Inteligencia artificial en el cumplimiento normativo y la supervisión

Leer la edición en PDF (5 páginas)

Supervisión de operaciones y delincuencia financiera

El cumplimiento normativo es uno de los campos más prometedores y a la vez más delicados para la inteligencia artificial. Los sistemas tradicionales de supervisión de operaciones generan un gran número de alertas, la mayoría de las cuales resultan infundadas tras una revisión manual. Los modelos de aprendizaje automático pueden ordenar las alertas según la probabilidad de que sean auténticas, detectar patrones entre cuentas y analizar información no estructurada, como noticias de prensa. La MAS (Monetary Authority of Singapore, la autoridad monetaria y supervisora financiera) observó que los bancos utilizan habitualmente estos modelos en los sistemas de prevención del blanqueo de capitales y en la detección del fraude. El peligro regulatorio es simétrico. Un modelo que suprime alertas auténticas expone al banco a infracciones de las normas contra el blanqueo de capitales examinadas en la parte H. Un modelo que no puede explicar su resultado es difícil de defender ante un supervisor o un tribunal. La MAS incluye el riesgo regulatorio entre los principales riesgos de la inteligencia artificial y pone como ejemplo el rendimiento deficiente de un modelo empleado para apoyar la lucha contra el blanqueo de capitales.¹

También han cambiado los datos de los que dependen estos modelos. Desde el 1 de abril de 2024, seis grandes bancos comerciales pueden compartir información sobre clientes que presentan múltiples señales de alerta a través de COSMIC, una plataforma digital que la MAS puso en marcha con ellos al amparo de la Financial Services and Markets (Amendment) Act 2023. Su enfoque inicial es el uso indebido de personas jurídicas, el uso indebido de la financiación del comercio y la financiación de la proliferación.² Una plataforma de este tipo es una fuente de señales estructuradas que los modelos analíticos pueden aprovechar. Su marco jurídico y su importancia para la lucha contra el blanqueo de capitales se tratan en la parte H.

Modelos de terceros y concentración

La mayoría de las entidades adquieren sus modelos generativos de un pequeño número de proveedores mundiales. La MAS identificó tres riesgos derivados: sesgos desconocidos procedentes de los datos de preentrenamiento, problemas de protección de datos y riesgo de concentración, cuando muchas entidades dependen de los mismos modelos subyacentes. Los bancos respondieron con pruebas compensatorias, planes de contingencia y contratos revisados que prevén garantías de rendimiento, protección de datos, derechos de auditoría y notificación cuando un proveedor introduce inteligencia artificial en un servicio existente.³

Las Guidelines definitivas zanjan el principio. Puede que una entidad no esté en condiciones de obligar a un proveedor externo a adoptar prácticas sólidas de gestión de riesgos. Aun así, sigue siendo responsable de cómo se utiliza la IA de terceros dentro de su organización y de su posible impacto en los clientes y otras partes interesadas.⁴ Las normas sobre externalización y gestión del riesgo tecnológico, examinadas en el capítulo E.I, se aplican de forma paralela.

Incidentes, seguimiento y contingencia

Las Guidelines definen los incidentes de IA como incidentes que implican un fallo, un mal funcionamiento o un rendimiento deficiente del sistema o modelo subyacente. La MAS decidió no establecer un régimen de notificación propio para ellos. Las entidades deben seguir notificando los incidentes con arreglo a los requisitos vigentes sobre riesgo tecnológico y continuidad de negocio, sea cual sea su causa. Se exigen planes de contingencia para los casos de uso de alta materialidad de riesgo. Los modelos que se actualizan automáticamente, como los sistemas de aprendizaje por refuerzo, requieren un seguimiento más riguroso, porque su comportamiento puede evolucionar durante el funcionamiento sin intervención humana.⁵

En los sistemas agénticos, el seguimiento debe abarcar los flujos de información y las rutas de decisión a lo largo de los procesos de trabajo, incluidos los procesos de razonamiento, las acciones realizadas y las herramientas utilizadas. Este seguimiento permite a una entidad reconstruir acciones concretas a lo largo de cadenas de agentes y localizar el origen de un fallo. La MAS sugirió además que el alcance del acceso a herramientas y sistemas puede servir como dimensión adicional de la materialidad del riesgo, porque los agentes con permisos amplios pueden agravar el riesgo de que los datos se vean comprometidos.⁶

El uso de datos por el propio supervisor

La MAS aplica el análisis de datos a su propio trabajo desde que creó el puesto de Chief Data Officer, que ocupaba David Hardoon cuando se publicaron los FEAT Principles. Los supervisores utilizan herramientas analíticas para tratar la información regulatoria periódica, examinar las comunicaciones de operaciones sospechosas y detectar patrones de abuso de mercado.⁷ Estas herramientas no alteran la relación de supervisión en sí. Ayudan al supervisor a seleccionar las entidades y operaciones que merecen atención, mientras que la valoración sigue siendo un juicio humano ejercido con arreglo a las leyes descritas en el capítulo E.I.

Notas

1. MAS, Information Paper, diciembre de 2024, párr. 2.1: los modelos de ML basados en árboles de decisión son «commonly used in anti-money laundering (AML) systems to detect suspicious transactions, and in fraud detection systems» – MAS, Information Paper, diciembre de 2024, párr. 2.2: «Regulatory risks, e.g., poor performance of AI used to support AML efforts could lead to non-compliance with regulations.» ↩
2. MAS, «COSMIC» (mas.gov.sg, consultado en noviembre de 2026): puesta en marcha el 1 de abril de 2024; participantes DBS, OCBC, UOB, SCB, Citibank y HSBC; base jurídica en la Financial Services and Markets (Amendment) Act 2023 y en las Financial Services and Markets (Information Sharing Scheme for Prescribed Financial Institutions) Regulations 2024; tres ámbitos de riesgo. ↩
3. MAS, Information Paper, diciembre de 2024, párr. 7.2.1: los riesgos de la IA de terceros incluyen «unknown biases from pre-training data, data protection concerns, as well as concentration risks due to increased interdependencies» – MAS, Information Paper, diciembre de 2024, párr. 7.2.2(a)–(d): pruebas compensatorias, planificación de contingencias, acuerdos jurídicos con cláusulas sobre «performance guarantees, data protection, the right to audit, and notification when AI is introduced» y medidas de concienciación. ↩
4. MAS, Response to Feedback, 7 de octubre de 2026, párrs. 9.3–9.4: la entidad financiera «remains accountable for how third-party AI is used within its organisation»; «the onus is on the FI to ensure that risks arising from its use of third-party AI are appropriately managed». ↩
5. MAS, Response to Feedback, 7 de octubre de 2026, párr. 10.69: definición de «AI incidents»; «MAS does not intend to introduce AI-specific incident reporting requirements at this juncture» – MAS, Response to Feedback, 7 de octubre de 2026, párrs. 10.67 y 10.70. ↩
6. MAS, Response to Feedback, 7 de octubre de 2026, párr. 12.8 – MAS, Response to Feedback, 7 de octubre de 2026, párr. 7.7: una entidad financiera puede considerar «the extent of access to tools and systems granted as an additional dimension for AI risk materiality assessments of agentic AI». ↩
7. Sobre el uso por la MAS del análisis de datos y del aprendizaje automático en la supervisión y en el análisis de las comunicaciones de operaciones sospechosas, véanse los informes anuales de la MAS desde 2018/19 y los discursos de altos cargos de la MAS sobre tecnología de supervisión. ↩

Solo a efectos de información general. Este artículo no constituye asesoramiento jurídico ni fiscal, no sustituye el asesoramiento en un caso concreto y no crea una relación abogado-cliente. Refleja la situación jurídica a fecha de octubre 2026.