DORA, el EU AI Act y NIS2 han convertido el procesamiento manual de documentos en un pasivo de cumplimiento

Durante veinte años, el procesamiento manual de documentos en las instituciones financieras fue un problema de coste. Desde 2024 es un problema de cumplimiento, y los problemas de cumplimiento tienen otro presupuesto. Tres textos europeos son los responsables: el Reglamento de Resiliencia Operativa Digital, aplicable desde enero de 2025; la directiva NIS2, que los Estados miembros debían transponer antes de octubre de 2024; y el EU AI Act, en vigor desde agosto de 2024 y cuyas obligaciones se aplican progresivamente a lo largo de 2026 y 2027.

Qué tienen en común los tres textos

Regulan cosas distintas, resiliencia TIC, ciberseguridad e inteligencia artificial, pero exigen el mismo tipo de evidencia: la prueba de que la institución conoce y controla lo que ocurre con sus datos, sus proveedores externos y sus decisiones automatizadas.

• DORA exige un registro de proveedores externos de servicios TIC, control contractual sobre ellos y la capacidad de demostrar la resiliencia operativa bajo prueba.
• NIS2 extiende la gobernanza de la seguridad al nivel directivo, con responsabilidad personal y obligaciones de notificación en plazos ajustados.
• El AI Act exige clasificación del riesgo, documentación, supervisión humana, registro y transparencia para los sistemas de IA usados en decisiones de crédito, seguros y empleo.

Leídos en conjunto, significan que todo proceso que toque datos de clientes, decisiones de crédito o reporting supervisor debe poder responder: quién hizo qué, sobre qué datos, con qué herramienta y dónde está el registro.

Por qué el procesamiento manual no supera la prueba

Un equipo de analistas reintroduciendo valores de PDF en un sistema central no produce evidencia alguna. No hay registro de la página de la que procede un valor, ni puntuación de confianza, ni forma de demostrar que se aplicó la misma regla a cada expediente. Los controles aleatorios encuentran errores a posteriori; las auditorías reconstruyen las decisiones de memoria. Esto era aceptable cuando la cuestión regulatoria era el coste. No lo es cuando la cuestión regulatoria es el control.

La paradoja es que las herramientas de IA genéricas tampoco lo resuelven. Un copiloto que produce una respuesta a partir de un prompt de chat es tan poco trazable como el analista, con el problema añadido de que los datos pueden haber salido del perímetro de la institución para llegar hasta ahí.

La respuesta agéntica

Los agentes que se ejecutan sobre un sistema operativo gobernado producen evidencias de cumplimiento como subproducto del propio trabajo.

• Cada valor extraído lleva una fuente: el documento, la página y la región de la que procede.
• Cada decisión se registra con la regla, la versión del modelo y la confianza que la produjeron.
• El ámbito de conocimiento está acotado: un agente responde solo a partir de los documentos y normativas que se le han dado, de modo que la respuesta es determinista y repetible.
• La revisión humana se inserta donde está el riesgo, y la acción del revisor pasa a formar parte del registro.
• Toda la pila, modelos incluidos, puede ejecutarse on-premise o en una nube privada de la UE, de modo que el registro de terceros se mantiene corto y los datos nunca salen.

En producción: un asistente normativo para 20.000 empleados

Uno de los mayores grupos bancarios italianos utiliza un agente de cumplimiento normativo usado por 20.000 empleados. Ingiere la normativa interna del grupo y el corpus normativo externo, los modela como una ontología y responde a las preguntas en lenguaje natural con la cláusula exacta como evidencia. También produce análisis de impacto de las nuevas normativas, hace seguimiento de las modificaciones y redacta normas internas con una estructura coherente. Los responsables de cumplimiento miden una resolución más rápida de las consultas; los auditores obtienen gratis la traza que necesitan.

Una lista de comprobación para los próximos doce meses

1. Inventaría los procesos en los que los documentos guían las decisiones: onboarding, crédito, siniestros, garantías, reporting supervisor.
2. Para cada uno, pregúntate si podrías reconstruir cualquier decisión del último trimestre con fuentes y reglas. Si no, ese proceso es un pasivo.
3. Prefiere herramientas cuyos resultados sean estructurados, registrados y vinculados a las fuentes frente a herramientas que producen prosa.
4. Mantén los modelos y los datos dentro de tu perímetro donde la regulación lo exija; conviértelo en un criterio de compra, no en una ocurrencia tardía.
5. Pon la revisión humana donde vive el riesgo, y regístrala.