SR 26-2: La Brecha de Gobernanza en el KYC con IA

El 17 de abril de 2026, la Reserva Federal, la Oficina del Contralor de la Moneda (OCC) y la FDIC publicaron conjuntamente la SR 26-2: la primera actualización de la guía de gestión del riesgo de modelos para instituciones financieras estadounidenses en quince años. La guía reemplaza la SR 11-7, un documento redactado antes de que el aprendizaje automático existiera en sistemas bancarios en producción, antes de que los modelos fundacionales fueran posibles y antes de que el término "IA generativa" apareciera fuera de los artículos académicos.

El momento no podría ser más revelador. En 2026, los bancos, cooperativas de crédito y fintechs dependen de la IA para la suscripción de créditos, la detección de fraudes, el cumplimiento BSA/AML y la incorporación de clientes. Los reguladores llevaban quince años sin actualizar el marco. La SR 26-2 es técnicamente sofisticada y operativamente rigurosa — y entonces, en una sola cláusula explícita, traza una línea alrededor de exactamente los sistemas de IA que están transformando la banca con mayor rapidez.

La IA generativa y la IA agéntica quedan excluidas del ámbito de aplicación.

Esa exclusión es la brecha de cumplimiento que toda institución que utiliza KYC con IA debe gestionar ahora.

Qué cubre realmente la SR 26-2

La SR 26-2 preserva y amplía la disciplina establecida por la SR 11-7. Se aplica a los modelos cuantitativos utilizados en decisiones de alto impacto: calificación crediticia, riesgo de mercado, capital regulatorio, análisis de préstamos justos y monitoreo de transacciones BSA/AML basado en reglas. Los requisitos son sustanciales:

• Validación de modelos por equipos independientes con metodologías documentadas
• Monitoreo continuo con umbrales de rendimiento e indicadores de alerta definidos
• Inventario completo de modelos, incluidos los utilizados para informes regulatorios
• Revisión de solidez conceptual, gobernanza de calidad de datos y control de cambios
• Rutas de escalada definidas cuando el rendimiento del modelo se deteriora

Estos son los requisitos correctos para los sistemas que gobiernan. Un modelo de regresión logística que genera calificaciones crediticias debe ser validado. Un motor de pruebas de estrés para el capital regulatorio debe someterse a revisión independiente. La SR 26-2 codifica las buenas prácticas y refuerza la gobernanza donde la SR 11-7 era ambigua.

La brecha está en lo que no aborda.

La exclusión explícita

La SR 26-2 es inequívoca. La guía establece que la IA generativa y la IA agéntica "requieren marcos de gobernanza separados" y las "coloca fuera del ámbito de esta guía". Las instituciones quedan dirigidas a aplicar sus principios existentes de gestión de riesgos — es decir, el pensamiento de la era SR 11-7 — a tecnología que no existía cuando ese pensamiento fue desarrollado.

El problema es estructural. La gestión de riesgos de la era SR 11-7 fue diseñada para sistemas que producen resultados acotados y enumerables a partir de entradas estructuradas. La IA generativa y agéntica funciona de manera diferente:

• Genera resultados que no pueden enumerarse completamente de antemano
• Razona sobre texto no estructurado, documentos e imágenes
• Los sistemas agénticos ejecutan secuencias de acciones autónomas en múltiples herramientas conectadas
• Cambia su comportamiento según el contexto y el historial de conversaciones
• No puede validarse completamente mediante pruebas retrospectivas con datos históricos etiquetados

Una encuesta de junio de 2026 reveló que el 72% de los bancos no está preparado para un fallo de IA. Esa estadística se produce en un entorno regulatorio donde los sistemas de IA más relevantes — los más propensos a causar un fallo visible — son precisamente los que no tienen ningún estándar formal de gobernanza.

La pila de KYC que vive en la brecha

Las instituciones financieras han avanzado más rápido en IA generativa y agéntica en KYC de lo que los reguladores anticiparon. En 2026, el flujo de verificación en una institución avanzada tecnológicamente no se parece al inventario de modelos estadísticos que la SR 26-2 fue diseñada para gobernar:

Función KYC	Tipo de sistema	¿En el ámbito de la SR 26-2?
Calificación crediticia en onboarding	Modelo estadístico	Sí
Clasificación de documentos y OCR	ML tradicional	Depende
Escrutinio de medios adversos	Resumen con LLM	No
Análisis de PEP y sanciones	Síntesis con IA generativa	No
Monitoreo de transacciones (basado en reglas)	Modelo estructurado	Sí
Monitoreo continuo agéntico	Flujo de trabajo con IA agéntica	No
Generación de narrativas SAR	IA generativa	No
Recalificación de riesgo del cliente	LLM con recuperación aumentada	No

Las decisiones más expuestas a alucinaciones, inconsistencias y escrutinio regulatorio — síntesis de medios adversos, análisis de PEP, recalificación agéntica, generación de narrativas SAR — quedan todas fuera del ámbito de la SR 26-2. No tienen un estándar de documentación validado, ni un umbral de monitoreo obligatorio, ni un proceso de desafío independiente requerido.

Lo que esperan los reguladores pese a la exclusión

La exclusión del ámbito de la SR 26-2 no significa que los reguladores sean indiferentes a cómo los bancos gobiernan estos sistemas. El propio lenguaje de la guía señala lo que los inspectores evaluarán: "los principios existentes de gestión de riesgos — materialidad, monitoreo continuo, desafío efectivo — deben guiar la gobernanza de cualquier herramienta o sistema fuera del ámbito de este documento."

Esa frase tiene peso en los contextos de inspección. Los supervisores bancarios no están limitados por el ámbito formal de la SR 26-2 cuando observan que el sistema KYC agéntico de una institución genera narrativas SAR sin criterios de revisión documentados, o que una herramienta de medios adversos basada en LLM produce evaluaciones de riesgo inconsistentes sin monitoreo.

Existe también la dimensión europea. Bajo la Ley de IA de la UE — cuyas disposiciones sobre IA de alto riesgo se aplican a la identificación biométrica, la calificación crediticia y la detección de fraudes independientemente de los cambios de plazos introducidos por el Ómnibus Digital de la UE — las instituciones que operan en Europa tienen requisitos legalmente vinculantes para documentación técnica, supervisión humana y monitoreo post-mercado. Una institución que afirma madurez en gobernanza ante los reguladores europeos mientras opera IA agéntica sin gobernar en su operación estadounidense enfrenta un problema de credibilidad que traspasa fronteras.

El problema del inventario de la OCC

La exposición regulatoria no es solo prospectiva. Los hallazgos de inspección de la OCC de principios de 2026 revelaron que la mayoría de los bancos estadounidenses tienen una cobertura de inventario de IA solo parcial, con modelos de autoaprendizaje y capas de orquestación de agentes que frecuentemente faltan en los inventarios presentados a los inspectores.

Esto crea una exposición compuesta. Bajo la SR 26-2, un inventario completo para los sistemas en el ámbito es obligatorio. Pero como los sistemas generativos y agénticos quedan fuera del ámbito, las instituciones no han tenido ninguna obligación formal de inventariarlos. El resultado práctico: muchas no pueden responder la pregunta de gobernanza más básica — ¿qué sistemas de IA están tomando decisiones KYC consecuentes?

El enfoque de monitoreo continuo que la AMLA y los reguladores europeos esperan cada vez más no es alcanzable si las instituciones no pueden enumerar los sistemas de IA que realizan ese monitoreo.

Cómo se ve un marco de gobernanza paralelo

La disciplina que la SR 26-2 aporta a los modelos cuantitativos — validación, documentación, monitoreo, desafío independiente — representa una plantilla sólida que las instituciones deberían extender voluntariamente a su IA generativa y agéntica, antes de que una guía formal lo exija. Un mínimo viable de gobernanza para la IA generativa y agéntica en KYC debe incluir:

Inventario de IA y clasificación de riesgos. Todo sistema de IA que contribuya a una decisión de KYC o AML debe enumerarse y clasificarse por nivel de riesgo. Los sistemas agénticos que orquestan otras herramientas requieren tratamiento separado.

Documentación conductual. La IA generativa no puede documentarse con tablas de coeficientes. La documentación debe capturar los casos de uso previstos, los modos de fallo conocidos, las clases de resultado prohibidas y las condiciones que requieren revisión humana.

Auditoría de resultados. Todo resultado consecuente — evaluación de medios adversos, puntuación de riesgo, narrativa SAR — debe registrarse con suficiente contexto para reconstruir el razonamiento del sistema. Esto no es opcional para sistemas que contribuyen a la presentación de informes regulatorios.

Umbrales de revisión humana. Definir las condiciones bajo las cuales las decisiones agénticas requieren revisión humana antes de ejecutarse. Los flujos de trabajo de KYC agéntico construidos con protocolos de escalada explícitos abordan este requisito directamente.

Monitoreo del rendimiento adaptado a resultados generativos. Los coeficientes Gini y las estadísticas KS no se aplican a los resultados de la IA generativa. Los marcos de monitoreo deben evaluar la consistencia, la precisión factual y la varianza de los resultados en diferentes contextos de entrada.

Gobernanza de IA de terceros. Las instituciones que utilizan LLMs o sistemas agénticos de proveedores en su pila de KYC deben obtener documentación equivalente de los proveedores y evaluarla con el mismo rigor que aplican a los sistemas internos.

El problema agéntico es más difícil que el problema generativo

La IA generativa introduce imprevisibilidad en la capa de resultados. La IA agéntica — sistemas autónomos que ejecutan secuencias de acciones en múltiples herramientas conectadas — introduce imprevisibilidad en la capa de acciones.

Un sistema KYC agéntico podría recuperar el historial de transacciones, consultar una base de datos de medios adversos, evaluar una coincidencia de sanciones, actualizar una puntuación de riesgo y generar una alerta — todo sin intervención humana. Cada paso crea preguntas de gobernanza que ningún marco existente resuelve completamente.

El marco de Conoce a tu Agente (KYA) captura una dimensión de esto — validar que el agente que actúa en un contexto financiero está autorizado y es rastreable. Pero el KYA aborda la identidad, no la gobernanza. La brecha que deja la SR 26-2 es la gobernanza de lo que hace el agente, no solo de quién es el agente.

La aproximación de Joinble a los agentes KYC autónomos incorpora rastros de auditoría, lógica de escalada y puntos de control de supervisión humana en la propia arquitectura agéntica — en lugar de tratar la gobernanza como una capa que se aplica después del despliegue.

La responsabilidad no se movió con la exclusión

La exclusión de la SR 26-2 no transfiere responsabilidad a los reguladores ni establece un puerto seguro. Los bancos siguen siendo responsables de los resultados de cada decisión impulsada por IA en sus flujos de trabajo KYC y AML, independientemente de si esos sistemas aparecen en el inventario formal de modelos.

Si un sistema KYC agéntico genera un falso negativo en una coincidencia de sanciones, la acción de cumplimiento no hace referencia a la SR 26-2. Hace referencia a las obligaciones BSA, los requisitos de la OFAC y el fracaso de la institución en mantener controles adecuados — independientemente de cómo se clasificaron internamente esos controles.

La exclusión crea una brecha de documentación, no una brecha de responsabilidad.

---

Preguntas frecuentes

¿Qué es la SR 26-2 y cuándo entró en vigor?

La SR 26-2 es una guía conjunta de gestión del riesgo de modelos emitida por la Reserva Federal, la OCC y la FDIC el 17 de abril de 2026. Reemplaza la SR 11-7 — la guía anterior, emitida en 2011 — y es la primera actualización integral de los requisitos de gobernanza de modelos para instituciones financieras estadounidenses en quince años.

¿Por qué se excluyen la IA generativa y la IA agéntica de la SR 26-2?

La guía establece que estos sistemas requieren marcos de gobernanza separados y los coloca fuera de su ámbito. Los reguladores reconocieron que las metodologías de validación desarrolladas para modelos estadísticos cuantitativos no son directamente aplicables a sistemas cuyos resultados no pueden enumerarse completamente. Todavía no se ha publicado ninguna guía específica para estos sistemas.

¿La exclusión de la SR 26-2 significa que la IA generativa en el KYC está desregulada?

No. Las instituciones siguen sujetas a las obligaciones BSA/AML, los requisitos de sanciones de la OFAC, las leyes de préstamos justos y las expectativas de supervisión, independientemente del ámbito de la SR 26-2. Los inspectores bancarios evalúan la gobernanza de la IA bajo la autoridad supervisora existente. La exclusión crea una brecha de documentación, no una brecha de responsabilidad.

¿Qué deben hacer los bancos ahora sobre la gobernanza de la IA generativa en el KYC?

El camino más defendible es construir un marco de gobernanza similar al de la SR 26-2 para la IA generativa y agéntica — inventario, documentación conductual, auditoría de resultados y desafío independiente — antes de que una guía formal lo exija. Esto posiciona a las instituciones como pioneras cuando lleguen los requisitos específicos y les da una respuesta creíble a las preguntas de los inspectores en el ínterin.

¿Cómo interactúa la SR 26-2 con los requisitos de la Ley de IA de la UE?

Los requisitos de la Ley de IA de la UE sobre sistemas de IA de alto riesgo — que cubren la identificación biométrica, la calificación crediticia y la detección de fraudes — se aplican a las instituciones que operan en Europa independientemente del ámbito de la SR 26-2. El Ómnibus Digital de la UE extendió algunos plazos a diciembre de 2027, pero las obligaciones de transparencia del Artículo 50 ya son aplicables. Las instituciones que sirven a mercados tanto estadounidenses como europeos necesitan un marco que satisfaga ambos conjuntos de expectativas.

¿Cuál es el primer paso práctico para una institución con IA sin gobernar en su pila de KYC?

Construir el inventario. Enumerar todos los sistemas de IA — incluidos los sistemas generativos y agénticos — que contribuyen a cualquier decisión de KYC o AML. Clasificar cada uno por nivel de riesgo y asignar un responsable. Este paso revela la exposición real de gobernanza y hace que todo esfuerzo de remediación posterior sea manejable.