Entrevista a Christian Crespo, CEO y fundador de icloudCompliance

Con más de ocho años de experiencia en el mercado GRC español, icloudCompliance se ha consolidado como una de las plataformas tecnológicas de referencia para la gestión integral del cumplimiento normativo. Su propuesta apuesta por la centralización, la automatización y la actualización continua para ayudar a las organizaciones a convertir el Compliance en una verdadera ventaja competitiva.

En el marco de Compliance 360º Andalucía: Personas, tecnología y decisiones críticas, que se celebrará el próximo 22 de octubre en Sevilla, Christian Crespo, CEO y fundador de icloudCompliance, participará en la mesa dedicada a analizar el impacto de la inteligencia artificial en la función de Compliance. Hablamos con él sobre la evolución de la tecnología, las oportunidades que abre la IA y el papel que seguirán desempeñando los profesionales en un entorno cada vez más digitalizado.

1. ¿Cómo está cambiando la IA la función de Compliance?

Está cambiando la naturaleza misma del rol. Durante años, el Compliance Officer ha sido un "perseguidor de evidencias": cazar documentos, reclamar informes, preparar comités. Cuando analizamos cómo usan realmente las plataformas nuestros más de 130 clientes, descubrimos algo revelador: la mayoría de módulos de cualquier software de compliance apenas se usan a diario. El problema nunca fue la falta de herramientas, sino que las herramientas no hacían nada por el profesional.

La IA invierte esa ecuación. En iCloudCompliance lo hemos resumido en tres verbos: una IA de compliance debe decirte qué hacer, hacerlo por ti y protegerte legalmente. Ese es el estándar que hemos construido con Brújula, nuestra capa de inteligencia. El Compliance Officer deja de ser un administrativo del cumplimiento y pasa a ser lo que siempre debió ser: un estratega del riesgo.

2. ¿En qué medida la IA está sustituyendo tareas operativas y cuál es el límite donde el factor humano sigue siendo insustituible?

Hoy la IA ya absorbe con solvencia todo lo operativo: recopilar y clasificar evidencias, monitorizar plazos regulatorios, redactar borradores de informes de comité, cruzar una operación contra cientos de controles. Hablamos de tareas que consumían el 60-70% de la jornada de un Compliance Officer.

El límite es muy claro, y es un límite jurídico, no solo técnico: la responsabilidad no se puede delegar en un algoritmo. Ninguna IA va a sentarse ante un juez ni a asumir responsabilidad penal por una decisión. El juicio ético, la lectura del contexto de la organización, la decisión final ante un dilema: eso es y seguirá siendo humano. Nuestra filosofía es que la IA prepara la decisión; el profesional la toma y la firma.

3. ¿Qué papel debe tener la tecnología en la toma de decisiones críticas?

El de copiloto, nunca el de piloto. En decisiones críticas —sancionar a un empleado tras una investigación interna, cerrar una relación con un proveedor, comunicar un incidente al regulador— la tecnología debe hacer tres cosas: aportar todos los datos relevantes, presentar escenarios con sus consecuencias, y dejar trazado todo el proceso.

Esto no es una opinión: es exactamente lo que exige el AI Act europeo para sistemas de alto riesgo, la supervisión humana efectiva. Nosotros lo aplicamos por diseño: en nuestra plataforma no existe ninguna decisión crítica que la IA ejecute sin validación humana. Y esa arquitectura, paradójicamente, es la que más protege al profesional: si algún día tiene que explicar su decisión, tiene el expediente completo de cómo y con qué información la tomó.

4. En la práctica diaria, ¿cuál es el proceso de cumplimiento que más tiempo ahorra hoy cuando se automatiza e integra IA?

Sin duda, la gestión de evidencias y la preparación de informes para comités y consejos de administración. Es el gran agujero negro de tiempo del compliance: semanas persiguiendo documentos por correo para luego montar a mano un informe que el comité revisa en veinte minutos.

Con IA integrada, ese ciclo pasa de semanas a horas. Un ejemplo real: un informe de revisión por dirección de un sistema ISO —que tradicionalmente exige consolidar indicadores, auditorías, incidencias y objetivos de todo un ejercicio— hoy se genera con la información ya viva en la plataforma. Y el segundo gran ahorro es el canal de denuncias: la Ley 2/2023 impone plazos estrictos, y la IA garantiza que ningún expediente se quede dormido. Nuestros clientes nos dicen que es la diferencia entre dormir tranquilos o no.

5. Al confiar en la IA para evaluar riesgos, ¿cómo se garantiza la trazabilidad y la explicabilidad jurídica de sus decisiones frente a un auditor o juez?

Esta es, para mí, la pregunta más importante de la jornada, y donde se separa la IA seria del humo. Nuestra regla interna es tajante: si no puedes explicar ante un auditor o un juez cómo la IA llegó a una conclusión, no deberías estar usándola en compliance.

En la práctica, eso significa cuatro cosas que hemos construido por diseño: cada recomendación de la IA cita su fuente —la norma, el control, la evidencia concreta—, nunca es una caja negra; todo queda registrado en un log de auditoría inmutable con fecha, versión y usuario; los datos confidenciales del cliente se anonimizan antes de cualquier procesamiento externo, con una arquitectura que hemos desarrollado específicamente para el sector; y la decisión final siempre lleva firma humana. El resultado es que el expediente que genera la IA es más defendible jurídicamente que el que se hacía a mano, no menos.

6. ¿Cuál es el mayor reto al digitalizar un programa de Compliance?

El mayor reto no es tecnológico: es metodológico y cultural. Lo decimos siempre a nuestros clientes: si digitalizas el caos, obtienes caos más rápido. Muchas organizaciones llegan con el programa de compliance repartido en excels, correos y carpetas compartidas, sin un modelo de riesgos y controles coherente detrás. Poner software encima de eso no resuelve nada.

Por eso en iCloudCompliance no vendemos solo plataforma: acompañamos con metodología propia y, cuando el cliente lo necesita, con nuestro modelo de Governance as a Service, con ingenieros dedicados dentro de la operación del cliente. Primero ordenamos el modelo, luego lo digitalizamos, y solo entonces la IA multiplica. Ese es el orden correcto, y saltárselo es la causa número uno de proyectos de digitalización fallidos en compliance.

7. Ante el marco del AI Act y la alta carga regulatoria europea, ¿cómo ayuda la tecnología a cumplir con las normas sin convertirse a la vez en un nuevo riesgo legal?

Es la gran paradoja del momento: la única forma realista de absorber la carga regulatoria europea —AI Act, CSRD, NIS2, Ley 2/2023, protección de datos— es con tecnología, pero la tecnología mal gobernada es en sí misma un riesgo regulatorio. La respuesta es aplicar compliance a la propia IA.

Nosotros predicamos con el ejemplo: hemos clasificado nuestros propios sistemas de IA según el AI Act, documentamos su funcionamiento, garantizamos supervisión humana y, sobre todo, hemos diseñado la arquitectura para que los datos confidenciales del cliente nunca salgan de su perímetro sin anonimizar. Cuando un proveedor de IA para compliance no puede explicarte cómo gobierna su propia IA, ahí tienes tu respuesta. La tecnología que ayuda a cumplir es la que nace ya cumpliendo.

8. ¿Por qué habéis decidido apoyar Compliance 360º Andalucía y qué esperáis de esta jornada?

Porque creemos que el compliance en España está en su momento más decisivo desde la reforma del Código Penal, y esa conversación hay que tenerla en comunidad, no cada uno en su despacho. La World Compliance Association lleva años construyendo esa comunidad y queríamos estar al máximo nivel de compromiso, como patrocinadores Oro.

De la jornada esperamos sobre todo una conversación honesta sobre la IA: separar lo que es real de lo que es marketing. Nosotros venimos a mostrar casos concretos —cómo trabajan hoy compliance officers reales con IA real— y a escuchar. Invito a cualquier profesional que tenga curiosidad, o escepticismo, que el escepticismo es sano, a que venga a hablar con nosotros en Sevilla. Que nos traiga su proceso más doloroso y le enseñamos en directo qué haría la IA con él.

9. En una frase para el debate: ¿La IA reemplazará al Compliance Officer, o el profesional que use IA reemplazará al que no la usa?

"Ninguna IA irá a la cárcel por ti: el Compliance Officer es insustituible. Pero el que use IA hará el trabajo de diez, y el mercado ya está eligiendo con cuál de los dos se queda"