La inteligencia artificial puede transformar la forma en que se realizan las auditorías y supervisiones, pero el resultado no debe quedar en manos de una máquina. Esa fue una de las principales advertencias de Juan Daniel Pujols, director de Supervisión de Tecnología y Ciberseguridad de la Superintendencia de Bancos (SB), durante el XXIX Congreso Internacional de Finanzas y Auditoría (CIFA) y el XXIV Seminario Latinoamericano de Contadores y Auditores (Selatca), en Boca Chica.
“La IA no sustituye el juicio profesional. Al contrario, lo exige más que nunca”, afirmó Pujols al explicar el uso de agentes de inteligencia artificial en auditoría, gestión de riesgos y supervisión. A su juicio, aunque estas herramientas pueden analizar información, buscar evidencia, contrastarla con normas y proponer hallazgos, la decisión definitiva debe permanecer en manos de un profesional.
El funcionario señaló que la adopción de inteligencia artificial en la banca está avanzando con rapidez. Según una encuesta realizada el año pasado, más de 40% de las entidades bancarias utilizaba IA al menos en un proceso de negocio. Este año, la proporción ya superaba el 75%, de acuerdo con los datos presentados durante su exposición.
Una de las principales diferencias entre una automatización tradicional y un agente de IA, explicó, es que la primera sigue una secuencia previamente definida, mientras el segundo recibe un objetivo y puede decidir cómo alcanzarlo mediante distintas herramientas. Puede analizar documentos, cruzar información, realizar cálculos y continuar el proceso hasta obtener un resultado o solicitar intervención humana cuando encuentre una decisión que no pueda resolver.
Para la auditoría, esto abre la posibilidad de pasar de revisiones basadas en muestras hacia análisis de una proporción mucho mayor de la documentación disponible. Pujols explicó que los agentes también pueden redactar papeles de trabajo, siempre que el auditor revise el resultado y pueda identificar la evidencia utilizada. Además, planteó un modelo de monitoreo continuo, en lugar de controles que se realizan únicamente de forma anual.
Durante la demostración presentada en el CIFA-Selatca, un agente fue utilizado para revisar notas de auditoría frente al Reglamento de Seguridad Cibernética y de la Información de la Junta Monetaria.
El sistema identificó como posibles hallazgos la ausencia de un acta de aprobación del programa de ciberseguridad y deficiencias en el inventario de activos de información. Luego vinculó los resultados con la normativa correspondiente y propuso una redacción para el informe.
Pujols también mostró cómo un agente puede analizar documentos de evidencia y asignarlos a requerimientos específicos de una auditoría. En el ejercicio, una política de respaldos fue evaluada y el sistema generó una calificación, señaló un nivel de cumplimiento parcial y explicó las razones de su conclusión, además de identificar la base normativa utilizada.
Sin embargo, el uso de estas herramientas también introduce nuevos riesgos. Pujols advirtió sobre la posibilidad de que la IA genere información inexistente o referencias que no puedan comprobarse, por lo que recomendó evaluar, probar, mejorar y repetir antes de desplegar un agente.
“El veredicto siempre es un humano. El agente te va a proponer y el profesional es que va a disponer. Nada se cierra solo”, sostuvo.
Otro de los riesgos señalados está relacionado con la información confidencial. El funcionario recomendó utilizar modelos locales o servicios empresariales que garanticen la confidencialidad cuando se procesen datos sensibles de una institución, en lugar de introducirlos indiscriminadamente en herramientas de IA de uso general.
