La SEC acusa de “lavado de IA” (AI washing) en virtud de la Sección 206.
No existe una excepción de “tecnología avanzada”.

Antifraude de la SEC (Sección 206 de la Ley de Asesores de Inversión)

“Los asesores de inversión no pueden tergiversar la capacidad de la IA ante clientes o prospectos. Esto es fraude, no exageración publicitaria.”

Registro de reclamaciones del Vault

Cada comunicación con el cliente mediada por IA queda registrada con el modelo, el prompt, la salida, la afirmación realizada, la divulgación mostrada y un indicador de cumplimiento de la Marketing Rule (206(4)-1). Legible por el auditor como una única cadena.

Evidencia de auditoría: Registro de procedencia por comunicación que el auditor puede conciliar con el ADV y los materiales de marketing de la firma. Reproduce el intercambio real con la IA, no un resumen.

NYDFS Parte 500 §500.3 — Evaluación de riesgos de IA

“Los riesgos cibernéticos específicos de la IA (MFA vulnerable a deepfakes, envenenamiento de datos de entrenamiento, cadena de suministro del modelo) deben evaluarse bajo el marco vigente de la Parte 500. Prioridad de ejecución declarada desde el 16 de octubre de 2024.”

Escaneo de Guard + evidencia de evaluación de riesgos del Vault

El escáner MCP detecta envenenamiento de herramientas, typosquatting, manipulación de esquemas, patrones de rug-pull, inyección de prompts y permisos excesivos. Los hallazgos se escriben en el Vault como el registro contemporáneo de evaluación de riesgos.

Evidencia de auditoría: Resultados de escaneo con marca de fecha en toda tu cadena de suministro, seguimiento de remediación por hallazgo, y un paquete de evidencia que se mapea a los controles de la Parte 500 §500.3.

CFPB ECOA / Reg B — Especificidad de la acción adversa

“Los prestamistas deben usar motivos específicos y precisos al denegar crédito. “No existe una excepción de ‘tecnología avanzada’ a las leyes federales de finanzas de consumo.””

Códigos de motivo de la política Cedar + evidencia de decisión del Vault

Cada decisión de crédito devuelve la(s) característica(s) específica(s) que desencadenó la acción — no “el modelo dijo que no”, sino una atribución auditable a nivel de característica, apta para una notificación de acción adversa.

Evidencia de auditoría: Registro de código de motivo por solicitud, con la versión de política subyacente y las entradas que lo alimentaron. La notificación se redacta sola a partir de la cadena del Vault.

Estatutos estatales de préstamos justos (MA, CA, NY, IL)

“Las teorías de impacto dispar siguen siendo accionables a nivel estatal tras el cambio de la norma federal de la ECOA, vigente desde el 21 de julio de 2026. La Fiscalía de Massachusetts resolvió un caso de suscripción de crédito con IA el 10 de julio de 2025.”

Verificación entre modelos + pruebas dry-run de políticas

Pruebas de políticas previas al despliegue contra datos sintéticos de clases protegidas; la verificación entre modelos enruta las decisiones críticas a través de múltiples LLM con consenso mayoritario sobre el resultado.

Evidencia de auditoría: Resultados de pruebas de sesgo previas al despliegue por fecha y versión de política; alertas de deriva cuando los resultados en curso se desvían de la línea base.

Gestión de riesgo de modelos (OCC SR 11-7 extendido a la IA)

“Los bancos deben inventariar los modelos, validarlos antes del despliegue, monitorear su desempeño y gobernar su ciclo de vida. La IA está dentro del alcance.”

Inventario de agentes + controles de ciclo de vida de Fleet

Metadatos por agente: versión del modelo, proveedor, uso previsto, fecha de última validación, nivel de riesgo. Los controles de ciclo de vida (pausar / reanudar / detener) se registran como eventos del Vault. Interruptor de emergencia con códigos de motivo por agente.

Evidencia de auditoría: Linaje por modelo, desde el despliegue hasta la baja. El auditor recorre la cadena para validar que cada modelo en producción cuenta con validación documentada y monitoreo continuo.