Gobernanza de datos, privacidad y soberanía digital

Gobernanza empresarial de datos, titularidad de los datos y responsabilidad informativa demostrable

Una gobernanza eficaz de los datos a escala empresarial comienza por una distinción fundamental entre la administración técnica de la información y la responsabilidad sustantiva por su significado, calidad y utilización lícita. En muchas organizaciones, los datos se encuentran distribuidos entre sistemas operativos, plataformas de administración financiera, entornos CRM, aplicaciones de compliance, sistemas de gestión documental, plataformas de recursos humanos, entornos de investigación, infraestructuras cloud, data lakes y soluciones analíticas. Esta fragmentación puede generar la impresión de que la función que administra técnicamente un sistema es también responsable de toda la información almacenada en él. Esa premisa suele ser demasiado limitada. Una función de IT puede ser responsable de la disponibilidad técnica, la seguridad de acceso y la continuidad, mientras que una función de negocio conserva la responsabilidad sustantiva sobre la calidad de los datos de clientes; la función de Privacy puede supervisar la licitud del tratamiento de datos personales; Compliance puede establecer las normas aplicables a determinados controles; y una función de investigación puede responder por la integridad de la información empleada en las investigaciones. Su organización necesita, por tanto, un modelo explícito en el que data ownership, data stewardship, responsabilidad de procesos, responsabilidad sobre sistemas, responsabilidad jurídica y control ownership estén claramente diferenciados y posteriormente conectados entre sí. La mera atribución formal de funciones no resulta suficiente. La responsabilidad debe poder ejercerse de manera efectiva. Un data owner debe poder identificar qué información es crítica dentro de su ámbito, qué criterios de calidad resultan aplicables, qué fuentes tienen carácter autoritativo, qué anomalías requieren escalado y qué modificaciones de las definiciones o de los procesos pueden afectar a los usuarios posteriores. Un data steward debe disponer de autoridad y conocimientos suficientes para mantener las definiciones de datos, identificar incoherencias y garantizar que se lleven a cabo las correcciones necesarias. Las funciones Legal, Privacy, Compliance, Risk e Information Security deben estar en condiciones de evaluar si el modelo implantado es compatible con las obligaciones legales, las restricciones contractuales, los requisitos de seguridad y las expectativas supervisoras. La primera línea mantiene la responsabilidad sobre la información creada y utilizada dentro de los procesos operativos. Este enfoque evita reducir la calidad de los datos a una cuestión puramente tecnológica que correspondería exclusivamente a IT, Compliance o a una función central de datos. Cuando, por ejemplo, se establece una relación con un cliente, la responsabilidad por la correcta captura de la información nace en el momento en que se registran su identidad, estructura corporativa, titulares reales, características geográficas, productos utilizados, actividad transaccional esperada y factores de riesgo. Si esta información es incompleta o inconsistente desde su origen, los controles posteriores únicamente podrán compensar parcialmente las deficiencias introducidas en fases anteriores. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, la fiabilidad de la gestión de los riesgos de criminalidad financiera comienza, por tanto, desde la primera captura de información en los procesos comerciales y operativos.

La gobernanza empresarial de datos requiere asimismo un lenguaje común mediante el cual su organización pueda establecer qué significa un determinado dato y de qué manera puede utilizarse en procesos diferentes. Muchas deficiencias estructurales no surgen porque la información falte por completo, sino porque distintas funciones atribuyen un significado diferente al mismo concepto. Un “cliente activo” puede, por ejemplo, incluir para Sales cualquier relación registrada contractualmente, mientras que Compliance puede considerar activos únicamente aquellos clientes cuya due diligence haya sido completada y Finance puede incluir solo relaciones con actividad financiera reciente. De igual modo, una “jurisdicción de alto riesgo” puede definirse de manera diferente para controles de sanciones, clasificación AML, fiscalidad, export controls o análisis geográfico del riesgo de fraude. Sin definiciones comunes, los reportings pueden resultar incoherentes entre sí y los controles automatizados pueden producir conclusiones divergentes a partir de información aparentemente idéntica. Su organización necesita, por ello, definiciones de datos controladas, business glossaries, critical data elements, clasificaciones de la información y reglas claras sobre jerarquía de fuentes. Debe determinarse qué fuente prevalece cuando diferentes sistemas contienen valores contradictorios. Las modificaciones de las definiciones también deben estar sometidas a un control adecuado, ya que un cambio aparentemente técnico puede producir efectos materiales sobre reportings, modelos, alertas, resultados de investigaciones y obligaciones regulatorias. Una modificación de la definición de titular real, persona políticamente expuesta, parte vinculada o transacción sospechosa puede, por ejemplo, afectar a miles de expedientes históricos y a numerosas reglas automatizadas de decisión. La gobernanza de datos debe, por ello, conectarse con change management, model governance, regulatory change management y control interno. Su organización debe ser capaz de reconstruir cuándo se modificó una definición, quién autorizó la modificación, qué sistemas quedaron afectados y si los datos históricos debieron someterse a una nueva evaluación. El mismo principio se aplica a los datasets externos. Las listas de sanciones, la información de registros mercantiles, los datos crediticios, adverse media, puntuaciones de riesgo geográfico y otra información corporativa externa pueden constituir recursos valiosos para la Gestión Integrada de Riesgos de Criminalidad Financiera, pero su origen externo no exime a su organización de evaluar críticamente su fiabilidad, actualización y pertinencia. Cuando información externa se incorpora automáticamente a modelos de riesgo, debe seguir siendo posible identificar qué fuente fue utilizada, en qué momento se obtuvieron los datos y qué incertidumbres o limitaciones se encontraban asociadas a ellos.

El valor de la gobernanza de datos se hace plenamente visible cuando el consejo de administración, la alta dirección y el senior management pueden dirigir efectivamente la organización sobre la base de información fiable. Un programa de data governance compuesto principalmente por políticas, denominaciones de funciones y comités, pero sin conexión con los riesgos materiales de la empresa, ofrece una protección limitada. Su organización debe poder identificar qué deficiencias de información pueden tener las consecuencias más importantes para los clientes, las autoridades supervisoras, los resultados financieros, las investigaciones, el reporting obligatorio, las decisiones estratégicas y la reputación institucional. Esto exige una priorización basada en el riesgo. No todos los elementos de datos necesitan el mismo nivel de control. Los datos identificativos utilizados para el screening de sanciones, la información transaccional que sirve de base para decisiones de escalado y reporting, los datos financieros incorporados a reportes regulatorios y los elementos probatorios relevantes para investigaciones o procedimientos requieren, por ejemplo, un nivel de control más elevado que la información con una relevancia puramente administrativa. La gobernanza debe reflejar, por tanto, la materialidad, sensibilidad, relevancia regulatoria y dependencia operativa. El reporting de gestión puede proporcionar posteriormente visibilidad sobre incidentes de calidad de datos, diferencias recurrentes de conciliación, ausencia de campos críticos, accesos no autorizados, incumplimientos de los plazos de conservación, deficiencias en la trazabilidad de las fuentes, dependencias tecnológicas y excepciones recurrentes. En el contexto de la Gestión Integrada de Riesgos de Criminalidad Financiera, puede prestarse especial atención a la integridad de los datos de clientes, la correcta documentación de las estructuras de titularidad real, la adaptación de las clasificaciones de riesgo a la información actualizada, la captura completa de las transacciones en los sistemas de monitorización y la trazabilidad de la información investigativa hasta su fuente original. La responsabilidad de gobierno surge cuando tales indicadores no se limitan a ser medidos, sino que generan atribución de responsabilidades, medidas correctoras, escalado y toma de decisiones. La gobernanza de datos apoya así tanto el control preventivo como la Regulatory Defence. Cuando posteriormente surgen preguntas sobre la calidad de una decisión, una comunicación, una investigación, el resultado de un modelo o un reporting regulatorio, su organización puede demostrar qué información estaba disponible, qué controles de calidad resultaban aplicables, qué deficiencias eran conocidas, qué medidas mitigadoras fueron adoptadas y quién asumía la responsabilidad del tratamiento. La gobernanza de datos se convierte así en un componente esencial de la resiliencia institucional: no solo porque ayuda a prevenir errores, sino porque permite a su organización reconstruir de forma transparente, coherente y convincente las decisiones basadas en información.

Cumplimiento del RGPD, licitud del tratamiento y protección efectiva de los derechos de los interesados

La protección de los datos personales exige que su organización comprenda, para cada tratamiento relevante, por qué se utiliza determinada información, cuál es la base jurídica aplicable, qué personas se ven afectadas y si el tratamiento resulta necesario y proporcionado respecto de la finalidad perseguida. La mera posibilidad técnica de recopilar, conectar o analizar información no crea por sí sola una facultad jurídica para hacerlo. Esta distinción se vuelve cada vez más importante a medida que los sistemas digitales permiten combinar con facilidad información procedente de múltiples fuentes. Datos de clientes, historiales transaccionales, comunicaciones, datos de localización, características de dispositivos, información procedente de fuentes públicas, registros empresariales, comunicaciones internas, información investigativa y puntuaciones externas de riesgo pueden técnicamente integrarse en un único entorno analítico, pero cada operación de tratamiento debe poder ser explicada y defendida jurídicamente. Su organización debe, por tanto, ir más allá de políticas de privacidad genéricas y registros de alto nivel sobre bases jurídicas. El tratamiento efectivo, su finalidad, las categorías de datos involucradas, las personas afectadas, los destinatarios, los periodos de conservación, los posibles análisis automatizados y el impacto potencial sobre los interesados deben cartografiarse con suficiente precisión. La limitación de la finalidad ocupa una posición central dentro de este análisis. La información originalmente recopilada para la ejecución de un contrato no puede reutilizarse automáticamente, sin una evaluación adicional, para marketing, profiling, investigaciones, entrenamiento de sistemas de inteligencia artificial u otras finalidades analíticas. Tampoco implica la existencia de una obligación legal en un determinado ámbito que todos los tratamientos relacionados puedan ampararse automáticamente en la misma base jurídica. Su organización debe determinar, para cada contexto de tratamiento, si la base aplicable es una obligación legal, la ejecución de un contrato, un interés legítimo, el consentimiento, el cumplimiento de una misión realizada en interés público u otra base pertinente, y evaluar posteriormente las condiciones adicionales aplicables. Las categorías especiales de datos personales y los datos relativos a condenas e infracciones penales requieren una protección adicional. Esta complejidad resulta especialmente evidente dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, ya que la gestión de los riesgos de criminalidad financiera puede depender de análisis intensivos de información al tiempo que los datos tratados son sensibles y las decisiones resultantes pueden tener consecuencias significativas. Un cliente puede, por ejemplo, ser sometido a un seguimiento reforzado, una transacción puede ser detenida o bloqueada, una relación puede darse por terminada o puede abrirse una investigación interna. El tratamiento de datos que sustenta tales actuaciones debe ser, por tanto, jurídicamente defendible, materialmente pertinente y proporcionado.

La protección efectiva de los derechos de los interesados debe integrarse asimismo en los procesos operativos y no tratarse como una actividad administrativa separada de la función Privacy. Dependiendo de las circunstancias, los interesados pueden solicitar acceso, rectificación, supresión, limitación del tratamiento, portabilidad o formular oposición frente a determinados tratamientos. La gestión de estas solicitudes se vuelve más compleja cuanto más distribuidos estén los datos personales entre sistemas, departamentos, proveedores y entornos analíticos. Su organización debe, por ello, ser capaz de determinar dónde se encuentra la información pertinente, qué copias existen, qué datos están incluidos en backups, qué información es tratada por terceros y qué limitaciones jurídicas o regulatorias resultan aplicables a cada solicitud. Una solicitud de acceso puede, por ejemplo, afectar a información relativa a terceros, contener secretos empresariales, formar parte de una investigación interna o interactuar con obligaciones derivadas de la Gestión Integrada de Riesgos de Criminalidad Financiera. Una solicitud de supresión puede entrar en conflicto con obligaciones legales de conservación, procedimientos en curso, obligaciones fiscales, necesidades investigativas o la necesidad de formular, ejercer o defender reclamaciones. Esto no significa que los derechos de los interesados puedan ser marginados; significa que cualquier limitación debe poder justificarse con precisión y sobre una base jurídicamente sostenible. Su organización requiere, por tanto, procesos capaces de identificar rápidamente las solicitudes, localizar la información en los sistemas pertinentes, evaluar las excepciones aplicables y documentar de manera coherente las decisiones adoptadas. Esto exige cooperación entre Privacy, Legal, IT, Information Security, funciones operativas, Compliance y, cuando proceda, equipos de investigación. Los proveedores también deben poder prestar apoyo contractual y operativo cuando los datos personales sean tratados fuera de los sistemas controlados directamente por su organización. Cuando aplicaciones de inteligencia artificial o plataformas avanzadas de análisis utilizan datos personales, debe resultar asimismo claro si los datos individuales pueden identificarse, rectificarse o suprimirse y qué consecuencias pueden tener dichas modificaciones sobre datasets derivados, embeddings, inputs de modelos, logs y otras representaciones técnicas. La protección de los derechos de los interesados se convierte así en una prueba práctica de la verdadera gobernabilidad de su entorno de información.

El cumplimiento del RGPD debe vincularse finalmente con la accountability: la capacidad de su organización no solo para afirmar que los datos personales son tratados lícitamente, sino para demostrarlo. Esto exige mucho más que documentación de políticas generales. Los registros de actividades de tratamiento, evaluaciones de intereses legítimos, evaluaciones de impacto relativas a la protección de datos, medidas de seguridad de la información, políticas de conservación, registros de acceso, acuerdos con encargados del tratamiento, evaluaciones de transferencias internacionales, documentación de incidentes y decisiones relativas a tratamientos complejos deben conformar conjuntamente un marco coherente de responsabilidad demostrable. La profundidad de la documentación debe corresponderse con el nivel de riesgo. Un tratamiento administrativo sencillo requiere una justificación distinta de la necesaria para profiling a gran escala, tratamientos biométricos, monitorización sistemática o una aplicación de inteligencia artificial que apoye decisiones sobre personas físicas. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, la accountability implica que su organización pueda explicar qué datos personales son necesarios para identificar riesgos de criminalidad financiera, por qué se realizan determinados análisis, cómo se mantiene la proporcionalidad y qué salvaguardias existen frente a una recopilación excesiva, un profiling inadecuado o conclusiones erróneas. La interacción entre privacidad y gestión de riesgos de criminalidad financiera exige un enfoque equilibrado. Una interpretación excesivamente restrictiva puede impedir la identificación de señales relevantes, mientras que una interpretación excesivamente amplia puede conducir a una monitorización desproporcionada y al tratamiento innecesario de información sensible. La calidad de la gobernanza reside precisamente en la capacidad de conciliar ambos intereses sobre una base coherente y fundada. Cuando determinada información resulta necesaria para cumplir obligaciones legales, investigar fraudes, realizar controles de sanciones o perseguir otras finalidades legítimas, esa necesidad debe poder justificarse de manera concreta. Cuando los datos dejan de ser necesarios, su eliminación o una mayor restricción deben producirse efectivamente. Cuando determinadas personas son clasificadas en una categoría de riesgo superior, esa clasificación debe basarse en factores verificables y no depender exclusivamente de correlaciones opacas. El cumplimiento en materia de privacidad se convierte así en una parte integrante de la propia calidad de la Gestión Integrada de Riesgos de Criminalidad Financiera: un tratamiento lícito refuerza la legitimidad de los controles, aumenta el valor probatorio de las conclusiones investigativas y sustenta una posición defendible cuando autoridades, órganos jurisdiccionales u otras partes interesadas examinan posteriormente cómo se obtuvo y utilizó la información.

Calidad de los datos, trazabilidad, datos maestros y fiabilidad probatoria

La calidad de los datos constituye tanto una cuestión de gobierno como una cuestión jurídica, porque cualquier análisis, reporting, control o decisión únicamente puede ser tan fiable como la información sobre la que se sustenta. La calidad debe entenderse en un sentido más amplio que la mera ausencia de errores técnicos. Una información puede estar correctamente almacenada desde un punto de vista tecnológico y, sin embargo, resultar sustantivamente poco fiable por estar obsoleta, incompleta, duplicada, incorrectamente clasificada o separada de su contexto original. Su organización debe definir, por ello, criterios de calidad vinculados a la finalidad para la que se utilizará la información. Entre las dimensiones relevantes se encuentran la integridad, exactitud, actualidad, consistencia, unicidad, validez y disponibilidad oportuna. Para cada elemento de datos crítico debe quedar claro qué nivel de calidad se requiere para que el proceso correspondiente pueda funcionar de manera responsable. La ausencia de una fecha de nacimiento puede, por ejemplo, tener un impacto limitado en marketing, pero consecuencias materiales para la identificación, el screening de sanciones o la detección de personas políticamente expuestas. Un país de establecimiento incorrectamente registrado puede afectar al reporting fiscal, a los controles de exportación, a la evaluación de sanciones y a la clasificación de riesgos de criminalidad financiera. Una descripción transaccional incompleta puede reducir la eficacia del transaction monitoring. Una relación incorrecta entre entidades de un mismo grupo puede provocar una evaluación fragmentada de los riesgos. La gestión de la calidad de los datos debe, por tanto, priorizar la información material para las obligaciones regulatorias, el reporting financiero, la protección del cliente, las investigaciones, la Gestión Integrada de Riesgos de Criminalidad Financiera y la toma de decisiones por parte de la dirección. Esto requiere reglas de calidad medibles, controles automatizados cuando sean apropiados, conciliaciones entre sistemas, reporting periódico de excepciones y procesos claros de remediación. Las correcciones tampoco deberían limitarse al sistema local en el que se detectó el error. Cuando una deficiencia tiene su origen en una fuente primaria, su organización debe evaluar qué sistemas downstream, reportes, modelos e investigaciones han utilizado ya la información incorrecta. Una gestión eficaz de la calidad de los datos mira, por tanto, tanto hacia el futuro, mediante la prevención, como hacia el pasado, mediante el análisis del impacto potencial de los errores ya propagados.

La trazabilidad de los datos, o data lineage, establece la conexión entre la fuente, las transformaciones y el resultado final. Para la información crítica, su organización debe poder reconstruir de dónde procede un dato, qué transformaciones se han aplicado, por qué sistemas ha pasado, qué enriquecimientos se han efectuado y dónde ha sido finalmente utilizado. Esta capacidad se vuelve esencial cuando la información se copia, combina o agrega repetidamente. Una puntuación de riesgo puede, por ejemplo, construirse utilizando información del cliente, características de las transacciones, indicadores geográficos de riesgo, datasets externos y datos históricos de comportamiento. Sin data lineage puede resultar difícil determinar por qué se generó una puntuación concreta o qué modificación en una fuente produjo un resultado diferente. Lo mismo sucede con el reporting regulatorio y el análisis investigativo. Cuando una autoridad supervisora pregunta cómo se obtuvo una determinada cifra comunicada, la cadena desde la fuente hasta el reporte debe poder reconstruirse. Cuando una investigación interna utiliza comunicaciones extraídas, ficheros transaccionales y logs de sistemas, debe seguir siendo posible demostrar cómo se obtuvieron, procesaron, filtraron y analizaron esos datos. En el análisis de datos sobre criminalidad financiera, la data lineage resulta particularmente importante porque los análisis sofisticados combinan con frecuencia información procedente de decenas de fuentes diferentes. Un patrón que parece analíticamente convincente puede perder gran parte de su valor si un dataset crítico estaba incompleto o una transformación se aplicó de manera incorrecta. Su organización debe, por ello, combinar technical lineage y business lineage: no basta con documentar que una tabla alimenta otra, sino que debe poder explicarse también el significado sustantivo de la transformación. Cuando diferentes registros de un cliente se fusionan en una única visión consolidada, las reglas de matching y la forma en que se trata la incertidumbre deben ser transparentes. Cuando las transacciones se agregan por contraparte, debe quedar claro cómo se definen los titulares de las cuentas, los beneficiarios y las relaciones indirectas. La trazabilidad refuerza así de manera sustancial la validación de modelos, la auditabilidad, las investigaciones y la Regulatory Defence.

La gestión de los datos maestros y la fiabilidad probatoria completan este enfoque. Entidades críticas como clientes, proveedores, empleados, personas jurídicas, cuentas bancarias, productos, contratos y titulares reales deben identificarse de manera suficientemente coherente en toda la organización. Cuando una misma persona o empresa aparece bajo diferentes nombres, direcciones, números de registro o identificadores internos, puede producirse una fragmentación que impida visualizar relaciones materialmente relevantes. El master data management se centra, por ello, en datos de referencia fiables, identificación unívoca, modificaciones controladas, deduplicación y prioridades claras entre las fuentes. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, la entity resolution puede resultar determinante, ya que los riesgos de criminalidad financiera no siempre se manifiestan dentro de un único sistema o de una sola relación comercial. El mismo titular real puede estar vinculado a varias sociedades, cuentas o flujos transaccionales. Una contraparte sospechosa puede aparecer bajo distintas grafías. Un empleado puede mantener una relación con un proveedor externo que permanezca invisible sin una identificación coherente de entidades. Al mismo tiempo, los vínculos analíticos deben gobernarse cuidadosamente, puesto que las coincidencias erróneas pueden producir consecuencias significativas. Los modelos probabilísticos, el fuzzy matching y los network analytics deben ir acompañados de umbrales, validación, documentación y un nivel adecuado de revisión humana. Cuando los datos se utilizan finalmente como prueba en una investigación interna, un litigio civil, un procedimiento administrativo, un contexto penal o una actuación supervisora, la atención se desplaza además hacia su autenticidad, integridad y chain of custody. Su organización debe poder demostrar que los datos no han sido modificados sin detección, que los metadatos relevantes se han preservado, que las extracciones son reproducibles y que las actuaciones investigativas han quedado suficientemente documentadas. La calidad de los datos no es, por tanto, únicamente una cuestión de eficiencia, sino también un elemento de defendibilidad probatoria. Una información fiable apoya tanto la gestión preventiva de los riesgos de criminalidad financiera como una defensa efectiva cuando determinadas decisiones o conclusiones investigativas son posteriormente cuestionadas.

Datos de entrenamiento de inteligencia artificial, ética de los datos y utilización responsable de la información

La rápida adopción de inteligencia artificial generativa, machine learning, agentic AI y otras formas de análisis automatizado incrementa significativamente el valor estratégico de los datos, porque la calidad y la licitud de los resultados producidos por los sistemas de inteligencia artificial dependen directamente de la información utilizada para desarrollarlos, entrenarlos, ajustarlos, validarlos y utilizarlos operativamente. Su organización puede desplegar un modelo tecnológicamente sofisticado, pero si los datasets subyacentes no son suficientemente representativos, están incompletos, obsoletos, presentan problemas jurídicos o carecen de una trazabilidad adecuada, la fiabilidad del sistema seguirá estando limitada. La gobernanza de la inteligencia artificial debe, por ello, comenzar antes del propio desarrollo del modelo. La primera pregunta es qué datos están disponibles, pero debe seguir inmediatamente una evaluación acerca de qué información resulta realmente necesaria y apropiada para la finalidad específica. Los datos de entrenamiento plantean cuestiones relacionadas, entre otras, con su procedencia, los derechos de licencia, los datos personales, los secretos empresariales, la confidencialidad, la representatividad, los sesgos históricos, la calidad y la documentación. Un dataset puede contener volúmenes enormes de información y seguir siendo inadecuado para entrenar un modelo si determinadas poblaciones relevantes se encuentran infrarrepresentadas o si las decisiones históricas incorporadas en los datos contienen distorsiones estructurales. Un modelo entrenado sobre expedientes históricos de fraude puede, por ejemplo, volverse muy eficaz para identificar los patrones que fueron activamente investigados en el pasado y, al mismo tiempo, seguir siendo menos capaz de detectar formas de criminalidad financiera y económica que históricamente recibieron una atención menor. Un modelo de segmentación de clientes puede reproducir decisiones comerciales históricas que ya no responden a la estrategia actual o al apetito de riesgo. Un modelo de lenguaje con acceso a expedientes internos puede tratar información confidencial de una manera que no resulte coherente con las restricciones de acceso existentes. Su organización debería, por tanto, realizar para cada caso de uso material de inteligencia artificial una evaluación de datos que considere conjuntamente la finalidad, la fuente, la base jurídica, la calidad, la sensibilidad, la representatividad, los posibles sesgos y las restricciones de uso. Esta exigencia resulta particularmente relevante dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, ya que la inteligencia artificial se utiliza cada vez más para transaction monitoring, priorización de alertas, detección de redes, análisis documental, revisión de adverse media, triage de investigaciones y reconocimiento de patrones. La promesa de una mayor eficiencia no debe traducirse en una reducción del control, la trazabilidad o la responsabilidad.

La ética de los datos complementa el cumplimiento jurídico al abordar consecuencias que pueden no ser inmediatamente ilícitas, pero que aun así pueden comprometer la legitimidad, explicabilidad o aceptabilidad de la utilización de la información. Su organización debe preguntarse no solo si un tratamiento está jurídicamente permitido, sino también si su utilización resulta apropiada teniendo en cuenta la finalidad perseguida, el contexto, las relaciones de poder y sus posibles consecuencias para personas u organizaciones. Esta cuestión resulta particularmente relevante cuando los modelos generan predicciones, clasificaciones o recomendaciones que influyen en el tratamiento de clientes, investigaciones, decisiones laborales, acceso a servicios o evaluaciones de riesgo. Una correlación puede ser estadísticamente sólida sin constituir una base sustantivamente adecuada para adoptar una decisión. Determinadas variables pueden funcionar indirectamente como proxies de características sensibles. Una combinación de ubicación geográfica, profesión, tipo de transacción y datos del dispositivo puede, por ejemplo, generar una segmentación que afecte de manera desproporcionada a determinados grupos sin una justificación de riesgo suficientemente sólida. Su organización necesita, por ello, criterios de evaluación relativos a proporcionalidad, pertinencia, explicabilidad y posibles efectos diferenciados. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera debe mantenerse una distinción entre información que constituye un indicador de riesgo materialmente significativo e información que únicamente refleja una correlación carente de suficiente fundamento sustantivo. La inteligencia artificial puede ayudar a los profesionales a analizar grandes volúmenes de datos y priorizar patrones relevantes, pero el output de un modelo no debe equipararse automáticamente a la prueba de fraude, blanqueo de capitales, corrupción u otra forma de criminalidad financiera. La revisión humana debe conservar espacio suficiente para analizar el contexto, las pruebas en contrario, las excepciones y las explicaciones alternativas. No se trata de un argumento contrario a la automatización, sino de una condición necesaria para su utilización fiable. Un sistema de inteligencia artificial adecuadamente gobernado refuerza el juicio profesional al hacer disponible con mayor rapidez la información relevante, mientras que la gobernanza evita confundir una probabilidad estadística con una certeza jurídica o fáctica.

La utilización responsable de los datos requiere asimismo una monitorización continua después de que un sistema de inteligencia artificial haya entrado en producción. Los datos de entrenamiento constituyen solo una parte de la cadena informativa. Los inputs operativos pueden cambiar, las poblaciones pueden evolucionar, pueden introducirse nuevos productos y los patrones de comportamiento pueden transformarse. El rendimiento de un modelo puede, por tanto, deteriorarse aunque su funcionamiento técnico permanezca aparentemente inalterado. Su organización debe ser capaz de identificar data drift, concept drift, modificaciones de las tasas de error, cambios en las poblaciones y correlaciones inesperadas. Esta capacidad es especialmente importante para los sistemas que apoyan la Gestión Integrada de Riesgos de Criminalidad Financiera, porque las metodologías delictivas se adaptan a los controles existentes y las expectativas regulatorias evolucionan. Un modelo inicialmente eficaz para detectar determinadas estructuras transaccionales puede perder progresivamente capacidad discriminatoria. Un nuevo producto de pago puede generar datos que no correspondan con la información histórica utilizada en el entrenamiento. Una modificación de los regímenes de sanciones puede hacer relevantes nuevas relaciones geográficas. También deben controlarse los feedback loops. Si los investigadores examinan principalmente las alertas clasificadas por un modelo como de alto riesgo, los futuros datasets de entrenamiento pueden terminar reflejando de forma desproporcionada las propias selecciones anteriores del modelo y reforzando sus hipótesis originales. Su organización necesita, por tanto, mecanismos de validación independiente, muestreos fuera de las categorías de mayor riesgo, revisiones periódicas de las features y análisis de falsos positivos y falsos negativos. Los sistemas de logging deben ofrecer suficiente visibilidad sobre las versiones del modelo, los datos de entrada, las configuraciones relevantes y los outputs generados. Cuando una decisión produce consecuencias significativas, debe poder establecerse qué información se encontraba disponible en ese momento y qué papel desempeñó el sistema. La utilización responsable de los datos en torno a la inteligencia artificial se convierte así en un componente tanto de la calidad operativa como de la Regulatory Defence. Su organización debe poder demostrar que la inteligencia artificial no se ha utilizado como un mecanismo de decisión incontrolable, sino como una herramienta gobernada dentro de un sistema más amplio de responsabilidad humana, calidad de datos, protección de la privacidad, gobernanza de modelos y Gestión Integrada de Riesgos de Criminalidad Financiera.

Transferencias internacionales de datos, Schrems II y gestión de los riesgos de transferencia

Los flujos internacionales de datos constituyen una característica estructural del funcionamiento de las empresas modernas. Su organización puede utilizar proveedores cloud internacionales, software vendors, entidades de un mismo grupo, centros de soporte, investigadores externos, asesores profesionales, plataformas de data analytics y servicios de inteligencia artificial en los que una parte del tratamiento se realiza fuera del Espacio Económico Europeo o resulta accesible desde terceros países. Las transferencias internacionales no deben, por ello, evaluarse únicamente atendiendo a la ubicación física de un servidor. Los accesos externos, las actividades de soporte, los privilegios administrativos, el acceso remoto, la replicación, los backups, los subencargados y las facultades jurídicas de autoridades extranjeras pueden ser igualmente relevantes. Su organización necesita, por tanto, una visión precisa de los flujos reales de información. Una cláusula contractual que establezca que los datos se almacenarán en Europa proporciona una garantía limitada si personal situado fuera de Europa puede acceder a ellos, el soporte técnico se presta desde terceros países o proveedores subyacentes replican la información en otras ubicaciones. La cartografía de los flujos transfronterizos debe conectarse, por ello, con la gestión de proveedores y la configuración técnica. Para cada tratamiento internacional relevante, su organización debe identificar qué datos personales se transfieren, qué partes intervienen, en qué condición actúan, qué jurisdicciones resultan relevantes, qué mecanismo de transferencia se utiliza y qué salvaguardias adicionales son apropiadas. La sensibilidad de la información también debe ser objeto de evaluación. Los datos financieros, documentos de identificación, información investigativa, comunicaciones, categorías especiales de datos e información relativa a riesgos de criminalidad financiera pueden presentar un perfil de riesgo sustancialmente diferente del de simples datos de contacto profesional. Su organización debe, por tanto, diferenciar los niveles de riesgo y evitar que una única evaluación genérica de transferencia se aplique a flujos informativos fundamentalmente diferentes.

Las consecuencias de la sentencia Schrems II han reforzado la importancia de realizar una evaluación sustantiva de los riesgos derivados de terceros países y de la efectividad práctica de las medidas de protección. Las cláusulas contractuales siguen constituyendo una parte importante de la gobernanza de las transferencias internacionales, pero el lenguaje contractual por sí solo no puede neutralizar cualquier riesgo jurídico o técnico externo. Su organización debe ser capaz de evaluar si la legislación y la práctica de un tercer país pueden afectar a la protección de los datos transferidos y qué medidas complementarias resultan necesarias para mantener un nivel adecuado de protección. Entre estas medidas pueden encontrarse un cifrado robusto, pseudonimización, limitación de accesos externos, gestión distribuida de claves, minimización de datos, segregación técnica, logging, obligaciones de notificación y procedimientos para la gestión de solicitudes de acceso formuladas por autoridades públicas. La efectividad de dichas medidas depende en gran medida de su implementación real. El cifrado, por ejemplo, proporciona una protección limitada si el mismo proveedor externo conserva también un acceso irrestricto a las claves de descifrado. La pseudonimización aporta poca protección cuando existen datasets complementarios fácilmente disponibles que permiten la reidentificación. Una obligación contractual de notificación tiene escaso valor práctico cuando la legislación aplicable prohíbe al proveedor informar de que ha recibido una solicitud. Las transfer risk assessments deben, por ello, ser concretas, específicas respecto de los datos y susceptibles de revisión periódica. Deben considerar el tipo de información, la naturaleza del servicio, el acceso técnico, las ubicaciones efectivas de tratamiento, los subencargados implicados y las posibles facultades de las autoridades públicas. Los cambios también deben ser objeto de seguimiento. La incorporación de un nuevo subencargado, una modificación de la ubicación del soporte, la adquisición de un proveedor, un cambio legislativo o una nueva configuración tecnológica pueden exigir una reevaluación. La gobernanza de las transferencias internacionales no constituye, por tanto, un ejercicio contractual puntual, sino un proceso continuo de gestión del riesgo.

En el contexto de la Gestión Integrada de Riesgos de Criminalidad Financiera, el tratamiento internacional de datos presenta una dimensión adicional, porque los controles relevantes son con frecuencia transfronterizos por su propia naturaleza. Los riesgos de blanqueo de capitales, sanciones, corrupción, patrones de fraude y estructuras complejas de propiedad no se detienen en las fronteras nacionales. Su organización puede necesitar, por ello, intercambiar internacionalmente información sobre clientes, datos transaccionales, resultados de investigaciones e indicadores de riesgo dentro de un grupo empresarial o con proveedores especializados. Al mismo tiempo, precisamente esta información puede ser especialmente sensible. Un enfoque excesivamente restrictivo frente al intercambio de información puede fragmentar la Gestión Integrada de Riesgos de Criminalidad Financiera e impedir que se identifiquen relaciones transfronterizas. Un intercambio no controlado puede, por el contrario, vulnerar derechos de protección de datos, obligaciones de confidencialidad y otras exigencias jurídicas. El reto de gobernanza consiste, por tanto, en establecer un marco de información lícito y proporcionado que permita compartir los datos relevantes cuando exista una necesidad suficientemente fundamentada. Su organización debe determinar qué información resulta realmente necesaria para un control determinado, qué entidades necesitan acceder a ella, qué base jurídica resulta aplicable y cómo se limita su posterior difusión. Medidas técnicas como role-based access, purpose-based access, data masking, pseudonimización y entornos analíticos controlados pueden contribuir a reducir los riesgos. Las investigaciones sensibles pueden requerir asimismo information barriers específicas, equipos restringidos y logging reforzado. La soberanía digital adquiere en este contexto un significado concreto: su organización conserva el control sobre los flujos internacionales al saber dónde se encuentra la información, quién puede acceder a ella, qué ordenamientos jurídicos resultan relevantes, qué salvaguardias contractuales y técnicas se aplican y cómo pueden recuperarse o eliminarse los datos cuando finaliza una relación. El tratamiento internacional de datos no debe, por tanto, abordarse como una elección binaria entre localización integral y globalización sin restricciones, sino como un sistema gobernado de decisiones jurídicas, técnicas y organizativas mediante el cual la innovación, la cooperación internacional, la protección de la privacidad y la Gestión Integrada de Riesgos de Criminalidad Financiera puedan conciliarse de forma sostenible.

Localización de datos, acceso por parte de autoridades de terceros países y soberanía digital

La localización de los datos no constituye para su organización una mera elección técnica relativa al lugar geográfico en el que se encuentran los servidores, las copias de seguridad o los entornos cloud, sino una cuestión jurídica, estratégica y de gobierno mucho más amplia relacionada con el control efectivo de la información, las posibilidades de acceso externo, las jurisdicciones aplicables y la continuidad de los activos informativos críticos. El almacenamiento de datos en los Países Bajos o, con carácter más general, dentro de la Unión Europea puede contribuir a reforzar su controlabilidad, pero la ubicación física por sí sola no garantiza que la información permanezca accesible exclusivamente dentro del marco jurídico europeo. Cuando un proveedor cloud, un software vendor, un managed service provider u otro socio tecnológico forma parte de un grupo internacional, cuando personal situado fuera del Espacio Económico Europeo dispone de privilegios administrativos o cuando entidades extranjeras del grupo prestan soporte técnico, pueden surgir cuestiones jurídicas adicionales relacionadas con el acceso desde terceros países. Consideraciones similares aparecen cuando un proveedor puede verse obligado, en virtud de la legislación de otra jurisdicción, a facilitar información o prestar asistencia técnica a autoridades públicas extranjeras. Su organización debe, por tanto, analizar no solo dónde se encuentran físicamente los datos, sino también qué sujetos disponen, desde un punto de vista jurídico o técnico, de capacidad para acceder a ellos, descifrarlos, copiarlos, modificarlos, exportarlos o ponerlos a disposición de terceros. Desde esta perspectiva, la soberanía digital exige una visibilidad detallada sobre toda la cadena de acceso técnico y jurídico. Esto implica identificar qué entidades jurídicas prestan los servicios, desde qué jurisdicciones se proporciona el soporte, qué empleados o subcontratistas pueden obtener acceso, dónde se administran las claves criptográficas, qué mecanismos de logging existen y qué facultades legales de autoridades extranjeras pueden resultar relevantes. Una cláusula contractual que establezca que los datos permanecen en un centro de datos europeo ofrece una protección limitada si administradores situados en terceros países conservan acceso irrestricto o si el proveedor puede ser obligado, en virtud de su ordenamiento jurídico nacional, a hacer accesible la información. Su organización necesita, por ello, un enfoque en el que data residency, data access, jurisdicción aplicable, control técnico y dependencia operativa sean evaluados conjuntamente. Esta necesidad adquiere especial importancia dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera cuando la información afecta a customer due diligence, operaciones sospechosas, investigaciones internas, análisis de sanciones, estructuras de titularidad real, indicadores de fraude u otra información que sea simultáneamente sensible desde el punto de vista jurídico y crítica desde el punto de vista operativo. La cuestión relevante no consiste entonces únicamente en determinar si el tratamiento es lícito, sino también si su organización conserva suficiente control sobre la confidencialidad, disponibilidad, integridad probatoria y accesibilidad futura de los datos.

La soberanía digital adquiere asimismo una especial relevancia cuando su organización se vuelve dependiente de tecnologías de las que resulta técnica, financiera u operativamente extremadamente difícil migrar. El vendor lock-in puede surgir como consecuencia de formatos propietarios, interfaces cerradas, dependencias complejas entre aplicaciones, limitadas funcionalidades de exportación, elevados costes de migración, funcionalidades específicas de inteligencia artificial o ausencia de alternativas realistas. Estas dependencias pueden debilitar la posición negociadora de su organización y limitar su capacidad para responder adecuadamente a nueva regulación, acontecimientos geopolíticos, incidentes de seguridad, modificaciones de precios o cambios en el apetito de riesgo. Una organización puede continuar siendo formalmente propietaria de sus datos y, sin embargo, depender en la práctica de un único proveedor para conservar la capacidad de utilizar esa información de manera efectiva. La soberanía digital exige, por ello, que los mecanismos de salida no se examinen únicamente cuando un contrato está a punto de finalizar, sino desde las fases de selección del proveedor, contratación, implementación y revisión periódica. Su organización debería establecer con antelación en qué formatos pueden exportarse los datos, qué metadatos se conservarán, cuánto tiempo podría requerir una migración, qué asistencia debe prestar el proveedor, qué documentación técnica estará disponible y qué costes pueden derivarse de una terminación o transición. También debe evaluarse si los procesos empresariales críticos pueden continuar funcionando durante una migración o en caso de que el proveedor quede repentinamente indisponible. Para los flujos de información más críticos puede ser necesario establecer redundancia, copias locales, mecanismos de escrow, requisitos de interoperabilidad o capacidades alternativas de tratamiento. La cuestión estratégica no consiste en determinar si una independencia tecnológica absoluta es posible o deseable, sino qué dependencias son aceptables y qué concentraciones de control generan riesgos materiales. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, este tipo de dependencia puede surgir cuando el screening de clientes, el transaction monitoring, los datos relativos a sanciones, las funcionalidades de investigación y el case management están concentrados en un único proveedor externo. Una interrupción o una limitación contractual que afecte a dicho proveedor podría comprometer simultáneamente varias capas de la gestión de riesgos de criminalidad financiera. La localización de datos y la soberanía digital deben, por tanto, vincularse con la continuidad de negocio, el third-party risk management, la gestión contractual, la ciberseguridad y el apetito de riesgo definido a nivel de gobierno.

La prueba definitiva de la soberanía digital desde una perspectiva de gobierno consiste en determinar si su organización puede tomar, y demostrar que puede tomar, decisiones autónomas sobre la disponibilidad, utilización, transferencia y protección de la información crítica cuando cambian las circunstancias. Esto requiere análisis periódicos de escenarios que vayan más allá de la operativa normal y contemplen situaciones como la adquisición de un proveedor, la aparición de un conflicto comercial, un cambio regulatorio, una solicitud de acceso por parte de una autoridad extranjera, la indisponibilidad de una cloud region, la finalización de un contrato o la retirada de una funcionalidad esencial por parte de un proveedor tecnológico. Su organización debe poder determinar qué información resultaría afectada, qué alternativas seguirían disponibles y qué decisiones deberían adoptarse anticipadamente para evitar una pérdida de control. Esto exige reporting de gobierno capaz de traducir las dependencias tecnológicas en consecuencias jurídicas y operativas. El consejo de administración y la alta dirección no necesitan conocer cada detalle técnico, pero sí deben disponer de una visibilidad suficiente sobre qué información es crítica, qué terceros ejercen un control efectivo sobre ella y durante cuánto tiempo podría seguir operando la organización sin su cooperación. Para información particularmente sensible pueden resultar asimismo apropiados mecanismos de segregación técnica, client-side encryption, gestión independiente de claves, derechos de acceso diferenciados o segmentación geográfica. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, la soberanía digital contribuye a la capacidad de su organización para preservar análisis históricos, expedientes de investigación y resultados de monitorización cuando cambian las relaciones con los proveedores. Una autoridad supervisora o un tribunal puede, años después, solicitar la información y las decisiones que sustentaron una determinada evaluación. Si su organización ya no puede reproducir esos datos porque un entorno externo ha sido desmantelado o porque el proveedor ha dejado de ofrecer soporte suficiente, surge un riesgo significativo en materia de accountability y Regulatory Defence. La soberanía digital no persigue, por tanto, el aislamiento, sino la dependencia controlada: su organización puede utilizar tecnología y servicios internacionales de datos cuando aporten valor, siempre que conserve suficiente margen jurídico, técnico y operativo para proteger, recuperar, transferir y continuar utilizando de forma autónoma su información crítica.

Gobernanza de las relaciones entre responsables, encargados y subencargados del tratamiento

Una cadena de información fiable exige claridad acerca de qué parte determina los fines y medios del tratamiento, qué parte procesa la información exclusivamente por cuenta de otra y en qué situaciones pueden surgir responsabilidades conjuntas o estructuras más complejas. La calificación como responsable del tratamiento, corresponsable o encargado no depende únicamente de la terminología utilizada en los contratos, sino de la función que cada parte desempeña efectivamente. Su organización debe, por tanto, ir más allá de cláusulas estándar en las que un proveedor se limita a calificarse a sí mismo como encargado del tratamiento. Cuando un proveedor tecnológico determina de manera autónoma qué datos recopila, utiliza determinadas informaciones para sus propios fines, desarrolla analítica propietaria o combina datos de clientes con información procedente de otras fuentes, la calificación jurídica puede desviarse materialmente de la denominación contractual escogida. Esto tiene consecuencias en materia de transparencia, bases jurídicas, derechos de los interesados, seguridad, transferencias internacionales y responsabilidad. Su organización necesita, por ello, una evaluación sistemática de todas las relaciones materiales con proveedores que impliquen el tratamiento de datos personales, información investigativa, datos de clientes u otra información sensible. Esa evaluación debe permitir determinar qué datasets se comparten, qué operaciones de tratamiento tienen lugar, qué finalidades se persiguen, qué grado de autonomía ejerce el proveedor y qué otras partes intervienen. Este análisis resulta especialmente relevante en relación con plataformas cloud, servicios SaaS, proveedores de inteligencia artificial, sistemas de recursos humanos, plataformas investigativas, soluciones de transaction monitoring, servicios de eDiscovery, marketing technology y proveedores de data analytics. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, un proveedor externo puede, por ejemplo, analizar datos transaccionales, realizar screening de sanciones o enriquecer información de clientes. La responsabilidad jurídica y de gobierno de su organización no desaparece por el hecho de que la ejecución haya sido externalizada. Su organización debe poder demostrar que el tratamiento externo ha sido configurado de forma adecuada, que las instrucciones son suficientemente claras, que los derechos de acceso están debidamente limitados y que el servicio sigue sujeto a un control efectivo.

Los acuerdos de tratamiento de datos deben funcionar como instrumentos concretos de control y no como anexos jurídicos genéricos que apenas se consultan después de su firma. Un acuerdo eficaz debe reflejar el servicio realmente prestado y definir con suficiente precisión qué datos se tratan, para qué finalidades, durante cuánto tiempo, por qué categorías de personas y bajo qué medidas técnicas y organizativas. Para su organización, la cuestión central consiste en determinar si los compromisos contractuales son operativamente ejecutables y efectivamente verificables. Una cláusula general de seguridad ofrece un valor limitado cuando no están claros los estándares aplicables, los mecanismos de notificación de incidentes, los derechos de auditoría o las modificaciones que el proveedor puede introducir unilateralmente. Lo mismo ocurre con la retención, eliminación, backups, exit support, transferencias internacionales, continuidad de negocio y acceso del personal. Su organización debe, por tanto, vincular la gobernanza contractual con el vendor monitoring, el incident management y mecanismos periódicos de assurance. Puede distinguirse entre proveedores con acceso limitado a información no crítica y aquellos que desempeñan funciones estructurales dentro de procesos esenciales. Cuanto más amplio sea el acceso del proveedor, más sensibles sean los datos, mayor sea la dependencia y más elevado sea el posible impacto operativo, más intenso debería ser el marco de gobernanza. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, los proveedores que apoyan el transaction monitoring, las plataformas KYC, el sanctions screening, el case management o la forensic analytics pueden requerir una supervisión reforzada. Una indisponibilidad, un problema de calidad de datos o un error de tratamiento en estos proveedores puede conducir directamente a alertas no detectadas, expedientes incompletos o clasificaciones de riesgo incorrectas. Las disposiciones contractuales deberían, por ello, abordar, entre otras cuestiones, la calidad de los datos, change management, notificación de incidentes, obligaciones de remediation y acceso a los logs relevantes. Su organización debe asimismo evitar que funcionalidades materiales o tratamientos sensibles se trasladen a otros entornos técnicos o entidades del grupo sin una evaluación previa suficiente.

El subprocessing constituye un ámbito de riesgo específico, porque la cadena real del tratamiento suele ser considerablemente más extensa de lo que parece a partir de la relación contractual principal. Un proveedor cloud puede utilizar otros proveedores de infraestructura, empresas de soporte, security providers, content delivery networks, proveedores de analytics y subcontratistas especializados. Como consecuencia, su organización puede permitir indirectamente que datos personales o información empresarial confidencial sean tratados por sujetos con los que no mantiene ninguna relación comercial directa. Esto incrementa la complejidad de la supervisión, la gestión de transferencias internacionales, la respuesta a incidentes y la planificación de salida. La gobernanza de los subencargados exige, por ello, visibilidad sobre los subencargados materialmente relevantes, sus ubicaciones, funciones, niveles de acceso y modificaciones a lo largo del tiempo. Una autorización general que permita añadir subencargados sin limitaciones puede proporcionar una protección insuficiente si su organización descubre únicamente a posteriori que un tratamiento sensible se ha trasladado a otra jurisdicción o a otro proveedor. Los mecanismos contractuales de notificación y oposición deben, por tanto, ser realmente utilizables. Su organización necesita tiempo e información suficientes para evaluar qué implica la incorporación de un nuevo subencargado para la privacidad, la seguridad, la continuidad y la soberanía digital. Para servicios críticos puede ser necesario prohibir determinadas categorías de subprocessing desde el inicio o imponer requisitos adicionales en relación con la localización geográfica, el acceso técnico y los estándares de seguridad. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, esta transparencia resulta especialmente importante porque la gestión de los riesgos de criminalidad financiera puede depender de datasets que contienen información comercial y jurídicamente sensible relativa a clientes, transacciones, investigaciones y perfiles de riesgo. Cuando esa información se distribuye a través de múltiples niveles de subcontratación, aumenta el riesgo de que su organización pierda visibilidad sobre quién puede acceder efectivamente a ella. Una gobernanza sólida de las relaciones entre responsables, encargados y subencargados vincula, por tanto, la calificación jurídica, las obligaciones contractuales, el seguimiento operativo, la transparencia sobre los subencargados y el exit planning dentro de un único marco coherente de control. De este modo, su organización puede beneficiarse de tecnología y conocimientos externos sin renunciar a su responsabilidad respecto de la protección de los datos, su fiabilidad y el control de gobierno.

Privacy by Design, evaluaciones de impacto relativas a la protección de datos y gobernanza de accesos

La Privacy by Design exige que la protección de datos se incorpore desde las primeras fases de diseño de sistemas, productos y procesos, en lugar de añadirse una vez que la solución ya se encuentra operativa. Para su organización, esto significa que nuevas tecnologías, recorridos digitales de clientes, aplicaciones de inteligencia artificial, herramientas de investigación y nuevas fuentes de datos deben evaluarse desde las fases de selección y diseño atendiendo a su necesidad, proporcionalidad y gobernabilidad. Cuando una organización examina el tratamiento de datos personales únicamente inmediatamente antes de la implementación, la posibilidad de modificar decisiones fundamentales de diseño puede encontrarse ya seriamente limitada. La Privacy by Design crea, por ello, un momento temprano de decisión en el que puede establecerse qué información resulta realmente necesaria, qué datos pueden pseudonimizarse, qué información puede permanecer local, qué funcionalidades deben limitarse por defecto y qué mecanismos de logging son necesarios. También debe tenerse en cuenta la Privacy by Default: los sistemas no deberían habilitar automáticamente una recopilación máxima de datos, amplios permisos de compartición o periodos de conservación indefinidos cuando ello no resulte necesario para la finalidad prevista. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, la Privacy by Design puede implicar, por ejemplo, que los sistemas analíticos distingan entre la información necesaria para una primera detección de riesgo y datos más sensibles a los que únicamente se accede cuando una alerta justifica una investigación adicional. De este modo, su organización puede realizar análisis sofisticados al tiempo que limita el acceso ordinario a datos personales que no resultan necesarios para determinadas funciones. La Privacy by Design contribuye, por tanto, tanto al cumplimiento como a la disciplina operativa. Obliga a su organización a concretar qué datos necesita realmente cada proceso y qué riesgos surgen cuando la información se comparte excesivamente o se conserva durante periodos demasiado prolongados.

Las evaluaciones de impacto relativas a la protección de datos constituyen un instrumento fundamental para analizar sistemáticamente, antes de su implementación, los tratamientos que presentan un riesgo elevado. Una DPIA eficaz no consiste en un documento estándar con formulaciones genéricas sobre riesgos, sino en una evaluación sustantiva del tratamiento efectivo, de las personas afectadas, de las posibles consecuencias, de la configuración técnica y de las medidas de mitigación. Su organización debe comenzar definiendo con precisión la finalidad y la necesidad del tratamiento. Posteriormente debe examinar qué datos se utilizan, la escala y duración del tratamiento, si existe profiling o monitorización sistemática, si intervienen grupos vulnerables, si se tratan datos sensibles y qué influencia pueden tener los resultados sobre las personas físicas. La evaluación de riesgos debe ir más allá de la posibilidad de una brecha de datos. La toma de decisiones incorrecta, los efectos discriminatorios, un profiling inadecuado, la falta de transparencia, una exclusión injustificada, la pérdida de autonomía y las asociaciones erróneas entre datos pueden constituir también riesgos relevantes. Esta cuestión resulta especialmente importante para las aplicaciones de inteligencia artificial y dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera. Un modelo que clasifique automáticamente a clientes en categorías de riesgo puede conducir a una monitorización reforzada o a solicitudes de información adicional. La DPIA debe, por tanto, evaluar qué datos determinan esa clasificación, cuál es la fiabilidad del resultado, cómo se corrigen los errores y qué espacio sigue existiendo para una evaluación humana efectiva. También deben examinarse los efectos acumulativos. Un dataset individual puede parecer relativamente poco intrusivo, mientras que su combinación con otras fuentes puede generar un perfil extremadamente detallado. Su organización debe, por ello, evaluar no solo las operaciones individuales de tratamiento, sino también la forma en que la agregación de datos y la analítica avanzada incrementan el posible impacto sobre los interesados.

La gobernanza de accesos constituye la traducción práctica de la Privacy by Design a la operativa diaria. Muchos incidentes de datos no se producen porque atacantes externos superen los controles de seguridad, sino porque empleados, consultores o usuarios externos conservan accesos que ya no son necesarios, reciben permisos excesivamente amplios o mantienen cuentas que no se revocan adecuadamente después de un cambio de función o de la terminación de su relación con la organización. Su organización necesita, por tanto, un marco sólido de identity and access management basado en least privilege, need-to-know, segregación de funciones y revisiones periódicas de accesos. Los derechos de acceso deben corresponderse con la función, tarea, finalidad y sensibilidad de la información. Determinados expedientes de investigación, comunicaciones internas, asuntos de sanciones o datos de personal pueden requerir autorizaciones adicionales. Las cuentas privilegiadas deben estar sometidas a una protección reforzada y a un logging detallado. Los accesos temporales concedidos a terceros deberían expirar automáticamente cuando finaliza el encargo correspondiente. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, estos controles son particularmente importantes porque analistas e investigadores pueden necesitar acceso a grandes volúmenes de información sobre clientes y transacciones. No todos los analistas necesitan disponer de visibilidad ilimitada sobre todas las relaciones con clientes. Al vincular los derechos de acceso a expedientes, jurisdicciones, productos o funciones de riesgo concretas, su organización puede reforzar la protección de datos sin debilitar una gestión eficaz de los riesgos de criminalidad financiera. El logging debe permitir asimismo conocer quién ha consultado, exportado o modificado información sensible. La gobernanza de accesos apoya así no solo la prevención, sino también la investigación y la reconstrucción probatoria cuando se sospecha un uso indebido. Privacy by Design, DPIA y access governance conforman conjuntamente un marco preventivo mediante el cual los riesgos de privacidad se identifican antes del uso operativo, las medidas de protección se integran en la configuración técnica y los accesos efectivos permanecen controlables durante todo el ciclo de vida de la información.

Análisis de datos en materia de criminalidad financiera, inteligencia lícita y gestión forense de datos

La analítica avanzada de datos puede reforzar de manera fundamental la gestión de los riesgos de criminalidad financiera al hacer visibles relaciones que resultan difíciles de identificar mediante controles tradicionales realizados expediente por expediente. Su organización puede combinar transacciones, relaciones con clientes, estructuras de propiedad, características geográficas, comunicaciones, relaciones con proveedores, patrones de pago e información externa para identificar riesgos complejos en una fase más temprana. El análisis de datos en materia de criminalidad financiera puede, por ejemplo, revelar estructuras de red en las que múltiples personas jurídicas comparten los mismos titulares reales, direcciones, cuentas bancarias o intermediarios. El análisis temporal puede identificar patrones que únicamente resultan visibles cuando las transacciones se observan durante periodos más amplios. La entity resolution puede conectar diferentes grafías, nombres comerciales e identificadores para reconstruir una única relación económica. La anomaly detection puede detectar comportamientos que se desvían significativamente de los de clientes, contrapartes o grupos de transacciones comparables. La Gestión Integrada de Riesgos de Criminalidad Financiera puede, por tanto, evolucionar desde controles aislados hacia un modelo mucho más integrado de detección de riesgos. La sofisticación analítica, sin embargo, solo genera valor cuando la información subyacente es suficientemente fiable, ha sido obtenida lícitamente y puede interpretarse correctamente. Su organización debe, por ello, determinar para cada aplicación analítica qué datasets se utilizan, qué limitaciones presentan y qué supuestos se encuentran incorporados en el análisis. Una correlación entre determinadas características transaccionales puede constituir una señal de riesgo relevante, pero no demuestra automáticamente fraude, blanqueo de capitales, corrupción u otra forma de criminalidad financiera. Los outputs analíticos deben utilizarse para priorizar riesgos, formular hipótesis y orientar investigaciones adicionales, y no como sustitutos automáticos del juicio profesional. Esta cautela resulta especialmente importante cuando los datos de origen son incompletos o las fuentes externas presentan incertidumbres.

Una posición de inteligencia jurídicamente lícita exige que su organización distinga con claridad entre la información que se encuentra técnicamente disponible y la información que puede utilizarse de forma lícita y proporcionada. Las fuentes públicas, bases de datos comerciales, redes sociales, registros empresariales, comunicaciones internas, informes externos de investigación e información compartida dentro de un grupo empresarial pueden configurar conjuntamente un entorno informativo extraordinariamente rico. Sin embargo, no toda fuente disponible puede combinarse sin limitación o conservarse indefinidamente. La lawful intelligence implica que su organización pueda explicar, para cada actividad material de recopilación de información, qué finalidad persigue, qué competencia o base jurídica resulta aplicable y por qué los datos utilizados son relevantes para dicha finalidad. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, ello puede significar que una recopilación más intensiva de información resulte apropiada cuando existan indicadores de riesgo elevado, mientras que una vigilancia generalizada de toda la clientela sin una necesidad claramente definida podría resultar desproporcionada. Su organización debe, por tanto, aplicar niveles de investigación basados en el riesgo, en los que se recopile información adicional cuando existan señales objetivas que justifiquen una revisión más profunda. También debe evaluarse la fiabilidad de las fuentes. Una información pública no verificada puede justificar investigaciones adicionales, pero no debería tratarse automáticamente como un hecho establecido. El mismo principio se aplica a resúmenes generados por inteligencia artificial, resultados de adverse media y puntuaciones automatizadas de riesgo. Una función de inteligencia lícita y fiable mantiene, por tanto, una distinción entre el material fuente, la interpretación analítica, la hipótesis investigativa y el hallazgo confirmado. Esto evita que determinadas suposiciones se propaguen por los sistemas y posteriormente se presenten como hechos. Esta disciplina resulta esencial dentro de la gestión de los riesgos de criminalidad financiera, porque la información incorrecta puede producir consecuencias significativas para clientes, empleados y socios comerciales.

La gestión forense de datos refuerza la integridad probatoria y la reproducibilidad de los análisis y las investigaciones. Desde el momento en que determinada información puede adquirir relevancia para una investigación interna, una actuación supervisora, un procedimiento civil, una actuación administrativa o un contexto penal, su integridad debe poder preservarse de manera demostrable. Su organización debe ser capaz de documentar cómo se recopilaron los datos, qué sistemas fueron examinados, qué métodos de extracción se utilizaron, qué filtros fueron aplicados, quién tuvo acceso y qué transformaciones se realizaron. Los hash values, metadatos, audit logs, version control y registros de chain of custody pueden desempeñar un papel importante. El objetivo consiste en permitir que un tercero independiente pueda, posteriormente, comprender cómo se alcanzó una determinada conclusión y valorar si la información subyacente pudo haber sido modificada. Esta exigencia resulta especialmente importante dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera cuando los hallazgos analíticos pueden dar lugar a medidas disciplinarias, terminación de relaciones con clientes o proveedores, comunicaciones regulatorias, acciones civiles o cooperación con autoridades de investigación. Un análisis sofisticado cuya procedencia no se encuentre debidamente documentada puede perder una parte sustancial de su valor probatorio cuando es impugnado. La gestión forense de datos exige, por tanto, que los procesos investigativos y analíticos consideren desde el inicio su potencial utilización probatoria. Esto no significa que cada control rutinario deba tratarse como una investigación forense, pero sí que una escalada debe permitir una rápida transición hacia salvaguardias reforzadas en materia de integridad y documentación. Su organización puede crear así una cadena de información coherente que conecte detección, análisis, investigación, decisión y, cuando proceda, litigio o enforcement. La gestión de los riesgos de criminalidad financiera se fortalece de este modo no solo en la detección, sino también en la fundamentación, la actuación y la Regulatory Defence.

Gobernanza estratégica de datos, Regulatory Defence y resiliencia institucional de la información

La gobernanza estratégica de datos exige que su organización trate la información no como una acumulación de datasets separados, sino como un activo crítico cuya calidad, disponibilidad y utilizabilidad jurídica determinan directamente la eficacia del gobierno. La cuestión central se desplaza, por tanto, de “¿qué datos están disponibles?” a “¿qué información necesita la organización para ser gobernada responsablemente, gestionar los riesgos de forma eficaz y fundamentar sus decisiones de manera demostrable?”. Una organización puede disponer de volúmenes enormes de datos y, sin embargo, carecer de suficiente control cuando las definiciones son inconsistentes, las responsabilidades no están claras, los reportings se contradicen entre sí o la información fuente crítica no puede trazarse. La gobernanza estratégica de datos exige, por ello, una conexión directa entre la política de datos y la estrategia empresarial. Los objetivos empresariales críticos deben traducirse en necesidades de información y, a partir de ellas, debe determinarse qué datasets, controles, sistemas y competencias son necesarios. Su organización debe comprender qué información resulta esencial para la asignación de capital, la aceptación de clientes, el reporting financiero, el cumplimiento, la innovación, la continuidad operativa y la Gestión Integrada de Riesgos de Criminalidad Financiera. Posteriormente debe determinar qué vulnerabilidades pueden comprometer la fiabilidad de dicha información. Estas vulnerabilidades pueden consistir en fallos técnicos, pero también en una disciplina de procesos insuficiente, mala calidad de datos, definiciones inconsistentes, dependencias de proveedores o deficiencias en la gobernanza de accesos. La gobernanza estratégica de datos conecta, por tanto, data ownership, risk management, technology governance, Compliance, internal audit y reporting a la dirección. El objetivo no consiste en saturar al consejo de administración y al senior management con métricas operativas, sino en ofrecer una visión clara de aquellas debilidades informativas que pueden afectar materialmente a las decisiones, a las obligaciones jurídicas y a la fiabilidad institucional.

La Regulatory Defence constituye una segunda dimensión central. Cuando una autoridad supervisora, un tribunal o una autoridad investigadora examina cómo se adoptó una determinada decisión, el análisis se extiende cada vez más allá del resultado final y alcanza también los datos, sistemas, controles y líneas de responsabilidad que lo sustentaron. Su organización debe, por tanto, ser capaz de reconstruir qué información estaba disponible en el momento relevante, qué análisis se realizaron, qué incertidumbres eran conocidas, qué controles internos resultaban aplicables y por qué se consideró razonable una determinada decisión. Esto resulta especialmente importante cuando intervinieron sistemas automatizados, inteligencia artificial, transaction monitoring o fuentes externas de datos. Una posición defendible exige que las decisiones estén respaldadas por una motivación contemporánea a los hechos y no por explicaciones teóricas elaboradas únicamente después de iniciarse una revisión. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, esto puede referirse a las razones por las que un cliente fue clasificado como de alto riesgo, por qué una alerta transaccional fue escalada o cerrada, por qué se realizó enhanced due diligence, por qué se terminó una relación comercial o cómo se seleccionó un determinado escenario de monitorización. Cuando los datos, las versiones de modelos o las reglas internas han cambiado con el tiempo, su organización debe poder determinar qué configuración era aplicable en el momento relevante. El version control, data lineage, decision logging y change management se convierten así en componentes de la Regulatory Defence. Su organización puede demostrar de este modo que la gestión de los riesgos de criminalidad financiera no existía únicamente en políticas formales, sino que estaba efectivamente respaldada por datos fiables, análisis reproducibles y procesos de decisión documentados. Esta capacidad resulta especialmente importante cuando se identifican posteriormente errores o señales que no fueron detectadas. La existencia de un error no demuestra automáticamente que el gobierno fuera inadecuado; una cuestión determinante será con frecuencia si existían medidas razonables, si las señales relevantes fueron evaluadas de forma adecuada y si las deficiencias identificadas fueron corregidas de manera suficientemente rápida y efectiva.

La resiliencia institucional de la información amplía aún más este análisis al centrarse en la capacidad de su organización para conservar el control sobre la información crítica durante interrupciones, investigaciones, conflictos o transformaciones tecnológicas. Los incidentes de ciberseguridad, pérdida de datos, ransomware, indisponibilidad de proveedores, litigios, rotación de personal, reorganizaciones, adquisiciones, migraciones cloud y cambios regulatorios pueden provocar fragmentación, indisponibilidad o pérdida de información cuando las responsabilidades, los periodos de conservación y los mecanismos de recuperación no están suficientemente desarrollados. La resiliencia institucional exige, por ello, identificar los datasets críticos, establecer recovery objectives, disponer de mecanismos alternativos de acceso e integrar las obligaciones legales de conservación dentro de la planificación de continuidad. La continuidad del conocimiento resulta igualmente importante. Una organización puede conservar acceso técnico a la información y, sin embargo, seguir siendo vulnerable si únicamente unas pocas personas comprenden cómo se construyeron determinados análisis, definiciones o decisiones históricas. La documentación, los metadatos, los procedimientos y las competencias transferibles forman, por tanto, parte integrante de la continuidad informativa. Dentro de la Gestión Integrada de Riesgos de Criminalidad Financiera, esto significa que la información crítica sobre clientes, transacciones e investigaciones debe permanecer disponible cuando se sustituyen sistemas, cambian los equipos o terminan relaciones con proveedores. Su organización debe evitar que la información histórica de riesgo desaparezca como consecuencia de la retirada de legacy systems y debe garantizar que los análisis anteriores sigan siendo reproducibles cuando sea necesario. La resiliencia institucional de la información conecta así la gobernanza de datos, la privacidad, la ciberseguridad, el digital forensics, la continuidad de negocio y la Regulatory Defence. El objetivo es una organización capaz de utilizar la información eficazmente durante la operativa ordinaria y, al mismo tiempo, de seguir demostrando bajo presión de dónde proceden los datos críticos, cómo fueron protegidos, qué decisiones se adoptaron sobre su base y qué responsabilidades jurídicas y de gobierno estaban vinculadas a dichas decisiones. La gobernanza de datos se convierte así en una condición fundamental para una soberanía digital sostenible, una Gestión Integrada de Riesgos de Criminalidad Financiera eficaz y una toma de decisiones institucional fiable.