Si eres un líder de fraude o cumplimiento, el panorama regulatorio en este momento se siente como si se estuviera moviendo en dos direcciones a la vez.
Estados Unidos está señalando un cambio hacia expectativas basadas en resultados en lugar de reglas rígidas y prescriptivas. Al mismo tiempo, la UE está redoblando sus esfuerzos en requisitos detallados y estructurados en el marco de la Ley de IA. Y a pesar de sus diferencias, ambos están convergiendo en la misma exigencia fundamental: los programas deben ser más eficaces, más dinámicos y demostrar de forma más clara su capacidad para gestionar los riesgos a los que se enfrentan.
Esto es lo que realmente significa para cómo diseñar y financiar tus programas en 2026.
EE. UU.: Menos prescripción, mayores expectativas
El reciente aviso de propuesta de normativa de FinCEN indica algunos cambios notables en la forma en que el aparato regulador de EE. UU. está pensando sobre la prevención del lavado de dinero (AML) y el fraude.
Un cambio importante implica el posible requisito de realizar evaluaciones de riesgo en todas las entidades obligadas a reportar, no solo en ciertas categorías. Además, la expectativa está pasando de renovaciones anuales a actualizaciones realizadas de forma oportuna cuando cambia el panorama de riesgos. Como comenté durante nuestro reciente seminario web sobre tendencias en fraude y prevención de lavado de dinero (AML), esto cambia de forma fundamental el ritmo de la gestión de los programas de cumplimiento. Los enfoques estáticos basados en ciclos anuales ya no serán suficientes.
Las normas propuestas también destacan explícitamente el uso de señales de riesgo no tradicionales, como datos de dispositivos, inteligencia sobre teléfonos y correos electrónicos, y señales relacionadas con la IP, como insumos legítimos para la evaluación de riesgo de los clientes. Esto representa un reconocimiento significativo de los tipos de señales relacionadas con el fraude que los equipos de cumplimiento históricamente han considerado fuera de su ámbito.
Quizás lo más interesante: los reguladores están mostrando un gran entusiasmo por el intercambio de datos a nivel de consorcio. Esto podría implicar eventualmente la cooperación entre comercios y servicios financieros, en lugar de evaluar el riesgo de forma aislada. Se espera un avance significativo en este frente durante los próximos 12 meses.
También hay una señal interesante en la gestión del riesgo de modelos. La OCC parece inclinarse por considerar que los marcos tradicionales de gestión del riesgo de modelos pueden resultar excesivamente gravosos para las aplicaciones de AML y de prevención del fraude. Esto sugiere que el enfoque actual podría estar creando barreras para la adopción de la IA en lugar de garantizar la seguridad. Aunque esto aún no está completamente desarrollado, vale la pena seguirlo de cerca.
La UE: estructura y especificidad en el marco de la Ley de IA
La UE está adoptando un enfoque diferente para lograr un objetivo similar. En el marco de la Ley de IA, las soluciones de prevención de blanqueo de capitales (AML) y de cumplimiento normativo que utilizan IA se clasifican en términos generales como de alto riesgo. Esta clasificación activa un conjunto más exigente de requisitos en materia de documentación, pruebas, supervisión humana y transparencia.
Para las instituciones que operan en los mercados de la UE o los atienden, esto implica un listón más alto para desplegar la IA en los flujos de trabajo de cumplimiento normativo. Los requisitos son estrictos, pero la pregunta de fondo es clave: ¿esta estructura realmente ayuda a crear soluciones más eficaces y escalables a largo plazo, o genera fricciones que ralentizan su adopción?
Aunque tanto Estados Unidos como la Unión Europea buscan mayor claridad y eficiencia, están llegando a ese objetivo desde puntos de partida distintos. Los reguladores estadounidenses están eliminando normas prescriptivas y confiando en que las instituciones innoven. Los reguladores de la UE están estableciendo directrices detalladas y esperan que las instituciones operen dentro de esos límites.
Ambos esperan que seas capaz de explicar y defender tus decisiones.
El imperativo de la explicabilidad
Independientemente de la jurisdicción, hay un tema que no es negociable: la explicabilidad.
Si no puedes explicar una decisión a un inspector, como por qué se aprobó una transacción o por qué se asignó una determinada puntuación de riesgo, la calidad de tu modelo es irrelevante. Esto se aplica a los modelos de aprendizaje automático, a los sistemas basados en reglas y, cada vez más, a cualquier automatización impulsada por IA en tu stack de fraude o cumplimiento.
Durante nuestro seminario web, Matt Vega, director de estrategia de fraude de Sardine, planteó un matiz importante en materia de gobernanza: gran parte del debate regulatorio actual se centra en el aprendizaje automático tradicional, donde la explicabilidad y la transparencia son desafíos bien conocidos. Sin embargo, las fronteras emergentes de la IA generativa y agéntica introducen el problema distinto de las alucinaciones. Y los marcos regulatorios aún no se han puesto al día con esa distinción.
Para los combatientes del fraude, esto crea una asimetría.
Del lado del atacante, la alucinación en los modelos de IA es casi una característica, ya que crea variaciones impredecibles que funcionan como lanzamientos sorpresa contra los sistemas de detección.
En el lado de la defensa, las alucinaciones nunca son aceptables. Esto significa que el estándar para desplegar la IA con fines defensivos es intrínsecamente más alto que el estándar al que se enfrentan los atacantes, y tus marcos de gobernanza deben tenerlo en cuenta.
Para qué construir
La orientación regulatoria, considerada en su conjunto, apunta a varias prioridades prácticas para 2026.
Para anticiparte a estos cambios, da prioridad a que tus evaluaciones de riesgo sean dinámicas. Esto requiere canalizaciones de datos y monitoreo de modelos que puedan actualizarse “con prontitud”, como sugieren los reguladores de EE. UU. Al diseñar para actualizaciones de alta frecuencia en lugar de ciclos anuales, puedes garantizar que tu infraestructura responda de inmediato a los cambios en el panorama de riesgos.
Esto no es una revelación nueva, pero tener éxito en este entorno exige que elimines los silos entre la prevención del fraude y la prevención de lavado de dinero (AML). Los reguladores cada vez más consideran estos ámbitos como una única superficie de riesgo y esperan que tu institución proporcione:
- Visibilidad compartida entre departamentos.
- Conjuntos de datos unificados para la evaluación de riesgos.
- Procesos de toma de decisiones coordinados.
Invertir ahora en infraestructura de explicabilidad evitará fricciones durante futuros exámenes.Cada decisión automatizada en tu stack de fraude y cumplimiento debe seguir flujos de trabajo documentados con umbrales claros y rutas de escalamiento definidas. Este tipo de documentación sigue siendo fundamental y proporciona el rastro de auditoría que los examinadores ahora esperan.
Por último, concéntrate en crear sistemas flexibles. La orientación normativa sigue evolucionando, y las plataformas que pueden adaptarse a nuevas reglas y requisitos de información serán significativamente más rentables que las soluciones puntuales a medida.
La señal regulatoria a ambos lados del Atlántico es que la IA no solo está permitida, sino que se espera que sea utilizada por los equipos de fraude y prevención de lavado de dinero. Ahora es el momento de apostar por la adopción de IA. FinCEN pregunta abiertamente cómo sería un mundo en el que se revisa el 100% de la actividad, no solo las anomalías. Si logras definir antes que nadie un despliegue de IA responsable y auditable, tendrás una ventaja significativa tanto en la gestión de riesgos como en tu posición regulatoria en los próximos años.