IA y Compliance en Colombia: el nuevo estándar SAGRILAFT

La IA ya llegó al Compliance colombiano, y no es una tendencia lejana El cumplimiento normativo en Colombia está viviendo una transformación silenciosa pero profunda. Lo que hace pocos años parecía un tema exclusivo de bancos y multinacionales hoy toca directamente a empresas del sector real: comercializadoras, constructoras, firmas de servicios, cooperativas y hasta cámaras de comercio. El motor de este cambio es la inteligencia artificial (IA), que está dejando de ser una promesa tecnológica para convertirse en una exigencia regulatoria concreta.

El hito más reciente lo marcó la propia Superintendencia Financiera de Colombia (SFC), que anunció la implementación de una herramienta de inteligencia artificial que automatiza la calificación del diseño del programa de prevención del riesgo de lavado de activos y financiación del terrorismo (LAFT) . Esta solución, conocida como Suptech, fue desarrollada por el Grupo Centro de Excelencia e Inteligencia Artificial de la SFC con el objetivo de automatizar la evaluación del diseño de los sistemas de prevención de LAFT que deben implementar las entidades vigiladas. Para los empresarios colombianos, incluso los que no están bajo supervisión directa de la SFC, este anuncio es una señal clara: el supervisor ya no revisa manuales en papel, revisa evidencia digital procesada por algoritmos.

Qué está cambiando realmente en la práctica El impacto no se limita al sector financiero.

Según el análisis más reciente sobre el panorama de lavado de activos en el país, el país recibe anualmente más de 22.000 Reportes de Operaciones Sospechosas, aunque la efectividad judicial sigue siendo el gran cuello de botella: solo el 15% de estos reportes logra consolidarse en procesos efectivos debido a la falta de trazabilidad en los datos corporativos. Esta brecha entre reportar y judicializar es precisamente lo que la IA busca cerrar, tanto del lado del regulador como del lado de las empresas obligadas. El mismo informe advierte sobre un fenómeno que ya preocupa a los oficiales de cumplimiento: las economías criminales tradicionales —narcotráfico, minería ilegal y contrabando— se han sofisticado mediante el uso de herramientas digitales para burlar los controles institucionales, incluyendo el uso de identidades sintéticas y, de forma más inquietante, el uso de inteligencia artificial por parte de organizaciones criminales para identificar y evadir los algoritmos de detección de los bancos.

Es, literalmente, una carrera armamentista tecnológica entre quienes delinquen y quienes deben prevenirlo. En paralelo, el marco normativo colombiano también se está reorganizando. El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020 de 2026, mediante la cual adoptó una nueva Circular Básica Jurídica que transforma el modelo de cumplimiento empresarial en Colombia. Uno de sus principales cambios es la integración de las disposiciones anteriormente contempladas en los Capítulos X y XIII, correspondientes al SAGRILAFT y al Programa de Transparencia y Ética Empresarial (PTEE), en un Sistema Integral de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST, desarrollado en el Capítulo IX.

Esta actualización normativa representa mucho más que una reorganización de las obligaciones empresariales. Establece un enfoque integral para gestionar los riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional, fortaleciendo la articulación de los controles internos, la debida diligencia y las responsabilidades de los órganos de administración y cumplimiento.

Para las empresas colombianas, este nuevo escenario exige revisar sus metodologías de identificación, evaluación, control y monitoreo de riesgos, así como fortalecer la calidad de la información, la trazabilidad de las operaciones y la capacidad de demostrar la efectividad de sus sistemas de prevención.

Implicaciones prácticas para las empresas colombianas Para cualquier empresa obligada a SAGRILAFT

Ya sea por superar los 40.000 SMLMV en ingresos o activos, o por pertenecer a sectores priorizados como inmobiliario, contable o de activos virtuales estos desarrollos tienen consecuencias muy concretas:

• Los datos ya no pueden ser aproximados. Si el supervisor usa IA para validar la solidez de los controles, la calidad de la información interna se vuelve crítica. Como explican especialistas del sector, es clave dejar atrás los modelos subjetivos y cualitativos: la IA procesa grandes volúmenes de datos en segundos, por lo que la información interna debe ser clara, completa y actualizada. Las matrices de riesgo construidas con información desactualizada o incompleta serán cada vez más fáciles de detectar como deficientes. 
• La trazabilidad se convierte en el nuevo estándar de defensa. Las empresas deben mejorar el nivel de detalle en los datos de las transacciones y en el conocimiento del cliente, ya que la herramienta puede detectar inconsistencias que antes pasaban desapercibidas. Esto implica revisar procesos de debida diligencia que durante años funcionaron "a mano" o con hojas de cálculo dispersas.
• La capacidad de justificar decisiones es tan importante como tomarlas. Las entidades deben estar preparadas para explicar con lógica y respaldo técnico sus decisiones en materia de riesgo, entendiendo que el supervisor ahora cuenta con IA para validar la solidez de sus controles. Un oficial de cumplimiento ya no solo necesita detectar el riesgo; necesita poder sustentarlo ante una auditoría cada vez más técnica.
• La responsabilidad personal es real. El entorno regulatorio de 2024-2025 marcó un punto de quiebre en el que, por primera vez, representantes legales y oficiales de cumplimiento enfrentan una exposición directa ante incumplimientos, en un contexto donde las visitas de supervisión han aumentado de forma considerable.

El llamado a la acción: anticiparse antes de que sea obligatorio La inteligencia artificial en compliance no es una moda pasajera ni un lujo reservado a grandes bancos. Es, cada vez más, el estándar con el que los reguladores colombianos miden la seriedad de los sistemas de prevención de lavado de activos y financiación del terrorismo. Las empresas que esperen a que la exigencia llegue por la vía de una sanción estarán siempre un paso atrás frente a quienes modernizan hoy sus matrices de riesgo, sus procesos de debida diligencia y su documentación de PTEE. En Niuman Consultores acompañamos a empresas de Medellín y de toda Colombia en la actualización de sus sistemas SAGRILAFT, en la integración de herramientas tecnológicas razonables para su tamaño y sector, y en la preparación frente a la nueva Circular Básica Jurídica. Si su empresa aún no sabe cómo adaptarse a este nuevo estándar de supervisión digital, lo invitamos a agendar una asesoría personalizada con nuestro equipo de expertos en riesgo y cumplimiento.

Fuentes consultadas:

• Superintendencia Financiera de Colombia – "Superfinanciera revoluciona la supervisión de riesgos de lavado de activos con Inteligencia" Publicado el 3 de octubre de 2025.
• Superintendencia de Sociedades (2026). - Circular Externa 100-000020 del 2 de julio de 2026. Por medio de la cual se modifica integralmente la Circular Básica Jurídica.
• Grupo de Acción Financiera Internacional – GAFI (2025). - FATF urges stronger global action to address Illicit Finance Risks in Virtual Assets. Publicado el 26 de junio de 2025.

Autor:

Víctor Hugo Arredondo Méndez

Doctor en Ciencias Económicas, Empresariales y Jurídicas

Oficial de Cumplimiento