La IA que ayuda a un banco a detener una estafa antes del pago

Una estafa de pago no siempre parece una operación extraña. A menudo el cliente autoriza la transferencia porque alguien le ha convencido por teléfono, mensaje o anuncio falso. Eso complica la prevención bancaria: no basta con buscar una tarjeta robada o una contraseña incorrecta. Hay que detectar señales de riesgo sin bloquear de forma indiscriminada pagos legítimos.

Commonwealth Bank of Australia (CBA) ofrece un caso de uso relevante porque ha llevado esa detección a una operación de gran escala. El banco comunicó en 2024 que procesa y analiza más de 20 millones de pagos diarios. Sobre ese flujo combina tecnologías de verificación, modelos de detección, alertas a clientes y equipos que investigan los casos. La IA es una parte del sistema, no la única defensa ni quien toma por sí sola la decisión final.

Del pago al aviso preventivo

La aplicación se apoya en varias capas. NameCheck verifica los datos de la cuenta antes de una transferencia y busca evitar que el dinero vaya a una cuenta equivocada o vinculada con una estafa. CBA también introdujo un modelo para detectar transacciones de posibles estafas de inversión en tiempo real, con el fin de identificar operaciones para que sus equipos las investiguen.

En noviembre de 2024, CBA explicó que la IA generativa le ayudaba a marcar miles de transacciones sospechosas y a enviar 20.000 avisos preventivos al día a clientes minoristas a través de la aplicación. El aviso no equivale a acusar de fraude a un cliente o un comercio. Es una señal para que la persona revise una operación y para que el banco pueda desplegar sus controles según el riesgo.

La utilidad de este enfoque está en el tiempo. Una transferencia autorizada puede pasar de la cuenta de la víctima a cuentas intermedias en minutos. Si el sistema relaciona datos como el destinatario, el patrón de pago o señales de una campaña conocida y alerta antes de que salga el dinero, el banco gana una oportunidad de prevenir la pérdida. No es una promesa de detener toda estafa: es una manera de concentrar la atención donde puede ser más necesaria.

Los resultados y su alcance

CBA informó que las pérdidas por estafas de sus clientes se redujeron más de un 50% en el ejercicio FY24 frente al anterior. También calculó que NameCheck evitó unos A$40 millones en pagos de estafa y más de A$370 millones en pagos equivocados entre julio de 2023 y junio de 2024; la presentación de resultados agrupa ambas cantidades como más de A$410 millones de pagos prevenidos. La herramienta se utilizó 57 millones de veces durante ese periodo.

En su actualización de noviembre, el banco vinculó a medidas como sus alertas de transacciones sospechosas impulsadas por IA generativa una caída del 30% en los fraudes comunicados por clientes. Es una mejora operativa significativa: en lugar de esperar una reclamación, el banco intenta intervenir antes o durante el pago.

Pero las atribuciones importan. CBA no dice que un modelo haya causado por sí solo la reducción de pérdidas. Su informe incluye equipos especializados, educación de clientes, intercambio de inteligencia con otras entidades, verificaciones de identidad, políticas para pagos a ciertas bolsas de criptoactivos y colaboración con operadores de telecomunicaciones. La cifra del 50% describe el resultado de ese conjunto.

El equilibrio entre seguridad y fricción

Un sistema que sólo quisiera detectar el máximo número de riesgos podría detener demasiados pagos legítimos. Esos falsos positivos tienen un coste: retrasan una compra, dificultan un pago urgente y pueden afectar de forma desigual a clientes cuyos patrones de transacción son atípicos. Por ello, una alerta útil necesita una explicación comprensible, vías de revisión y criterios que se vigilen con datos reales.

CBA indica que su modelo de estafas de inversión identifica posibles casos para que los investiguen equipos humanos. También afirma haber implantado 11 salvaguardas para el uso de IA generativa ante entradas maliciosas y respuestas engañosas. Son medidas relevantes, aunque no sustituyen la evaluación externa de sesgo, privacidad y efectividad que exige un sistema financiero responsable.

La privacidad es otra condición. La detección funciona precisamente porque analiza señales de pago y comportamiento. Eso obliga a limitar el uso de los datos a la prevención, aplicar seguridad y garantizar que el cliente pueda entender qué sucede si una operación se retrasa o cuestiona.

Una lección para la banca

El valor de la IA en fraude no es acertar una etiqueta con aspecto sofisticado. Es mejorar el momento de la intervención: antes de que el dinero sea irrecuperable, sin convertir cada pago en una sospecha. El caso de CBA muestra una arquitectura útil: modelos que priorizan riesgo, avisos claros, verificaciones y personal que decide cómo actuar.

Para otras entidades, la lección no es copiar una cifra. Es medir por separado pérdidas evitadas, falsos positivos, tiempo de respuesta y resultados por grupos de clientes. Una herramienta antifraude merece confianza cuando reduce daños reales y explica cómo protege al cliente sin impedirle operar.

Del aviso a la pérdida evitada

Una cadena de prevención tiene varias tasas: pagos analizados, alertas enviadas, alertas abiertas, operaciones pausadas, casos confirmados y pérdidas evitadas. La actualización de CBA aporta volumen y cambios agregados, pero no publica en esa página una matriz completa de falsos positivos. Sin ese denominador no se puede convertir una caída de fraude en la precisión de un modelo concreto.

NameCheck responde además a otra pregunta: si el nombre introducido coincide con la cuenta. Los avisos generativos analizan señales de una operación sospechosa. Los equipos humanos investigan. Agrupar estas capas como «una IA» borra dónde se produjo el beneficio y dónde puede aparecer la fricción. Una auditoría debe conservar el recorrido desde la señal hasta la decisión.

Cuatro medidas que un banco debería publicar

La primera es la tasa de detección sobre casos que después se confirman. La segunda es la proporción de pagos legítimos interrumpidos. La tercera es el tiempo adicional que soporta el cliente. La cuarta es la pérdida neta evitada, descontando recuperaciones y costes operativos. Las cifras de NameCheck distinguen pagos equivocados de estafas, una separación esencial para no presentar corrección de errores bancarios como detección de fraude.

También se necesita una referencia temporal estable. Un día con más alertas no implica más riesgo si el banco ha cambiado el umbral. Comparar periodos exige documentar volumen de pagos, mezcla de canales, definición de estafa, versión del modelo y reglas manuales. De lo contrario, una mejora puede proceder de menos fraude, más fricción o una clasificación distinta.

El control humano tampoco puede quedar como una frase ritual. Hay que indicar qué puede hacer el analista: liberar, retener, llamar al cliente, escalar o anular una recomendación; cuánto tiempo tiene y qué información ve. Si el sistema sólo ofrece una puntuación sin razones operativas, la revisión puede convertirse en aceptación automática. Medir desacuerdos y sus resultados revela si la persona añade criterio o sólo firma la salida.

La reclamación del cliente forma parte de la medición. Un pago legítimo detenido puede resolverse enseguida o dejar a una persona sin acceso a su dinero; contar ambos como la misma alerta oculta el daño. La descripción pública de CBA debe complementarse con tiempo de resolución, anulaciones, reincidencia y resultado de las apelaciones. Esa evidencia permite ajustar seguridad y fricción sin premiar simplemente más bloqueos.

La capacidad transferible es leer el embudo completo. «Veinte mil avisos» describe actividad; «pérdidas reducidas» describe un resultado conjunto. Entre ambos hacen falta confirmaciones, falsos positivos, tiempos y atribución. La IA merece crédito sólo por el tramo que la evidencia puede conectar con ella. El resto pertenece al sistema completo de prevención bancaria.