Cómo investigar alertas PLD, preparar reportes a la UIF y llegar listo a una visita de la CNBV con agentes de IA

En el área de cumplimiento de una fintech mexicana casi todo el tiempo se va en juntar información. Una alerta de PLD obliga a sacar el historial del cliente, compararlo con su perfil transaccional, revisar listas y medios, y escribir un análisis que aguante una revisión de la CNBV. Una visita de inspección o un requerimiento te pide reconstruir meses de trabajo en días. Ese trabajo de recopilación lo puede hacer un agente de IA, con referencias a cada fuente. El criterio, y la firma, siguen siendo tuyos.

Esta es una guía práctica para oficiales de cumplimiento en México: qué partes del trabajo de PLD y KYC darle a un agente, cómo encaja con tus disposiciones y tu comité, cómo preparar una visita de la CNBV con evidencia ordenada y qué te van a preguntar sobre el propio agente.

Qué hace. El agente investiga alertas, arma y revisa expedientes, redacta análisis y prepara carpetas de evidencia, siempre con la fuente de cada dato. Tu equipo revisa, decide y firma.

Qué no es. Un sistema de monitoreo nuevo ni un bot que dictamina o reporta a la UIF. Tampoco es asesoría legal: valida el alcance con tu abogado.

El marco, en una tabla

Dónde se le va el tiempo a tu equipo

Arranca con las alertas de PLD. Son el proceso con más volumen, el más repetitivo y el que más tiempo le quita a tus analistas.

Cómo trabaja un agente de cumplimiento

1. Tu equipo documenta el criterio. Tu manual de PLD y cómo lo aplica tu mejor analista, incluidas las tipologías que más ves.
2. El agente se conecta en modo lectura a tu core, tu sistema de monitoreo, tus expedientes y las listas.
3. El agente investiga y redacta con la fuente de cada dato.
4. Tu analista revisa en Slack o en el dashboard y decide si el caso sube al comité.
5. Todo queda registrado: qué consultó el agente, qué concluyó y quién decidió.

Las herramientas

Runtime es el sistema operativo para agentes de IA. Cada agente corre en su propia computadora aislada, que se borra al terminar la sesión, con credenciales de solo lectura. CURP, RFC, CLABE y tarjetas se enmascaran antes de llegar al modelo o a una bitácora, y Runtime nunca entrena con tus datos.

Paso 1: escribe tu política de agentes

Este paso es tuyo. Una página que diga qué puede hacer un agente, qué necesita autorización y qué nunca puede hacer: dictaminar una operación, presentar un reporte, cerrar una alerta o contactar a un cliente. Agrega quién es responsable de cada agente. Es lo primero que te va a pedir la CNBV o tu auditor.

Paso 2: documenta cómo investigas una alerta

Escoge una tipología, por ejemplo fraccionamiento o depósitos de terceros que no cuadran con el perfil, y escribe cómo la investiga tu mejor analista.

• Explícale el porqué. "Compara contra el perfil transaccional declarado, porque es lo primero que revisa la CNBV en una muestra" funciona mejor que "revisa el perfil".
• Dile qué error no puede cometer. "Nunca cierres una alerta ni concluyas que no es inusual sin dejar la evidencia que lo sustenta."

Investiga esta alerta de fraccionamiento. Trae los últimos 90 días de operaciones del cliente, compáralos con su perfil transaccional declarado, revisa la Lista de Personas Bloqueadas y medios negativos, y busca si hay otras cuentas relacionadas. Redacta un análisis de una página con tu recomendación y cita la fuente de cada dato. No cierres la alerta.

Paso 3: trabaja en paralelo un mes

Durante un mes el agente investiga las mismas alertas que tu equipo. Comparan conclusiones y calidad del análisis. Las diferencias se vuelven instrucciones, y la comparación misma te sirve como evidencia de que validaste la herramienta antes de usarla.

Paso 4: dale la primera investigación

El agente prepara cada alerta y tu analista revisa. Los casos que recomienda llevar al comité llegan con el borrador del reporte y la evidencia. Los plazos importan: pídele que calcule y vigile la fecha límite de cada alerta según tus disposiciones.

Paso 5: arma tu carpeta de visita

Cuando llegue un oficio de visita o un requerimiento, el agente lo lee punto por punto y arma la carpeta: qué documento responde a cada punto, de qué sistema salió y qué falta.

Lee este oficio de la CNBV. Haz una tabla con cada punto que piden, el documento o la muestra que lo responde y su ubicación en nuestros sistemas. Para la muestra de expedientes, revisa que cada uno tenga INE, CURP, RFC y comprobante de domicilio vigentes y marca los que no. No mandes nada.

Lo que se queda con tu equipo

Lo que hemos aprendido

• Empieza con una tipología. Una alerta bien investigada vale más que todo el catálogo a medias.
• Cada dato con su fuente. Un análisis que cita de dónde salió cada número aguanta cualquier revisión.
• Guarda la validación. El mes en paralelo es tu mejor respuesta a "¿cómo sabes que el agente funciona?".
• El trabajo de visita es recurrente. Si el agente arma bien una carpeta, la siguiente visita empieza con la mitad hecha.

Lo que te van a preguntar del agente

Si usas agentes, la CNBV, tu auditor externo o tu banco socio te van a preguntar por ellos. Estas son las preguntas y dónde está la respuesta:

Si tu política exige que los datos no salgan del país, puedes correr Runtime y modelos open source en tu propia nube, en la región de Querétaro. Lo explicamos en la guía de modelos open source para fintech.

La nueva LFPDPPP

La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó en el DOF el 20 de marzo de 2025, entró en vigor al día siguiente y sustituyó a la ley de 2010. La autoridad ya no es el INAI, sino la Secretaría Anticorrupción y Buen Gobierno. Para tus agentes, lo práctico es revisar que el aviso de privacidad cubra el tratamiento que hacen, que tus procesos de derechos ARCO contemplen la información que generan y que las decisiones que afectan a un cliente pasen por una persona.

Cómo medir resultados

Un calendario realista

Rain, emisor de tarjetas con presencia en más de 150 países, usa Runtime para soporte técnico, monitoreo de fraude y riesgo, cumplimiento, ciberseguridad, investigaciones de ingeniería, revisión de PRs, QA y reportes, y se ha ahorrado $750k en proveedores y nómina.

En resumen

Las reglas que ya aplican en México piden lo mismo de un agente que de un analista: saber quién responde, limitar lo que toca, dejar la decisión en una persona y guardar la evidencia. Deja que el agente junte, cruce y redacte, y quédate con el criterio. Si tus alertas vienen de fraude, revisa también la guía de prevención de fraude.

Ahora sí, a cumplir.