Externalizar el trabajo documental del back office a un proveedor de BPO o automatizarlo con IA en tus propios servidores: cómo decide un director de operaciones

Cuando se acumulan los siniestros, los tickets de soporte o los expedientes KYC, un director de operaciones puede contratar a más personal, pasar el trabajo a un proveedor de BPO o automatizarlo con IA en los propios servidores de la empresa. Los expedientes KYC (know your customer, conocimiento del cliente) son los documentos de identidad y otros registros que una entidad financiera reúne antes de aceptar a un cliente. BPO, siglas de business process outsourcing (externalización de procesos de negocio), significa que el trabajo lo hace el personal de otra empresa, a veces desde otro país. Con la automatización, un software en servidores que controla tu empresa lee los documentos y pasa a personas los expedientes que no puede tramitar. Un proveedor de BPO encaja con un trabajo en el que la mayoría de los expedientes necesitan el criterio de una persona y se permite que personal externo vea los documentos. Los tipos de documento que se repiten encajan con la automatización, y también los documentos que tienen que quedarse dentro de la empresa. Algunas empresas combinan las dos cosas.

¿Qué opciones tenemos para el trabajo documental del back office?

Ampliar el equipo propio mantiene dentro de la empresa los documentos y el conocimiento del proceso. Cada aumento de volumen implica entonces contratar y formar a personas que necesitan tiempo para rendir a pleno ritmo.

Un proveedor de BPO se hace cargo de un proceso entero, como revisar siniestros o clasificar tickets de soporte, con un contrato que fija niveles de servicio. Los niveles de servicio son los objetivos con los que se compromete el proveedor, por ejemplo en cuánto tiempo hay que tramitar cada expediente. Encontrar y formar a las personas pasa a ser tarea del proveedor. Su personal puede estar en otro país y trabajar en los sistemas del propio proveedor o en los tuyos, con un acceso que tú le das.

Automatizar con IA en tus propios servidores significa usar un software que lee cada documento con un modelo de lenguaje grande (LLM), el tipo de IA que hay detrás de ChatGPT. El software comprueba con tus reglas los campos que extrae y escribe en tus sistemas los que las cumplen. Los expedientes que no superan las comprobaciones van a una persona.

Las vías se pueden combinar. Un software puede encargarse de los campos rutinarios, como nombres, fechas e importes de un formulario estándar, y dejar el resto a las personas.

¿Quién ve nuestros documentos cuando el trabajo lo hace un proveedor de BPO?

Los ve el personal del proveedor, porque el trabajo consiste en leerlos, y los siniestros y los expedientes KYC están llenos de datos personales. Según el Reglamento General de Protección de Datos de la UE (RGPD), una empresa que trata datos personales por cuenta tuya es un encargado del tratamiento. Tu empresa sigue siendo el responsable del tratamiento, quien decide para qué y cómo se usan los datos.

El artículo 28 del RGPD, consultado el 19 de octubre de 2026 en EUR-Lex, el sitio web oficial de la legislación de la UE, dice que el responsable del tratamiento «elegirá únicamente un encargado que ofrezca garantías suficientes». También exige un contrato u otro acto jurídico vinculante con cada encargado. Según ese contrato, el encargado debe garantizar que «las personas autorizadas para tratar datos personales» están obligadas a la confidencialidad, por un compromiso propio o por ley. El proveedor también necesita tu autorización por escrito antes de recurrir a otro encargado, como un subcontratista que asuma parte del trabajo.

Dejar que el personal del proveedor entre en tus sistemas, sin copiar expedientes al proveedor, sigue poniendo los datos a su alcance. El Comité Europeo de Protección de Datos (EDPB, por sus siglas en inglés), que reúne a las autoridades de protección de datos de la UE, trata este caso en sus Directrices 05/2021, versión 2.0 del 14 de febrero de 2023, consultadas el mismo día.

Según las directrices del EDPB, el acceso remoto desde un tercer país, es decir, un país de fuera del Espacio Económico Europeo (EEE), «también se considera una transferencia» cuando se cumplen tres criterios. Esto vale «aunque solo tenga lugar mediante la visualización de datos personales en una pantalla». Uno de los criterios es que la empresa que recibe el acceso, en este caso el proveedor de BPO, esté en un tercer país. El EDPB añade que una transferencia así «solo puede tener lugar en determinadas condiciones», que fija el capítulo V del RGPD.

¿Los documentos se quedan con nosotros si la IA funciona en nuestros propios servidores?

Los documentos se quedan contigo si todas las partes del sistema, incluido el modelo de lenguaje, funcionan en servidores que controla tu empresa. Ninguna persona ajena a la empresa lee los documentos como parte del trabajo diario, y el texto de cada documento no va a OpenAI ni a ningún otro proveedor de modelos. Si el sistema usa un modelo alojado por un proveedor externo, los documentos van a ese proveedor.

En tus propios servidores, sigues teniendo que decidir qué personas de tu equipo pueden abrir qué expedientes y qué puede escribir el sistema en sus logs, los registros de lo que ha hecho. Las personas que construyen y operan el sistema pueden necesitar ver documentos reales. Una empresa de ingeniería que hace ese trabajo para ti suele ser entonces encargada del tratamiento según el RGPD, igual que un proveedor de BPO. El artículo sobre externalizar el desarrollo de IA sin que tus datos salgan de la empresa, enlazado arriba, explica cómo pueden trabajar ingenieros externos en un sistema así.

En un esquema mixto, el personal de un proveedor de BPO puede atender la cola de revisión de tu sistema, la lista de expedientes que el software ha enviado a una persona. El personal del proveedor ve entonces solo esos expedientes, y se le siguen aplicando las normas del RGPD sobre los contratos con encargados del tratamiento y sobre el acceso remoto desde fuera del EEE.

¿Quién responde si el trabajo externalizado sale mal?

Tu empresa conserva las obligaciones que le impone la ley, y el proveedor asume obligaciones propias en virtud del contrato. El Reglamento contra el Blanqueo de Capitales de la UE, el Reglamento (UE) 2024/1624, consultado en EUR-Lex el mismo día, muestra cómo funciona esto en el KYC. Una vez que el reglamento sea aplicable, su artículo 18 permite a las empresas a las que se aplica, entre ellas los bancos y otras entidades financieras, externalizar en proveedores de servicios tareas que el propio reglamento les exige.

Una empresa que externaliza estas tareas debe notificarlo a su supervisor, la autoridad que vigila su actividad, antes de que el proveedor empiece. La empresa «seguirá siendo plenamente responsable de cualquier actuación, ya sea por acción u omisión, relacionada con las tareas externalizadas». El artículo 18 también enumera tareas que «no se externalizarán en ninguna circunstancia». Entre ellas:

• La decisión sobre qué perfil de riesgo se asigna a un cliente
• La decisión de aceptar a un cliente o de realizar con él una transacción ocasional
• La aprobación de las políticas, los procedimientos y los controles internos de la empresa contra el blanqueo de capitales y la financiación del terrorismo
• La aprobación de los criterios para detectar transacciones y actividades sospechosas o inusuales

El mismo artículo prohíbe externalizar estas tareas a proveedores establecidos en terceros países que la UE incluye en sus listas por riesgos de blanqueo de capitales. La excepción es un proveedor del mismo grupo, con condiciones adicionales. El artículo 90 dice que el reglamento «será aplicable a partir del 10 de julio de 2027», y más tarde para dos tipos de empresas, así que comprueba qué normas nacionales se te aplican hoy.

El considerando 47, que forma parte del preámbulo del reglamento, añade que «el uso o la adquisición de software de terceros» por parte de la empresa no es externalización cuando ningún proveedor de servicios realiza la tarea.

Un software puede reunir un expediente KYC y comprobar sus campos mientras una persona designada de tu empresa aprueba al cliente. En los siniestros, deja por escrito qué decisiones toma siempre tu propio personal, sea cual sea la vía que prepare el expediente.

¿Cómo responde cada vía cuando el volumen se dispara?

El cierre de mes o un plazo regulatorio pueden traer un pico de expedientes. Un proveedor de BPO responde a un pico pasando personal de otros trabajos o contratando. Pregunta con cuánta antelación necesita saberlo y qué pasa con sus niveles de servicio mientras el personal nuevo aprende tus reglas.

Un software puede procesar más documentos con las mismas reglas en cuanto dispone de capacidad de servidor suficiente. Los expedientes que no puede tramitar siguen yendo a personas, así que un pico de escaneos de mala calidad o de casos inusuales hace crecer la cola de revisión. Decide de antemano quién atiende esa cola en tu día de más volumen: tu propio personal o el personal de guardia de un proveedor.

¿Quién hace mejor el trabajo con nuestros documentos, el personal de un proveedor o el software?

La misma medición sirve para los dos. Toma una muestra de documentos recientes de cada tipo y haz que tu propio personal anote el valor correcto de cada campo. Después se puntúa al personal del proveedor y al software con esa muestra, en cada campo de cada tipo de documento.

Un proveedor puede procesar la muestra en una prueba, si tus normas de cumplimiento permiten que su personal vea esos documentos. El software se prueba con la misma muestra, en servidores donde esos documentos se puedan procesar. Compara la precisión de cada campo, la proporción de expedientes que se envían a una persona y el tiempo que pasa desde que llega un documento hasta que queda un registro terminado.

Mide a tu propio personal con la misma muestra. Las personas también se equivocan, y la puntuación de tu personal es el nivel que deberían alcanzar las dos vías. Los artículos enlazados arriba sobre las preguntas para una empresa de automatización y sobre comprar o construir IA para documentos explican cómo preparar la muestra. El segundo la llama conjunto de aceptación.

¿Cómo ponen precio al trabajo los proveedores de BPO y las empresas de ingeniería?

Los modelos de precios varían, así que pregunta a cada proveedor de BPO y a cada empresa de ingeniería cómo cobra. Un proveedor de BPO puede cobrar por persona, por hora o por documento tramitado. El presupuesto de una empresa de ingeniería puede tener dos partes: construir el sistema y, después, darle soporte.

Pon por escrito los volúmenes que esperas por tipo de documento y por mes durante tres años, incluido tu mes de más volumen, y pide todos los presupuestos sobre esas mismas cifras. Suma tus propios costes: servidores y personal de la cola de revisión en el caso del software, o el tiempo que tus responsables dedican a supervisar a un proveedor. Cada presupuesto debería mostrar también cómo cambia el precio cuando baja tu volumen o cambia un formulario.

Si terminamos el contrato, ¿con qué nos quedamos?

Con un proveedor de BPO, buena parte del conocimiento del proceso, como la forma de tratar los casos inusuales, está en la cabeza de su personal. Ese conocimiento se va con ellos al final del contrato, salvo que se haya puesto por escrito.

Pide al proveedor desde el principio unas reglas del proceso por escrito y que las actualice a medida que cambie el trabajo. Guarda en tus propios archivos la muestra con las respuestas correctas. Con las reglas escritas y la muestra puedes pasar el trabajo a un nuevo proveedor o a un software y comprobar que la calidad se mantiene.

Para los datos personales de los documentos, el artículo 28 del RGPD exige que el contrato con el encargado diga qué pasa cuando termina el trabajo. A elección de tu empresa, el encargado «suprime o devuelve al responsable todos los datos personales una vez finalizada la prestación de los servicios». También suprime sus copias, salvo que la ley le exija conservarlas. Acuerda antes de firmar cuál de las dos opciones quieres y cómo lo confirmará el proveedor.

En la vía de la automatización, te quedas con el código, las instrucciones dadas al modelo y cualquier modelo que se haya seguido entrenando con tus datos, si el contrato te los transfiere. Lee qué excluye el contrato, como los componentes que la empresa reutiliza de un proyecto a otro.

¿Qué deberíamos preguntar a un proveedor de BPO y a una empresa de ingeniería?

Envía las mismas preguntas a cada candidato de las dos vías:

• ¿Dónde estarán las personas que vean nuestros documentos, y entrarán en nuestros sistemas o copiarán los archivos a los suyos?
• ¿Qué otras empresas participarían en el trabajo, y en qué países?
• ¿Procesarán nuestra muestra de documentos antes de que firmemos, para que podamos puntuar los resultados campo por campo?
• ¿Qué pasa con un expediente que no pueden tramitar, y quién de nuestra empresa lo ve después?
• Cuando termine el contrato, ¿qué reglas escritas, qué código y qué datos vuelven a nosotros, y en qué forma?

Las normas sobre externalización, transferencias de datos y verificación de clientes varían según el país y el sector. Este artículo usa textos de la UE como ejemplos y no constituye asesoramiento jurídico, así que consulta la vía que elijas con un abogado o con tu regulador.

¿Dónde encaja amBrain?

El único proyecto con modelos de lenguaje que amBrain describe en público es este: «Hemos llevado a producción una integración de LLM dentro del perímetro FinTech de un cliente: extracción y normalización de avisos no estructurados de brókers y de centros de negociación —eventos corporativos, cambios de instrumentos y de márgenes— en registros estructurados que consume el sistema de trading».

Este artículo no es un caso de estudio, y no se nombra al cliente. La frase citada no dice dónde se ejecutaba el modelo en ese proyecto ni cuáles de los pasos descritos arriba incluía. Nada de lo que aquí se dice indica que amBrain haya construido sistemas para siniestros, tickets de soporte, expedientes KYC ni ningún otro documento de back office. Tampoco dice que amBrain haya sustituido a un proveedor de BPO, haya trabajado con uno o haya operado un esquema mixto de software y personal de un proveedor.

El RGPD y el Reglamento contra el Blanqueo de Capitales aparecen en este artículo solo como normas que tu empresa puede tener que cumplir. El artículo no afirma nada sobre la situación de cumplimiento de amBrain respecto a estas ni a otras normas. No da precios ni plazos de amBrain, ni condiciones para un prototipo o un piloto, incluida una prueba con tu muestra antes de firmar.

amBrain desarrolla software desde 2019. Trabaja en tres formatos: entrega completa, un equipo dedicado o ingenieros integrados en tu equipo. Sobre la propiedad, su frase es: «El cliente conserva la propiedad completa del producto y del código, salvo nuestros componentes reutilizables». Si amBrain está en tu lista corta, dale la misma muestra y las mismas preguntas que a cualquier otra empresa de ingeniería.