Un agente de IA que atiende clientes de un banco en Brasil o en México responde a tres marcos: la LGPD para los datos personales y las decisiones automatizadas, la Resolución CMN 4.893 del Banco Central do Brasil para la contratación de nube y datos, y las reglas de la CNBV para los proveedores de los bancos mexicanos.
Este artículo resume qué pide cada uno, qué significa en la práctica para un agente conversacional y qué preguntas conviene hacerle a cualquier proveedor antes de llevarlo a la revisión de Riesgos.
LGPD: revisión y criterios claros en las decisiones automatizadas
El artículo 20 de la LGPD da al titular el derecho a pedir la revisión de decisiones tomadas solo con tratamiento automatizado de datos personales que afecten sus intereses, incluidas las que definen su perfil de consumo y de crédito (Confidata). El controlador, además, debe dar información clara y adecuada sobre los criterios y procedimientos usados, respetando el secreto comercial (DIO).
Para un agente de cobranza u originación, eso se traduce en tres capacidades:
- Cada decisión queda registrada con los datos y la versión del agente que la tomaron.
- El agente puede explicar en qué criterios se basó, por ejemplo saldo vencido, historial de pagos y política vigente.
- Existe un camino para que una persona revise la decisión cuando el cliente lo pide.
Banco Central do Brasil: Resolución CMN 4.893
La Resolución CMN 4.893 de 2021 regula la política de ciberseguridad y la contratación de procesamiento, almacenamiento de datos y nube. Da orientaciones sobre confidencialidad y seguridad, informes de auditoría, monitoreo del servicio, ubicación del procesamiento, control de acceso, recuperación de datos y derechos de auditoría (Google Cloud). También pide identificar y segregar los datos de los clientes de la institución con controles físicos o lógicos (Convergência Digital).
La actualización de diciembre de 2025 sumó autenticación, cifrado, trazabilidad y controles de acceso a los requisitos mínimos (OKAI), con plazo de adecuación hasta el 1 de marzo (Monitor Mercantil).
CNBV: un conjunto de normas y la aprobación de terceros
México no tiene una ley general de inteligencia artificial: el sector financiero opera con un conjunto de normas (Excelsior). Para los proveedores, la CNBV pide que ciertas entidades obtengan su aprobación antes de contratar a un tercero que ejecute actividades operativas o de gestión de bases de datos o sistemas (AWS).
Lo que tienen en común
Las tres reglas llegan a la misma lista, que es la que un equipo de Riesgos revisa antes de aprobar un agente:
| Requisito | Qué tiene que poder mostrar el agente |
|---|---|
| Trazabilidad | Qué pasó en cada conversación, con qué versión y qué herramientas usó |
| Acceso | Quién puede ver y cambiar qué, con registro de cada acción |
| Ubicación del dato | Dónde se procesan y guardan los datos, separados de otros clientes |
| Revisión humana | Cómo una persona revisa o toma una decisión cuando hace falta |
Cómo lo resuelve Coru
En ADI Platform, cada turno de conversación queda registrado con la versión publicada del agente; el acceso se controla por roles y permisos, con registro de cada acción administrativa; el despliegue puede ser en nube dedicada o dentro de la red del banco, con aislamiento por organización; y el agente deriva a una persona según las reglas que define la institución. Los guardrails obligatorios, como el bloqueo de exfiltración de datos personales, corren en código, fuera del modelo.
Cinco preguntas para cualquier proveedor
- ¿Cómo reconstruyo una conversación de hace seis meses, con la versión del agente que respondió?
- ¿Cómo explica el agente los criterios de una decisión y cómo se pide su revisión?
- ¿Dónde se procesan los datos y cómo se separan de los de otros clientes?
- ¿Qué controles de autenticación, cifrado y acceso aplica la plataforma?
- ¿Qué documentación entrega para la aprobación de la CNBV o la revisión del Banco Central?
¿Tu equipo de Riesgos está revisando un agente? Trae su checklist y te mostramos cada control en la plataforma. Ver seguridad y guardrails o agenda una conversación.
Preguntas frecuentes
¿Qué exige la LGPD a un agente de IA que toma decisiones?
Si una decisión se toma solo con tratamiento automatizado y afecta al titular, como un perfil de crédito, la LGPD le da derecho a pedir su revisión y a recibir información clara sobre los criterios y procedimientos usados.
¿Qué norma del Banco Central do Brasil aplica a los proveedores de nube y datos?
La Resolución CMN 4.893 de 2021, que define la política de ciberseguridad y los requisitos para contratar procesamiento y almacenamiento de datos y computación en la nube. Fue actualizada en diciembre de 2025.
¿México tiene una ley de inteligencia artificial para bancos?
No hay una ley general de IA. Rige un conjunto de normas, y la CNBV pide aprobar a ciertos terceros antes de contratarlos para actividades operativas o de gestión de bases de datos y sistemas.
¿Qué tienen en común las tres reglas?
Piden saber qué pasó en cada interacción, controlar quién accede, definir dónde viven los datos y poder revisar una decisión. Esos cuatro puntos son los que un equipo de Riesgos revisa antes de aprobar un agente.
Para seguir
- Por qué Riesgos congela los proyectos de agentes de IA en bancos
- El techo de capacidad de tu call center de cobranza
Contenido informativo. No constituye asesoría legal. Consulta la norma vigente y a tu equipo jurídico para cada caso.