Automatización de alertas L1 de AML, con validación de analistas

Última actualización: septiembre de 2026

La automatización de alertas AML de Nivel 1 (L1) es defendible cuando un agente se encarga de recopilar la información y un analista designado sigue tomando la decisión final. La revisión de Nivel 1 consta de dos tareas realizadas por una sola persona: reunir las pruebas detrás de una alerta de monitoreo de transacciones y evaluar si la actividad está justificada. La primera tarea, junto con el primer borrador de la justificación del cierre, se puede automatizar. La resolución, la decisión de escalamiento y la muestra de control de calidad permanecen en manos de personas, y cada resolución necesita un registro que permita reconstruirla meses después.

Resumen ejecutivo

• La revisión de Nivel 1 (L1) es el primer análisis de una alerta de monitoreo de transacciones: recopilar las pruebas, decidir si la actividad está explicada y luego cerrar la alerta con una justificación o escalarla.

• Gran parte del tiempo de un analista L1 se destina a la recopilación de datos. Un agente puede integrar en una sola vista las transacciones, el historial del cliente, las contrapartes, las noticias adversas y las entidades relacionadas, y redactar una recomendación con su respectivo razonamiento.

• Un analista designado conserva la resolución y la decisión de escalar, y siempre puede volver a la fuente de información original. Cualquier revisión más simplificada para una cola de trabajo específica debe estar contemplada en una política escrita.

• Un registro de resolución defendible muestra qué activó la alerta, qué vio el revisor, qué se recomendó y por qué, qué información faltaba y quién tomó la decisión.

• El control de calidad comienza con una revisión completa de las recomendaciones del agente y pasa a un muestreo una vez que el agente ha sido validado. La muestra cubre errores en ambas direcciones (falsos positivos y falsos negativos).

• La IA agéntica queda fuera del alcance de las directrices revisadas de EE. UU. sobre riesgo de modelos (SR 26-2, Boletín OCC 2026-13 y FDIC FIL-15-2026), por lo que la propia gobernanza de la institución define los controles y sus registros deben demostrarlos.

¿Qué es la automatización de alertas AML L1?

La automatización de alertas AML L1 consiste en el uso de agentes de software para preparar la revisión de Nivel 1 de las alertas de monitoreo de transacciones, mientras que un analista designado sigue decidiendo sobre cada una de ellas. El Nivel 1 es la primera etapa de la revisión de alertas AML: el analista recopila las pruebas, decide si la actividad está explicada y cierra la alerta con una justificación por escrito o la escala. Con la automatización L1, el agente se encarga de la recopilación y redacta el borrador de la justificación, y el analista toma la decisión final.

La prueba de fuego de cualquier automatización AML es si una decisión se puede reconstruir más tarde. Meses después de los hechos, un auditor debería poder ver qué vio el revisor, qué recomendó el agente, quién decidió y por qué. El manual de examen de la BSA/AML del FFIEC ya exige que los investigadores que evalúan las alertas documenten sus conclusiones, por lo que esta expectativa es anterior a cualquier agente.

¿En qué pasa el tiempo realmente un analista L1?

Un analista L1 dedica gran parte de cada revisión a recopilar pruebas de varios sistemas y a redactar justificaciones rutinarias, y menos tiempo al criterio de evaluación, que es la razón de ser de su función. El manual de examen del FFIEC describe el monitoreo de actividades sospechosas como cinco componentes interdependientes: identificación o alerta de actividad inusual, gestión de alertas, toma de decisiones de SAR, compleción y presentación de SAR, y monitoreo y presentación de SAR sobre actividad continua. La revisión L1 se sitúa dentro de la gestión de alertas, entre la detección y la decisión de presentar un SAR.

El ciclo de vida de la parte L1 se desarrolla de la siguiente manera:

1. Se activa la alerta. Una regla o modelo de monitoreo detecta actividad inusual en una cuenta. Que la alerta deba ser activada por una regla o por un modelo es una decisión de diseño propia, detallada en un artículo explicativo sobre reglas de monitoreo de transacciones frente a aprendizaje automático.

2. Triaje. El triaje de alertas AML comienza con el motivo por el cual se activó la alerta, el cliente afectado y cualquier alerta previa.

3. Recopilación. El analista reúne las transacciones de la alerta, el perfil del cliente, su actividad esperada y las contrapartes involucradas, a menudo consultando varios sistemas.

4. Evaluación. El analista decide si la actividad está explicada.

5. Justificación. Los motivos se plasman por escrito.

6. Resolución. La alerta se cierra o se escala para una investigación AML detallada.

7. Control de calidad (QC). Posteriormente se revisa una muestra de las alertas cerradas y escaladas.

La recopilación de datos y la redacción consumen la mayor parte del esfuerzo. Un director de TI en una gestora de activos describió cómo observaba trabajar a los analistas con una alerta: lo primero que hacían era salir de la herramienta de gestión de casos e iniciar sesión en varios sistemas externos para obtener datos que no estaban integrados. Un gerente de BSA en una cooperativa de crédito quería que su equipo tuviera tiempo para "dedicar su valioso intelecto a las situaciones que realmente lo requieren, en lugar de a las alertas de nivel uno y a rellenar campos en los CTR y SAR".

No todos los equipos tienen trabajo acumulado. Un vicepresidente sénior y oficial de BSA en un banco comunitario comentó que el banco no tenía retrasos en alertas, casos ni SAR: "Por eso, a veces es difícil justificar la necesidad de automatizar para nosotros". Para un equipo así, la ventaja de una preparación estructurada de L1 radica en la consistencia y en contar con un registro sólido ante una auditoría. Un director de operaciones globales de detección en un gran banco señaló: "La parte más importante es la consistencia en la ejecución".

Parte de lo que ralentiza la revisión L1 proviene de etapas anteriores. Un director de cumplimiento en una empresa de pagos mencionó que la prioridad era "obtener mejores alertas, eliminar los falsos positivos que solo quitan tiempo durante el día". Reducir la cantidad de alertas que se activan en primer lugar es una cuestión de optimización, tratada en una guía independiente sobre cómo reducir falsos positivos en AML. Las coincidencias por sanciones y listas de control también quedan fuera de este flujo de trabajo, y siguen un proceso de revisión propio que se explica en la guía sobre agentes de detección de sanciones con IA.

¿Qué partes de la revisión L1 puede asumir un agente y cuáles permanecen con el analista?

Un agente puede encargarse de la recopilación y del primer borrador de la justificación, mientras que el analista conserva la resolución, la decisión de escalar y el derecho a investigar de forma independiente. La recopilación abarca las transacciones de la alerta, el historial del cliente, las búsquedas de contrapartes, las comprobaciones de noticias adversas, las entidades relacionadas y una comparación con el comportamiento esperado del cliente, concluyendo con una propuesta de recomendación motivada. Lo que el agente entrega es una recomendación sobre cómo resolver la alerta. La resolución final pertenece exclusivamente al analista.

Un oficial de BSA de un banco comunitario destacó que este era el punto clave: "Lo que necesitaba escuchar es que ofrece una recomendación. No escribe físicamente la resolución final".

Todo lo que está en la columna central es preparación. Cada decisión está en la última columna.

Algunos equipos quieren que el agente vaya más allá. Un gerente de BSA/AML de un banco regional preguntó si una alerta que se activa dentro de cierto umbral podría cerrarse sin que un analista la revise. Un oficial de BSA/AML de otro banco regional rechazó la idea: "No tiene sentido generar una alerta y dejar que el sistema la cierre solo".

La respuesta defendible es contar con una política escrita para cada cola de trabajo. La pregunta práctica es qué tipos de alerta puede cerrar un analista basándose en una recomendación con pruebas sólidas y cuáles requieren siempre una revisión manual completa, independientemente de lo que recomiende el agente. La institución decide esto para cada cola, escribe sus argumentos y puede mostrárselos a un auditor. Un valor por defecto oculto en la configuración de una herramienta no cumple con ninguno de estos requisitos.

El analista también conserva el derecho de acudir a la fuente original de los datos. Un director de cumplimiento y BSA de un banco comunitario comentó que, por mucho que les guste la IA, no confían plenamente en ella y necesitan poder investigar por su cuenta una alerta si es necesario. Eso solo es posible cuando cada recomendación incluye las pruebas en las que se basa. Qué rol debe tener cada derecho de revisión es el tema de un artículo independiente sobre intervención humana en el fraude y el lavado de dinero.

¿Qué contiene un registro de resolución defendible?

Un registro de resolución defendible contiene la información suficiente para que otra persona pueda reconstruir la decisión meses después: qué se activó, qué vio el revisor, qué se concluyó y quién decidió. El manual de examen del FFIEC señala que, tras una investigación y análisis exhaustivos, "los investigadores deben documentar las conclusiones, incluida cualquier recomendación sobre presentar o no un SAR". Sobre las decisiones de SAR, indica a los auditores "centrarse en si el banco tiene un proceso eficaz de toma de decisiones de SAR, no en las decisiones individuales de SAR". Los auditores evalúan el proceso, por lo que el registro es el elemento clave bajo el cual se juzga un diseño L1.

Un registro con cualquiera de estas filas vacías no se puede reconstruir, por muy acertada que haya sido la decisión.

Cuando falta un dato clave, el registro debe indicarlo. Debe reflejar que la alerta se derivó a una persona o que se emitió una solicitud de información, en lugar de dejar un vacío que el revisor haya tenido que adivinar. Un agente diseñado para la revisión L1 debe marcar la omisión específica, como la falta de una fecha de nacimiento o de una dirección, y recomendar una revisión manual en lugar de forzar una resolución.

Un director de cumplimiento, BSA y estrategia de un banco comunitario describió la pregunta típica de un auditor: "Sé que un auditor me preguntará: ¿cómo determinó esto el sistema? Y si no lo tengo por escrito, no podré defenderlo".

¿Cuándo debe salir una alerta de L1?

Una alerta debe salir de L1 cuando el revisor no puede cerrarla con suficientes factores mitigantes dentro del tiempo acordado, incluso cuando todavía hay una solicitud de información pendiente. Un director de cumplimiento AML de un banco regional describió un equipo L1 externo que debe cerrar o escalar cada alerta dentro de un plazo fijo. Si el equipo no cuenta con mitigantes suficientes para cerrar una alerta al finalizar ese plazo, aun si está esperando información solicitada, la escala a un investigador interno. El escalamiento se convierte así en una regla clara que se puede seguir y auditar.

Algunos equipos no tienen un flujo formal. Un director de cumplimiento de una empresa de pagos mencionó que no contaban con una estructura formal de escalamiento de alertas L1 a casos o investigaciones, ni con una regla que envíe una alerta a una cola de trabajo diferente. Un agente no puede seguir una regla que nadie ha escrito, por lo que automatizar la revisión L1 obliga a definir y redactar los criterios de escalamiento.

La automatización también debe dejar espacio para las derivaciones manuales. Un director de cumplimiento AML de un banco regional quería conservar una característica de la revisión humana: revisores que detectan una actividad que no activó ninguna alerta pero parece sospechosa, y la derivan para su investigación. Un agente solo procesa las alertas que recibe, por lo que esa derivación sigue dependiendo de las personas.

Las alertas escaladas se convierten en casos. La gestión de alertas decide qué señales requieren atención y si se pueden cerrar o escalar, y la gestión de casos conlleva la investigación AML más profunda: vincula alertas y entidades, recopila más pruebas y registra la justificación y el resultado. Cuando un caso escalado termina en la decisión de presentar un SAR, redactar la narrativa es una tarea específica que se detalla en la guía de automatización de narrativas de SAR.

¿Cómo se debe controlar la calidad de las resoluciones preparadas por un agente?

Las resoluciones preparadas por un agente deben pasar por un control de calidad en dos etapas: al principio, un analista revisa cada recomendación y, más adelante, el equipo pasa a un control de calidad por muestreo una vez que el razonamiento del agente ha sido validado frente a resultados conocidos. El ritmo de esta transición lo definen la validación y el nivel de confianza de la propia institución, sin un cronograma fijo. El historial de razonamiento guardado es lo que hace que esta transición sea defendible ante un auditor.

Una vez que comienza el muestreo, un programa de control de calidad de AML para resoluciones preparadas por agentes verifica cuatro puntos:

• Ambas direcciones. Tomar muestras de alertas que se cerraron y debieron escalarse, y de alertas que se escalaron y debieron cerrarse. Un director de cumplimiento AML de un banco regional describió que su control de calidad sobre el equipo L1 revisa ambos aspectos. El exceso de escalamiento también genera un costo innecesario.

• Todas las rutas de cierre. El control de calidad toma muestras tanto de alertas cerradas bajo una política de revisión simplificada como de alertas que una persona revisó por completo. Un gerente de producto de cumplimiento en una empresa de pagos mencionó que sus controles de calidad incluyen una revisión exhaustiva de alertas cerradas tanto de forma manual como automática.

• La calidad de la evaluación. El control de calidad analiza si la decisión fue correcta, además de verificar si el registro está completo. Un miembro del equipo de operaciones de fraude y AML de una fintech señaló que el control de calidad debe evaluar la solidez de las decisiones de L1.

• Retroalimentación de los hallazgos. Lo que detecta el control de calidad se incorpora de nuevo a las instrucciones del agente para evitar que se repita el mismo error. Un gerente de operaciones AML en una fintech describió cómo actualizan las instrucciones de la IA basándose en los hallazgos del control de calidad.

Los equipos pequeños pueden implementar el mismo control. Un director sénior de gestión de fraudes en un banco patrocinador, cuyo equipo pequeño realiza labores tanto de L1 como de L2, estaba redactando procedimientos para que el trabajo de primera línea de L1 contara con una segunda revisión: un principio de doble verificación.

El muestreo también depende de tener un universo completo de datos. Si el agente procesa cada alerta que ingresa a una cola de trabajo configurada, y cada acción del agente o del analista se registra con su razonamiento y una marca de tiempo, ninguna alerta se pasa por alto de forma silenciosa y se puede recuperar el registro completo de cualquier alerta cuando se solicite.

A veces, un analista no estará de acuerdo con el agente. Un gerente de sistemas de tecnología de BSA/AML/OFAC en un banco patrocinador preguntó qué sucede en ese caso: "Si hay algo con lo que uno de nuestros analistas no está de acuerdo, ¿cuáles son los siguientes pasos?, ¿cómo marcan eso como un posible problema del agente?". Un desacuerdo es información valiosa, por lo que debe registrarse con el motivo del analista y revisarse junto con los hallazgos del control de calidad. Cómo llega esa retroalimentación al agente se explica en un artículo independiente sobre aprender de las correcciones de los analistas.

¿Cómo evaluar un enfoque de automatización L1 antes de confiar en él?

Evalúe un enfoque de automatización L1 comparándolo con el desempeño de sus propios analistas antes de confiar en él: realice pruebas retrospectivas con alertas históricas, ejecútelo en modo pasivo (shadow mode) en la cola de trabajo real y luego analice los resultados. Una prueba retrospectiva ejecuta al agente sobre alertas pasadas y compara sus recomendaciones con las resoluciones reales de sus analistas. El modo pasivo ejecuta al agente junto a la cola de trabajo real mientras los analistas trabajan de manera habitual, de modo que sus recomendaciones se registran pero no se aplican. El informe final presenta estos resultados a los responsables de decidir si se adopta el agente.

La tasa de coincidencia con sus propios analistas es la métrica clave, ya que mide al agente frente al estándar que su programa ya defiende hoy en día. Un banco en fase de implementación está registrando un 92 % de coincidencia del agente con su equipo de analistas en la resolución de alertas, con una reducción del 75 % en el tiempo de cada revisión.

Analice los desacuerdos detrás de ese porcentaje. Cuando se califica a un agente frente a resoluciones pasadas, el desacuerdo mide tanto la calidad del registro como la del agente. Si un analista cerró o escaló una alerta basándose en información que nunca se guardó en el expediente del caso (como la actividad real del negocio de un cliente), un agente que lea ese expediente no coincidirá y tendrá razón respecto a lo incompleto del archivo. Algunos desacuerdos serán errores del agente, otros serán vacíos de datos y algunos serán prácticas habituales que nadie puso por escrito.

Ejecutar un nuevo enfoque en paralelo al proceso existente es también la forma en que los organismos reguladores describen las pruebas de innovación. La declaración conjunta de 2018 sobre esfuerzos innovadores para combatir el lavado de dinero y el financiamiento del terrorismo, emitida por la FinCEN, la Reserva Federal, la FDIC, la NCUA y la OCC, señala: "Los programas piloto realizados por los bancos, junto con los procesos de BSA/AML existentes, son un medio importante para probar y validar la efectividad de enfoques innovadores". Añade que los pilotos que expongan brechas en un programa de cumplimiento de BSA/AML "no resultarán necesariamente en acciones de supervisión".

Un gerente de sistemas de tecnología de BSA/AML/OFAC en un banco patrocinador lo expresó con claridad: "Es tan bueno como lo sean la supervisión, la gestión de la IA y las personas que trabajan en ello".

Dónde suelen fallar los diseños de automatización L1

• Evaluar solo la tasa de coincidencia. Un porcentaje general sin analizar los desacuerdos de fondo no permite distinguir si se trata de un error del agente o de un vacío de información en el expediente del caso.

• Permitir que la revisión simplificada se convierta en la norma por defecto. Cualquier cola de trabajo que reciba menos de una revisión completa necesita una política escrita que la institución pueda defender.

• Asumir datos o hechos que faltan. Un vacío en las pruebas debería enviar la alerta a revisión manual o activar una solicitud de información.

• Automatizar antes de definir los criterios de escalamiento. Un agente no puede seguir reglas de escalamiento que no se han redactado.

• Tomar muestras en una sola dirección. Un control de calidad que solo verifica las alertas cerradas pasa por alto el exceso de escalamiento, y uno que ignora las colas de revisión simplificada no analiza las alertas que nadie revisó por completo.

• Recomendaciones que el analista no puede verificar. Un resumen que no incluya sus pruebas de respaldo impide que el analista realice su propia investigación.

¿Qué dicen los reguladores sobre el uso de agentes en la revisión de alertas?

Los reguladores bancarios de EE. UU. han dejado a la IA agéntica fuera de sus directrices revisadas sobre riesgo de modelos, por lo que la gobernanza de la propia institución define los controles para un agente L1. El 17 de abril de 2026, la Reserva Federal, la OCC y la FDIC emitieron la guía revisada (SR 26-2, Boletín OCC 2026-13 y FDIC FIL-15-2026). Esta sustituyó a la SR 11-7 y a la SR 21-8, la declaración interinstitucional de 2021 sobre la gestión del riesgo de modelos para sistemas BSA/AML.

La guía señala: "Los modelos de IA generativa e IA agéntica son novedosos y evolucionan rápidamente. Como tales, no entran en el alcance de esta guía". Una nota al pie añade que las prácticas de gobernanza y gestión de riesgos de la organización bancaria deben guiar los controles de cualquier herramienta que la guía no cubra.

Los organismos también indicaron que "tienen previsto publicar próximamente una solicitud de información" sobre la gestión del riesgo de modelos que considere el uso de la IA por parte de los bancos, incluida la IA agéntica. A fecha de septiembre de 2026, esta solicitud no se ha publicado.

La FinCEN ha propuesto una norma para reformar los programas de AML/CFT. El preámbulo de la propuesta señala que las instituciones que experimenten de manera responsable con tecnologías innovadoras "no incurrirán en ningún riesgo adicional de ser objeto de una acción de supervisión significativa de AML/CFT o de una acción de ejecución de AML/CFT basada únicamente en el uso de tecnologías innovadoras". Sigue siendo una propuesta y nada de ella está en vigor. La declaración conjunta de 2018 sobre innovación, que la propuesta cita como guía de referencia de larga data, sigue vigente.

Estar fuera de las directrices de riesgo de modelos no exime a un agente L1 de la supervisión. Los auditores siguen evaluando el proceso de toma de decisiones de los SAR, y el manual de examen sigue exigiendo conclusiones documentadas en la revisión de alertas. Al no existir un estándar de referencia que mencione explícitamente a un agente L1, los propios registros de la institución serán lo que evalúe el auditor.

Cómo aborda Oscilar la revisión L1

Los agentes de Oscilar preparan la revisión L1 y dejan cada resolución final en manos del analista. El agente de AML L1 en el Hub de Agentes de Oscilar presenta recomendaciones de escalamiento o cierre. El analista recibe un resumen de la alerta y una propuesta de resolución con su razonamiento, y procede a confirmarla o modificarla. La página del Hub de Agentes de Oscilar establece la regla operativa: "Los agentes nunca cierran ni escalan alertas de forma autónoma; un analista humano revisa y confirma cada recomendación antes de realizar cualquier acción".

Cada alerta muestra los datos de entrada, el razonamiento del agente y el resultado final; asimismo, cada recomendación incluye los argumentos, las pruebas y las tipologías utilizadas para llegar a ella. Esto ofrece un historial de auditoría completo por decisión con razonamiento guardado, e integra el principio de intervención humana desde el diseño. La institución sigue siendo la responsable de los estándares de validación, la autoridad de aprobación y la responsabilidad regulatoria.

Los agentes pueden ejecutarse dentro de la plataforma completa de Oscilar o como una capa independiente sobre su infraestructura tecnológica actual, y pueden recibir alertas del sistema de monitoreo de transacciones que ya esté utilizando. Antes de que un agente entre en producción, Oscilar lo evalúa mediante una prueba retrospectiva con sus alertas históricas, seguida de un modo pasivo en la cola de trabajo real, entregando un análisis de resultados al finalizar.

MoneyGram, una empresa de servicios de pago, utiliza los agentes de Oscilar en producción. Sus revisiones de alertas AML L1 pasaron de tardar más de 30 minutos a menos de 2 minutos con el mismo equipo, reduciendo cerca de un 45 % los falsos positivos.

Puede encontrar más detalles sobre el agente en la página del agente de revisión AML L1.

Preguntas frecuentes

¿Qué es la automatización de alertas AML L1?

La automatización de alertas AML L1 utiliza agentes de software para preparar la revisión de Nivel 1 de las alertas de monitoreo de transacciones. El agente recopila las pruebas, compara la actividad con el comportamiento esperado del cliente y redacta una recomendación con su razonamiento. Un analista designado sigue tomando cada decisión de resolución y de escalamiento, y el registro muestra quién decidió y por qué.

¿Puede un agente de IA cerrar una alerta AML por sí solo?

En un diseño L1 defendible, la respuesta es no: el agente recomienda una resolución y un analista designado la confirma o la modifica. Si una institución decide que ciertos tipos de alerta reciban una revisión más simplificada, esa decisión debe quedar plasmada en una política escrita para cada cola de trabajo, de manera que la institución pueda defenderla ante un auditor. Posteriormente, el control de calidad toma muestras de esas alertas junto con las demás.

¿Qué debe contener una justificación de cierre L1?

Una justificación de cierre L1 debe detallar qué activó la alerta, las pruebas revisadas, las tipologías analizadas y por qué la actividad está explicada. También debe registrar cualquier dato que faltara y cómo se resolvió, así como quién realizó la resolución y en qué fecha. Una justificación redactada de esta manera permite que cualquier persona reconstruya la decisión sin necesidad de que el analista esté presente.

¿Cómo debe controlar una institución la calidad de las resoluciones preparadas por un agente?

Una institución debe comenzar con un analista que revise cada recomendación preparada por el agente, para luego pasar a un control de calidad por muestreo una vez que el razonamiento del agente haya sido validado frente a resultados conocidos. La muestra debe cubrir errores en ambas direcciones (alertas cerradas que debieron escalarse y alertas escaladas que debieron cerrarse), además de cualquier alerta cerrada bajo un proceso simplificado. El control de calidad debe evaluar tanto la solidez de la decisión como la integridad del registro.

¿Qué pruebas e historial de auditoría esperan los reguladores de la automatización L1?

Los auditores deben poder ver, para cualquier alerta, qué se activó, qué vio el revisor, la recomendación y el razonamiento del agente, qué información faltaba, y quién tomó la decisión y cuándo. El manual de examen del FFIEC exige conclusiones documentadas en la revisión de alertas, y los auditores evalúan el proceso de toma de decisiones en su conjunto. Dado que la IA agéntica queda fuera de las directrices revisadas sobre riesgo de modelos, la gobernanza de la propia institución establece los controles, y el registro es el lugar donde se demuestran dichos controles.

La automatización L1 aporta valor real al liberar al analista de la tarea de recopilación de datos, permitiéndole concentrarse en la evaluación crítica. El agente prepara cada revisión y un analista designado toma la decisión. El control de calidad toma muestras en ambas direcciones y el registro permite reconstruir la decisión meses más tarde. Para ver cómo se integran la revisión de alertas, la gestión de casos y el historial de auditoría de cada decisión en el programa de AML de un banco, lea sobre monitoreo de transacciones AML para bancos o solicite una demostración con sus propias alertas históricas.