Cómo investigar alertas SARLAFT y preparar visitas de la Superfinanciera con agentes de IA
Guía para oficiales de cumplimiento en Colombia: agentes de IA que investigan alertas SARLAFT, preparan ROS para la UIAF y arman evidencia para la Superfinanciera.
En el área de cumplimiento de una fintech colombiana, el trabajo no para: alertas del monitoreo transaccional, actualización de expedientes de clientes, consultas en listas, requerimientos de la Superfinanciera y preguntas del revisor fiscal. La mayor parte del tiempo de un analista no se va en decidir, sino en reunir información de cinco sistemas y escribir el análisis. Ese trabajo lo puede hacer hoy un agente de IA. La decisión de reportar, y la responsabilidad ante la UIAF y la Superfinanciera, siguen siendo del oficial de cumplimiento.
Esta es una guía práctica para oficiales de cumplimiento en SEDPE, compañías de financiamiento, fintech y bancos en Colombia: qué tareas del SARLAFT entregarle a un agente, cómo dejar evidencia que aguante una visita de inspección y qué controles le va a preguntar el supervisor.
Qué hace. El agente investiga alertas, actualiza expedientes y prepara respuestas a requerimientos, y le deja al oficial de cumplimiento cada caso listo para decidir, con la evidencia y el razonamiento.
Qué no es. Asesoría legal, ni un sistema que reporta a la UIAF por su cuenta. Las mejoras que importan en un SARLAFT salen de las personas que lo operan, cuando alguien pregunta por qué una señal de alerta no está funcionando. Deje espacio para eso, y valide el alcance con su área jurídica.
El trabajo de cumplimiento que un agente puede tomar
| Proceso | Lo que hace hoy una persona | Lo que hace el agente | Lo que decide una persona |
|---|---|---|---|
| Alertas SARLAFT | Revisa operaciones, perfil y actividad económica, y escribe el análisis | Reúne 90 días de operaciones, compara con el perfil, revisa listas y medios, y redacta el análisis | Cerrar la alerta o calificar la operación como sospechosa |
| ROS a la UIAF | Redacta el reporte y lo carga en SIREL | Prepara el borrador con los hechos y los soportes | Reportar y enviar por SIREL |
| Listas vinculantes y restrictivas | Consulta coincidencias una por una | Revisa coincidencias, descarta homónimos con evidencia y escala las reales | Confirmar una coincidencia |
| Expedientes KYC y KYB | Revisa documentos y datos vencidos | Valida cédula, RUT, certificado de Cámara de Comercio y beneficiarios finales, y señala lo que falta | Aprobar la actualización |
| Requerimientos de la Superfinanciera | Busca políticas, actas y casos en carpetas | Arma el paquete de evidencia y un borrador de respuesta | Qué se envía |
| Solicitudes del revisor fiscal | Saca muestras y soportes | Prepara la muestra con su trazabilidad | Validar antes de entregar |
Arranque con las alertas SARLAFT de más volumen. Es donde más horas se van y donde un buen análisis se nota de inmediato.
SARLAFT: investigar alertas
El SARLAFT de la Superfinanciera está en la Circular Básica Jurídica y pide conocer al cliente, segmentar, monitorear y reportar. El monitoreo ya lo tiene; lo que se acumula son las alertas por investigar. Un agente hace el trabajo de reunir y comparar:
- Toma la alerta de su herramienta de monitoreo.
- Reúne el contexto. Operaciones recientes, perfil transaccional, actividad económica declarada, RUT, productos y alertas anteriores.
- Revisa listas y medios. Listas vinculantes para Colombia, como las del Consejo de Seguridad de la ONU, listas restrictivas como la de la OFAC y noticias negativas.
- Redacta el análisis. Una página con los hechos, las señales encontradas, lo que descartó y su recomendación.
- Espera la decisión. El analista o el oficial de cumplimiento cierra o escala en Slack o en el dashboard.
Investigue esta alerta de operaciones fraccionadas. Traiga los últimos 90 días de operaciones del cliente, compárelos con su perfil y con la actividad económica de su RUT, revise listas vinculantes, restrictivas y medios negativos, y redacte un análisis de una página con su recomendación y la evidencia. No cierre la alerta; déjemela para revisión.
- Explíquele el porqué. "Compare con la actividad económica del RUT porque un comerciante de abarrotes no suele recibir giros del exterior" le da al agente el criterio, no solo la instrucción.
- Dígale qué error no puede cometer. "Nunca descarte una coincidencia en lista solo por una diferencia en el segundo apellido" evita el error más caro.
ROS y reportes a la UIAF
Las entidades vigiladas deben reportar a la UIAF, de forma inmediata y por SIREL, las operaciones que califiquen como sospechosas, realizadas o intentadas. El reporte es confidencial: nadie en la entidad puede contarle al cliente que se hizo.
El agente le ayuda a llegar más rápido a esa decisión y a que el reporte sea completo: prepara el relato de los hechos, la cronología de operaciones y los soportes. La calificación de la operación como sospechosa y el envío se quedan con el oficial de cumplimiento. Los reportes objetivos y periódicos también se pueden preparar con el agente, siempre con revisión antes de cargarlos.
Listas vinculantes y homónimos
En Colombia, un nombre común genera muchas coincidencias. El agente compara número de identificación, fecha de nacimiento, nacionalidad y demás datos disponibles, documenta por qué descarta cada homónimo y escala solo las coincidencias que no puede descartar. Cada descarte queda con su soporte, que es lo que va a pedir el supervisor.
Expedientes de clientes
Un expediente completo en Colombia cruza la cédula, el RUT de la DIAN y, para empresas, el certificado de existencia y representación legal de la Cámara de Comercio (consultable en el RUES) y la información de beneficiarios finales. El agente revisa que los datos coincidan entre documentos, detecta lo vencido o lo que falta y prepara la solicitud de actualización. Para el detalle de vinculación de empresas y comercios, vea la guía de revisión KYB y KYC.
Requerimientos y visitas de la Superfinanciera
Un requerimiento o una visita de inspección pide evidencia: políticas vigentes, actas, matrices de riesgo, muestras de alertas con su análisis y pruebas de que los controles funcionan. Reunir eso suele tomar días.
Prepare la respuesta al requerimiento adjunto. Para cada punto, dígame qué documento o registro lo responde, dónde está y si está vigente. Arme una carpeta con los soportes y un borrador de respuesta. Déjeme marcados los puntos donde no encontró evidencia.
El agente arma el paquete y el borrador; el oficial de cumplimiento y jurídica deciden qué se envía. Para una visita, el mismo agente puede preparar muestras de alertas con su análisis y su trazabilidad completa. Si su entidad opera de la mano de un banco, la guía de requerimientos bancarios cubre las solicitudes del banco aliado.
El revisor fiscal
El revisor fiscal evalúa si los controles funcionan, y para eso pide muestras y soportes. Con Runtime, cada ejecución del agente queda registrada con lo que consultó, lo que concluyó y quién aprobó. Puede filtrar el registro por fecha y exportarlo, sin reconstruir nada a mano.
Habeas data
La Ley 1581 de 2012 pide autorización del titular, uso limitado a la finalidad informada y medidas de seguridad, y prohíbe transferir datos personales a países sin un nivel adecuado de protección, salvo las excepciones de su artículo 26. La Ley 1266 de 2008 regula el dato financiero y crediticio. La SIC vigila ambas y, con su Circular Externa 002 de 2024, dio lineamientos para el tratamiento de datos personales en sistemas de IA, con énfasis en la responsabilidad demostrada.
En la práctica, revise tres cosas:
- Que su política y su autorización cubran el uso de agentes para la finalidad en cuestión.
- Que el agente solo vea lo necesario. Con Runtime, cédulas, cuentas y tarjetas se enmascaran antes de llegar al modelo o a los registros.
- Que sepa dónde se procesan los datos. Runtime puede correr en su propia cuenta de AWS, GCP o Azure, en la región que usted elija, y nunca entrena con sus datos.
Lo que se queda con el oficial de cumplimiento
| Qué | Por qué |
|---|---|
| Calificar una operación como sospechosa y enviar el ROS | Es su responsabilidad ante la UIAF |
| Confirmar coincidencias en listas | Tiene consecuencias legales para el cliente y la entidad |
| Aprobar respuestas a la Superfinanciera | La entidad responde por lo que envía |
| Definir señales de alerta y segmentación | Es el diseño de su SARLAFT |
| Vincular o desvincular clientes de alto riesgo | Es el apetito de riesgo de la entidad |
Lo que le va a preguntar el supervisor
| Pregunta | Dónde está la respuesta en Runtime |
|---|---|
| ¿Qué agentes usan y quién responde por cada uno? | Inventario de agentes con responsable |
| ¿A qué tiene acceso cada agente? | Credenciales y permisos por agente |
| ¿Puede un agente cerrar una alerta o reportar solo? | No: espera la aprobación de una persona responsable |
| ¿Cómo protegen los datos personales? | Enmascaramiento antes de llegar al modelo o a los registros |
| ¿Dónde corren los agentes? | Computadores aislados que se borran al terminar; en su nube o self-hosted |
| ¿Pueden mostrar cada análisis del último trimestre? | Filtrar el registro por fecha y exportar |
Para el marco general de riesgos, revise la guía de gestión de riesgos de agentes.
Cómo medir resultados
| Indicador | Qué le dice |
|---|---|
| Tiempo para investigar una alerta | Qué tan rápido decide |
| Alertas pendientes y su antigüedad | Si ya no se le acumula el trabajo |
| Análisis aprobados sin cambios | Qué tan bien investiga el agente |
| Días para responder un requerimiento | Su capacidad de respuesta ante el supervisor |
| Expedientes desactualizados | Su exposición en una visita |
Un cronograma realista
| Etapa | Tiempo |
|---|---|
| Infraestructura para agentes | Minutos con Runtime; semanas si la construye usted |
| Documentar la investigación de un tipo de alerta y conectar sistemas | 1 semana |
| Trabajo en paralelo con los analistas | 1 a 2 semanas |
| Primer tipo de alerta con aprobaciones | Semana 3 o 4 |
| Listas, expedientes y requerimientos | Mes 2 |
Rain, emisor de tarjetas con presencia en más de 150 países, usa Runtime para soporte técnico, monitoreo de fraude y riesgo, cumplimiento, ciberseguridad, investigaciones de ingeniería, revisión de PRs, QA y reportes, y se ha ahorrado $750k en proveedores y nómina.
En resumen
La Superfinanciera, la UIAF y la SIC le piden lo mismo a cualquier tecnología: saber quién responde, limitar lo que toca y poder demostrar qué hizo. Un agente bien configurado cumple con eso y le devuelve a su equipo el tiempo que hoy se va en reunir información. Empiece con un tipo de alerta, mida y de ahí escale.
Manos a la obra.
Preguntas frecuentes
¿Puede un agente de IA enviar un ROS a la UIAF?
No debería. El agente puede investigar la alerta, reunir el historial del cliente, revisar listas y medios, y redactar el análisis y el borrador del reporte. La decisión de calificar la operación como sospechosa y el envío por SIREL se quedan con el oficial de cumplimiento, que es quien responde ante la Superfinanciera y la UIAF.
¿Cómo se usa la IA en el SARLAFT?
Sobre todo en la investigación de alertas, que es donde se va el tiempo de los analistas. El agente toma la alerta del monitoreo transaccional, compara las operaciones con el perfil y la actividad económica del cliente, revisa listas vinculantes y restrictivas, y deja un análisis con la evidencia. El monitoreo y la segmentación siguen funcionando como hoy.
¿Qué le pide la Superfinanciera a una entidad que usa agentes de IA?
Lo mismo que para cualquier tecnología o tercero: saber qué agentes usa, quién responde por cada uno, qué datos tocan, cómo se gestiona su riesgo operacional y poder demostrarlo con evidencia. Con Runtime, cada agente tiene un responsable, accesos limitados y un registro exportable de cada ejecución.
¿Usar agentes de IA con datos de clientes cumple con habeas data?
Puede cumplir si el tratamiento está cubierto por la autorización y la finalidad informadas, si el agente solo toca los datos necesarios y si se controla a dónde viajan. La Circular Externa 002 de 2024 de la SIC da lineamientos para el tratamiento de datos personales en sistemas de IA, con base en las leyes 1581 de 2012 y 1266 de 2008.
¿Un agente de IA puede preparar la respuesta a un requerimiento de la Superfinanciera?
Sí. El agente busca las políticas, actas, registros y casos que pide el requerimiento, arma el paquete de evidencia y redacta un borrador. El oficial de cumplimiento y el área jurídica revisan y deciden qué se envía.
¿Qué es Runtime?
Runtime es el sistema operativo para agentes de IA en equipos de pagos y fintech. Cada agente corre en un computador aislado, con accesos limitados, aprobación de una persona antes de cualquier acción sensible, enmascaramiento de cédulas y cuentas, y un registro de cada ejecución que se puede exportar para la Superfinanciera, su revisor fiscal o su auditor.
Ponga a su primer agente a investigar alertas SARLAFT
Traiga un tipo de alerta. Un ingeniero de IA de Runtime configura el agente, los controles y la evidencia con su equipo.