Automatización y vigilancia normativa: inteligencia artificial, loT y blockchain en la gestión del cumplimiento

Abstract

La presente investigación se centra en el reto que supone la automatización y el seguimiento continuo del cumplimiento normativo en un entorno definido por la creciente densidad regulatoria, los procesos de transformación digital y la obligación de salvaguardar la seguridad de la información. Durante los últimos años, la consolidación de obligaciones en materia de privacidad, seguridad y gobernanza ha configurado un entorno regulador que exige a las organizaciones un esfuerzo continuo de control, verificación y trazabilidad en sus operaciones y procesos, lo que convierte la evidencia y su integridad en condición del cumplimiento. Sin embargo, en la literatura académica y técnica se señala con frecuencia que los enfoques tradicionales de cumplimiento — basados en auditorías puntuales, controles manuales y una notable dependencia de criterios interpretativos— no logran responder de forma adecuada a escenarios digitales que requieren rapidez, transparencia y una gestión de riesgos más objetiva, precisamente porque la variabilidad operativa y la evolución normativa superan la capacidad de los ciclos de revisión periódica para anticipar desviaciones y responder a tiempo. La hipótesis de partida plantea que la integración de tecnologías como la inteligencia artificial (IA), el internet de las cosas (IoT) y blockchain permite diseñar sistemas de verificación capaces de transformar las disposiciones normativas en reglas contrastables de forma automática sobre datos organizativos. Estos sistemas, concebidos como mecanismos de supervisión con retroalimentación continua, abren la posibilidad de generar alertas tempranas, elaborar informes trazables y activar flujos de trabajo correctivos de manera continua, configurando el cumplimiento como una dinámica transversal y permanente en el seno de la organización, con capacidad de operar sobre señales próximas a la fuente y con tiempos de reacción compatibles con entornos digitales. El estudio analiza los principales marcos regulatorios y estándares que configuran el cumplimiento normativo contemporáneo, considerando normas obligatorias y directrices voluntarias junto con su interacción con la gobernanza interna de las organizaciones, con el fin de que la arquitectura propuesta se apoye en obligaciones identificables, controles verificables y evidencias reconstruibles. Se destacan referencias nacionales y supranacionales, así como la articulación de obligaciones sectoriales y transversales. La investigación trasciende el planteamiento conceptual al incorporar una prueba de concepto orientada a la viabilidad técnica y funcional mediante un despliegue controlado sobre una plataforma de supervisión de entorno empresarial, apoyándose en artefactos implementados de forma específica para el contraste —cuadro de mando, asistente conversacional basado en recuperación aumentada y scripts reproducibles— para simular ingestas, normalización de datos, aplicación de reglas de verificación y generación de resultados contrastables. El ejercicio permite mostrar, en un entorno controlado, la capacidad de traducir la letra de la norma en reglas operativas, consolidar información dispersa en repositorios unificados y desplegar cuadros de mando interactivos capaces de generar respuestas basadas en reglas con priorización por riesgo, incorporando métricas y visualizaciones derivadas de controles para evaluar su comportamiento bajo distintos supuestos de calidad de datos. El análisis crítico identifica limitaciones asociadas a la indeterminación de ciertos preceptos, a variaciones en la calidad y completitud de los datos, junto con la necesidad de perfiles técnicos y jurídicos especializados para el diseño, operación y validación de los controles. Pese a estas restricciones, los resultados apuntan a beneficios relevantes: posible reducción del tiempo de auditoría mediante automatización de controles recurrentes, fortalecimiento de la trazabilidad a través de evidencias estructuradas, detección temprana de desviaciones por monitorización continua y disponibilidad de información clara, auditable y orientada a la toma de decisiones. La obtención de estos efectos requiere marcos de gobernanza y supervisión que aseguren la rendición de cuentas manteniendo la responsabilidad efectiva de la organización sobre los resultados del sistema sin que la automatización desplace o diluya la atribución de responsabilidades. El modelo propuesto constituye, por tanto, una alternativa frente al modelo disperso y orientado a la mera respuesta ante incidencias que todavía predomina en muchas organizaciones, porque desplaza el centro de gravedad hacia la anticipación, la evidencia y la corrección controlada. La incorporación de tecnologías de automatización, vigilancia continua y trazabilidad verificable permite avanzar hacia un sistema de cumplimiento normativo dinámico e integrado, capaz de adaptarse a diversos sectores y marcos regulatorios, ofreciendo una supervisión constante y un soporte más sólido para la dirección y priorización de la respuesta ante riesgos, sin convertir la automatización en un sustituto del juicio experto, sino en su refuerzo operativo. Esta tesis representa un avance en la construcción de un marco teórico para la automatización del cumplimiento normativo, sustentado en el diálogo entre el derecho y la ingeniería, orientado a operacionalizar obligaciones sin perder de vista su fundamento jurídico. Su aportación reside en mostrar que la integración tecnológica puede reconfigurar el modo en que las organizaciones gestionan sus obligaciones normativas, ofreciendo no solo eficiencia y reducción de costes, sino también mayores garantías de transparencia, responsabilidad y resiliencia en la gestión del riesgo regulatorio, al facilitar que las decisiones y actuaciones queden documentadas y auditables a lo largo del ciclo de vida del cumplimiento.

This research addresses the challenge of automation and continuous monitoring of regulatory compliance in an environment characterised by increasing regulatory density, ongoing digital transformation and the obligation to safeguard information security. In recent years, the consolidation of obligations relating to privacy, security and governance has shaped a regulatory landscape that requires organisations to undertake sustained efforts of control, verification and traceability across their operations and processes, making evidence and its integrity central to compliance. However, academic and technical literature frequently observes that traditional compliance approaches (based on periodic audits, manual controls and significant reliance on interpretative judgement) struggle to respond adequately to digital environments that demand speed, transparency and more objective risk management. This limitation arises because operational variability and regulatory evolution often outpace the capacity of periodic review cycles, to anticipate deviations and respond in a timely manner. The underlying hypothesis proposes that the integration of technologies such as artificial intelligence (AI), the Internet of Things (IoT) and blockchain enables the design of verification systems capable of transforming regulatory provisions into automatically testable rules applied to organisational data. Conceived as supervisory mechanisms with ongoing feedback, these systems enable early warnings, traceable reporting and ongoing corrective workflows. Compliance is thus reconfigured as an enduring, organisation-wide process, capable of acting on signals close to the data source and of responding within timeframes compatible with digital environments. The study analyses the principal regulatory frameworks and standards shaping contemporary compliance, considering both mandatory rules and voluntary guidelines and their interaction with internal organisational governance. This ensures that the proposed architecture is grounded in identifiable obligations, verifiable controls and reconstructable evidence. National and supranational references are examined, together with the articulation of sectoral and cross-cutting obligations that support integrated risk management and the long-term sustainability of compliance arrangements, without restricting the analysis to a single sector or verification technique. The research moves beyond a purely conceptual approach by incorporating a proof of concept aimed at assessing technical and functional feasibility through a controlled deployment within a supervisory platform in an enterprise environment. This deployment is supported by artefacts implemented specifically for validation purposes (a compliance dashboard, a retrieval augmented consultation assistant and reproducible scripts) designed to simulate data ingestion, normalisation, rule application and the generation of verifiable outputs. The exercise illustrates, within a controlled environment, the capacity to translate regulatory text into operational rules, consolidate dispersed information into unified repositories and deploy interactive dashboards capable of producing rule-based responses prioritised by risk, incorporating metrics and visualisations derived from controls to evaluate performance under varying data quality assumptions. Critical analysis identifies limitations associated with the indeterminacy of certain legal provisions, variability in data quality and completeness, and the requirement for specialised technical and legal expertise in the design, operation and validation of controls. Despite these constraints, the results indicate significant benefits: reduced audit effort through automation of recurrent controls, strengthened traceability via structured evidence, early detection of deviations through continuous monitoring, and the availability of clear, auditable information to support decision-making. Achieving these effects requires governance and oversight frameworks that ensure accountability while maintaining the organisation’s effective responsibility for system outputs, preventing automation from displacing or diluting the attribution of responsibility. The proposed model constitutes an alternative to the fragmented, incident-driven compliance approach that remains prevalent in many organisations by shifting the focus towards anticipation, evidence and controlled remediation. By integrating automation, verifiable traceability and ongoing oversight, it supports the development of a dynamic, integrated compliance system capable of adapting to diverse sectors and regulatory frameworks. In doing so, it strengthens managerial decision-making and risk prioritisation, positioning automation not as a substitute for expert judgement but as its operational support. This thesis advances the construction of a theoretical framework for regulatory compliance automation, grounded in dialogue between law and engineering and oriented towards operationalising legal obligations without losing sight of their normative foundation. Its contribution lies in demonstrating that technological integration can reconfigure the way organisations manage regulatory duties, delivering efficiency and cost reduction while also strengthening demonstrability, accountability and the long-term sustainability of regulatory risk management. This is achieved by ensuring that decisions and actions remain documented and auditable throughout the compliance lifecycle.