Detección de fraude con IA: ¿Reglas basadas o aprendizaje automático?

Acabo de volver de un evento del sector, de esos donde los consultores se sientan a desayunar y acaban contándose batallas de clientes reales. Y hubo un tema que salió cinco veces en conversaciones distintas: la detección de fraude con IA. Pero lo que me sorprendió fue que, cuando preguntabas cómo lo estaban haciendo, la mayoría contestaba con medias verdades. "Tenemos reglas", decían. O "estamos mirando modelos predictivos". Muy pocos tenían clara la diferencia real entre los dos caminos.

Así que vamos a destriparlo.

Dos filosofías, un mismo objetivo

Imagina que eres el responsable de las transacciones de una empresa mediana, con unos 2.000 pagos al mes entre clientes, proveedores y nóminas externas. El fraude te preocupa, claro. Pero no sabes si lanzarte a un sistema de machine learning que te cuesta un pastón y nadie en tu equipo sabe mantener, o si con cuatro reglas bien puestas ya tienes suficiente.

Este dilema es más común de lo que parece. Lo que nadie cuenta en los congresos es que la respuesta no es tecnológica: es de volumen y de paciencia. Según un informe de McKinsey, la clave para implementar un sistema de detección de fraude efectivo es entender las necesidades específicas de tu negocio y contar con un equipo capacitado en automatización de tareas y chatbots para optimizar los procesos.

El enfoque de reglas basadas: cuando lo simple funciona

Las reglas basadas son lo que suenan: condiciones que se escriben a mano. "Si el importe supera los 5.000 euros y el país de origen es X, marca como sospechosa". O "si el cliente ha hecho tres intentos de pago fallidos en una hora, bloquea la tarjeta". Son sencillas de implementar, las entiende cualquiera del equipo financiero y su auditoría es inmediata. Si un día quieres saber por qué se bloqueó una transacción, miras la regla y lo ves.

Tienen una ventaja enorme para negocios pequeños: no necesitan apenas datos históricos. Con lo que tienes en el Excel de los últimos seis meses puedes definir las primeras diez reglas sólidas. Además, la implementación de un sistema de reglas basadas puede ser más accesible para empresas que no tienen el presupuesto para invertir en soluciones de IA más avanzadas.

Pero aquí viene el pero gordo. Las reglas no aprenden. El fraude bancario moderno es como un virus: muta constantemente. Lo que hoy es un patrón de ataque, mañana estará obsoleto. Si alguien encuentra una grieta en tu sistema de reglas, la va a explotar hasta que tú, a golpe de actualización manual, la tapes. Y mientras tanto, te habrá costado dinero.

Eso sí, los falsos positivos son mucho menores si las reglas están bien ajustadas. No vas a bloquear a tu cliente habitual de compras internacionales solo porque una vez pagó desde otro país.

El aprendizaje automático: cuando los datos mandan

El machine learning funciona al revés que las reglas. No le dices "sospecha de esto". Le das miles de ejemplos de transacciones normales y de transacciones fraudulentas, y él solo encuentra los patrones. A veces descubre correlaciones que a ningún humano se le habrían ocurrido, como que cierto tipo de compras a las 3 de la madrugada desde dispositivos con batería baja tienen una probabilidad altísima de ser fraudulentas. ¿Quién iba a pensar en eso?

Esto lo cambia todo para las empresas que procesan decenas de miles de transacciones al mes. Porque el modelo se adapta. Si aparece un nuevo tipo de estafa, con suficientes datos, el algoritmo incorpora ese patrón sin que nadie toque una línea de código. Además, la integración de CRM inteligente puede ayudar a mejorar la eficiencia en la detección de fraude.

Pero.

El aprendizaje automático tiene un coste oculto que los vendedores de software no mencionan: la calidad de los datos. Un modelo entrenado con datos sucios, incompletos o con etiquetas mal puestas te va a generar un ruido tremendo. Falsos positivos que enfadan a clientes legítimos, falsos negativos que dejan pasar fraudes. Y la auditoría de un modelo de deep learning puede ser una pesadilla. ¿Por qué se denegó esa transacción? El modelo responde "porque sí" básicamente, y tienes que usar técnicas de explicabilidad para sacarle una respuesta clara.

¿Y el coste?

Aquí va lo que nadie te dice en los eventos. Una implementación de reglas basadas, en una pyme que ya tiene un software de contabilidad moderno, puede salir por unos pocos miles de euros si lo hace internamente un equipo con algo de criterio. Un sistema de machine learning de verdad, con extracción de características, entrenamiento continuo y despliegue en producción, ronda los 30.000 euros para arriba solo en la primera fase, sin contar el mantenimiento mensual.

Si tienes 50 transacciones al día, no necesitas un cohete para cazar moscas. Las reglas te bastan.

Si gestionas 10.000 transacciones al día, el coste del fraude que se te escapa con reglas puede superar la inversión en machine learning en cuestión de meses.

El punto ciego de la mayoría

Nadie habla de esto, pero la clave del éxito no está en la tecnología. Está en la basura que alimenta la tecnología.

He visto empresas comprar herramientas de machine learning de última generación y obtener resultados mediocres porque sus datos de entrenamiento estaban llenos de errores humanos. Transacciones etiquetadas manualmente como "fraude" cuando era un error del cajero. O al revés: fraudes reales que nunca se marcaron porque el operario no los detectó.

El mejor enfoque que conozco es mixto. Empiezas con reglas. Las tienes en tres meses. Durante esos tres meses, etiquetas a mano todas las transacciones que saltan como sospechosas, y también las que no saltaron pero el equipo sospechaba. Ese conjunto de datos, bien curado, es la base para entrenar más adelante un modelo de aprendizaje automático. No gastas un euro de más hasta que tienes los datos limpios.

Cómo decidir

Si tu empresa es un negocio local con 100 operaciones al mes, reglas. No lo pienses más. El machine learning te va a costar más que lo que te ahorra.

Si eres una empresa con operaciones internacionales, donde el fraude puede venir de múltiples canales y cada día aparece un truco nuevo, aprendizaje automático o, mejor aún, un modelo híbrido.

Si estás en tierra de nadie, entre 500 y 2000 transacciones al mes, haz este ejercicio: suma el coste de los fraudes que has sufrido en los últimos 12 meses. Si supera los 10.000 euros, vale la pena considerar machine learning. Si no, sigue con reglas y revisa tus criterios cada trimestre.

La detección de fraude no es una carrera tecnológica. Es una carrera de conocimiento de tu propio negocio. Saber qué transacciones son auténticas y cuáles no, y tener la disciplina de registrar bien esa información, vale más que cualquier algoritmo.

En consultorías como Script Finance ayudamos a empresas medianas precisamente en ese paso intermedio: ordenar los datos para que luego cualquier tecnología funcione. Pero lo cierto es que la mayoría podría resolver el 80% del problema solo con reglas bien diseñadas y un buen registro de incidencias. El 20% restante, el que se adapta y muta, ese necesita machine learning. Y cuando llegas ahí, ya estás preparado.

Así que la pregunta no es "¿reglas o aprendizaje automático?". Es "¿dónde estás ahora y cuánto fraude puedes permitirte no ver?". La respuesta no está en un artículo. Está en tus propios números. Para más información sobre cómo podemos ayudarte a mejorar la detección de fraude en tu empresa, no dudes en contactarnos.