información para la decisión del analista sigue siendo parte del proceso de filtrado, incluso si no filtra nombres por sí mismo, por lo que sigue estando dentro del riesgo de modelo. Nuestro artículo sobre revisión de alertas de filtrado cubre ese flujo de trabajo.

No todos los programas tienen un problema de volumen de trabajo. Un oficial de la BSA en un banco comunitario sin alertas acumuladas, casos o SAR pendientes comentó que esto dificulta justificar la inversión en IA. Para un programa de ese tipo, lo que la IA ofrece es consistencia y un mejor registro de cada decisión.

Modelos de monitoreo y ajuste: qué cambia en el control de cambios

Los modelos de monitoreo de aprendizaje automático y el ajuste asistido por IA cambian la forma en que se modifican los umbrales y escenarios, pero no eliminan el paso de aprobación. En el ámbito de la BSA, cualquier cambio en las reglas pasa por una revisión antes de implementarse; un oficial de la BSA comparó esto con los equipos de fraude, que suelen cambiar las reglas primero y luego las envían a revisión de riesgo de modelo.

El responsable del programa aún debe explicar cada cambio. El responsable de un programa de la BSA en una cooperativa de crédito describió la prueba que afronta una o dos veces al año: "Tengo que poder explicar con soltura cómo genera alertas mi sistema y, si ha cambiado en ese período, cómo garantizo que ese cambio es sólido". Algunos equipos prefieren no desactivar alertas mediante ajustes. El oficial de la BSA citado anteriormente sobre la clasificación se preguntaba si dejar que las alertas se activen y que un agente de IA las procese podría tener una mejor recepción ante los examinadores.

La guía sobre riesgo de modelos cambió este año. El 17 de abril de 2026, la Reserva Federal (SR 26-2), la OCC (Boletín 2026-13) y la FDIC (FIL-15-2026) emitieron una guía interinstitucional revisada sobre la gestión de riesgos de modelos. Esta sustituye a la SR 11-7 y a la declaración interinstitucional de 2021 sobre gestión de riesgos de modelos para sistemas de BSA/AML. Un modelo de monitoreo de transacciones o de filtrado basado en aprendizaje automático entra en la definición general de modelo de la guía revisada.

La IA generativa y la agéntica no entran en esta categoría. El boletín de la OCC señala: "Los modelos de IA generativa y de IA agéntica son novedosos y evolucionan rápidamente. Por lo tanto, no están dentro del alcance de esta guía". Las agencias indicaron que planean emitir una solicitud de información sobre la gestión de riesgos de modelos, con especial atención al uso de la IA por parte de los bancos, incluyendo la IA generativa y la agéntica. A fecha de octubre de 2026, dicha solicitud no se ha emitido.

Estar fuera de la guía no significa que un agente de IA opere sin control. El mismo responsable de la cooperativa de crédito señaló que la validación independiente del modelo es una recomendación y no una ley, pero que se siente como un requisito que los examinadores señalarán si falta. El funcionamiento de la validación después de abril de 2026 se trata en nuestro artículo sobre validación de modelos de AML, y la elección entre reglas y modelos se aborda en nuestro artículo sobre reglas de monitoreo y aprendizaje automático.

Control y aseguramiento de calidad

Cuando una persona revisa cada resultado de la IA antes de que continúe su curso, esa revisión es un control de calidad sobre la IA, pero no es el aseguramiento de calidad del programa. Un MLRO (oficial de reporte de lavado de dinero) en una empresa de pagos, al pensar en cómo presentar el despliegue de un agente ante un regulador, hizo exactamente esa distinción: la revisión humana de cada resultado es un control de calidad sobre los agentes, y aun así se necesita un área de aseguramiento de calidad de segunda línea por encima de eso.

El aseguramiento de calidad sobre el trabajo asistido por IA debe evaluarse en ambas direcciones. Un director de cumplimiento de AML en un banco describió que el control de calidad sobre casos descartados busca tanto alertas cerradas que debieron ser escaladas, como alertas escaladas que debieron ser cerradas. Ambos errores importan a un examinador, y la IA puede alterar el equilibrio entre ellos.

Algunas instituciones añaden una capa de pruebas entre operaciones y auditoría. Un director de tecnología de la BSA/AML y aseguramiento de programas en un banco patrocinador describió la creación de una de estas capas para que, cuando lleguen los auditores o reguladores, el equipo pueda demostrar las pruebas temáticas y focalizadas que ya ha realizado. Los hallazgos que busca esa capa son los habituales: el MLRO de la empresa de pagos mencionó que los reguladores suelen señalar la falta de información, cifras que no cuadran e informes que omiten transacciones de la alerta.

La IA exige controles de calidad más estrictos. Un oficial principal de la BSA en un banco patrocinador afirmó: "Incluso si pudiéramos automatizar todo el proceso hasta el envío del SAR, el hecho de que podamos no significa que debamos hacerlo; desde una postura regulatoria, querrán ver que tenemos límites muy estrictos sobre cómo controlamos la calidad de esto".

Lo que la IA no cambia

Cinco aspectos de un programa de AML permanecen intactos tras la llegada de la IA: quién es el responsable, cómo evalúa la institución su riesgo, quién decide presentar un SAR, quién evalúa el programa y las alertas que las personas detectan por su cuenta.

• La responsabilidad del oficial de la BSA. La normativa exige la designación de un individuo o individuos responsables de coordinar y monitorear el cumplimiento diario. Nombra a una persona, no a un sistema, y la IA no traslada esa responsabilidad.

• La evaluación de riesgos. La propuesta de abril de 2026 de la FinCEN integraría la evaluación de riesgos en las políticas, procedimientos y controles internos del programa. Seguirá siendo el criterio de la institución, respaldado por mejores datos, pero no delegado en una herramienta.

• La decisión de presentar el SAR. Decidir si una actividad es sospechosa y presentar el informe sigue siendo responsabilidad de la institución. Un director de cumplimiento y BSA de un banco comunitario quería asegurarse de que la IA no catalogara de por sí una actividad como sospechosa, ya que, según su interpretación, esa etiqueta iniciaría el plazo de presentación, y esa decisión corresponde al equipo.

• Las pruebas independientes. Las evaluaciones siguen siendo independientes de las personas y herramientas que analizan. Un oficial de la BSA en un banco comunitario señaló que a los reguladores les gusta que un tercero evalúe el programa, y que la documentación generada por el propio sistema evaluado no es lo mismo.

• Alertas generadas por las personas. Los revisores siguen detectando actividades que nunca activaron alertas automáticas. El director de cumplimiento de AML mencionado anteriormente quería mantener precisamente eso: analistas que noten algo inusual durante otra tarea y lo remitan para investigación.

Un regulador pedirá ver dónde se toman esas decisiones. El mismo MLRO comentó que la pregunta clave para la que hay que prepararse es cómo ejerce la institución la supervisión: dónde toman las personas físicas las decisiones de escalamiento y presentación de SAR, y cómo puede demostrar la institución esos puntos de decisión. Para ver cómo se diseñan estos puntos de revisión, consulte qué significa la intervención humana en el proceso (human-in-the-loop) en fraude y AML.

Cómo evaluarán los examinadores un programa de AML apoyado en IA

Los examinadores evaluarán un programa de AML respaldado por IA de la misma manera que evalúan cualquier otro: comprobarán si funciona y si la institución puede explicarlo. Con la IA en el flujo de trabajo, tres preguntas cobran mayor relevancia.

¿Entiende la institución su propio sistema?

El director de cumplimiento y de la BSA del banco comunitario mencionado anteriormente comentó, en otra llamada, que un sistema que el equipo no pueda entender será muy difícil de defender ante los reguladores, porque a estos les gusta saber que la institución comprende cómo funciona su tecnología. Esa regla se aplica a cada modelo y agente del programa, incluidos los proporcionados por proveedores externos.

¿Se puede reconstruir cada resultado?

El mismo director describió la pregunta directa del examinador: "¿Cómo determinó esto el sistema? Y si no lo tengo por escrito, no podré defenderlo". Los auditores piden lo mismo para el trabajo manual. Un gerente de cumplimiento de una entidad de crédito al consumo comentó que, tras una auditoría de BSA/AML, los auditores revisaron los hallazgos documentados y preguntaron dónde estaban las pruebas.

¿Ha sido validado y probado?

El oficial sénior de cumplimiento de sanciones mencionado antes espera que cada sistema, incluida la IA, pase por una validación conforme a la política de riesgo de modelos de la institución, con pruebas exhaustivas para demostrar al regulador que el banco se siente seguro con él. Muchos equipos ejecutan la IA en paralelo con su proceso actual al principio; un líder de gestión de riesgos en un banco patrocinador describió que trabajar en paralelo ayuda a que los reguladores se sientan cómodos con el tiempo. El director de operaciones de un banco comentó que el equipo prefiere actuar con cautela hasta saber con precisión dónde trazarán los límites los examinadores.

Situación de las normativas en octubre de 2026

• Riesgo de modelo. Las normas SR 26-2, el boletín de la OCC 2026-13 y la norma FDIC FIL-15-2026 se aplican desde el 17 de abril de 2026. Los modelos de monitoreo basados en aprendizaje automático están incluidos; la IA generativa y la agéntica están fuera del alcance, y la solicitud de información prevista sobre la IA en el riesgo de modelos aún no se ha emitido.

• La regla del programa de AML. La propuesta de la FinCEN del 10 de abril de 2026 (91 FR 18704) establece que la FinCEN no finalizará su propuesta de julio de 2024, la cual queda retirada y sustituida por la nueva. Para los bancos, la nueva propuesta establece cuatro componentes: políticas, procedimientos y controles internos basados en el riesgo (que absorben la evaluación de riesgos y la debida diligencia continua del cliente), pruebas independientes, un individuo designado ubicado en EE. UU. responsable del programa y capacitación continua. El periodo de comentarios cerró el 9 de junio de 2026 y la regla no es definitiva a fecha de octubre de 2026, por lo que la norma 31 CFR 1020.210 y sus cinco elementos siguen vigentes.

• Innovación. La declaración conjunta de diciembre de 2018 sobre esfuerzos innovadores para combatir el lavado de dinero (SR 18-10, Boletín de la OCC 2018-44, FIL-79-2018) anima a los bancos a considerar, evaluar y, cuando sea apropiado, implementar de manera responsable enfoques innovadores. El preámbulo de la propuesta de 2026 de la FinCEN anima a las instituciones a evaluar si las nuevas tecnologías podrían ayudar a combatir los delitos financieros de manera más eficaz, y cita el aprendizaje automático y la IA generativa entre los ejemplos. El preámbulo de una propuesta no es una regla, y ninguno de los documentos aprueba una herramienta específica.

Dónde suelen fallar los programas respaldados por IA

• Falta de registro escrito de lo que el sistema de IA analizó y por qué recomendó lo que recomendó.

• Cambios en modelos, umbrales o escenarios que llegan a producción antes de ser aprobados.

• Considerar la revisión de cada resultado de la IA como el aseguramiento de calidad del programa, dejando de lado las pruebas de segunda línea.

• Considerar las pruebas del propio proveedor como las pruebas independientes del programa.

• Permitir que un sistema de IA catalogue una actividad como sospechosa, lo que requiere un criterio que pertenece exclusivamente a la institución.

• Describir un agente de IA como cubierto por la norma SR 26-2 cuando la guía sitúa a la IA agéntica fuera de su alcance.

Preguntas frecuentes

¿Puede la IA presentar un SAR?

La decisión de presentar un SAR, y la presentación en sí, siguen siendo responsabilidad de la institución. La IA puede ayudar a armar el caso y redactar el borrador del informe, pero las personas lo revisan, firman y envían. Nuestro artículo sobre informes de SAR cubre cómo se integra la redacción automática con la aprobación humana.

¿El uso de la IA cambia las responsabilidades del oficial de la BSA?

No. El oficial de la BSA sigue siendo el individuo responsable de coordinar y monitorear el cumplimiento diario, y eso incluye los sistemas de IA del programa. Lo que cambia es el alcance de la supervisión: los modelos, los agentes y los controles a su alrededor se convierten en parte del programa por el cual debe responder el oficial.

¿Se aplica la guía de gestión de riesgos de modelos a la IA en AML?

Se aplica a los modelos de aprendizaje automático utilizados en AML, como los de monitoreo de transacciones y de filtrado. La guía interinstitucional revisada emitida el 17 de abril de 2026 (SR 26-2, Boletín de la OCC 2026-13, FDIC FIL-15-2026) reemplazó a la SR 11-7 y a la declaración de BSA/AML de 2021, y deja a la IA generativa y agéntica fuera de su alcance. Las instituciones aún necesitan validación y controles para esos sistemas, y la solicitud de información planificada por las agencias sobre la IA en el riesgo de modelos no se ha emitido a fecha de octubre de 2026.

¿Va a cambiar la regla del programa de AML de la FinCEN?

Es posible. La FinCEN propuso una regla revisada para el programa AML/CFT el 10 de abril de 2026, reemplazando su propuesta retirada de 2024, lo que daría a los bancos cuatro componentes de programa en lugar de los cinco elementos actuales. El periodo de comentarios cerró el 9 de junio de 2026 y la regla no es definitiva a fecha de octubre de 2026, por lo que la norma 31 CFR 1020.210 sigue aplicando.

¿Qué registro de auditoría debe conservar un programa de AML apoyado en IA?

El suficiente para reconstruir cada resultado: qué datos analizó el sistema de IA, qué recomendó y por qué, qué modelo o versión lo generó, quién lo revisó y qué decidió esa persona. Los cambios en los modelos y umbrales necesitan su propio registro de aprobación. Si un examinador pregunta cómo llegó el sistema a una conclusión, debe recibir una respuesta por escrito.

Dónde encaja Oscilar

Oscilar está diseñado para que una persona confirme cada recomendación. La plataforma mantiene un registro de auditoría completo por decisión con la justificación guardada, integrando la intervención humana en el proceso (human-in-the-loop) por diseño, de modo que la institución pueda mostrar a un examinador exactamente dónde decidieron sus colaboradores. La plataforma está pensada para alinearse con la guía interinstitucional de gestión de riesgos de modelos. Dado que dicha guía deja fuera de su alcance a la IA generativa y agéntica, cualquier agente de IA en el programa se gestiona a través de los propios controles y puntos de revisión de la institución, en lugar de mediante esa guía.

Para entender qué es un agente de IA en las tareas de riesgo y qué no lo es, consulte qué es un agente de IA autónomo en la gestión de riesgos. Si está evaluando proveedores, nuestra guía para evaluar una plataforma de AML impulsada por IA detalla las preguntas que debe hacer.

Para una perspectiva práctica de cómo se implementa la IA hoy en día en las funciones de AML y FRAML (prevención de fraude y lavado de dinero), lea nuestra guía de IA en AML, desarrollada en colaboración con FS Vector.