1. Definir qué se permite hacer a la máquina
La idoneidad asistida por AI debe comenzar con un caso de uso preciso. Un gestor de relaciones puede utilizar tecnología para recuperar los objetivos declarados por el cliente, consolidar posiciones, extraer las condiciones del producto, comparar restricciones documentadas, poner de manifiesto incoherencias o redactar una explicación en lenguaje sencillo. Cada tarea conlleva un riesgo distinto. La recuperación puede devolver el documento equivocado. La extracción puede omitir una condición. La comparación puede aplicar la regla incorrecta. La generación puede crear una afirmación verosímil sin fuente.
La firma debe indicar si el sistema informa, recomienda, decide o comunica. Debe identificar el usuario, la población de clientes, los productos, los datos, el modelo, las interfaces, los resultados y los usos prohibidos. Una herramienta aprobada para resumir investigación interna no debería utilizarse automáticamente para recomendar un producto estructurado complejo. No debe suponerse que un modelo validado para documentos en inglés tendrá el mismo desempeño en otro idioma.
La idoneidad sigue siendo un proceso profesional de extremo a extremo. El gestor de relaciones debe comprender las circunstancias y los objetivos del cliente, el producto y sus riesgos, el motivo de la combinación propuesta y la calidad de la evidencia de respaldo. La tecnología puede complementar ese trabajo. No puede convertir hechos incompletos en una recomendación fiable.
El límite operativo debe expresarse mediante acciones permitidas, aprobaciones requeridas y condiciones de parada. La falta de documentos de origen, la información desactualizada del cliente, los objetivos en conflicto, una divulgación de riesgos no disponible o un producto fuera del catálogo aprobado deben detener el avance automatizado. Un control que solo muestra una advertencia mientras permite completar el proceso puede ser ineficaz cuando el personal se enfrenta a presión de tiempo.
Marco del autor. Cada capa conserva su evidencia, responsable y estado de la decisión.
Tabla 1. Registro mínimo de evidencia de idoneidad
| Clase de evidencia | Contenido requerido | Campo de estado | Pregunta del revisor |
|---|---|---|---|
| cliente | objetivos, horizonte, capacidad, conocimientos, experiencia, liquidez, restricciones y preferencias | verificado, declarado por el cliente, calculado, desactualizado o ausente | ¿Qué hechos respaldan el resultado propuesto? |
| cartera | posiciones, exposiciones, concentraciones, flujos de efectivo, restricciones fiscales o legales cuando proceda | vigente, conciliado o excepción | ¿Cómo modifica la recomendación la exposición total? |
| producto | condiciones, riesgos, costes, liquidez, escenarios, mercado objetivo y conflictos | aprobado, vigente, sustituido o restringido | ¿Qué documento autoritativo respalda cada atributo? |
| política | regla de idoneidad, regla de gobernanza de productos, autoridad delegada y divulgación obligatoria | aplicable, condicional o no resuelto | ¿Qué regla permite, restringe o impide la acción? |
| máquina | modelo, versión, prompt, conjunto de entrada, fuentes de recuperación, salida e indicador de confianza | aceptado, cuestionado, anulado o rechazado | ¿Qué aportó la tecnología y dónde puede fallar? |
| humano | análisis, alternativas consideradas, juicio, anulación, aprobación y comunicación | borrador, aprobado, escalado o rechazado | ¿Podría el aprobador explicar y defender el resultado? |
La estructura del registro debe adaptarse al marco legal y de conducta aplicable.
2. Trate la explicabilidad como reconstrucción de la evidencia
La expresión caja negra puede referirse a varios problemas diferentes. Un modelo puede ser matemáticamente complejo. Un proveedor puede proteger su propiedad intelectual. Un gestor de relaciones puede recibir una clasificación sin citas de fuentes. Un revisor de cumplimiento puede ver la respuesta final pero carecer de las entradas y de la ruta de decisión. La gobernanza debe identificar la opacidad real y abordar su efecto.
Para la idoneidad, la explicabilidad práctica significa que un revisor cualificado puede reconstruir por qué se consideró un producto, por qué se excluyeron alternativas, qué hechos del cliente fueron relevantes, qué atributos del producto fueron relevantes, qué produjo el sistema, qué cambió el humano y qué se comunicó. Esta reconstrucción no requiere la divulgación pública de los pesos del modelo. Requiere evidencia relevante para la decisión.
El registro debe conservar la identidad de la fuente, la fecha de vigencia, la versión, la hora de extracción y la transformación. Si un asistente AI declara que un producto tiene liquidez mensual, el expediente de recomendación debe enlazar al documento aprobado y a la disposición que respaldan esa afirmación. Si estima la exposición de la cartera, el registro debe conservar las posiciones, los precios, el método y la marca temporal. Si interpreta un objetivo del cliente en texto libre, el RM debe confirmar la interpretación.
Las explicaciones deben adaptarse al público. El cliente necesita razones claras, riesgos, costes y alternativas. El gestor de relaciones necesita evidencia accionable e incertidumbre. Cumplimiento necesita trazabilidad y aplicación de reglas. El personal de riesgo de modelos necesita datos, pruebas y análisis de fallos. La alta dirección necesita tendencias de resultados, incidentes y controles.
3. Construya el linaje de evidencia desde la fuente hasta la comunicación
El linaje de evidencia rastrea la información desde el origen hasta la recomendación y la comunicación final. Debe identificar registros de clientes, documentos de productos, cálculos, políticas, llamadas al modelo, pasajes recuperados, ediciones y aprobaciones. Un identificador estable para cada elemento permite a la firma reproducir el registro después de que cambien los documentos de origen o los modelos.
Los controles de linaje deben abordar la vigencia. Las circunstancias del cliente pueden cambiar. Los términos del producto, los costes, la liquidez y las clasificaciones de riesgo pueden modificarse. Las opiniones de inversión y las condiciones de mercado pueden cambiar. El proceso debe definir cuán actual debe ser cada clase de evidencia y qué ocurre cuando una fuente queda fuera de esa ventana.
El linaje también debe preservar la ausencia y el conflicto. La ausencia de una necesidad de liquidez debe permanecer visible. Las respuestas contradictorias del cliente no deben ser resueltas silenciosamente por un modelo. El RM debe buscar aclaración, registrar la resolución o detener la recomendación. La información desconocida es un hecho relevante para la decisión.
El sistema debe separar el contenido de origen del contenido generado. Los pasajes recuperados, los campos calculados y la narrativa redactada pueden mostrarse de forma diferente. Una afirmación sin una fuente atribuible debe marcarse para verificación o eliminarse antes de la comunicación.
Marco del autor. El paquete de evidencia conserva los registros de origen, transformación, decisión y comunicación.
4. Anteponga las obligaciones de idoneidad al diseño del modelo
Los enfoques oficiales varían según el mercado. La FCA aplica marcos existentes, incluidos el Consumer Duty y la responsabilidad de la alta dirección, al uso de AI. La ESMA ha declarado que las empresas que utilicen AI en servicios de inversión deben seguir cumpliendo las obligaciones de MiFID II y ha destacado los riesgos de sesgo, toma de decisiones opaca, dependencia excesiva, privacidad y seguridad. La SFC de Hong Kong identifica las recomendaciones de inversión, el asesoramiento y la investigación producidos por modelos de lenguaje generativos de AI como usos de alto riesgo que requieren controles adicionales.
FINRA recuerda a las empresas miembros que las normas de valores neutrales en cuanto a la tecnología siguen aplicándose a la AI generativa. La revisión de ASIC de las entidades licenciatarias de servicios financieros identificó el riesgo de que la gobernanza vaya por detrás de la adopción, incluidas lagunas en materia de equidad, sesgo y sistemas de terceros. El informe de la IOSCO sobre AI y aprendizaje automático aborda la gobernanza, las pruebas, la calidad de los datos, la externalización, la divulgación y la supervisión humana para los intermediarios de mercado y los gestores de activos.
El Marco Modelo de Gobernanza de AI de Singapur ofrece una referencia de diseño voluntaria e intersectorial basada en la explicabilidad, la transparencia, la equidad y la toma de decisiones centrada en las personas. Los materiales de la DFSA y las comunicaciones supervisoras actuales aportan evidencia sobre gobernanza, rendición de cuentas, supervisión y explicabilidad dentro de los servicios financieros. Cada fuente tiene su propio estatus legal y alcance.
Una empresa debe identificar los requisitos exactos aplicables a su entidad, licencia, servicio, cliente y producto. Las disciplinas comunes de diseño pueden respaldar un modelo de control de grupo. El análisis legal local debe determinar las pruebas de idoneidad, las divulgaciones, las aprobaciones, los registros, las reclamaciones, la protección de datos y las notificaciones supervisoras.
Tabla 2. Evidencia internacional de diseño para la idoneidad asistida por AI
| Mercado | Material oficial | Implicación de diseño | Límite importante |
|---|---|---|---|
| Reino Unido | Enfoque de la FCA sobre AI y materiales sobre el Consumer Duty | preservar los resultados en materia de necesidades del cliente, valor, comprensión y apoyo; mantener la responsabilidad de la alta dirección | las normas existentes se aplican según el alcance de la empresa, el servicio y el producto |
| Unión Europea | Declaración de la ESMA sobre AI en los servicios de inversión | controlar el sesgo, los resultados opacos, la dependencia excesiva, la privacidad y la seguridad, al tiempo que se cumplen las obligaciones de MiFID II | El Reglamento de AI de la UE y las normas sectoriales requieren un análisis de aplicabilidad independiente |
| Hong Kong | Circular de la SFC sobre modelos de lenguaje generativos de AI | clasificar el asesoramiento y las recomendaciones como de alto riesgo; aplicar gobernanza del ciclo de vida y salvaguardias adicionales | la circular se aplica a las sociedades autorizadas dentro del ámbito indicado |
| Australia | Informe 798 de ASIC | alinear la gobernanza con la escala y complejidad de AI; abordar la equidad, el sesgo y el riesgo de terceros | las conclusiones reflejan las entidades autorizadas revisadas y las obligaciones existentes |
| Estados Unidos | Aviso regulatorio 24-09 de FINRA | el uso de tecnología no sustituye las obligaciones de supervisión, comunicaciones, registros y conducta | el aviso se dirige a las firmas miembros de FINRA y no crea nuevos requisitos |
| Singapur | Marco modelo de gobernanza de AI de la PDPC | definir funciones, participación humana, controles operativos y comunicación con las partes interesadas | voluntario e intersectorial; los requisitos sectoriales se mantienen separados |
| DIFC | Encuesta y materiales de supervisión de la DFSA sobre AI | establecer una rendición de cuentas clara, supervisión, uso ético de los datos y gestión de riesgos | las obligaciones exactas dependen del Reglamento de la DFSA y de la actividad autorizada |
| Internacional | Informe final de IOSCO AI y aprendizaje automático | rigen el desarrollo, las pruebas, la monitorización, los datos, los proveedores, la divulgación y la intervención humana | las recomendaciones operan a través de las jurisdicciones miembros |
Los materiales tienen efectos jurídicos distintos; las empresas deben confirmar la aplicabilidad vigente y las obligaciones locales.
5. Asignar los derechos de decisión a personas reales
La supervisión humana debe ser más que un clic. Quien aprueba necesita conocimientos, tiempo, pruebas y autoridad suficientes para cuestionar el resultado. El modelo operativo debe identificar qué decisiones corresponden al gestor de relaciones (RM), al responsable de producto, a cumplimiento, al comité de inversiones, al responsable del modelo, a la función tecnológica y a la alta dirección.
El gestor de relaciones (RM) debe ser responsable de la exactitud de la información del cliente recopilada, de la relevancia de los objetivos declarados, de la explicación de alternativas y de la justificación profesional de la recomendación. El responsable de producto debe ser responsable de la evidencia del producto aprobada, del mercado objetivo, de las restricciones y de los eventos del ciclo de vida. Cumplimiento debe ser responsable de la interpretación de normas, de la vigilancia y del diseño del escalado. El riesgo de modelo o una función de control suficientemente independiente debe ser responsable de los estándares de validación y de las limitaciones materiales.
La segregación es importante. El mismo equipo comercial no debería aprobar el caso de uso, seleccionar la evidencia de validación, evaluar el rendimiento y cerrar sus propias deficiencias sin un cuestionamiento independiente. Las entidades más pequeñas pueden aplicar la proporcionalidad mediante comités o especialistas externos, preservando decisiones sujetas a rendición de cuentas.
La autoridad delegada debe ser explícita. Una asignación de bajo riesgo y no compleja dentro de un mandato documentado puede seguir un flujo de trabajo estándar. Un producto concentrado, ilíquido, apalancado o novedoso puede requerir aprobación adicional de producto y de cumplimiento. Una limitación material del sistema puede requerir la suspensión temporal de la función AI.
Tabla 3. Matriz de derechos de decisión
| Decisión | Propone | Cuestiona | Aprueba | Evidencia requerida |
|---|---|---|---|---|
| aprobar un caso de uso de idoneidad de AI | responsable del negocio y del modelo | cumplimiento normativo, riesgo, seguridad de la información y protección de datos | ejecutivo responsable o comité | alcance del caso de uso, evaluación de riesgos, validación y controles operativos |
| añadir un producto al catálogo habilitado por AI | propietario del producto | inversión, cumplimiento normativo y operaciones | comité de productos | condiciones actuales, mercado objetivo, riesgos, costes, liquidez y mapeo de datos |
| realizar una recomendación a un cliente | gestor de relaciones | controles del flujo de trabajo y segunda línea de defensa cuando se active | gestor de relaciones autorizado o aprobador delegado | registro completo de evidencia, alternativas y justificación |
| anular una advertencia del sistema | gestor de relaciones | cumplimiento normativo o revisor designado | autoridad determinada por la gravedad | advertencia, motivo, evidencia, impacto en el cliente y aprobación |
| cambiar el modelo, el prompt o la fuente de recuperación | responsable del modelo o de la tecnología | validación, cumplimiento normativo y seguridad | autoridad de cambio | evaluación de impacto, pruebas de regresión, versión y reversión |
| suspender el sistema | responsable del incidente, cumplimiento normativo o responsable del modelo | responsable de negocio cuando el tiempo lo permita | autoridad de incidentes designada | umbral de incumplimiento, casos afectados, plan de contención y comunicación |
Los títulos son ilustrativos; las firmas deben asignar personas responsables designadas conforme a su marco de gobernanza.
6. Crear puntos de control humano significativos
Los puntos de control deben producirse antes de que una recomendación pase a estar de cara al cliente o sea ejecutable. Un primer punto de control puede comprobar si la evidencia del cliente está completa y actualizada. Un segundo puede confirmar que el producto está aprobado y que la evidencia está actualizada. Un tercero puede comprobar el encaje en la cartera, la concentración, la liquidez y los costes. Un cuarto puede exigir que un RM compare alternativas y deje constancia de su criterio. Un punto de control final puede confirmar la divulgación, la aprobación y la conservación de registros.
La automatización debe detenerse cuando falle una condición material. Entre los ejemplos se incluyen objetivos del cliente incoherentes, falta de información sobre la capacidad de asumir pérdidas, un documento de producto caducado, datos de costes no disponibles, un producto no aprobado, un incumplimiento de concentración, un resultado no respaldado o un incidente del sistema. El mensaje de parada debe explicar qué evidencia falta y quién puede resolverlo.
Una excepción debe ser poco frecuente, específica y revisable. Debe identificar la advertencia, el responsable de la decisión, la autoridad, la evidencia que la respalda, el impacto en el cliente y la caducidad. Las excepciones repetidas pueden indicar que una regla está mal calibrada, que el personal está eludiendo salvaguardas o que el proceso de producto es débil.
El muestreo posterior a la aprobación sigue siendo útil, en particular para los casos de menor riesgo que no reciben aprobación previa. Las muestras deben basarse en el riesgo e incluir productos nuevos, clientes vulnerables, cambios materiales, concentraciones elevadas, productos complejos, casos transfronterizos y RM con patrones inusuales.
Marco del autor. Un fallo material deriva el caso a aclaración, escalado o rechazo.
7. Validar el sistema completo de recomendaciones
La validación debe probar el proceso completo, no solo el modelo. El sistema incluye fuentes de datos, recuperación de documentos, reglas, cálculos, prompts, modelo, interfaz, decisiones humanas y registros posteriores. Un modelo técnicamente preciso puede aun así producir resultados no idóneos si los datos del cliente están desactualizados o si el flujo de trabajo omite la exposición total de la cartera.
El plan de validación debe abarcar el uso previsto, el uso prohibido, la calidad de los datos, la precisión de la recuperación, la exactitud de la extracción, la reproducibilidad de los cálculos, la estabilidad del modelo, las alucinaciones, el sesgo, la inyección de prompts, el acceso, la completitud de los registros, los factores humanos y el mecanismo de respaldo. Las pruebas deben incluir casos ordinarios, casos límite y entradas adversarias deliberadas.
Las medidas de rendimiento deben tener significado para la decisión. La precisión de la recuperación puede mostrar si el sistema encontró documentos aprobados. La exactitud de las citas puede mostrar si las afirmaciones están respaldadas por pasajes citados. Las tasas de falsos negativos pueden medir restricciones omitidas. Las tasas de excepciones pueden revelar fricción en el flujo de trabajo o controles débiles. Las pruebas de resultados pueden examinar si clientes en situaciones similares reciben un trato materialmente incoherente.
Los umbrales de aceptación son decisiones de la dirección basadas en las obligaciones, el daño y el apetito de riesgo. Un umbral adecuado para redactar un resumen de reunión puede ser inadecuado para una recomendación al cliente. Las limitaciones deben registrarse y traducirse en restricciones de uso, controles humanos o rechazo del caso de uso.
Tabla 4. Plan de validación y seguimiento
| Dominio de prueba | Prueba previa al uso | Evidencia de producción | Consecuencia de la decisión |
|---|---|---|---|
| datos del cliente | casos de completitud, vigencia, conciliación y conflicto | tasa de campos faltantes, registros obsoletos y correcciones manuales | detener el caso afectado o restringir la población elegible |
| evidencia del producto | recuperación de fuentes aprobadas, extracción de versiones y atributos | precisión de citas, documentos caducados y excepciones de producto | eliminar el producto o actualizar la evidencia |
| reglas de política | casos positivos, negativos y límite | disparadores de reglas, falsos negativos y patrones de anulación | corregir la regla, revisar de nuevo los casos o suspender el flujo de trabajo |
| resultado generativo | respaldo fáctico, consistencia, incertidumbre y afirmaciones prohibidas | tasa de afirmaciones no respaldadas, ediciones y reclamaciones | reforzar la recuperación, el prompt o la revisión humana |
| equidad y resultados | casos comparables, variables proxy y escenarios de clientes vulnerables | diferencias de resultados, rechazos, escalamientos y remediación | investigar la causa y modificar los datos, el proceso o el acceso |
| seguridad y resiliencia | acceso, inyección de prompt, fuga de datos, fallo del proveedor y contingencia | alertas, incidentes, tiempo de inactividad y pruebas de recuperación | contener, revocar el acceso, recurrir al mecanismo de contingencia o suspender |
Los umbrales deben aprobarse para el caso de uso específico; esta tabla define tipos de prueba, no referencias numéricas.
8. Gobernar los datos del cliente como evidencia de las recomendaciones
Los datos del cliente rara vez constituyen un único registro limpio. Los objetivos pueden expresarse en reuniones, cuestionarios, correos electrónicos e instrucciones de cartera. La tolerancia al riesgo puede recogerse mediante una puntuación, mientras que la capacidad de pérdida depende de los compromisos financieros y la liquidez. Los conocimientos y la experiencia pueden variar según los productos. Las entidades jurídicas, los fideicomisos y las estructuras familiares pueden implicar a varios responsables de la toma de decisiones.
El sistema debe conservar la fuente y el estado de cada hecho material. Una preferencia declarada por el cliente es distinta de un saldo de cuenta verificado. Una exposición calculada es distinta de un juicio del RM. Una respuesta ausente es distinta de una respuesta negativa. Estas distinciones deben mantenerse tras la ingesta en el modelo.
La interpretación de texto libre requiere confirmación. Si un cliente indica que el capital debe permanecer disponible para la compra de un inmueble, un sistema AI puede clasificarlo como una necesidad de liquidez. El RM debe confirmar el momento, el importe, la moneda y la certeza. El hecho registrado debe reflejar lo que el cliente confirmó.
La minimización de datos y los controles de acceso siguen siendo importantes. Un modelo solo debe recibir la información necesaria para la tarea aprobada. La información personal sensible no debe transferirse a una herramienta pública no aprobada. La conservación, la eliminación, la transferencia transfronteriza y los derechos del cliente deben evaluarse conforme al marco de datos aplicable.
9. Gestionar la evidencia de productos a lo largo de su ciclo de vida
El catálogo de productos cambia continuamente. Las condiciones pueden modificarse, las suscripciones suspenderse, aplicarse restricciones de liquidez, sustituirse los gestores y actualizarse las clasificaciones de riesgo. Los sistemas de idoneidad deben utilizar evidencia de producto aprobada, con una responsabilidad clara y fechas de vigencia.
El registro del producto debe cubrir el objetivo, la estrategia, los instrumentos, el apalancamiento, la liquidez, la valoración, las comisiones, los escenarios de rentabilidad, las características de pérdida, la divisa, el mercado objetivo, los conflictos, las restricciones de distribución y los documentos relevantes. Cada atributo material debe vincularse a una fuente autorizada. El texto de marketing no debe sustituir a los documentos legales y aprobados del producto.
Los eventos del producto deben activar acciones en el flujo de trabajo. Una redención suspendida debe modificar la evidencia de liquidez. Un cambio de gestor o de estrategia puede exigir una reevaluación. Una actualización de documentos debe invalidar los apartados reemplazados. El sistema debe identificar las recomendaciones o posiciones de clientes afectadas por cambios materiales.
Los productos complejos merecen controles más profundos. Las comparaciones generadas por modelos pueden ocultar la dependencia de la trayectoria, el riesgo de crédito del emisor, el apalancamiento, la terminación anticipada y las limitaciones de los escenarios. El RM debe comprender la estructura de pagos y explicar resultados adversos plausibles. Una puntuación estándar no debe sustituir ese análisis.
10. Comparar la recomendación con alternativas creíbles
La idoneidad se refuerza cuando el RM compara alternativas realistas. El conjunto debe incluir el mantenimiento de la cartera actual cuando proceda, opciones de menor coste o mayor liquidez, distintas vías de implementación y el producto propuesto. La comparación debe basarse en los objetivos del cliente y en su cartera total.
AI puede ayudar a identificar productos que cumplan filtros documentados. También puede reducir el conjunto de forma demasiado agresiva mediante supuestos implícitos o prioridades comerciales. Por lo tanto, la cobertura del catálogo, la lógica de clasificación, los conflictos y los productos excluidos deben ser visibles para el RM y el revisor.
Los costes deben considerarse de forma acumulativa y en contexto. Las comisiones del producto, los cargos de asesoramiento, los costes de transacción, los costes de financiación, los efectos del tipo de cambio y los costes de salida pueden alterar el resultado. La explicación de la recomendación debe describir el valor esperado de la opción seleccionada y las desventajas materiales frente a las alternativas.
Cuando la firma reciba comisiones de colocación, retrocesiones u otros beneficios, el conflicto debe abordarse conforme al marco aplicable. El modelo no debe optimizar los ingresos comerciales mientras presenta el resultado como impulsado por el cliente. La lógica de clasificación y las anulaciones deben supervisarse para este riesgo.
Tabla 5. Comparación hipotética cliente-producto
| Factor de decisión | Cartera diversificada actual | Fondo equilibrado con liquidez diaria | Asignación a mercados privados | Evidencia y pregunta del RM |
|---|---|---|---|---|
| objetivo declarado | crecimiento moderado a largo plazo | en gran medida alineado | potencialmente alineado con el objetivo de rentabilidad | ¿qué objetivo tiene prioridad y en qué horizonte? |
| liquidez | diariamente | diariamente | periodo de bloqueo plurianual con transferencia limitada | ¿qué necesidad de liquidez podría surgir antes de la salida? |
| capacidad de pérdida | capacidad moderada hipotética | dentro del rango asumido | la exposición a caídas y a llamadas de capital podría superar el nivel de comodidad | ¿está verificada la capacidad de pérdida y se evalúa a nivel de toda la cartera? |
| concentración | línea de base actual | cambio moderado | aumenta la concentración en activos ilíquidos y en gestores | ¿qué límite se aplica después de la transacción? |
| Coste | coste divulgado existente | medio hipotético | alto hipotético con elementos vinculados al rendimiento | ¿qué costes son ciertos, contingentes y comparables? |
| carga operativa | consolidado | suscripción estándar | llamadas de capital, complejidad fiscal y de reporting | ¿pueden el cliente y la firma soportar el ciclo de vida? |
| resultado ilustrativo | mantener | candidato a análisis | requiere una revisión reforzada | ¿qué evidencia cambiaría la decisión? |
Todos los valores y evaluaciones son supuestos hipotéticos de la dirección utilizados para demostrar la documentación; no se recomienda ningún producto.
11. Proporcione al gestor de relaciones una tarjeta de explicación
La interfaz debe ayudar al gestor de relaciones a razonar, no solo a aprobar. Una tarjeta de decisión puede mostrar el objetivo del cliente, los hechos críticos, la acción propuesta, las alternativas, las fuentes de respaldo, los riesgos materiales, los costes, la incertidumbre, los conflictos y las aprobaciones requeridas. Debe exponer la evidencia faltante y obsoleta.
La tarjeta debe distinguir el contenido producido por máquinas. Los pasajes recuperados pueden mostrarse con enlaces a las fuentes. Los cálculos pueden mostrar el método y las entradas. La narrativa generada puede ser editable y estar marcada de forma visible dentro del flujo de trabajo interno. La comunicación final al cliente debe contener únicamente contenido verificado y aprobado.
Una explicación debe ser lo suficientemente específica como para poder probarse. Afirmaciones como «adecuado para la diversificación» son débiles si no identifican la concentración actual, el cambio propuesto, el horizonte temporal, la liquidez y el riesgo. Un revisor debe poder entender cómo la recomendación responde al objetivo del cliente y dónde podría fallar.
La interfaz debe limitar el sesgo de automatización. El producto propuesto no debe ser visualmente dominante antes de que el gestor de relaciones revise la evidencia. Las alternativas y las condiciones de parada deben recibir una prominencia comparable. Los indicadores de confianza deben definirse y probarse; un tono pulido nunca debe tratarse como confianza.
Marco del autor. La tarjeta interna pone en primer plano la evidencia, la incertidumbre, las alternativas y la responsabilidad de la decisión.
12. Control de prompts, recuperación y cambios de modelo
Un sistema generativo puede cambiar aunque la interfaz de usuario parezca estable. El proveedor del modelo puede actualizar el servicio subyacente. La firma puede cambiar un prompt del sistema, el índice de recuperación, el analizador de documentos, la temperatura, la configuración de seguridad o una regla de posprocesamiento. Cada cambio material puede alterar el proceso de recomendación.
El inventario de cambios debe registrar el componente, el propietario, la versión, la fecha, la justificación, las pruebas, la aprobación y la reversión. Las pruebas de regresión deben incluir casos conocidos ordinarios, límite y de fallo. Un cambio en el analizador de documentos de productos debe probarse con tablas, notas al pie, páginas escaneadas y documentos modificados.
Los prompts son artefactos de control. Los prompts del sistema, las plantillas aprobadas y las instrucciones prohibidas deben tener versiones y control de acceso. Los prompts de usuario y las salidas del modelo deben conservarse cuando sea necesario y seguro. La inyección de prompts y el contenido malicioso en documentos deben incluirse en las pruebas de seguridad.
Las actualizaciones de modelos de terceros requieren monitorización contractual y técnica. La firma debe comprender los acuerdos de notificación, los registros del servicio, el uso de datos, la retención, los subprocesadores, la región, la seguridad, la resiliencia y la salida. Cuando un proveedor no revele los detalles del modelo, la firma aún puede probar el rendimiento observable, restringir las entradas y salidas, exigir evidencia y preservar la capacidad de respaldo.
13. Diseñar las anulaciones como señales de riesgo
Una anulación puede ser apropiada cuando una regla tiene una limitación documentada y una persona cualificada dispone de mejor evidencia. También puede ser una vía para eludir un control necesario. La gobernanza debe distinguir estos casos.
El registro de excepciones debe incluir la condición desencadenante, el resultado del sistema, la justificación humana, la evidencia, la autoridad, el efecto en el cliente y la caducidad. Las excepciones materiales deben recibir una revisión independiente antes de actuar. Las excepciones de menor riesgo pueden muestrearse después de la acción conforme a la política.
Los patrones importan más que los totales aislados. Una tasa elevada para un producto puede indicar datos deficientes del producto. Una tasa elevada para un gestor de relación puede indicar necesidades de formación o inquietudes de conducta. Las excepciones repetidas a una regla de liquidez pueden indicar presión comercial. Las excepciones que mejoran los resultados del cliente pueden revelar una limitación del modelo que debe corregirse.
Los informes de gestión deben vincular las excepciones con las decisiones. El responsable debe decidir si cambiar la regla, mejorar los datos, volver a formar al personal, restringir el producto, revisar de nuevo los casos de clientes o suspender el sistema. Cerrar el ticket sin probar el cambio deja el riesgo sin resolver.
14. Supervisar resultados, deriva y conducta
La monitorización en producción debe abarcar el rendimiento del sistema y los resultados para los clientes. Las medidas técnicas incluyen disponibilidad, latencia, recuperación, exactitud de las citas, errores del modelo y eventos de seguridad. Las medidas de proceso incluyen finalización, paradas, escalaciones, excepciones, tiempo de revisión y calidad de los registros. Las medidas de resultados incluyen concentración, coste, reclamaciones, cancelaciones, remediación y diferencias entre grupos de clientes.
La deriva puede surgir de las condiciones del mercado, cambios en los productos, comportamiento del cliente, fuentes de datos y actualizaciones del modelo. Una puntuación de precisión estable puede ocultar una composición cambiante de los casos. Por lo tanto, la monitorización debe segmentar por complejidad del producto, tipo de cliente, geografía, canal, gestor de relación y versión del modelo cuando resulte legal y operativamente apropiado.
La vigilancia de la conducta puede examinar si las recomendaciones se concentran en productos con mayor beneficio comercial, si se anulan las advertencias de riesgo, si los clientes vulnerables reciben resultados diferentes y si las explicaciones generadas omiten desventajas. Todo análisis de atributos protegidos o sensibles requiere una gobernanza legal y de privacidad adecuada.
Los umbrales deben activar acciones definidas. Una afirmación crítica no respaldada puede requerir contención inmediata. Una tasa creciente de excepciones puede requerir un muestreo reforzado. Un fallo en la documentación de un producto puede requerir retirar el producto del catálogo habilitado. Un impacto material en el cliente puede requerir identificación de casos, comunicación y remediación.
Marco del autor. Los valores son supuestos de gestión hipotéticos creados para demostrar un diseño de panel.
15. Preparación para incidentes y remediación de clientes
Un incidente de AI puede implicar asesoramiento no respaldado, datos incorrectos del producto, trato sesgado, fuga de datos, acceso no autorizado, fallo del proveedor o registros faltantes. El plan de respuesta debe conectar la contención tecnológica con las decisiones sobre clientes y las decisiones regulatorias.
El responsable del incidente debe identificar las versiones del modelo afectadas, fechas, usuarios, clientes, productos y resultados. La trazabilidad conservada lo hace posible. La firma debe detener o restringir el caso de uso, proteger la evidencia, aplicar procedimientos de contingencia y decidir si las recomendaciones pasadas requieren revisión.
La gravedad debe reflejar el daño real y potencial al cliente, el incumplimiento regulatorio, la sensibilidad de los datos, el volumen y la duración. Las obligaciones de notificación dependen de la jurisdicción y de los hechos. Los equipos jurídico, de cumplimiento, de protección de datos, de seguridad de la información, de negocio y de comunicación necesitan autoridad definida y vías de escalación.
La remediación debe abordar los casos individuales y la causa sistémica. Los clientes afectados pueden requerir corrección, explicación, acción sobre la cartera, ajuste de comisiones o compensación según las obligaciones y circunstancias aplicables. La respuesta subyacente puede requerir corrección de datos, cambio de modelo, rediseño de reglas, revisión más rigurosa, acción con el proveedor o retirada del caso de uso.
16. Gestionar AI de terceros como parte del proceso regulado
La diligencia debida de proveedores debe examinar el servicio, el modelo, los datos, la seguridad, la resiliencia, el proceso de cambio, la evidencia de auditoría, los subencargados y los derechos contractuales. La profundidad debe reflejar si el proveedor recupera información, clasifica productos, crea contenido de asesoramiento o participa en una decisión del cliente.
La firma debe entender cómo se utilizan los datos de los clientes y de la firma. Debe determinar si los prompts o los resultados entrenan los modelos del proveedor, dónde se procesan los datos, durante cuánto tiempo se conservan, quién puede acceder a ellos y cómo funciona la eliminación. La redacción sobre confidencialidad debe estar alineada con la configuración técnica.
La supervisión operativa debe incluir disponibilidad, rendimiento, incidentes, cambios materiales y recuperación. Un plan de salida debe conservar los prompts, los registros, la evidencia de productos, las decisiones de los clientes y un proceso manual o alternativo viable. La portabilidad es importante porque el registro de la recomendación puede tener una vigencia superior a la del contrato tecnológico.
La rendición de cuentas debe seguir siendo clara. Un proveedor puede suministrar un modelo y aun así carecer del contexto del cliente y de la responsabilidad regulada necesarios para aprobar una recomendación. La firma de gestión patrimonial debe conservar la gobernanza y la evidencia necesarias para sus propias obligaciones.
17. Formar a los gestores de relaciones para que cuestionen el sistema
La formación debe abordar el caso de uso aprobado, la evidencia, las limitaciones, el uso prohibido, la comunicación con el cliente, las anulaciones manuales, los incidentes y la alternativa de respaldo. Debe utilizar ejemplos realistas en los que el sistema sea correcto, incompleto y esté equivocado con seguridad.
Los gestores de relaciones deben ser capaces de identificar afirmaciones no respaldadas, condiciones de producto desactualizadas, datos del cliente incoherentes, supuestos ocultos y efectos en la cartera. Deben entender que la fluidez no es evidencia. Un modelo que ofrece una explicación clara puede seguir basándose en una fuente incorrecta.
La evaluación de competencias debe incluir decisiones observadas. Una breve prueba de conocimientos puede establecer el nivel de comprensión. El trabajo con escenarios puede mostrar si el gestor de relaciones cuestiona la herramienta, busca los datos que faltan, compara alternativas y documenta la justificación. Los errores repetidos deben dar lugar a coaching específico, acceso restringido o una nueva evaluación.
Los responsables deben supervisar la carga de trabajo. La revisión humana pierde valor si las colas de aprobación son demasiado grandes, la evidencia es difícil de consultar o los tiempos comerciales desincentivan el cuestionamiento. La capacidad es una condición de control.
18. Implementar el marco en 180 días
La implementación debe comenzar con un inventario de los usos existentes y previstos de AI. Debe incluirse el uso en la sombra mediante herramientas públicas. Cada caso de uso debe tener un responsable de negocio, una clasificación de riesgo, un mapa de datos, un proveedor, un estado de aprobación y una restricción operativa.
Un piloto acotado debe utilizar una población definida de clientes y productos. Debe probar la cadena de evidencia, las puertas de control, la interfaz del gestor de relaciones, el registro, la monitorización y la alternativa de respaldo. Los resultados del piloto deben incluir los casos fallidos y el comportamiento del personal, no solo la productividad.
El escalado debe seguir a una capacidad verificada. La cobertura de productos puede ampliarse una vez que la gobernanza de las fuentes sea estable. La cobertura de clientes puede ampliarse después de probar los casos límite y los riesgos de equidad. Los nuevos idiomas y mercados requieren su propia evidencia y análisis jurídico.
El consejo o el comité delegado debería recibir una decisión sobre el estado operativo al final del programa. El paquete debería describir los usos aprobados, las limitaciones, los resultados de validación, los incidentes, los riesgos no resueltos, las salvaguardas para clientes, la rendición de cuentas y la próxima revisión.
Tabla 6. Hoja de ruta de implementación de 180 días
| Periodo | Trabajo principal | Resultado requerido | Hito de aprobación |
|---|---|---|---|
| días 1 a 30 | inventario, perímetro legal, titularidad y clasificación de casos de uso | AI registro, usos prohibidos, responsables asignados y línea base de evidencia | aprobar el alcance y el piloto |
| días 31 a 60 | diseño de cliente, producto, política y linaje | mapa de fuentes, reglas de frescura, puertas de control y especificación de registros | aprobar el estándar de evidencia |
| días 61 a 90 | pruebas de validación, seguridad y factores humanos | resultados de las pruebas, limitaciones, mecanismos de respaldo y remediación | permitir, restringir o rechazar el uso piloto |
| días 91 a 120 | piloto controlado y revisión reforzada de casos | resultado, anulación, incidente y evidencia del usuario | decidir la expansión de productos y clientes |
| días 121 a 150 | controles del proveedor, monitorización y formación | contratos, cuadro de mando, registros de competencia y plan de respuesta | aceptar el riesgo residual y los límites operativos |
| días 151 a 180 | cuestionamiento independiente y revisión del estado operativo | paquete de aseguramiento, acciones abiertas y ciclo continuo de pruebas | aprobar el estado de producción o una restricción adicional |
La temporalización es un marco de secuenciación ilustrativo y debe adaptarse al tamaño de la firma, al riesgo y a la capacidad existente.
19. Hacer que los informes al consejo sean útiles para la toma de decisiones
La alta dirección necesita una visión del uso, la exposición, el desempeño y el riesgo no resuelto. El informe debe mostrar casos de uso activos, clientes y productos afectados, cambios materiales, estado de validación, limitaciones, desempeño de los controles, anulaciones, incidentes, reclamaciones, remediación y dependencias de proveedores.
Las métricas deben estar vinculadas a umbrales y acciones. Una tasa de respaldo de citas tiene valor cuando la dirección sabe qué fallos afectan las decisiones de los clientes y qué respuesta se deriva. El recuento de anulaciones tiene valor cuando se segmenta por motivo, producto, RM y resultado.
El consejo debe ver el perímetro operativo. El paquete debe identificar qué funciones están habilitadas, cuáles están prohibidas, qué poblaciones están excluidas y qué mecanismo de respaldo manual existe. Las decisiones de ampliación deben indicar la evidencia requerida antes de la aprobación.
El aseguramiento debe incluir cuestionamiento independiente. La monitorización del cumplimiento, la auditoría interna, la validación de modelos, las pruebas de seguridad y la revisión externa pueden aportar cada una evidencia diferente. Los hallazgos deben tener responsables con rendición de cuentas, plazos y pruebas de cierre.
Marco del autor. Los informes vinculan la exposición y la evidencia de control con decisiones explícitas de la dirección.
20. Convertir el asesoramiento de confianza en la propuesta comercial
Los clientes pueden beneficiarse de una preparación más rápida, una evidencia más coherente y comparaciones más claras. La confianza depende de cómo la firma gobierna la recomendación. El gestor de relaciones debe poder explicar qué información se utilizó, qué aportó la tecnología, qué juicio emitió el gestor de relaciones y qué limitaciones persisten.
La firma debe describir con precisión el uso de AI. Las afirmaciones amplias de objetividad o de automatización sin errores son inapropiadas. La comunicación con el cliente debe centrarse en el servicio, las salvaguardas, las limitaciones significativas y la vía para formular preguntas o solicitar correcciones. Los requisitos de divulgación dependen del marco aplicable y de los hechos.
Un proceso de idoneidad controlado puede favorecer el escalado. La evidencia sobre productos y clientes se vuelve reutilizable, las decisiones se vuelven revisables y las debilidades recurrentes se vuelven visibles. Los datos operativos pueden informar la gobernanza de productos, la formación, el diseño del servicio y el apoyo al cliente.
El valor comercial proviene de un asesoramiento responsable. El cliente debe recibir una recomendación basada en evidencia actual, el contexto del conjunto de la cartera, alternativas creíbles y el juicio humano. AI puede ayudar a reunir y probar ese registro. El personal de la firma sigue siendo responsable de la decisión profesional.
Conclusión
La idoneidad asistida por AI debe diseñarse como un sistema de evidencia y decisiones. Los datos del cliente, los datos de la cartera, la evidencia de producto, las políticas, las transformaciones realizadas por la máquina, el juicio humano y la comunicación con el cliente deben permanecer diferenciados y trazables.
La explicabilidad práctica permite que un revisor cualificado reconstruya la recomendación sin necesidad de acceder a los pesos propietarios del modelo. El registro identifica fuentes, versiones, cálculos, contribuciones del modelo, alternativas, anulaciones, aprobaciones y redacción final. La evidencia faltante y contradictoria permanece visible.
Los materiales oficiales internacionales utilizan vías legales diferentes. Respaldan de forma reiterada la gobernanza, la rendición de cuentas, la participación humana adecuada, la calidad de los datos, las pruebas, el seguimiento, la supervisión de proveedores, la conservación de registros y la protección del cliente. Una firma de gestión de patrimonios puede trasladar esas disciplinas a un modelo operativo común mientras completa el análisis legal específico de la jurisdicción.
La pregunta rectora es directa: ¿pueden el gestor de relaciones y la firma demostrar, a partir de la evidencia actual, por qué la recomendación responde a las circunstancias y objetivos documentados de este cliente, cómo contribuyó la tecnología, qué alternativas se consideraron, qué riesgos y costes se explicaron y qué persona cualificada asumió la responsabilidad? Una respuesta completa convierte a AI de una herramienta de productividad opaca en un componente controlado del asesoramiento profesional.
Referencias
- Financial Conduct Authority del Reino Unido, Nuestro enfoque sobre AI, https://www.fca.org.uk/firms/innovation/ai-approach
- Financial Conduct Authority del Reino Unido, AI en los servicios financieros: nuestro enfoque, 8 de junio de 2026, https://www.fca.org.uk/news/blogs/ai-financial-services-approach
- Financial Conduct Authority del Reino Unido, Acerca del Deber del Consumidor, https://www.fca.org.uk/firms/consumer-duty/about
- Financial Conduct Authority del Reino Unido, PS22/9: Un nuevo Deber del Consumidor, https://www.fca.org.uk/publications/policy-statements/ps22-9-new-consumer-duty
- Autoridad de Conducta Financiera del Reino Unido, Revisión Mills sobre AI en los servicios financieros minoristas, 6 de julio de 2026, https://www.fca.org.uk/news/press-releases/fca-publishes-landmark-review-impact-ai-retail-financial-services
- Autoridad Europea de Valores y Mercados, Declaración pública sobre el uso de la inteligencia artificial en la prestación de servicios de inversión minorista, 30 de mayo de 2024, https://www.esma.europa.eu/sites/default/files/2024-05/ESMA35-335435667-5924__Public_Statement_on_AI_and_investment_services.pdf
- Comisión de Valores y Futuros de Hong Kong, Circular a las sociedades autorizadas sobre el uso de modelos de lenguaje de AI generativa, 12 de noviembre de 2024, https://apps.sfc.hk/edistributionWeb/api/circular/list-content/circular/intermediaries/supervision/doc?lang=EN&refNo=24EC55
- Comisión de Valores y Futuros de Hong Kong y otros reguladores de Hong Kong, Circular conjunta sobre la ampliación del sandbox de inteligencia artificial generativa, 5 de marzo de 2026, https://apps.sfc.hk/edistributionWeb/gateway/EN/circular/intermediaries/supervision/doc?refNo=26EC11
- Comisión Australiana de Valores e Inversiones, Informe 798: Cuidado con la brecha, 29 de octubre de 2024, https://asic.gov.au/regulatory-resources/find-a-document/reports/rep-798-beware-the-gap-governance-arrangements-in-the-face-of-ai-innovation/
- Comisión Australiana de Valores e Inversiones, Revise sus mecanismos de gobernanza y gestión de riesgos de inteligencia artificial, abril de 2025, https://asic.gov.au/about-asic/corporate-publications/newsletters/market-integrity-update/miu-issue-166-april-2025/
- Autoridad Reguladora de la Industria Financiera, Aviso regulatorio 24-09: Obligaciones regulatorias al utilizar AI generativa y modelos de lenguaje de gran tamaño, 27 de junio de 2024, https://www.finra.org/rules-guidance/notices/24-09
- Autoridad de Servicios Financieros de Dubái, Encuesta sobre Inteligencia Artificial 2025, https://www.dfsa.ae/news/new-dfsa-ai-survey-generative-ai-adoption-has-nearly-tripled-within-difc-last-12-months-governance-continues-develop
- Autoridad de Servicios Financieros de Dubái, Riesgo cibernético y de inteligencia artificial en los servicios financieros, 30 de junio de 2025, https://www.dfsa.ae/news/new-dfsa-report-explores-regulatory-insights-cybersecurity-artificial-intelligence-and-quantum-risks
- Comisión de Protección de Datos Personales de Singapur, Marco modelo de gobernanza de la inteligencia artificial, segunda edición, https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/resource-for-organisation/ai/sgmodelaigovframework2.pdf
- Comisión de Protección de Datos Personales de Singapur, Enfoque de Singapur sobre la gobernanza de AI, https://www.pdpc.gov.sg/Help-and-Resources/2020/01/Model-AI-Governance-Framework
- Organización Internacional de Comisiones de Valores, El uso de la inteligencia artificial y el aprendizaje automático por los intermediarios de mercado y los gestores de activos, septiembre de 2021, https://www.iosco.org/library/pubdocs/pdf/IOSCOPD684.pdf
Sobre el autor
Chennakeshav Adya es un investigador independiente y socio gerente de Matchpoint Partners. Su trabajo examina la estrategia, la formación de capital, la valoración, las transacciones y la ejecución operativa en los mercados privados y públicos.
