Cuando los periodistas tienen mejores herramientas AML

Aleph, la plataforma de datos de OCCRP, no es una panacea regulatoria. Pero expone una verdad incómoda: gran parte de lo que los bancos padecen en la lucha contra el blanqueo de capitales no es un problema de conocimiento. Es un problema de arquitectura — y en ningún lugar resulta más evidente que en la cadena KYC.

En Ámsterdam no hay ningún banco, ningún aparato de cumplimiento ni ninguna autoridad reguladora. Y sin embargo, el Organized Crime and Corruption Reporting Project — OCCRP, por sus siglas en inglés — opera desde allí una plataforma que en círculos especializados se ha convertido desde hace tiempo en una suerte de estándar en la sombra para la investigación financiera. La plataforma se llama Aleph. En su última iteración, Aleph Pro, procesa más de 4.400 millones de entidades según datos de OCCRP.¹ La propia OCCRP cifra el impacto de sus investigaciones en más de once mil millones de dólares en multas y activos incautados desde 2009.²

Lo notable de Aleph no es que unos periodistas hayan construido una herramienta útil. Eso ocurre. Lo notable es que una organización sin ánimo de lucro, en lo que respecta a modelo de datos, lógica de vinculación y ergonomía de investigación, trabaja a menudo más cerca de la realidad operativa de la delincuencia financiera transnacional que algunos grandes bancos regulados con presupuestos de licencias de seis a siete cifras para software AML.

Aunque la comparación, hay que decirlo desde el principio, solo es parcialmente justa. OCCRP no está sujeta a regulación, no tiene que proteger datos de clientes, no tiene que cumplir obligaciones de documentación ante supervisores y puede trabajar con conjuntos de datos filtrados que están vedados para las entidades financieras. Quien equipara el cumplimiento regulado con el periodismo de investigación está comparando dos sistemas con restricciones legales y operativas fundamentalmente distintas. No obstante, la comparación arquitectónica merece la pena. No porque los bancos deban adoptar Aleph, sino porque las decisiones de diseño detrás de Aleph iluminan las debilidades de las arquitecturas de cumplimiento habituales con una claridad incómoda. Y en ningún lugar resulta esto más evidente que en el proceso KYC.

¹ Informe anual de OCCRP 2024: «4.4B+ entities in OCCRP Aleph». La cifra se refiere a la instancia completa de OCCRP, no a despliegues individuales de Aleph Pro. ² Página «About» de OCCRP, período 2009–2024: «$11 billion+ in fines levied and monies seized». La atribución incluye casos en los que las investigaciones de OCCRP contribuyeron.

Aleph se construye sobre FollowTheMoney (FtM), una ontología abierta para datos de investigación. Personas, empresas, estructuras de participación, flujos de pago — todo se modela como una entidad tipada con propiedades multivaluadas. El esquema se exporta a CSV, Excel y Cypher, el lenguaje de consulta de la base de datos de grafos Neo4j.³ Un periodista en Bucarest y un investigador en Nairobi trabajan con la misma estructura de datos. Suena trivial. En el mundo regulado, es la excepción.

Porque allí reina una diversidad fragmentada. Cada proveedor — ya sea Actimize, Norkom, Fircosoft o los diversos desarrollos propietarios — define su propia estructura de entidades. Quien migra, pierde contexto. Quien integra, construye tablas de mapeo que quedan obsoletas tras el primer cambio de director de proyecto. La interoperabilidad, el objetivo declarado de la armonización europea contra el blanqueo de capitales, apenas se ha materializado hasta ahora a nivel de modelo de datos.

³ Documentación de FollowTheMoney, followthemoney.tech; exportación a Cypher y CSV documentada. ⁴ Cf. GitHub: alephdata/followthemoney-compare. ⁵ Página «About» de OCCRP: «1,000+ sources from 180+ countries». La cifra se refiere a registros fuente y conjuntos de datos, no a las entidades de Aleph en sí. ⁶ FAQ de OCCRP Aleph Pro, junio de 2025.

El matching de entidades merece una mirada más detenida. El cruce de referencias de Aleph utiliza un modelo de ML que pondera automáticamente a la baja los tokens frecuentes — apellidos comunes, sufijos genéricos de empresas — y pondera al alza los identificadores infrecuentes. El resultado es un matching probabilístico que reconoce variantes difusas sin inundar la cola de alertas con falsos positivos evidentes. En muchos sistemas de screening de entidades reguladas, ocurre lo contrario: el matching basado en reglas genera altos volúmenes de alertas que los analistas deben procesar individualmente. Cuán alta es la proporción de coincidencias irrelevantes varía según la entidad y la calibración, pero que el esfuerzo de disposición manual es un factor de coste central es algo que prácticamente nadie en el sector discute.

Quien quiera descartar la comparación entre Aleph y los sistemas regulados como algo académico debería observar la cadena KYC. Aquí es donde la diferencia arquitectónica se vuelve operativamente tangible.

Know Your Customer, en su forma clásica, es un proceso periódico. Un cliente se verifica cuando se establece la relación comercial. Después, dependiendo de la clasificación de riesgo, se revisa de nuevo cada uno a tres años — el llamado KYC refresh. Entre los ciclos de revisión, siendo honestos, ocurre poco de forma sistemática. Si la estructura de propiedad de un cliente cambia, aparece un nuevo beneficiario final, se impone una sanción o un estatus de PEP se vuelve relevante, la entidad se entera en el mejor de los casos a través del monitoreo de transacciones, en el peor de los casos en la siguiente revisión programada — meses o años después.

El sector sabe que esto no es suficiente. La palabra clave es perpetual KYC — pKYC: la sustitución de los ciclos de revisión periódicos por un monitoreo continuo y basado en eventos de la relación comercial. En principio, la entidad ya no supervisa en intervalos fijos, sino que reacciona ante cambios relevantes en cuanto se producen: una nueva inclusión en listas de sanciones, un cambio en la estructura de titularidad real (UBO), una coincidencia en medios adversos, un cambio en la dinámica transaccional.

En principio. En la práctica, el pKYC fracasa debido a los mismos problemas arquitectónicos que aquejan al resto de la cadena AML. Porque el monitoreo KYC basado en eventos requiere tres cosas: primero, un modelo de datos que pueda representar de forma nativa las relaciones entre entidades — no como filas en una tabla, sino como un grafo. Segundo, un mecanismo que propague automáticamente los cambios en una entidad a todas las entidades vinculadas. Tercero, una base de datos que se extienda más allá de la propia cartera de clientes e incorpore de forma continua fuentes externas — registros, listas de sanciones, bases de datos de PEP, medios adversos.

Aleph cumple los tres requisitos — no porque haya sido construido como un sistema KYC, sino porque su arquitectura se apoya precisamente en aquellos principios que técnicamente posibilitarían el pKYC. FollowTheMoney modela las relaciones como entidades independientes con marcas temporales y puntuaciones de confianza. La indexación de Aleph está diseñada para detectar cambios en los datos fuente y reprocesarlos. Y la base de datos abarca más de mil fuentes externas que se actualizan regularmente.

No conviene sobreinterpretar este hallazgo. Aleph no es conforme al RGPD, no es auditable en el sentido de MaRisk y no está concebido como sistema productivo para las obligaciones KYC según la GwG. Maltego señala con razón que los datos deben verificarse de forma independiente y no constituyen una solución KYC autónoma.⁷ Y los requisitos operativos de un sistema pKYC productivo — pista de auditoría, principio de cuatro ojos, capacidad de reporte regulatorio, segregación de mandatos — van mucho más allá de lo que Aleph ofrece o pretende ofrecer.

Pero sigue siendo un contraste instructivo: una plataforma periodística lleva años trabajando con exactamente aquellos principios arquitectónicos — modelos de datos nativos de grafos, actualización basada en eventos, vinculación ponderada por confianza — que el mundo regulado debate como visión de futuro bajo la etiqueta pKYC. La diferencia no está en la comprensión de lo que se necesita. La diferencia está en quién lo ha construido.

⁷ Maltego Transform Hub, integración de OCCRP Aleph: los datos de Aleph no constituyen una solución KYC autónoma para industrias reguladas.

Aquí la historia se vuelve peculiar. OpenSanctions, la base de datos abierta de sanciones y PEP que un número creciente de entidades utiliza para complementar las listas comerciales, está construida de forma nativa sobre el modelo de datos FollowTheMoney. Cada entidad — persona, empresa, estructura de propiedad — es un objeto FtM con esquema, propiedades, marcas temporales y referencias de conjunto de datos. También yente, la API de matching de OpenSanctions, espera y entrega estructuras FtM.⁸

Las entidades que consumen OpenSanctions o servicios de screening basados en yente están, por tanto, trabajando con datos FtM — frecuentemente sin ser conscientes de ello. Lo que ocurre después es instructivo: la mayoría de los pipelines de ingesta transforman la entidad FtM en un formato propietario. La estructura de grafo se disuelve. Los metadatos sobre procedencia y marcas temporales se degradan. Lo que comienza como un objeto de datos vinculado acaba como una fila en una tabla relacional.

Ahora bien, esta transformación tiene razones que hay que tomar en serio. La protección de datos exige una gestión controlada de la información, no grafos asociativos. Las auditorías supervisoras esperan procesos trazables y documentados, no grafos de conocimiento dinámicos cuyo estado cambia entre dos fechas de auditoría. Y los sistemas bancarios centrales existentes están simplemente construidos sobre fundamentos relacionales — no se puede reconstruir cada arquitectura de la noche a la mañana.

Todo esto es cierto, y una comparación honesta debe tenerlo en cuenta. Pero sigue siendo un hallazgo notable que el ecosistema abierto e investigativo haya producido un modelo de datos optimizado para la vinculación y la preservación del contexto — mientras que el mundo regulado consume modelos optimizados para el control y el aislamiento. Ambos principios de diseño tienen su justificación. La pregunta de cuál es más adecuado para detectar redes transnacionales es menos clara de lo que los puristas de ambos bandos desearían — pero merece un debate más honesto del que se ha mantenido hasta ahora.

⁸ Documentación técnica de OpenSanctions: la estructura de entidades se basa en FtM; cf. opensanctions.org/docs/entities/.

AMLA, la nueva Autoridad Europea contra el Blanqueo de Capitales con sede en Fráncfort, debe traer la armonización. Sus Normas Técnicas de Regulación (RTS) deben garantizar que las entidades de toda Europa trabajen según estándares comparables. Los borradores presuponen una granularidad notable e implican una amplia comparabilidad de campos de datos — desde atributos de identificación hasta estructuras de UBO y evaluaciones de riesgo.⁹

Sobre el papel, esto es ambicioso. En la práctica, la armonización choca con un límite que ni AMLA ni el reglamento que la acompaña abordan: no existe un modelo de datos común. Cada entidad modela a sus clientes, transacciones y evaluaciones de riesgo de forma diferente. Cada proveedor estructura sus alertas y expedientes KYC de forma diferente. Los estándares se pueden definir — mientras los modelos de datos subyacentes no sean compatibles, la armonización sigue siendo una promesa documental.

FollowTheMoney no es una solución lista para este problema. Fue desarrollado para el periodismo de investigación, no para procesos KYC con sus requisitos específicos de protección de datos, conformidad de auditoría y documentación supervisora. Pero el principio de diseño — una ontología abierta, tipada, con capacidad de grafos y definiciones de esquema claras — es más relevante como modelo conceptual para el debate sobre armonización de lo que el sector ha estado dispuesto a reconocer hasta ahora.

Aleph Pro hace la discusión aún más interesante: la plataforma introduce etiquetas de confianza en las conexiones — una evaluación cuantificada de cuán fiable es la relación entre dos entidades. Para profesionales de cumplimiento experimentados, esto es evidente: una coincidencia de PEP con un nombre común no tiene el mismo peso que un acierto completo con fecha de nacimiento, dirección y nacionalidad coincidentes. Pero la mayoría de los sistemas de screening no representan esta distinción de forma sistemática. La alerta es binaria: se activa o no. Para el KYC refresh y el pKYC, esta es una debilidad particularmente costosa porque cada alerta binaria desencadena un ciclo de revisión manual — precisamente el proceso que el pKYC debería automatizar.

⁹ Cf. documentos de consulta de las RTS de AMLA; la EBA ha transferido el marco institucional para el desarrollo de las RTS a AMLA.

Algo se está moviendo — no de forma dramática, pero sí constante. Los límites entre el periodismo de investigación y el cumplimiento regulado se difuminan en los márgenes técnicos. Aleph Pro se comercializa: SaaS a partir de mediados de 2026, nivel enterprise con despliegue on-premise, alcance directo a los operadores de instancias existentes. Más de 60 organizaciones en todo el mundo operaban sus propias instancias de Aleph; ahora están siendo migradas al nuevo stack.¹⁰ Esto ya no es una herramienta de nicho. Es infraestructura con modelo de negocio.

OpenSanctions gana aceptación de forma constante en el mundo regulado. FollowTheMoney exporta a Cypher, el lenguaje de Neo4j — la base de datos de grafos cada vez más utilizada en el sector financiero para la detección de fraudes y el análisis de redes. El debate sobre pKYC genera demanda de precisamente aquellos principios arquitectónicos que el ecosistema de código abierto lleva años ofreciendo. Las herramientas convergen. La pregunta es si la demanda seguirá.

Hasta ahora, poco indica que los actores establecidos se estén moviendo. Los contratos con proveedores siguen vigentes. Los ciclos de revisión siguen su curso. Las revisiones manuales se acumulan. Y en Ámsterdam, mientras tanto, se indexan los próximos mil millones de entidades.

Esto no es una acusación. Es un balance. Y visto con sobriedad, se resume así: el mundo financiero regulado tiene un problema de arquitectura que no puede resolverse solo con presupuestos de licencias — y que se agudiza, no se suaviza, con los requisitos de pKYC. El ecosistema de código abierto muestra cómo los modelos de datos abiertos, el matching probabilístico y el análisis basado en grafos pueden funcionar juntos. El mundo regulado conoce estas herramientas. Que aprenda de ellas o siga invirtiendo en la prolongación de contratos existentes no es una cuestión técnica. Es una cuestión de inercia institucional — y, tarde o temprano, inevitablemente, una cuestión para los supervisores.

¹⁰ FAQ de OCCRP Aleph Pro: «more than 60 organizations around the world are running their own instances».