KYC se creó para humanos—Ahora necesitamos Conoce a tu Agente

El régimen de conoce-a-tu-cliente (KYC) de EE. UU. obtuvo sus primeros dientes reales en parte gracias a la Ley de Secreto Bancario de 1970. La sección 326 de la Ley Patriota de EE. UU. de 2001 le dio entonces su forma moderna, exigiendo que un banco tenga una creencia razonable de que conoce la verdadera identidad de cada cliente antes de abrir una cuenta.

Cada norma que se ha aplicado, en casi todas las jurisdicciones, hereda esa misma premisa inicial. Un cliente es una persona, natural o jurídica, con un nombre, una dirección y un registro contra el cual un banco puede verificar. Esa premisa se mantuvo durante más de 50 años porque era lo suficientemente sólida para sustentar una industria global de cumplimiento. Ahora, ya no es universalmente cierta.

El error de categoría

Un agente de IA que realiza transacciones en nombre de alguien no es ni una persona natural ni, en la mayoría de las jurisdicciones actuales, una jurídica. No tiene un nombre que reconozca un registro, ni una dirección a la que un banco pueda enviar correspondencia, y en algunos casos, no posee un registro que preceda a la transacción que tienes delante por más de unos minutos. Someter a ese agente a un proceso de KYC diseñado para humanos y empresas no genera una respuesta incorrecta. Produce una pregunta para la cual el proceso no tiene un campo.

Ese es el error que los equipos de cumplimiento siguen cometiendo cuando describen el riesgo agente como KYC, pero más difícil. No es KYC más difícil. Es una pregunta completamente distinta. KYC pregunta si una persona es quien dice ser. La pregunta que plantea un agente es si la entidad detrás de esa acción tiene la autoridad para llevarla a cabo en este momento, y si esa autoridad puede confirmarse en el instante que importa, en lugar de reconstruirse después. No son la misma pregunta formulada con diferente nivel de dificultad. Son dos preguntas distintas que comparten un departamento de cumplimiento, y la segunda merece su propio nombre: Conoce a tu Agente, o KYA.

Por qué acoplar KYA al KYC falla

El impulso de tratar esto como una extensión del KYC existente es comprensible pero equivocado. El KYC es, fundamentalmente, un ejercicio puntual. Verifica la identidad una sola vez y supervisa los cambios materiales posteriormente, una arquitectura que asume que la identidad y el comportamiento del cliente son hechos estables establecidos al incorporarlo y que rara vez cambian día a día.

La autoridad de un agente para actuar no es un hecho estable. Es un permiso que puede concederse, delimitarse o revocarse en el tiempo que lleva llamar a una API, y la entidad que realmente dirige al agente a las 3 p.m. puede no ser la que lo provisionó a las 9 a.m. Un marco de cumplimiento basado en la re‑verificación periódica no puede gobernar algo que cambia de estado continuamente. Eso no es una crítica al KYC. Es una descripción de una herramienta utilizada fuera del problema para el que fue creada.

Qué debe verificar realmente Conoce a tu Agente

Una explicación de cómo KYC y AML funcionan como disciplinas relacionadas pero distintas es un modelo útil aquí, porque muestra cómo se ve en la práctica la separación de dos funciones de cumplimiento adyacentes. Cada una responde a una pregunta diferente, usando herramientas distintas, con una frecuencia diferente, aunque ambas alimentan la misma visión de riesgo.

Conoce a tu Agente necesita ese mismo tipo de separación del KYC, no una fusión con él. Mientras el KYC verifica la identidad, el KYA debe verificar la procedencia y la autoridad vigente, rastreando quién creó un agente y qué permisos posee actualmente, de modo que la cadena de custodia entre el principal humano y la acción autónoma permanezca verificable en tiempo real. La orquestación dinámica de KYC, creada para la incorporación de VIP, es el análogo más cercano: verificaciones basadas en riesgo que se adaptan a la transacción específica en lugar de una única puerta estática que todos atraviesan de la misma manera. La actividad agente requiere esa misma flexibilidad en tiempo real, aplicada a una pregunta distinta.

El problema del papeleo, automatizado

Esto no es teórico. Un agente de IA no puede ser el propietario legal de una cuenta bancaria. El sistema asume que hay un humano detrás de cada cuenta, con verificaciones KYC, identidad legal y responsabilidad que se asignan a una persona nombrada. Las fintech ya están probando ese límite. Meow Technologies lanzó un servicio en abril que permite a un agente completar KYC, abrir una cuenta empresarial, emitir tarjetas corporativas y mover dinero sin que un humano tenga que abrir un panel. Automatizar el papeleo no equivale a convertirse en titular de la cuenta. La cuenta y la responsabilidad siguen recayendo en una persona, y ningún diseño de producto ha cerrado esa brecha.

Construir esa categoría no es opcional, y no es un problema que los departamentos de cumplimiento puedan resolver discretamente por sí solos. Requiere la misma rendición de cuentas pública que el propio KYC experimentó hace 50 años, un reconocimiento de que el cliente frente a la institución ha cambiado y las normas deben adaptarse. Conoce a tu Agente no es una característica de Conoce a tu Cliente. Es la próxima disciplina que el cumplimiento debe construir desde cero.