KYC y alertas LBA: clasificar con IA los expedientes completos y los que requieren un analista
En resumen. Un banco, un gestor de patrimonios o un despacho sujeto a la ley contra el blanqueo de capitales puede aligerar su cumplimiento si encomienda a un modelo de IA un trabajo preparatorio: comprobar que un expediente de apertura de la relación está completo y es coherente, y clasificar las alertas por orden de prioridad con un resumen de los elementos útiles. Los expedientes completos y sin señal avanzan más rápido; los demás llegan al analista ya documentados. El modelo no cierra ninguna alerta, no acepta a ningún cliente y no decide ninguna comunicación: esas decisiones siguen siendo humanas.
Este artículo describe un escenario tipo. No se trata de un cliente con nombre y no damos resultados cifrados.
El problema: analistas ahogados en el control formal
En este escenario, dos tareas pesan sobre el servicio de cumplimiento.
La primera es el control de los expedientes en la apertura de la relación: ¿es legible y válido el documento de identidad, está firmado el formulario sobre el beneficiario efectivo, concuerdan los nombres de un documento a otro, se ha adjuntado el justificante del origen de los fondos? Algunas idas y venidas con los asesores pueden deberse a un documento ausente o a una incoherencia de forma.
La segunda es el tratamiento de las alertas producidas por las herramientas de filtrado y de vigilancia. Una parte de ellas puede resultar carente de objeto tras la verificación (proporción que debe medirse durante el piloto), pero cada una debe examinarse y documentarse.
En ambos casos, analistas cualificados dedican tiempo a un trabajo de verificación, en detrimento del análisis de riesgo propiamente dicho.
El proceso antes y después
Antes. El analista abre cada expediente y cada alerta por orden de llegada, reúne la información en varios sistemas, verifica, documenta y decide.
Después, para los expedientes de apertura de la relación.
- El modelo lee los documentos y comprueba la lista de control del establecimiento: documentos presentes, firmas, fechas de validez, concordancia de los nombres, de las fechas de nacimiento y de los domicilios.
- Señala las incoherencias entre documentos y los elementos que requieren una aclaración.
- Un expediente completo y coherente se transmite al analista con la mención «control formal superado». Un expediente incompleto se devuelve al asesor con la lista precisa de lo que falta, incluso antes de ocupar al área de cumplimiento.
Después, para las alertas.
- El modelo reúne el contexto: perfil del cliente, historial, alertas anteriores y su desenlace.
- Propone un nivel de prioridad y redacta un resumen con los elementos a favor y en contra.
- El analista trata las alertas por orden de prioridad, a partir de un expediente ya preparado. Decide y firma.
Las reglas pertenecen al establecimiento
| Elemento | El modelo puede preparar | Decisión reservada a una persona |
|---|---|---|
| Integridad del expediente | Comprobar la lista de control, enumerar los documentos que faltan | Aceptar una excepción o un documento sustitutivo |
| Coherencia de los documentos | Señalar las diferencias de nombre, de fecha, de domicilio | Valorar si la diferencia está explicada |
| Beneficiario efectivo | Comprobar la presencia y la coherencia del formulario | Valorar la verosimilitud de la estructura |
| Origen de los fondos | Comprobar que se adjunta un justificante y que corresponde al relato | Juzgar si la explicación es verosímil |
| Coincidencia con una lista | Reunir los elementos de comparación | Confirmar o descartar la coincidencia |
| Alerta de transacción | Proponer una prioridad, resumir el contexto | Cerrar la alerta, solicitar una aclaración |
| Riesgo elevado | Señalar los criterios definidos por el establecimiento | Clasificar la relación, decidir la apertura o la continuación |
| Sospecha | Nada | Toda valoración de una sospecha y toda comunicación |
Dos reglas estrictas completan el cuadro. En primer lugar, el modelo nunca rebaja ciertas situaciones: persona políticamente expuesta (PEP), posible coincidencia con una lista de sanciones, país o sector clasificado como de riesgo por el establecimiento, estructura compleja. En segundo lugar, la prioridad propuesta nunca retrasa una alerta: cambia el orden de la cola, no los plazos internos de tratamiento.
La persona en el circuito
- Cada alerta la cierra un analista, que valida o corrige el resumen antes de firmar.
- Control por muestreo de los expedientes marcados como «control formal superado» y de las alertas clasificadas con prioridad baja.
- Doble revisión mantenida allí donde el establecimiento ya la prevé.
- Responsable de cumplimiento designado para las listas de control, los criterios y los umbrales.
- Retroalimentación: los casos en los que el analista contradice al modelo se revisan a intervalos regulares.
Pista de auditoría y explicabilidad
Para cada expediente y cada alerta, el sistema conserva la versión de la lista de control, la versión del modelo, los documentos leídos, las diferencias señaladas, la prioridad propuesta, la decisión del analista y su motivo. El resumen cita los documentos en los que se apoya, para que el analista pueda verificar cada afirmación con un clic.
Es también lo que espera la autoridad de supervisión. En su comunicación de supervisión 08/2024, la FINMA espera de los establecimientos que identifiquen, evalúen, gestionen y supervisen de manera adecuada los riesgos vinculados a la IA, y cita en particular la solidez, la exactitud, la explicabilidad y los sesgos de los modelos, la calidad y la seguridad de los datos, así como la dependencia de terceros.
Los errores: cuáles y quién los asume
- Alerta pertinente clasificada con prioridad baja. Es el error más grave. Lo limitan las reglas estrictas, el hecho de que ninguna alerta se cierre sin un analista y el control por muestreo. La responsabilidad sigue siendo íntegramente del establecimiento: el uso de una herramienta no la desplaza.
- Alerta sin objeto clasificada con prioridad alta. El coste es tiempo de analista, como hoy.
- Incoherencia no señalada en un expediente. Todavía puede verla el analista, que sigue siendo responsable de la aceptación.
- Resumen inexacto. Un modelo puede afirmar algo que los documentos no dicen. La cita sistemática de las fuentes y la validación por el analista son las salvaguardas.
Marco legal: algunas referencias
A validar por su servicio jurídico y su área de cumplimiento:
- Obligaciones de diligencia. El art. 6 de la Ley suiza contra el blanqueo de capitales (LBA) impone al intermediario financiero identificar el objeto y la finalidad de la relación de negocios, dependiendo del riesgo el alcance de la información, y aclarar el trasfondo de una transacción o de una relación, en particular cuando parecen inusuales o conllevan un riesgo elevado. Las relaciones con personas políticamente expuestas (PEP) en el extranjero se consideran en todo caso de riesgo elevado.
- Obligación de comunicar. El art. 9 LBA impone informar de inmediato a la oficina de comunicación (MROS) en caso de sospechas fundadas. Ninguna etapa de clasificación debe retrasar esta valoración, que sigue siendo humana.
- Abogados y notarios. El art. 9, apdo. 2, LBA solo les somete a la obligación de comunicar si efectúan una transacción financiera por cuenta de un cliente y la información no está protegida por el secreto profesional en el sentido del art. 321 del Código Penal suizo.
- Secreto bancario. El art. 47 de la Ley de bancos suiza (LB) castiga la revelación de un secreto por un órgano, un empleado o un mandatario de un banco. El recurso a un prestador externo debe examinarse desde este ángulo.
- Protección de datos. Se aplica la Ley federal suiza de protección de datos (LPD): subcontratación (art. 9), comunicación al extranjero (art. 16), evaluación de impacto en caso de riesgo elevado (art. 22).
Estos textos evolucionan. Verifique la versión en vigor antes de remitirse a ellos.
Por qué un modelo de código abierto alojado en Suiza conviene a este caso
Los expedientes KYC reúnen lo más confidencial que tiene un establecimiento: identidad, patrimonio, origen de los fondos y, a veces, datos sobre procedimientos penales. Un modelo explotado en la infraestructura del establecimiento o en un centro de datos en Suiza evita transmitir esos contenidos a un proveedor de modelos y limita las cuestiones de secreto y de externalización.
Cuentan otras dos razones. La estabilidad: un modelo que no cambia sin su decisión puede validarse una vez y revalidarse en cada cambio de versión, lo que corresponde a una gestión seria del riesgo de modelo. Y la independencia: la FINMA cita la dependencia de terceros entre los riesgos que hay que gestionar.
La tarea de control formal está al alcance de modelos de código abierto de tamaño medio (familias Llama, Mistral, Qwen o Gemma). Para los resúmenes de alertas, la calidad debe verificarse de cerca con sus propios casos, en los idiomas de sus expedientes. Nuestra guía de decisión detalla los criterios.
Cómo se desarrolla y se mide un piloto
- Prueba sobre expedientes y alertas cerrados, anonimizados si es necesario. Las prioridades propuestas se comparan con los desenlaces reales.
- Funcionamiento en paralelo. Los analistas trabajan como de costumbre; el modelo prepara en segundo plano y se compara.
- Puesta en servicio en un perímetro reducido: un tipo de cliente o una categoría de alertas, con un control por muestreo reforzado.
| Indicador | Qué mide |
|---|---|
| Expedientes devueltos al asesor antes de llegar a cumplimiento | El tiempo de analista liberado |
| Diferencias de forma halladas por el analista y no señaladas por el modelo | La fiabilidad del control formal |
| Alertas pertinentes clasificadas con prioridad baja | El riesgo que debe mantenerse en cero |
| Acuerdo entre la prioridad propuesta y el desenlace de la alerta | La calidad de la clasificación |
| Resúmenes corregidos por el analista | La fiabilidad de los resúmenes |
| Plazo de tratamiento de las alertas prioritarias | El beneficio para la gestión del riesgo |
| Plazo de apertura de la relación para un expediente completo | El beneficio para el cliente |
Límites: cuándo no automatizar
- La valoración de una sospecha y la decisión de comunicar.
- La aceptación o el rechazo de una relación.
- Las estructuras complejas y las relaciones de riesgo elevado.
- Las situaciones en las que la lista de control no está estabilizada o varía de un equipo a otro.
- Los documentos en idiomas o escrituras que el modelo lee mal.
Preguntas frecuentes
¿Puede el modelo cerrar alertas sin objeto? En el esquema que recomendamos, no. Prepara y clasifica. El cierre lo decide y lo firma un analista.
¿Sustituye a nuestra herramienta de filtrado? No. Interviene después, sobre las alertas que produce la herramienta y sobre los documentos del expediente.
¿Acepta la autoridad de supervisión este tipo de herramienta? La FINMA no prohíbe el uso de la IA; espera una gobernanza y una gestión de riesgos adecuadas. La responsabilidad sigue siendo del establecimiento.
¿Puede una estructura pequeña aprovecharlo? Sí para el control formal de los expedientes, que se rentabiliza rápido. La clasificación de las alertas supone un volumen suficiente.
¿Qué ocurre con los datos de prueba? Permanecen en la infraestructura definida para el piloto, con un plazo de conservación fijado de antemano.
Para ir más lejos
Vea nuestra solución de vigilancia KYC y cumplimiento y el mismo esquema aplicado a los siniestros menores en seguros o a los casos bagatela de responsabilidad civil en un hospital.
Nuestra consultoría de IA empieza por un taller de descubrimiento con su área de cumplimiento. Contáctenos para hablar de ello.