.webp)
Un organismo regulador te pregunta qué le dijo tu IA a un cliente sobre una tarifa hace tres meses y de qué fuente procedía esa información. Si la respuesta sincera es «no podemos reconstruir eso», la implementación nunca estuvo lista.
La gobernanza de la IA en los servicios financieros es el conjunto de controles, trazabilidad y rendición de cuentas que permite a una institución demostrar qué le dijo a un cliente su sistema de IA de atención al cliente y por qué, ya sea a través de voz, chat o búsqueda.
La CFPB y la Ley de IA de la UE están convergiendo en el mismo nivel de exigencia, y ningún inspector acepta un «lo dice el modelo». La gobernanza debe integrarse en la arquitectura del sistema, no añadirse a posteriori.
Puntos clave
- La gobernanza de la IA en los servicios financieros implica que cada respuesta de IA dirigida a un cliente sea trazable hasta una fuente regulada, explicable ante un organismo regulador y defendible en caso de auditoría.
- Las normativas de EE. UU. y la UE coinciden en la misma expectativa: las interacciones con los consumidores en las que interviene la IA deben ser específicas, precisas y explicables, y determinados usos de la IA en los servicios financieros conllevan obligaciones más estrictas y de alto riesgo.
- «Seguro» y «auditable» son conceptos distintos. Los servicios financieros regulados deben ser auditables.
- La gobernanza debe integrarse en el proceso mediante el cual la IA genera respuestas, y no añadirse como una capa de explicabilidad a posteriori.
- Para ver cómo funciona «Auditable» en relación con tus propios controles, solicita una demostración.
¿Qué es la gobernanza de la IA en los servicios financieros?
La gobernanza de la IA en los servicios financieros consiste en la capacidad de demostrar qué le dijo tu IA a un cliente y por qué. Los compradores tienden a confundir dos niveles.
El primero es la gobernanza del riesgo de los modelos internos: los modelos de crédito, de fraude y de negociación que sustentan las decisiones y que están sujetos a expectativas de supervisión de larga data, como la SR 11-7.
El segundo es la gestión de las interacciones con los clientes: la IA que responde a las preguntas en el centro de atención al cliente, en el chat y en el buscador.
Esta página trata sobre la segunda capa. Se aplican los mismos principios de auditabilidad, pero el ámbito es diferente. Un marco de gestión de riesgos de modelos evalúa si un modelo es sólido.
La gestión de las interacciones consiste en determinar si es posible reconstruir y justificar una respuesta concreta, ya sea oral o escrita, que haya recibido un cliente.
A medida que la IA orientada al cliente se encarga de un mayor número de interacciones, esa segunda pregunta recae directamente sobre las mesas del director de riesgos, el director de cumplimiento normativo, el director de seguridad de la información (CISO) y el responsable de cumplimiento normativo, quienes deben responder por ello.
Por qué la IA orientada al cliente conlleva su propia carga en materia de gobernanza
El centro de atención al cliente es ahora una cuestión de gobernanza. Cada respuesta generada por IA, ya sea oral o escrita, sobre una comisión, una reclamación, una notificación o una operación en una cuenta constituye una comunicación regulada y un registro susceptible de ser objeto de un proceso de divulgación.
Una «caja negra» probabilística que reformula la misma información de forma diferente en tres llamadas distintas genera un riesgo en las tres. Las informaciones incoherentes, las respuestas que nadie puede explicar y la ausencia de un rastro justificable no son casos aislados.
Son el resultado previsible de una IA orientada al cliente que no está controlada.
Pensado para quienes asumen el riesgo: si tu CISO, CRO, CCO o responsable de cumplimiento normativo no consigue una respuesta clara a la pregunta «¿qué le dijo exactamente la IA a este cliente y de qué fuente procedía?», la implementación no está preparada para una cuenta sujeta a regulación.
Su veto no es una cuestión burocrática, sino el último paso antes de llegar a una conclusión.
Lo que la CFPB exige a la IA en el ámbito de la financiación al consumo
Empieza por el principio de durabilidad, ya que la postura en materia de aplicación de la ley al respecto está en constante evolución. La CFPB se ha mantenido firme en que no existe ninguna excepción especial a las leyes de protección financiera del consumidor para las nuevas tecnologías.
Las normas vigentes se aplican a las interacciones en las que interviene la inteligencia artificial del mismo modo que a las realizadas por personas. La expresión más concreta de ello es el requisito relativo a las medidas adversas.
Cuando un acreedor adopta una medida desfavorable, debe exponer los motivos de forma concreta y precisa, y no puede limitarse a esgrimir motivos genéricos extraídos de una lista de verificación que no reflejen el fundamento real de la decisión.
La CFPB ha dejado claro que no existe ninguna exención especial para la inteligencia artificial.
La clave práctica para la IA orientada al cliente es la coherencia y la especificidad: las interacciones con los consumidores en las que interviene la IA deben ser específicas, precisas y explicables, en lugar de genéricas, y la información facilitada debe ser coherente en todos los canales.
El propio enfoque de aplicación de la normativa está evolucionando en 2026, ya que la Oficina está reajustando algunos aspectos de su programa de préstamos equitativos; por lo tanto, hay que considerar los detalles como expectativas del regulador en proceso de cambio, más que como normas fijas.
Esto no constituye asesoramiento jurídico, por lo que deberías contrastar cualquier requisito específico con las directrices vigentes de la CFPB antes de basarte en él.
Lo que exige la Ley de IA de la UE a la IA aplicada a los servicios financieros
La Ley de IA de la UE se aplica a las empresas que prestan servicios a clientes de la UE, no solo a las que tienen su sede en la UE, por lo que las instituciones estadounidenses con operaciones en la UE o que ofrecen servicios dirigidos a la UE entran en su ámbito de aplicación.
La ley clasifica determinados usos de los servicios financieros como de alto riesgo, en particular la evaluación de la solvencia y la puntuación crediticia de las personas físicas, así como la evaluación de riesgos y la fijación de primas en los seguros de vida y de salud. Puede consultar esta información en el anexo III de la propia ley.
Cuando un uso se considera de alto riesgo, las obligaciones incluyen la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la precisión y el seguimiento continuo.
En este caso, el momento es clave, y la situación está realmente en constante cambio. Estaba previsto que las obligaciones de alto riesgo entraran en vigor a partir del 2 de agosto de 2026, pero las instituciones de la UE alcanzaron un acuerdo provisional en 2026 para aplazar las obligaciones de alto riesgo basadas en el uso hasta 2027.
Ese aplazamiento solo surtirá efecto jurídico una vez se haya aprobado formalmente, por lo que, hasta entonces, la fecha de agosto de 2026 sigue vigente. Sigue la evolución de la situación a través de fuentes oficiales de la UE, en lugar de recurrir a resúmenes de segunda mano.
Incluso cuando un asistente de atención al cliente no sea en sí mismo un sistema de alto riesgo, la expectativa de transparencia —es decir, que se informe a las personas de que están interactuando con una IA— y los requisitos generales de gobernanza siguen determinando cómo puede implementarla una entidad regulada.
Por qué una IA «segura» no es lo mismo que una IA «auditable»
Esta es la distinción que hay que tener en cuenta en cualquier reunión con un proveedor. «Seguro» significa que la IA no causará ningún daño. «Auditable» significa que se puede demostrar ante un organismo regulador qué ha ocurrido y por qué.
La mayoría de los proveedores se limitan a la seguridad, porque es más fácil de demostrar y de comercializar. En el caso de los servicios financieros, la auditabilidad es el criterio de compra, no un extra.
En un examen no se puede defender lo que no se puede reconstruir, y un sistema que se limita a ser seguro no te permite reconstruir nada, sino que solo te da tranquilidad.
Por eso, un complemento de registro no equivale a gobernanza. El hecho de que una «caja negra» haya generado una respuesta no explica por qué la generó ni qué fuente autorizada la respaldaba.
La auditabilidad debe ser una característica intrínseca del proceso de generación de la respuesta, lo que traslada el debate del ámbito de las políticas al de la arquitectura.
La arquitectura que sustenta la IA orientada al cliente y sujeta a auditoría
Hay dos formas de desarrollar una IA orientada al cliente, y solo una de ellas es auditable por diseño.
La primera es la generación de «caja negra» con una capa de explicabilidad a posteriori, en la que el modelo elabora la respuesta de forma probabilística y una técnica independiente aproxima una explicación posteriormente.
La explicación es una hipótesis sobre el motivo, formulada a posteriori.
La segunda es una «caja de cristal» creada por la arquitectura. El contenido se procesa previamente para convertirlo en intenciones reguladas vinculadas a su fuente mediante ingeniería del conocimiento e inteligencia programada, de modo que la propia arquitectura constituye la vía de decisión.
El asistente devuelve una respuesta validada basada en una fuente autorizada, y el modelo de lenguaje solo se utiliza para redactarla.
Este diseño, que da prioridad al conocimiento y en el que el modelo de lenguaje grande (LLM) es opcional, es lo que permite a Inbenta Encore alcanzar una precisión superior al 98 % desde el primer día, con un número prácticamente nulo de respuestas inventadas, y la razón por la que la respuesta que recibe un cliente puede rastrearse hasta la fuente exacta que la generó.
La gobernanza de la IA en la práctica: voz, chat y búsqueda
Adapta la arquitectura a los canales que realmente gestionan los equipos de experiencia del cliente y de gestión de riesgos de los servicios financieros:
Voz
Registros de llamadas auditables y comunicaciones verbales uniformes en todo el centro de atención al cliente, de modo que a la misma pregunta sobre tarifas se le dé siempre la misma respuesta autorizada.
Chat
Interacciones escritas que puedan rastrearse y que sean defendibles en un examen, con la fuente de cada respuesta registrada.
Search
Respuestas de autoservicio reguladas y basadas en fuentes contrastadas, no en conjeturas parafraseadas.
La coherencia en la divulgación de información en los tres canales, junto con el traspaso de toda la información contextual a un agente en directo, es lo que convierte la gobernanza de un mero documento normativo en una realidad operativa.
Encore gestiona estos canales a través de una única capa de conocimientos regulada, por lo que la respuesta no varía cuando el cliente pasa del chat al teléfono.
Para conocer el caso de referencia más destacado en el sector de los servicios financieros, descubre cómo BBVA mejoró su atención al cliente con Inbenta; OPPLUS redujo las escalaciones de la atención al cliente en un 84 % en el ámbito operativo gracias a este mismo enfoque.
Qué se debe exigir a una plataforma de IA controlable
Ten en cuenta estas preguntas en cualquier evaluación:
- ¿Es posible que todas las respuestas dirigidas a los clientes se puedan rastrear hasta una fuente controlada?
- ¿Eres capaz de reconstruir y justificar el proceso de toma de decisiones en una auditoría?
- ¿La información facilitada es coherente en los canales de voz, chat y búsqueda?
- ¿Sigue siendo preciso tras el lanzamiento, o se va deteriorando a medida que el conocimiento se va desviando?
- ¿Es compatible con tus regiones de implementación y tus idiomas, incluyendo entornos locales o en la nube privada cuando sea necesario?
Aplica tus propios controles a cualquier sistema que evalúes, en lugar de limitarte al guion ideal del proveedor.
Cómo ofrece Encore una IA regulada y auditable
Encore es una plataforma unificada de IA agencial, no un conjunto de productos independientes.
Además, se trata de una categoría distinta a la de las herramientas de RPA, como UiPath y Automation Anywhere, y a la de los generadores «low-code», como Zapier y Make, que algunos equipos ya utilizan. Estos sistemas procesan los datos según reglas fijas y no pueden tener en cuenta lo que se le ha dicho a un cliente ni el motivo por el que se le ha dicho.
La gobernanza no es una función más de Encore, sino la forma en que la plataforma genera respuestas: priorizando el conocimiento, con total transparencia y con trazabilidad hasta la fuente desde su diseño.
La capa de mantenimiento autónomo mantiene actualizado el conocimiento gestionado tras el lanzamiento, de modo que la precisión y la auditabilidad se mantienen a lo largo del tiempo. Las pruebas de ello son:
- +98 % de precisión desde el primer día
- Un 35 % más de resolución en el primer contacto
- Mejora del 30 % en la satisfacción del cliente (CSAT)
- +75 % más rápido en la puesta en marcha
Este enfoque le valió a Inbenta Encore el premio TSIA Star Award como «Innovador del año en éxito digital del cliente».
Para un director de riesgos, un director de cumplimiento normativo o un director de seguridad de la información (CISO) que deba decidir si permitir que la IA se comunique con los clientes en una cuenta regulada, el factor decisivo es si se puede demostrar lo que ha dicho. Con una arquitectura de «caja de cristal», es posible.
Solicita una demostración para comprobar si cumple con tus requisitos.
Preguntas frecuentes
¿Qué requisitos establece la CFPB para el uso de la inteligencia artificial en la atención al cliente?
La CFPB aplica las leyes vigentes de protección del consumidor a la IA sin excluir a ninguna tecnología. En la práctica, esto significa que las interacciones en las que interviene la IA deben ser específicas, precisas y explicables, y deben ir acompañadas de información coherente. El enfoque de aplicación de la normativa está evolucionando en 2026, por lo que conviene confirmar los detalles consultando las directrices actuales.
¿Se aplica la Ley de IA de la UE a las entidades financieras estadounidenses?
Sí, si prestan servicios a clientes de la UE o ofrecen servicios dirigidos a la UE. La ley se aplica a los proveedores y operadores, independientemente de dónde tengan su sede. Ciertos usos, como la evaluación de la solvencia crediticia y la fijación de tarifas de seguros, se consideran de alto riesgo y conllevan obligaciones adicionales.
¿En qué se diferencia la IA auditable de la IA segura?
«Seguro» significa que la IA no causará ningún daño. «Auditable» significa que se puede demostrar ante un organismo regulador qué dijo y por qué. «Seguro» es una garantía; «auditable» es una reconstrucción. Los servicios financieros regulados necesitan lo segundo, porque en una inspección no se puede defender lo que no se puede reconstruir.
¿De qué manera contribuye la arquitectura centrada en el conocimiento al cumplimiento normativo?
Vincula cada respuesta a una fuente controlada antes incluso de que el cliente formule la pregunta, de modo que la ruta de decisión está integrada de antemano, en lugar de estimarse a posteriori. El modelo lingüístico formula la respuesta, no la inventa, lo que garantiza que las respuestas sean precisas, coherentes y trazables en caso de auditoría.
¿Puede la IA orientada al cliente cumplir con las expectativas de la norma SR 11-7?
La norma SR 11-7 regula el riesgo de los modelos internos, un ámbito distinto al de las interacciones con los clientes. Se aplican los mismos principios: trazabilidad y responsabilidad. Una arquitectura transparente y vinculada a las fuentes facilita enormemente la documentación y la justificación de cómo se ha elaborado una respuesta dirigida a un cliente.
Artículos relacionados
