Qué significa la supervisión humana (Human-in-the-Loop) en la prevención del fraude y PLD

Última actualización: septiembre de 2026

Cualquier proveedor que venda automatización para funciones de delitos financieros le dirá que hay un humano en el bucle (human-in-the-loop). Ninguno miente. Sencillamente, se ha abusado tanto de esta frase que ya no responde a lo único que usted necesita saber: quién está autorizado para hacer qué.

La respuesta corta: el factor humano en el bucle no es un interruptor que se activa. Es una asignación por decisión de derechos específicos —quién puede recomendar, aprobar, cerrar, escalar o reportar—, y usted debería poder definir qué rol tiene cada uno en cada tipo de decisión antes de que un agente toque una cola de trabajo en producción.

Resumen rápido

• Humano en el bucle (human-in-the-loop) significa que no se toma ninguna medida sin una persona. Humano sobre el bucle (human-on-the-loop) significa que el sistema actúa y una persona supervisa, realizando muestreos en lugar de confirmar cada caso.

• La etiqueta que use un proveedor no dice casi nada. Ambas describen un espectro y ninguna especifica una posición exacta en él.

• "Un humano" no es un solo rol. Recomendar, aprobar, cerrar, escalar y reportar son cinco derechos independientes, y las instituciones reguladas ya los dividen entre diferentes personas.

• La profundidad de la revisión debe depender del nivel de riesgo de la decisión, no de una configuración general de la plataforma. Una misma institución querrá, lógicamente, una revisión completa para la debida diligencia reforzada y un proceso más rápido para transacciones rutinarias.

• Una confirmación solo tiene valor si la persona que confirma pudiera haber tomado una decisión diferente, lo que establece un estándar mínimo de la información que debe mostrarse en pantalla al momento de decidir.

• No existe un manual de supervisión para esto. La guía revisada sobre riesgo de modelos publicada en abril de 2026 deja la IA agéntica explícitamente fuera de su alcance, por lo que la postura debe decidirse internamente, documentarse y defenderse.

• Estar en el bucle o sobre el bucle no son alternativas. Son etapas consecutivas, y el paso de una a otra se gana con evidencias.

Por qué la frase "humano en el bucle" dejó de significar algo

Tal como se suele plantear, es una afirmación imposible de refutar. Un sistema donde un analista hace clic en "confirmar" en cuatrocientas recomendaciones por turno tiene un humano en el bucle. Un sistema donde dos responsables de control deben ponerse de acuerdo de forma independiente antes de cambiar la calificación de riesgo de un cliente, también. No son el mismo modelo operativo, y la frase no los distingue.

Los profesionales del sector se han dado cuenta. Algunos de los debates más interesantes sobre el término se encuentran en foros donde se argumenta que el humano en el bucle es solo una historia que nos contamos a nosotros mismos, algo inusual para una pregunta de definición y una señal clara de que las respuestas habituales no convencen a nadie.

La pregunta de fondo sí tiene respuesta. En esta cola de trabajo y con este nivel de confianza: quién puede recomendar una resolución, quién puede aprobarla, quién puede cerrar la alerta, quién puede escalarla y quién puede reportarla. Son cinco derechos diferentes y no siempre los tiene la misma persona.

Una aclaración sobre el alcance para evitar confusiones. Esto trata sobre cómo funciona la revisión dentro de una sola decisión. El debate de si el fraude y el lavado de dinero deben gestionarse en una misma plataforma, y qué funciones conserva cada área, es un tema aparte con su propia respuesta.

Qué significan realmente "humano en el bucle" y "humano sobre el bucle"

Humano en el bucle (human-in-the-loop) significa que el sistema genera una recomendación y una persona actúa en consecuencia. Ninguna acción llega al cliente, al caso o al reporte sin que alguien lo decida. El resultado del sistema es un elemento de entrada para una decisión humana, nunca su sustituto. El término proviene del aprendizaje automático, donde originalmente describía a personas etiquetando datos de entrenamiento y corrigiendo los resultados del modelo; en el ámbito del riesgo, ha pasado del etiquetado a la toma de decisiones.

Humano sobre el bucle (human-on-the-loop) significa que el sistema actúa y una persona supervisa. Las tareas se completan sin aprobación individual, y el humano revisa muestras, monitorea el comportamiento general e interviene cuando algo parece incorrecto. La supervisión es real pero retrospectiva, y abarca a un grupo de casos en lugar de un caso individual.

Existe un tercer escenario que esta pareja no contempla y que en el trabajo regulado es el más importante: que el sistema decida no actuar y redirija el caso a una persona de forma deliberada. Hablaremos de esto más adelante, ya que funciona de forma distinta a las otras dos etiquetas.

Las diferencias que importan y la que no

Dos de estas filas marcan la verdadera diferencia. La diferencia arquitectónica es si la ausencia de una persona frena la acción. La diferencia de gobernanza es si el registro muestra una decisión o una confirmación, y esto es exactamente lo que preguntará un auditor.

La diferencia que no importa es qué etiqueta use el proveedor. Ambos términos describen un espectro en lugar de una posición fija, por lo que las frases "somos humanos en el bucle" o "somos humanos sobre el bucle" son compatibles con casi cualquier diseño práctico.

Aquí está el punto clave. Ninguna institución implementa solo una de estas opciones: terminará con respuestas diferentes para distintas colas de trabajo, y con frecuencia, con respuestas distintas para la misma cola según el nivel de confianza.

Por tanto, no existe un agente humano en el bucle en abstracto. La profundidad de la revisión se define mejor como un atributo por agente, con valores como "el analista revisa el resultado", "totalmente automatizado" o "configurable", siendo este tercer valor el más realista. Esto significa que la herramienta útil no es una etiqueta, sino un mapa de decisiones.

Los cinco derechos que un humano puede tener sobre la decisión de un agente

Si desglosamos la frase, deja de ser vaga. En cualquier decisión sobre fraude o lavado de dinero (ALD) existen cinco derechos definidos, y cada uno puede asignarse a un rol diferente.

Recomendar. Proponer una resolución con su justificación. Quien ostente este derecho necesita acceso al caso y a las pruebas. Este es el derecho que puede tener un agente, y el único que debería tener.

Aprobar. Aceptar la recomendación y convertirla en la postura oficial de la institución. Quien aprueba debe tener suficiente información visual para poder discrepar; aquí es donde fallan la mayoría de los modelos de revisión actuales.

Cerrar. Dar por finalizado el asunto y actualizar el registro. Cerrar no es lo mismo que aprobar: una resolución aprobada que nadie cierra es un caso que sigue abierto, y un cierre sin aprobación es un hallazgo de auditoría.

Escalar. Dirigir el caso a otra instancia o área, como debida diligencia reforzada, una función de control o un comité. Quien escala debe conocer los criterios de activación y poder ejecutarlos sin pedir permiso.

Reportar. Enviar un informe a una autoridad. Este es el derecho más restringido en cualquier programa de cumplimiento de la ley de secreto bancario (BSA) y el menos negociable.

Estas divisiones no son teóricas. En una llamada grabada, un director de cumplimiento de delitos financieros de un banco describió quién puede anular la calificación de riesgo de un cliente en su institución: el derecho se limita a dos roles de control, el líder de delitos financieros y el oficial de BSA. Los analistas no anulan la calificación, sino que escalan el caso a una cola para que se confirme el cambio, y este regresa para su aprobación como un paso de control de calidad. Recomendar y aprobar son dos derechos distintos, en manos de dos grupos diferentes de personas, en un proceso que ya existía antes de la llegada de cualquier agente de IA.

Esta separación también existía previamente en la normativa. Los controles basados en roles en un programa de BSA ya exigen que el analista que prepara un reporte de actividad sospechosa no sea la misma persona que lo envía (el requisito habitual de segregación de funciones, conocido en los controles bancarios como el principio de las cuatro ojos). Preparar y enviar siempre fueron derechos distintos asignados a personas diferentes. El agente simplemente ocupa un lugar más en una cadena que ya contaba con varios eslabones.

Por eso, nuestra postura se define de manera concreta y no con un eslogan. Los agentes de Oscilar nunca cierran ni escalan alertas de forma autónoma; cada recomendación es revisada y confirmada por un analista humano antes de tomar cualquier medida. Este compromiso es mucho más útil que decir "humano en el bucle", porque detalla los derechos que el agente no tiene.

Un derecho que este artículo no define deliberadamente: cuando el fraude y el lavado de dinero comparten plataforma, qué área es responsable de la decisión de reportar. Esa es una cuestión de responsabilidad organizativa y no de decisiones individuales, por lo que merece un análisis independiente.

Qué colas reciben qué configuración y por qué el nivel de riesgo guía la revisión

Planteado como lo haría un profesional del sector, la pregunta de configuración es esta: ¿para qué tipos de alerta basta con una recomendación de falso positivo con alto nivel de confianza para un cierre con un solo clic, y en cuáles debe el agente solicitar siempre una revisión manual, sin importar el nivel de confianza?

Esa pregunta tiene diferentes respuestas según el tipo de trabajo. Un fraude minorista de bajo valor con una puntuación de confianza muy alta es idóneo para una confirmación rápida. Cualquier caso que implique suplantación de identidad o montos elevados de dinero debe contar con una revisión activa de la justificación, independientemente de lo que indique el nivel de confianza. Una calificación de riesgo periódica de rutina no es la misma decisión que una debida diligencia reforzada, y no debe requerir la misma profundidad de revisión.

El principio organizativo se entiende mejor cuando lo explica un profesional que cuando lo hace un proveedor. Un responsable de riesgos de una fintech, al describir su propio programa en una llamada grabada, mencionó que aplican un control muy estricto de humano en el bucle para cada calificación de riesgo, y consideran que es lo adecuado para la debida diligencia reforzada, clientes de alto riesgo y sectores que así lo exijan. Al mismo tiempo, señaló que les gustaría reducir el tiempo dedicado a las tareas de rutina. Una sola institución, dos posturas, un único sistema. No hay ninguna incoherencia en ello.

Por lo tanto, la respuesta no está en una configuración general de la plataforma. Se trata del apetito de riesgo y de los procedimientos normalizados de trabajo definidos para cada cola de trabajo, algo que usted deberá redactar y no simplemente heredar de un producto. Los agentes que gestionan estas colas se pueden configurar de ambas formas; los límites los define usted.

El lugar idóneo para plasmar esto es durante la preparación de una prueba de concepto, donde los límites se definen con colas de trabajo reales antes de que nada funcione sin supervisión. Definir cómo deben ser esos límites y qué criterios de aceptación debe cumplir una prueba piloto es un trabajo que vale la pena hacer correctamente.

Qué debe ver un revisor para asumir la responsabilidad del resultado

Una confirmación solo tiene valor si la persona que confirma pudiera haber tomado una decisión diferente. Esa es la prueba definitiva y define el mínimo de información que debe tener delante en el momento de decidir: los datos de entrada, la justificación, las pruebas, las tipologías consideradas y el nivel de confianza.

La versión de los reguladores sobre esta prueba es más estricta que la de la mayoría de los proveedores, y se mantuvo intacta tras la revisión de 2026 de la guía de riesgo de modelos. El cuestionamiento eficaz, según la guía, debe ser realizado por personas con la experiencia adecuada para llevar a cabo una crítica objetiva, con la independencia suficiente para mantener la objetividad y —la condición que suele olvidarse— "la posición organizativa y la influencia necesarias para implementar cualquier cambio". Un revisor que no puede cambiar el resultado no cumple con esta tercera condición. No está realizando una revisión real.

Esto redefine el propósito de una pista de auditoría. Su función más valiosa no es registrar lo que hizo el agente, sino facilitar la demostración, caso por caso, de dónde tomaron las decisiones los humanos. Un registro que recoja el razonamiento del agente, las pruebas y las tipologías detrás de cada recomendación, junto con cada acción realizada por un agente o analista con su justificación y marca de tiempo, es un registro del factor humano, no de la máquina.

La cobertura completa importa tanto como la profundidad. Los agentes analizan cada elemento que entra en una cola configurada, no solo una muestra, por lo que no hay casos que se omitan silenciosamente. Esto es muy diferente a afirmar simplemente "revisamos muchas alertas" y es mucho más fácil de demostrar.

Qué información debe conservar ese registro, quién puede configurarlo y quién aprueba un cambio en el modelo subyacente son preguntas del marco de control, no de la revisión. Se detallan en la sección sobre gobernanza de agentes de IA para equipos de riesgo.

Cuando el agente decide no decidir

A veces, el resultado correcto no es una resolución. Cuando faltan datos clave (como la fecha de nacimiento, la dirección o la nacionalidad confirmada), lo correcto es señalar las deficiencias específicas y recomendar una revisión manual en lugar de forzar una decisión. Desestimar un caso automáticamente con pocas pruebas de respaldo es la forma más rápida de aumentar el riesgo regulatorio.

El flujo de trabajo resultante es sencillo: el agente procesa el caso primero e indica qué información falta. Se envía una solicitud de información. El agente vuelve a procesar el caso una vez recibidos los datos y, por lo general, puede ofrecer una recomendación con un nivel de confianza mucho mayor que la primera vez.

Esto tiene consecuencias en lo que se debe esperar de una prueba piloto. La tasa de automatización refleja tanto la calidad de los datos como la del modelo, por lo que un resultado bajo puede deberse a un problema de datos camuflado de fallo de la IA. Antes de concluir que el agente no ha funcionado bien, compruebe qué porcentaje de casos rechazó por falta de datos.

Esta es una tercera opción en el espectro, y es la que una institución regulada debería desear con más frecuencia. En este caso, una mayor intervención humana demuestra que el sistema funciona bien, no que falla.

Aún no existe un marco normativo de supervisión para esto

Esta es la razón por la que todos los proveedores pueden afirmar que cuentan con un humano en el bucle sin contradecirse entre sí.

El 17 de abril de 2026, los organismos bancarios federales publicaron una guía revisada sobre la gestión del riesgo de modelos (SR 26-2 de la Reserva Federal, Boletín 2026-13 de la OCC y FIL-15-2026 de la FDIC). Esta sustituye a la guía de 2011 conocida como SR 11-7, y también a la declaración conjunta de 2021 sobre la gestión del riesgo de modelos para sistemas de cumplimiento de la Ley de Secreto Bancario y prevención del lavado de dinero. Si su política de riesgo de modelos cita alguna de estas últimas, está haciendo referencia a un documento derogado.

La guía revisada evita responder a la pregunta que plantea este artículo. "La IA generativa y los modelos de IA agéntica son novedosos y evolucionan rápidamente. Por lo tanto, no entran en el ámbito de aplicación de esta guía", señala el boletín de la OCC, y la norma SR 26-2 confirma que sus principios se aplican a los modelos estadísticos y cuantitativos tradicionales, así como a la IA no generativa y no agéntica. Los organismos indican que prevén publicar una solicitud de información sobre el uso de la IA en los bancos, la cual aún no se ha emitido.

Hay que ser precisos con lo que esto significa y lo que no. El marco de riesgo de modelos actualmente no abarca al agente. Sin embargo, las obligaciones de fondo sobre la decisión en sí no han cambiado en absoluto: el deber de informar, el registro de datos y la exigencia de que cada decisión tenga un responsable identificado y una base sólida siguen siendo los mismos de siempre. Lo que no hay es una respuesta de supervisión sobre cuánta intervención humana requiere la decisión de un agente.

Este es el propósito de esta página: la respuesta no se puede buscar en un manual. La postura debe decidirse internamente, documentarse y defenderse para cada cola de trabajo, tipo de decisión y derecho.

Una nota sobre su aplicación, ya que es fácil malinterpretarlo. La guía revisada indica que se prevé que sea más relevante para organizaciones bancarias con activos totales superiores a 30 000 millones de dólares. "Más relevante para" no significa "se aplica únicamente a", y a muchas instituciones por debajo de ese límite un auditor les seguirá preguntando cómo gestionan las decisiones de sus agentes.

De confirmar cada caso al muestreo: cómo ganarse el cambio

Ambas opciones no son una elección que deba hacerse al momento de la compra. Son etapas consecutivas, y tratarlas como alternativas excluyentes es el error más común en este debate.

El proceso real consta de tres pasos. Primero, ejecute el agente con cobertura total con un analista revisando cada recomendación durante un periodo de monitoreo inicial. Utilice el registro de justificaciones para validar el criterio del agente frente a los resultados conocidos y confirmar que funciona según lo previsto. Después, pase de revisar cada caso a realizar controles de calidad periódicos mediante muestreo, que es como ya funcionan los procesos de control de segunda línea para todo lo demás.

El paso se justifica con evidencias, no con fechas en el calendario. No existe un plazo fijo para lograrlo (el ritmo lo marca la validación y la confianza de cada institución), y la pista de auditoría y la explicabilidad son lo que justifican el cambio ante un auditor cuando se produce. Si es necesario definir un plazo, lo realista es hablar de semanas, no de meses; cualquier previsión más exacta es pura invención.

Ayuda saber cómo se ven las evidencias de validación cuando llegan. Un banco en fase de implementación muestra una coincidencia del 92% entre las decisiones del agente y las de su equipo de analistas sobre las alertas, con una reducción del 75% en el tiempo de revisión. Considere esto como una prueba de que es posible realizar la medición, no como una cifra exacta que deba esperar: se trata de una implementación concreta, y la tasa de coincidencia es la métrica adecuada porque mide si el factor humano está modificando los resultados o confirmándolos.

Por tanto, estar en el bucle o sobre el bucle representan el punto de partida y la meta a la que se puede aspirar tras demostrar resultados. No es una decisión que se toma una sola vez en un documento de compra.

Dónde puede fallar el modelo

Cuatro formas de fallo comunes y una que nadie ha resuelto aún.

La revisión como mero trámite. Un revisor con una cola de trabajo que supera la duración de su turno se limitará a confirmar en lugar de decidir. Esto no cumple con la prueba de cuestionamiento eficaz, aunque de cara al panel de control todo parezca correcto, ya que este solo registra confirmaciones y no distingue la calidad del análisis. Si su tasa de revisión es del 100% y la tasa de discrepancia es casi cero, tiene un problema de control, no un logro.

Cuello de botella en el nivel incorrecto. Exigir una revisión completa en una cola de trabajo que no lo requiere consume la atención que debería dedicarse a los casos de alto riesgo. La automatización con humano en el bucle aplicada de forma uniforme no es una medida prudente; solo traslada el riesgo a un área menos visible.

Derechos asignados al rol incorrecto. Si la persona que puede cerrar una alerta carece de la jerarquía o la independencia necesarias para revocarla, el control solo existe sobre el papel. Esta es la prueba de cuestionamiento eficaz aplicada a su propio organigrama, y vale la pena realizarla.

Correcciones invisibles. Cuando un humano se aparta de la recomendación del agente y ese cambio no se muestra al siguiente revisor, dos personas pueden llegar a conclusiones diferentes a partir del mismo expediente. Registrar y reportar estas discrepancias es un problema distinto al de asignar los derechos, y requiere su propio análisis.

Por último, el problema no resuelto, planteado claramente como tal. El agente funciona sobre una infraestructura que la institución puede no controlar directamente, y el modelo de revisión debe acoplarse al sistema de gestión de casos existente. Los agentes pueden funcionar como una capa independiente sobre su infraestructura actual o integrarse en una plataforma unificada; en cualquier caso, la pantalla del revisor, la pista de auditoría y la ruta de escalamiento deben coordinarse con sistemas que no fueron diseñados para recibir recomendaciones de un agente. Si está añadiendo agentes a una infraestructura de riesgo existente, esa coordinación es el verdadero reto, no la integración técnica.

Preguntas frecuentes

¿Qué es el humano en el bucle?

Humano en el bucle (human-in-the-loop) significa que una persona toma o confirma la decisión, y no se realiza ninguna acción sin su intervención. El sistema genera una recomendación con su justificación; el humano la evalúa y decide. En el contexto del fraude o del lavado de dinero (ALD), esto significa que un agente puede proponer una resolución, pero no puede cerrar, escalar ni reportar un caso por sí solo.

¿Cuál es la diferencia entre humano en el bucle y humano sobre el bucle?

La diferencia clave es el bloqueo de la acción: con un humano en el bucle, la ausencia de una persona detiene el proceso y el trabajo se acumula. Con un humano sobre el bucle, el sistema actúa dentro de unos límites configurados y la persona supervisa mediante muestreos e intervenciones puntuales. El primero genera un registro de decisiones con un responsable identificado por caso; el segundo genera un registro de supervisión sobre un grupo de casos.

¿Qué significa humano en el bucle específicamente en fraude y ALD?

Significa definir quién tiene cada uno de los cinco derechos individuales en una decisión dada: recomendar una resolución, aprobarla, cerrar la alerta, escalar el caso y reportarlo a una autoridad. Estos derechos suelen estar en manos de roles diferentes, y un agente solo debería tener el primero. Un proveedor que no pueda aclararle qué rol tiene cada derecho en cada cola de trabajo no está respondiendo a la pregunta de fondo.

¿Quién aprueba una decisión automatizada de fraude o ALD?

Depende del derecho al que se refiera (esta es la respuesta útil, no una evasiva). Un analista puede recomendar un cambio en la calificación de riesgo de un cliente, pero solo un rol de control (como el líder de delitos financieros o el oficial de BSA) puede aprobarlo. Aprobar, cerrar y reportar suelen ser tareas de tres personas distintas, y quien aprueba debe tener la justificación y las pruebas necesarias para poder discrepar.

¿Puede un agente de IA cerrar una alerta por sí solo?

No en el modelo de Oscilar. Nuestros agentes nunca cierran ni escalan alertas de forma autónoma; cada recomendación es revisada y confirmada por un analista humano antes de tomar cualquier medida. Si otro sistema lo permite es una pregunta que conviene hacer directamente, ya que la frase "humano en el bucle" no lo descarta por sí sola.

¿Quién reporta una actividad sospechosa si el agente redactó el informe?

El derecho a reportar permanece en el rol que tiene la obligación legal de hacerlo, y la asistencia en la redacción no lo transfiere. Además, los controles basados en roles suelen impedir que la persona que prepara el informe sea la misma que lo envía. Cuando el fraude y el lavado de dinero comparten plataforma, definir qué función se encarga de esa decisión es un tema de organización interna. Confirme los requisitos específicos para su institución con su asesor legal de cumplimiento.

¿Tener un humano en el bucle ralentiza la toma de decisiones?

Traslada el costo en lugar de eliminarlo. Una revisión completa de cada caso reparte la atención humana por igual, por lo que una configuración uniforme suele restar recursos a los casos de alto riesgo para dedicarlos a tareas rutinarias. El mapa de niveles de riesgo ayuda a decidir dónde enfocar el esfuerzo: revisión exhaustiva donde las consecuencias sean graves, y confirmación más rápida cuando baste con una recomendación de alta confianza en un caso de bajo valor.

¿Cómo se audita la revisión humana de la decisión de un agente?

Mediante un registro que recoge los datos de entrada, el razonamiento del agente, las pruebas, el nivel de confianza y cada acción posterior del agente o del analista con sus marcas de tiempo; así resulta sencillo demostrar dónde tomó la decisión un humano. Como los agentes analizan cada caso de una cola configurada en lugar de una muestra, no hay datos que se omitan silenciosamente. Los datos que debe conservar este registro y quién puede modificarlos son cuestiones del marco de control que se detallan en el artículo sobre gobernanza.

¿Puede funcionar esto con los sistemas de riesgo actuales de una institución?

Sí. Los agentes pueden funcionar como una capa independiente sobre su infraestructura actual o integrarse en una plataforma unificada. Lo que debe analizarse con cuidado no es la integración técnica, sino la coordinación operativa: la pantalla del revisor, la pista de auditoría y la ruta de escalamiento deben ser compatibles con un sistema de gestión de casos previo a la llegada del agente.

Si está definiendo dónde ubicar la línea de revisión en sus propias colas de trabajo, ese análisis resulta más productivo si se realiza sobre un tipo de decisión concreto y no de forma teórica. Contáctenos para realizar una prueba de concepto de un agente en una sola cola durante una semana, definiendo el modelo de revisión antes de iniciar las pruebas en producción.