¿Puede un XLS o una IA cumplir las obligaciones antilavado?

La tecnología como nueva exigencia del cumplimiento antilavado

La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 16 de julio de 2025, modificó sustancialmente las obligaciones de quienes realizan actividades vulnerables. El cambio no se limita a ampliar expedientes o exigir nuevas políticas internas: incorpora mecanismos para examinar continuamente las operaciones y detectar riesgos.

El Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, desarrolló esta obligación mediante el Capítulo XIII de las Reglas de carácter general, dedicado a los mecanismos automatizados.

La disposición plantea una cuestión relevante para empresas y profesionistas: ¿es indispensable contratar un sistema informático especializado o puede cumplirse mediante herramientas accesibles, como una hoja de cálculo? La respuesta depende de la capacidad real de la herramienta para ejecutar las funciones exigidas por la normativa.

El régimen no establece una obligación general de adquirir determinado software. Sin embargo, tampoco permite considerar suficiente cualquier archivo electrónico que almacene nombres y operaciones. La exigencia jurídica consiste en contar con mecanismos proporcionados al riesgo de la actividad y capaces de producir resultados comprobables.

Fundamento legal y fecha de exigibilidad

El artículo 18, fracción X, de la LFPIORPI establece la obligación de contar con mecanismos automatizados que permitan dar seguimiento a los actos u operaciones de los clientes y usuarios, conforme a las disposiciones aplicables. El artículo 3, fracción XI Ter, de las Reglas define estos mecanismos como procesos, sistemas o herramientas tecnológicas que permiten revisar continuamente las operaciones.

La definición admite expresamente sistemas especializados, hojas de cálculo, bases de datos y otros medios equivalentes, siempre que cumplan las funciones normativas y puedan verificarse ante la autoridad. Por su parte, el artículo noveno transitorio del Acuerdo 115/2026 dispone que los mecanismos deberán encontrarse implementados a más tardar el 1 de junio de 2027.

También establece que deberán contener la información de los actos u operaciones realizados a partir de esa fecha. La obligación tiene, por tanto, un plazo determinado. No debe confundirse con la entrada en vigor general del Acuerdo, prevista para el 30 de noviembre de 2026, ni con otras obligaciones cuyo cumplimiento comienza el 1 de marzo de 2027.

La legislación antilavado no exige necesariamente comprar un programa especializado; exige demostrar que los mecanismos utilizados identifican, acumulan, monitorean y alertan de manera verificable

Las seis funciones obligatorias del artículo 41

El artículo 41 de las Reglas establece que los mecanismos deben ser razonablemente adecuados al volumen, naturaleza, complejidad y riesgo de las operaciones. La disposición contempla seis funciones mínimas. La primera consiste en conservar, actualizar y permitir la consulta de la información correspondiente al expediente único de identificación de cada cliente o usuario.

La segunda exige agrupar las operaciones de una misma persona en una base consolidada, monitorear desviaciones respecto de su perfil transaccional y realizar las acumulaciones previstas por la LFPIORPI. La tercera requiere proporcionar la información necesaria para ejecutar la metodología de evaluación de riesgos.

La cuarta consiste en aplicar el modelo de clasificación individual de clientes, conservando durante al menos diez años el historial de modificaciones de su grado de riesgo y perfil transaccional.

La quinta exige generar alertas sobre operaciones con clientes de riesgo alto, personas políticamente expuestas, personas incluidas en las listas previstas por las Reglas y operaciones relacionadas con determinadas jurisdicciones de riesgo. Finalmente, la sexta establece el monitoreo del uso de efectivo y metales preciosos para cumplir las restricciones del artículo 32 de la LFPIORPI. Estas funciones constituyen el parámetro jurídico para evaluar cualquier solución tecnológica.

¿Puede una hoja de cálculo cumplir la ley?

La respuesta es afirmativa en términos de posibilidad normativa, pero depende de su diseño y funcionamiento. Una empresa que realiza pocas operaciones vulnerables podría implementar un mecanismo apoyado en hojas de cálculo, siempre que garantice la ejecución de las seis funciones exigidas. Por ejemplo, una base de clientes vinculada con un registro de operaciones puede calcular acumulaciones, identificar vencimientos documentales y aplicar una matriz de riesgos mediante fórmulas protegidas.

Sin embargo, la simple captura manual de operaciones no constituye necesariamente un mecanismo automatizado suficiente. La herramienta debe permitir identificar inconsistencias, ejecutar reglas de monitoreo y conservar información verificable. También resulta indispensable controlar las modificaciones. Si cualquier usuario puede alterar fórmulas, borrar operaciones o modificar clasificaciones sin dejar evidencia, la integridad del mecanismo será difícil de demostrar.

La legislación no exige expresamente una tecnología determinada para generar bitácoras, pero la trazabilidad constituye una medida técnica recomendable para acreditar el funcionamiento y la confiabilidad del sistema.

Cuándo una hoja de cálculo deja de ser razonable

La proporcionalidad prevista en el artículo 41 impide establecer que todas las organizaciones necesitan la misma infraestructura tecnológica. Una persona que realiza operaciones ocasionales puede enfrentar necesidades distintas de una empresa con numerosas sucursales, cientos de clientes y operaciones diarias.

El problema aparece cuando el volumen supera la capacidad de control de la herramienta. Si varios empleados modifican simultáneamente los registros, las listas deben actualizarse continuamente o existen numerosas operaciones que requieren acumulación, una hoja de cálculo puede volverse vulnerable a errores. También pueden surgir dificultades para controlar permisos, recuperar información eliminada y demostrar el historial de modificaciones. En esos casos, un sistema especializado puede resultar más adecuado.

No porque la ley lo imponga expresamente, sino porque la complejidad operativa exige controles más robustos para cumplir las mismas obligaciones. La elección tecnológica debe justificarse mediante una evaluación documentada del riesgo, volumen y características de la actividad vulnerable.

Inteligencia artificial: una herramienta permitida, no una obligación

El artículo 41 no exige utilizar inteligencia artificial. Tampoco establece una prohibición general de incorporarla a los mecanismos automatizados. En consecuencia, puede emplearse como herramienta auxiliar, siempre que su funcionamiento sea compatible con las obligaciones legales.

La inteligencia artificial puede facilitar la lectura de identificaciones, la extracción de información de documentos corporativos, la identificación de inconsistencias y el análisis de patrones transaccionales. También puede apoyar la revisión de información pública sobre clientes, beneficiarios controladores y personas políticamente expuestas.

Sin embargo, estas aplicaciones presentan riesgos particulares. Un modelo puede interpretar incorrectamente documentos, asociar personas distintas con nombres semejantes o generar conclusiones sin sustento verificable. Por ello, las decisiones relevantes deben apoyarse en información contrastable y procedimientos de revisión. La rapidez de una herramienta no equivale a la confiabilidad jurídica de sus resultados.

Explicabilidad y clasificación de riesgos

El Capítulo II Quáter de las Reglas exige desarrollar una metodología de evaluación de riesgos que identifique factores, indicadores, mecanismos de medición y medidas de mitigación. Por su parte, el Capítulo III Bis regula la clasificación individual de clientes, estableciendo al menos los grados bajo, medio y alto. El artículo 23 Bis 1 exige reevaluar el grado de riesgo, como mínimo, cada seis meses, con mayor frecuencia cuando las circunstancias lo ameriten.

Estas obligaciones plantean límites al uso de modelos de inteligencia artificial cuya lógica no puede explicarse. Si una herramienta clasifica a un cliente como de riesgo bajo, el sujeto obligado debe poder justificar los factores utilizados y la congruencia del resultado con su metodología. No sería suficiente afirmar que la clasificación fue determinada automáticamente por un proveedor tecnológico.

La inteligencia artificial puede apoyar la evaluación, pero el modelo de riesgos debe permanecer documentado, ser consistente y permitir la revisión de sus resultados. Cuando una recomendación automatizada sea modificada por una persona, conviene conservar la justificación correspondiente.

Alertas, listas oficiales y personas políticamente expuestas

El artículo 41 exige mecanismos de alerta respecto de determinadas personas, operaciones y jurisdicciones. Esto comprende el seguimiento de clientes de riesgo alto, personas políticamente expuestas y coincidencias con las listas previstas en las Reglas. También deben considerarse los países y territorios comprendidos en los supuestos normativos.

Una herramienta de inteligencia artificial puede contribuir a identificar coincidencias aproximadas, particularmente cuando existen diferencias ortográficas o variaciones en los nombres. Sin embargo, una coincidencia no demuestra automáticamente que se trate de la misma persona. La revisión debe incorporar elementos adicionales de identificación y documentar la decisión adoptada.

El artículo décimo transitorio del Acuerdo 115/2026 contempla la disponibilidad posterior del mecanismo de consulta previsto en el artículo 23 Quáter 1, nueve meses después de la entrada en vigor general del Acuerdo. Por ello, las organizaciones deberán integrar oportunamente los procedimientos de consulta y conservar evidencia de los resultados, conforme a los mecanismos oficiales que se habiliten.

La inteligencia artificial puede fortalecer la prevención de lavado de dinero, pero ninguna herramienta tecnológica sustituye la responsabilidad jurídica de quien realiza actividades vulnerables

Protección de datos personales y servicios de inteligencia artificial

Los expedientes antilavado pueden contener identificaciones, domicilios, información patrimonial y datos de beneficiarios controladores. Su tratamiento debe observar la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025.

Cuando se utilizan servicios tecnológicos externos, particularmente plataformas de inteligencia artificial en la nube, es necesario determinar qué información recibe el proveedor, para qué la utiliza y bajo qué condiciones la conserva.

Debe distinguirse entre el tratamiento realizado por un encargado siguiendo instrucciones del responsable y una transferencia de datos a otro responsable. Las consecuencias jurídicas no son necesariamente iguales. También deben revisarse los avisos de privacidad, las medidas de seguridad, las condiciones contractuales y los mecanismos para impedir usos incompatibles con las finalidades autorizadas.

Una precaución especialmente importante consiste en evitar que los expedientes de identificación sean incorporados a herramientas que puedan utilizarlos para entrenar modelos o conservarlos sin controles suficientes. La confidencialidad de la información relacionada con avisos y operaciones sensibles requiere medidas adicionales de acceso y resguardo.

La responsabilidad sigue siendo del sujeto obligado

La contratación de un proveedor tecnológico no traslada automáticamente las obligaciones previstas por la LFPIORPI. El sujeto obligado continúa siendo responsable de implementar mecanismos adecuados y de demostrar su funcionamiento ante la autoridad. El representante encargado de cumplimiento debe conocer las capacidades y limitaciones del sistema, sin que ello signifique que deba desarrollar personalmente sus componentes informáticos.

La empresa también debe establecer procedimientos para corregir errores, atender alertas, actualizar listas y recuperar información. El contrato con el proveedor puede contemplar niveles de servicio, medidas de seguridad, conservación de registros y responsabilidades por fallas técnicas. No obstante, esas cláusulas no eliminan las obligaciones legales frente a la autoridad.

Además, el Capítulo XIV de las Reglas contempla una auditoría anual de efectividad cuyo primer periodo obligatorio será 2028. Esto significa que los mecanismos implementados durante 2027 deberán producir evidencia suficiente para demostrar su funcionamiento durante el ejercicio auditado.

Conclusión: automatizar significa poder demostrar

El nuevo régimen antilavado no exige sofisticación tecnológica por sí misma. Una hoja de cálculo correctamente diseñada puede constituir una solución válida para operaciones de menor complejidad. Un sistema especializado puede resultar necesario en términos prácticos cuando el volumen y los riesgos superan la capacidad de herramientas sencillas.

La inteligencia artificial ofrece posibilidades adicionales, pero también exige controles de calidad, explicabilidad, confidencialidad y supervisión. El parámetro decisivo será siempre el artículo 41: conservar información, consolidar operaciones, alimentar la metodología, clasificar riesgos, generar alertas y monitorear el uso de efectivo y metales preciosos. La obligación que comenzará a exigirse el 1 de junio de 2027 no consiste en adquirir tecnología, sino en demostrar que los mecanismos utilizados funcionan, producen información confiable y permiten prevenir riesgos de manera verificable.