El 17 de abril de 2026, la FDIC, la Oficina del Contralor de la Moneda y la Junta de Gobernadores del Sistema de la Reserva Federal publicaron conjuntamente unas directrices revisadas sobre la gestión del riesgo de modelo, lo que supone la actualización más importante en este ámbito de la supervisión bancaria desde la SR 11-7 de 2011. La guía derogó dos cartas anteriores dirigidas a las entidades financieras (FIL-22-2017 y FIL-27-2021) y las sustituyó por un marco modernizado, basado en principios y diseñado para el panorama actual de los modelos.
Para los responsables de riesgos y cumplimiento normativo del sector bancario, la cuestión fundamental no es solo qué ha cambiado, sino si su actual programa de gobernanza está diseñado para ofrecer el nivel de rigor y continuidad que exige esta directriz.
Lo que dijeron las agencias… y lo que no dijeron
La guía revisada se basa deliberadamente en principios, sin ser de carácter prescriptivo. Las agencias dejan claro que no establece normas de obligado cumplimiento y que el incumplimiento, por sí solo, no dará lugar a críticas por parte de las autoridades de supervisión. Pero no hay que confundir la flexibilidad con unas expectativas bajas. La guía describe en qué consiste una «buena práctica», y los reguladores utilizarán ese criterio en las inspecciones.
Ámbito de aplicación principal: entidades bancarias con activos totales superiores a 30 000 millones de dólares. No obstante, las directrices también se aplican explícitamente a instituciones más pequeñas con «una exposición significativa al riesgo de modelo debido a la prevalencia y complejidad de sus modelos».
¿Qué se entiende por «modelo» en el presente documento orientativo? Un método, sistema o enfoque cuantitativo complejo que aplica teorías estadísticas, económicas o financieras para transformar datos de entrada en estimaciones cuantitativas. Quedan excluidos los cálculos aritméticos sencillos, los procesos deterministas basados en reglas y el software básico.
Lo que NO entra dentro del ámbito de aplicación: los modelos de IA generativa y de IA agentiva quedan explícitamente excluidos en la nota al pie 3. Sin embargo, las agencias también afirman que «las prácticas de gestión de riesgos y de gobernanza de un banco deben servir de guía para determinar la gobernanza y los controles adecuados» para estas herramientas. El mensaje es claro: la IA generativa sigue teniendo que estar sujeta a algún tipo de gobernanza.
Cinco implicaciones para los equipos de riesgo y cumplimiento normativo del sector bancario
1. El inventario de modelos es ahora una expectativa básica
La guía califica el mantenimiento de un inventario exhaustivo de modelos como una «práctica habitual en el sector», una formulación que pone de manifiesto las expectativas de los inspectores. Su inventario debe recoger información suficiente para comprender los riesgos de los modelos tanto a nivel individual como agregado, incluidas las dependencias entre modelos, las fuentes de datos comunes y los supuestos compartidos.
Esto significa que la gestión del inventario de modelos debe ir más allá de las hojas de cálculo. Un repositorio centralizado y regulado, en el que se puedan realizar búsquedas, que esté actualizado y vinculado al estado de validación y a los controles, constituye la base de un programa de riesgo de modelos que se pueda justificar.
2. La importancia relativa determina el nivel de gobernanza
La guía presenta la materialidad como el criterio principal para evaluar el rigor de la gobernanza. La materialidad modelo depende de dos factores:
- Exposición al modelo: la importancia de los resultados del modelo para las decisiones empresariales, que se puede medir por el tamaño de la cartera o por el impacto en el negocio.
- Finalidad del modelo: si el modelo sirve para cumplir requisitos normativos o para la gestión del riesgo financiero (mayor riesgo) frente a otros usos
Los modelos de alta importancia requieren una «supervisión exhaustiva y rigurosa». Los modelos de menor importancia pueden identificarse y supervisarse mediante prácticas menos estrictas. Los responsables de riesgos y cumplimiento deben aplicar esta clasificación por niveles tanto en las políticas como en los sistemas, y documentar cómo se realizan y revisan las clasificaciones de importancia.
3. Un «desafío eficaz» requiere algo más que conocimientos técnicos
El «cuestionamiento eficaz» debe correr a cargo de personas que reúnan tres cualidades: los conocimientos especializados adecuados, la independencia suficiente y el prestigio y la influencia dentro de la organización necesarios para lograr cambios. Este tercer elemento es, a menudo, en lo que los bancos se quedan cortos.
Se aclara la función de la auditoría interna: debe evaluar si las prácticas de gestión del riesgo de modelo son rigurosas y eficaces, sin duplicar las actividades de desarrollo o validación. Los bancos que recurran a recursos externos deben mantener una supervisión adecuada e integrar ese trabajo en el programa general.
4. El seguimiento continuo debe tener en cuenta la evolución de las condiciones
Las directrices vinculan explícitamente el seguimiento continuo a las condiciones cambiantes: productos, exposiciones, clientes, relevancia de los datos y dinámica del mercado. Un modelo que funcionaba bien en el momento de su desarrollo puede dejar de ser adecuado para su finalidad en un entorno de tipos de interés diferente o tras un cambio en la cartera.
Se trata de un claro impulso hacia la supervisión continua, en lugar de los ciclos de revisión basados en el calendario. Los bancos que cuenten con programas de revisión anuales o semestrales deberían evaluar si esa periodicidad es justificable, teniendo en cuenta el perfil de importancia relativa de sus modelos, y si su infraestructura de supervisión es capaz de detectar un deterioro del rendimiento casi en tiempo real.
5. La validación del modelo del proveedor es una obligación de primer orden
La guía dedica una sección completa a los modelos de proveedores y terceros. Incluso cuando el código, los datos o la metodología subyacentes sean de carácter privado, se aplican los principios de gestión del riesgo de los modelos. Los bancos deben:
- Adquirir conocimientos sobre la solidez conceptual del modelo del proveedor, así como sobre los datos de diseño y desarrollo.
- Llevar a cabo un seguimiento continuo y un análisis de resultados para evaluar si los modelos de los proveedores siguen siendo adecuados para su finalidad
- Documentar, justificar y evaluar los ajustes realizados para personalizar los modelos de los proveedores
Para la mayoría de las entidades bancarias, el riesgo asociado a los modelos de los proveedores constituye una laguna importante y cada vez mayor. La proliferación de colaboraciones con empresas fintech, de modelos de crédito y de detección de fraudes basados en la inteligencia artificial, y de sistemas de terceros para el cumplimiento de la BSA y la normativa AML da lugar a un amplio conjunto de modelos de los que los bancos son, en última instancia, responsables, incluso cuando el proveedor conserva la propiedad intelectual subyacente.
El comodín de la gobernanza de la IA
La exclusión explícita de la IA generativa y la IA agente del ámbito de aplicación de estas directrices puede parecer un respiro. Pero no lo es.
Las agencias reconocen que estas tecnologías son «novedosas y están en rápida evolución» y que deben seguir existiendo mecanismos de gobernanza y controles, determinados por las propias prácticas de gestión de riesgos del banco. Si tu banco está implementando modelos de lenguaje a gran escala, agentes de IA o herramientas de IA generativa en cualquier proceso empresarial, necesitas un marco de gobernanza de la IA específico que complemente —y se integre con— tu programa de gestión de riesgos de modelos.
Ese marco debe abordar la gestión del inventario de IA, las evaluaciones de sesgos y equidad, la transparencia en la toma de decisiones basada en IA, el análisis del cumplimiento normativo (incluida la futura Ley de IA de la UE y los marcos nacionales) y la explicabilidad tanto para los reguladores como para los clientes.
La diferencia entre «la IA queda excluida de las directrices sobre el riesgo de los modelos» y «la IA carece de regulación» es precisamente donde reside el riesgo regulatorio.
Cómo ayuda Archer a las entidades bancarias a cumplir esta norma
Archer AI Governance ofrece un enfoque empresarial para un marco de gestión del riesgo de los modelos con una gestión centralizada del inventario de IA: un repositorio completo y categorizado de activos de IA, clasificados según su nivel de riesgo y su área de aplicación. Las evaluaciones predefinidas y personalizables ayudan a los bancos a evaluar los modelos de IA en función de los requisitos normativos. Una biblioteca de controles lista para usar fomenta las prácticas éticas en materia de IA, y las herramientas de transparencia proporcionan una documentación clara de la toma de decisiones basada en la IA para los reguladores y las partes interesadas. En consonancia con la Ley de IA de la UE, Archer AI Governance también ofrece flexibilidad para adaptarse a los marcos nacionales de IA en constante evolución.
El enfoque de gobernanza de la IA incluye capacidades específicas para evaluar los requisitos normativos y los riesgos propios de la IA y los modelos estadísticos. El proceso de evaluación del cumplimiento permite comparar los modelos con los requisitos normativos vigentes, con registros de auditoría exhaustivos e informes detallados de cumplimiento. Las capacidades de gobernanza de datos garantizan una alta calidad e integridad de los datos, lo que responde directamente al énfasis que las directrices ponen en la calidad de los datos en el desarrollo de modelos.
Conclusión
Las directrices interinstitucionales revisadas sobre el riesgo de modelos indican que los reguladores esperan que las entidades bancarias gestionen los modelos mediante un marco de gestión del riesgo de modelos con un rigor proporcional al riesgo, una continuidad proporcional a la importancia relativa y una documentación suficiente para superar una inspección. Se trata de un programa continuo, no de un proyecto anual. Para los bancos que siguen gestionando el riesgo de modelos mediante hojas de cálculo, flujos de trabajo de validación manuales y calendarios de revisión periódicos, la brecha entre la situación actual y las expectativas de los inspectores se está ampliando. Las empresas pioneras en la adopción de la IA están logrando reducciones del 40 al 60 % en los costes manuales de cumplimiento, con una amortización en menos de tres años. La buena noticia es que se trata de un problema que tiene solución. El inventario centralizado, los niveles de gobernanza basados en el riesgo, la supervisión automatizada y la gobernanza integrada de la IA no son capacidades a las que aspirar: son lo que los clientes de Archer ya utilizan hoy en día.
Preguntas frecuentes
¿Se aplica a mi banco la nueva guía sobre riesgos del modelo interinstitucional si nuestros activos son inferiores a 30.000 millones de dólares?
Es posible. Aunque el ámbito de aplicación principal se centra en las entidades bancarias con más de 30 000 millones de dólares en activos totales, las directrices se extienden explícitamente a las entidades más pequeñas que presentan una exposición significativa al riesgo de modelo debido a la prevalencia y complejidad de sus modelos. Si su banco depende en gran medida de modelos cuantitativos para el crédito, el fraude, la BSA/AML u otras funciones, debería evaluar su exposición independientemente del volumen de activos.
Nuestro banco utiliza varios modelos de terceros y proporcionados por proveedores. ¿Seguimos siendo responsables de validarlos?
Sí, sin lugar a dudas. Las directrices establecen que la validación de los modelos de los proveedores es una obligación de primer orden. Incluso cuando el código, la metodología o los datos subyacentes son de carácter privado, tu banco sigue siendo responsable de comprender la solidez conceptual, llevar a cabo un seguimiento continuo y documentar cualquier adaptación. Dado el crecimiento de las colaboraciones con empresas fintech y de los sistemas de terceros basados en inteligencia artificial, esta es una de las carencias más importantes y que más se suelen subestimar en las entidades bancarias hoy en día.
La IA generativa queda excluida de estas directrices; ¿significa eso que no es necesario regularla?
No. La exención no es un «pase libre». Las agencias establecen explícitamente que las propias prácticas de gestión de riesgos de cada banco deben determinar la gobernanza y los controles adecuados para las herramientas de IA generativa y de IA agentiva. Si su banco está implementando grandes modelos de lenguaje o agentes de IA en cualquier proceso empresarial, necesita un marco de gobernanza de la IA específico que funcione en paralelo a su programa de riesgo de modelos —y que abarque la gestión del inventario, las evaluaciones de sesgos, la explicabilidad y el mapeo del cumplimiento normativo—. La diferencia entre «excluido de las directrices sobre riesgo de modelos» y «sin gobernanza» es precisamente donde reside el riesgo regulatorio.
