Inteligencia artificial para servicios financieros y mercado de valores: atención, cumplimiento y control dentro de la regulación ecuatoriana

¿Qué tamaño tiene el sistema financiero ecuatoriano?

El catastro público de la Superintendencia de Bancos lista 23 bancos privados nacionales, una sucursal de banco extranjero y 4 bancos públicos. A su lado opera el sector financiero popular y solidario: según el reporte Actualidad y cifras de agosto de 2026 de la Superintendencia de Economía Popular y Solidaria (SEPS), son 391 entidades con 6.493.924 socios, USD 32.721 millones en activos, USD 21.190 millones en créditos y USD 27.264 millones en depósitos, una morosidad de 8,0 % y 6.371 puntos de atención. Ese sector administra 2,1 millones de operaciones de crédito vigentes: cada una es un contrato, un calendario de pagos y, cuando hay atraso, una gestión de cobranza.

El Registro Estadístico de Empresas 2024 del Instituto Nacional de Estadística y Censos (INEC) muestra el perfil del sector: las actividades financieras y de seguros son apenas 3.366 empresas, el 0,3 % del total, pero generan USD 16.671,6 millones en ventas, el 7,4 % de todas las ventas registradas, con 78.079 plazas de empleo. Pocas entidades, grandes volúmenes y una regulación intensa. A ese mapa se suman las casas de valores, las administradoras de fondos y fideicomisos y las bolsas: la Ley de Mercado de Valores encarga a la Superintendencia de Compañías, Valores y Seguros la vigilancia, auditoría y control de ese mercado (art. 10).

¿Dónde conviene usar inteligencia artificial y dónde todavía no?

En un sector regulado, la pregunta útil no es qué puede hacer la IA, sino quién decide en cada paso:

Las piezas de esta tabla corresponden a módulos concretos: el copiloto gerencial para los reportes, la revisión de contratos para los documentos y WhatsApp para empresas para la atención. El principio de que una persona supervisa las decisiones con efectos sobre el cliente tiene nombre propio: humano en el circuito.

¿Qué regulación pesa más al diseñar un agente de IA?

Derechos del usuario financiero

El Código Orgánico Monetario y Financiero (COMF) reconoce el derecho a servicios de calidad y a información precisa y no engañosa, y a elegir productos sin presiones (art. 152). Garantiza la confidencialidad de la información personal (art. 155) y, entre otros casos, ampara al usuario frente a métodos de cobranza que atenten contra su privacidad, dignidad u honra; además obliga a publicar en la web los modelos de contratos estandarizados (art. 155.1).

Cada entidad debe tener un defensor del cliente independiente, cuyos datos de contacto se informan por los canales de atención y en los estados de cuenta (art. 158). Los reclamos se responden en un término máximo de 15 días, o 40 si son transacciones internacionales; si no hay respuesta a tiempo, o si el cargo no tenía autorización previa, la entidad devuelve el monto disputado con intereses (art. 158.1).

Para un agente de atención, eso se traduce en reglas concretas: informar cómo contactar al defensor del cliente, registrar cada reclamo con fecha y hora, no presionar ni insistir fuera de lo permitido y entregar el caso a una persona antes de que venza el término.

Datos personales y decisiones automatizadas

La Ley Orgánica de Protección de Datos Personales (LOPDP) da al titular derecho a no ser sometido a decisiones basadas única o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles, cuando le producen efectos jurídicos o afectan sus derechos. Puede pedir una explicación motivada, los criterios de valoración y los datos usados, e impugnar la decisión; las excepciones incluyen que la decisión sea necesaria para celebrar o ejecutar un contrato y que exista consentimiento explícito (art. 20). Los datos crediticios solo pueden usarse para evaluar solvencia y no pueden comunicarse pasados cinco años desde que la obligación se hizo exigible (art. 28). La evaluación de impacto es obligatoria cuando se evalúan personas de forma sistemática con tratamiento automatizado y se toman decisiones con efectos jurídicos (art. 42).

Por eso los modelos que asisten decisiones de crédito deben ser explicables. La entrada del glosario sobre explicabilidad y la guía de inteligencia artificial y datos personales desarrollan el tema.

Prevención de lavado de activos

La ley de 2024, publicada en el Registro Oficial el 29 de julio de 2024 y vigente un año después de su publicación, según su disposición final, considera sujetos obligados financieros a bancos, cooperativas, mutualistas, administradoras de tarjetas, bolsas y casas de valores y administradoras de fondos y fideicomisos, entre otros (art. 27). La debida diligencia incluye verificar identidad, beneficiario final, propósito de la relación y origen de los fondos (art. 43). Sin debida diligencia completa no se puede iniciar la relación; si ya empezó, se termina y se reporta como operación sospechosa (art. 47). Los registros se conservan diez años (art. 48).

Mercado de valores

La Ley de Mercado de Valores, Libro II del COMF, obliga a divulgar de forma veraz, completa y oportuna los hechos relevantes (art. 25) y a guardar estricto sigilo sobre la información privilegiada (art. 27). Además, el Código Orgánico Integral Penal (COIP) sanciona la revelación ilegal de bases de datos con uno a tres años de prisión, y con tres a cinco cuando la cometen empleados bancarios o de entidades de la economía popular y solidaria que hacen intermediación financiera (art. 229). Los permisos por rol no son un detalle técnico: son la primera defensa.

En Advise, al modelo solo llegan datos seudonimizados o cifrados, rige retención cero y el módulo de cumplimiento LOPDP incluye la evaluación de impacto, el registro de actividades y la auditoría de los agentes en producción.

¿Qué riesgos técnicos hay que controlar?

• Respuestas inventadas. Un modelo de lenguaje puede redactar algo plausible y falso. En atención al cliente, el agente debe responder solo con base en documentos aprobados por la entidad, una técnica conocida como RAG, y decir "no sé" antes que improvisar una tasa o un requisito.
• Datos sin autenticación. Saldos, movimientos y estados de cuenta solo se entregan después de verificar la identidad del cliente por un mecanismo que la entidad ya controle. Un número de WhatsApp no es, por sí solo, una prueba de identidad.
• Sesgo en modelos de riesgo. Un puntaje entrenado con datos históricos puede repetir patrones injustos. Por eso se revisa con métricas por segmento y se documentan los criterios de valoración, que el titular puede pedir según el artículo 20 de la LOPDP.
• Trazabilidad. Cada consulta del agente, cada documento que lee y cada respuesta que entrega deben quedar registrados, porque un reclamo o una auditoría se resuelven con evidencia.
• Proveedores. El contrato con el proveedor del modelo debe asegurar dónde se procesan los datos, cuánto tiempo se retienen y que no se usan para entrenar.

¿Por dónde empezar en una entidad financiera?

1. Reclamos. Tienen plazo legal, volumen y una línea base que ya existe: el COMF obliga a reportar cada semestre a la superintendencia el número de reclamos, los atendidos a favor y los montos devueltos (art. 157). Indicadores: porcentaje de reclamos respondidos dentro del término y días promedio de respuesta.
2. Reportes de gerencia. Cartera, morosidad, captaciones y concentración, respondidos en lenguaje normal desde el sistema central. Indicador: reportes que se preparan solos.
3. Debida diligencia. Cuando los dos anteriores ya funcionan, el agente prepara los expedientes y el oficial de cumplimiento decide.

En una fintech, la ley ya define el terreno: la concesión digital de créditos, la intermediación financiera digital y la asesoría financiera apoyada en tecnología, incluidos los asesores automatizados, son servicios financieros tecnológicos (COMF, art. 439.1). Si el producto es la propia automatización, el cumplimiento tiene que diseñarse desde el primer día.