1. Definir la banca de inversión nativa de AI como un sistema de decisiones controlado
La banca de inversión es un negocio de evidencia y criterio. El equipo de una operación recopila información de clientes, documentos públicos, datos de mercado, contrapartes, asesores y su propio trabajo previo. Convierte esa información en una visión sobre estrategia, valor, capacidad de financiación, riesgo, diseño de procesos y negociación. La calidad del trabajo depende tanto de la evidencia subyacente como de las decisiones profesionales que se aplican a ella.
La inteligencia artificial cambia la velocidad y la escala a las que se puede procesar la información. Puede buscar en grandes conjuntos de documentos, clasificar texto, extraer hechos estructurados, comparar cláusulas, generar primeros borradores, identificar anomalías y ayudar a mantener registros de flujo de trabajo. Estas capacidades pueden reducir el esfuerzo mecánico y ampliar la información considerada. También pueden generar afirmaciones sin respaldo, cálculos inconsistentes, fallos de divulgación e incidentes de confidencialidad cuando operan fuera de un proceso controlado.
La cuestión de diseño es, por tanto, arquitectónica. La firma debe decidir qué trabajo es elegible para la asistencia de AI, qué información puede introducirse en cada herramienta, qué resultados requieren validación, qué registros deben conservarse y qué decisiones siguen siendo exclusivamente humanas. El Marco de Gestión de Riesgos de AI del NIST organiza la actividad de riesgo de AI en torno a las funciones de gobernar, mapear, medir y gestionar.[1] Su Perfil de AI generativa amplía esas funciones a riesgos que pueden ser nuevos o amplificados en sistemas generativos.[2] Estas funciones proporcionan un vocabulario de control útil, mientras que el proceso de la operación aporta el contexto operativo.
Un sistema de operaciones nativo de AI debería preservar cuatro invariantes. La evidencia sigue siendo identificable. La autoridad de decisión sigue asignada. La información confidencial permanece dentro de límites aprobados. Las conclusiones económicas siguen siendo reproducibles. Si falla cualquiera de los invariantes, la velocidad de los resultados tiene escaso valor profesional.
El modelo operativo debe distinguir entre asistencia, recomendación y autoridad. La asistencia incluye recuperación, extracción, formateo y soporte al flujo de trabajo. La recomendación incluye objetivos priorizados, interpretación de escenarios y acciones de diligencia debida sugeridas. La autoridad incluye asesoramiento al cliente, aprobación de la valoración, decisiones sobre conflictos, divulgación y compromisos vinculantes de transacción. La carga de control aumenta a medida que el trabajo pasa de la asistencia a la autoridad.
2. Trazar el mapa del flujo de trabajo de la operación antes de seleccionar herramientas
La selección de herramientas debe seguir el proceso de la operación. Una firma que comienza con un modelo de propósito general puede acumular pilotos inconexos sin un registro fiable de la transacción. Un mapa del flujo de trabajo identifica los productos de trabajo, las fuentes, los responsables de las decisiones, los traspasos y los puntos de aprobación que deben mantenerse coherentes desde la originación hasta el cierre.
El proceso comienza con inteligencia de mercado y de relaciones. Los posibles clientes, activos y contrapartes se identifican a partir de fuentes permitidas. Los profesionales de cobertura evalúan la relevancia, la relación, el momento y la necesidad potencial. Antes de que avance un mandato, los controles de conflictos, aceptación de clientes, delitos financieros y formalización de encargos operan de acuerdo con las obligaciones legales y regulatorias de la firma.
Una vez formalizado el encargo, el equipo formula la pregunta estratégica y construye un repositorio de evidencia. Se organiza información financiera, comercial, operativa, jurídica, técnica y de mercado. Los análisis de valoración y financiación convierten la evidencia en escenarios. La diligencia debida pone a prueba la tesis de inversión y las excepciones. La gestión del proceso coordina los contactos, la confidencialidad, las ofertas, las aprobaciones, la documentación, la financiación y el cierre.
En cada etapa, AI puede prestar asistencia en una tarea acotada. El mapa del flujo de trabajo debe registrar la clase de entrada, el entorno de modelo permitido, el resultado esperado, el revisor responsable y la regla de conservación de registros. Una misma tarea puede conllevar distinto riesgo en contextos distintos. Resumir un informe anual público es sustancialmente distinto de resumir un borrador de documento del consejo que contiene información sensible para el mercado.
La asistencia de AI permanece acotada por datos aprobados, evidencia y derechos de decisión humana en cada etapa.
3. Clasificar la información por sensibilidad y uso permitido
Los datos de banca de inversión no pueden tratarse como un corpus indiferenciado. Los documentos públicos, los datos de mercado con licencia, la información confidencial de clientes, los datos personales, la información material no pública y el material jurídico privilegiado conllevan derechos y obligaciones distintos. La firma debe clasificar la información antes de que llegue a un sistema AI y aplicar la clasificación mediante controles de acceso, enrutamiento y técnicos.
La disponibilidad pública no elimina todas las restricciones. Las licencias de datos de mercado pueden limitar el almacenamiento, la transformación y la redistribución. Los términos de los sitios web pueden restringir la recopilación automatizada. Los datos personales pueden aparecer en registros públicos y aun así exigir un tratamiento lícito y proporcionado. Los borradores de materiales para clientes pueden combinar hechos públicos con supuestos confidenciales y, por tanto, heredar la clasificación más alta.
La Ley de Protección de Datos Personales de UAE establece un marco federal para el tratamiento, la seguridad, la confidencialidad y la transferencia transfronteriza de datos personales.[3] La Oficina del Comisionado de Información del Reino Unido señala que la alta dirección sigue siendo responsable de las implicaciones de AI en materia de protección de datos y debe poder demostrar cómo se ha abordado la protección de datos desde el diseño y por defecto.[4] El análisis jurídico aplicable depende del responsable del tratamiento, el encargado del tratamiento, la finalidad, los interesados y las jurisdicciones implicadas.
Un sistema práctico utiliza un número reducido de clases exigibles. Cada clase especifica las fuentes permitidas, las ubicaciones de almacenamiento, los entornos de modelo, los índices de recuperación, la conservación, el registro y las aprobaciones humanas. La denegación por defecto es adecuada cuando falta la clasificación. Los usuarios no deben decidir la elegibilidad de los datos por intuición en el momento de enviar una instrucción.
Tabla 1. Clasificación de la información y límite de uso de AI
| Clase de información | Ejemplos típicos | Entorno permitido para AI | Control mínimo |
|---|---|---|---|
| Público y reutilizable | publicaciones de reguladores, presentaciones públicas, sitios web de emisores | entorno empresarial aprobado o entorno de investigación aislado | enlace de origen, condiciones de acceso y fecha |
| Con licencia | datos de mercado, bases de datos de investigación, bases de datos de transacciones | entorno expresamente permitido por la licencia | verificación de derechos de acceso, registro de uso y control de redistribución |
| Confidencial del cliente | cuentas de gestión, estrategia, ofertas, previsiones | entorno privado aprobado con protección contractual | autorización del cliente, cifrado, restricción de acceso y norma de conservación |
| Datos personales | registros de empleados, clientes o contrapartes | entorno aprobado tras la evaluación de la finalidad lícita | minimización, acceso por roles, control de transferencias y supresión |
| Sensible para el mercado | posibles operaciones, resultados sensibles al precio y planes de financiación | entorno segregado con necesidad de saber o herramienta excluida | barrera de información, acceso nominativo y vigilancia |
| Privilegiado o restringido | asesoramiento jurídico, correspondencia con reguladores y material especialmente restringido | excluido salvo que la asesoría jurídica y la política lo aprueben expresamente | decisión sobre privilegio, acceso aislado y cadena de custodia preservada |
La política definitiva requiere una revisión jurídica, contractual y regulatoria actual.
4. Construir una arquitectura de control de datos basada en zonas y en la aplicación de políticas
La arquitectura técnica debe impedir una ruta de datos no autorizada en lugar de depender por completo de la formación y los recordatorios. Un diseño controlado separa los sistemas de origen, la ingesta, el almacenamiento gobernado, los servicios de modelos, la revisión de resultados y el registro permanente de la operación. Las decisiones de política se toman en cada límite.
Los sistemas de origen pueden incluir repositorios públicos, bases de datos con licencia, salas de datos virtuales de clientes, gestión de relaciones con clientes, modelos financieros y gestión de correo electrónico y documentos. Un conector debería operar mediante una identidad aprobada y recuperar solo los registros necesarios para la tarea. El contenido se escanea, clasifica y etiqueta con origen, propietario, fecha y derechos antes de entrar en un índice de búsqueda.
La capa de modelos debería exponer los modelos aprobados a través de una pasarela gestionada. La pasarela aplica reglas de acceso, bloquea contenido no permitido, registra el modelo y la versión, establece controles de retención y entrenamiento, y captura prompts y salidas cuando está permitido. Las tareas de alto riesgo pueden usar un entorno de recuperación privado o un modelo que se ejecute dentro del límite controlado. Deberían revisarse las condiciones del proveedor, los subencargados y las ubicaciones de los datos antes de su uso.
Las salidas entran en una cola de revisión en lugar del registro final del cliente. Un revisor comprueba la evidencia, los cálculos, la interpretación, el tono y la confidencialidad. El material aprobado se promueve al espacio de trabajo de la operación con su registro de evidencia de respaldo. El material rechazado se conserva o elimina según la política, pero debería alimentar la supervisión de modelos y procesos.
La arquitectura necesita procedimientos de acceso de emergencia. Si un proveedor, un modelo o un conector deja de estar disponible, el equipo debería poder continuar el trabajo crítico a partir de registros de origen controlados. La concentración de dependencias y los cambios abruptos de modelo pueden convertirse en riesgos de la transacción cuando un calendario de cierre depende de un único servicio externo.
La aplicación de políticas separa las fuentes, los servicios de modelos, la revisión y el registro autoritativo de la operación.
5. Crear un registro de evidencia para cada afirmación significativa
Una salida fluida puede ocultar evidencia débil. El registro de evidencia restaura la trazabilidad al conectar cada afirmación significativa, hecho extraído, entrada del modelo y conclusión de la transacción con una fuente identificable y un registro de revisión. Debería funcionar como un control operativo en lugar de un apéndice elaborado después de entregar el asesoramiento.
Cada entrada del registro debería consignar la afirmación, el documento de origen, la ubicación exacta, la fecha de origen, la fecha de acceso, los derechos, el método de extracción, la transformación, el modelo y la versión, el prompt o la instrucción, el revisor, la fecha de revisión y el uso posterior. Una cifra financiera también debería registrar unidades, moneda, periodo, base contable y conciliación. Una extracción de cláusula debería conservar la versión firmada o de borrador del documento y la sección pertinente.
El registro ayuda a distinguir cuatro estados: hecho con fuente, manifestación de la dirección, supuesto analítico y conclusión profesional. Estos estados no deberían mezclarse. Una previsión de la dirección puede ser una entrada válida y seguir siendo una previsión. Un grupo de comparables generado por el modelo puede respaldar la investigación y seguir sujeto a selección humana y revisión de comparabilidad.
Las API EDGAR de la SEC proporcionan acceso en tiempo real a las presentaciones y a los hechos XBRL estandarizados sin autenticación.[5] Las fuentes legibles por máquina pueden mejorar la recuperación y la conciliación. El analista aún debe probar la taxonomía, el periodo, las unidades, el contexto de presentación y las extensiones específicas de la empresa. La automatización no elimina la interpretación contable.
La calidad de la evidencia debería puntuarse por separado de la importancia de la afirmación. Una afirmación significativa respaldada solo por una presentación sin fecha requiere escalamiento. Un punto operativo menos significativo puede necesitar una comprobación más ligera. El registro permite que el esfuerzo de revisión siga la consecuencia de la decisión.
Cada resultado relevante conserva una cadena desde la fuente hasta la decisión.
Tabla 2. Campos mínimos del registro de evidencias
| Campo del registro | Pregunta de control | Ejemplo de evidencia |
|---|---|---|
| Afirmación y estado | ¿esto es un hecho, una manifestación, un supuesto o una conclusión? | ingresos declarados, previsión de la dirección, juicio de valoración |
| Fuente y localizador | ¿puede otro revisor encontrar la misma evidencia? | URL y sección del documento presentado, versión y cláusula del contrato |
| Transformación | ¿qué cambió entre la fuente y el resultado? | conversión de moneda, normalización, extracción o agregación |
| Registro del modelo | ¿qué modelo, versión e instrucción generaron la asistencia? | registro de la pasarela, conjunto de recuperación e identificador del prompt |
| Revisión | ¿quién verificó la exactitud, el contexto y la consecuencia? | verificación del analista, revisión contable, revisión jurídica o aprobación de un responsable sénior |
| Uso posterior | ¿qué análisis o decisión del cliente depende de la afirmación? | tabla de comparables, rango de valoración, hallazgo de diligencia debida o término de negociación |
La profundidad del libro mayor debe ajustarse a la materialidad y al contexto regulatorio.
6. Utilice AI en la originación sin convertir la correlación en una necesidad del cliente
AI puede ampliar la cobertura de originación combinando documentos públicos, registros de titularidad, eventos de financiación, cambios en la dirección, anuncios estratégicos, datos sectoriales e información de relaciones. Puede identificar patrones como ventanas de refinanciación, concentración de cartera, inversiones de capital, historial de adquisiciones o cambios en el accionariado. Estos patrones pueden ayudar a un banquero a preparar una hipótesis relevante.
Una señal no es prueba de que una empresa quiera asesoramiento. El profesional de cobertura debe verificar el detonante, entender al responsable de la decisión, contrastar el contexto de la relación y formular una hipótesis de valor específica. Un mensaje genérico generado a partir de información extraída automáticamente puede dañar la confianza y puede generar problemas de protección de datos, marketing o confidencialidad.
El registro de originación debe identificar por qué el cliente potencial está dentro del alcance, qué evidencia pública respalda la hipótesis, qué relación previa puede utilizarse y qué vía de contacto está permitida. Los resúmenes de cuentas generados por AI deben conservar las citas y las fechas. Las notas sensibles de CRM deben permanecer en el entorno aprobado y no deben utilizarse para entrenar un modelo público.
La cualificación debe medir el valor probable para el cliente y el encaje, en lugar del volumen de acciones de contacto generadas. Entre los criterios útiles se incluyen la importancia estratégica, la plausibilidad de la operación, el acceso a los responsables de la decisión, el encaje con el mandato, el potencial de honorarios, los conflictos, la capacidad y el momento oportuno. Un responsable humano de cobertura aprueba el plan de cuentas y toda comunicación externa.
El sistema debe aprender de los resultados. Las reuniones, las oportunidades cualificadas, los mandatos firmados, las operaciones cerradas y los honorarios cobrados proporcionan evidencia progresivamente más sólida. Las tasas de apertura y los recuentos de contactos generados son indicadores comerciales débiles. Por lo tanto, el cuadro de mando de valor debe vincular la actividad de originación con avances verificados en la ruta del mandato.
7. Gobierne la evaluación de oportunidades y los conflictos antes de profundizar el análisis
Un modelo de evaluación asistido por AI puede clasificar oportunidades por encaje con el mandato, relevancia sectorial, escala de la operación, relación y momento oportuno. El modelo debe hacer visibles sus factores y los datos de origen. No debe crear una puntuación de prioridad opaca que sustituya el criterio de cobertura o los controles de conflictos.
El análisis de conflictos requiere registros internos autorizados, resolución de entidades e interpretación jurídica. AI puede ayudar identificando nombres, entidades afiliadas, fondos, consejeros y asuntos previos. Los falsos negativos son especialmente costosos porque una relación no detectada puede exponer información confidencial o menoscabar los deberes hacia el cliente. La función de conflictos conserva la autoridad para decidir y debe documentar el alcance de la búsqueda, las coincidencias ambiguas y su resolución.
La aceptación de clientes puede implicar identidad, titularidad, sanciones, delincuencia financiera, reputación, origen de fondos y riesgo del encargo. AI puede organizar la evidencia y señalar inconsistencias. No debe tomar la decisión final de aceptación a menos que un marco legal y regulatorio específico lo permita y la gobernanza de la firma lo haya aprobado. Los investigadores humanos necesitan acceso a la evidencia original y a la base de cada alerta.
La arquitectura de cribado también debe impedir el uso prematuro de información confidencial. Un equipo puede recibir un teaser antes de la autorización de conflictos, mientras otra parte de la firma actúa por cuenta de una parte relacionada. El acceso debe regirse por permisos a nivel de asunto y barreras de información desde el primer documento.
Una oportunidad solo pasa a estar activa cuando se han registrado las aprobaciones requeridas y la autoridad para el encargo. Este control protege tanto al cliente como a la firma y otorga a la actividad posterior con AI un perímetro legal y operativo definido.
8. Hacer que los modelos de valoración sean reproducibles y estén basados en evidencia
AI puede ayudar a recopilar datos de empresas comparables, mapear segmentos de negocio, normalizar la información divulgada, identificar transacciones precedentes y redactar explicaciones de escenarios. La valoración sigue siendo una conclusión profesional. El modelo necesita una base de valor explícita, fecha de valoración, moneda, estructura de capital, marco contable, previsión y metodología.
La NIIF 13 define el valor razonable a efectos de información financiera como un precio de salida en una transacción ordenada entre participantes del mercado en la fecha de medición y exige un marco para la medición y la divulgación.[6] El asesoramiento en transacciones puede utilizar diferentes bases de valor y contextos de negociación. El analista debe indicar la base y evitar presentar una cifra generada como una conclusión contable o de razonabilidad.
La selección de comparables debe conservar los motivos de inclusión y exclusión. Un sistema AI puede encontrar empresas con un lenguaje similar pero con modelos de ingresos, geografía, escala, crecimiento, márgenes, intensidad de capital o riesgo diferentes. El banquero debe aprobar el conjunto de pares y registrar los ajustes. Las transacciones precedentes exigen un cuidado similar, ya que los valores anunciados pueden omitir earn-outs, deuda asumida, contraprestación contingente y condiciones de mercado no comparables.
Cada dato financiero extraído debe conciliarse con la presentación de origen. Los períodos, las unidades, las monedas, las operaciones continuadas y la política contable pueden alterar la comparabilidad. Las celdas con fórmulas deben permanecer visibles y auditables. Un modelo generado que no pueda reconstruirse de forma independiente a partir del libro mayor no debe sustentar una conclusión para el cliente.
Los rangos de valoración deben vincularse con escenarios en lugar de implicar una falsa precisión. Los ingresos, el margen, la reinversión, la tasa de descuento, los supuestos terminales y la estructura de capital deben probarse conjuntamente. El cliente debe ver qué variables generan el rango y qué evidencia podría reducirlo.
9. Controlar el riesgo de modelo, los escenarios y la incertidumbre analítica
El análisis de banca de inversión combina modelos financieros convencionales con extracción, clasificación y narrativa asistidas por AI. Cada componente tiene distintos modos de fallo. Una hoja de cálculo puede contener un error de fórmula. Un modelo de extracción puede interpretar mal una tabla. Un modelo de lenguaje puede afirmar una conclusión plausible pero no respaldada. Un sistema de control debe probar cada riesgo en la capa adecuada.
La validación comienza con el uso previsto. El equipo debe definir qué se espera que haga el modelo, qué no debe hacer, la población de datos de entrada, la medida de desempeño, el umbral de materialidad y el escalamiento. Las pruebas deben incluir documentos representativos, formatos difíciles, campos faltantes, fuentes en conflicto, variación de prompts y actualizaciones del modelo.
El informe de supervisión regulatoria de FINRA de 2026 describe la gobernanza, las pruebas, el monitoreo, la documentación, los registros de prompts y resultados, el seguimiento de versiones del modelo y la revisión humana como consideraciones relevantes para el uso de AI generativa.[7] Las normas de FINRA siguen siendo tecnológicamente neutras; las obligaciones de supervisión, comunicaciones, conservación de registros y trato justo continúan aplicándose cuando una firma utiliza AI.[7]
El análisis de escenarios debe conservar la incertidumbre en lugar de convertirla en una única previsión generada. El modelo debe distinguir el caso de la dirección, el caso base independiente, el escenario adverso y el favorable. Las correlaciones y los shocks de causa común deben ser explícitos. Los supuestos deben estar fechados, tener un responsable asignado y compararse con los resultados reales.
Los cambios en un modelo, en el corpus de recuperación o en un prompt pueden alterar los resultados sin una versión de software visible. La firma debe definir qué constituye un cambio material y cuándo se requiere una revalidación. Un proceso crítico para el cierre debe contar con una configuración congelada o una versión documentada, de modo que un análisis pueda reproducirse después del evento.
10. Utilizar AI para profundizar la diligencia debida y preservar la responsabilidad sobre las excepciones
La diligencia debida es un proceso de identificación de excepciones. AI puede comparar contratos, extraer obligaciones, analizar cohortes de clientes, identificar anomalías financieras, clasificar documentos técnicos y conciliar los índices del data room. Puede ampliar la cobertura y ayudar a los equipos a centrarse en inconsistencias materiales.
El plan de diligencia debida debe comenzar con la tesis de la operación y los impulsores de valor. Cada flujo de trabajo define la afirmación que se comprueba, la evidencia requerida, la materialidad, el revisor responsable y la posible respuesta de la operación. Las preguntas generadas por AI deben revisarse antes de que lleguen a la dirección. Una lista extensa de preguntas genéricas puede consumir tiempo sin mejorar la decisión.
La extracción de documentos debe preservar la versión y el localizador. Los términos contractuales pueden diferir entre enmiendas, cartas paralelas y formularios de pedido. Un modelo que lee el contrato base sin la última enmienda puede producir una conclusión errónea. La diligencia debida financiera requiere conciliación entre informes de la dirección, libro mayor, facturas, efectivo, registros fiscales y contratos.
Los hallazgos deben entrar en un registro de excepciones con responsable, evidencia, efecto económico, respuesta propuesta y criterio de cierre. Las posibles respuestas incluyen ajuste de valoración, mecanismo de capital circulante, condición suspensiva, manifestación, indemnización, covenant, plan de subsanación o retirada. AI puede sugerir categorías; los asesores aprueban la respuesta jurídica y comercial.
El registro final de diligencia debida debe mostrar tanto la cobertura como la incertidumbre residual. La ausencia de una incidencia identificada no es prueba de que no exista ninguna. Las limitaciones de la muestra, los registros inaccesibles, las manifestaciones de la dirección y las contradicciones no resueltas deben permanecer visibles para los responsables de la toma de decisiones.
11. Proteger la confidencialidad, la información sensible para el mercado y el privilegio profesional
El trabajo de transacciones contiene con frecuencia información cuya divulgación no autorizada puede afectar a los mercados, las negociaciones, los empleados y las contrapartes. La filtración de datos puede producirse a través de prompts, registros de proveedores, entrenamiento, índices de recuperación, extensiones de navegador, archivos copiados o accesos mal configurados. Por lo tanto, el diseño de controles debe abordar la ruta completa de los datos.
Las enmiendas de la SEC al Reglamento S-P exigen que las instituciones cubiertas mantengan políticas y procedimientos de respuesta a incidentes por acceso o uso no autorizado de información de clientes, y que conserven registros que documenten el cumplimiento.[8] La aplicación precisa depende de la institución y de la información. Los principios de salvaguardas escritas, respuesta a incidentes, supervisión de proveedores de servicios y evidencia conservada son relevantes para cualquier entorno de operaciones controlado.
Las barreras de información deben operar a nivel de asunto. Los usuarios, las cuentas de servicio y los conectores de AI reciben el acceso mínimo necesario. Los índices de búsqueda no deben combinar asuntos restringidos en un corpus amplio, salvo que la política y la tecnología puedan aplicar permisos en el momento de la recuperación. Los registros de acceso y exportación deben poder revisarse.
El privilegio profesional merece un tratamiento separado. Enviar asesoramiento jurídico a un servicio no autorizado puede crear riesgo legal. El asesor jurídico debe definir cuándo AI puede procesar material privilegiado, en qué condiciones contractuales y técnicas y con qué registro. Los equipos no deben asumir que una licencia empresarial resuelve el privilegio en todas las jurisdicciones.
Los procedimientos de incidentes deben definir la detección, la contención, la evaluación, la notificación, la conservación de evidencia y la comunicación con el cliente. Un equipo de transacciones necesita una vía rápida hacia seguridad, jurídico, cumplimiento y alta dirección. Seguir utilizando un sistema comprometido durante un proceso en curso puede agravar el daño.
12. Separar la asistencia en la redacción del asesoramiento al cliente y la divulgación
AI puede producir primeros borradores de presentaciones, memorandos de información, comentarios de valoración, resúmenes de diligencia debida, cartas de proceso y seguimientos documentales. La asistencia en la redacción puede mejorar la consistencia y permitir que los profesionales dediquen más tiempo al análisis. El revisor sigue siendo responsable de cada declaración que se publique a un cliente o participante del mercado.
El flujo de trabajo de redacción debe tomar hechos aprobados del registro de evidencia y cálculos aprobados de modelos controlados. El texto generado no debe crear una nueva fuente de hechos. Las afirmaciones sobre liderazgo de mercado, tecnología, pipeline, sostenibilidad, sinergias o rendimiento necesitan una base razonable y la confirmación del cliente.
La SEC ha advertido de que las declaraciones engañosas sobre el uso de AI pueden infringir las leyes de valores y que las afirmaciones públicas deben tener una base razonable y divulgar riesgos específicos de la empresa en lugar de lenguaje genérico.[9] La misma disciplina se aplica a los materiales de transacción. Una afirmación de valor relacionada con AI debe identificar qué hace la tecnología, dónde se despliega, la evidencia que la respalda, las dependencias y las limitaciones.
La revisión de documentos debe incluir la exactitud fáctica, la coherencia numérica, el contenido legal y regulatorio, la confidencialidad, los permisos, la audiencia y la versión. Las comprobaciones entre documentos pueden identificar diferencias entre un modelo, un documento para el consejo y material de marketing. El firmante final aprueba el documento tras las revisiones especializadas requeridas.
La procedencia del borrador debe seguir siendo proporcionada. El registro permanente necesita la fuente material, las transformaciones, los revisores y la versión aprobada. No necesita conservar cada experimento transitorio de redacción cuando la política no lo exija. El diseño de conservación debe acordarse con legal, cumplimiento y gestión de registros.
13. Coordinar la ejecución mediante un único registro controlado de la transacción
La ejecución implica muchas partes, documentos, plazos, condiciones y decisiones. AI puede mantener listas de acciones, comparar versiones, extraer obligaciones, resumir reuniones y señalar dependencias. El valor reside en integrar estas tareas en un único registro autoritativo.
El registro de la transacción debe identificar el flujo de trabajo, el elemento, el responsable, la fecha de vencimiento, el estado, la evidencia, el obstáculo, la decisión y la dependencia. Los resúmenes de reuniones se convierten en actualizaciones propuestas hasta que los participantes o el responsable las confirmen. Los conectores de correo electrónico y documentos no deben cambiar automáticamente el estado de cierre sin aprobación.
El control de versiones es fundamental. Un término puede cambiar entre cartas de oferta, documentos de compromiso, contratos de compraventa y anexos de divulgación. El sistema debe identificar el documento que prevalece y la versión vigente. La comparación de cláusulas puede apoyar a los asesores legales y banqueros, mientras que la interpretación jurídica sigue correspondiendo a asesores cualificados.
La financiación de la transacción requiere conciliar fuentes y usos, flujo de fondos, condiciones precedentes, aprobaciones y calendario de efectivo. Una lista de verificación generada por AI puede omitir una condición específica. El responsable del cierre debe aprobar la lista final cotejándola con los documentos ejecutados y las confirmaciones de los asesores.
Tras el cierre, el registro de la operación debe conservar las decisiones, los documentos ejecutados, las aprobaciones y la evidencia material conforme a la política. Un archivo ordenado apoya el servicio al cliente, la auditoría, las disputas, la revisión regulatoria y las lecciones aprendidas. También proporciona una base gobernada para futuros análisis de precedentes cuando la confidencialidad y los derechos permitan su reutilización.
14. Diseñar puntos de aprobación humana en función de las consecuencias y la reversibilidad
La supervisión humana cobra sentido cuando una persona designada dispone de información, competencia, autoridad y tiempo para cuestionar el resultado. Un requisito genérico de revisar todo puede volverse meramente formal. Los puntos de aprobación deben regirse por la consecuencia del error y la reversibilidad de la acción.
El trabajo de bajas consecuencias puede recurrir a muestreo y comprobaciones estándar. Un resumen de fuentes públicas utilizado para orientación interna puede requerir confirmación de la fuente. El trabajo de consecuencias medias, como un borrador de conjunto de comparables, requiere revisión analítica y conciliación. El trabajo de altas consecuencias, como asesoramiento de valoración, comunicación al cliente, autorización de conflictos, autoridad de negociación y compromiso vinculante, requiere la aprobación de un responsable senior y, cuando proceda, revisión especializada.
El punto de aprobación debe indicar la evidencia de entrada, las pruebas, el aprobador, la decisión y el registro. Un revisor debe poder rechazar, modificar o escalar. La presión temporal no elimina el punto de aprobación; debe activar un proceso de excepción documentado con autoridad definida y revisión posterior.
La ESMA afirma que los órganos de dirección siguen siendo responsables de las decisiones cuando las empresas de inversión utilizan AI y destaca los intereses de los clientes, la calidad de los datos, la transparencia y la gobernanza.[10] El contexto son los servicios de inversión minorista, mientras que el principio de responsabilidad resulta útil para una gobernanza profesional más amplia. La Ley de AI de la UE también establece un marco legal basado en riesgos para los sistemas AI y requisitos que dependen de la función y el uso.[11]
La intensidad de la aprobación aumenta con las consecuencias económicas, la confidencialidad y la irreversibilidad.
Tabla 3. Diseño del punto de control de aprobación humana
| Producto de trabajo | Función principal de AI | Evidencia requerida | Aprobación responsable |
|---|---|---|---|
| Resumen de mercado y de la empresa | recuperación y síntesis | fuentes públicas o licenciadas citadas | profesional de cobertura |
| Puntuación de oportunidad | clasificación y ranking | registro de factores, contexto de la relación y estado de conflictos | líder de cobertura |
| Análisis de empresas comparables | soporte de extracción y cálculo | conciliación de fuentes, razones de comparables y revisión de fórmulas | responsable de valoración |
| hallazgo de diligencia debida | comparación de documentos y detección de anomalías | localizador de fuentes, materialidad y análisis especializado | responsable del flujo de trabajo |
| presentación al cliente o divulgación | redacción controlada | datos aprobados del libro mayor, verificaciones de cálculo y revisiones especializadas requeridas | responsable del mandato |
| negociación o compromiso vinculante | soporte y seguimiento de escenarios | posición autorizada, autoridad ejecutada y documentos vigentes | tomador de decisiones humano autorizado |
Los roles y umbrales requieren la gobernanza aprobada de la firma.
15. Traducir las obligaciones regulatorias en controles operativos
La gobernanza debería conectarse con las leyes y normas que ya rigen la actividad. Una política de AI separada que no esté mapeada a la supervisión, la conservación de registros, la conducta, la protección de datos, el abuso de mercado, la externalización y la ciberseguridad puede crear lagunas.
La Regla 3110 de FINRA exige que las empresas miembro mantengan un sistema de supervisión razonablemente diseñado para el cumplimiento, incluida la revisión del negocio de banca de inversión y valores.[12] La Regla 4511 de FINRA aborda los libros y registros.[13] Las empresas aplicables deberían determinar cómo los prompts, los resultados, las aprobaciones y las comunicaciones encajan en sus obligaciones específicas. Otras jurisdicciones y modelos de negocio tienen reglas diferentes.
La FCA describe su enfoque como basado en principios y centrado en resultados, apoyándose en marcos existentes, incluidos el deber de protección al consumidor, la rendición de cuentas y la gobernanza.[14] La consulta de IOSCO sobre AI en los mercados de capitales identifica casos de uso, riesgos y cuestiones de política entre los participantes del mercado.[15] El BIS y el Consejo de Estabilidad Financiera han destacado el riesgo de modelo, la calidad de los datos, la opacidad, la concentración de terceros, el riesgo cibernético y la supervisión humana en la AI financiera.[16][17]
Un registro de obligaciones debería asignar cada caso de uso a la actividad regulada, el tipo de cliente, la jurisdicción, la clase de datos, el registro, el responsable del control y el ciclo de revisión. El estatus jurídico puede cambiar cuando una herramienta pasa de asistencia interna a recomendación dirigida al cliente o decisión automatizada. El proceso de aprobación debería detectar ese cambio.
El mapeo regulatorio debería mantenerse actualizado. La arquitectura puede preservar funciones de control estables mientras evolucionan las reglas, las directrices y las capacidades específicas de los modelos. La revisión anual de políticas puede ser insuficiente para un servicio que cambia rápidamente; los cambios materiales en modelos, proveedores, legislación y casos de uso deberían activar una evaluación intermedia.
16. Gestionar la dependencia de proveedores, modelos e infraestructura
La banca de inversión nativa de AI puede depender de proveedores de modelos, plataformas en la nube, proveedores de datos de mercado, sistemas documentales y servicios de integración. La concentración puede crear fallos correlacionados entre operaciones. La firma debería entender qué trabajo crítico depende de cada proveedor y cómo puede continuar durante una interrupción.
La diligencia debida de proveedores debería abarcar seguridad, privacidad, uso de datos, conservación, subencargados, ubicaciones, acceso, actualizaciones de modelos, propiedad intelectual, niveles de servicio, notificación de incidentes, derechos de auditoría y salida. Las pruebas técnicas deberían confirmar la configuración contractual en la práctica. Una promesa de que los datos del cliente no entrenarán un modelo necesita un control de configuración y monitorización.
La portabilidad de modelos es importante. Los prompts y flujos de trabajo pueden estar estrechamente vinculados al comportamiento de un proveedor. La firma debería conservar casos de prueba y criterios de salida para poder evaluar otro modelo aprobado. Los cálculos críticos deberían permanecer en modelos deterministas o en código reproducible de forma independiente, en lugar de dentro de una generación opaca.
El Perfil de AI generativa del NIST identifica riesgos como confabulación, privacidad de datos, seguridad de la información, propiedad intelectual, sesgo dañino e integración en la cadena de valor.[2] ISO/IEC 42001 especifica los requisitos de un sistema de gestión de AI y hace hincapié en el riesgo, la oportunidad, la trazabilidad y la mejora continua.[18] Estos marcos pueden respaldar los controles de proveedores y de la empresa sin sustituir el juicio específico de cada operación.
El plan de continuidad debería definir alternativas manuales, exportaciones de datos, copias congeladas de evidencia crítica, comunicación alternativa y autoridad de decisión. Una operación en curso no puede esperar a que una disputa con un proveedor aclare los derechos de acceso.
17. Medir el valor después de la revisión, el retrabajo y el coste de control
La productividad de AI debería medirse a nivel de producto de trabajo terminado. Los primeros borradores más rápidos pueden trasladar trabajo a la revisión, corrección, verificación de fuentes e integración. Por lo tanto, un cuadro de mando de valor debería incluir tiempo de ciclo, calidad, retrabajo, esfuerzo de control, coste de proveedores, adopción por los usuarios y resultado de la operación.
La línea de base debería utilizar tareas comparables antes de la implementación. El tiempo ahorrado debería ser neto de la preparación de prompts, operación de la herramienta, comprobación y remediación. Las medidas de calidad pueden incluir excepciones factuales, diferencias numéricas, obligaciones omitidas, cambios de revisores y correcciones de clientes. Los errores de alta gravedad deberían tener mayor peso que los cambios menores de formato.
El cuadro de mando debería distinguir la creación de capacidad de la reducción de costes. Un equipo puede utilizar el tiempo ahorrado para examinar más fuentes, reforzar el diálogo con el cliente o acelerar un proceso. Estos beneficios deberían evidenciarse mediante trabajo completado y resultados para el cliente. Las suposiciones sobre plantilla no deberían basarse únicamente en demostraciones de herramientas.
El beneficio financiero puede modelarse como horas productivas liberadas, coste externo evitado, pérdida por errores reducida, conversión de mandatos más rápida o capacidad adicional de comisiones. Cada afirmación necesita un responsable y un periodo de medición. Las comisiones cobradas proporcionan evidencia más sólida que las estimaciones del pipeline. La confidencialidad del cliente y la conducta siguen siendo restricciones incluso cuando un caso de uso parece económicamente atractivo.
El cuadro de mando ilustrativo que aparece a continuación utiliza índices hipotéticos. Una firma en funcionamiento debería establecer líneas base, umbrales y ponderaciones mediante pilotos controlados y evidencia real de transacciones.
Los índices hipotéticos muestran por qué la velocidad debe evaluarse junto con la calidad, el control y la evidencia comercial.
18. Implementar mediante casos de uso acotados y una hoja de ruta de control a doce meses
La implementación debe comenzar con trabajo útil, medible y reversible. La investigación de fuentes públicas, la recuperación de conocimiento interno, la clasificación de documentos y la extracción controlada pueden aportar aprendizaje antes de que la firma permita la redacción confidencial o las recomendaciones de transacciones.
La primera fase establece la gobernanza, las clases de datos, los proveedores aprobados, el acceso, el registro de eventos, la respuesta a incidentes y un inventario de casos de uso. La firma selecciona un pequeño número de pilotos con líneas base y responsables definidos. Cada piloto cuenta con un conjunto de evidencia, casos de prueba, umbrales de aceptación y una vía de aprobación humana.
La segunda fase integra los pilotos exitosos con sistemas de origen controlados y el registro de evidencia. El equipo prueba los permisos, la precisión de recuperación, el versionado, la retención de registros y la continuidad. Los usuarios reciben formación específica por rol basada en el flujo de trabajo real en lugar de concienciación genérica.
La tercera fase se extiende a la valoración, la diligencia debida y la ejecución solo después de que los controles anteriores funcionen en la práctica. El aseguramiento independiente prueba la arquitectura, los registros y los permisos. La alta dirección revisa el valor, los incidentes, el riesgo residual y si cada caso de uso debe continuar, cambiar o detenerse.
Tabla 4. Hoja de ruta de implementación ilustrativa a doce meses
| Periodo | Objetivo operativo | Evidencia requerida | Decisión de lanzamiento |
|---|---|---|---|
| Meses 1-2 | inventariar casos de uso, datos y proveedores | mapa de procesos, clases de datos, revisión de contratos y responsables designados | aprobar el perímetro restringido del piloto |
| Meses 3-4 | probar flujos de trabajo públicos y de baja sensibilidad | conjunto de referencia, análisis de errores, tiempo de revisión y comentarios de los usuarios | aprobar, revisar o detener cada piloto |
| Meses 5-6 | desplegar un gateway gestionado y un registro de evidencias | pruebas de acceso, registros, ficha del modelo, trazabilidad de fuentes y simulacro de incidentes | permitir la producción interna controlada |
| Meses 7-9 | integrar valoración, diligencia debida y apoyo a la ejecución | conciliación, precisión en las excepciones, revisión especializada y prueba de continuidad | aprobar los casos de uso definidos para transacciones |
| Meses 10-12 | validar el valor y el funcionamiento de los controles independientes | cuadro de mando de valor, hallazgos de auditoría, remediación y revisión sénior | escalar, limitar o retirar cada flujo de trabajo |
El calendario depende del tamaño de la firma, la regulación, la arquitectura y el apetito de riesgo.
19. Utilizar la auditoría, los incidentes y las excepciones para mejorar el sistema
Los controles deben generar evidencia de que funcionan. La auditoría puede comprobar si se aplica la clasificación de datos, si los permisos coinciden con los asuntos, si las fuentes siguen siendo trazables, si los modelos están aprobados, si se identifican los revisores y si los registros finales contienen las aprobaciones requeridas. El muestreo debe incluir trabajo normal y excepciones de alto riesgo.
La monitorización debe detectar cambios en la salida del modelo, la calidad de la recuperación, la gravedad de los errores, el comportamiento de los usuarios, el movimiento de datos y la configuración de proveedores. Una tasa de aceptación creciente puede significar una mejora de la calidad o un menor cuestionamiento por parte de los revisores. La monitorización debe combinar señales cuantitativas con la revisión de los productos de trabajo completados.
Los incidentes y los casi incidentes son insumos de aprendizaje. El registro debe recoger el evento, los datos y asuntos afectados, la detección, la contención, la causa, la consecuencia, la notificación, la remediación y el cambio de control. Las personas deben poder comunicar inquietudes sin incentivos para ocultar retrocesos en la productividad.
Un comité de excepciones o una autoridad equivalente puede revisar desviaciones urgentes de la política. Debe registrar el motivo, el alcance, los controles compensatorios, la fecha de expiración y el responsable. Las soluciones alternativas permanentes no deben acumularse mediante excepciones temporales repetidas.
Tabla 5. Matriz de pruebas y respuestas de controles
| Ámbito de control | Prueba | Señal de fallo | Respuesta requerida |
|---|---|---|---|
| Límite de datos | intentar la recuperación restringida entre asuntos y clases | resultado no autorizado o exportación no autorizada | contener el acceso, evaluar la exposición y corregir la aplicación de las políticas |
| Trazabilidad de la evidencia | reconstruir las afirmaciones muestreadas a partir del libro mayor | fuente, localizador, transformación o revisor ausentes | suspender el uso afectado y subsanar los registros |
| Rendimiento del modelo | volver a ejecutar el benchmark y el conjunto de documentos difíciles | deterioro material de la precisión o la consistencia | congelar la versión, investigar y revalidar |
| Aprobación humana | inspeccionar los resultados de impacto y la autoridad | aprobación ausente, tardía o meramente formal | escalar, reentrenar y rediseñar el punto de control |
| Valor | comparar la tarea completada con la línea base | revisar si el coste, el error o el coste del proveedor superan el beneficio | restringir, rediseñar o retirar el flujo de trabajo |
| Continuidad | ejecutar un simulacro de pérdida de proveedor e incidentes | el trabajo crítico no puede continuar o los registros son inaccesibles | implementar una ruta alternativa y volver a probar |
La frecuencia de las pruebas y el escalado se rigen por la materialidad y las obligaciones aplicables.
20. Preservar el criterio profesional mientras se incrementa la capacidad de operaciones
La banca de inversión nativa de AI resulta creíble cuando la firma puede explicar cómo se produjo un resultado, qué evidencia lo respalda, quién lo revisó y quién autorizó la acción resultante. El sistema debe hacer que el trabajo profesional sea más reproducible sin tratar el juicio profesional como un resultado del modelo.
Los cinco registros de este documento conforman una única arquitectura operativa. El mapa de flujo de trabajo define el proceso de la operación y los traspasos. La arquitectura de control de datos limita el movimiento de información y el acceso a los modelos. El registro de evidencia preserva la procedencia de las fuentes y las transformaciones. Las puertas de aprobación humana mantienen la rendición de cuentas en las decisiones trascendentales. El cuadro de mando de valor comprueba si el flujo de trabajo genera un beneficio medible tras el esfuerzo de revisión y control.
La arquitectura puede respaldar la originación, la valoración, la diligencia debida y la ejecución en distintas jurisdicciones y tipos de operaciones. Sus controles siguen siendo proporcionales al trabajo. La recuperación de fuentes públicas puede avanzar con rapidez. El asesoramiento confidencial sobre valoración y la autoridad para las operaciones exigen evidencia más profunda, revisión especializada y aprobación de altos cargos.
La firma debe comenzar con casos de uso acotados, probarlos en trabajo real, conservar la evidencia de excepciones y escalar solo cuando los controles estén operativos. Debe medir los resultados completados y los resultados para el cliente, en lugar del volumen generado. La capacidad de los proveedores seguirá cambiando, mientras que los objetivos de control de confidencialidad, trazabilidad, rendición de cuentas, reproducibilidad e interés del cliente permanecen duraderos.
Un sistema bien gobernado puede permitir que los equipos de operaciones examinen más evidencia, identifiquen excepciones antes, mantengan registros de operaciones más claros y dediquen más tiempo profesional al juicio, la negociación y las decisiones del cliente. El valor económico surge cuando esas mejoras se verifican en mandatos completados y resultados obtenidos.
Referencias
- Instituto Nacional de Estándares y Tecnología, «Marco de gestión de riesgos de inteligencia artificial (AI RMF 1.0)», enero de 2023. https://www.nist.gov/itl/ai-risk-management-framework
- Instituto Nacional de Estándares y Tecnología, «Marco de gestión de riesgos de inteligencia artificial: perfil de inteligencia artificial generativa», NIST AI 600-1, julio de 2024. https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
- Gobierno de los Emiratos Árabes Unidos, «Decreto-ley federal n.º 45 de 2021 relativo a la protección de datos personales». https://www.uaelegislation.gov.ae/en/legislations/1972/download
- Oficina del Comisionado de Información, «¿Cuáles son las implicaciones de rendición de cuentas y gobernanza de AI?». https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/what-are-the-accountability-and-governance-implications-of-ai/
- Comisión de Bolsa y Valores de los Estados Unidos, «Interfaces de programación de aplicaciones EDGAR». https://www.sec.gov/search-filings/edgar-application-programming-interfaces
- Fundación IFRS, «IFRS 13 Medición del valor razonable». https://www.ifrs.org/issued-standards/list-of-standards/ifrs-13-fair-value-measurement/
- Autoridad Reguladora de la Industria Financiera, «GenAI: tendencias continuas y emergentes», Informe anual de supervisión regulatoria de 2026. https://www.finra.org/rules-guidance/guidance/reports/2026-finra-annual-regulatory-oversight-report/gen-ai
- Comisión de Bolsa y Valores de los Estados Unidos, «Regulación S-P: privacidad de la información financiera del consumidor y salvaguarda de la información del cliente», mayo de 2024. https://www.sec.gov/rules-regulations/2024/06/s7-05-23
- Comisión de Bolsa y Valores de los Estados Unidos, «El presidente Gary Gensler sobre el lavado de AI», 18 de marzo de 2024. https://www.sec.gov/newsroom/speeches-statements/sec-chair-gary-gensler-ai-washing
- Autoridad Europea de Valores y Mercados, «Declaración pública sobre el uso de la inteligencia artificial en la prestación de servicios de inversión minorista», 30 de mayo de 2024. https://www.esma.europa.eu/document/public-statement-ai-and-investment-services
- Unión Europea, «Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas sobre inteligencia artificial», 13 de junio de 2024. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32024R1689
- Autoridad Reguladora de la Industria Financiera, «Regla 3110: supervisión». https://www.finra.org/rules-guidance/rulebooks/finra-rules/3110
- Autoridad Reguladora de la Industria Financiera, «Regla 4511: Requisitos generales». https://www.finra.org/rules-guidance/rulebooks/finra-rules/4511
- Autoridad de Conducta Financiera, «AI y la FCA: nuestro enfoque», actualizado el 13 de febrero de 2026. https://www.fca.org.uk/firms/innovation/ai-approach
- Organización Internacional de Comisiones de Valores, «Inteligencia artificial en los mercados de capitales: casos de uso, riesgos y desafíos», CR/01/2025. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD788.pdf
- Banco de Pagos Internacionales, «Sistema financiero inteligente: cómo AI está transformando las finanzas», Documento de trabajo núm. 1194, 13 de junio de 2024. https://www.bis.org/publ/work1194.htm
- Banco de Pagos Internacionales, «Implicaciones para la estabilidad financiera de la inteligencia artificial: resumen ejecutivo», 26 de junio de 2025. https://www.bis.org/publications/fsi-summary-financial-stability-implications-artificial-intelligence-executive-summary
- Organización Internacional de Normalización, «ISO/IEC 42001:2023: sistemas de gestión de AI». https://www.iso.org/standard/42001
- Autoridad de Servicios Financieros de Dubái, «UAE autoridades reguladoras emiten conjuntamente Directrices para las instituciones financieras que adoptan tecnologías habilitadoras», 15 de noviembre de 2021. https://www.dfsa.ae/news/uae-regulatory-authorities-jointly-issue-guidelines-financial-institutions-adopting-enabling-technologies
- Departamento de Justicia de los Estados Unidos y Comisión Federal de Comercio, «Directrices sobre fusiones de 2023», 18 de diciembre de 2023. https://www.justice.gov/atr/2023-merger-guidelines
