MetaComp presentó un marco privado para gobernar agentes de IA en servicios financieros. Analizamos qué propone, qué deja abierto y qué puede hacer hoy un oficial de cumplimiento en Latinoamérica y el Caribe mientras no exista una norma.
Hasta hace poco, la pregunta de cumplimiento era quién está detrás de una cuenta. Con los agentes de IA aparece otra: quién está detrás de una decisión que no tomó una persona. Un agente que inicia un pago, prioriza alertas o completa un expediente de cliente actúa en nombre de la entidad, pero no encaja en los controles pensados para empleados ni en los pensados para sistemas tradicionales.
En ese contexto, la empresa singapurense MetaComp presentó el 21 de abril de 2026 su marco StableX "Know Your Agent" (KYA). Conviene leerlo con atención y también con distancia: es un documento publicado por una entidad privada, no una norma ni un estándar aprobado por un regulador, y la afirmación de que es el primero de su tipo en el mundo es de la propia empresa.
Qué propone el marco, en cuatro ideas
Según la nota de prensa de MetaComp, el marco se apoya en cuatro pilares:
- Identidad y registro del agente. Cada agente queda vinculado a una persona o institución verificada y se inscribe en un registro resistente a manipulaciones.
- Autoridad y permisos. Se define qué puede consultar, decidir y ejecutar cada agente, y las acciones por encima de ciertos umbrales requieren la aprobación de una persona.
- Monitoreo del comportamiento y del riesgo. La actividad del agente se vigila de forma continua y su perfil de riesgo se actualiza según lo que hace y cómo lo hace.
- Gobierno de la interacción entre agentes. Propone extender la lógica de la Travel Rule del GAFI a las operaciones entre agentes, con intercambio de identidad e información de la transacción y un registro de auditoría de principio a fin.
La empresa añade que el marco está abierto a otras instituciones y reguladores, y que no lo presenta como una respuesta terminada.
Por qué importa ahora
Los agentes de IA ya no se limitan a responder preguntas: algunos inician pagos, consultan bases de datos y proponen decisiones sobre clientes. La responsable de cumplimiento del grupo Alpha Ladder lo resumió así en la presentación: "los marcos de cumplimiento actuales se diseñaron para un mundo en el que las personas inician las transacciones" (traducción propia).
Eso abre una brecha concreta. Las políticas de conocimiento del cliente, segregación de funciones y registro de operaciones suponen un responsable humano identificable. Cuando el que actúa es un agente, hay que poder responder quién lo autorizó, con qué límites y cómo se reconstruye lo que hizo.
Los reguladores empiezan a moverse, aunque con guías y no con obligaciones. En enero de 2026, la autoridad digital de Singapur (IMDA) publicó un marco modelo de gobierno para IA agéntica que pide acotar la autonomía de los agentes, fijar puntos de aprobación humana y aplicar controles técnicos durante todo su ciclo de vida. En paralelo, la Travel Rule sigue en plena implementación: en junio de 2025, el GAFI informó que 99 jurisdicciones habían aprobado o estaban aprobando legislación para aplicarla. Si la regla aún no está asentada entre personas, su extensión a agentes es, por ahora, una propuesta.
Lista práctica para su entidad
Con o sin un marco externo, un oficial de cumplimiento puede empezar por lo siguiente:
- Inventario. Liste todos los agentes y automatizaciones con IA que operan en la entidad, incluidos los que vienen dentro de herramientas de proveedores: qué hacen, sobre qué datos y en qué procesos.
- Responsable por agente. Asigne a cada uno un dueño de negocio y un responsable técnico con nombre y cargo, igual que haría con un usuario privilegiado.
- Permisos mínimos. Documente qué puede leer, proponer y ejecutar cada agente, con límites por monto, tipo de operación y cliente.
- Registro de acciones. Exija bitácoras completas e inalterables de lo que hace el agente, con fecha, datos usados y resultado, conservadas el mismo plazo que el resto de la documentación de prevención.
- Escalamiento a una persona. Defina cuándo una decisión debe pasar a revisión humana: alertas de alto riesgo, operaciones inusuales, coincidencias en listas de sanciones y cualquier reporte de operación sospechosa.
- Exigencias al proveedor. Pida por contrato documentación del modelo, controles de acceso, registro de actividad, pruebas de sesgo y error, notificación de cambios y derecho de auditoría.
- Expediente para la inspección. Reúna en un solo lugar el inventario, la evaluación de riesgo de cada agente, sus pruebas y las decisiones del comité que lo aprobó.
Límites y preguntas abiertas
El marco KYA describe principios, pero la nota de prensa no detalla especificaciones técnicas ni exclusiones, y no hay una evaluación independiente de su funcionamiento. Además, su alcance declarado son los agentes que operan en la red de la propia empresa.
Tampoco resuelve la pregunta central para una entidad regulada: la responsabilidad. Ningún registro de agentes traslada la obligación de debida diligencia ni la autoría de un reporte a un tercero; la entidad sigue respondiendo ante su supervisor.
En Latinoamérica y el Caribe no identificamos, a la fecha de este artículo, normas específicas sobre agentes de IA en prevención de lavado. Mientras llegan, lo prudente es tratar a cada agente como un proceso tercerizado de alto riesgo: aplicar las reglas existentes de gestión de riesgo tecnológico, tercerización y conservación de registros, documentar las decisiones y consultar al supervisor antes de automatizar tareas sensibles.
En Global KYC & Compliance Solutions acompañamos a entidades reguladas a incorporar automatización con controles que resistan una inspección.