IA, AML 8 minutos de lectura
Gestión del riesgo de los modelos de IA en la lucha contra el lavado de dinero: una guía paso a paso para bancos y empresas de tecnología financiera
Por Dustin Eaton, director de Fraude y Lucha contra el Lavado de Dinero en Taktile
Esta es la segunda parte de nuestra serie de artículos de blog dirigida a las instituciones financieras que deben adaptarse a las nuevas normas sobre el riesgo de los modelos de IA en el contexto de la lucha contra el lavado de dinero.
En la primera parte de esta serie se estableció un nuevo mandato regulatorio: el marco modelo de gestión de riesgos de la norma SR 11-7 ahora se aplica a los sistemas de inteligencia artificial (IA) para la prevención del lavado de dinero, lo que exige el mismo rigor que se aplica a los modelos de crédito.
Analizamos los tres pilares fundamentales del marco: documentación y uso, validación independiente, y gobernanza y controles. También destacamos los desafíos específicos a los que se enfrentan los modelos de lucha contra el lavado de dinero, desde datos de referencia ambiguos hasta técnicas de lavado de dinero en rápida evolución.
La Parte 2 se centra en la implementación y ofrece una guía práctica para desarrollar capacidades de gestión de riesgo de modelos que cumplan con las normas. Repasaremos cada paso esencial, desde la realización de inventarios de IA y la creación de funciones de validación, hasta la implementación de un monitoreo continuo y la gestión de las relaciones con terceros. También analizaremos qué se puede esperar de los reguladores y por qué una sólida gestión del riesgo de modelos puede convertirse en una ventaja competitiva.
Ya sea que estés empezando desde cero o reforzando las prácticas existentes, esta guía ofrece medidas prácticas para cumplir con las expectativas regulatorias y, al mismo tiempo, permitir operaciones de lucha contra el lavado de dinero más efectivas.
Cumple con las nuevas exigencias normativas sobre el uso de la IA en la lucha contra el lavado de dinero con nuestra guía paso a paso.
De la normativa a la implementación: Cómo poner en práctica los requisitos de la norma SR 11-7
Para convertir las expectativas regulatorias en prácticas operativas se requiere una implementación sistemática. El siguiente enfoque ofrece una guía práctica para desarrollar capacidades de MRM para la IA en la lucha contra el lavado de dinero.
Comience por realizar un inventario de la IA en todas las funciones relacionadas con la prevención del lavado de dinero
Antes de desarrollar capacidades de validación, es útil empezar por evaluar qué es lo que se va a validar. La iniciativa de inventario de IA debería:
- Catalogar todos los sistemas cuantitativos que influyen en las decisiones de AML, incluyendo tanto los «modelos» designados formalmente como los componentes de IA/ML integrados en plataformas más amplias.
- Documente, para cada sistema, el propósito comercial, el enfoque matemático, los datos de entrada, la fecha de implementación, el responsable del modelo y el estado actual de validación.
- Clasifica cada sistema según su nivel de riesgo utilizando un marco estandarizado (por ejemplo, complejidad, importancia relativa, calidad de los datos, sensibilidad regulatoria).
- Identificar deficiencias, como modelos en producción sin validación, modelos con validaciones vencidas o modelos que carecen de documentación.
Este inventario puede ayudar a las organizaciones a detectar posibles brechas en los protocolos existentes de gestión de riesgo de modelos, por ejemplo: componentes de IA implementados sin validación, modelos de proveedores cuyo funcionamiento interno es opaco o modelos «temporales» que han estado en funcionamiento durante años sin una revisión formal. Una vez completado el inventario, estarás listo para comenzar a desarrollar capacidades de gestión de riesgo de modelos (MRM).
Desarrollar una función de validación independiente para garantizar la eficacia del modelo de lucha contra el lavado de dinero
La validación de modelos de IA para la LMA puede ser más eficaz cuando los equipos cuentan con una combinación de conocimientos técnicos, analíticos y especializados en el campo. Por ejemplo:
- Habilidades técnicas: Conocimientos de modelado estadístico, algoritmos de aprendizaje automático, programación (Python/R) y análisis de datos.
- Conocimientos sobre el ámbito de la lucha contra el lavado de dinero: comprensión de las tipologías de lavado de dinero, los requisitos normativos y los flujos de trabajo de investigación.
- Metodología de validación: Capacitación en marcos de validación de modelos, métodos de prueba y normas de documentación.
Desde el punto de vista organizativo, la función de validación debe ser independiente del desarrollo de modelos y de la gestión de las líneas de negocio. La OCC hace hincapié en que «el personal que realice el trabajo de validación debe contar con autoridad explícita para cuestionar a los desarrolladores y usuarios, y para dar a conocer sus hallazgos, incluyendo problemas y deficiencias». Existen varias formas en que las organizaciones pueden poner esto en práctica:
- Gestión independiente de riesgos: Depende del director de riesgos y opera de manera independiente de las líneas de negocio.
- Grupo de riesgo de modelos centralizado: Función dedicada de gestión de riesgos de modelos (MRM) que valida todos los modelos en toda la empresa.
- Validación por terceros: Recurrir a validadores externos con conocimientos especializados (a menudo necesario para las instituciones más pequeñas).
Crear plantillas estandarizadas para la documentación del modelo de lucha contra el lavado de dinero
Las plantillas estandarizadas ayudan a garantizar que la documentación de los modelos sea coherente y completa. La mayoría de las organizaciones se beneficiarían de crear las siguientes plantillas básicas:
- Documento de desarrollo del modelo: Describe el propósito del modelo, los fundamentos teóricos, las fuentes de datos, la metodología, las limitaciones y los controles de implementación.
- Plantilla de informe de validación: Resumen de los resultados de la validación que aborda la solidez conceptual, el análisis de resultados, el seguimiento continuo, los problemas identificados y las recomendaciones.
- Panel de control de monitoreo continuo: Realiza un seguimiento del desempeño del modelo a lo largo del tiempo mediante métricas estandarizadas.
- Solicitud de cambio de modelo: Se requiere documentación formal y aprobación para las modificaciones del modelo.
Habilitar el monitoreo continuo con métricas específicas, umbrales y procedimientos de escalación
El monitoreo continuo transforma el MRM de una validación puntual a una supervisión continua. Las métricas clave de monitoreo suelen incluir:
- Volúmenes de alertas: Total de alertas generadas, tendencias a lo largo del tiempo y patrones estacionales.
- Tasas de falsos positivos: Porcentaje de alertas cerradas sin presentar un informe de actividades sospechosas (SAR).
- Tasas de conversión de SAR: Porcentaje de alertas que dan lugar a la presentación de un SAR.
- Indicadores de desviación del modelo: Medidas estadísticas que evalúan si las distribuciones de los datos o el comportamiento del modelo están cambiando.
- Métricas de cobertura: Evaluación de si se están monitoreando todos los segmentos de clientes y tipos de transacciones.
- Desempeño respecto a los umbrales: Evaluación de si las alertas se concentran de manera desproporcionada en tipologías o segmentos de clientes específicos.
Al diseñar su marco de monitoreo de modelos, considere establecer umbrales que activen la escalación. Por ejemplo, si las tasas de falsos positivos aumentan más del 20 % de un mes a otro, o si las tasas de conversión de SAR caen por debajo de los objetivos institucionales, esto puede dar lugar a una investigación y a una posible recalibración del modelo para mitigar el riesgo de manera más eficaz.
Mantén el cumplimiento de las normas de MRM al comprender los retos comunes de implementación
Debido a la complejidad de los sistemas de inteligencia artificial (IA) para la lucha contra el lavado de dinero (AML), surgen varios retos comunes al poner en práctica los requisitos de la norma SR 11-7. Comprender y anticipar estos retos puede ser útil para fortalecer sus operaciones generales de gestión de riesgos (MRM). Entre ellos se incluyen:
- Considerar la IA como «solo software»: Tratar la IA aplicada a la lucha contra el lavado de dinero (AML) como un sistema de TI en lugar de como un modelo sujeto a validación puede generar brechas de gobernanza. Por ejemplo, las pruebas de control de calidad del software no sustituyen necesariamente a la validación del modelo AML.
- Recursos insuficientes para la validación: La validación de modelos puede ser más eficaz cuando los equipos cuentan con habilidades especializadas. Asignar las responsabilidades de validación a personal con la capacitación adecuada te ayudará a tener confianza en la eficacia del modelo.
- Inventarios incompletos: En los casos en que no se identifiquen ni documenten todos los componentes de IA/ML, existe el riesgo de que haya modelos desconocidos operando sin supervisión. Para garantizar que el inventario esté completo, este debe ser exhaustivo y actualizarse periódicamente.
Cambios previstos en el panorama regulatorio y cómo las instituciones pueden mantenerse a la vanguardia
Tendencias en materia de auditorías regulatorias
Las agencias reguladoras están reforzando activamente la capacitación de los inspectores en materia de inteligencia artificial y riesgo de modelos, lo que indica una presión cada vez mayor sobre las instituciones financieras para que sigan cumpliendo con las nuevas normas de gestión del riesgo de modelos (MRM).
Los equipos pueden esperar que las preguntas relacionadas con el riesgo de los modelos ocupen un lugar destacado en las inspecciones de prevención de lavado de dinero (AML) en el futuro. Por ejemplo, es probable que los inspectores se centren en lo siguiente:
Exhaustividad del inventario del modelo.
Independencia en la validación y adecuación técnica.
Comprensión del riesgo de modelo por parte del consejo de administración.
Solución de los problemas detectados en el modelo.
Diligencia debida y seguimiento continuo del modelo de proveedores.
Acontecimientos internacionales
El enfoque regulatorio de Estados Unidos respecto a la gobernanza de la IA forma parte de una tendencia global. La Ley de IA de la Unión Europea establece requisitos exhaustivos para los sistemas de IA de «alto riesgo», incluidos aquellos utilizados en funciones de cumplimiento normativo. La Ley exige sistemas de gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana y evaluaciones de conformidad —requisitos que se superponen sustancialmente con el marco de la norma SR 11-7.
A medida que otras jurisdicciones adopten marcos similares, las instituciones multinacionales se enfrentarán a la complejidad que implica cumplir con múltiples regímenes de gobernanza de la IA que se superponen entre sí. Desarrollar capacidades sólidas de gestión de riesgos de la IA (MRM) que superen los requisitos de cualquier jurisdicción por sí sola podría resultar más eficiente que los enfoques específicos para cada jurisdicción.
La gestión del riesgo de modelo como factor facilitador, no como obstáculo
Si bien en este documento se ha hecho hincapié en los requisitos normativos, un MRM sólido genera ventajas estratégicas:
- Implementación más rápida: Las instituciones que cuentan con capacidades maduras de MRM pueden desarrollar, validar e implementar rápidamente nuevas capacidades de IA, lo que acorta el tiempo de generación de valor.
- Confianza regulatoria: Demostrar una gestión proactiva y sofisticada del riesgo de modelo genera confianza en los inspectores, lo que podría reducir la carga de las inspecciones y permitir iniciativas de IA más ambiciosas.
- Mejores resultados: una validación y un monitoreo rigurosos mejoran el desempeño del modelo, reduciendo los falsos positivos y mejorando la detección, al tiempo que disminuyen los costos y reducen el riesgo.
Las organizaciones que consideren que la gestión de riesgos de mercado (MRM) facilita la adopción de la IA, en lugar de limitarla, se diferenciarán del resto. Las investigaciones sobre los marcos de gobernanza de la IA demuestran que las instituciones con marcos sólidos de gobernanza de la IA pueden impulsar una innovación agresiva al tiempo que mantienen la confianza regulatoria —una ventaja competitiva en una industria donde la velocidad de implementación de la tecnología determina cada vez más la posición en el mercado.
El camino a seguir comienza con el establecimiento de procesos de MRM que funcionen bien y que puedan perfeccionarse con el tiempo. En resumen, estos son los tres pasos recomendados para iniciar ese proceso:
- Realizar el inventario: catalogar todas las tecnologías de IA/ML implementadas en las funciones de prevención del lavado de dinero, clasificar cada sistema según su nivel de riesgo e identificar las brechas de validación.
- Desarrollar o adquirir capacidad de validación: ya sea mediante la contratación de personal, la capacitación o la contratación de terceros, establecer capacidades de validación independientes y confiables.
- Comienza la validación: Empieza por los modelos de mayor riesgo, documenta los hallazgos, da seguimiento a los problemas hasta su resolución y desarrolla la «memoria muscular» de la organización para una gestión continua de los riesgos de modelo (MRM).
Los líderes con visión de futuro en el ámbito de la lucha contra el lavado de dinero (AML) se están adelantando a esta exigencia, desarrollando capacidades sólidas de gestión de riesgo de modelos (MRM) y facilitando operaciones de inteligencia artificial (IA) más efectivas en AML. La convergencia entre la IA y la gestión de riesgo de modelos en AML representa una verdadera oportunidad para la innovación.
