«Conoce a tu agente» frente a «Conoce a tu actor»: diferencias fundamentales

A medida que la automatización, los agentes de inteligencia artificial y los flujos de trabajo delegados se van integrando en los servicios financieros, muchos equipos de cumplimiento normativo se enfrentan a una nueva serie de cuestiones para las que nunca recibieron formación específica. Los organismos reguladores siguen exigiendo una rendición de cuentas clara, trazabilidad y controles de riesgo, pero los agentes que interactúan con los sistemas ya no son siempre humanos.

Esto ha dado lugar a una creciente confusión en torno a dos términos cada vez más habituales: «Conoce a tu agente» y «Conoce a tu actor». Aunque a menudo se utilizan indistintamente, reflejan enfoques sustancialmente diferentes en materia de identidad, riesgo y gobernanza. Comprender esta distinción se está convirtiendo en algo fundamental para los responsables de la lucha contra el blanqueo de capitales (AML) y del «Conoce a tu cliente» (KYC), encargados del cumplimiento normativo, la preparación para las auditorías y la prevención del fraude.

Este artículo aclara la diferencia entre «Conoce a tu agente» y «Conoce a tu actor», explica cómo influye cada uno de ellos en la diligencia debida y la evaluación de riesgos, y describe las mejores prácticas para aplicar ambos conceptos de forma que se cumplan las expectativas normativas sin perjudicar la experiencia del cliente.

¿Qué es «Conoce a tu agente»?

El término «Conoce a tu agente» suele referirse a la identificación y validación de entidades no humanas que actúan en nombre de usuarios o sistemas, como ocurre en el comercio mediado por agentes. Entre ellas pueden figurar:

• Clientes de la API y cuentas de servicio
• Bots que realizan tareas predefinidas
• Scripts automatizados que ejecutan acciones financieras u operativas
• Agentes de IA que operan dentro de funciones específicas y de alcance limitado

En la práctica, «Know Your Agent» se centra en el registro y la acreditación. El objetivo es garantizar que una entidad automatizada sea conocida, esté autorizada y se vea limitada a un conjunto definido de permisos.

Desde el punto de vista del cumplimiento normativo, esto suele traducirse en controles de acceso tradicionales y en la gestión de riesgos de terceros. Se autentica al agente, se le asignan credenciales y se le supervisa a un nivel superficial. Si el agente se comporta según lo esperado, se da por hecho que cumple con los requisitos.

Este enfoque funciona razonablemente bien en entornos estáticos en los que los agentes realizan acciones predecibles y limitadas. Sin embargo, resulta insuficiente a medida que la automatización se vuelve más autónoma, adaptativa y capaz de iniciar acciones de forma independiente.

¿Qué es «Know Your Actor»?

«Know Your Actor» amplía el modelo de identidad más allá de lo que se autentifica para incluir quién o qué está actuando, en qué contexto y con qué autoridad en un momento dado.

Un actor puede ser:

• Un usuario humano
• Un agente de inteligencia artificial
• Un bot
• Un flujo de trabajo híbrido entre personas y agentes
• Una cadena de subagentes delegados

«Know Your Actor» considera que la identidad es un concepto continuo y contextual, y no un proceso de verificación puntual. Reconoce que las credenciales por sí solas no definen el riesgo. Una misma credencial puede ser utilizada por diferentes actores, en distintos entornos, con implicaciones sustancialmente diferentes.

Para los equipos de lucha contra el blanqueo de capitales (AML) y de «conozca a su cliente» (KYC), esta distinción es importante porque los organismos reguladores prestan cada vez más atención a:

• Atribución: quién inició una acción
• Autoridad: si se permitía a ese actor actuar en ese contexto
• Coherencia conductual: si las acciones se ajustan a los patrones esperados
• Gobernanza continua: no solo acceso, sino control sostenido

«Know Your Actor» pasa de centrarse en el cumplimiento de los requisitos de incorporación a centrarse en la gestión del riesgo operativo.

Por qué esta diferencia es importante para la lucha contra el blanqueo de capitales y el «conozca a su cliente» (KYC)

Hoy en día, muchos incumplimientos normativos no se deben a una falta de comprobaciones de identidad, sino a una confianza mal depositada. Las credenciales son válidas. Las sesiones están autenticadas. Sin embargo, se producen acciones que ningún ser humano ha pretendido, aprobado ni siquiera observado.

En los sistemas basados en agentes, el proceso tradicional de KYC responde a la pregunta «¿A quién se ha dado de alta?», pero no a «¿Quién está actuando en este momento?».

Esta laguna plantea varios riesgos normativos:

• Acciones automatizadas ejecutadas fuera del ámbito de las competencias autorizadas
• Agentes de IA que heredan privilegios sin una gobernanza clara
• Dificultad para explicar el comportamiento durante las auditorías
• Falsos positivos que perjudican a los clientes legítimos
• Se han pasado por alto señales de fraude porque el comportamiento parece «normal» a nivel de credenciales

Desde el punto de vista normativo, la falta de visibilidad a nivel de los actores merma la auditabilidad, la rendición de cuentas y la defendibilidad durante las inspecciones.

Repercusiones en la evaluación de riesgos y la diligencia debida

«Know Your Agent» admite la clasificación estática de riesgos. Una vez aprobado un agente, se le considera de bajo riesgo hasta que se revoquen sus credenciales o se detecte un uso indebido.

«Know Your Actor» permite realizar una evaluación dinámica de riesgos. El riesgo se evalúa de forma continua basándose en:

• Tipo de actor
• Comportamiento a lo largo del tiempo
• Contexto de la interacción
• Desviación respecto a la política o a los patrones esperados

Esta distinción es fundamental, ya que las tácticas de fraude van evolucionando. Los ataques sofisticados se mimetizan cada vez más con los flujos normales, imitando a agentes legítimos o reutilizando credenciales de confianza. Sin un contexto a nivel de actor, estas amenazas son difíciles de detectar sin llegar a tomar medidas excesivas que perjudiquen la experiencia del cliente.

En el caso de los responsables de la lucha contra el blanqueo de capitales, esto afecta directamente a:

• Precisión en la supervisión de las transacciones
• Índices de falsos positivos
• Flujos de trabajo de escalado
• Calidad de la información regulatoria

Cómo la automatización cambia las reglas del juego

Los sistemas de identidad modernos deben funcionar de forma continua, tanto para personas como para agentes no humanos, sin fragmentar los flujos de trabajo ni provocar retrasos.

Aquí es donde la inteligencia de identidad automatizada resulta esencial. En lugar de obligar a los equipos a elegir entre el cumplimiento normativo y la experiencia del usuario, la automatización permite:

• Mayor precisión en la verificación
• Toma de decisiones más rápida
• Reducción de los gastos generales de funcionamiento
• Registros de auditoría más sólidos

Microblink aborda este reto considerando la identidad como una infraestructura dinámica, en lugar de un punto de control estático. Su sistema operativo «Identity Intelligence OS» cumple con los requisitos de «Know Your Agent» y «Know Your Actor» mediante una evaluación continua, un análisis del comportamiento y la toma de decisiones en tiempo real a lo largo de todo el ciclo de vida de la interacción.

Para los equipos de lucha contra el blanqueo de capitales (AML) y de «conozca a su cliente» (KYC), este enfoque mejora el cumplimiento normativo y, al mismo tiempo, reduce las dificultades para los usuarios legítimos.

Conclusiones que deben extraer los responsables de cumplimiento normativo

«Conoce a tu agente» y «Conoce a tu actor» no son conceptos que compitan entre sí. Reflejan distintos niveles de la gestión de la identidad.

«Know Your Agent» garantiza que las entidades automatizadas estén registradas y autorizadas.
«Know Your Actor» garantiza que cada acción sea atribuible, esté regulada y sea defendible a lo largo del tiempo.

A medida que la inteligencia artificial y la automatización sigan transformando los servicios financieros, los organismos reguladores exigirán cada vez más ambas cosas. Las organizaciones que se adapten pronto reducirán el riesgo, mejorarán los resultados para los clientes y afrontarán las auditorías con confianza, en lugar de con preocupación.

En un entorno en el que el software puede actuar, el cumplimiento normativo ya no se limita a saber quién ha iniciado sesión. Se trata de saber quién está actuando, por qué y si se puede confiar en esa acción en este momento.