La Guía que la Fed No Envió a Panamá (Pero Panamá No Puede Ignorar).

Durante quince años, SR 11-7 (2011) fue el texto fundacional de la gestión de riesgo de modelos en Estados Unidos. Definía qué es un modelo, exigía validación independiente, y estableció el vocabulario —"model risk", "effective challenge", "ongoing monitoring"— que terminó adoptando toda la industria, incluso fuera de Estados Unidos.

SR 26-2 la reemplaza. Los cambios centrales:

• Redefine "modelo" de forma más estrecha: un "complex quantitative method, system, or approach", excluyendo explícitamente cálculos aritméticos simples y sistemas determinísticos basados en reglas.
• Excluye formalmente a la IA generativa y agéntica de su alcance, por considerarla "novel and rapidly evolving" (nota al pie 3 de la guía). Esto no significa que quede sin gobernanza: el propio texto instruye a los bancos a aplicar sus prácticas de gestión de riesgo existentes a estos sistemas de todas formas.
• Simplifica las expectativas sobre modelos de terceros: exige "developing an understanding of the model" con monitoreo continuo, pero ya no exige planes de contingencia explícitos para interrupciones de proveedores —algo que la guía misma reconoce como una fuente de "operational flexibility" que "warrants careful consideration".
• Aplica, en la práctica, a organizaciones con más de US$30,000 millones en activos totales. Este umbral no existía en SR 11-7.

Los cuatro requisitos que sobreviven y se refuerzan, aplicables tanto a modelos tradicionales como —por instrucción regulatoria, aunque no por alcance formal— a sistemas agénticos:

1. Supervisión humana en decisiones materiales
2. Monitoreo continuo del comportamiento de los modelos/agentes
3. Independencia entre quien ejecuta y quien valida
4. Auditoría completa de operaciones y excepciones

Lo que la guía no aborda, y que es importante para este análisis: SR 26-2 no menciona relaciones de corresponsalía bancaria en ningún punto de su texto público. No hay una cláusula que diga "esto aplica a cómo evalúas a tus bancos respondientes". Esa conexión —desarrollada en la sección 4— es interpretación de IAB, no un mandato explícito de la guía.

El umbral de SR 26-2 no está redactado como una lista de nombres, pero en la práctica selecciona a un grupo pequeño y conocido de instituciones. Estos son, según el criterio editorial de IAB sobre la práctica bancaria panameña, los bancos corresponsales estadounidenses que concentran la mayor parte de la corresponsalía en dólares del sistema:

⚠️ Nota metodológica: esta lista refleja el criterio editorial de IAB sobre la concentración de corresponsalía en dólares de la banca panameña, basado en el conocimiento del sector, y no la verificación pública del directorio de corresponsales de cada banco panameño individualmente. En la práctica bancaria panameña, estos bancos cubren a la gran mayoría de la plaza —de ahí que un cambio en su estándar de gobernanza de modelos sea relevante para el sistema en su conjunto, no para una institución puntual.

Lo que sí es un hecho simple y verificable: los cuatro bancos más nombrados —JPMorgan, Wells Fargo, Bank of America, Citi— están, todos, muy por encima del umbral de US$30,000 millones. SR 26-2 no es una guía que "podría" alcanzarlos. Los alcanza de lleno, hoy.

Contexto adicional relevante: Wells Fargo opera, desde septiembre de 2024, bajo una acción de cumplimiento de la OCC por deficiencias en sus controles AML/BSA (reportes de actividad sospechosa, debida diligencia del cliente, identificación de beneficiario final), que exige aprobación previa de la OCC antes de expandir ciertos productos. No es una acción vinculada a SR 26-2 ni a corresponsalía internacional explícitamente, pero eleva el nivel de escrutinio general al que está sometido uno de los cuatro bancos de los que depende Panamá — y con escrutinio elevado, históricamente, sube también el apetito de riesgo hacia corredores considerados de mayor complejidad de cumplimiento.

Aquí es donde el análisis se vuelve, a nuestro juicio, más relevante de lo que sugiere una lectura solamente centrada en SR 26-2.

El AI Act aplica a estos mismos cuatro bancos. El AI Act europeo clasifica el scoring de solvencia crediticia (creditworthiness assessment) como sistema de IA de alto riesgo (Anexo III). Aplica a cualquier entidad que coloque un sistema de IA en el mercado de la UE o lo ponga en servicio ahí —lo que cubre directamente a bancos estadounidenses con filiales o sucursales europeas— y, bajo el "output trigger", incluso a entidades sin presencia física en la UE si el resultado de su sistema de IA afecta a personas en territorio europeo.

Y hay evidencia concreta, no solo lógica regulatoria, de que al menos dos de los cuatro ya están alineando su gobernanza global con el AI Act. En 2026, el EC-Council lanzó el "ADG Framework", un marco de gobernanza de IA de industria construido con aportes de profesionales de JPMorgan Chase, Citi, Microsoft, KPMG y Deloitte, entre otros. El framework incorpora explícitamente el AI Act europeo como uno de sus tres pilares normativos, junto con ISO/IEC 42001 y el NIST AI RMF. Un vicepresidente de Citi lo describió como "el modelo operativo que le faltaba a la IA empresarial" — lenguaje de estándar único de industria, no de cumplimiento aislado por región.

⚠️ Lo que esto NO prueba: que JPMorgan o Citi hayan anunciado formalmente "aplicaremos los controles del AI Act a nuestra operación global, incluida la gestión de riesgo de nuestros bancos corresponsales". Esa declaración explícita no existe en ninguna fuente que hayamos encontrado. Lo que sí muestra es que estos dos bancos participan activamente en construir el vocabulario y la arquitectura de gobernanza de IA de la industria usando el AI Act como una de sus tres referencias centrales — y ese tipo de participación normalmente precede, no sigue, a la adopción interna del estándar.

El precedente de comportamiento: qué hace Citi cuando la fragmentación regulatoria se vuelve un pasivo. En julio de 2024, la Reserva Federal y la OCC multaron a Citi con US$135.6 millones por progreso insuficiente en remediar una orden de consentimiento de 2020 relacionada con plataformas tecnológicas fragmentadas y gestión deficiente de calidad de datos. La respuesta institucional de Citi, liderada por su CEO Jane Fraser, no fue mantener sistemas separados por jurisdicción con parches locales. Fue lo opuesto: más de US$12,000 millones invertidos en tecnología en un año, migración de riesgo y analítica a infraestructura en la nube, cierre de centros de datos, reducción del número de plataformas, y un gasto proyectado de más de US$3,000 millones anuales en transformación continua — todo orientado a consolidar hacia un estándar único y auditable, no a administrar la complejidad de mantener varios.

Este es el patrón que importa para nuestra tesis: cuando estos bancos enfrentan presión regulatoria seria, su respuesta documentada es consolidar hacia arriba —hacia el estándar más exigente que puedan operar de forma unificada—, porque la fragmentación misma se ha convertido, en su propia experiencia reciente, en el pasivo regulatorio más caro.

Hay además un argumento estructural, no solo conductual, a favor de esta consolidación. Según el análisis de Brookings sobre el "efecto Bruselas" del AI Act, el impacto global de la regulación europea es fuerte en los sistemas de tipo plataforma o marco de gobernanza integrado —donde mantener versiones separadas por región es más costoso que unificar—, y débil en sistemas verdaderamente localizados que se pueden ajustar de forma selectiva por mercado. Un marco de gestión de riesgo de modelos —como SR 26-2 en Estados Unidos o el AI Act en la Unión Europea— es, por definición, de la primera categoría: es política corporativa y arquitectura de gobernanza, no un sistema desplegado país por país.

Con las piezas anteriores, el mapa de presión sobre el sistema bancario panameño queda así:

Ninguno de los tres textos menciona a los otros dos. No hay coordinación explícita entre la Fed, Bruselas y la SBP en esta materia — y es poco probable que la haya en el corto plazo. Pero los tres empujan, cada uno desde su jurisdicción, en la misma dirección: modelos más gobernados, más auditables, con más trazabilidad de la decisión humana. Un banco panameño que no anticipe esa convergencia va a experimentarla de todas formas, solo que como exigencia repentina de su corresponsal en lugar de como preparación planificada.

Panamá no está hoy en la lista gris del FATF — fue removida en octubre de 2023 y, confirmado a junio de 2026, sigue fuera de ella. Es importante decirlo con precisión porque hay cobertura de prensa histórica (sobre todo de su primera inclusión en 2014 y su remoción en 2016) que puede generar confusión sobre el estatus actual. No estamos advirtiendo sobre un riesgo de lista gris. Estamos advirtiendo sobre algo distinto y ya conocido en la región: el de-risking.

Entre 2014 y 2019, un número significativo de bancos corresponsales estadounidenses y europeos redujeron o cerraron relaciones de corresponsalía con bancos de Centroamérica y el Caribe — no necesariamente porque esos bancos individuales hubieran hecho algo mal, sino porque el costo de cumplimiento de mantener la relación (documentación, monitoreo reforzado, riesgo reputacional) superó el beneficio comercial de sostenerla. Panamá, con su combinación histórica de centro financiero regional, zona franca y estatus offshore percibido, fue uno de los mercados más afectados por esa ola.

La razón por la que este precedente importa hoy, específicamente para Panamá y no de forma pareja para el resto de Centroamérica, es estructural: Panamá no tiene banco central emisor de moneda propia ni prestamista de última instancia en dólares. El sistema opera sobre una base de dolarización total. Eso significa que el acceso a la compensación (clearing) en dólares a través de corresponsales no es un servicio bancario más — es la infraestructura sobre la que descansa la liquidez del sistema completo. Un banco en Colombia o Costa Rica que pierde un corresponsal puede, en última instancia, apoyarse en su banco central. Un banco panameño no tiene esa opción.

Esto no es una predicción de que el de-risking 2014-2019 se repita por causa de SR 26-2 o el AI Act. Es la explicación de por qué, si los cuatro bancos corresponsales suben su estándar de gobernanza de modelos —y tienen motivos regulatorios concretos, documentados en las secciones 1 a 3, para hacerlo—, Panamá está estructuralmente entre los sistemas bancarios de la región con menos margen para absorber esa subida sin fricción.

No se trata de anticipar una exigencia específica que hoy no existe en ningún texto regulatorio. Se trata de que los comités de riesgo y cumplimiento entiendan qué tipo de conversación es razonable esperar de sus corresponsales en los próximos 12-24 meses, y lleguen con la documentación lista antes de que se las pidan con plazo corto.

Preguntas que un comité de riesgo debería poder responder hoy:

1. ¿Qué modelos o sistemas (propios o de terceros) usa el banco para generar la información que sus corresponsales reciben sobre transacciones, clientes o contrapartes? ¿Existe un inventario documentado?
2. Si alguno de esos sistemas usa IA/ML para priorización de alertas, scoring de riesgo de cliente, o detección de anomalías: ¿hay evidencia documentada de supervisión humana en las decisiones materiales, y de monitoreo continuo del comportamiento del sistema?
3. ¿La documentación que el banco produce hoy sería suficiente si un corresponsal pidiera, con 30 días de plazo, evidencia de gobernanza de modelos comparable a lo que SR 26-2 exige internamente a ese mismo corresponsal?
4. ¿Existe independencia real —no solo en el organigrama— entre quien opera los sistemas de monitoreo/scoring y quien los valida?
5. Dado el cronograma de la Regla 1-2026 de la SBP (artículo 25 con plazo a enero 2027, artículo 14 a junio 2027): ¿el trabajo de cumplimiento local se está diseñando ya pensando en que la evidencia también sirva para una eventual solicitud de un corresponsal, o son dos esfuerzos separados que corren el riesgo de duplicarse o de no ser compatibles entre sí?

El argumento de fondo de este DOC no es que la banca panameña deba temer una carta formal de la Fed — nunca la va a recibir, porque la Fed no la regula. El argumento es que la gobernanza de modelos se está convirtiendo en el idioma común con el que los grandes bancos globales conversan entre sí y con sus reguladores, en ambos lados del Atlántico, y que un banco respondiente que no hable ese idioma con fluidez propia va a terminar dependiendo de la paciencia de su corresponsal para que se lo traduzcan.