DORA AI Compliance Platform

Scoring de riesgo con LLM sobre contratos, revisión experta en el loop y trazabilidad audit-ready a escala Tier-1.

Bancos Tier‑1 necesitaban auditar grandes carteras de contratos ICT bajo DORA, con plazos ajustados y exigencia de trazabilidad regulatoria.

DORA obligó a bancos Tier‑1 a demostrar control sobre el riesgo de terceros ICT en miles de contratos, con plazos que el modelo operativo existente no podía absorber. El incumplimiento implicaba multas de nueve cifras. La exposición era concreta: cada relación con un proveedor sin gestionar era un gap regulatorio a la espera de aparecer.

El proceso en marcha era manual, lento y giraba en torno a un criterio experto atrapado en documentos y reuniones. Los auditores leían, comparaban y escalaban contrato a contrato. A pequeña escala funcionaba. A escala de cartera se rompía: el backlog crecía más rápido que la capacidad de revisión, y el banco no podía mostrar un rastro coherente y auditable de la señal a la decisión firmada.

El problema que había que resolver era operativo: un workflow repetible capaz de sacar a la superficie el riesgo en grandes conjuntos de contratos, dejando al auditor la última palabra que el regulador sigue exigiendo. Había que ganar velocidad sin perder el rastro auditable.

Lideré el diseño de punta a punta de una plataforma LLM de compliance para auditar contratos de terceros ICT bajo DORA: desde el modelo operativo con data engineers hasta el MVP interactivo. Sin handoff. Una única cadena de decisiones.

La decisión que más pesó fue de arquitectura: el modelo puntúa y señala; el auditor valida, corrige y firma. Cualquier arquitectura que sacaba al auditor del camino de decisión rompía en algún punto: o no cumplía la accountability regulatoria, o generaba desconfianza en el output. Con banca Tier-1, ese loop era la única forma que aguantaba accountability y confianza a la vez.

Mapeé la cadena de valor del compliance y vi que el coste real estaba en las horas del auditor, no en guardar más documentos. Ese hallazgo reorientó el roadmap antes de cerrar una línea de UI: comprimir el camino de la señal a la decisión firmada, no el volumen de documentos que el sistema podía guardar.

Diseñar para el modelo obligó a replantear cómo se presenta la información antes de decidir qué información se presenta. El LLM podía explicar cada gap regulatorio con detalle; dárselo al auditor de entrada era contraproducente. Diseñé semáforos (verde, ámbar, rojo) para que el estado llegara primero y el detalle solo si hacía falta. El output del modelo pasó a ser materia prima; la interfaz era otra cosa.

Mantuve la última palabra en el auditor y hice que ese control fuera el camino de menor resistencia. El MVP que salió de esa cadena es el que usamos para alineación ejecutiva y preventa global con clientes Tier-1.