Formar a su equipo para detectar documentos generados por IA

La detección de documentos generados por inteligencia artificial se ha convertido en una competencia imprescindible para cualquier equipo de verificación documental. Las herramientas de generación de imágenes y los modelos de lenguaje avanzados permiten producir falsificaciones con un nivel de detalle que supera con frecuencia los controles visuales convencionales. Sin una formación estructurada, el ojo humano no puede distinguir de forma fiable estos documentos de los auténticos.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas son exactas a la fecha de publicación. Consulte a un profesional cualificado para obtener orientación adaptada a su situación.

El fraude con documentos generados por IA: una amenaza en rápido aumento

Según el análisis de CheckFile de más de 180.000 documentos procesados mensualmente, los documentos generados por IA representan ahora el 12% de los intentos de fraude detectados en 2025, frente al 3% en 2024.

Este crecimiento exponencial responde a varios factores convergentes. Por un lado, la democratización de modelos de generación de imágenes de alta fidelidad —como los modelos de difusión estables— pone al alcance de cualquier defraudador la capacidad de sintetizar DNI, NIE, nóminas o extractos con IBAN español de apariencia legítima. Por otro, la adopción masiva de procesos de incorporación remotos y digitales, acelerada durante la pandemia y consolidada con posterioridad, ha reducido los puntos de control físico que actuaban como primer filtro.

El impacto en los sujetos obligados españoles es directo. La Ley 10/2010 de prevención del blanqueo de capitales e infracciones monetarias exige la verificación de la identidad del cliente mediante documentos fehacientes. Si un sujeto obligado acepta como válido un documento generado por IA, no solo incumple la obligación de diligencia debida establecida en el artículo 3 de dicha ley, sino que expone a la entidad a sanciones administrativas graves por parte del SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales), cuyas cuantías pueden superar los 500.000 euros por infracción.

La incorporación de la Directiva AMLD6 (Directiva UE 2024/1640) refuerza la obligación de aplicar medidas de diligencia debida reforzada cuando el riesgo de fraude documental sea elevado. Al mismo tiempo, el Reglamento UE 2024/1689 de Inteligencia Artificial (AI Act) clasifica ciertos sistemas de generación de contenido sintético como de alto riesgo, lo que implica obligaciones de transparencia que, paradójicamente, también ayudan a los verificadores a identificar contenido potencialmente fraudulento mediante metadatos y marcas digitales cuando están presentes.

La detección de deepfakes en documentos es una disciplina complementaria que su equipo debe dominar en paralelo a la formación visual, ya que muchos documentos fraudulentos combinan texto sintético con fotografías faciales alteradas mediante técnicas de deepfake.

Los 7 indicios visuales que debe enseñar a su equipo

La formación visual eficaz requiere que los analistas interioricen una lista de comprobación estructurada. Los modelos de generación actuales cometen errores sistemáticos en siete categorías visuales que se detallan a continuación.

Fuentes e impresiones tipográficas

Un DNI auténtico utiliza familias tipográficas aprobadas por la Dirección General de la Policía. Los sistemas de IA generativos producen con frecuencia variaciones de kerning —el espacio entre caracteres— que son imperceptibles a primera vista pero detectables cuando el analista compara el documento con una muestra de referencia calibrada. Instruya a su equipo para que examine con lupa 10× la zona de datos del portador en todos los DNI presentados en soporte digital.

Microimpresiones y elementos de seguridad

Los documentos de identidad españoles incorporan microimpresiones en bandas específicas que, a escala normal, aparecen como líneas continuas. En los documentos generados por IA, estas bandas se reproducen como degradados uniformes sin estructura textual. La verificación bajo luz ultravioleta, cuando el documento se presenta en soporte físico, revela la ausencia de los patrones fluorescentes obligatorios.

Coherencia numérica y verificación de dígitos de control

El NIE español sigue el patrón X-NNNNNNN-L, donde L es una letra de control calculada según el algoritmo de módulo 23 aplicado a los dígitos intermedios. El NIF presenta la misma estructura con una letra de control derivada del número. Un analista con conocimiento del algoritmo puede verificar en segundos si la letra de control es coherente con los dígitos. Los documentos generados por IA fallan en este punto con una frecuencia superior al 40% en los análisis internos de CheckFile.

Metadatos de archivo

Una nómina auténtica en formato PDF generada por el software de gestión de recursos humanos de una empresa española contiene metadatos que incluyen el nombre del software utilizado (por ejemplo, A3nom, Sage, Meta4) y una fecha de creación coherente con el periodo declarado. Un archivo PDF con metadatos en blanco, con fecha de creación posterior a la fecha del documento o con software de edición de imágenes como origen debe activar una alerta inmediata. Consulte las mejores prácticas antifraude para equipos para una descripción completa del protocolo de análisis de metadatos.

Construir un programa de formación en tres niveles

Un programa de formación eficaz se estructura en tres niveles de competencia que corresponden a los distintos roles dentro del equipo de verificación.

Nivel 1 — Concienciación básica (todo el personal de atención al cliente)

El objetivo es que cualquier persona que reciba un documento en primera instancia sepa identificar los cuatro indicios más comunes y sepa escalar el caso al nivel 2. La formación dura cuatro horas e incluye ejercicios con muestras reales anonimizadas.

Checklist de competencias del nivel 1:

• Identificar inconsistencias tipográficas evidentes en DNI y NIE
• Detectar sombras o iluminación incoherentes en fotografías de documentos
• Verificar la estructura del IBAN español (ES + 22 dígitos) sin calculadora
• Reconocer la ausencia de microimpresiones mediante lupa estándar
• Completar el formulario de escalada con los campos obligatorios

Nivel 2 — Análisis intermedio (analistas de verificación)

Los analistas aplican la lista completa de siete indicios visuales, realizan la verificación de dígitos de control del NIF/NIE y extraen y contrastan los metadatos del archivo. Esta formación dura ocho horas y se complementa con una sesión práctica mensual sobre nuevas tipologías.

Checklist de competencias del nivel 2:

• Aplicar el algoritmo de módulo 23 al NIF/NIE para verificar la letra de control
• Extraer metadatos de PDF con herramientas básicas (ExifTool o equivalente)
• Contrastar la nómina con los rangos salariales del convenio colectivo aplicable
• Verificar la coherencia del código IBAN con la entidad bancaria declarada
• Documentar la cadena de evidencias para su uso en una potencial denuncia penal

Nivel 3 — Peritaje avanzado (responsables de cumplimiento y analistas senior)

El nivel 3 abarca el análisis forense digital, la aplicación de herramientas automatizadas como CheckFile, la lectura de informes de análisis de IA y la coordinación con las autoridades competentes. Estos profesionales actúan como referencia técnica para los niveles 1 y 2 y son responsables de mantener actualizado el catálogo interno de tipologías de fraude.

Obligaciones regulatorias: lo que exige la ley en España

La formación del equipo no es solo una buena práctica operativa: en el contexto español, es una obligación legal para determinadas categorías de sujetos obligados.

El artículo 3 de la Ley 10/2010 establece la obligación de identificar y verificar la identidad del cliente mediante documentos fehacientes antes de establecer la relación de negocio. El artículo 29 de la misma ley impone la obligación de formación del personal en materia de prevención del blanqueo, incluyendo la detección de documentos falsos. El incumplimiento de esta obligación de formación puede ser sancionado como infracción grave por el SEPBLAC, con multas de entre 60.001 y 150.000 euros.

Para las entidades supervisadas por la CNMV (Comisión Nacional del Mercado de Valores), la Circular 4/2017 sobre obligaciones de información refuerza los requisitos de verificación documental en el contexto de la incorporación de clientes inversores.

La AEPD (Agencia Española de Protección de Datos) ha publicado orientaciones específicas sobre el tratamiento de imágenes de documentos de identidad en el contexto digital. Todo programa de formación debe incluir un módulo sobre el tratamiento lícito de los datos personales contenidos en los documentos verificados, en cumplimiento del RGPD y la Ley Orgánica 3/2018 de Protección de Datos Personales.

El AI Act (Reglamento UE 2024/1689) introduce, en su artículo 50, obligaciones de transparencia para los sistemas de IA que generan imágenes o texto con apariencia de contenido real. Si bien estas obligaciones recaen sobre los proveedores de los sistemas generativos, su conocimiento por parte de los equipos de verificación facilita la identificación de documentos cuyo origen podría invocarse en un proceso judicial.

Integrar la verificación humana en flujos automatizados

La formación del equipo humano no debe concebirse como alternativa a la automatización, sino como complemento imprescindible. Las soluciones automatizadas de verificación como CheckFile ofrecen una primera capa de detección de alta velocidad que clasifica los documentos según su nivel de riesgo. Los documentos clasificados como de riesgo elevado o intermedio deben someterse a revisión humana por un analista del nivel adecuado.

El modelo de revisión en cascada funciona del siguiente modo:

1. El sistema automatizado procesa el documento y asigna una puntuación de riesgo.
2. Los documentos con puntuación inferior al umbral de confianza (por ejemplo, 85%) pasan al analista de nivel 2.
3. El analista aplica la lista de comprobación de siete indicios y documenta su decisión.
4. Los casos con resultado ambiguo se escalan al nivel 3 para peritaje.
5. Todos los casos de fraude confirmado se registran en el sistema y enriquecen el modelo de referencia.

Este flujo garantiza que la carga operativa se mantiene dentro de límites asumibles, ya que los sistemas automatizados absorben la gran mayoría de los documentos sin riesgo relevante. Para los equipos que deseen revisar los fundamentos de la verificación automatizada, el plan de tarifas de CheckFile permite dimensionar la solución según el volumen de documentos procesados. Los requisitos de seguridad y privacidad de la plataforma son auditables para facilitar el proceso de aprobación interna en entidades reguladas.

La clave del éxito de la integración es la retroalimentación constante entre el sistema automatizado y el equipo humano. Cada caso de fraude detectado manualmente y no identificado por el sistema debe alimentar el proceso de mejora continua del modelo. A la inversa, cada falso positivo generado por el sistema debe revisarse para evitar fricciones innecesarias con clientes legítimos.

Preguntas frecuentes

¿Con qué frecuencia debe actualizarse la formación sobre detección de documentos IA?

La formación debe revisarse al menos cada seis meses. Los modelos de generación de documentos fraudulentos evolucionan con gran rapidez, y los indicios visuales que resultaban diagnósticos hace un año pueden haber sido corregidos en las versiones más recientes de las herramientas de falsificación. Se recomienda establecer un proceso de vigilancia de amenazas que incluya la suscripción a boletines de organismos como SEPBLAC, la CNMV o Europol, y la incorporación sistemática de los nuevos patrones detectados al catálogo de formación.

¿Es suficiente la verificación automatizada sin revisión humana para cumplir con la Ley 10/2010?

No. El artículo 3 de la Ley 10/2010 exige la verificación mediante documentos fehacientes, y el artículo 29 impone la formación del personal. La CNMV y el SEPBLAC han indicado en sus guías de supervisión que la automatización debe ir acompañada de procedimientos de revisión humana para los casos de riesgo elevado. Una solución puramente automatizada sin supervisión humana podría considerarse insuficiente en caso de inspección.

¿Qué documentos españoles son más vulnerables a la falsificación por IA?

Según los datos de análisis de CheckFile, los documentos con mayor tasa de falsificación por IA en el mercado español son, por orden decreciente: las nóminas (especialmente de pequeñas empresas sin sistemas de RR. HH. con marca de agua), los extractos bancarios con IBAN español, los contratos de arrendamiento y, en menor medida, los documentos de identidad (DNI y NIE), cuya complejidad de seguridad física los hace más resistentes a la falsificación puramente digital.

¿Cómo se documenta un caso de fraude documental para una denuncia ante la policía?

El analista debe conservar el documento original recibido (sin modificar), el informe de análisis con los indicios detectados, la cadena de custodia digital que acredite cuándo y cómo se recibió el documento, y cualquier comunicación asociada al proceso de incorporación del solicitante. En caso de fraude confirmado, la entidad está obligada a comunicarlo al SEPBLAC mediante la vía de comunicación por indicio establecida en el artículo 18 de la Ley 10/2010, antes de proceder a cualquier denuncia penal ante las Fuerzas y Cuerpos de Seguridad del Estado.

¿Qué herramientas gratuitas pueden usar los analistas para examinar metadatos de PDF?

ExifTool (de código abierto, disponible en exiftool.org) permite extraer en segundos los metadatos completos de un archivo PDF, incluyendo el software de creación, las fechas de creación y modificación, y los identificadores de instancia del documento. Para un análisis más detallado de la estructura interna del PDF, la herramienta pdf-parser de Didier Stevens (también de código abierto) permite identificar elementos incrustados o capas ocultas que pueden revelar la manipulación del archivo.

---

Para una visión integral de la verificación documental en su organización, consulte la guía de verificación de documentos de CheckFile. Para implementar una solución de verificación automatizada adaptada a los requisitos KYC de entidades bancarias y financieras, explore las soluciones KYC de CheckFile.