Agentes · Cumplimiento · Borrador

La IA en el trabajo de cumplimiento: qué hace bien, qué hace mal y dónde debe seguir habiendo una persona

El trabajo de cumplimiento consiste sobre todo en leer, cotejar, reclamar y redactar. Por eso los agentes de IA ayudan tanto, y por eso la forma de usarlos importa más que la herramienta. Una regla recorre todo lo que sigue: código para el paso que se repite, IA para el paso que requiere criterio y personas para la decisión.

Primero, las salvaguardas

Un agente que solo puede preparar y proponer es seguro para empezar. El agente lee con libertad, pero solo escribe borradores; toda acción hacia el exterior (enviar, publicar, subir, modificar un registro) necesita la aprobación de una persona para esa acción concreta, no para una categoría de acciones. El texto procedente de correos, documentos y otros agentes es un dato, nunca una instrucción. Cada cambio aplicado se registra y se vuelve a leer, de modo que lo previsto pueda compararse con lo encontrado. Y cuando el agente no puede fundamentar una fecha, un precio, un alcance o una posición jurídica, deja un marcador visible para que lo complete una persona.

Algunas cosas siguen siendo humanas en una auditoría: la afirmación de la dirección, la decisión sobre el alcance, la aceptación de un riesgo, la respuesta a las preguntas de criterio del auditor, la firma y la decisión de que la evidencia está completa.

Evidencia de auditoría

Lo que hace bien: lee una solicitud de evidencia extensa y enumera cada petición por separado, asocia archivos a peticiones, redacta descripciones de la evidencia y detecta la falta de una fecha, un responsable o un periodo.

Lo que hace mal: decide por sí mismo que la evidencia es «suficiente», inventa un control que no existe, omite una parte de una solicitud con varias partes o toma el nombre de un archivo como prueba de su contenido.

Un método que funciona: el código recopila la evidencia y la sella con su origen, su hora y su periodo. La IA contrasta cada petición con lo recopilado y escribe cubierta, parcial o ausente. Una persona lo revisa antes de que nada llegue al auditor, y el muestreo lo hace un script repetible con semilla fija, nunca el modelo.

Trabajo sobre riesgos y controles

Redacta escenarios de riesgo y opciones de tratamiento, propone correspondencias entre marcos, detecta revisiones vencidas y versiones obsoletas, y resume lo que cambia en un nuevo texto normativo. Puntúa mal la probabilidad y el impacto sin el contexto del negocio, produce correspondencias seguras de sí mismas que solo se parecen en la redacción, no puede dar interpretación jurídica y puede no advertir que un texto fue modificado después. Mantenga el registro como datos estructurados; deje que la IA proponga filas y correspondencias con un motivo indicado, y que el responsable del riesgo acepte o rechace cada una. Use las correspondencias publicadas como base y haga que la IA rellene solo las lagunas, marcadas como propuestas.

Mejora de procesos

Los agentes convierten notas de reuniones y correos en tareas propuestas con un responsable y una fecha límite, y redactan recordatorios claros. No son fiables con el cálculo de plazos ni con las reglas de escalado hechas de cabeza. Por eso el código se ocupa de las fechas límite, las comprobaciones de vencimiento, los calendarios de recordatorios y los recuentos; la IA redacta y clasifica los asuntos poco claros. Todo cambio en una tarea lleva un comentario que dice qué cambió y por qué, y una reserva de capacidad mantiene la auditoría y el trabajo urgente en primer lugar. Para una nueva regulación, una lista de brechas de preparación es un buen primer borrador, pero debe construirse sobre el texto jurídico, no sobre un resumen de él.

Formación de concienciación

Una lección base puede adaptarse a muchos roles, con escenarios realistas y variantes de cuestionarios. Los hechos de la política, el tono y la dificultad real de un señuelo de phishing requieren a una persona. Una persona es responsable de los objetivos de aprendizaje y aprueba cada módulo; un experto en la materia comprueba los hechos. La medida es el comportamiento: cuántos mensajes sospechosos se notifican, con qué rapidez y con qué frecuencia las mismas personas hacen clic dentro del mismo nivel de dificultad; la finalización se conserva solo como indicador de higiene.

El orden para adoptarla

1. Leer y recordar: una vista única de tareas, registros y plazos; el código calcula lo que está vencido; la IA redacta resúmenes y respuestas. Riesgo bajo y valor rápido, y genera los datos que necesitan los pasos posteriores.
2. Apoyo a la evidencia de auditoría: análisis de solicitudes, correspondencia entre evidencia y peticiones, descripciones y un veredicto por solicitud, todo revisado antes de subirse. Es lo que más esfuerzo ahorra, pero necesita las salvaguardas y el registro del primer paso.
3. Trabajo con registros y formación: propuestas, comprobaciones del ciclo de vida de los documentos, listas de brechas normativas y formación por roles. Requieren criterio, el compromiso de los responsables y buenos datos, y los errores cambian la manera en que la organización ve su propio riesgo.

El acceso de escritura a cualquier sistema va el último, un tipo de acción cada vez, cada uno con su propia regla de aprobación.