Compliance-as-Code: una era sistematizada

• El compliance tradicional ya no alcanza: en entornos donde el código se despliega decenas de veces al día, el cumplimiento tiene que ser continuo, con reglas ejecutables y evidencia automática

• El EU AI Act postergó sus exigencias para sistemas de alto riesgo, pero el tiempo extra no reduce la obligación de demostrar trazabilidad: es una ventana para construirla

Durante años, el compliance en servicios financieros se trató como un ritual periódico. Llegaba el auditor, se congelaban los despliegues, se reunían evidencias y, una vez superada la inspección, todo volvía a la normalidad. Ese modelo ya no encaja con entornos donde el código se despliega decenas de veces al día.

Aquí es donde emerge Compliance-as-Code (CaC). La idea es simple, pero potente: las reglas regulatorias dejan de vivir en documentos estáticos y se traducen en políticas ejecutables que forman parte del pipeline de desarrollo. No se «confía» en que alguien haga lo correcto; el sistema lo exige.

El cambio resuelve un problema estructural. La auditoría tradicional solo demuestra que una organización fue compliant en un momento concreto. CaC, en cambio, apunta a un cumplimiento continuo: cada despliegue, cada cambio de infraestructura y cada inferencia de un modelo puede validarse en tiempo real contra reglas codificadas.

Un calendario regulatorio que se movió

Cuando este concepto empezó a ganar terreno, el gran motor era el EU AI Act, el primer marco legal integral que regula el desarrollo y uso de sistemas de IA según su nivel de riesgo. La fecha clave era agosto de 2026, cuando debían empezar a regir las exigencias para los sistemas de alto riesgo, como los usados en decisiones de crédito o selección de personal.

Esa fecha cambió. En mayo de 2026 el Consejo de la UE y el Parlamento Europeo alcanzaron un acuerdo provisional para postergar esas reglas, y el 29 de junio el Consejo dio la aprobación final al paquete Digital Omnibus on AI. Según el acuerdo, los sistemas de alto riesgo independientes tendrán que cumplir desde el 2 de diciembre de 2027, y los integrados en productos regulados desde el 2 de agosto de 2028.

Pero el aplazamiento no es un alivio de fondo. El Omnibus simplifica y aclara reglas existentes, sin cambiar de forma significativa las obligaciones, y las multas por incumplir los requisitos de alto riesgo siguen siendo de hasta 15 millones de euros o el 3% de la facturación global. Para las entidades financieras, el mensaje es que la trazabilidad se exigirá igual, solo que con más margen para prepararse.

Agentes de IA: de la promesa a la producción

Mientras tanto, la tecnología avanzó más rápido que la regulación. Según el informe Global State of RegTech 2026, el 95% de las instituciones financieras ya escaló el uso de RegTech y más del 60% de los proveedores y el 44% de las instituciones priorizan la inversión en agentes de IA. El mismo estudio señala que la interpretación de las regulaciones como código ejecutable por máquinas emerge como la próxima frontera del cumplimiento.

Ya hay casos concretos. En mayo de 2026, FIS anunció una alianza con Anthropic para desplegar un agente de IA contra delitos financieros, con BMO y Amalgamated Bank entre los primeros en usarlo. Y este tipo de agentes puede hacer algo más que bloquear: si una política falla, explica el motivo y propone la corrección concreta. El resultado es menos fricción, más velocidad y equipos que dejan de ver el compliance como un freno

La brecha entre ambición y preparación

El entusiasmo, sin embargo, convive con la cautela. Solo el 15% de los CFO de instituciones financieras dice estar listo para desplegar agentes de IA, y señalan la gobernanza, la trazabilidad y la supervisión humana como principales barreras. En ese vacío es donde CaC gana sentido: la evidencia ya no se recolecta a mano; se genera sola. La auditoría deja de ser una crisis y pasa a ser una conversación, y el cumplimiento, en lugar de reaccionar al riesgo, se vuelve parte activa de la arquitectura.