La inteligencia artificial en los servicios financieros está evolucionando rápidamente. El 52 % de las empresas de servicios financieros encuestadas para el Informe Global sobre IA en Servicios Financieros 2026 de la Universidad de Cambridge ya están adoptando la IA agéntica. De estas, el 29 % está ejecutando pilotos y el 23 % ha alcanzado etapas de escalabilidad o transformación. La adopción de la IA en alguna forma alcanza el 81 %.
Esa brecha de 29 puntos es donde se encuentran actualmente la mayoría de las funciones de cumplimiento normativo. Un modelo que resume una política es útil. Un agente que lee esa misma política, inspecciona el flujo de verificación al que se aplica y redacta una configuración de reemplazo es una propuesta diferente porque actúa sobre los sistemas en lugar de producir texto sobre ellos.
Este cambio plantea una pregunta fundamental: ¿puede cada acción que realiza un agente ser autorizada de antemano y reconstruida posteriormente?
¿Qué es un agente de IA en cumplimiento normativo?
Un #AgenteDeIA es un sistema de software autónomo que utiliza un modelo para perseguir un objetivo definido. La documentación oficial de OpenAI describe a los agentes como "aplicaciones que planifican, llaman a herramientas, colaboran entre especialistas y mantienen suficiente estado para completar trabajos de múltiples pasos".
En un flujo de trabajo de un agente de IA para cumplimiento normativo, un modelo de lenguaje grande (LLM) subyacente interpreta las instrucciones de la tarea y razona, mientras que el marco del agente y la plataforma de cumplimiento conectada proporcionan los datos, permisos y herramientas que permiten al agente actuar. El agente podría leer una política contra el lavado de dinero (AML), identificar sus requisitos, inspeccionar un flujo existente de conocimiento del cliente (KYC), usar una API para crear una configuración preliminar y presentar el resultado para su aprobación.
La autonomía existe en un espectro. Un agente puede completar pasos de bajo riesgo de manera independiente, pero detenerse antes de modificar un flujo de trabajo activo, rechazar a un solicitante o enviar un informe regulatorio.
Cómo funciona la IA agéntica: habilidades de agentes y MCP explicados
Los agentes necesitan más que un modelo de lenguaje para completar el trabajo operativo de manera confiable. Requieren un objetivo, instrucciones, acceso a sistemas relevantes y reglas que gobiernan lo que pueden hacer.
El Model Context Protocol (MCP) es un estándar abierto para conectar aplicaciones de IA con sistemas externos. Un servidor MCP expone herramientas con entradas definidas, permitiendo que un agente descubra acciones permitidas, suministre los argumentos requeridos y reciba los resultados.
Mientras que MCP conecta a un agente con sistemas externos, las habilidades proporcionan el conocimiento procedimental necesario para completar una tarea. La especificación abierta de Agent Skills describe una habilidad como una carpeta que contiene instrucciones y, opcionalmente, scripts, referencias y otros recursos. Una habilidad de agente de IA podría enseñarle a un agente cómo analizar una regulación o configurar un flujo de trabajo KYC. Las habilidades y los agentes de IA con MCP pueden convertir una solicitud amplia en un flujo de trabajo repetible.
La siguiente tabla explica la función de cada componente:
De chatbots a agentes de cumplimiento autónomos
Un chatbot tradicional principalmente responde a las indicaciones que recibe. Puede explicar una regla o resumir una política, pero generalmente no traduce el análisis en acción. Las herramientas de cumplimiento de IA generativa expandieron estas capacidades al redactar informes, resumir archivos de casos y extraer información de documentos.
Los agentes coordinan acciones en su lugar. Una solicitud se divide en pasos: se seleccionan herramientas, se inspeccionan resultados y el siguiente paso se ajusta según lo que se devolvió. Si se pregunta por los documentos de incorporación – un chatbot los lista. Un agente puede abrir el flujo de verificación actual de la empresa, encontrar las comprobaciones faltantes respecto a un estándar dado, construir una propuesta de reemplazo y ponerla frente a alguien para su aprobación.
Por qué los equipos de cumplimiento están adoptando agentes de IA
El trabajo de cumplimiento implica mucha traducción. Un requisito escrito en lenguaje legal se convierte en una regla operativa, luego en una configuración de plataforma, que debe ser documentada y evidenciada. Un cambio de política puede significar actualizaciones separadas a través de varios productos y jurisdicciones, cada una hecha a mano, cada una una oportunidad para que las implementaciones diverjan.
Los agentes pueden extraer los requisitos y seguir un procedimiento definido sin que un especialista vuelva a escribir cada paso. La consistencia es la verdadera ganancia aquí: la quinta jurisdicción recibe el mismo tratamiento que la primera.
El costo de equivocarse escala de la misma manera. Las reglas de acceso, los umbrales de aprobación y los registros de actividad son lo que mantiene las acciones de un agente atribuibles a la persona que las autorizó. Sin ellos, la automatización solo aumenta la velocidad y la escala de los errores.
Agentes de IA en cumplimiento AML y flujos de trabajo KYC
En AML, un agente puede convertir el texto de una política en una configuración propuesta lista para lanzar en un panel, resumir el historial de revisión de un solicitante o ensamblar los datos del solicitante y de transacciones que un investigador necesita antes de abrir un caso. También puede comparar una política actualizada contra la configuración actual y marcar los controles que ya no coinciden.
El trabajo KYC consiste principalmente en configuración y recuperación: flujos de incorporación por país o banda de riesgo, cuestionarios, enlaces de verificación, búsquedas de estado de solicitantes. Un agente puede secuenciar un flujo de trabajo que combine comprobaciones de documentos, dirección, biométricas y bases de datos. La plataforma de verificación aún realiza las comprobaciones.
Rechazar a un cliente y presentar un informe de actividad sospechosa son diferentes en naturaleza. Ambos requieren aprobación humana, sin importar cuán fluido funcione el resto del flujo de trabajo.
Construyendo una configuración de cumplimiento operada por agentes
Dos cosas deben estar en su lugar antes de que cualquiera de esto funcione: acceso a las políticas relevantes y permiso para inspeccionar o modificar configuraciones de la plataforma. La secuencia entonces se ve así:
- Suministrar el material fuente, ya sea una regulación, una evaluación de riesgos o una política interna
- Extraer las obligaciones, factores de riesgo, reglas de puntuación y requisitos condicionales, marcando las ambigüedades para una persona en lugar de resolverlas mediante el agente
- Mapear cada requisito a algo que la plataforma realmente tiene: un nivel de verificación, cuestionario, regla de riesgo, control de monitoreo o flujo de trabajo
- Producir un plan de configuración para que el equipo de cumplimiento lo revise antes de construir nada
- Construir la configuración propuesta en un entorno sandbox o de prueba
- Comparar la configuración construida contra la política fuente, luego probarla con casos representativos y excepciones conocidas
- Tener un usuario autorizado aprobar el despliegue, luego registrar cambios y monitorear resultados
Mapeando habilidades de agentes a tareas de cumplimiento
Cada habilidad de agente de IA debe corresponder a una tarea de cumplimiento definida y guiar cómo el agente debe abordarla. Una habilidad de análisis de políticas podría instruir al agente a leer un documento y producir un plan de configuración. Una habilidad de configuración podría guiar al agente a través de la creación de niveles de verificación en un sandbox, mientras que una habilidad de revisión de casos podría esbozar cómo recuperar y analizar datos de solicitantes.
Esta distinción es importante para los agentes de IA en servicios financieros, donde acceder a datos de clientes, preparar configuraciones preliminares y cambiar controles activos puede crear una exposición significativa al riesgo. Las habilidades mismas no deben tratarse como límites de seguridad o permisos. En su lugar, la plataforma conectada debe hacer cumplir lo que el agente puede leer o modificar, con cambios a configuraciones activas de verificación y monitoreo restringidos mediante controles de acceso y mecanismos de autorización apropiados.
Agentes de IA en banca y servicios financieros
Usos plausibles en banca incluyen reunir material para revisiones periódicas de KYC, recuperar las transacciones que activaron una regla de monitoreo y redactar informes regulatorios para que un humano los revise.
La fragmentación es el obstáculo práctico. Los registros de identidad residen en una plataforma KYC, las transacciones en un sistema de pagos o banca central, las alertas en una herramienta de monitoreo y las notas de investigación en software de gestión de casos. El informe de Cambridge 2026 encontró que el 46 % de los proveedores de IA encuestados se toparon con sistemas heredados o aislados en sitios de clientes, y el 41 % reportó restricciones de intercambio de datos.
Cada conexión necesita su propia respuesta a dos preguntas: qué puede leer el agente y qué puede cambiar. Una revisión periódica es intensiva en lectura. Un agente puede recopilar el estado de verificación, transacciones recientes, alertas previas y decisiones de revisiones pasadas, luego entregar el archivo ensamblado a un analista.
Riesgos de IA, gobernanza y supervisión humana
Un agente puede malinterpretar una política, inventar un requisito o seleccionar la herramienta incorrecta. Instrucciones maliciosas ocultas en un documento o fuente de datos conectada podrían manipular su comportamiento, y permisos excesivos pueden permitir que un pequeño error altere configuraciones activas o registros de clientes.
Los revisores también pueden depositar demasiada confianza en la salida de un agente, mientras que los registros incompletos pueden hacer difícil investigar los errores. Las actualizaciones del modelo pueden cambiar el comportamiento del agente, y la dependencia de proveedores externos puede crear riesgos operacionales.
Para mitigar los riesgos, la gobernanza efectiva de IA y los controles de cumplimiento deben incluir:
- acceso limitado a la información y acciones requeridas para cada tarea, con permisos separados para leer información, crear borradores y cambiar configuraciones activas
- herramientas y fuentes de datos aprobadas
- pruebas en un entorno sandbox o de prueba antes de aplicar cambios a sistemas activos
- aprobación humana para acciones que afecten a clientes, umbrales de riesgo o presentaciones regulatorias, así como casos donde los requisitos sean poco claros
- registros de las instrucciones dadas, fuentes consultadas, herramientas usadas y cambios realizados
- un proceso de contingencia si el agente o un proveedor externo se vuelve indisponible
