El Aviso Regulatorio 24-09 de FINRA deja claro que los agentes de bolsa (broker-dealers) deben aplicar sus reglas existentes cuando comiencen a utilizar herramientas de IA generativa, y detalla exactamente qué buscarán los examinadores.

El aviso no crea nuevas regulaciones; recuerda a las firmas que las mismas obligaciones de supervisión, comunicación, privacidad, mantenimiento de registros y de mejor interés que han regido la tecnología tradicional ahora se extienden a la IA. Los oficiales de cumplimiento deben convertir esos deberes en procesos concretos que resistan una inspección in situ.

Por qué el reglamento existente es importante para la IA

Los estándares de supervisión de FINRA —la Regla 3110 (supervisión general) y la Regla 3120 (supervisión de personas asociadas)— requieren un sistema que monitoree el despliegue de la IA. Las firmas necesitan un inventario de cada modelo aprobado, el propósito de cada uno y las personas autorizadas para ejecutarlos. Incluso si un cliente nunca ve un resultado generado por IA, el uso de una herramienta no aprobada se considera un fallo de supervisión.

La Regla 2210, que rige las comunicaciones públicas, exige exactitud y equidad. La IA generativa puede alucinar hechos o fabricar datos. Si un modelo produce un resumen para un cliente con cifras erróneas, la firma infringe la Regla 2210 en el momento en que se distribuye el material. Por lo tanto, el aviso obliga a las firmas a revisar cada comunicación generada por IA antes de que llegue al cliente.

La Regulación S-P protege la información personal no pública. Introducir datos de clientes en un servicio de IA de terceros conlleva el riesgo de una divulgación inadvertida. Las firmas deben mantener intactas las barreras de información y verificar que las prácticas de manejo de datos del proveedor de IA cumplan con los estándares de la regulación.

La Regla 4511 exige la preservación de registros. El aviso trata el resultado de la IA en sí mismo como un registro y añade que las firmas también deben conservar el prompt que generó la respuesta, la versión del modelo utilizada y la identidad de la persona que aprobó el contenido. Los examinadores solicitarán esos detalles para rastrear el origen de una declaración.

La Regulación BI (Best Interest / Mejor Interés) exige que cualquier recomendación realizada en nombre de un cliente sea demostrablemente en el mejor interés del mismo. Cuando un sistema de IA contribuye a una recomendación, la firma debe explicar la lógica detrás de la sugerencia. Un modelo de "caja negra" no puede satisfacer el requisito de "explicabilidad" y corre el riesgo de incurrir en una violación de la Regulación BI.

Construcción de un marco de cumplimiento

Un plan de cumplimiento práctico debe abordar cada área de la normativa destacada en el aviso:

  • Supervisión – Redactar una política que enumere las herramientas de IA aprobadas, defina quién puede acceder a ellas y describa los procedimientos de monitoreo. Incluir auditorías periódicas de los registros de uso.
  • Exactitud – Añadir un paso obligatorio de revisión humana para cualquier comunicación con el cliente generada por IA. Utilizar una lista de verificación para confirmar la corrección de los hechos antes de su publicación.
  • Privacidad de datos – Realizar un análisis de flujo de datos para confirmar que la información del cliente nunca salga del entorno seguro de la firma sin cifrado y las salvaguardas contractuales adecuadas.
  • Mantenimiento de registros – Configurar la plataforma de IA para capturar automáticamente los prompts, los identificadores del modelo y las firmas de los aprobadores, para luego almacenar esos registros en el sistema de retención de documentos existente de la firma.
  • Cumplimiento del mejor interés – Documentar la lógica de apoyo a la decisión que la IA proporciona para cada recomendación, y conservar una narrativa que vincule el resultado del modelo con los objetivos de inversión del cliente.
  • Gestión de proveedores – Aplicar la misma lista de verificación de debida diligencia utilizada para cualquier proveedor de servicios de terceros: evaluar los controles de seguridad del proveedor, sus políticas de privacidad de datos y sus mecanismos de resolución de disputas. Recuerde que la subcontratación no traslada la responsabilidad fuera del agente de bolsa.

El aviso también advierte contra el “AI washing”—exagerar las capacidades de IA de una firma en los materiales de marketing. Tales adornos entran directamente en la prohibición de comunicaciones engañosas de la Regla 2210.

Conclusión: El aviso de FINRA no reescribe el reglamento, pero obliga a los agentes de bolsa a aplicar cada obligación existente al nuevo mundo de la IA generativa. Un inventario disciplinado, una revisión humana rigurosa, salvaguardas de privacidad de datos herméticas y un mantenimiento de registros exhaustivo son los controles mínimos necesarios para mantenerse en el lado correcto del regulador.