Detección de fraude en pagos con IA: qué vigila un agente que un humano no ve

La detección de fraude en pagos con IA no consiste en un sistema misterioso que "huele" el engaño: consiste en un agente que compara cada factura, cada cambio de datos bancarios y cada orden de pago contra todo el histórico de la empresa, todos los días, sin cansarse y sin fiarse de que "este proveedor es de toda la vida". Ahí está la diferencia con un humano: no en la inteligencia, sino en la escala y la constancia. Una persona revisa la factura que tiene delante; un agente la revisa contra los últimos cinco años de facturas, pagos, proveedores y patrones, en segundos.

Este artículo repasa los fraudes que más dinero cuestan a las pymes españolas, qué señales concretas vigila un agente que a un equipo humano se le escapan por pura física, y cómo se integra esto en un circuito de pagos sin convertirlo en un embudo.

Los cinco fraudes que más pagan las empresas

Antes de la solución, el problema. Estos cinco patrones concentran la mayoría de las pérdidas que vemos:

• El cambio de IBAN: alguien —a menudo desde el buzón comprometido de un proveedor real— escribe pidiendo actualizar la cuenta de cobro. La siguiente transferencia legítima va a la cuenta del atacante. Es el fraude estrella porque no requiere falsificar nada: solo un email creíble en el momento oportuno.
• La factura falsa: un documento perfectamente maquetado de un proveedor inventado (o suplantado) por un importe discreto, de los que se aprueban sin mirar. Los atacantes conocen los umbrales de aprobación típicos y facturan justo por debajo.
• El fraude del directivo: un correo urgente "del CEO" pidiendo una transferencia confidencial. Suena burdo hasta que llega un viernes a las 14:50 con el tono exacto de la casa.
• La factura duplicada: el mismo servicio cobrado dos veces, con número de factura distinto y unas semanas de separación. A veces es fraude; a veces es un proveedor desordenado. El dinero se va igual.
• El fraude interno: pagos fraccionados para esquivar el umbral que exigiría una segunda firma, proveedores dados de alta por la misma persona que aprueba sus facturas, abonos que nunca llegan a compensarse.

Qué vigila un agente que un humano no puede ver

Comparación contra todo el histórico, no contra la memoria

Cuando llega una factura, el agente la contrasta con todas las anteriores del mismo proveedor: ¿el importe está en su rango habitual? ¿La numeración es coherente con la serie? ¿El IBAN es el de siempre? ¿El concepto se parece a lo que este proveedor factura? Un administrativo con 600 facturas al mes no puede hacer esa comprobación ni para una fracción; el agente la hace para el cien por cien. Los duplicados sofisticados —importe idéntico, número distinto, 40 días después— caen precisamente aquí.

Señales débiles que solo delatan combinadas

Ninguna de estas cosas es sospechosa por separado: un proveedor dado de alta hace dos semanas, una factura ligeramente por debajo del umbral de segunda firma, un dominio de email que se diferencia del real en una letra, unas prisas educadas por cobrar. Juntas, son un patrón clásico. El agente puntúa cada operación combinando decenas de señales de este tipo y escala las que superan el umbral; es el tipo de correlación que a una persona le exigiría tener todos los datos en la cabeza a la vez.

Los metadatos que nadie mira

El agente también lee lo que rodea al documento: el dominio real del remitente (no el nombre para mostrar), la coherencia entre el emisor del email y el proveedor de la factura, cambios de datos fiscales o bancarios respecto al maestro de proveedores, y peticiones de cambio de cuenta que llegan por email en lugar de por el canal pactado. La mayoría de los fraudes de IBAN se detectan en esta capa, antes incluso de valorar el importe.

Vigilancia continua, también en agosto

Los ataques se concentran deliberadamente en viernes por la tarde, puentes y periodos vacacionales, cuando la revisión humana está bajo mínimos. Un agente no tiene agosto: la operación número 10.000 recibe el mismo escrutinio que la primera. La constancia no es una virtud menor; en fraude, es la mitad de la defensa.

Cómo funciona en la práctica: puntuar, retener, explicar

El circuito sensato tiene tres piezas. Primera: cada factura y cada orden de pago recibe una puntuación de riesgo al entrar, calculada contra el histórico y el maestro de proveedores. Segunda: las operaciones por debajo del umbral siguen su curso normal —el 95% largo del volumen no se toca ni se frena—; las que lo superan quedan retenidas antes del pago, no después. Tercera, y es la que distingue un buen sistema: el agente explica cada alerta en castellano ("el IBAN difiere del usado en los últimos 23 pagos a este proveedor; la petición de cambio llegó de un dominio registrado hace 11 días"), para que la persona que revisa decida en un minuto con los hechos delante. Un agente que solo dice "riesgo alto" sin explicarse acaba ignorado, y un sistema ignorado es un sistema muerto. Esta capacidad de razonar y actuar con contexto es exactamente lo que separa a un agente de un filtro de reglas, como contamos en qué es un agente de IA autónomo.

Lo que el agente no sustituye

Dos controles siguen siendo humanos e innegociables. Uno: todo cambio de cuenta bancaria se verifica por un canal distinto al que llegó la petición —una llamada al teléfono que ya tenías del proveedor, no al que figura en el email—. El agente detecta y retiene; la verificación la hace una persona. Y dos: la doble firma a partir de cierto importe no se automatiza jamás. El agente es una capa de defensa extraordinaria, no una excusa para desmontar las demás.

La buena noticia es que esta vigilancia no es un proyecto aparte: se monta sobre el mismo agente que procesa las facturas y prepara los pagos, como parte del circuito de agentes de IA en el departamento financiero. Añadir la capa antifraude a un flujo de cuentas por pagar ya automatizado suele suponer 2.000-5.000 euros y 1-2 semanas más; el mapa completo del área está en nuestra guía de automatización financiera con IA.

Si quieres saber qué agujeros tiene hoy tu circuito de pagos —umbrales, altas de proveedor, cambios de IBAN, duplicados— y qué costaría vigilarlos con un agente, pide nuestro diagnóstico: revisamos tu proceso real y te devolvemos las prioridades con números.

Preguntas frecuentes

¿Cuántas falsas alarmas genera un agente antifraude?

Bien calibrado, entre el 2% y el 5% de las operaciones acaban en revisión, y cada una llega con su explicación para resolverse en un minuto. El primer mes el umbral se ajusta con el equipo: mejor empezar algo sensible e ir afinando que arrancar permisivo y descubrir el agujero tarde.

¿Esto necesita muchos datos históricos para funcionar?

Ayudan, pero no hacen falta años: con 6-12 meses de facturas y pagos el agente ya construye los rangos normales de cada proveedor. Y varias defensas —verificación de dominios, coherencia del maestro de proveedores, peticiones de cambio de IBAN— funcionan desde el primer día sin histórico.

¿Puede el agente bloquear un pago él solo?

Puede retenerlo antes de que entre en la remesa, que es distinto: la operación queda en espera con su explicación hasta que una persona decide. Liberar o cancelar el pago es siempre decisión humana; el agente aporta la detección y el contexto, no la última palabra.

¿Compensa para una pyme o es cosa de grandes empresas?

El fraude del cambio de IBAN y la factura falsa golpean precisamente a pymes, donde una sola persona aprueba y paga. Una transferencia desviada media supera con holgura lo que cuesta añadir esta capa a un flujo de pagos automatizado, así que la pregunta no es el tamaño de la empresa sino el volumen y el valor de sus pagos.