Responsable de cumplimiento normativo

Leído artículo por artículo en el portal del Ministerio de Legislación Gubernamental, en la versión en vigor desde el 21 de julio de 2026. El hallazgo es la diferencia de fuerza del verbo entre dos artículos, porque esa diferencia es lo que un resumen destruye. El artículo 32 es un deber duro, 하여야 한다: quien opere un sistema cuyo cómputo acumulado de entrenamiento supere un umbral fijado por Decreto Presidencial ha de identificar, evaluar y mitigar el riesgo a lo largo del ciclo de vida de la IA, ha de construir un sistema de gestión de riesgos que vigile y responda a los incidentes de seguridad de la IA, y ha de presentar los resultados de hacerlo al Ministro de Ciencia y TIC, que fija el método mediante notificación pública. El artículo 35 es de mejores esfuerzos, 노력하여야 한다: quien proporcione un producto o servicio de IA de alto impacto se esforzará por evaluar de antemano su efecto sobre los derechos fundamentales, teniendo en cuenta a los grupos vulnerables; solo cuando un organismo estatal contrate un servicio así ha de dar preferencia a uno que haya sido evaluado. El artículo 36 añade que quien opere desde el extranjero por encima de los umbrales de usuarios o de ingresos ha de nombrar un representante nacional, y que una infracción de ese representante se trata como acto propio de quien lo nombró. Se registra como mandato y no como restricción porque la ley exige que exista una función, no suprime la adopción. Obliga a quienes operan en Corea. Aquí nada cuenta a un responsable de cumplimiento, ni una presentación, ni una actuación sancionadora; el propio umbral de cómputo queda para un decreto que este registro no cubre.

Una regulación, una subvención o una compra pública están exigiendo o financiando la adopción: el espejo de una restricción. Muestra que la adopción se está exigiendo, no que haya ocurrido, así que un mandato nunca basta por sí solo; dos independientes sí.

Una norma para bancos, aseguradoras, compañías fiduciarias y otras entidades que supervisa el regulador. El artículo 19 atribuye al responsable principal de cumplimiento, cuando las leyes o las normas cambian de forma significativa, la tarea de hacer que los departamentos evalúen el impacto, revisen las normas internas y supervisen su aplicación. El artículo 20 exige revisiones de cumplimiento por escrito de la estrategia y de los productos y las decisiones importantes, y dice que, cuando no se adopte el dictamen de revisión del responsable principal de cumplimiento, la entidad debe someter el asunto al consejo de administración, e informar al regulador de los asuntos de mayor importancia. El artículo 37 exige a las entidades que reconozcan al personal de cumplimiento el derecho a plantear objeciones, y prohíbe a los accionistas, los miembros del consejo y los altos directivos interferir. La norma permite además que quien dirige la entidad sea también responsable principal de cumplimiento, lo que debilita la independencia que por lo demás construye.

Un fallo, una marcha atrás, una regulación o un coste están frenando la adopción. Puede bajar una evaluación o ensanchar su incertidumbre.

Servicios financieros de Estados Unidos, publicado en diciembre de 2024, sintetizando las cartas de comentarios enviadas a una solicitud de información del Tesoro emitida en junio de 2024 y cerrada ese agosto. Lee qué clase de evidencia es: es un departamento del gobierno reportando lo que le dijeron quienes respondieron, no una encuesta con un marco muestral ni un recuento de instalaciones; cualquiera puede escribir una carta de comentarios y las entidades que lo hacen son las que tienen algo que decir. Lo que aun así lo hace digno de registro es que es la autoridad de referencia publicando bajo su propio nombre, que los usos que nombra son concretos y no aspiracionales (detección de anomalías, marcado de actividad sospechosa, verificación de identidad bajo las obligaciones de la Bank Secrecy Act, y recopilar y resumir datos dentro de una plataforma de investigación), y que la creación y la presentación de informes, la mitad de evidencia de este puesto, se nombra como ya desplegada y no como prevista.

Una empresa lo ha puesto en producción. Puede mover la línea de base, ponderado por la escala y por cuánto se parece ese entorno al tuyo.

La publicación con la que la SEC adoptó la norma, y el texto de la norma. La norma 38a-1 exige que todo fondo tenga un responsable principal de cumplimiento cuya designación y retribución apruebe el consejo, incluida una mayoría de sus miembros independientes, cuya destitución solo sea posible con la aprobación de ese consejo, y que informe al consejo por escrito al menos una vez al año; prohíbe a los directivos, los miembros del consejo y los empleados del fondo, de su asesor de inversiones o de su colocador principal, y a cualquier persona que actúe bajo su dirección, coaccionar, manipular, engañar o influir de forma fraudulenta en el responsable principal de cumplimiento. La publicación dice que un responsable de cumplimiento empleado por el asesor de inversiones podría tener un conflicto de intereses, y que la norma lo aborda haciendo que reporte directamente al consejo. La norma 206(4)-7 exige a los asesores de inversiones que designen un responsable principal de cumplimiento. Es anterior a la IA y regula cómo se organiza el cumplimiento.

Un fallo, una marcha atrás, una regulación o un coste están frenando la adopción. Puede bajar una evaluación o ensanchar su incertidumbre.

Esta profesión creció porque creció el texto regulatorio, y la cola de avisos es como entra la gente. Ese escalón es el que se está automatizando, y el reconocimiento de patrones en el que se apoyan los responsables veteranos se construyó ahí. Apunta pronto a un régimen concreto, uno que conozcas a fondo, porque la profundidad en una regulación es lo que sobrevive a que leerlas todas salga barato.

Dos cosas deciden tu posición y ninguna es una herramienta: a quién reportas, y si tus negativas quedan registradas cuando te desautorizan. Si lo segundo no ocurre, la tarea existe solo sobre el papel, y eso no lo provocó ninguna tecnología.

Quedarte y reforzarte

Profundiza en un solo régimen

Leer barato hace gratuita la amplitud y escasa la profundidad: el valor está en saber sobre cuáles de los procesos de esta empresa aterriza de verdad una cláusula, lo que exige conocer los procesos.

Movimiento lateral

Adueñate de la supervisión de las decisiones automatizadas

La ley marco de IA de Corea exige ya a los operadores que superan un umbral de cómputo mantener un sistema de gestión de riesgos e informar de sus resultados al ministerio, y alguien dentro de la empresa tiene que poder hacerse cargo de ese trabajo.

La cola de avisos es la parte expuesta, y es la misma tarea que la cola de un analista de seguridad y el muro de cámaras de un vigilante: tasa de verdaderos positivos muy baja, vigilancia humana que se desploma, correlación verificable por máquina. Leer la regulación se aumenta en vez de sustituirse, porque la mitad difícil es saber sobre cuáles de los procesos de esta empresa aterriza una cláusula. Decirle que no al negocio lo sostiene la estructura organizativa, que es por lo que ninguna institución lo delega, y también por lo que puede quitarse sin tecnología ninguna.

Ninguna fecha. Las dos señales que importan son organizativas: a quién reporta tu función, y si una negativa que queda desautorizada se registra como tal. Si cumplimiento reporta al negocio que vigila, la tarea que sobre el papel parece más duradera es la menos real en la práctica, y ese arreglo cambia por reorganización, que es más rápido que cualquier tecnología y se anuncia en una reunión.

Para la recogida en sí, claramente: es registro estructurado con un resultado comprobable y nadie piensa que deba hacerlo una persona. El riesgo que crea es concreto y merece nombrarse: un registro completo de un control que en realidad no fue eficaz es peor que uno incompleto, porque cuesta más impugnarlo. Los auditores han empezado a preguntar cómo se produjo el registro, que es una pregunta para la que la herramienta no se diseñó.

Está creando deberes, que no es lo mismo hasta que se le paga a alguien por sostenerlos. La ley marco de IA de Corea exige ya a los operadores por encima de un umbral de cómputo mantener un sistema de gestión de riesgos e informar de sus resultados al ministerio, una obligación real, aunque no nombra a ninguna persona que la sostenga. Lo que este sitio ve una y otra vez es que esos deberes llegan sin asignar a nadie y aterrizan en quien ya entiende a la vez el sistema y la consecuencia de negocio. Que eso se convierta en un puesto o en un añadido no pagado a otro se decide localmente.