Durante décadas, los bancos guardaron los correos y mensajes de sus empleados con un solo fin: entregarlos a los reguladores cuando los pidieran. Era un costo puro. En el evento Smarsh EDGE de Nueva York, ese mismo archivo se presentó como una fuente de inteligencia de negocio.
Smarsh, proveedor de software para capturar y supervisar comunicaciones con fines de cumplimiento normativo, quiere que sus clientes vean el cambio como una oportunidad. La inteligencia artificial (IA) ya puede analizar un año completo de correos, mensajes y conversaciones con asistentes de IA, y convertirlos en contexto para tomar decisiones. Pero hay una trampa: la propia IA se ha vuelto un canal que también hay que registrar.
Ese canal incluye a los agentes, programas de IA que ejecutan tareas por su cuenta y se comunican con otros agentes. Si un banco no sabe qué dijo un agente ni con qué datos trabajó, no puede responder ante un regulador. Así de simple.
Gobernanza desde la base, no como parche
El consenso en el evento fue claro: la gobernanza debe construirse desde los cimientos. Hoy, muchos clientes diseñan sus propios agentes fuera de las plataformas de cumplimiento. Acceden a los datos mediante servidores del Protocolo de Contexto de Modelos (MCP), un estándar que conecta sistemas de IA con fuentes de información.
La normativa, sin embargo, no distingue tecnologías. Una regla sobre conservación de comunicaciones aplica igual a un correo que a un agente. Y la responsabilidad sigue en el banco, no en el software que usa.
El dato incómodo es otro. Solo 26% de las empresas considera que sus marcos de gobernanza avanzan al mismo ritmo que el despliegue de IA. Las organizaciones adoptan más rápido de lo que controlan.
Del registro al contexto: lo que cambia para el cumplimiento
Goutam Nadella, director de estrategia de Smarsh, planteó el punto de partida. Un sistema de gestión de relaciones con clientes (CRM) guarda solo lo que alguien anotó sobre una reunión. Lo demás se pierde.
Con IA, la historia cambia. Un sistema puede clasificar un año de conversaciones en correo, WhatsApp, Teams y Zoom, y sugerir cómo preparar la siguiente reunión. Lo interesante aquí es que el archivo deja de ser un depósito muerto y pasa a ser material de trabajo.
Smarsh fue socio de lanzamiento de las interfaces de programación de aplicaciones (API) de cumplimiento de Anthropic y OpenAI. Ese acuerdo permite capturar los prompts, las instrucciones que escriben los usuarios, para rastrear hasta su origen cualquier respuesta riesgosa. Nadella recordó que los reguladores han impuesto multas por miles de millones de dólares a instituciones financieras que no conservaron comunicaciones hechas por WhatsApp y otras aplicaciones de mensajería.
Preguntar en lenguaje natural, delegar con límites
Rohit Khanna, director de clientes de Smarsh, describió el cambio en el trabajo diario de los supervisores de cumplimiento. Antes escribían búsquedas booleanas, combinaciones complejas de palabras clave y operadores lógicos, para detectar, por ejemplo, manipulación de mercado. Hoy formulan preguntas en lenguaje cotidiano y reciben conversaciones marcadas con puntajes de riesgo.
Esto no es magia, y Smarsh lo sabe. Una capa de contexto que mapea jerarquías de identidad, sobre la que la empresa ha presentado una patente, ayuda a evitar falsos positivos, es decir, alertas que no corresponden a un riesgo real. La compañía también desarrolla modelos de lenguaje para cumplimiento, más baratos de operar que los modelos de lenguaje grandes (LLM), incluido uno multilingüe que sigue a los hablantes cuando cambian de idioma.
Su grupo de innovación, S-Combinator, con 11 voluntarios, creó un agente de gestión de riesgo de modelos que ya está disponible en acceso limitado. Khanna insistió en el orden de prioridades: primero la gobernanza, después la velocidad.
Kamesh Tumsi, director de producto de Smarsh, aportó la lógica económica. Entre 70% y 80% del gasto en cumplimiento se va en mano de obra. Ahí está el margen para la IA. Smarsh ha lanzado cuatro o cinco agentes en seis meses, junto con su nuevo servidor MCP.
Tumsi también propuso un marco para graduar la autonomía de los agentes en cuatro niveles: asistir, recomendar, ejecutar bajo barreras y actuar de forma totalmente autónoma. Cada proceso se ubica en un nivel según tres preguntas: si el paso es reversible, qué tan complejo es y cuánta visibilidad necesita el equipo sobre lo que ocurre. Esto no es menor. Es una forma concreta de decidir cuánto poder darle a una máquina.
La infraestructura como garantía
Nadella conversó en un panel con Arym Diamond, responsable de ventas de datos e IA de Amazon Web Services (AWS), y Peter Sankauskas, director de tecnología de cartera de Caylent, consultora de servicios en la nube. El tono cambió respecto de hace un año. Según Nadella, la ansiedad de los clientes por la IA se transformó en entusiasmo ahora que la infraestructura existe.
Smarsh firmó con AWS un acuerdo estratégico de colaboración plurianual para incorporar gobernanza y seguridad en la capa de infraestructura. La razón es práctica: los clientes quieren saber quién, o qué, accede a sus datos. Diamond explicó que Smarsh pasó de ser un sistema de registro a un sistema de interacción construido sobre AWS.
Sankauskas resumió el dilema con una frase directa: la autoridad sin contexto produce basura digital, y el contexto sin autoridad obliga a los equipos a vigilar la IA todo el tiempo.
Quién controla el dato, quién controla el riesgo
Gemma Allen, presentadora de transmisiones en vivo que cubrió el evento, afirmó que los datos son el gran foso defensivo de las empresas en 2026. Mi lectura es distinta: el foso no es el dato en sí, sino la disciplina para capturarlo, conservarlo y explicar qué hizo cada agente con él.
Las empresas financieras que traten el cumplimiento como un costo fijo perderán esa carrera. Las que lo integren a la arquitectura, desde el primer día, podrán usar la IA sin apostar su licencia regulatoria a cada respuesta.
Hay tres cosas que conviene vigilar en los próximos meses. Primero, si los reguladores empiezan a sancionar por fallas de agentes, y no solo por correos o mensajes. Segundo, si los niveles de autonomía se vuelven un estándar que las autoridades reconozcan. Tercero, si la gobernanza en la infraestructura se convierte en una exigencia de compra y no en una opción premium.
