Cómo preparar alertas, ROS a la UAF y requerimientos de la CMF con agentes de IA

Ser oficial de cumplimiento en una fintech chilena hoy es atender varios frentes a la vez. La UAF renovó sus instrucciones con la Circular 62, la Ley Fintec sumó nuevos sujetos obligados, la ANCI ya exige reportar incidentes en horas y la nueva ley de datos personales entra en vigencia el 1 de diciembre de 2026. Mientras tanto, las alertas del monitoreo transaccional se acumulan, los expedientes KYC están incompletos y la CMF manda requerimientos con plazo. Casi todo ese trabajo es juntar información y dejarla documentada, y eso lo puede hacer un agente de IA. Lo que no se delega es el juicio del oficial.

Esta es una guía práctica para oficiales de cumplimiento en Chile: qué partes del trabajo entregarle a un agente, qué te van a pedir la UAF, la CMF, la ANCI y la Agencia de Protección de Datos, y cómo dejar evidencia de todo.

Qué hace. El agente investiga alertas, revisa listas y expedientes, prepara borradores de reportes y respuestas, y deja documentado qué consultó y por qué concluyó lo que concluyó.

Qué no es. Un sistema que reporta a la UAF o le responde a la CMF por su cuenta, ni asesoría legal. Las mejoras de fondo van a salir de ti y de tu equipo, cuando alguien cuestione por qué una alerta existe. Deja espacio para eso.

El trabajo de cumplimiento que un agente puede preparar

Parte por las alertas de monitoreo. Son el mayor volumen, tienen un formato repetible y alimentan todo lo demás.

Cómo trabaja un agente de cumplimiento

1. Tú defines el criterio. Qué se revisa en cada tipo de alerta, qué fuentes cuentan y qué nunca se cierra sin escalar.
2. El agente consulta tus sistemas en modo lectura. Core, monitoreo transaccional, expedientes KYC, listas y fuentes públicas.
3. Redacta el análisis. Una página con la recomendación, la evidencia y las fuentes.
4. Tú o tu equipo deciden. Cerrar, escalar o reportar, con el visto bueno de una persona responsable.
5. Todo queda registrado. Cada consulta, cada conclusión y cada aprobación, listas para exportar.

Las herramientas

Runtime es el sistema operativo para agentes de IA. Cada agente corre en su propio computador aislado que se borra al terminar, con sus propias credenciales y acceso solo a lo que necesita. RUT, cuentas y tarjetas se enmascaran antes de llegar al modelo o a un registro, y cada ejecución queda guardada para auditoría.

UAF: alertas, ROS y listas

La Ley 19.913 obliga a los sujetos obligados a conocer a sus clientes, revisar las listas del Consejo de Seguridad de la ONU y reportar a la UAF las operaciones sospechosas. La Circular 62 de la UAF, vigente desde el 1 de junio de 2025, ordenó y actualizó esas instrucciones. Para el trabajo diario, lo que más importa:

• El análisis tiene que quedar documentado. Las fases del análisis, las gestiones realizadas y las fuentes consultadas. Es justo lo que un agente deja escrito en cada caso.
• Las listas ONU se revisan de forma periódica y sistemática. Y se guarda respaldo de las búsquedas por al menos tres años.
• Debida diligencia con beneficiarios finales. Identificar al cliente, a sus beneficiarios finales y el propósito de la relación.
• Registros por al menos cinco años. Operaciones en efectivo, operaciones sospechosas, debida diligencia, PEP y transferencias electrónicas.

Con la Ley Fintec (Ley 21.521), también quedaron como sujetos obligados las empresas inscritas en la CMF que prestan servicios de plataforma de financiamiento colectivo, sistemas alternativos de transacción, custodia e intermediación de instrumentos financieros e iniciación de pagos.

Investiga esta alerta de abonos fraccionados. Trae los últimos 90 días de operaciones del cliente, compáralos con su actividad declarada y con su giro en el SII, revisa listas ONU, PEP y prensa, y redacta un análisis de una página con tu recomendación. Deja anotadas las fuentes que consultaste y la hora de cada consulta. No cierres la alerta.

CMF: fiscalizaciones y requerimientos

Cuando la CMF fiscaliza o manda un requerimiento, la pega es casi siempre la misma: encontrar la política vigente, demostrar que se aplicó y entregar registros de un periodo. El agente puede armar ese paquete:

• Lee el requerimiento y lo separa en preguntas. Cada una con el área responsable y el plazo.
• Busca la evidencia. Políticas, actas, reportes y registros de sistemas, con la fuente de cada dato.
• Redacta la respuesta. Con una tabla que dice de dónde sale cada número, para que la revisión interna sea rápida.

Si tu fintech está registrada bajo la Ley Fintec, la CMF también va a revisar tu gobierno corporativo y tu gestión de riesgos, incluido el riesgo operacional. Un agente es tecnología que usas para operar, así que entra en ese inventario.

Para el detalle de respuestas a bancos y a la CMF, revisa nuestra guía de requerimientos bancarios con agentes de IA.

Ley 21.719: datos personales

La Ley 21.719 se publicó el 13 de diciembre de 2024, reemplaza a la Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) para postergarla al 1 de diciembre de 2027. A fines de octubre de 2026 sigue en tramitación, así que la fecha legal sigue siendo diciembre de 2026.

Lo que más toca a los agentes:

• Base de licitud y finalidad. Para qué usa cada agente los datos de clientes.
• Decisiones automatizadas. Las personas pueden oponerse a decisiones basadas únicamente en tratamiento automatizado que les produzcan efectos jurídicos o les afecten de forma significativa. Mantener a una persona en las decisiones sobre clientes resuelve buena parte de esto.
• Seguridad y brechas. Medidas de seguridad y aviso de brechas a la Agencia.
• Transferencias internacionales. Saber a qué país va cada dato, incluido el modelo de IA.

Arma un inventario de los agentes que tenemos en producción. Para cada uno, dime qué datos personales consulta, para qué, si participa en alguna decisión sobre un cliente, quién la aprueba y en qué país corre el modelo. Déjalo en una tabla para revisarla con legal.

Ley 21.663: incidentes de ciberseguridad

La Ley Marco de Ciberseguridad incluye a los bancos, servicios financieros y medios de pago entre los servicios esenciales. Desde el 1 de marzo de 2025 hay que reportar al CSIRT Nacional de la ANCI los incidentes con efectos significativos:

Si el incidente involucra datos personales, desde diciembre de 2026 corre en paralelo el aviso a la Agencia de Protección de Datos. Un agente puede armar la línea de tiempo y los borradores de cada reporte mientras tu equipo de seguridad contiene el incidente. Los detalles están en el reglamento de reporte de incidentes (Decreto 295) y en nuestra guía de ciberseguridad con agentes de IA.

Lo que se queda contigo

Lo que hemos aprendido

• Parte con un solo proceso. Las alertas de monitoreo bien resueltas convencen más que cinco procesos a medias.
• Pide fuentes, no solo conclusiones. Un análisis que dice de dónde sale cada dato se revisa en minutos y aguanta una fiscalización.
• El registro es el producto para el regulador. Que cada ejecución quede guardada con quién aprobó te ahorra semanas cuando llega un requerimiento.
• Compáralo con tu equipo, no con la perfección. La pregunta es si documenta mejor y más rápido que el proceso actual.

Lo que te van a preguntar

Si necesitas que los datos se queden en Chile, puedes correr Runtime y modelos open source en tu propia nube, en la región de Santiago. Lo explicamos en nuestra guía de modelos open source para fintech.

Cómo medir resultados

Un calendario realista

Rain, emisor de tarjetas con presencia en más de 150 países, usa Runtime para soporte técnico, monitoreo de fraude y riesgo, cumplimiento, ciberseguridad, investigaciones de ingeniería, revisión de PRs, QA y reportes, y se ha ahorrado $750k en proveedores y remuneraciones.

En resumen

La UAF, la CMF, la ANCI y la nueva Agencia de Protección de Datos piden lo mismo: saber qué haces, quién decide y poder demostrarlo. Deja que el agente investigue y documente, y quédate con las decisiones. Con la Ley 21.719 a semanas de entrar en vigencia, es buen momento para partir.

A darle.