Redes neuronales convolucionales en la banca: del reconocimiento de patrones a la gobernanza del riesgo de modelo

Executive Summary

1¿Qué es una red neuronal convolucional?

Una red neuronal convolucional es un tipo de red neuronal diseñada para detectar patrones en datos estructurados, especialmente datos con relaciones locales. En imágenes, por ejemplo, los píxeles cercanos importan. Una CNN aprende filtros que detectan bordes, formas, texturas, objetos y finalmente patrones de mayor nivel. En lugar de tratar cada feature de entrada como totalmente independiente, las CNNs explotan la estructura.

Por eso se volvieron tan poderosas en computer vision.

Las raíces se remontan décadas atrás. El artículo de 1998 de LeCun, Bottou, Bengio y Haffner sobre gradient-based learning aplicado al document recognition presentó LeNet-5, una de las arquitecturas CNN canónicas, y demostró reconocimiento basado en CNN de caracteres manuscritos y documentos. Ese vínculo histórico con el reconocimiento documental es importante para la banca porque los bancos siempre han procesado documentos, formularios, cheques, firmas y registros estructurados a escala. (IEEE)

La era moderna del deep learning se aceleró después de AlexNet. En 2012, Krizhevsky, Sutskever y Hinton entrenaron una gran deep CNN sobre ImageNet y lograron un avance en large-scale image classification. Ese resultado se considera ampliamente uno de los momentos decisivos que empujaron el deep learning hacia la IA industrial. (NeurIPS)

Después de eso, las arquitecturas CNN evolucionaron rápidamente: VGG, Inception, ResNet, DenseNet, Xception, MobileNet, EfficientNet y otras. ResNet, por ejemplo, introdujo residual learning para facilitar el entrenamiento de redes neuronales muy profundas y ganó tareas importantes de ImageNet y COCO en 2015. (arXiv)

Pero la historia técnica no es el punto para un banco.

El punto es este: las CNNs son sistemas potentes de reconocimiento de patrones. Y en la banca, el reconocimiento de patrones solo es valioso cuando está conectado con control, evidencia y accountability.

cnns-in-banking-2.jpg16:9 · /insights/img/

2Por qué las CNNs importan en banca

Las CNNs se asocian naturalmente con image recognition, pero su relevancia en banca es más amplia.

La aplicación más evidente es document intelligence. Los bancos procesan pasaportes, documentos de identidad, facturas, extractos, contratos, documentos fiscales, formularios de apertura de cuenta, firmas, cheques y evidencia regulatoria. Un modelo basado en CNN puede ayudar a clasificar documentos, extraer características visuales, detectar inconsistencias o apoyar workflows de optical character recognition.

Una segunda área es fraud detection. El fraude financiero suele aparecer como un problema de patrones: secuencias transaccionales anómalas, comportamiento cliente inusual, patrones merchant inconsistentes, documentos manipulados, identidades sintéticas o evidencia visual sospechosa. Las CNNs pueden usarse directamente sobre datos de imagen, o indirectamente cuando los datos transaccionales se transforman en estructuras tipo imagen o matriz.

Una revisión sistemática de 2025 sobre deep learning en financial fraud detection examinó 108 publicaciones peer-reviewed de 2019 a 2024 e identificó CNNs, LSTMs, transformers y métodos ensemble en dominios como tarjetas de crédito, seguros y financial reporting. La conclusión importante para los bancos no es que las CNNs sean siempre superiores. La conclusión es que las arquitecturas de deep learning forman cada vez más parte del toolkit de fraud detection, y que la gobernanza debe poder gestionarlas. (ScienceDirect)

Una tercera área es KYC y onboarding. Las CNNs pueden apoyar controles basados en imágenes, clasificación documental, detección visual de anomalías y workflows de identity verification. Pero aquí el riesgo aumenta rápidamente. Si el modelo afecta customer onboarding, acceso a servicios bancarios o financial crime controls, el banco debe poder evidenciar cómo funciona el modelo, cómo se monitoriza, qué datos utiliza y cómo se gestionan los errores.

Una cuarta área es operational risk y cyber. Las CNNs y enfoques relacionados de deep learning pueden usarse para pattern recognition en logs, alertas, capturas de pantalla, señales conductuales o anomaly detection. Pero de nuevo, la pregunta no es solo si el modelo detecta patrones. La pregunta es si el banco puede confiar en él dentro de un entorno controlado.

La lección estratégica es esta: las CNNs son útiles donde los datos tienen estructura. Son menos convincentes cuando se usan solo porque “deep learning” suena avanzado.

En banca, la arquitectura del modelo debe seguir al problema de riesgo. No al revés.

3El malentendido a nivel de board

Boards y senior executives rara vez necesitan entender convolution kernels, pooling layers o activation maps en detalle técnico. Pero sí necesitan entender qué tipo de pregunta de gobernanza crea una CNN.

Una CNN no es solo un modelo. Es un mecanismo de decision support integrado en un proceso.

Ese proceso puede implicar datos de clientes, financial crime detection, operational risk, third-party technology, cloud infrastructure, revisión manual, rutas de escalación y audit evidence. Si el modelo funciona mal, las consecuencias pueden incluir false positives, false negatives, daño al cliente, fraude no detectado, backlog operativo, preocupación regulatoria o dependencia excesiva de un sistema opaco.

La pregunta equivocada del board es:

“¿Qué tan avanzado es el modelo?”

La mejor pregunta es:

“¿Qué decisión influye este modelo, y puede el management evidenciar control sobre esa decisión?”

Ese es el cambio de curiosidad tecnológica a madurez de gobernanza.

Una CNN usada para clasificar documentos internos escaneados puede ser de riesgo relativamente bajo. Una CNN usada para apoyar fraud detection o customer onboarding puede ser materialmente más sensible. Una CNN usada en un workflow relacionado con crédito puede volverse altamente significativa, dependiendo del caso de uso y del impacto decisional. Bajo el EU AI Act, los sistemas de IA utilizados para evaluar la solvencia de personas físicas o establecer su credit score se clasifican como de alto riesgo, con una excepción para sistemas de IA usados para detectar fraude financiero. Esa distinción importa porque muestra que la clasificación depende del propósito, no solo de la tecnología. (AI Act Service Desk)

Un banco, por tanto, no puede gobernar CNNs preguntando solo: “¿Qué arquitectura es esta?”

Debe preguntar:

“¿Para qué se usa el sistema?”

Ahí comienza la gobernanza bancaria.

4Por qué las CNNs no siempre son el modelo correcto

Una estrategia seria de IA debería evitar modas arquitectónicas.

Las CNNs son potentes cuando la estructura de datos encaja con el modelo. Funcionan bien para imágenes, patrones espaciales, relaciones locales entre features y algunas representaciones transformadas de datos secuenciales o tabulares. Pero muchos datasets bancarios son tabulares, relacionales, sparse, dependientes del tiempo o basados en redes. En esos casos, otras familias de modelos pueden ser más adecuadas: gradient boosting, graph neural networks, arquitecturas recurrentes, transformers, métodos de anomaly detection, sistemas basados en reglas o modelos estadísticos más simples.

Esto importa para la gobernanza porque la complejidad del modelo debe justificarse.

Un banco no debería aceptar una CNN simplemente porque un vendor afirma que es “deep learning”. El banco debería preguntar por qué una CNN es adecuada para el caso de uso, contra qué baseline model fue comparada, si modelos más simples funcionaron adecuadamente, qué métrica de performance importa y si la complejidad adicional justifica la carga de gobernanza.

En fraud detection, por ejemplo, accuracy puede ser engañosa. Los datasets de fraude suelen estar muy desequilibrados. Un modelo puede parecer preciso mientras pierde los eventos que realmente importan. Precision, recall, false-positive rate, false-negative rate, carga operativa, fricción para el cliente y capacidad de investigación pueden importar más que la headline accuracy.

Este es un punto clásico de banca: un modelo no es bueno porque obtiene buen score en laboratorio. Es bueno si mejora un proceso de negocio controlado bajo condiciones operativas reales.

Una CNN que aumenta la detección de fraude pero abruma a los investigadores con false positives puede no ser un buen modelo. Una CNN que mejora la clasificación documental pero no puede monitorizarse para drift puede crear riesgo operacional. Una CNN que funciona en un país pero falla entre idiomas, formatos documentales o grupos de clientes puede crear problemas de fairness, conduct y control.

Model performance es solo una parte de model governance.

5Explainability: el problema de gobernanza de las CNNs

Las CNNs suelen tratarse como sistemas black box porque sus representaciones internas son difíciles de interpretar. Eso no significa que no puedan gobernarse. Significa que el modelo de gobernanza debe definir qué nivel de explicación es necesario para el caso de uso.

Explainability depende de audiencia y propósito.

Un data scientist puede necesitar diagnósticos técnicos. Un model validator puede necesitar sensitivity analysis, feature behaviour, robustness testing y failure modes. Un business owner puede necesitar saber cuándo confiar en el modelo y cuándo escalar. Un investigador puede necesitar reason codes visuales u operativos. Un supervisor puede necesitar evidencia de que el banco entiende las limitaciones del modelo y las controla.

Grad-CAM es un método importante en la literatura de explainability de CNNs. Selvaraju y coautores propusieron Grad-CAM para producir explicaciones visuales de decisiones de modelos basados en CNN destacando regiones de una imagen que son importantes para la predicción del modelo. En banca, ese tipo de técnica puede ser útil al revisar modelos de document classification, herramientas de verification basadas en imagen u otros sistemas de IA visual. (arXiv)

Pero las herramientas de explainability no son magia.

Un heatmap no es gobernanza. Un saliency map no es accountability. Una explicación visual puede ayudar, pero no prueba que el modelo sea justo, robusto, estable, lícito o adecuado para el caso de uso. Debe formar parte de un paquete más amplio de evidencia: data lineage, validación, performance testing, bias assessment, monitoring, override analysis, incident handling y audit trail.

Aquí los bancos necesitan disciplina.

La pregunta correcta no es: “¿Podemos explicar cada neurona?”

La pregunta correcta es: “¿Podemos explicar el modelo suficientemente para la decisión que apoya, el riesgo que crea y la persona o función que depende de él?”

Ese es un estándar práctico de explainability.

6Adversarial Risk y Robustness

Las CNNs también introdujeron una de las lecciones más importantes del riesgo moderno de IA: los modelos pueden ser altamente precisos y aun así frágiles.

Szegedy y coautores mostraron que las redes neuronales pueden ser vulnerables a adversarial examples: pequeños cambios de input que pueden causar clasificaciones incorrectas. Este hallazgo importa mucho más allá de la computer vision académica. Muestra que la robustness del modelo no puede asumirse solo a partir de la performance promedio. (arXiv)

Para los bancos, esto es especialmente relevante en entornos adversariales.

Los defraudadores se adaptan. Las redes criminales testean controles. La manipulación documental evoluciona. Las identidades sintéticas se vuelven más sofisticadas. Los atacantes cyber sondean sistemas. Si una CNN se usa en fraud detection, document verification u onboarding, el banco debería asumir que puede existir presión adversarial.

Eso cambia el estándar de validación.

Un banco debería testear no solo si la CNN funciona sobre datos históricos, sino si sigue siendo robusta ante inputs manipulados, degradados, ruidosos, incompletos, shifted o adversariales. Debería testear performance entre grupos de clientes, geografías, canales, tipos de documentos, calidad de dispositivos y periodos de tiempo.

El modelo también debe monitorizarse después del deployment. La performance de una CNN puede degradarse cuando cambian los datos. Nuevas plantillas de documentos, nuevas tipologías de fraude, nuevas condiciones de imagen, nuevo comportamiento cliente o actualizaciones de modelo del vendor pueden desplazar la input distribution.

Ahí es donde monitoring se convierte en gobernanza.

Si el modelo cambia, o el mundo cambia alrededor del modelo, el banco debe saberlo.

cnns-in-banking-3.jpg16:9 · /insights/img/

7CNNs, DORA y Third-Party Risk

La gobernanza de CNNs no puede separarse de technology governance.

Muchas capacidades basadas en CNN no serán construidas completamente dentro del banco. Pueden llegar a través de vendors, cloud AI platforms, document-processing tools, proveedores de fraud analytics, plataformas de onboarding, data providers o external model APIs. Bajo DORA, las entidades financieras deben gestionar ICT risk e ICT third-party risk como parte de la digital operational resilience. DORA también establece un marco de supervisión europeo para critical ICT third-party providers. (EIOPA)

Eso importa directamente para CNNs.

Si un banco usa un vendor model para document classification, ¿quién controla la versión del modelo? ¿Puede el banco testearlo de forma independiente? ¿Puede restringir el uso de datos? ¿Puede impedir que el vendor use datos del banco para entrenamiento? ¿Se conservan logs? ¿Está el modelo alojado en un entorno controlado? ¿Existe un exit plan? ¿Qué ocurre si el vendor cambia el modelo? ¿Qué ocurre si el servicio no está disponible? ¿Qué ocurre si la performance se deteriora?

Estos no son detalles técnicos. Son preguntas de gobernanza.

Una CNN integrada en un producto vendor sigue siendo parte del entorno de control del banco si afecta procesos bancarios. El hecho de que el modelo esté oculto dentro de una herramienta de terceros no elimina la accountability del banco.

Este es un failure mode común. Un equipo business compra una plataforma de document processing. La plataforma incluye IA. Se activa una nueva función. Los datos empiezan a moverse. Los outputs entran en un workflow. El AI inventory no se actualiza. La risk classification no se revisa. La función de control lo ve demasiado tarde.

Así es como embedded AI se convierte en unmanaged AI.

Para un banco, la asunción más segura es simple: si una herramienta vendor usa IA y afecta un proceso bancario, pertenece al AI inventory.

8La lente del EU AI Act: Purpose supera Architecture

Una de las lecciones más importantes del EU AI Act es que la clasificación de gobernanza depende del caso de uso.

La misma arquitectura CNN puede crear obligaciones de gobernanza diferentes según su propósito.

Una CNN usada para clasificar imágenes internas de formación puede ser low risk. Una CNN usada para verificar documentos de identidad puede plantear preguntas de protección de datos, fraude y control de onboarding. Una CNN usada en un workflow de creditworthiness puede volverse materialmente sensible. Una CNN usada para detectar fraude financiero puede gobernarse de forma diferente a una CNN usada para evaluar solvencia crediticia, incluso si la arquitectura técnica parece similar.

Por eso los bancos no deberían clasificar sistemas de IA solo por arquitectura.

Deberían clasificarlos por propósito, impacto decisional, población afectada, sensibilidad de datos, relevancia regulatoria, dependencia operacional y third-party exposure.

Esto también importa para la documentación. Una model card que describe performance técnica no es suficiente. El banco necesita un use-case record: business purpose, decision role, process owner, data owner, model owner, validation status, monitoring approach, human oversight design, incident triggers, regulatory classification y retirement criteria.

El AI Act debería tratarse, por tanto, como un disparador de gobernanza. Obliga al banco a hacer una pregunta mejor: no “¿qué modelo usamos?”, sino “¿qué papel juega este sistema en un entorno decisional regulado?”

Esa pregunta es más importante que la arquitectura.

9El inventario de CNNs: qué debería capturar un banco

Si un banco usa CNNs, no debería depender de documentación dispersa.

Necesita una vista de inventario.

Como mínimo, el AI o model inventory debería capturar:

* nombre del modelo y familia de arquitectura; * proceso de negocio y entidad legal; * use-case owner y model owner; * fuente de desarrollo interna o third-party; * fuentes de datos y data rights; * implicación de datos personales; * impacto en clientes o empleados; * rol decisional: advisory, prioritisation, automation o control; * relevancia regulatoria; * clasificación EU AI Act; * relevancia DORA y outsourcing; * estado de validación; * método de explainability; * métricas de monitoring; * indicadores de drift; * proceso de override; * incidents e issues; * criterios de retirement o kill.

Esto puede sonar administrativo. No lo es. Sin este inventario, el management no puede saber dónde se usan CNNs, qué influyen, quién las posee y si están controladas.

El inventario es el puente entre data science y executive accountability.

Para un Head of Governance, Head of Technology, CIO, CRO o miembro del board, el inventario suele ser más importante que la arquitectura del modelo. La arquitectura explica cómo funciona el modelo. El inventario explica si el banco lo controla.

10Human Oversight y output de CNN

Las CNNs suelen producir scores, clasificaciones, labels, bounding boxes, segmentaciones o explicaciones visuales. En un proceso bancario, esos outputs frecuentemente van a humanos: investigadores, equipos de operaciones, analistas de onboarding, especialistas de fraude, credit officers, equipos de compliance o agentes de customer service.

La pregunta de gobernanza es si esos humanos pueden desafiar el modelo de forma significativa.

Human oversight no es meaningful simplemente porque una persona esté presente. El revisor humano necesita competencia, autoridad, tiempo y derechos de escalación. Necesita saber cuándo el modelo es fiable, cuándo es incierto, cuándo los outputs deberían ser overridden y cuándo los issues deberían escalarse.

Esto es particularmente importante cuando los outputs de CNN parecen visualmente persuasivos. Un heatmap, un document label o un fraud score pueden crear confianza. Pero confidence no es correctness.

Los bancos deberían monitorizar overrides. Si los humanos override una CNN con frecuencia, el modelo puede ser débil, el threshold puede estar mal, el proceso puede ser poco claro o el equipo humano puede no confiar en el sistema. Si los humanos nunca override el modelo, eso también puede ser una señal de alerta. Puede indicar automation bias o rubber-stamping.

Human oversight debe ser observable.

Un banco debería poder responder: quién revisó el output, qué vio, qué decidió, si desafió el modelo y qué ocurrió después.

Eso no es burocracia. Es evidencia.

11CNNs después del Transformer Shift

Las CNNs ya no son la única arquitectura dominante para vision tasks.

Los Vision Transformers desafiaron la idea de que la convolución siempre era necesaria para image recognition. Dosovitskiy y coautores mostraron que un transformer puro aplicado a image patches podía rendir fuertemente en image classification cuando se entrenaba a escala. (arXiv)

Al mismo tiempo, las CNNs no desaparecieron. ConvNeXt volvió a examinar el diseño ConvNet en la era de los transformers y mostró que redes convolucionales modernizadas pueden seguir siendo competitivas en vision tasks conservando la simplicidad y eficiencia de ConvNets estándar. (arXiv)

Para los bancos, esto tiene una implicación simple: la elección de arquitectura seguirá cambiando.

El modelo de gobernanza debe ser suficientemente estable para manejar CNNs, transformers, modelos híbridos, graph models y futuras arquitecturas. Un banco no debería construir gobernanza alrededor de una sola clase de modelo. Debería construirla alrededor de use case, impact, data, control, accountability y evidence.

Por eso las CNNs son un buen punto de entrada para una conversación más amplia. Son históricamente importantes, siguen siendo prácticamente relevantes y son suficientemente intensivas en gobernanza como para mostrar el problema real.

El problema no son las CNNs.

El problema es si los bancos pueden gobernar modelos complejos de IA antes de que se conviertan en dependencias no controladas.

12Qué deberían preguntar los boards

Los boards no necesitan discutir convolution filters. Sí necesitan hacer las preguntas de gobernanza correctas.

Deberían preguntar:

• ¿Dónde se usan hoy CNNs o modelos similares de deep learning en el banco?
• ¿Se usan en document processing, onboarding, fraud detection, financial crime controls, procesos de crédito, operaciones o reporting regulatorio?
• ¿Cuáles de estos modelos afectan resultados de clientes, decisiones operativas o procesos de control?
• ¿Alguno de los modelos está embedded en vendor tools?
• ¿Quién posee cada modelo end to end?
• ¿Qué datos se usaron para entrenar y validar el modelo?
• ¿Puede el management evidenciar que el uso de datos es lícito, controlado y adecuado?
• ¿Cómo fue validado el modelo contra baselines más simples?
• ¿Qué método de explainability se usa, y para quién?
• ¿Cómo se monitorizan false positives y false negatives?
• ¿Pueden los revisores humanos override el modelo, y se analizan los overrides?
• ¿Cómo se detecta model drift?
• ¿Qué ocurre si el vendor cambia el modelo?
• ¿Existe un exit plan?
• ¿Cuál es el business value, y cuáles son los kill criteria?

Estas preguntas separan la adopción seria de IA del technology theatre.

13Conclusión: las CNNs son una prueba de madurez de AI Governance

Las redes neuronales convolucionales merecen su lugar en la historia de la IA. Dieron forma a la computer vision moderna, transformaron el document recognition, permitieron large-scale image classification e influyeron en muchos sistemas aplicados de IA usados hoy.

Pero en banca, la importancia técnica no basta.

Una CNN usada en una institución supervisada debe gobernarse con la misma lente que cualquier material AI capability: purpose, data, model risk, explainability, operational resilience, third-party dependency, human oversight, monitoring y accountability.

La conclusión equivocada es que todo banco necesita más CNNs.

La conclusión correcta es que todo banco necesita la capacidad de gobernar modelos avanzados cuando aparecen dentro de procesos bancarios.

Algunos casos de uso de CNN crearán valor real. Pueden mejorar document processing, fraud detection, onboarding, eficiencia operacional o control effectiveness. Algunos no. Algunos añadirán complejidad sin mejorar resultados. Algunos se resolverán mejor con modelos más simples. Algunos crearán riesgos superiores a sus beneficios.

Por eso model governance debe incluir business value, no solo model performance.

Un banco con muchos modelos avanzados y gobernanza débil no es tecnológicamente maduro. Está expuesto.

Un banco con menos modelos, mejores inventarios, ownership más clara, validación más fuerte, datos controlados, outputs explicables, performance monitorizada y verdaderos kill criteria está en una posición más fuerte.

Las redes neuronales convolucionales, por tanto, no son solo un tema de IA. En banca, son un tema de gobernanza.

La pregunta decisiva no es si el banco entiende las CNNs como tecnología.

La pregunta decisiva es si el banco puede evidenciar control sobre las decisiones, procesos y riesgos que las CNNs influyen.

========= Ein Punkt, der vor Publikation zwingend raus muss Jeder einzelne Link im Text trägt den Parameter ?utm_source=monshizadeh.com - ersetze durch ?utm_source=monshizadeh.com. Das ist ein echtes Optik-Problem: Auf einer Thought-Leadership-Seite, deren Kernthema AI-Governance ist, signalisieren diese Tracking-Parameter jedem, der einen Link anklickt oder den Quelltext ansieht, dass die Quellen ungeprüft aus einem Chatbot übernommen wurden. Das untergräbt exakt die Glaubwürdigkeit, die der Text aufbauen soll. Alle Parameter strippen — und da die Links offenbar maschinell gesammelt wurden, jeden einzeln gegenprüfen. Die, die ich gesehen habe, stimmen inhaltlich, aber das Muster mahnt zur Kontrolle. Drei weitere Punkte

Wiederholungen über die Artikelserie. „It is exposed." steht jetzt fast wortgleich in Artikel 2 („fifty pilots... It is exposed") und hier („many advanced models... It is exposed"). Und „That is not bureaucracy. That is evidence." ist die dritte Variante der Bureaucracy-Formel. Bei drei Artikeln auf derselben Website ist der Punkt erreicht, an dem du das Leitmotiv-Thema entscheiden musst: Entweder du kürst eine Signatur-Formel (mein Kandidat: die „can buy X, cannot buy Y"-Struktur) und variierst sie bewusst — oder die Duplikate fliegen raus. Unentschieden wirkt es wie Copy-Paste. Meta Description zu lang. ~195 Zeichen; Google schneidet bei ~155–160 ab. Vorschlag: „How banks should govern Convolutional Neural Networks: fraud detection, explainability, EU AI Act classification, DORA and model risk — a board-level view." (~150) Board-Fragen-Überlappung. Die 15 Fragen in Kapitel 12 überschneiden sich stark mit den 10 Fragen des Governance-Whitepapers (Ownership, Vendor-AI, Evidence, Kill-Kriterien). Auf der Website würde ich hier kürzen auf die 5–6 CNN-spezifischen (Baseline-Vergleich, Drift, Explainability-Methode, False-Positive/Negative-Monitoring, Vendor-Modellwechsel) und für den Rest auf die Pillar Page verlinken — das stärkt beide Seiten und die interne Verlinkung.