Inteligencia Artificial Generativa:  
¿Escudo o arma para los sistemas antisoborno ISO 37001?

Introducción

La inteligencia artificial generativa ha dejado de ser una promesa tecnológica para convertirse en una fuerza que ya opera dentro de los sistemas de gestión antisoborno. Un caso ocurrido en enero 2024 evidencia esta situación. Un empleado del área financiera de la firma de ingeniería Arup, en Hong Kong, recibió una convocatoria a videoconferencia donde participaban recreaciones generadas por IA del director financiero y de otros colegas, construidas a partir de grabaciones públicas de la empresa. Convencido por la apariencia y la voz de sus supuestos superiores, el empleado ejecutó quince transferencias por 25.6 millones de dólares hacia cinco cuentas bancarias locales en Hong Kong antes de descubrir el engaño al contactar con la sede central. Ningún sistema informático fue comprometido: el ataque combinó suplantación de identidad por correo electrónico e ingeniería social potenciada por deepfakes de voz e imagen (Magramo, 2024; Shadwell, 2026). Este episodio resume la naturaleza dual que hoy enfrentan los responsables de cumplimiento que trabajan bajo la norma ISO 37001 (International Organization for Standardization [ISO], 2025): la misma tecnología que puede detectar los patrones sutiles que delatan un soborno, con una velocidad y un alcance imposibles para el análisis humano tradicional, es también capaz de imitar voces, rostros, facturas y correos con una precisión inquietante. 

Para comprender esta dualidad, podríamos imaginar a la inteligencia artificial generativa puesta en una balanza. En un lado se sitúa su potencial como motor de detección proactiva: el análisis masivo de transacciones financieras, comunicaciones internas y perfiles de terceros para identificar anomalías antes de que se materialicen en un acto de corrupción. En el otro lado, su capacidad para generar documentación falsa, correos de apariencia legítima y justificaciones convincentes para pagos indebidos, que dificulta la detección mediante los mecanismos tradicionales de control. 

A partir de este contexto, el propósito de este artículo es ofrecer a quienes diseñan, implementan y auditan sistemas de gestión antisoborno una lectura equilibrada, apoyada en los requisitos y el anexo informativo de la norma ISO 37001, que permita identificar los puntos vulnerables ante el uso malicioso de esta tecnología —proveniente tanto del interior como del exterior de la organización—. Al mismo tiempo, se buscan reconocer los controles que puede fortalecer cuando se emplea de forma responsable y gobernada.

La IA generativa como escudo de detección proactiva 

La inteligencia artificial generativa puede convertirse en un motor de detección proactiva de patrones anómalos de soborno. Al procesar simultáneamente flujos financieros, comunicaciones internas y datos de terceros, identifica correlaciones y desviaciones que el análisis manual difícilmente detecta a tiempo, fortaleciendo la evaluación del riesgo de soborno prevista en el apartado 4.5 de la norma ISO 37001. Entre sus principales aplicaciones se encuentran las siguientes: 

• Pagos inusuales. El análisis compara cada transacción con el historial del proveedor, el sector y la ruta o destino del pago, señalando montos, beneficiarios o frecuencias atípicas. Esto refuerza los controles financieros del apartado 8.3 y del anexo A.11, lo que facilita la revisión gerencial de operaciones significativas antes de su ejecución. 

• Comunicaciones sospechosas. El procesamiento de lenguaje natural examina correos, chats y actas en busca de expresiones evasivas, urgencia injustificada o lenguaje codificado asociado a negociaciones indebidas complementando los controles no financieros del anexo A.12 y el canal de denuncias del apartado 8.9. 

• Debida diligencia de terceros. La IA generativa puede cruzar automáticamente registros públicos, listas de sanciones, noticias adversas y estructuras societarias complejas. Esto agiliza el proceso descrito en el apartado 8.2 y el anexo A.10, sin sustituir el juicio profesional que exige la norma (ESG Innova, 2026). 

La IA generativa como arma de fraude sofisticado

La misma tecnología puede emplearse para sofisticar el soborno y dificultar su detección. Actores internos o externos pueden generar documentación falsa, comunicaciones creíbles y justificaciones convincentes que erosionan la confianza en la que se apoyan los controles tradicionales. Esto expone brechas en los procedimientos de verificación descritos en los anexos A.8, A.11 y A.12 de la norma. Entre sus principales manifestaciones se encuentran las siguientes: 

• Documentación falsa. La generación de facturas, contratos o certificados de origen falsificados, con formatos y sellos visualmente idénticos a los originales, puede burlar la verificación documental del anexo A.11, sobre todo cuando la revisión se apoya solo en la apariencia formal del documento y no en su trazabilidad. 

• Correos de apariencia legítima. Los mensajes redactados por IA generativa imitan con precisión el estilo, cargo y contexto de directivos reales. Ello habilita ataques de suplantación dirigidos al personal con autoridad de aprobación, lo que puede vulnerar los controles financieros (8.3 y A.11), controles no financieros (8.4 y A.12), los procedimientos de denuncias (8.9), incluso la propia función antisoborno (A.6). 

• Justificaciones “creíbles” para pagos indebidos. Los deepfakes de voz e imagen, como en el caso Arup, permiten construir justificaciones convincentes para autorizar pagos irregulares en tiempo real superando controles basados en el reconocimiento humano y desafiando la evaluación de legitimidad de servicios prevista en el anexo A.12. 

Gobernanza y controles compensatorios 

Equilibrar la balanza exige gobernar el uso de la inteligencia artificial generativa dentro del propio sistema de gestión antisoborno, sin delegarle decisiones que la norma reserva al juicio humano ni descuidar la verificación independiente de lo que la tecnología produce o analiza. Entre las principales acciones de gobernanza y control en el uso de la IA se encuentran las siguientes: 

• Verificación humana intacta. La separación de funciones y la exigencia de al menos dos aprobaciones en pagos y contratos, previstas en los anexos A.11 y A.12, deben mantenerse: ninguna alerta o verificación generada por IA debería sustituir la revisión humana independiente antes de autorizar una operación sensible. 

• Formación actualizada. La formación prevista en el anexo A.9 debe incorporar el reconocimiento de deepfakes, correos generados por IA y técnicas de ingeniería social potenciadas por esta tecnología, de modo que el personal identifique señales de alerta antes de actuar sobre instrucciones inusuales. 

• Gobernanza de la propia IA. La función antisoborno, conforme al anexo A.6, debería extender su supervisión a las herramientas de IA generativa utilizadas por la organización: definir políticas de uso, trazabilidad de las alertas generadas y auditorías periódicas de los propios algoritmos empleados en la detección. 

Conclusión y recomendaciones 

Ninguna organización puede ignorar la importancia que el uso de la inteligencia artificial generativa puede tener, dentro de un sistema de gestión antisoborno ISO 37001. Por un lado, potencia la evaluación del riesgo de soborno, los controles financieros y no financieros, y la debida diligencia de terceros, detectando patrones anómalos con una velocidad antes inalcanzable. Por otro lado, ofrece a los defraudadores herramientas para falsificar documentos, suplantar directivos y construir justificaciones convincentes para pagos indebidos, como demostró el caso Arup en 2024. 

El equilibrio no se logra prohibiendo la tecnología ni confiando ciegamente en ella, lo recomendable es gobernarla desde el propio sistema de gestión: incorporar el riesgo tecnológico en la matriz de evaluación, mantener la separación de funciones y la doble aprobación en operaciones sensibles, actualizar la formación del personal frente a deepfakes e ingeniería social potenciada por IA, y extender la supervisión de la función antisoborno a las herramientas algorítmicas que la organización utiliza o que podrían ser usadas en su contra. Asimismo, la implementación de la norma ISO 42001 Sistema de Gestión de la IA ayudaría a las organizaciones a un mejor control de los potenciales riesgos que puedan derivarse del uso de la IA generativa, tanto dentro como fuera de ella. 

Por tanto, se invita a los responsables de cumplimiento y a la alta dirección a revisar, con esta doble lectura, sus controles antisoborno: donde existan brechas frente al uso malicioso de la IA generativa, corresponde implementar medidas correctivas; donde la tecnología pueda reforzar la detección temprana, corresponde aprovechar la oportunidad. Fortalecer el sistema de gestión antisoborno frente a esta tecnología, y con ella, es hoy una tarea impostergable para toda organización que aspire a proteger su integridad y asegurar su sostenibilidad. 

Referencias 

ESG Innova. (2026, 30 de marzo). Diferentes opciones de uso que tiene la IA en compliance. Compliance Antisoborno. https://www.compliance-antisoborno.com/ia-en-compliance/  

International Organization for Standardization. (2025). UNE-ISO 37001:2025 — Sistemas de gestión antisoborno. Requisitos con orientación para su uso. AENOR. 

Magramo, K. (2024, 16 de mayo). Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee. CNN Business. https://www.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk 

Shadwell (2026, 9 de marzo). Cuando Eres el Único Humano en la Videollamada. https://fortune.com/europe/2024/05/17/arup-deepfake-fraud-scam-victim-hong-kong-25-million-cfo/