Por Alnair Gallego, International Compliance Senior Manager en Invenergy, España

En el último Congreso de Compliance organizado por el Instituto de Compliance Officers en Madrid, el pasado mes de marzo, hubo una realidad que me llamó especialmente la atención. No por novedosa, sino porque, quizá por primera vez, fui plenamente consciente de lo que significaba: la transformación de nuestra profesión ya no es una cuestión de futuro, sino una realidad muy presente.

La inteligencia artificial fue, como era de esperar, una de las grandes protagonistas. Pero casi tan revelador como la tecnología fue ver quiénes hablaban de ella. En las mesas del Congreso se vio que los equipos de Compliance de grandes empresas españolas, muchas del Ibex35, ya no están formados solo por abogados, tradicionalmente vinculados al Derecho penal, sino también por ingenieros informáticos, especialistas en datos y analítica, y hasta matemáticos. La composición de nuestros equipos está cambiando porque también lo están haciendo los riesgos que gestionamos.

Durante años, especialmente en España, hablar de Compliance significaba hablar de prevención de riesgos penales. La introducción de la responsabilidad penal de las personas jurídicas en 2010 y, después, la reforma de 2015, que desarrolló los modelos de organización y gestión del artículo 31 bis, situaron el criminal compliance en el centro de la conversación jurídica y empresarial. El modelo debía identificar las actividades en cuyo ámbito pudieran cometerse delitos, establecer protocolos y controles, disponer de mecanismos de información y disciplina y someterse a una verificación periódica. En definitiva, se trataba de construir un sistema capaz de prevenir y detectar delitos en el seno de la organización.

Ese desarrollo fue necesario y continúa siéndolo. Pero Compliance ya no puede explicarse solo desde el Derecho penal, ni sus estructuras diseñarse exclusivamente con esa finalidad. Y no es solo una realidad española: en América Latina, donde Chile, Argentina, Brasil, Colombia, Perú o México han ido construyendo sus propios regímenes de responsabilidad penal corporativa, el reto es el mismo.

El penalista sigue siendo esencial. Su conocimiento de la rama más restrictiva del ordenamiento marca el listón de exigencia en conductas como la corrupción, y en un entorno internacional entender el alcance de las normas penales de cada jurisdicción es una competencia de especial valor “quien puede lo más, puede lo menos” o “quién se prepara para lo peor, se protege de lo menos dañino”. Pero el enfoque penal no es un paraguas: tipifica un catálogo cerrado de conductas, exige por regla general dolo y deja fuera infracciones regulatorias que no requieren intencionalidad, y que pueden acarrear sanciones muy relevantes. Prevenir lo penal ayuda a prevenir lo demás, sí, pero no lo garantiza.

Porque el problema ya no es solo si hemos identificado correctamente un riesgo. La cuestión es si somos capaces de saber, con información suficientemente actualizada, cuándo ese riesgo cambia, qué controles funcionan, dónde se producen excepciones y qué decisiones debemos adoptar como consecuencia de ello. Ese es uno de los grandes cambios de paradigma: Compliance ha dejado de ser únicamente una disciplina normativa para convertirse también en una disciplina de procesos, datos y gestión del riesgo con uso de indicadores automatizados a tiempo real.

El profesional de 2015 dedicaba buena parte de su trabajo a analizar tipos penales, diseñar mapas de riesgos, redactar políticas e impartir formación. El de 2026 debe entender además protección de datos, ciberseguridad, inteligencia artificial, riesgos de terceros, sanciones, esclavitud moderna, blanqueo de capitales, conflictos de interés, procesos financieros, controles internos y, cada vez más, tecnología. Por eso un programa puede estar jurídicamente impecable y ser, al mismo tiempo, operacionalmente débil: políticas excelentes con controles que no se ejecutan de forma consistente, o una matriz de riesgos perfectamente estructurada pero alimentada con información desactualizada.

Durante mucho tiempo, el principal producto de Compliance ha sido el documento: la política, el procedimiento, el código, la matriz, el informe, el material formativo. Todos siguen siendo necesarios, pero ya no bastan. Un buen sistema no se mide por el número de políticas aprobadas, sino por la capacidad de convertirlas en controles efectivos, medibles y adaptables. La ISO 37301 concibe el Compliance como un sistema que debe mantenerse y mejorarse de forma continua, no como un ejercicio estático de documentación. Hoy en día, es la aplicación de la tecnología.

Hace diez años, construir una matriz de riesgos en Excel era, en muchas organizaciones, un paso adelante en la sistematización de la función. Hoy, pretender gestionar riesgos complejos con documentos estáticos, actualizados a mano y desconectados de otras fuentes de información, empieza a resultar anacrónico. Lo que en 2015 modernizaba, en 2026 puede limitar a la propia función de Compliance.

Por eso también tienen que cambiar nuestras matrices de riesgos. Una matriz moderna debería integrar información de distintas fuentes y actualizarse con una frecuencia superior a la revisión anual, de modo que podamos responder a preguntas como qué riesgos han aumentado en los últimos seis meses, qué controles acumulan más excepciones, qué terceros generan más incidencias, qué planes de acción están vencidos o qué controles funcionan en teoría, pero no en la práctica. Dejaría de ser un repositorio para convertirse en una herramienta útil de gestión. Y hoy en día, eso se traduce en diseño y aplicación de IA.

En un promotor de energías renovables, por ejemplo, eso significa que la alerta salte automáticamente cuando un intermediario de permisos, un contratista EPC o un proveedor de la cadena de suministro aparece en una lista de sanciones o de personas políticamente expuestas, en lugar de descubrirlo semanas después en una revisión manual.

Lo mismo ocurre con los indicadores. Saber que se realizaron 500 revisiones de terceros es interesante; saber cuántas excepciones se detectaron, qué porcentaje fueron críticas, cuánto tardaron en resolverse y si la tendencia mejora o empeora permite decidir. Compliance debe pasar de los indicadores de actividad a los de riesgo y eficacia (los famosos KRIs o key risk indicators): no basta con medir cuánto hacemos, hay que medir qué conseguimos con lo que hacemos. Y un Consejo de Administración no necesita más información, sino mejor información: la que permite decidir dónde invertir recursos, qué control modificar, qué riesgo aceptar y dónde es imprescindible una intervención humana.

IA con criterio

Aquí aparece inevitablemente la inteligencia artificial, que ya forma parte del presente. Puede ayudarnos a analizar grandes volúmenes de información, detectar patrones e inconsistencias, clasificar documentación, priorizar revisiones, automatizar tareas repetitivas y facilitar el seguimiento de planes de acción. No significa delegar la responsabilidad en una máquina, sino que el profesional dedique menos tiempo a tareas mecánicas y más a aquellas en las que realmente aporta valor: analizar, cuestionar, contextualizar, decidir y justificar jurídicamente.

La IA puede ayudarnos a identificar una anomalía, pero no debería decidir sola qué significa para la organización. Puede resumir información, pero no debería sustituir el juicio profesional que la interpreta. Puede calcular un indicador, pero no debería fijar el nivel de riesgo que la organización está dispuesta a aceptar. La tecnología aumenta nuestra capacidad de análisis, pero la responsabilidad continúa siendo humana, y también en sentido jurídico: delegar en un algoritmo no traslada la responsabilidad del órgano de cumplimiento ni del órgano de administración.

Existe, además, una paradoja. Uno de los argumentos más habituales contra la IA en Compliance es que se pierde el componente humano, y puede suceder exactamente lo contrario. Un equipo que tarda dos días en consolidar manualmente la información de un indicador podría dedicar ese tiempo a revisar por qué ciertos terceros presentan un patrón de riesgo, investigar excepciones o diseñar una mejora de control. Ese debería ser el verdadero retorno de la tecnología: no hacer lo mismo con menos recursos, sino hacer menos trabajo mecánico para poder hacer más trabajo de valor.

Pero conviene decirlo: la IA es también una fuente de riesgo de compliance. Su uso en investigaciones internas plantea problemas de confidencialidad y de protección de datos; la analítica sobre el comportamiento de los empleados tiene límites laborales y de privacidad; el canal de denuncias, protegido en España por la Ley 2/2023, exige garantías de confidencialidad que una herramienta mal configurada puede comprometer; y un resultado que no sabemos explicar difícilmente podremos justificarlo ante un regulador o un juez.

El nuevo equipo de Compliance

El marco europeo apunta en la misma dirección. El Reglamento de IA mantiene, reformulada tras el Ómnibus digital de julio de 2026, la obligación de promover la alfabetización en IA del personal, y prevé para los sistemas de alto riesgo un sistema de gestión de riesgos continuo y documentado, exigible desde diciembre de 2027 para los del anexo III. La señal es clara: no basta con controlar la tecnología, hay que desarrollar capacidad para comprenderla y gobernarla. Un profesional de Compliance que no entiende mínimamente cómo funciona un modelo de IA tendrá cada vez más dificultades para evaluar los riesgos derivados de su uso. No necesitamos convertir a todos los profesionales de Compliance en ingenieros o matemáticos, pero sí necesitamos alfabetización tecnológica suficiente para formular las preguntas correctas.

El futuro de Compliance no pertenece solo al abogado, ni solo al experto tecnológico, ni solo al especialista en riesgos: pertenece a equipos capaces de combinar esas disciplinas. El abogado seguirá siendo fundamental para interpretar la norma, identificar obligaciones, evaluar responsabilidades y traducir el riesgo jurídico a decisiones empresariales. Pero trabajará cada vez más cerca del especialista en datos, del experto en privacidad, del profesional de ciberseguridad y del responsable de procesos, y todos necesitarán entender el lenguaje de los demás.

Durante años hemos defendido que Compliance debe estar cerca del negocio. Ahora toca dar un paso más: Compliance debe entender cómo funciona la tecnología que eficienta los procesos. No podemos diseñar controles eficaces para procesos que no comprendemos, ni evaluar un riesgo tecnológico sin entender mínimamente la tecnología, ni gobernar el uso de la IA sin utilizarla y conocer sus límites. Y no podemos pedir a la organización que gestione riesgos dinámicos si nuestros propios sistemas de gestión del riesgo permanecen estáticos.

No estamos sustituyendo el criminal compliance: estamos construyendo sobre él. El artículo 31 bis seguirá siendo una pieza relevante del sistema español de responsabilidad penal de las personas jurídicas, y los modelos de prevención de delitos conservarán una función esencial. Pero el universo de Compliance es hoy mucho más amplio, y la función ya no consiste solo en evitar que alguien cometa un delito, sino en ayudar a la organización a identificar sus obligaciones, entender sus riesgos, diseñar controles proporcionales, detectar desviaciones y decidir con información.

Volviendo a aquella sala de Madrid: lo que más me llamó la atención no fue ninguna herramienta, sino ver al penalista, al ingeniero y al matemático hablando de lo mismo. Esa imagen resume el reto mejor que cualquier tendencia. El artículo 31 bis nos enseñó a construir modelos que previenen delitos; el siguiente paso es construir sistemas que se vean funcionar, con datos, con indicadores y con controles que se puedan demostrar. La tecnología hará el trabajo mecánico, y lo hará bien. Lo que no podrá hacer es decidir qué riesgo estamos dispuestos a asumir ni responder por esa decisión. Eso seguirá siendo nuestro, humano. Por eso el mejor Compliance de 2026 no será el que más herramientas tenga, sino el que mejor criterio ponga a su servicio.

Renovarse, en nuestra profesión, no consiste en dejar de ser juristas. Consiste en dejar de ser “solo” juristas.

Alnair Gallego, International Compliance Senior Manager en Invenergy, España

Escríbenos a contacto@compliancelatam.legal para más información.