Reglas de monitoreo de transacciones frente a modelos de aprendizaje automático

Última actualización: septiembre de 2026

La elección entre reglas de monitoreo de transacciones y el aprendizaje automático casi nunca es una decisión excluyente en los programas de prevención de lavado de dinero (AML). Las reglas aportan cobertura: las tipologías de AML conocidas y las líneas de política que un examinador puede asociar con una señal de alerta. Los modelos de aprendizaje automático aportan contexto y prioridad donde los límites fijos fallan. Lo que más varía es la evidencia que cada enfoque debe presentar ante un examinador, y la guía revisada sobre riesgos de modelos de abril de 2026 cambió la forma en que se plantea esa cuestión.

Resumen rápido

• Las reglas cubren tipologías conocidas y líneas de política. Los modelos de aprendizaje automático comparan a cada cliente con su propio historial y con sus pares, y clasifican las alertas según el nivel de riesgo.

• Según la guía revisada de gestión de riesgos de modelos (SR 26-2, Boletín OCC 2026-13 y FDIC FIL-15-2026), la exclusión para reglas deterministas se aplica solo cuando no existe una teoría estadística, económica o financiera que respalde su diseño o uso. Cada institución clasifica sus propios escenarios y documenta la decisión.

• La guía nunca menciona la BSA/AML, y el manual del FFIEC sigue exigiendo que el sistema de monitoreo sea validado de forma independiente, independientemente de cómo se llamen sus escenarios.

• Una regla requiere una correspondencia con la tipología, una justificación de los límites y pruebas cuando se modifica. Un modelo requiere validación, monitoreo continuo tras su lanzamiento y un cuestionamiento eficaz. Ambos requieren un registro de decisiones que un examinador pueda reconstruir.

¿Cuál es la diferencia entre el monitoreo de transacciones basado en reglas y el basado en aprendizaje automático?

La diferencia entre el monitoreo basado en reglas y el basado en aprendizaje automático radica en el origen de la lógica que genera una alerta. En el monitoreo basado en reglas, una persona define una condición, como un monto, un número de operaciones o un patrón en un periodo de tiempo, y el sistema genera una alerta cuando la actividad coincide con ella. En el monitoreo por aprendizaje automático, un modelo aprende de datos históricos cómo es la actividad normal, califica la nueva actividad en función de esa expectativa para el cliente o sus pares, y señala o clasifica lo que resulte inusual.

Los examinadores bancarios trazan la misma línea. El manual de examen publicado por el Consejo Federal de Examen de Instituciones Financieras (FFIEC) señala que "los sistemas de monitoreo de vigilancia incluyen sistemas basados en reglas y sistemas inteligentes", y que los sistemas inteligentes "son adaptativos y pueden filtrar transacciones basándose en la actividad histórica de la cuenta o comparar la actividad del cliente con un grupo de pares preestablecido u otros datos relevantes". Los proveedores suelen llamar "escenario" a una regla.

Por lo general, los programas utilizan ambos enfoques, por lo que la pregunta más útil para un director de riesgos es qué debe demostrar cada método ante un examinador. La decisión de si el monitoreo se realiza en tiempo real o por lotes es independiente y se aborda en una guía sobre el monitoreo de transacciones en tiempo real.

¿Qué hacen bien las reglas y dónde fallan?

Las reglas de monitoreo de transacciones (a menudo llamadas reglas o escenarios AML) funcionan mejor cuando una tipología o línea de política se puede definir con precisión. Una regla se asocia directamente con una señal de alerta específica, y un equipo puede modificarla y explicar el cambio el mismo día. Los examinadores saben cómo evaluar las reglas: un responsable de cumplimiento de BSA/AML en un banco comunitario comentó que los examinadores asumen que un proveedor de monitoreo consolidado ya está validado y se enfocan en cómo el banco lo calibró.

El manual del FFIEC asocia una obligación a esa claridad: "La administración debe documentar y ser capaz de explicar los criterios de filtrado, los límites utilizados y cómo ambos resultan adecuados para los riesgos del banco". Las reglas fallan cuando esos límites quedan obsoletos. Un director de estrategia de riesgo de cumplimiento de un banco regional describió reglas tan antiguas que la cartera y los datos del banco habían superado el propósito para el que fueron creadas, lo que generaba un gran volumen de alertas y muy poco trabajo útil. Además, un límite compartido por segmentos de clientes con comportamientos distintos no permite la comparación entre pares necesaria para separar la actividad normal de la inusual.

Un conjunto de reglas solo se puede explicar si la institución tiene visibilidad sobre él. Un gerente de cumplimiento de BSA/AML/OFAC de una cooperativa de crédito señaló que cuando los reguladores preguntan cómo se generan las alertas, el equipo no puede mostrarles las reglas específicas porque su proveedor de monitoreo solo ofrece una vista de alto nivel. Los validadores buscan esa misma transparencia: un gerente de sistemas tecnológicos de BSA/AML/OFAC en un banco comunitario comentó que querrán "ver obviamente todas las reglas subyacentes y la lógica de las consultas", además de consultar la base de datos por sí mismos.

Cómo probar y documentar un cambio de límites para mantener la cobertura se detalla en una guía independiente sobre cómo reducir los falsos positivos en AML.

¿Qué hacen bien los modelos de aprendizaje automático y dónde fallan?

Los modelos de aprendizaje automático son muy útiles cuando un límite fijo no basta para distinguir la actividad normal de la inusual. Un modelo puede comparar a un cliente con su propio historial y con pares de comportamiento similar, detectar patrones que ninguna regla había previsto y priorizar las alertas para que los analistas revisen primero las de mayor riesgo. Un director de ingeniería de una fintech lo resumió con claridad: "las máquinas son mejores que los humanos a la hora de ajustar los límites".

Los modelos conllevan sus propios costos: requieren una cantidad suficiente de datos históricos de calidad con resultados previos registrados y son más difíciles de explicar. El mismo director de ingeniería estableció el límite: "No conviene usar algo sumamente complicado; un modelo que los humanos no puedan entender no sirve, porque muchas veces no se tienen suficientes datos para justificar ese camino". Un modelo debe mantenerse tan simple como lo permitan los datos, ya que un examinador no puede validar un modelo que nadie puede explicar.

La explicabilidad se evalúa en dos instancias. Un validador o examinador preguntará cómo se construyó el modelo, y un gerente de cumplimiento de AML de un operador de juegos en línea anticipa que el regulador querrá saber cómo determinó el equipo "qué coeficientes clave utilizar para este factor de riesgo" y si eso se documentó claramente. El analista que gestiona la alerta también necesita conocer los motivos, por lo que cada decisión del modelo debe incluir códigos de motivo que el analista pueda ver en la bandeja de trabajo.

Superponer sistemas opacos hace que un modelo sea aún más difícil de explicar. Un alto ejecutivo de riesgo de modelos de un banco regional comentó que antes los equipos de riesgo se quejaban de que los enfoques de aprendizaje automático, como las redes neuronales, eran cajas negras, y que ahora "es como una caja negra sobre otra caja negra, ¿verdad? Por lo que no hay transparencia en la toma de decisiones". Cuando un sistema opaco califica los resultados de otro, las pruebas de resultados deben asumir un peso mayor.

Reglas y modelos cara a cara

Las reglas y los modelos de aprendizaje automático se diferencian principalmente en la evidencia que cada uno debe aportar.

Independientemente de la categoría en la que se encuentre un escenario, el manual del FFIEC exige que el sistema de monitoreo en su conjunto sea validado de forma independiente.

¿Es una regla de monitoreo un modelo según la guía revisada?

Una regla de monitoreo de transacciones puede quedar fuera de la definición revisada de modelo, pero la exclusión es condicional: cubre procesos deterministas basados en reglas solo cuando no existe una teoría estadística, económica o financiera que respalde su diseño o uso. Definir si un escenario cumple con esa condición es una clasificación que cada institución debe realizar y documentar.

El 17 de abril de 2026, la Reserva Federal, la OCC y la FDIC emitieron una guía revisada sobre la gestión de riesgos de modelos bajo las denominaciones SR 26-2, Boletín OCC 2026-13 y FDIC FIL-15-2026. Esta reemplaza a las circulares SR 11-7 y SR 21-8, la declaración conjunta de 2021 sobre el riesgo de modelos en sistemas BSA/AML. La guía define un modelo como "un método, sistema o enfoque cuantitativo complejo que aplica teorías estadísticas, económicas o financieras para procesar datos de entrada y generar estimaciones cuantitativas". El término "excluye cálculos aritméticos simples, como los de las hojas de cálculo, así como procesos deterministas basados en reglas y software donde no existen teorías estadísticas, económicas o financieras que respalden su diseño o uso".

Si se analiza en detalle, la exclusión de reglas tiene condiciones. Un límite fijo definido por política, sin base estadística, se entiende como excluido. En cambio, un límite derivado del análisis estadístico de los propios datos de la institución no está cubierto por la exclusión; por lo tanto, bajo esta interpretación, esa regla podría entrar en la definición de modelo, al igual que un modelo de segmentación o calificación. Las agencias no publicaron preguntas frecuentes con la guía, por lo que esto sigue siendo una interpretación directa del texto y no un motivo para considerar que un conjunto de reglas queda fuera de alcance.

La nota al pie número 3, vinculada a la definición, añade dos puntos. Las propias "prácticas de gobierno y gestión de riesgos del banco deben guiar la definición de controles adecuados para cualquier herramienta, proceso o sistema no cubierto en este documento", lo que sugiere que también abarca a las reglas excluidas. Los principios de la guía "se aplican a modelos cuantitativos y estadísticos tradicionales, así como a modelos de IA no generativa y no agéntica", lo que incluye los modelos de aprendizaje automático que califican y priorizan alertas. La IA generativa y la agéntica quedan fuera de su alcance, y las agencias han manifestado que planean publicar una solicitud de información sobre el uso de la IA en los bancos.

La guía revisada nunca menciona la Ley de Secreto Bancario (BSA), AML, el monitoreo de transacciones ni las sanciones, por lo que la clasificación de la lógica de monitoreo depende de la definición general. De todos modos, algunas instituciones gestionan todo como modelos: un director de estrategia de riesgo de cumplimiento de un banco regional comentó que el banco trata cada escenario de monitoreo como un modelo para fines de gobierno, aunque solo algunos dependan del aprendizaje automático o de técnicas de modelado más complejas. Se espera que la guía "sea más relevante para organizaciones bancarias con activos totales superiores a 30 000 millones de dólares", aunque también puede ser útil para bancos más pequeños con una exposición significativa al riesgo de modelos.

La validación integral de un modelo de monitoreo se explica en detalle en una guía independiente sobre validación de modelos de AML.

¿Qué evidencia debe presentar cada enfoque ante un examinador?

Tanto las reglas como los modelos de aprendizaje automático deben aportar un conjunto diferente de evidencias a un examinador, y ambos deben ofrecer un registro de decisiones que el examinador pueda reconstruir a partir de sus entradas y justificación.

Una regla requiere:

• una asociación documentada con la tipología o señal de alerta que busca detectar

• una justificación de límites que demuestre por qué el límite se adapta a los riesgos de la institución

• pruebas cada vez que se modifique y revisiones periódicas que demuestren que sigue funcionando

• un motivo claro que el analista pueda consultar cuando se genere la alerta

Un modelo requiere:

• validación de su solidez conceptual, sus datos y sus resultados

• monitoreo continuo después del lanzamiento para detectar desviaciones en datos, variables y conceptos (drift), así como análisis de resultados por segmento de clientes

• un cuestionamiento eficaz por parte de personal capacitado para evaluarlo, que cuente con "suficiente independencia para mantener la objetividad, así como con la posición organizativa y la influencia necesarias para implementar cambios", según la guía revisada

• códigos de motivo claros que lleguen al analista que gestiona la alerta

Existe una expectativa común que aplica tanto a reglas como a modelos, independientemente de la definición técnica. El manual del FFIEC establece que "la metodología de programación del sistema de monitoreo y su efectividad deben ser validadas de manera independiente para asegurar que los modelos estén detectando actividades potencialmente sospechosas". Esta frase es anterior a la guía revisada, califica a los sistemas de monitoreo como "modelos" y no depende del volumen de activos de la institución.

La validación de un modelo provisto por terceros sigue siendo responsabilidad de la institución: la guía revisada reconoce que los bancos "pueden no recibir el código subyacente, los datos o la metodología por parte del proveedor", pero aclara que "los principios de gestión de riesgos de modelos siguen siendo aplicables". Cambiar de enfoque es, en sí mismo, una modificación que un examinador querrá ver fundamentada. Como señaló un responsable de BSA en una entidad de transferencia de dinero: "Es un cambio y simplemente tenemos que demostrar a nuestros examinadores y bancos socios que es un cambio para mejor, ¿no?".

¿Cómo funcionan las reglas y los modelos en la práctica?

Normalmente, las reglas y los modelos colaboran mediante uno de estos dos esquemas: un modelo detecta un patrón y una regla lo implementa, o las reglas generan las alertas y un modelo las prioriza. En ambos casos, la cobertura de tipologías permanece en reglas comprensibles para un examinador.

Un gerente de análisis de riesgo de un banco regional describió el primer esquema: el equipo realiza análisis de conglomerados (clustering) para detectar patrones y luego convierte los resultados en reglas y tablas, ya que el sistema de monitoreo del banco solo puede ejecutar reglas. Este modelo híbrido también difumina la definición de "modelo", porque cuando el análisis estadístico define los parámetros de una regla, el diseño de esta se apoya en teorías que influyen en su exclusión.

El segundo esquema permite que los analistas se enfoquen en el riesgo real sin perder cobertura. Un gerente de gobierno de riesgo de AML en un banco regional describió el problema que resuelve este enfoque: el monitoreo basado en perfiles cubría las tipologías esperadas por los reguladores, pero generaba un volumen excesivo de alertas. Parte de la lógica debe mantenerse en las reglas de todos modos; como señaló el director de riesgos de un banco digital: "Siempre habrá analistas ajustando reglas, porque no todo se puede automatizar en un modelo".

Las agencias anticiparon el escenario en el que un modelo detecta lo que las reglas no vieron. Su declaración conjunta de 2018 sobre innovación señala que cuando "los sistemas de monitoreo de transacciones basados en inteligencia artificial" detectan actividad sospechosa que los procesos existentes no habrían advertido, "las agencias no asumirán automáticamente que los procesos existentes de los bancos son deficientes".

El destino de una alerta una vez generada, sin importar el enfoque que la originó, se analiza en una guía independiente sobre automatización de alertas AML de nivel 1. Para la detección de fraudes, donde la decisión es una autorización inmediata y no una alerta diferida, esa misma comparación se detalla en una guía independiente sobre detección de fraudes mediante aprendizaje automático frente a reglas.

¿Cuáles son las fuentes primarias?

Las fuentes primarias sobre reglas, modelos y monitoreo de transacciones se concentran en cuatro documentos oficiales, publicados por sus respectivas agencias emisoras:

• La circular SR 26-2 y su anexo (Reserva Federal), junto con el Boletín OCC 2026-13 y la circular FDIC FIL-15-2026, emitidos el 17 de abril de 2026: definición de modelos y exclusiones, nota al pie 3, modelos de proveedores y cuestionamiento eficaz.

• El Manual de Examen BSA/AML del FFIEC, en su sección sobre informes de actividad sospechosa: sistemas inteligentes y basados en reglas, límites y validación independiente. El texto sobre monitoreo se mantiene sin cambios sustanciales desde 2014.

• La Declaración Conjunta de 2018 sobre Esfuerzos Innovadores para Combatir el Lavado de Dinero y el Financiamiento del Terrorismo, que sigue vigente: proyectos piloto y monitoreo de transacciones basado en IA.

• La propuesta de norma del programa AML/CFT de FinCEN (91 FR 18704, abril de 2026), que aún es un borrador. Esta "no hace referencia ni exige el uso de ninguna tecnología en particular", y consulta qué componentes del programa, como "las reglas y parámetros de monitoreo de transacciones", deberían requerirse por escrito.

Ninguno de los dos enfoques es obligatorio. La declaración de 2018 aclara que las agencias "no recomendarán un método o tecnología en particular", y el manual del FFIEC señala que la complejidad de los sistemas de monitoreo "debe venir definida por el perfil de riesgo del banco". Sin embargo, las preguntas de los examinadores han evolucionado: un director global de operaciones de cumplimiento en una firma de criptomonedas comentó que antes los examinadores evaluaban un programa por la cantidad de alertas y el tamaño del equipo de revisión, mientras que ahora analizan si existe un enfoque estratégico, lo que incluye comprobar si se están utilizando IA y aprendizaje automático.

Cómo aborda Oscilar las reglas y los modelos

Oscilar ejecuta reglas configurables junto con bases de comportamiento, detección de anomalías y priorización de alertas. De este modo, los modelos aportan contexto mientras las reglas siguen siendo fáciles de explicar y una persona revisa el resultado final. Tanto las reglas como los modelos pueden someterse a pruebas retrospectivas (backtesting), pruebas A/B y pruebas unitarias con datos históricos antes de su implementación activa. El modelo de priorización de Oscilar clasifica las alertas "según su relevancia y nivel de riesgo potencial".

Tras el lanzamiento, Oscilar monitorea desviaciones en datos, variables y conceptos, analiza los indicadores clave de rendimiento de los resultados por segmento y vigila posibles sesgos. Cada decisión conserva un historial de auditoría completo con justificaciones almacenadas, y la plataforma está diseñada para mantener la participación humana en el proceso. Los bancos operan bajo las directrices interinstitucionales de gestión de riesgos de modelos, y la plataforma está diseñada para adaptarse a ellas; el banco conserva sus propios estándares de validación, autoridad de aprobación y responsabilidad regulatoria.

Preguntas frecuentes

¿Puede el aprendizaje automático reemplazar las reglas en el monitoreo de transacciones AML?

El aprendizaje automático rara vez reemplaza por completo a las reglas en el monitoreo de transacciones AML, ya que las reglas siguen sustentando las tipologías y políticas de riesgo que un examinador espera ver reflejadas. Los modelos aportan contexto y priorización, y la declaración conjunta de innovación de las agencias de 2018 aclara que no se asumirá automáticamente que los procesos actuales son deficientes cuando un sistema basado en IA detecte actividades sospechosas que dichos procesos no identificaron.

¿Qué pruebas y validación requiere cada enfoque?

Una regla requiere una asociación documentada con tipologías, una justificación de límites, pruebas cada vez que cambie y revisiones periódicas. Un modelo de aprendizaje automático requiere la validación de su solidez conceptual, de los datos y de los resultados, monitoreo continuo tras su lanzamiento y un cuestionamiento eficaz por parte de revisores independientes. Independientemente de cómo se llame cada escenario, el manual del FFIEC exige que la metodología de programación y la efectividad del sistema de monitoreo sean validadas de forma independiente.

¿Qué enfoque es más fácil de explicar a un examinador?

Por lo general, una regla es más fácil de explicar a un examinador, quien puede comprender directamente la condición, el límite y la actividad que la activó. Un modelo puede ser igual de explicable si cada alerta cuenta con códigos de motivo claros y la institución puede demostrar cómo se eligieron y validaron las variables de entrada; por el contrario, un conjunto de reglas oculto en el sistema de un proveedor externo puede ser más difícil de explicar que cualquiera de las opciones anteriores.

¿Cómo se ve un modelo híbrido de reglas y modelos en la práctica?

Un modelo híbrido suele adoptar una de dos formas: o bien un modelo (como un análisis de conglomerados) detecta un patrón que el equipo traduce en una regla ejecutable por el sistema de monitoreo, o bien las reglas generan las alertas y un modelo las clasifica para que los analistas prioricen los casos de mayor riesgo.

¿Dónde pueden los equipos encontrar las fuentes regulatorias primarias sobre monitoreo y riesgo de modelos?

Las fuentes primarias son la circular SR 26-2 y su anexo de la Reserva Federal, junto con el Boletín OCC 2026-13 y FDIC FIL-15-2026; la sección de informes de actividad sospechosa del Manual de Examen BSA/AML del FFIEC; y la Declaración Conjunta de 2018 sobre Esfuerzos Innovadores para Combatir el Lavado de Dinero y el Financiamiento del Terrorismo. La norma del programa AML/CFT de FinCEN, publicada en abril de 2026 en 91 FR 18704, sigue siendo una propuesta.

Las reglas y los modelos de aprendizaje automático responden a distintas necesidades dentro del monitoreo de transacciones de AML, y un programa sólido documenta ambas soluciones junto con el historial de cada decisión. Para conocer cómo funcionan las reglas configurables y los modelos en paralelo con un registro de auditoría completo, consulte nuestra sección sobre monitoreo de transacciones AML para bancos.