29-10-2026 | az, Opinión
Por Luz María Barrientos, Gerente Legal en Alemana Seguros, Chile
Cuando hablamos de compliance, solemos pensar inmediatamente en las empresas: en sus obligaciones legales, en la prevención de incumplimientos y en la necesidad de instalar una cultura de integridad que permita “hacer las cosas bien”.
Sin embargo, existe una dimensión de la que se habla mucho menos y que resulta fundamental para que esa cultura realmente funcione: el rol de los clientes.
Es cierto que las empresas tienen mayores obligaciones legales. Son ellas quienes administran información, diseñan productos y servicios y, muchas veces, cuentan con un mayor poder de negociación. Pero los clientes también tienen su propio espacio de responsabilidad, una suerte de “compliance del cliente”, que se expresa en la utilización honesta y de buena fe de los productos y servicios contratados, conforme al contrato y a la ley, y respetando tanto a la empresa como a sus trabajadores y a los demás clientes.
Esta responsabilidad compartida adquiere especial relevancia en las empresas de servicios y, particularmente, en el mundo de los seguros.
En este ámbito, el cliente cumple un papel decisivo. Entregar información veraz al momento de declarar el riesgo y al informar un siniestro, pagar oportunamente la prima, presentar documentación auténtica y solicitar únicamente aquellos pagos o reembolsos que correspondan a la cobertura contratada, son conductas esenciales para que el sistema funcione correctamente.
Porque la calidad del servicio no depende únicamente de la empresa. El cliente también participa activamente en la construcción del resultado final.
A partir de esta idea surgen algunas preguntas y desafíos que las organizaciones debieran incorporar en su reflexión:
¿Cómo podemos ayudar a nuestros clientes a comprender mejor las condiciones de sus contratos, para que sepan utilizarlos y también exigir su cumplimiento cuando corresponda?
¿Cómo podemos compartir nuestro conocimiento y experiencia para que las personas tomen mejores decisiones y el servicio contratado se convierta en una verdadera ayuda, en lugar de ser una fuente adicional de estrés?
Las posibles soluciones son muchas, pero todavía queda camino por recorrer. Los problemas, conflictos y fricciones continúan existiendo y, con frecuencia, tienen un origen común: la falta de información o el uso de lenguajes técnicos que dificultan la comprensión y alejan a las personas.
Por eso, uno de los grandes desafíos para las empresas es contribuir activamente al compliance del cliente. No se trata de trasladarle responsabilidades ni de aumentar las exigencias, sino de entregarle herramientas para que comprenda con claridad qué contrató, qué necesidad está cubriendo y cómo debe utilizar correctamente el producto o servicio.
Un cliente informado puede ejercer mejor sus derechos, cumplir adecuadamente sus obligaciones y relacionarse de manera más transparente con la empresa.
Y es precisamente en esa relación, basada en la claridad, la buena fe y la responsabilidad compartida, donde puede construirse la lealtad que tantas organizaciones buscan: la que nace de un servicio entregado conforme a lo pactado, sin letras chicas y con total transparencia.
En el caso de los seguros, esa confianza tiene un valor todavía más profundo: permite que el producto contratado cumpla su verdadero propósito, que es entregar tranquilidad y seguridad para enfrentar el futuro.
Luz María Barrientos, Gerente Legal en Alemana Seguros, Chile
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
28-10-2026 | az, FERRERE, Opinión, Tech
Por Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Panorama general de la ciberseguridad en la región
En pocos años, la ciberseguridad dejó de ser un asunto exclusivamente técnico para convertirse en una cuestión de gobierno corporativo, cumplimiento normativo y política pública. La acelerada transformación digital de América Latina, impulsada por la migración a la nube, la digitalización de los servicios públicos y financieros y la expansión del trabajo remoto, amplió la superficie de ataque a un ritmo mayor que el desarrollo de los controles de seguridad, los modelos de gobernanza y las capacidades institucionales. En este contexto, distintos informes especializados coinciden en señalar un crecimiento sostenido de los ciberataques en la región[1].
El ransomware continúa siendo una de las amenazas más disruptivas. Según Intel 471, las filtraciones publicadas por grupos de ransomware en la región aumentaron un 78% entre 2024 y 2025[2]. A ello se suman campañas de phishing cada vez más sofisticadas, potenciadas por el uso de inteligencia artificial.
Este escenario ha llevado a los países de la región a fortalecer sus marcos regulatorios en materia de ciberseguridad, estableciendo nuevas obligaciones de prevención, gestión y notificación de incidentes. Chile y Uruguay son dos ejemplos de esta tendencia, aunque cada uno ha seguido un camino regulatorio diferente.
El marco de la ciberseguridad en Uruguay
Uruguay cuenta con un alto nivel de desarrollo digital, resultado de una política sostenida de modernización del Estado y de incorporación de tecnologías en la prestación de servicios públicos. Este avance se refleja en el E-Government Survey 2024 de Naciones Unidas, que posicionó al país como líder en gobierno digital en América Latina y el Caribe y en segundo lugar en las Américas, únicamente por detrás de Estados Unidos[3].
Sin embargo, este proceso de digitalización también plantea importantes desafíos en materia de ciberseguridad. La creciente dependencia de los sistemas informáticos, la interconexión entre organismos públicos y privados y el volumen de información que se gestiona a través de plataformas digitales aumentan la exposición a posibles incidentes de seguridad. Estos incidentes pueden comprometer no solo la información de las organizaciones, sino también la continuidad de servicios esenciales, los derechos de las personas y el funcionamiento de actividades fundamentales para el país.
Frente a este escenario, Uruguay ha desarrollado su marco de ciberseguridad de manera gradual, a través de normas de distinto rango y sin contar, hasta el momento, con una ley marco única sobre la materia.
En el centro de este sistema se encuentra la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic), que actúa a través de su Dirección de Seguridad de la Información y del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy). Desde 2020, la Ley 19.924 atribuye a Agesic facultades para regular, fiscalizar y auditar la seguridad de la información tanto en entidades públicas como en entidades privadas vinculadas a servicios o sectores críticos. En materia de datos personales, la Ley 19.670 obliga a informar de inmediato las vulneraciones de seguridad a la Unidad Reguladora y de Control de Datos Personales (URCDP), que coordina la respuesta con el CERTuy.
Un avance particularmente relevante se produjo con los artículos 78 a 84 de la Ley 20.212 de 2023. La norma impuso a las entidades públicas y a determinadas entidades privadas vinculadas a sectores críticos la obligación de adoptar medidas de seguridad, designar un responsable de seguridad de la información y comunicar los incidentes de ciberseguridad a AGESIC dentro de las 24 horas desde su detección. Asimismo, creó el Registro Nacional de Incidentes de Ciberseguridad.
El régimen fue posteriormente reglamentado por el Decreto 66/025, que estableció la aplicación obligatoria del Marco de Ciberseguridad de Uruguay, alineado con el NIST Cybersecurity Framework. Mas recientemente, en julio de 2026, el Decreto 168/026 incorporó nuevas obligaciones para la Administración Central. Ante un incidente de ciberseguridad, la entidad afectada debe iniciar de inmediato los procedimientos administrativos correspondientes y, cuando el incidente derive de una falta de previsión o de la utilización de sistemas obsoletos, adoptar los ajustes necesarios e informar a Agesic.
También se han producido avances en materia penal. La Ley 20.327 de agosto de 2024, incorporó al ordenamiento uruguayo delitos como el daño informático, el acceso ilícito, la interceptación ilícita y la suplantación de identidad, adecuando el marco penal a las exigencias necesarias para avanzar en la adhesión al Convenio de Budapest.
Estos desarrollos se enmarcan en la Estrategia Nacional de Ciberseguridad del Uruguay 2024 - 2030 | Agesic , organizada en ocho pilares y orientada a fortalecer las capacidades nacionales de prevención, detección y respuesta frente a amenazas digitales. Entre sus objetivos se encuentra la identificación de las infraestructuras de información crítica del país y el fortalecimiento de la cooperación entre los sectores público y privado.
Aspectos generales de Chile
Chile es el primer país de Latinoamérica en contar con una normativa específica de ciberseguridad, la Ley Nº 21.663 Marco de Ciberseguridad, que entre sus materias se encuentra la creación de una Agencia Nacional de Ciberseguridad (ANCI), de un Equipo de Respuesta a Incidentes de Seguridad Informática Nacional (CSIRT) y de Defensa Nacional, Consejo Multisectorial y el reconocimiento vía legal del Comité Interministerial de Ciberseguridad, instancia que reúne a varias subsecretarías que tienen incidencia en la materia.
Esta normativa, que toma de referencia varios elementos de la Directiva Europea (NIS2), posee entre sus elementos más distintivos definir aquellos sujetos regulados, a saber, los prestadores de servicios esenciales, estableciéndose una serie de sectores económicos que están obligados a adoptar medidas para prevenir y contener los incidentes de ciberseguridad; y además, la declaración de Operadores de Importancia Vital (OIV), que serían instituciones específicas del páis, que por su rol, la “afectación, interceptación, interrupción o destrucción de sus servicios tienen un impacto significativo en la seguridad y el orden público, en la provisión continua y regular de servicios esenciales, en el efectivo cumplimiento de las funciones del Estado, o en general, de los servicios que éste debe proveer o garantizar”. Esta declaración se realiza a través de un proceso reglado de carácter administrativo, que incluye proceso de reponer ante la resolución que declara a una organización, así como la ilegalidad de la resolución ante la Corte de Apelaciones competente.
Además, uno de los deberes transversales de la normativa es el deber de reporte de los incidentes de impacto significativo, y que se aplica tanto a los prestadores de servicios esenciales como a los OIV. Los plazos que establece este deber son máximo 3 horas desde el conocimiento de la ocurrencia del incidente (alerta temprana); dentro de las 72 horas (siendo 24 horas para los OIV) una evaluación inicial del incidente; y dentro de los 15 días corridos desde la alerta temprana, un informe final. Un incidente tiene impacto significativo cuando “es capaz de interrumpir la continuidad de un servicio esencial o afectar la integridad física o la salud de las personas, así como en el caso de afectar sistemas informáticos que contengan datos personales”.
Finalmente, la ANCI tiene facultades de fiscalización y sanción, y la propia Ley establece un régimen diferencial de infracciones leves, graves y gravísimas tanto para los prestadores de servicios esenciales como para los OIV. En el caso de los primeros, aquellas leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM); y en el caso de los OIV, leves (hasta 10.000 UTM), graves (hasta 20.000 UTM) y gravísimas (hasta 40.000 UTM).
Para concluir, el avance de la regulación en Chile responde una política de Estado de promover la ciberseguridad como un asunto transversal, y que se ve reflejado en la actualización de la Política de Ciberseguridad, contando actualmente con una segunda versión (2023-2028).
Desafíos para la región
Uno de los principales desafíos que ha tenido que sortear Chile es la falta de alfabetización digital en regiones y, especialmente, la cultura en los entornos digitales, puesto que se cuenta con un alto nivel de acceso a Internet. Así, si bien la normativa de ciberseguridad está vigente, esto implica no sólo un enfoque preventivo y fiscalizador a través de la ANCI, sino que requiere ajustes importantes en los currículum de enseñanza y fomentar programas de concientización en la ciudadanía.
En el caso de Uruguay, si bien el país ha avanzado significativamente en la construcción de su marco normativo e institucional, el principal desafío sigue siendo acompañar su desarrollo digital con capacidades efectivas de prevención y respuesta frente a incidentes. Para ello, resulta fundamental que las organizaciones incorporen la ciberseguridad como parte de su gestión cotidiana y no únicamente como una obligación de cumplimiento normativo.
A nivel de la región, el trabajo de iniciativas como CSIRT Americas de OEA ha permitido que varios países trabajen de manera colaborativa sobre las amenazas en el ciberespacio y, por ende, los incidentes para compartir información desde un enfoque de inteligencia de amenazas; pero a nivel regulatorio existe una fragmentación que impide que existan marcos similares para promover la colaboración no solo desde el enfoque técnico. En ese sentido, iniciativas desde LAC4 (Centro de Competencia Cibernética de América Latina y el Caribe) como CyberPolicy Bootcamp, sin duda, permite aunar diálogos a nivel normativo en las iniciativas legislativas de ciberseguridad en la región.
[1] Check Point Research, Latin America Sees Sharpest Rise in Cyber Attacks in December 2025 as Ransomware Activity Accelerates, enero de 2026. https://blog.checkpoint.com/research/latin-america-sees-sharpest-rise-in-cyber-attacks-in-december-2025-as-ransomware-activity-accelerates/
[2] Intel 471, Informe sobre el panorama de amenazas en América Latina, citado por Kiteworks, 2026. https://www.kiteworks.com/es/gestion-de-riesgos-de-ciberseguridad/panorama-de-amenazas-ciberneticas-en-america-latina-2026-informe-intel-471/
[3] Naciones Unidas, E-Government Survey 2024, citado por Montevideo Portal. https://www.montevideo.com.uy/Noticias/Uruguay-se-posiciona-como-lider-regional-en-desarrollo-de-gobierno-digital--segun-la-ONU-uc900538
Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
26-10-2026 | Opinión, Posse Herrera Ruiz
Por Manuel De Angulo, Compliance Regional Director Americas en Advanced Sterilization Products – ASP, Colombia
Si la razón principal para implementar inteligencia artificial en Compliance es reducir costos de personal, probablemente ya empezamos por el lugar equivocado.
No porque la IA no funcione. Funciona. Y funciona muy bien. Lo que estamos entendiendo mal es para qué sirve.
Antes de seguir, una aclaración. No estoy hablando de herramientas especializadas que usan inteligencia artificial para hacer due diligence, monitorear terceros o administrar investigaciones. Ese es otro tema.
Estoy hablando de la IA que las empresas quieren incorporar dentro de sus áreas de Compliance. Ese nuevo integrante digital que toma notas, resume reuniones, traduce documentos, redacta borradores y organiza información.
Dicho de otra forma, estoy hablando del nuevo miembro del equipo.
Y si mañana incorporara una IA a mi equipo, no la trataría como a un gerente senior. La trataría como a un estudiante en práctica. Y ciertamente no como al mejor practicante que he tenido.
No es un insulto para la IA. Al contrario.
La IA toma notas mejor que la mayoría de nosotros. Resume documentos en segundos. Encuentra información más rápido que nosotros. Organiza archivos. Traduce. Prepara borradores. No se cansa. No se distrae. No pide vacaciones.
Como practicante es extraordinaria. Pero también comparte algunas de sus limitaciones.
Cuando el contexto se complica, puede equivocarse sin darse cuenta. No tiene criterio. No entiende completamente las consecuencias de una decisión. No sabe distinguir cuándo un riesgo aparentemente pequeño merece una conversación adicional. Y, sobre todo, no sabe asumir responsabilidad.
Por eso, cada vez estoy más convencido de que uno debería delegar en una IA aquello que también estaría dispuesto a delegar en un estudiante en práctica. Y no en el sobresaliente. En uno del montón.
La trampa aparece cuando alguien mira esa productividad adicional y la traduce automáticamente en menos presupuesto, menos personas o menos inversión en Compliance.
Entiendo perfectamente por qué pasa.
Si una IA puede hacer en una hora algo que antes requería tres, la pregunta aparece sola: ¿seguimos necesitando la misma cantidad de personas?
Incluso Finanzas tiene argumentos razonables para plantearla.
Pero ocurre algo parecido a aquel viejo ejemplo de gestión de proyectos: si una madre tiene un bebé en nueve meses, nueve madres no lo tendrán en un mes.
Algunas actividades pueden acelerarse. Otras simplemente requieren capacidad, experiencia y juicio humano.
Productividad y capacidad no son la misma cosa.
Las compañías siguen creciendo. Los mercados siguen creciendo. Los riesgos siguen creciendo. La regulación sigue creciendo. Y las áreas de Compliance rara vez crecen a la misma velocidad.
Hacer el trabajo más rápido no significa que haya menos trabajo. Y aquí aparece la parte incómoda.
La IA no está demostrando que necesitamos menos profesionales de Compliance. Está demostrando que durante años usamos talento especializado para hacer tareas que no requerían talento especializado.
Aceptamos que gerentes, directores y especialistas dedicaran horas a buscar información, compilar correos, consolidar aprobaciones, resumir reuniones y armar primeros borradores.
Eran tareas necesarias. Pero no eran el mejor uso de personas contratadas por su criterio y experiencia.
La IA no está reduciendo el costo de Compliance. Está dejando en evidencia cuánto tiempo desperdiciábamos.
Ahí está la verdadera oportunidad. No en reemplazar profesionales. En devolverles tiempo.
Tiempo para entender mejor al negocio. Tiempo para identificar riesgos antes de que aparezcan. Tiempo para discutir soluciones. Tiempo para influir en decisiones. Tiempo para ser menos reactivos y más predictivos.
Porque la IA puede compilar toda la información necesaria para una decisión. Pero todavía necesita que alguien decida qué hacer con ella. Y en Compliance, al menos por ahora, eso sigue siendo exactamente lo que aporta valor.
La pregunta no es cuántas personas podemos reemplazar gracias a la IA. La pregunta es cuánto tiempo podemos recuperar para que esas personas hagan aquello para lo que realmente fueron contratadas.
Porque el valor de Compliance nunca ha estado en recopilar información. Siempre ha estado en ejercer criterio cuando la información ya está sobre la mesa.
Y quizás esa sea la lección más incómoda de todas: la IA no está revelando un problema de tecnología, está revelando un problema de asignación de talento.
Manuel De Angulo, Compliance Regional Director Americas en Advanced Sterilization Products – ASP, Colombia
Si necesitas más información, escríbenos a contacto@compliancelatam.legal.
22-10-2026 | Bartolome & Briones, Opinión
Por Alnair Gallego, International Compliance Senior Manager en Invenergy, España
En el último Congreso de Compliance organizado por el Instituto de Compliance Officers en Madrid, el pasado mes de marzo, hubo una realidad que me llamó especialmente la atención. No por novedosa, sino porque, quizá por primera vez, fui plenamente consciente de lo que significaba: la transformación de nuestra profesión ya no es una cuestión de futuro, sino una realidad muy presente.
La inteligencia artificial fue, como era de esperar, una de las grandes protagonistas. Pero casi tan revelador como la tecnología fue ver quiénes hablaban de ella. En las mesas del Congreso se vio que los equipos de Compliance de grandes empresas españolas, muchas del Ibex35, ya no están formados solo por abogados, tradicionalmente vinculados al Derecho penal, sino también por ingenieros informáticos, especialistas en datos y analítica, y hasta matemáticos. La composición de nuestros equipos está cambiando porque también lo están haciendo los riesgos que gestionamos.
Durante años, especialmente en España, hablar de Compliance significaba hablar de prevención de riesgos penales. La introducción de la responsabilidad penal de las personas jurídicas en 2010 y, después, la reforma de 2015, que desarrolló los modelos de organización y gestión del artículo 31 bis, situaron el criminal compliance en el centro de la conversación jurídica y empresarial. El modelo debía identificar las actividades en cuyo ámbito pudieran cometerse delitos, establecer protocolos y controles, disponer de mecanismos de información y disciplina y someterse a una verificación periódica. En definitiva, se trataba de construir un sistema capaz de prevenir y detectar delitos en el seno de la organización.
Ese desarrollo fue necesario y continúa siéndolo. Pero Compliance ya no puede explicarse solo desde el Derecho penal, ni sus estructuras diseñarse exclusivamente con esa finalidad. Y no es solo una realidad española: en América Latina, donde Chile, Argentina, Brasil, Colombia, Perú o México han ido construyendo sus propios regímenes de responsabilidad penal corporativa, el reto es el mismo.
El penalista sigue siendo esencial. Su conocimiento de la rama más restrictiva del ordenamiento marca el listón de exigencia en conductas como la corrupción, y en un entorno internacional entender el alcance de las normas penales de cada jurisdicción es una competencia de especial valor “quien puede lo más, puede lo menos” o “quién se prepara para lo peor, se protege de lo menos dañino”. Pero el enfoque penal no es un paraguas: tipifica un catálogo cerrado de conductas, exige por regla general dolo y deja fuera infracciones regulatorias que no requieren intencionalidad, y que pueden acarrear sanciones muy relevantes. Prevenir lo penal ayuda a prevenir lo demás, sí, pero no lo garantiza.
Porque el problema ya no es solo si hemos identificado correctamente un riesgo. La cuestión es si somos capaces de saber, con información suficientemente actualizada, cuándo ese riesgo cambia, qué controles funcionan, dónde se producen excepciones y qué decisiones debemos adoptar como consecuencia de ello. Ese es uno de los grandes cambios de paradigma: Compliance ha dejado de ser únicamente una disciplina normativa para convertirse también en una disciplina de procesos, datos y gestión del riesgo con uso de indicadores automatizados a tiempo real.
El profesional de 2015 dedicaba buena parte de su trabajo a analizar tipos penales, diseñar mapas de riesgos, redactar políticas e impartir formación. El de 2026 debe entender además protección de datos, ciberseguridad, inteligencia artificial, riesgos de terceros, sanciones, esclavitud moderna, blanqueo de capitales, conflictos de interés, procesos financieros, controles internos y, cada vez más, tecnología. Por eso un programa puede estar jurídicamente impecable y ser, al mismo tiempo, operacionalmente débil: políticas excelentes con controles que no se ejecutan de forma consistente, o una matriz de riesgos perfectamente estructurada pero alimentada con información desactualizada.
Durante mucho tiempo, el principal producto de Compliance ha sido el documento: la política, el procedimiento, el código, la matriz, el informe, el material formativo. Todos siguen siendo necesarios, pero ya no bastan. Un buen sistema no se mide por el número de políticas aprobadas, sino por la capacidad de convertirlas en controles efectivos, medibles y adaptables. La ISO 37301 concibe el Compliance como un sistema que debe mantenerse y mejorarse de forma continua, no como un ejercicio estático de documentación. Hoy en día, es la aplicación de la tecnología.
Hace diez años, construir una matriz de riesgos en Excel era, en muchas organizaciones, un paso adelante en la sistematización de la función. Hoy, pretender gestionar riesgos complejos con documentos estáticos, actualizados a mano y desconectados de otras fuentes de información, empieza a resultar anacrónico. Lo que en 2015 modernizaba, en 2026 puede limitar a la propia función de Compliance.
Por eso también tienen que cambiar nuestras matrices de riesgos. Una matriz moderna debería integrar información de distintas fuentes y actualizarse con una frecuencia superior a la revisión anual, de modo que podamos responder a preguntas como qué riesgos han aumentado en los últimos seis meses, qué controles acumulan más excepciones, qué terceros generan más incidencias, qué planes de acción están vencidos o qué controles funcionan en teoría, pero no en la práctica. Dejaría de ser un repositorio para convertirse en una herramienta útil de gestión. Y hoy en día, eso se traduce en diseño y aplicación de IA.
En un promotor de energías renovables, por ejemplo, eso significa que la alerta salte automáticamente cuando un intermediario de permisos, un contratista EPC o un proveedor de la cadena de suministro aparece en una lista de sanciones o de personas políticamente expuestas, en lugar de descubrirlo semanas después en una revisión manual.
Lo mismo ocurre con los indicadores. Saber que se realizaron 500 revisiones de terceros es interesante; saber cuántas excepciones se detectaron, qué porcentaje fueron críticas, cuánto tardaron en resolverse y si la tendencia mejora o empeora permite decidir. Compliance debe pasar de los indicadores de actividad a los de riesgo y eficacia (los famosos KRIs o key risk indicators): no basta con medir cuánto hacemos, hay que medir qué conseguimos con lo que hacemos. Y un Consejo de Administración no necesita más información, sino mejor información: la que permite decidir dónde invertir recursos, qué control modificar, qué riesgo aceptar y dónde es imprescindible una intervención humana.
IA con criterio
Aquí aparece inevitablemente la inteligencia artificial, que ya forma parte del presente. Puede ayudarnos a analizar grandes volúmenes de información, detectar patrones e inconsistencias, clasificar documentación, priorizar revisiones, automatizar tareas repetitivas y facilitar el seguimiento de planes de acción. No significa delegar la responsabilidad en una máquina, sino que el profesional dedique menos tiempo a tareas mecánicas y más a aquellas en las que realmente aporta valor: analizar, cuestionar, contextualizar, decidir y justificar jurídicamente.
La IA puede ayudarnos a identificar una anomalía, pero no debería decidir sola qué significa para la organización. Puede resumir información, pero no debería sustituir el juicio profesional que la interpreta. Puede calcular un indicador, pero no debería fijar el nivel de riesgo que la organización está dispuesta a aceptar. La tecnología aumenta nuestra capacidad de análisis, pero la responsabilidad continúa siendo humana, y también en sentido jurídico: delegar en un algoritmo no traslada la responsabilidad del órgano de cumplimiento ni del órgano de administración.
Existe, además, una paradoja. Uno de los argumentos más habituales contra la IA en Compliance es que se pierde el componente humano, y puede suceder exactamente lo contrario. Un equipo que tarda dos días en consolidar manualmente la información de un indicador podría dedicar ese tiempo a revisar por qué ciertos terceros presentan un patrón de riesgo, investigar excepciones o diseñar una mejora de control. Ese debería ser el verdadero retorno de la tecnología: no hacer lo mismo con menos recursos, sino hacer menos trabajo mecánico para poder hacer más trabajo de valor.
Pero conviene decirlo: la IA es también una fuente de riesgo de compliance. Su uso en investigaciones internas plantea problemas de confidencialidad y de protección de datos; la analítica sobre el comportamiento de los empleados tiene límites laborales y de privacidad; el canal de denuncias, protegido en España por la Ley 2/2023, exige garantías de confidencialidad que una herramienta mal configurada puede comprometer; y un resultado que no sabemos explicar difícilmente podremos justificarlo ante un regulador o un juez.
El nuevo equipo de Compliance
El marco europeo apunta en la misma dirección. El Reglamento de IA mantiene, reformulada tras el Ómnibus digital de julio de 2026, la obligación de promover la alfabetización en IA del personal, y prevé para los sistemas de alto riesgo un sistema de gestión de riesgos continuo y documentado, exigible desde diciembre de 2027 para los del anexo III. La señal es clara: no basta con controlar la tecnología, hay que desarrollar capacidad para comprenderla y gobernarla. Un profesional de Compliance que no entiende mínimamente cómo funciona un modelo de IA tendrá cada vez más dificultades para evaluar los riesgos derivados de su uso. No necesitamos convertir a todos los profesionales de Compliance en ingenieros o matemáticos, pero sí necesitamos alfabetización tecnológica suficiente para formular las preguntas correctas.
El futuro de Compliance no pertenece solo al abogado, ni solo al experto tecnológico, ni solo al especialista en riesgos: pertenece a equipos capaces de combinar esas disciplinas. El abogado seguirá siendo fundamental para interpretar la norma, identificar obligaciones, evaluar responsabilidades y traducir el riesgo jurídico a decisiones empresariales. Pero trabajará cada vez más cerca del especialista en datos, del experto en privacidad, del profesional de ciberseguridad y del responsable de procesos, y todos necesitarán entender el lenguaje de los demás.
Durante años hemos defendido que Compliance debe estar cerca del negocio. Ahora toca dar un paso más: Compliance debe entender cómo funciona la tecnología que eficienta los procesos. No podemos diseñar controles eficaces para procesos que no comprendemos, ni evaluar un riesgo tecnológico sin entender mínimamente la tecnología, ni gobernar el uso de la IA sin utilizarla y conocer sus límites. Y no podemos pedir a la organización que gestione riesgos dinámicos si nuestros propios sistemas de gestión del riesgo permanecen estáticos.
No estamos sustituyendo el criminal compliance: estamos construyendo sobre él. El artículo 31 bis seguirá siendo una pieza relevante del sistema español de responsabilidad penal de las personas jurídicas, y los modelos de prevención de delitos conservarán una función esencial. Pero el universo de Compliance es hoy mucho más amplio, y la función ya no consiste solo en evitar que alguien cometa un delito, sino en ayudar a la organización a identificar sus obligaciones, entender sus riesgos, diseñar controles proporcionales, detectar desviaciones y decidir con información.
Volviendo a aquella sala de Madrid: lo que más me llamó la atención no fue ninguna herramienta, sino ver al penalista, al ingeniero y al matemático hablando de lo mismo. Esa imagen resume el reto mejor que cualquier tendencia. El artículo 31 bis nos enseñó a construir modelos que previenen delitos; el siguiente paso es construir sistemas que se vean funcionar, con datos, con indicadores y con controles que se puedan demostrar. La tecnología hará el trabajo mecánico, y lo hará bien. Lo que no podrá hacer es decidir qué riesgo estamos dispuestos a asumir ni responder por esa decisión. Eso seguirá siendo nuestro, humano. Por eso el mejor Compliance de 2026 no será el que más herramientas tenga, sino el que mejor criterio ponga a su servicio.
Renovarse, en nuestra profesión, no consiste en dejar de ser juristas. Consiste en dejar de ser “solo” juristas.
Alnair Gallego, International Compliance Senior Manager en Invenergy, España
Escríbenos a contacto@compliancelatam.legal para más información.
21-10-2026 | az, Opinión
Por Andrés Cuevas Cárdenas*, Director de Compliance para Latinoamérica en Emergent Cold, Chile
En 2021, Boeing pagó US$237,5 millones para cerrar una demanda derivativa de accionistas por los accidentes del 737 MAX. Este agosto, la Corte de Cancillería de Delaware desestimó una demanda casi idéntica contra prácticamente el mismo directorio, esta vez por el panel de fuselaje que se desprendió de un avión de Alaska Airlines en enero de 2024. Misma empresa, mismo tipo de crisis de seguridad, resultados opuestos.
Casi todo el comentario sobre este fallo se pregunta qué significa para los directorios. Es la pregunta correcta en Wilmington. No lo es tanto para quienes construimos programas de compliance en una docena de sistemas jurídicos, ninguno de los cuales es Delaware, para directorios que probablemente nunca pisarán una corte de ese estado. La pregunta más útil aquí es otra: ¿qué nos termina exigiendo, de todos modos, una doctrina que técnicamente no se nos aplica?
Desde In re Caremark, el derecho de Delaware sostiene que un directorio puede ser responsable por no supervisar los riesgos que le corresponden, no porque un riesgo se haya materializado, sino porque nunca existió un sistema para enterarse de que existía. La vicecanciller Morgan Zurn lo reafirma con claridad en su fallo de agosto: lo que importa no es si la supervisión tuvo éxito, sino si los directores le dieron la espalda de manera consciente a una señal de alerta que tenían enfrente. Un programa de compliance puede fallar, puede ocurrir una infracción grave y, aun así, no hay responsabilidad a menos que el demandante pruebe que el directorio abandonó deliberadamente su deber, de mala fe.
Lo que revelan los resultados opuestos de Boeing
En 2021, el expediente mostró que el directorio de Boeing dependía casi por completo de las auditorías de la FAA, sin un comité de seguridad propio. En 2026, el expediente mostró un comité dedicado, reportes sustantivos, discusión reiterada a nivel de directorio y seguimiento documentado de las medidas de remediación. Es tentador resumirlo en una sola palabra: documentación; pero eso invierte la causalidad. La documentación no es el control. Es la evidencia de que el control existió y operó. El rastro documental no creó la supervisión en 2026; es lo que permitió probarla, años después, ante un tribunal.
El fallo de Zurn precisa el estándar en dos aspectos que vale la pena conocer. Primero: la ley de Delaware “does not demand omniscience” (no exige omnisciencia). Un directorio puede razonablemente dejar ciertos riesgos en manos de la administración sin que eso sea evidencia de haber mirado hacia el lado. Segundo, la corte rechazó un argumento cada vez más frecuente en las demandas Caremark: usar en contra del directorio el volumen de reportes que recibió, como si un reporting extenso probara que los directores sabían todo y no hicieron nada.
Su formulación es difícil de mejorar: “If everything is a red flag, then nothing is” (si todo es una señal de alerta, entonces nada lo es). Los demandantes, señala el fallo, estaban en la práctica “recasting the volume and depth of Boeing’s reporting from a best practice into evidence of disloyalty” (convirtiendo el volumen y la profundidad del reporting de Boeing, de una buena práctica, en evidencia de deslealtad), y la corte rechazó esa maniobra. El analista de compliance Michael Volkov planteó un punto relacionado poco después del fallo: las demandas Caremark recientes han tendido a tratar cualquier información negativa que recibió un directorio como una señal de alerta ignorada, vista en retrospectiva, una lectura que, llevada lo suficientemente lejos, borra la línea entre la supervisión del directorio y la gestión del día a día.
Por qué Caremark importa más allá de Delaware
Aquí es donde esto deja de ser una historia de Delaware. Caremark no tiene fuerza directa sobre un directorio con sede en São Paulo, Ciudad de México o Bogotá. Y aun así gobierna el comportamiento en toda la región: a través de matrices o accionistas controladores con exposición en Estados Unidos que bajan políticas de gobierno corporativo diseñadas para sobrevivir un test Caremark, y a través del contagio reputacional, ya que un incidente grave en una filial latinoamericana puede convertirse en el hecho que sustenta una demanda derivativa contra la matriz en Delaware, exactamente como ocurrió aquí. El directorio que realmente enfrenta el test de Zurn no es el local: es el que está por encima. Pero el registro probatorio que ese directorio necesita tiene que construirse abajo, dentro de las filiales operativas, muchas veces años antes de que alguien sepa que va a importar.
Eso traslada el peso real de la doctrina a un lugar donde el comentario no ha mirado. La discreción de Zurn, decidir qué amerita la atención directa del directorio, rara vez la ejerce el directorio mismo en tiempo real. Se ejerce antes, por quien diseña los umbrales de escalamiento y la estructura de reporte que determina qué llega a ver un director. Alguien tiene que decidir, mucho antes de que nada de esto se ponga a prueba, qué es lo suficientemente material como para escalar: no un juez que trabaja hacia atrás, sino un compliance officer que trabaja hacia adelante, sin saber cuál de las cosas que hoy tiene sobre su escritorio un tribunal podría pasar una semana decidiendo si calificar como señal de alerta dentro de cinco años.
La frase de Zurn describe lo que ve un tribunal en retrospectiva. Quien diseña el sistema de reporte no cuenta con esa retrospectiva, y la lógica corre en ambos sentidos: si todo es riesgo, nada lo es. Una función que escala todo no está siendo cuidadosa: está dejando de ejercer lo único que el directorio realmente necesita de ella, y puede estar construyendo el tipo de rastro documental indiferenciado que un futuro demandante podría intentar presentar como prueba de que el directorio “sabía todo y no hizo nada”.
Qué deberían hacer ahora los programas de compliance
Nada de esto cambia lo que los programas de compliance deben hacer día a día. Cambia el porqué. Identificar qué es genuinamente material y asignar responsables claros. Calibrar los criterios de escalamiento al perfil de riesgo real de cada jurisdicción, en lugar de usar una sola plantilla para todos los mercados. Lograr que el escalamiento active un seguimiento real y documentado, no solo una alerta inicial. Y construir el registro antes de saber si lo vas a necesitar. Cuando alguien pregunte si un directorio actuó de buena fe, la única evidencia que importará es lo que ya estaba escrito.
Caremark no exige omnisciencia, ni exige que todos los directorios, en cualquier lugar, se comporten como si Delaware los estuviera mirando. Exige un sistema de buena fe que identifique lo que importa, lo haga llegar a quienes pueden actuar y pueda demostrar, si se le pregunta, que lo hizo. Construir eso antes de saber si alguna vez habrá que demostrarlo es, en la práctica, la mayor parte del trabajo.
Sobre el autor
Andrés Cuevas Cárdenas es abogado chileno y Director de Compliance para Latinoamérica en Emergent Cold LatAm. Con más de 15 años de experiencia en compañías multinacionales, se especializa en diseñar e implementar programas de compliance en entornos complejos, de alto riesgo y multijurisdiccionales.
Versión en español de un artículo publicado originalmente en inglés en The Compliance & Ethics Blog de la SCCE.
Para más información, escríbenos a contacto@compliancelegal.latam.
15-10-2026 | Bustamante Fabara, Opinión
Por Paulina Zambrano, Directora Legal en Mapfre, Ecuador
Cuando hablamos de seguros, hablamos de una industria altamente regulada, en la que constantemente se emiten normas y resoluciones que obligan a actualizar políticas, procedimientos y conocimientos. Pero cuando una situación se presenta y los manuales no detallan qué hacer exactamente, ¿cómo debemos actuar?
Aquí es donde la cultura de compliance deja de ser solo un concepto corporativo y se convierte en una verdadera herramienta de gestión.
Los seguros son un negocio que se construye alrededor de la confianza, en la cual el cliente paga una prima por una promesa de valor, que en muchos casos (si eres afortunado) solo se podrá comprobar con los años y en los momentos más difíciles, es decir, cuando ocurre un siniestro.
En este contexto, el cumplimiento normativo es indispensable, pero no suficiente. Tan importante como cumplir las normas es preguntarnos si actuamos de forma coherente con los principios y valores que decimos representar. Es precisamente allí donde una cultura sólida, respaldada por valores corporativos y un código de ética, permite tomar decisiones responsables.
Las compañías de seguros, y en general todas las compañías, deben contar con políticas claras, controles efectivos, responsabilidades definidas, mecanismos de prevención y sistemas que permitan identificar y gestionar los riesgos de cumplimiento.
La cultura de compliance surge cuando las personas comprenden el propósito de esos controles, los riesgos que buscan prevenir y la importancia de seguir los procedimientos; este es el verdadero diferenciador. Cuando las personas actúan solo porque “así lo exige la política”, probablemente buscarán cumplir un requisito, pero quien comprende lo que se protege con esa regla estará mejor preparado para tomar decisiones correctas frente a situaciones complejas.
La cultura se prueba no solo cuando la decisión es la correcta, sino que, además, es la evidente. Se prueba cuando existen presiones externas, cuando un cliente importante requiere excepciones al proceso, cuando una operación se debe cerrar rápidamente o cuando el decir “no” puede resultar incómodo. Y esta se construye cuando hacer lo correcto también es una opción viable frente a la presión por hacer lo urgente.
Es precisamente en esos momentos cuando los colaboradores deben sentirse respaldados para levantar la mano, hacer preguntas, advertir de un riesgo o detener un proceso si consideran que algo no está bien.
En seguros, la cultura de compliance no es exclusiva del área legal o de las áreas de control. Está también presente en la suscripción de riesgos, en la selección de proveedores, en la relación con intermediarios y en las gestiones de un siniestro. O también se refleja en situaciones cotidianas como: declarar un conflicto de interés, justificar de manera adecuada una excepción, proteger información confidencial o exigir que todos los proveedores cumplan los controles establecidos.
Tanto en grandes como en pequeñas decisiones, lo importante es tener y aplicar el criterio.
Las normas establecen un marco de actuación, pero ninguna política puede anticipar todas las situaciones. La tecnología evoluciona, aparecen nuevas situaciones, nuevos riesgos, nuevas formas de fraude y nuevas herramientas de inteligencia artificial. Frente a esta realidad, una cultura de compliance madura debe desarrollar algo adicional al conocimiento normativo: capacidad de juicio.
El verdadero valor de compliance no está únicamente en evitar que una organización haga algo incorrecto, sino que la aspiración es ayudar a que el negocio avance de manera sostenible y responsable. Y, en seguros, donde la confianza es parte esencial del negocio, quizá esa sea una de las coberturas más importantes que una organización puede construir: una cultura en la que hacer lo correcto no dependa de quién está mirando.
Paulina Zambrano, Directora Legal en Mapfre, Ecuador
Escríbenos a contacto@compliancelatam.legal si tienes dudas.
