IA, Cumplimiento normativo 8 minutos de lectura
La IA bajo la mirada de la ACPR: Cumplimiento de los estándares de explicabilidad y gobernanza en la lucha contra el lavado de dinero y la detección de fraudes
Si administras un programa contra el lavado de dinero o el fraude que se relaciona con el mercado francés, es posible que sepas que la Autoridad de Control Prudencial y de Resolución (ACPR) es uno de los organismos de supervisión más exigentes de Europa. Lo que ha cambiado en los últimos años es el nivel de documentación que esperan.
Antes, el criterio era: ¿tienes controles? ¿Y puedes demostrar cómo funcionan?
Ahora, lo que cada vez más se espera es: ¿puedes demostrar cómo funcionan tus modelos, por qué tomaron cada decisión y quién fue responsable del resultado?
Ese cambio es importante porque muchas plataformas de lucha contra el lavado de dinero y el fraude se desarrollaron principalmente para generar alertas. Este artículo explica qué espera realmente la ACPR de la inteligencia artificial en la detección de delitos financieros y cómo se ve, en la práctica, un programa que cumple con los requisitos de la ACPR.
La ACPR: sus orígenes y por qué su mandato abarca más de lo que la gente cree
La ACPR se creó en 2010 mediante la Ordenanza n.º 2010-76, que fusionó cuatro organismos predecesores: la Comisión Bancaria, la ACAM, la CEA y la CECEI. La ordenanza fue ratificada por la Ley de Regulación Bancaria y Financiera de Francia más tarde ese mismo año. Fue, en todos los sentidos, una reforma posterior a 2008: el objetivo era consolidar la supervisión fragmentada bajo una única autoridad con los recursos necesarios para llevar a cabo realmente la labor.
En julio de 2013, asumió la autoridad en materia de resolución y pasó a denominarse ACPR en lugar de ACP. Esa modificación es más que un simple cambio de nombre. Significa que el mismo organismo que supervisa tus controles contra el lavado de dinero es también el que puede resolver la situación de tu institución en caso de quiebra.
La ACPR cuenta con personal y recibe el respaldo de la Banco de Francia, lo que le confiere un peso institucional real. Su doble mandato consiste en la estabilidad sistémica y la protección de los clientes, y su alcance va más allá de lo que la gente suele creer: bancos, aseguradoras, instituciones de pago, instituciones de dinero electrónico y, por extensión, los agentes y socios con los que trabajan esas entidades autorizadas.
Lo que la ACPR realmente espera de la IA en el sector financiero de aquí en adelante
La ACPR publicó su documento de debate sobre la gobernanza de la IA en el sector financiero en 2020. Se centró en tres áreas: lucha contra el lavado de dinero y el financiamiento del terrorismo (AML/CFT), calificación crediticia y protección al cliente. Cinco años después, ese documento sigue siendo una de las expresiones más concretas de lo que un regulador francés espera ver cuando la IA toma decisiones dentro de una institución financiera.
El marco se basa en cuatro criterios de desempeño:
- Gestión de datos: linaje, calidad y gobernanza de los datos de entrada.
- Explicabilidad: la capacidad de explicar qué hizo el modelo, al público adecuado y con el nivel adecuado de detalle.
- Rendimiento: precisión, solidez y medición continua.
- Estabilidad: cómo se comporta el sistema a lo largo del tiempo, ante la deriva y ante los cambios.
Un aspecto que muchos equipos subestiman es la capa de explicabilidad. El ACPR articula un modelo por niveles de transparencia: observación, justificación, aproximación y replicación. El nivel que se necesita depende de la audiencia (validador interno, supervisor, cliente afectado) y del riesgo de la decisión.
Esta es la parte que a menudo se pasa por alto en las presentaciones de los proveedores. La ACPR no pide una transparencia total en todos los modelos, sino una gobernanza proporcional al riesgo, con la capacidad de solicitar explicaciones más detalladas cuando la situación lo requiera.
En la práctica, a las instituciones les resulta útil saber de antemano qué nivel de explicabilidad es capaz de ofrecer cada sistema de IA de su infraestructura, y si ese nivel se ajusta a la decisión en la que el sistema está influyendo.
Lo que está convergiendo: la AMLD6, la Ley de IA de la UE, la AMLA y la DORA
Ahora, cuatro líneas normativas están llegando al mismo escritorio.
Una institución supervisada por la ACPR que utilice inteligencia artificial (IA) en su programa de lucha contra el lavado de dinero (AML) en 2027 deberá cumplir, de manera simultánea y mediante un entorno de control coherente, con los criterios de gobernanza de la ACPR, las obligaciones de la AMLD6, los deberes de los proveedores y usuarios de IA establecidos en la Ley de IA, y los requisitos de supervisión de proveedores de la DORA. Vale la pena prestar atención al efecto acumulativo de todo ello.
- AMLD6 (Directiva 2024/1640) debe incorporarse a la legislación francesa el 10 de julio de 2027. Esta directiva refuerza la coordinación entre los supervisores nacionales y las UIF, armoniza las obligaciones fundamentales en materia de lucha contra el lavado de dinero y sienta las bases para la nueva Autoridad de la UE contra el Lavado de Dinero (AMLA), que supervisará directamente a las instituciones transfronterizas de mayor riesgo y supervisará a los supervisores nacionales en lo que respecta al resto.
- La Ley de IA de la UE clasifica los sistemas de calificación crediticia como de alto riesgo y aplica una exención matizada a los sistemas de lucha contra el lavado de dinero y de detección de fraudes. La exención es real, pero más limitada de lo que parece. Como lo ha señalado la EBA, una vez que el resultado de un modelo de lucha contra el lavado de dinero (AML) impulsa una decisión posterior, como el cierre de una cuenta o la denegación de un servicio, el impacto funcional comienza a considerarse cercano al alto riesgo. La responsabilidad del implementador está implícita: las instituciones no pueden delegar por completo el cumplimiento normativo a sus proveedores. Las multas pueden alcanzar hasta el 3 % de la facturación global.
- La DORA incorpora la resiliencia operativa, la gestión de riesgos de las TIC y la supervisión de proveedores externos al ámbito de la supervisión. La ACPR se encarga de hacer cumplir la DORA para las entidades francesas. Esto puede significar que tu conjunto de proveedores de servicios contra el lavado de dinero (AML) ahora forme parte de tu programa de resiliencia operativa, y no sea un asunto de adquisición independiente.
Por qué los enfoques tradicionales pueden frenar el avance de las instituciones financieras
He visto muchos sistemas de lucha contra el lavado de dinero y el fraude. Los que más dificultades tienen para hacer frente a las nuevas exigencias regulatorias suelen compartir algunas características.
Monitoreo basado en reglas diseñado para un volumen de alertas diferente. Cuando las presentaciones al STR superan en más del 20 % el ritmo del año pasado y tu sistema de monitoreo de transacciones sigue configurado con umbrales estáticos establecidos hace tres años, pueden suceder dos cosas: el volumen de alertas se dispara y la relación señal-ruido se desploma.
Las tasas de falsos positivos pueden superar el 95 %, y el costo operativo es significativo. El riesgo de incumplimiento, menos obvio pero más peligroso, es la fatiga por alertas: cuando los analistas no pueden mantenerse al día, los casos reales se cierran sin una revisión adecuada.
Modelos de caja negra sin registro de auditoría. Algunas instituciones han adoptado la detección basada en el aprendizaje automático, pero no pueden explicar por qué se activó una alerta en particular. Según el marco de la ACPR, esto puede considerarse un fallo de gobernanza, no una curiosidad técnica. Si no se puede presentar una justificación o una explicabilidad, aunque sea aproximada, cuando el supervisor lo solicite, el modelo en sí mismo puede convertirse en un riesgo.
Los procesos manuales que fallan ante un escrutinio. Cuando un organismo regulador pregunta cómo se tomó una decisión hace dieciocho meses, se espera que la respuesta sea reproducible. Muchos programas no pueden reconstruir la lógica de la decisión, el historial de versiones ni las pruebas de la supervisión humana de hace tanto tiempo. La información existe en alguna parte, pero se encuentra dispersa en hojas de cálculo, notas de gestión de casos y la memoria de los analistas.
Pilas de proveedores fragmentadas sin un registro de auditoría unificado. Muchas instituciones no adquirieron sus capacidades de lucha contra el lavado de dinero y el fraude como un sistema único. Las armaron a partir de soluciones puntuales en las áreas de filtrado, monitoreo, gestión de casos y calificación de riesgo de clientes. Cada proveedor tiene su propio registro de auditoría, su propio formato de exportación y su propia política de retención de datos. Armar todo eso en un relato coherente para un supervisor puede convertirse en un proyecto de varios meses.
Cómo se ve en la práctica un programa contra el lavado de dinero y el fraude que cumple con los requisitos de la ACPR
Es útil relacionar los cuatro criterios de la ACPR con la capacidad operativa. Esto aclara qué hay que construir y qué hay que retirar.
La gestión de datos se traduce en una coordinación integrada de los datos. El sistema debe incorporar, normalizar y versionar los datos de entrada con los que trabaja, y debe hacerlo de manera que puedas mostrárselo a un supervisor.
La explicabilidad se traduce en trazabilidad a nivel de decisión. Cada alerta, cada puntuación y cada escalación deben generar un artefacto que explique qué detectó el modelo, qué características fueron relevantes y qué significó el resultado del modelo.
El desempeño implica una evaluación y un cuestionamiento constantes. Esto incluye pruebas retrospectivas, configuraciones de «campeón/retador», monitoreo de desviaciones y pruebas de sesgos, cuando sea pertinente. El desempeño puede considerarse una obligación continua, y los supervisores esperan cada vez más ver el registro de evidencia.
La estabilidad se traduce en el control de versiones y de cambios. Cada modelo, cada regla y cada cambio en los umbrales se registra, se fecha, se atribuye y es reversible. Cuando un supervisor pregunte qué estaba haciendo el sistema en una fecha específica hace dieciocho meses, la respuesta debería tardar unos minutos, no semanas.
De esto se derivan algunos aspectos de diseño operativo:
- El monitoreo en tiempo real y el monitoreo por lotes deben coexistir. El monitoreo en tiempo real es para las decisiones en las que la rapidez es clave (autorización de pagos, apertura de cuentas). El monitoreo por lotes es para los patrones de comportamiento que solo se manifiestan a lo largo de períodos de días o semanas. Los programas modernos ejecutan ambos tipos de monitoreo, basándose en los mismos datos subyacentes y la misma biblioteca de reglas, por lo que no es necesario mantener dos realidades paralelas.
- El modelo «human-in-the-loop» se beneficia de haber sido diseñado de manera deliberada. Los agentes de IA pueden manejar de manera autónoma un gran volumen de alertas de bajo riesgo. Lo importante es que la lógica de escalación hacia los analistas humanos sea explícita, que la revisión humana sea genuina y no un mero trámite, y que toda la cadena sea auditable. Las expectativas de gobernanza de la ACPR suelen satisfacerse al demostrar una supervisión real.
- El diseño del registro de auditoría se realiza en las etapas iniciales, no en las finales. La tentación es agregar el registro de auditoría al final. La arquitectura adecuada trata cada decisión, desde la alerta inicial hasta la presentación final del informe de actividad sospechosa (SAR), como un evento rastreable desde el momento en que se genera.
- Los equipos de cumplimiento se benefician al tener el control de la lógica de detección. Cuando cada cambio en las reglas requiere abrir un ticket de ingeniería, al programa le puede costar mantenerse al día con el panorama de amenazas o con el ritmo de los cambios normativos. Las instituciones que están tomando la delantera son aquellas en las que los equipos de lucha contra el lavado de dinero y el fraude pueden crear, probar e implementar la lógica de detección directamente, dentro de los límites de gobernanza.
El cumplimiento normativo como una verdadera ventaja competitiva en 2026 y más allá
Las instituciones mejor posicionadas para triunfar en Francia en los próximos años son aquellas que puedan demostrar que sus programas contra el lavado de dinero y el fraude están bien gestionados, son transparentes y cuentan con resiliencia operativa. Suelen conseguir alianzas, ya que las entidades autorizadas tienden a elegir socios a quienes puedan respaldar ante un organismo regulador. Pueden expandirse más rápido, ya que las dificultades regulatorias pueden convertirse en una ventaja asimétrica para las empresas que ya han realizado el trabajo necesario. Además, pueden evitar el daño reputacional y financiero que el Comité de Sanciones ahora puede infligir a gran escala.
La convergencia del marco actual de la ACPR con la AMLD6, la Ley de IA de la UE, la AMLA y la DORA se está convirtiendo en la nueva referencia. El nivel de exigencia está aumentando de tal manera que recompensa a las instituciones que, desde el principio, incorporaron la gobernanza, la explicabilidad y la supervisión humana en sus programas de IA.
