Una entidad financiera latinoamericana de tamaño medio incorporó hace dos años un sistema de scoring crediticio asistido por inteligencia artificial, provisto por un proveedor tecnológico internacional. El modelo entró al circuito de aprobación de créditos personales sin una comparación documentada con el sistema anterior. Durante los primeros seis meses la entidad dependió del proveedor para explicar decisiones específicas y no obtuvo detalle suficiente para verificarlas de manera independiente. Esta lectura ordena lo que ese caso anonimizado muestra sobre gobernanza algorítmica en el sector financiero, desde la práctica auditora.
El contexto operativo
El sector financiero latinoamericano incorpora inteligencia artificial en decisiones críticas — crédito, fraude, antilavado, identificación biométrica, atención al cliente — a un ritmo que sus marcos de gobernanza no acompañan. La asimetría tiene forma conocida. Las entidades grandes y medianas adoptan modelos a velocidad comercial; los marcos regulatorios y los sistemas de gestión de riesgo institucional avanzan a velocidad administrativa.
El caso de esta apertura no es una rareza. Es la forma que ese desfase toma cuando la práctica auditora lo encuentra en el campo, con regularidad creciente · modelos algorítmicos decidiendo en operación crítica sin un marco de gobernanza dimensionado para el nivel de riesgo que la propia entidad acaba de asumir.
Cinco hallazgos técnicos del caso
| Hallazgo | Evidencia en el caso | Principio comprometido |
|---|---|---|
| 01 · Sin operación en paralelo | El modelo reemplazó al estadístico anterior de manera directa; la metodología de pre-producción omitió la etapa | Principio 01 · operación en paralelo |
| 02 · Explicabilidad insuficiente | Cumplimiento pidió explicación de seis decisiones del primer trimestre; el proveedor respondió cuatro semanas después, sin detalle suficiente para verificación independiente | Principio 02 · explicabilidad propia del adoptante |
| 03 · Supervisión humana nominal | Revisión sobre una muestra acotada sin representatividad estadística ni criterio de muestreo; las decisiones se ejecutaban directamente bajo el output del modelo | Principio 03 · supervisión efectiva |
| 04 · Sin monitoreo de deriva | Ningún control técnico de model drift sobre una población cuyo comportamiento cambia respecto de la de entrenamiento | Principio 04 · detección de deriva |
| 05 · Trazabilidad rota | La auditoría externa anual cumplió sobre los procedimientos documentados; el comportamiento del modelo en operación quedó fuera del alcance | Los cuatro a la vez. El sistema se confirmó sin mirarse |
El quinto hallazgo merece línea aparte, porque toca a la profesión. La revisión externa anual cumplía formalmente y no vio nada · su alcance excluía la verificación técnica del modelo en operación. El procedimiento documentado estaba en regla; la operación efectiva quedó sin testigo. El Criterio 10 fija la doctrina con la categoría exacta ·
Cuatro principios operativos
Leído junto a otros casos del campo, este muestra cuatro principios que la gobernanza algorítmica seria no puede delegar.
La transición necesita una comparación controlada
Cuando la criticidad y la naturaleza del cambio lo justifican, el modelo nuevo debe compararse con el anterior o con un control equivalente antes de asumir toda la decisión. La duración y la muestra se definen por riesgo, volumen y capacidad de detectar discrepancias; no existe un plazo universal. En el caso, la metodología omitió esa comparación.
La organización conserva la responsabilidad por la explicación
La entidad que adopta un modelo algorítmico debe poder explicar y revisar las decisiones que usa, aunque contrate capacidad técnica externa. El caso muestra el riesgo de depender por completo del proveedor · Cumplimiento pidió explicación de seis decisiones y la respuesta llegó cuatro semanas después, sin detalle verificable. La capacidad debe estar disponible bajo condiciones, tiempos y evidencias gobernados por la entidad.
La supervisión humana debe ser efectiva
La supervisión humana admite tres estados — efectiva, nominal, ausente — y solo el primero cuenta (Criterio 10). Efectiva exige tres cosas · criterio de muestreo documentado, autoridad para bloquear decisiones del modelo y registro de la última decisión bloqueada, con fecha. La revisión del caso operaba sobre una fracción mínima del flujo, sin criterio de muestreo y sin haber bloqueado jamás una decisión · supervisión nominal. El Criterio 15 pone el nombre de fondo · toda muestra es una teoría del riesgo puesta por escrito. La muestra de revisión humana del caso no tenía teoría; tenía comodidad.
La deriva exige una regla de detección y respuesta
La deriva es un riesgo previsible cuando cambian la población, los datos o el contexto de operación respecto del entrenamiento. El control debe definir cómo detectarla, evaluarla y decidir si corresponde reentrenar, recalibrar o retirar el modelo. En el caso no existía un mecanismo documentado para hacerlo.
Los límites del caso · qué autoriza a generalizar
Los límites no son advertencias legales · son parte del argumento. Una pieza sin límites declarados afirma más de lo que puede sostener. El caso está anonimizado y es uno. Autoriza tres cosas. Las preguntas — los cinco hallazgos funcionan como lista de verificación aplicable a cualquier entidad que opere modelos en decisión crítica —, el patrón — leído junto a otros casos de campo, es representativo de una configuración recurrente, sin cuantificarla — y los principios — que tienen soporte normativo independiente del caso. Lo que queda fuera de alcance también está declarado · proporciones del sector, atribución a una entidad identificable y cualquier conclusión sobre el desempeño estadístico del modelo en sí.
El marco internacional aplicable
ISO/IEC 42001:2023 aporta el marco de sistema de gestión para gobernar riesgos, impactos, responsabilidades y monitoreo de la IA. No prescribe literalmente los cuatro mecanismos de este caso: la comparación controlada, la explicabilidad disponible, la supervisión efectiva y la detección de deriva son criterios operativos cuya forma debe justificarse según riesgo. La cadena de acreditación para certificar la norma existe desde 2024 (ANAB; UKAS). Para el sector financiero, distintas autoridades latinoamericanas también publican lineamientos sobre el uso de IA en decisiones crediticias.
La distancia entre la velocidad de adopción tecnológica y la de los marcos de gobernanza es el campo de trabajo más urgente de la práctica auditora en el sector durante la próxima década.
El ejercicio del próximo trimestre
Si su entidad opera modelos algorítmicos en decisiones críticas, ejecute un ejercicio diagnóstico en el próximo trimestre. Inventaríe todos los modelos en operación productiva. Verifique para cada uno cuatro componentes · período de operación en paralelo documentado, capacidad técnica interna de explicabilidad, supervisión humana efectiva — con criterio de muestreo, autoridad de bloqueo y registro — y monitoreo continuo de deriva. Cada componente ausente significa que el modelo opera con un riesgo de gobernanza superior al perfil institucional declarado. Y que nadie lo decidió · simplemente ocurrió.
La inteligencia artificial llegó al sector financiero antes que la cultura institucional capaz de gobernarla. La distancia no se cierra sola. Se cierra con criterio técnico.