La IA en cumplimiento se acerca cada vez más a la toma de decisiones

La IA está acercándose a la toma de decisiones de cumplimiento, y la mayoría de los programas no tienen forma de demostrar quién la tomó.

S-RM, una consultora de inteligencia corporativa y ciberseguridad, encuestó a 225 profesionales de cumplimiento, adquisiciones, gestión de proveedores y administración de riesgos de terceros. Publicó los resultados en su informe de 2026, From Screening to Decision-Making: The Next Phase of AI in Compliance. El titular no es tanto el aumento en la adopción como el cambio en el objetivo de la IA.

Hoy, el uso se concentra en el filtrado. El uso planeado se orienta hacia la diligencia. El filtrado detecta una señal y la diligencia decide qué significa esa señal, que es una tarea diferente con un perfil de responsabilidad distinto.

Para un CISO o un responsable de cumplimiento, ese cambio modifica la pregunta. La velocidad deja de ser la prueba. La prueba pasa a ser si puedes reconstruir, para un auditor o regulador, lo que la herramienta detectó, lo que concluyó una persona y qué datos circularon entre ambos. El intercambio seguro de datos de Kiteworks se sitúa en el último eslabón de esa cadena: el movimiento gobernado de documentos y el acceso gobernado que los asistentes de IA tienen a ellos, y este artículo cubre de dónde debe salir la evidencia. Un aviso antes de los números: S-RM vende su propio producto de diligencia basado en IA, y todas las cifras aquí son autodeclaradas por 225 encuestados, así que léelas como tendencias.

Conclusiones clave

1. La adopción generalizada oculta una escala limitada.

La encuesta de S-RM de 2026 encontró que el 68% de los encuestados ha implementado IA en cumplimiento, pero solo el 20% informa una implementación extensa en múltiples procesos.

2. La próxima ola está junto al juicio humano.

El uso planeado de IA pasa del filtrado de medios adversos y sanciones hacia la debida diligencia de terceros, la debida diligencia de clientes y la diligencia mejorada, donde una persona debe decidir qué significa un hallazgo.

3. Los humanos siguen siendo responsables, así que su trabajo debe registrarse.

Solo el 12% de los encuestados espera que la IA realice la mayoría de la diligencia con supervisión humana limitada, lo que hace que el desafío y la aprobación del analista sean la evidencia que vale la pena conservar.

4. La confianza supera a la madurez.

Una encuesta independiente de Schellman encontró que el 74% dice que podría superar una auditoría de cumplimiento de IA, mientras que solo el 27% considera que su gobernanza está completamente madura, y esa brecha es de donde surgen los hallazgos de auditoría.

5. La defendibilidad es un problema de datos.

Un registro de decisiones solo es tan bueno como la trazabilidad detrás de los documentos, el acceso de la IA y las acciones del revisor, y esa trazabilidad debe estar en un solo lugar auditable, no repartida entre bandejas de entrada, unidades compartidas y paneles de proveedores.

La implementación es generalizada y la escala es la excepción

S-RM halló que el 68% de los encuestados ha implementado IA de manera selectiva o extensa en sus procesos de cumplimiento, mientras que el otro 32% aún realiza pilotos o pruebas de concepto. Solo el 20% informa una implementación extensa en múltiples procesos. Eso deja al 48% en el medio, con IA funcionando en procesos seleccionados.

Seleccionados está haciendo mucho trabajo en esa frase.

Llámenlo el espejismo de la implementación. Desde lejos, dos tercios de los equipos de cumplimiento parecen operar con IA. De cerca, solo uno de cada cinco la usa en más de un proceso, y el resto tiene IA asociada a las actividades de filtrado establecidas que dominan el uso actual.

Esa distinción importa más para la evidencia que para la tecnología. Un proceso completamente manual produce un archivo escrito por una persona. Uno totalmente automatizado, si llega a existir, produce un registro generado por una máquina. Un híbrido produce ambos, en sistemas distintos, con una transferencia en el medio que nadie documentó. Los programas que usan IA en procesos seleccionados son híbridos, y la transferencia es donde se pierde el registro.

Imagina una consulta regulatoria sobre una decisión de diligencia. El analista recuerda lo que pasó. El resultado de la herramienta está en un panel. El correo que unió ambos está en la bandeja de entrada de alguien, y el dueño de esa bandeja ya cambió de puesto. Nada se ocultó. Tampoco se ensambló nada.

El presupuesto avanza más rápido que los controles

Casi cuatro de cada cinco organizaciones esperan aumentar la inversión en tecnología de cumplimiento y diligencia habilitada por IA en los próximos dos años, según S-RM. Su Figura 2 desglosa esto en un 22% que espera un aumento significativo y un 56% que espera uno moderado, frente a un 18% que no espera cambios y un 4% que espera una disminución moderada. Se prevé que el gasto anual promedio crezca alrededor de un 24%.

El dinero está en camino. La pregunta es qué compra.

Las herramientas obtienen una partida presupuestaria porque tienen un proveedor y una demo. El registro de decisiones rara vez tiene alguno, y nada en los hallazgos presupuestarios de S-RM sugiere que parte de ese 24% esté destinado a ello. Un equipo puede duplicar su gasto en IA para diligencia y seguir sin poder responder la primera pregunta de un auditor: cómo se llegó a una conclusión y quién la tomó.

El mismo patrón aparece en los programas de gobernanza de datos IA en general. El gasto sigue a la capacidad, y la gobernanza va con uno o dos ciclos de presupuesto de retraso. Un control rezagado tiene una debilidad: la auditoría no espera por él.

Dónde se usa la IA hoy y hacia dónde va

La Tabla 1 de S-RM es el gráfico más útil del informe porque muestra la dirección de avance. El uso actual se concentra en el filtrado establecido. El uso planeado apunta a otro lado.

Lee la columna de la derecha. Debida diligencia de terceros, debida diligencia de clientes, diligencia mejorada, investigaciones y gestión de casos. Cada elemento de esa lista es un lugar donde una persona debe valorar la evidencia y decidir.

S-RM lo explica claramente. El filtrado está diseñado para identificar señales de riesgo potencial, mientras que la diligencia y los flujos de trabajo investigativos más amplios requieren que los equipos evalúen la relevancia y credibilidad de esas señales, establezcan contexto, determinen su importancia y decidan qué acción tomar. Luego viene la frase clave: «La IA, por tanto, se está acercando al punto en el que se toman los juicios de cumplimiento, aunque no los tome por sí misma».

Vuelve a leerlo. Más cerca del juicio. No tomando el juicio.

La brecha entre esas dos frases es donde está la responsabilidad, y se va acortando cada trimestre que mejoran las herramientas. Piensa en un resumen de IA que califica la estructura de propiedad de un tercero como de baja preocupación. No decide nada. Un revisor que acepta esa calificación en segundos, como un elemento más en una larga cola, sí decide algo. Si el registro solo muestra la calificación y la aprobación, un auditor no puede distinguir esos dos eventos, y tú tampoco.

La regulación impulsa la diligencia más allá de la coincidencia

S-RM vincula el cambio en parte a un entorno regulatorio cambiante. Señala el Reglamento de Trabajo Forzoso de la UE y la Directiva de Diligencia Debida en Sostenibilidad Corporativa, que según indica entrarán en vigor en los próximos tres años. Estoy transmitiendo el enfoque de S-RM y no ofrezco interpretación legal de ninguno, ni he verificado sus fechas de aplicación en los textos originales. Tu equipo legal es quien debe interpretar qué exige cada uno y cuándo.

Lo que S-RM extrae es práctico. Identificar una coincidencia de sanciones, una persona políticamente expuesta o un resultado adverso en medios puede que ya no sea suficiente. Una diligencia efectiva puede requerir una visión más amplia sobre la propiedad, actividades, presencia geográfica y relaciones comerciales de una entidad, junto con el contexto y la credibilidad de la información encontrada.

Ahora ponle número. Las organizaciones en la investigación de S-RM monitorean un promedio de 2,837 terceros.

Pocos equipos pueden realizar diligencia mejorada sobre 2,837 relaciones manualmente, y S-RM lo reconoce, señalando que la IA tiene un papel en cerrar la brecha con lo que tradicionalmente era una diligencia mejorada manual e intensiva en recursos humanos. El escrutinio por tercero aumenta, el número de terceros no disminuye y la automatización es la forma obvia de equilibrar ambos.

Por eso la administración de riesgos de terceros es el primer lugar donde los líderes de cumplimiento deben esperar que la IA toque una decisión y no solo un filtrado. También por eso los programas de gestión de riesgos de la cadena de suministro tendrán que mostrar su trabajo, no solo sus conclusiones, a medida que las expectativas de cumplimiento normativo sobre relaciones upstream se endurecen.

El 58% dice que las herramientas tienen problemas con el contexto

La ambición tiene un techo y los encuestados lo ven. Más de la mitad, el 58%, dijo a S-RM que las soluciones de diligencia basada en IA tienen dificultades para evaluar el contexto, la credibilidad o la relevancia de la información.

Los obstáculos para la adopción total merecen atención, porque ninguno tiene que ver con el modelo. El 54% citó información fragmentada en fuentes online. El 46% mencionó datos subyacentes de mala calidad o inconsistentes. El 40% señaló el acceso limitado a fuentes cerradas o privadas. Todos son quejas sobre la información que la IA debe analizar.

Eso convierte esto en un problema de gobernanza de datos tanto como de tecnología. Una conclusión de diligencia basada en insumos fragmentados, inconsistentes o incompletos solo es defendible si puedes decir qué insumos se usaron. ¿Qué fuentes consultó la herramienta? ¿Cuáles no estaban disponibles? ¿Cuáles añadió el analista manualmente cuando la herramienta no fue suficiente?

S-RM traza una línea clara entre encontrar información y determinar su significado. La IA puede encargarse de la investigación inicial y de alto volumen. La experiencia humana es clave cuando la evidencia es incompleta, contradictoria o difícil de verificar, y los analistas interrogan hallazgos ambiguos, evalúan la fiabilidad de las fuentes, buscan corroboración y deciden si la información cambia la evaluación de riesgos.

Cada uno de esos verbos debe dejar huella. Un analista que busca corroboración y la encuentra ha generado evidencia. Uno que la busca, no la encuentra y rebaja un hallazgo ha producido algo aún más valioso: una razón documentada. Si ese razonamiento vive en un chat o en la cabeza de alguien, no existe para un auditor.

La visión a cinco años es liderada por humanos, con matices

S-RM preguntó hacia dónde va la diligencia basada en IA en los próximos cinco años, y las respuestas no se alinean con ningún extremo. Solo el 12% cree que la IA realizará la mayoría de las actividades de diligencia con supervisión humana limitada a medida que mejoren la calidad y cobertura de los datos. El 48% espera que la IA realice muchas actividades, mientras los expertos humanos siguen siendo esenciales para decisiones complejas, juicios y casos de alto riesgo. El 33% espera que la IA acelere principalmente la investigación y recopilación de información, mientras las personas siguen liderando la mayoría del trabajo. El 7% prevé que la IA se limite al filtrado y apoyo en la investigación porque la calidad y disponibilidad de los datos restringirán su uso más amplio.

Suma las dos respuestas intermedias y el 81% espera que las personas sigan siendo esenciales o liderando. Ese cálculo es mío, no de S-RM.

Bloquear la IA implica dedicar tiempo del analista a la recuperación de información, el trabajo que S-RM dice que la IA hace bien, mientras el universo de terceros sigue creciendo. Darle el control total implica heredar un proceso de decisión que nadie puede explicar, en una categoría donde los propios encuestados de S-RM dicen que las herramientas tienen problemas con el contexto. Ningún extremo resiste una auditoría. La conclusión de S-RM recae en la variable que sí lo hace: las organizaciones deben aplicar el nivel adecuado de garantía humana al riesgo de la decisión y producir resultados que puedan entenderse, confiarse y defenderse.

Fíjate en lo que exige esa frase. La garantía humana proporcional al riesgo es una cuestión de política. Los resultados defendibles son una cuestión de evidencia. La mayoría de los programas ha respondido la primera y ha omitido la segunda.

El fallo que hay que nombrar es el teatro de supervisión. Parece que hay un humano en el proceso. En realidad, es un revisor aprobando un resumen de IA sin registro de lo que examinó, cuestionó o cambió. El control existe en el organigrama y no en el expediente. Cuando se cuestiona el hallazgo, el humano resulta ser solo una casilla marcada, y la organización ha pagado tanto la herramienta como el revisor sin poder demostrar que alguno hizo algo.

La confianza en la gobernanza supera a la madurez de la gobernanza

S-RM no es la única encuesta que encuentra organizaciones que creen estar más avanzadas de lo que muestran sus programas. El informe 2026 State of AI Governance de Schellman encuestó a 525 profesionales estadounidenses en empresas con más de 500 empleados y al menos 100 millones de dólares de ingresos. Encontró que el 74% dice que su organización podría superar una auditoría de cumplimiento de IA hoy, mientras solo el 27% describe su gobernanza de IA como completamente madura, es decir, plenamente operativa y monitoreada de forma continua. Schellman vende evaluaciones y certificaciones de gobernanza de IA, y la muestra es solo de EE. UU., no ponderada y autodeclarada.

Ambos números pueden ser ciertos solo si la auditoría se imagina y no se agenda.

La confianza es barata hasta que alguien pide el expediente. La distancia entre el 74% y el 27% es la distancia entre creer que tu programa de GRC cubre IA y poder presentar los artefactos que lo demuestran. Los equipos que viven en esa brecha suelen descubrirla durante una auditoría, el momento más costoso para hacerlo.

En el lado de terceros específicamente, la misma encuesta de Schellman halló que solo el 36% dijo que sus juntas o líderes habían discutido formalmente el riesgo de IA de terceros o proveedores. Esto importa porque los encuestados de S-RM incluyen a quienes gestionan esas relaciones. Si la junta no discute el riesgo, el equipo de diligencia lo asume solo, con herramientas que la junta no ha revisado.

Otra perspectiva viene del lado de la seguridad. El informe State of Cybersecurity 2026 de ISACA se basa en 1,888 miembros y titulares de credenciales de ISACA encuestados en el segundo trimestre de 2026. Encontró que solo el 9% tiene un programa formal maduro para el riesgo de IA de terceros, con políticas, evaluaciones y monitoreo específicos de IA, mientras otro 17% depende de procesos generales de riesgo de terceros. Esa muestra está sesgada hacia profesionales de seguridad y no es una selección aleatoria de empresas, así que tómalo como tendencia.

El 17% que reutiliza el proceso antiguo es el dato silencioso. Un cuestionario diseñado para evaluar el firewall de un proveedor no pregunta cómo la IA de ese proveedor califica a tus contrapartes, y un ciclo de revisión basado en informes SOC anuales no captura un modelo que cambia cada trimestre.

Servicios financieros muestra cómo se ve la IA operativa

S-RM desglosa a sus encuestados de servicios financieros como una muestra de hacia dónde pueden ir otros sectores. El informe no da el tamaño de la submuestra, así que toma esta sección como tendencia.

Casi un tercio de los encuestados de servicios financieros, el 32%, informa implementación extensa de IA en múltiples procesos de cumplimiento, frente al 20% de la muestra general. Otro 49% ha implementado IA en procesos seleccionados, lo que significa que el 81% de los encuestados de servicios financieros usa IA de forma operativa.

Su uso actual es familiar y algo más profundo. El filtrado de medios adversos está en el 51%, la debida diligencia de clientes y KYC en el 48%, el filtrado de sanciones y PEP en el 48%, y el monitoreo de transacciones en el 41%. La próxima frontera coincide con la muestra total: la debida diligencia de terceros, donde el 59% de los encuestados de servicios financieros planea introducir IA en 12 meses frente al 48% de la muestra general.

Para un líder de cumplimiento en otro sector, la lección es clara. El grupo que parece más avanzado en la encuesta no está retrocediendo en el trabajo de juicio asistido por IA. Se está moviendo hacia más. Sea cual sea tu industria, la pregunta de cómo evidenciarás la diligencia asistida por IA llegará en el calendario de los líderes, no de los rezagados.

Una buena práctica de cumplimiento de datos aquí comienza construyendo el expediente de diligencia como si un examinador lo fuera a pedir, desde el primer documento recibido, en vez de armarlo cuando llega la carta de consulta.

La brecha de defendibilidad es el verdadero riesgo

Junta los hallazgos y surge una sola brecha: la brecha de defendibilidad. Es la distancia entre las decisiones que la IA ayudó a tomar y tu capacidad de mostrar, bajo demanda, cómo se llegó a cada una.

S-RM nunca usa ese término, pero su conclusión apunta directamente a él. Las organizaciones que más se beneficien, dice, no serán necesariamente las que busquen la automatización total. Serán las que integren la IA en los flujos de trabajo, apliquen el nivel adecuado de garantía humana y produzcan resultados que puedan entenderse, confiarse y defenderse.

Entenderse, confiarse, defenderse. Un proveedor puede ofrecerte uno de esos como función. Los otros dos dependen de tus registros.

Un expediente de diligencia defendible debe responder cinco preguntas sin depender de la memoria de nadie. ¿Qué insumos usó el proceso? ¿Qué dijo la salida de la IA? ¿Quién lo revisó y qué examinó? ¿Qué cambió, aceptó o escaló? ¿Y qué pasó con los documentos mientras todo eso ocurría?

Las dos primeras suelen estar en la plataforma de diligencia. La tercera y cuarta pueden estar en tickets, hojas de cálculo o correos. La quinta es la que nadie controla. Documentos de propiedad, cuestionarios y certificaciones viajan entre terceros y analistas externos por cualquier canal conveniente, y la trazabilidad de auditoría de esos intercambios está dispersa en herramientas que nunca se diseñaron para producirla.

Aquí está el punto clave. Si tu evidencia está repartida en varios sistemas, reunirla lleva semanas y el reloj del regulador corre en días. Una trazabilidad de auditoría que existe pero no puede producirse rápido, en una vista coherente, no es evidencia de calidad. Es materia prima.

La brecha de evidencia no es falta de tecnología. Es una decisión de arquitectura que nadie tomó, porque estos procesos surgieron antes de que alguien pidiera a la IA sentarse junto al juicio humano.

Dónde encaja Kiteworks en un flujo de trabajo de diligencia defendible

Seamos precisos sobre lo que cualquier plataforma puede y no puede hacer aquí. Kiteworks no toma una decisión de diligencia y no puede decirte si un resumen de IA sobre un tercero es correcto. Gobierna los datos que circulan alrededor de esas decisiones y registra quién los manipuló.

La diligencia se basa en documentos que viajan. Registros de propiedad, cuestionarios, certificaciones e informes de analistas se mueven entre tu equipo, los terceros bajo revisión y especialistas externos. El intercambio seguro de datos de Kiteworks gobierna ese movimiento a través de correo electrónico seguro, uso compartido seguro de archivos, SFTP, transferencia de archivos gestionada y formularios de datos seguros, bajo un solo motor de políticas y un registro de auditoría consolidado. Para el CCO, ese registro único convierte la quinta pregunta anterior, qué pasó con los documentos, de un ejercicio de reconstrucción en un informe.

Los asistentes de IA agregan un segundo camino al mismo contenido. El Kiteworks Secure MCP Server permite que asistentes de IA como Claude y Copilot trabajen con contenido almacenado en Kiteworks. Cada operación se evalúa según las políticas de acceso basadas en roles y atributos que gobiernan a la persona que usa el asistente, y cada una se escribe en el mismo registro de auditoría que recoge la otra actividad de esa persona. Personas y asistentes de IA quedan bajo una sola política y una sola trazabilidad, que es el modelo adecuado cuando la persona sigue siendo responsable de la conclusión. Kiteworks Compliant AI describe cómo funciona ese acceso gobernado en el límite entre tus datos y tus herramientas de IA.

El enfoque sigue el principio de intercambio de datos de confianza cero. Una solicitud que un asistente realiza a través de Secure MCP Server se autentica, se autoriza según la política y se registra, sin confianza implícita en la herramienta de IA. Para un equipo de diligencia, el registro de quién accedió a qué archivo de terceros, cuándo y por qué canal proviene del sistema y no de la reconstrucción de un analista.

Los límites deben quedar claros. Una capa de datos gobernada no captura el razonamiento del analista ni reemplaza el registro de decisión. Aún necesitas la justificación del revisor. Lo que elimina es la discusión sobre si los documentos se gestionaron y accedieron según la política.

Qué hacer el lunes por la mañana

Deja de preguntar si tu herramienta de diligencia de IA es lo suficientemente precisa. Esta es la pregunta que importa: si un auditor te pidiera mañana reproducir una decisión de terceros del último trimestre, ¿podrías hacerlo?

Haz esa prueba con un solo expediente esta semana y corrige lo que falle. Cuatro pasos te llevan casi todo el camino.

Mapea los puntos de decisión. Enumera cada paso de tu proceso de diligencia de terceros donde la IA interviene, luego marca cuáles generan un hallazgo y cuáles un juicio. Los datos de S-RM indican que tu próxima ola de uso de IA se concentra en los segundos. Prioriza cada paso según el impacto de un error.

Define umbrales de revisión antes de que la herramienta lo haga por ti. La garantía humana debe escalar con el riesgo de la decisión. Escribe qué resultados puede aceptar un revisor, cuáles requieren corroboración de una segunda fuente y cuáles deben escalarse a una persona designada. Luego detalla lo que el revisor debe registrar cada vez.

Crea un registro de decisión que sobreviva a la rotación de personal. Para cada resultado de diligencia, captura los insumos usados, la salida de la IA, el revisor, lo que cambió o cuestionó y la justificación de la decisión final. Si completarlo lleva más de unos minutos por expediente, simplifica la plantilla hasta que la gente la use.

Pon la trazabilidad de datos en un solo lugar. Decide dónde se intercambian los documentos de diligencia y dónde pueden acceder los asistentes de IA, luego confirma que tus registros de auditoría cubren ambos. Si no lo hacen, has encontrado la brecha antes que el auditor.

Lleva la misma prueba a tus proveedores. Pide a cualquier proveedor de diligencia de IA, incluidos los que venden las herramientas que compran los encuestados de S-RM, que te muestren cómo pueden reproducir un resultado pasado y qué registro conservan de las fuentes utilizadas.

Para saber más sobre cómo construir una trazabilidad de evidencia defendible para la diligencia de terceros asistida por IA, agenda una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog
  Estrategias Zero‑Trust para una protección de privacidad de IA asequible
• Artículo del Blog
  Cómo el 77% de las organizaciones está fallando en la seguridad de datos de IA
• eBook
  Brecha de gobernanza de IA: Por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025
• Artículo del Blog
  No existe «–dangerously-skip-permissions» para tus datos
• Artículo del Blog
  Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.