Compliance penal e inteligencia artificial en Ecuador

Autor: Bairon Iván Espinoza Guillén[1]

Introducción

El avance de la inteligencia artificial (IA) está transformando la forma en que las organizaciones gestionan, identifican y controlan sus riesgos. En el sector empresarial, estas herramientas de IA permiten procesar grandes volúmenes de información, detectar patrones inusuales y generar alertas que difícilmente podrían obtenerse solo mediante controles manuales. Dicha innovación también alcanza al compliance, entendido como: “aquellas pautas organizativas y procedimentales que adopta una empresa para asegurarse de que se cumplan, en todos sus niveles y áreas de especialización, las reglas y normas que la vinculan y a las que se vinculan voluntariamente” (Fernández, 2021).

En Ecuador, esta cuestión empieza a adquirir importancia a partir del reconocimiento expreso de la responsabilidad penal de las personas jurídicas en el Código Orgánico Integral Penal (Ecuador, 2014). El cual no se limita a exigir la existencia formal de políticas o reglamentos internos sobre los cuales ya se regían las organizaciones, sino que contempla la adopción de un programa de compliance o cumplimiento que contenga mecanismos de identificación, detección y gestión de riesgos, canales de denuncia, modelos de gestión financiera, supervisión y capacitación continua, código de ética, entre otros.

Otro de esos mecanismos tiene que ver con la incorporación de herramientas de inteligencia artificial que permitan fortalecer el programa de cumplimiento, no obstante, es relevante tener en cuenta que la IA puede cometer errores, utilizar datos inadecuados e incluso afectar derechos relacionados con la protección de datos personales. De ahí que la cuestión no es tan sencilla como parece, es decir, no se trata simplemente de determinar si una empresa puede utilizar IA en su programa de cumplimiento, sino que, es necesario establecer bajo qué condiciones dicha herramienta puede contribuir a fortalecer el programa y demostrar una verdadera cultura de prevención del riesgo o en concreto del delito.

Sin duda, la inteligencia artificial es una herramienta eficaz para fortalecer el compliance penal y la prevención del delito, pero su adopción no elimina per se la responsabilidad de la persona jurídica ni puede pretender sustituir la gestión, el control y la supervisión humana.

La cultura del compliance penal en Ecuador

El artículo 49 del COIP, sostiene que “las personas jurídicas nacionales o extranjeras de derecho privado son penalmente responsables por los delitos cometidos para beneficio propio o de sus asociados, por la acción u omisión de quienes ejercen su propiedad o control, sus órganos de gobierno o administración, apoderadas o apoderados, mandatarias o mandatarios, representantes legales o convencionales, agentes, operadoras u operadores, factores, delegadas o delegados, terceros que contractualmente o no, se inmiscuyen en una actividad de gestión, ejecutivos principales o quienes cumplan actividades de administración, dirección y supervisión y, en general, por quienes actúen bajo órdenes o instrucciones de las personas naturales citadas” (Ecuador, 2014).

Este reconocimiento fue un punto de partida esencial para fomentar la cultura del compliance en el país. Ello permitió la incorporación de reformas encaminadas a que las personas jurídicas introduzcan mecanismos de prevención de riesgos o programas de cumplimiento, pero también ha ocasionado diversas críticas sobre si las personas jurídicas pueden ser sujetos de responsabilidad penal y debates sobre la atenuación de la pena que parece justificarse sobre un Derecho Penal Premial.

A pesar de ello, es posible advertir que en Ecuador todavía no existe una cultura de compliance sólida, ya que ciertos sectores empresariales todavía no encuentran la necesidad de adoptar un programa de cumplimiento porque consideran que el Derecho Penal nunca tocará sus puertas, y ello ha ocasionado que solo se acate lo que otras leyes obligan y sancionan, como, por ejemplo, el nombramiento de un oficial de cumplimento, que la Ley Orgánica de Prevención, Detección y Combate del Delito de Lavado de Activos y de la Financiación de Otros Delitos prevé para ciertos sujetos obligados (2024).

Con lo cual, esto permite entender que el compliance penal en Ecuador, se ha visto limitado a la simple designación de un oficial de cumplimiento, que en muchos de los casos desconoce cual es el rol que desempeña, dejando de lado la importancia de su finalidad en el esfuerzo de construir un programa eficaz y capaz de identificar riesgos, prevenirlos y reaccionar frente a ellos.

La inteligencia artificial en los programas de compliance

La inteligencia artificial puede integrarse en distintas etapas de un programa de cumplimiento. Al ser una tecnología capaz de realizar tareas complejas, permite integrar en tales programas la automatización de procesos que facilitan el monitoreo y control continuo de las actividades de una empresa. Una de las principales aplicaciones de la IA radica en la gestión de riesgos, a través del procesamiento de grandes cantidades de información y la identificación de operaciones comerciales inusuales que representarían un riesgo para la empresa (FATF, 2021).

Del mismo modo, la IA puede utilizarse en los procesos de due diligence o debida diligencia para el control, supervisión y evaluación que mantiene la empresa con los clientes, proveedores y terceros afines. Asimismo, el monitoreo continuo es otra de las funciones que la IA puede cumplir a través de un sistema de automatización que permite programar el control y reporte según lo que requiera la empresa. Muy distinto de lo que sucede con los sistemas de revisión periódicos que tradicionalmente se hacen de forma manual (FATF, 2021).

Lo cierto es que la IA se convierte en una herramienta de apoyo a la prevención de riesgos y particularmente podría reaccionar de forma oportuna a la prevención de un delito. Sin embargo, esto no implica que el control y manejo de las pautas de un programa de cumplimiento se deba encargar de forma exclusiva a la inteligencia artificial, ni mucho menos pretender responsabilizarla, pues no debe ser vista como una herramienta autónoma de determinación de responsabilidad.

Inteligencia artificial: Límites y riesgos en la implementación

Sostiene Richard Susskind, que “el reto es innovar, practicar el Derecho de una manera que no hubiéramos podido hacerlo en el pasado” (Susskind, 2017). Aterrizando lo referido por Susskind en este trabajo, la inteligencia artificial, sin duda es una herramienta innovadora en cualquier campo aplicable, pero a su vez puede originar problemas.

En este sentido, es importante considerar que la implementación de IA en un programa de cumplimiento debe ser limitada por los riesgos de error que podría generar. Recordemos que estas herramientas basadas en IA son entrenadas incluso durante su proceso de ejecución, por lo tanto, un modelo puede producir falsos positivos, puede generar resultados equívocos, omitir conductas e incluso podría tomar decisiones erradas en situaciones complejas.

Además, otro de los límites se relaciona con la protección de datos personales. En cuyo caso, la Ley Orgánica de Protección de Datos Personales (2021) obliga e impone sanciones relacionadas con el tratamiento de los datos personales. Por lo que, la adopción de IA en un programa de cumplimiento debe incorporar pautas que garanticen el tratamiento legítimo de los datos personales que manejan las empresas y que serían procesadas por la IA. Finalmente, debe considerarse el riesgo al que puede estar expuesto un programa de cumplimiento que depende de herramientas generativas, pues son propensos a ataques de pishing, ransomware y otros delitos cibernéticos.

¿Un programa de compliance es eficaz por usar inteligencia artificial?

El artículo 49 del COIP, refiere que “la responsabilidad penal de la persona jurídica se atenuará de conformidad con el número 7 del artículo 45 del presente Código. Los sistemas de integridad, normas, programas y/o políticas de cumplimiento, prevención, dirección y/o supervisión, deberán incorporar los siguientes requisitos mínimos, sin perjuicio de las disposiciones del Reglamento que se dicte para el efecto, y de otras normas específicas: 1. Identificación, detección y administración de actividades en las que se presente riesgo; 2. Controles internos con responsables para procesos que representen riesgo; 3. Supervisión y monitoreo continuo, tanto interna, como evaluaciones independientes de los sistemas, programas y políticas, protocolos o procedimientos para la adopción y ejecución de decisiones sociales; 4. Modelos de gestión financiera; 5. Canal de denuncias; 6. Código de Ética; 7. Programas de capacitación del personal; 8. Mecanismos de investigación interna; 9. Obligación de informar al encargado de cumplimiento sobre posibles riesgos o incumplimientos; 10. Normas para sancionar disciplinariamente las vulneraciones del sistema; y, 11. Programas conozca a su cliente o debida diligencia” (2014). De lo citado se desprende que el legislador establece, de algún modo, los requisitos mínimos que debería reunir un programa de cumplimiento. No obstante, cabe plantearse la siguiente interrogante: ¿el cumplimiento de tales requisitos mínimos implica, por sí solo, que la persona jurídica cuenta con un programa de cumplimiento eficaz? A mi juicio no, pues considero que la exigencia mínima de cumplimiento de requisitos está encaminada a permitir una atenuación de pena a la persona jurídica, más no está orientada a determinar si un programa de cumplimiento es eficaz.

La eficacia de un programa de cumplimiento exige una implementación previa, real y acorde con los riesgos de la actividad de la empresa. No se trata de implementar un programa de compliance sin que el mismo resulte operativo, si no que es importante que este permita recopilar la información documental necesaria y relevante para un eventual juicio de imputación de responsabilidad.

Así pues, un programa de cumplimiento que se apoya en inteligencia artificial podría ser considerado eficaz porque genera evidencia de que dicho programa estuvo en funcionamiento, de que se adoptaron medidas frente a las alertas de posibles delitos, de que existieron reportes del monitoreo continuo y de que se canalizaron las denuncias, entre otra información relevante que demuestra que el programa no existía solamente en papel, sino que funcionaba de manera efectiva, a diferencia de aquellos casos en los que la ausencia constante de control y supervisión del programa por parte de un agente humano dificulta la recopilación y conservación de evidencia.

Lo ideal, como bien refiere (Arrese, 2021) es que la utilización de la inteligencia artificial se la haga de forma responsable y ética, pues de lo contrario la implementación de IA en un programa de compliance de nada serviría. Es decir, la adopción de IA no constituye por sí misma una prueba definitiva de que un programa de compliance sea eficaz.

Conclusiones

El gran potencial de la inteligencia artificial ofrece oportunidades para fortalecer y consolidar la cultura del compliance penal en Ecuador. Su capacidad para gestionar, procesar, monitorear y evaluar un programa de cumplimiento con tareas automatizadas y no automatizadas, cobija las pautas necesarias para cumplir con el objetivo de prevención del delito durante las actividades de una empresa. En los países en donde la cultura de compliance todavía no se ha consolidado, se debe aprovechar la ventaja que ofrece la inteligencia artificial y empezar a trabajar con ella.

La idea es adoptar un compliance basado en riesgos, capaz de utilizar herramientas como la inteligencia artificial sin que aquello implique perder el control jurídico y humano sobre la toma de decisiones.

Ahora bien, la implementación de inteligencia artificial en un programa de cumplimiento no debe convertirse en una fórmula de aplicación mecánica en el sector empresarial, pues no es tan sencillo como adquirir e instalar un programa. Se trata de que la implementación de la inteligencia artificial pueda integrarse en un sistema de prevención propio, real, verificable y por supuesto sometido a control humano, ya que como se refirió anteriormente, su uso debe ser responsable y ético.

Asimismo, la implementación de inteligencia artificial permitiría en buena medida obtener una respuesta y reacción rápida frente a posibles riesgos penales detectables, a diferencia de lo que puede suceder si todo se encuentra bajo control y supervisión humana. Igualmente, puede contribuir a la justificación razonable de que el programa de cumplimiento es eficaz en el marco de un juicio de imputación de responsabilidad penal de la persona jurídica.

En definitiva, contar con el apoyo de la inteligencia artificial en un programa de cumplimiento resulta razonable cuando lo que se pretende es prevenir el cometimiento de un delito en el marco de la actividad de la empresa en concreto, pues el monitoreo constante, el tiempo de reacción y cada una de las actividades que desempeñe son elementales para cumplir con los objetivos del programa. Las organizaciones que perduren en el tiempo estarán sometidas a los mismos principios y valores sobre los cuales se crearon, pero con un elemento diferenciador claro en su cultura de compliance.

Bibliografía

Arrese, N. D. (2021). Inteligencia Artificial y compliance. Revista de privacidad y derecho digital, 19-49.

Ecuador, A. N. (10 de 02 de 2014). Código Orgánico Integral Penal. Quito, Pichincha, Ecuador.

Ecuador, A. N. (26 de 05 de 2021). Ley Orgánica de Protección de Datos Personales. Quito, Pichincha, Ecuador.

Ecuador, A. N. (29 de 07 de 2024). Ley Orgánica de Prevención, Detección y Combate del Delito de Lavado de Activos y de la Financiación de Otros Delitos. Quito, Pichincha, Ecuador.

FATF, F. F. (2021). Opportunities and challenges of new technologies for AML/CFT. FATF/OECD.

Fernández, R. M. (2021). Criminal Compliance Apuntes Penales Sobre el Cumplimiento Normativo. Buenos Aires: Hammurabi.

Susskind, R. (2017). El abogado del mañana – Una introducción a tu futuro. Madrid: Wolters Kluwer.

[1] Abogado litigante e investigador jurídico graduado en la Universidad Católica de Cuenca; Socio fundador de EM COMPLIANCE; Máster en Derecho Penal y Procesal Penal por la Universidad Carlos III de Madrid, España; Máster en Legaltech por la Universidad Internacional de la Rioja, España; Experto certificado en Compliance por la Asociación Española de Compliance.