Fraude documental con IA: qué comprobación necesita cada caso

El fraude documental con IA no plantea una sola pregunta, sino cuatro: cómo se redactó el texto, si una página se generó de forma sintética, si se alteró un campo relevante o si un documento auténtico se presenta fuera de contexto. Cada una exige su propia prueba, aunque todas se refieran al mismo PDF.

Elegir la comprobación según la pregunta da al revisor un siguiente paso útil y evita pedir a una herramienta lo que no puede responder. El análisis del origen del texto ayuda a orientar una revisión de la política de redacción. La comparación del archivo puede revelar un campo de pago alterado. La confirmación del emisor establece si una cuenta nueva estaba autorizada. Esta guía, pensada para equipos de siniestros, cuentas a pagar, compras y cumplimiento normativo, ordena esas comprobaciones y termina con un caso práctico y un registro reutilizable.

Cuatro casos que exigen pruebas distintas

La preocupación ya figura en los informes del sector. El XIII Mapa AXA del Fraude en España (abril de 2026) afirma que la sofisticación y complejidad de los intentos de fraude «está entrando en estos momentos en una nueva dimensión de la mano de la inteligencia artificial», y explica que la aseguradora trabaja con IA en «la identificación temprana de patrones sospechosos en los documentos o imágenes gestionadas en la tramitación de un siniestro» (AXA España, XIII Mapa AXA del Fraude en España, abril de 2026, PDF). En pagos, el Portal del Cliente Bancario del Banco de España describe un caso sin IA alguna: quien accede al correo de una empresa modifica facturas reales «cambiando el IBAN de la cuenta a la que debe realizarse la transferencia» (Banco de España, Portal del Cliente Bancario, 5 de julio de 2022). Ninguna de las dos fuentes mide cuántos documentos empresariales se manipulan con IA en España; sirven para situar el problema, no para estimarlo.

Para la revisión práctica, distinga cuatro casos. Pueden coincidir en un mismo envío.

El último caso es el que más se pasa por alto. Un extracto bancario real de otro periodo puede ser auténtico e insuficiente para acreditar un saldo actual. Un certificado de estar al corriente de un ejercicio anterior puede superar el cotejo y no servir para la contratación de hoy. Una factura legítima de un proveedor no demuestra que el correo que pide pagar en otra cuenta esté autorizado. Las comprobaciones de imagen y de archivo pueden no encontrar nada anómalo mientras la afirmación comercial sigue sin respaldo.

Cuándo tiene sentido analizar el origen del texto

Use el análisis del origen del texto cuando su organización tenga una regla explícita de redacción o de declaración y el documento contenga prosa suficiente. El resultado puede dirigir al revisor a los pasajes que requieren una explicación sobre cómo se redactaron. Las afirmaciones de hecho de esos pasajes siguen necesitando sus propias comprobaciones.

La verificación documental de Fileverity reúne comprobaciones de texto, estructura nativa compatible, revisiones recuperables, firmas digitales e imágenes. Fileverity revisa cambios, comentarios, contenido oculto explícito y relaciones compatibles en DOCX y PPTX antes de la conversión; en PDF examina también adjuntos, anotaciones y acciones. En los escaneos aplicables, lee campos y comprueba relaciones entre importes y fechas, con sus ubicaciones y la fiabilidad del OCR. La validación de firmas PDF distingue resultados válidos, inválidos e indeterminados según la firma, la cadena de confianza, los datos de revocación disponibles y los cambios permitidos; no constituye una certificación jurídica ni una validación histórica completa a largo plazo. La comprobación de redacción con FVDOC V3 está diseñada para evaluar prosa continua de unas 150 palabras o más en español, inglés, francés, alemán y chino: este mínimo corresponde al análisis del origen del texto, no a todas las comprobaciones documentales. Las tasas de error de esa comprobación figuran en precisión y falsos positivos.

Redactar o editar con IA suele ser legítimo. El resultado sirve para orientar una pregunta, no para fundamentar por sí solo una decisión desfavorable.

Ejemplo: la declaración de uso de IA en una memoria técnica

Suponga que un equipo de compras exige en una licitación privada una memoria técnica sobre las medidas de seguridad del licitador. El pliego permite la ayuda de IA en la redacción si se declara y exige que una persona responsable confirme las afirmaciones técnicas. Un licitador presenta varias páginas de prosa y declara que no ha usado IA.

Si el análisis señala pasajes, el revisor puede formular una pregunta concreta: «Le rogamos que explique cómo se prepararon estas secciones y que aporte, si dispone de ellos, el historial de borradores, las notas de origen o el registro de revisión». El equipo comprueba por separado, con su evaluación habitual, las medidas de seguridad descritas. No excluye al licitador solo por la señal del texto.

Un resultado negativo o no concluyente no establece que la declaración sea correcta. Aplique las mismas reglas a todos los licitadores. Si su organización permite la ayuda de IA sin declaración y solo necesita verificar las afirmaciones técnicas, dedique el esfuerzo de revisión a esas afirmaciones.

Lea el resultado por pasajes, no una cifra global

El informe de documentos de Fileverity no reduce el documento a un porcentaje. Indica las palabras evaluadas y la cobertura, es decir, qué parte del texto del documento pudo evaluarse. Enumera los pasajes señalados como P1, P2, etc., con su página del PDF o su número de párrafo, y, cuando el resultado es mixto, la proporción del texto evaluado que se encuentra en esos pasajes, que no es una probabilidad. El propio informe advierte que «la ausencia de marcas en un pasaje no excluye que se haya utilizado IA».

Esa lectura por pasajes responde a un principio aritmético general: una media oculta dónde está la diferencia. Con diez puntuaciones ilustrativas, nueve de 0,1 y una de 0,9, la media simple es (9 × 0,1 + 0,9) / 10 = 0,18. La cifra global parece baja, pero un pasaje concreto se aparta claramente del resto. Una diferencia local tampoco prueba nada por sí sola: una cita, una plantilla o un cambio de autor o de tema pueden requerir una explicación.

En una memoria técnica, una duda localizada en un pasaje permite preguntar por esa sección en lugar de extender la sospecha a los certificados adjuntos o a todas las afirmaciones del documento. Confirme por separado el contexto de redacción y los hechos afirmados.

Examine cada capa de prueba con un propósito

Conserve el envío y su contexto

Conserve el archivo tal como llegó, su nombre, la hora y el canal de recepción, y el mensaje o el identificador del envío. Mantenga aparte las copias de análisis. Una huella SHA-256 identifica los bytes exactos examinados; no establece que procedan de un emisor legítimo.

Anote si la entrada es un PDF nativo, un escaneo, una foto hecha con el móvil o una captura de pantalla. Una captura puede bastar para leer un importe, pero no para examinar la estructura del archivo original. Pida la exportación original por el canal habitual cuando esa diferencia importe. Registre cualquier conversión, OCR o recorte que haga durante la revisión, para no atribuir al remitente artefactos que introdujo su propio proceso.

Concilie el texto extraído con la página visible

La extracción de texto ayuda a localizar nombres, fechas, importes y referencias. El reconocimiento óptico de caracteres (OCR) estima el texto a partir de los píxeles de la página. Ninguno de los dos debe sustituir en silencio a la página visible en un campo con consecuencias.

Compare el valor extraído con su ubicación en la página. Si el OCR lee un dígito del IBAN distinto del que ve el revisor, anótelo como discrepancia de extracción y resuélvalo con una copia mejor o con el registro del emisor. No lo describa como hallazgo de alteración. Revise también la cobertura: que falte texto extraído puede significar que se saltó una página, no que falte contenido.

El archivo y la imagen de la página, por separado

El examen del archivo identifica capas de texto, imágenes incrustadas, metadatos y firmas. Un campo de productor que nombra un editor es una pista sobre el software que procesó el archivo, no la prueba de que se sustituyera un dato de pago. Las exportaciones y los procesos habituales también cambian los archivos.

En la página, examine los campos importantes en su contexto. Diferencias de alineación, de forma de los caracteres o de calidad local de la imagen justifican una comparación más detenida, pero no identifican por sí solas al autor ni la intención. Un escaneo compuesto a partir de fuentes legítimas puede tener una calidad desigual, y un documento engañoso puede parecer perfectamente coherente. Use las observaciones visuales para señalar un campo que verificar, no para condenar una página entera por una zona extraña.

La ausencia de prosa suficiente limita la comprobación del origen de la redacción, pero no excluye las demás comprobaciones del documento. Fileverity examina por separado la estructura, las revisiones recuperables, las firmas PDF, las imágenes y los campos de escaneos compatibles, e indica qué pudo revisar. Para una imagen suelta de una página, use la verificación de imágenes. Si una firma es relevante, consulte su resultado de validación y sus límites: una firma visible en la página no equivale a una firma digital validada.

Un balance bancario histórico: una sola cifra rompe la cuadratura

Esta comparación utiliza el escaneo real del estado financiero de Wachovia National Bank de 1906. Es el balance del propio banco, no el extracto de la cuenta de un cliente. Las cifras usan la notación anglosajona (coma para los miles y punto para los decimales) y se transcriben tal como figuran. El original indica «Cash and Due from Banks» (caja y saldos en bancos) por 268,231.30 y un total de activos de 839,320.91. Fileverity modificó con IA esa línea de caja para que dijera 368,231.30 en una copia derivada; el total impreso sigue siendo 839,320.91.

Empiece por comprobar el importe extraído con la línea visible. Después sume los activos de la copia editada: el total original sin cambios, 839,320.91, más los 100,000 añadidos da 939,320.91, cien mil por encima del total impreso.

En una revisión real, confirme que están todas las filas, ajustes y páginas antes de concluir que un total no cuadra, y verifique los datos financieros necesarios en una fuente independiente aprobada. Una aritmética correcta tampoco autenticaría al emisor. Se trata de una revisión numérica: la tabla escaneada queda fuera del análisis del origen del texto.

Obtenga confirmación independiente

La independencia depende de cómo se obtuvo la vía de contacto. Un teléfono impreso en la factura discutida, un enlace de su correo o un segundo adjunto del mismo remitente no son una fuente distinta. Use los datos de contacto verificados en el alta del proveedor u otra vía aprobada que no proceda del envío discutido. El Banco de España recomienda, ante un cambio de cuenta de un proveedor, comprobar «su veracidad por teléfono o presencialmente» (Banco de España, Portal del Cliente Bancario, 23 de junio de 2020).

En España, varias pruebas tienen además una vía oficial de consulta. Los documentos públicos con código seguro de verificación se cotejan en la sede electrónica del emisor, como explica la guía cómo saber si un PDF ha sido modificado. Las facturas con código QR de VERI*FACTU o de TicketBAI pueden consultarse ante la Administración tributaria correspondiente, como se detalla en cómo verificar una factura antes de pagarla. Esas consultas confirman el registro del documento; no confirman quién está autorizado a cobrar.

Pida al emisor que confirme los campos relevantes, no si el formato le resulta familiar. Ante una instrucción de pago cambiada, confirme la referencia de la factura, el beneficiario, la cuenta de destino y la autorización del cambio mediante el procedimiento de proveedores de su organización. Guarde los datos sensibles en el registro controlado y comunique solo lo necesario para la verificación.

Ejemplo práctico: una factura de proveedor con un IBAN nuevo

Considere un caso hipotético distinto, con un proveedor ficticio. La factura 1042 reclama 22.264,00 € (base de 18.400,00 € más IVA al 21 %, 3864,00 €) y coincide con el pedido y con el albarán, pero el correo que la acompaña indica una cuenta nueva para el pago. Lo que hay que verificar es la autorización de ese cambio de cuenta, a través de la vía de contacto establecida del proveedor.

Conserve el adjunto y el mensaje, confirme que el IBAN indicado difiere del registrado en el maestro de proveedores y retenga el pago a la cuenta nueva conforme al procedimiento de cambio de beneficiario. Contacte con un representante autorizado del proveedor mediante los datos que constan en su alta. Una diferencia de formato puede orientar el examen, pero la confirmación independiente decide la siguiente acción:

• Confirmado: complete los controles de cambio de cuenta y de aprobación antes de liberar el pago, y registre la base de la aprobación.
• Desmentido: mantenga bloqueada la instrucción, derive el caso al equipo de respuesta ante fraude o seguridad y avise a su banco de inmediato. INCIBE recomienda contactar con el banco, denunciar ante la Policía o la Guardia Civil y llamar al 017 (INCIBE, 3 de julio de 2025), y reportar el incidente a INCIBE-CERT con el correo y sus cabeceras originales (INCIBE, «Fraude por email comprometido»).
• Sin resolver: asigne un responsable y un plazo para la confirmación que falta; si no llega, decide el procedimiento de excepciones.

El registro final indica qué instrucción se confirmó o desmintió y quién lo hizo. El equipo resuelve la cuestión del pago sin necesidad de atribuir el adjunto a la IA ni a un editor concreto.

Derive el caso según el riesgo pendiente

Use estados de prueba que indiquen al siguiente revisor qué hacer. Una sola categoría de «sospechoso» mezcla limitaciones técnicas, contradicciones de hecho e incidencias administrativas corrientes.

Aplique la vía más exigente cuando las consecuencias lo pidan, aunque un detector no indique ninguna anomalía. A la inversa, una diferencia visual sin explicar no debe anular una corroboración fiable sin un razonamiento sobre qué sigue en disputa. Documente las excepciones para que los casos parecidos se traten igual.

Un registro de revisión documental reutilizable

Esta plantilla mantiene separadas la observación, la inferencia, la corroboración y la acción. Rellénela con referencias a pruebas guardadas en un registro controlado, sin copiar íntegros datos de identidad o bancarios en notas libres.

La separación permite a otro revisor reconstruir por qué se tomó una decisión. «Tipografía distinta» es una observación. «Posible sustitución del bloque de pago» es una inferencia. «El proveedor negó el cambio a través del contacto verificado» es una corroboración. «Pago retenido y caso derivado» es una acción. Fundirlo todo en «fraude con IA detectado» descarta la información más útil.

Convierta la tarea en una solicitud de evaluación

Antes de preparar un gran conjunto de pruebas, pida a cada proveedor que sitúe su producto en las cuatro tareas del principio de esta guía. Obtenga los formatos e idiomas admitidos, los requisitos de entrada, el tratamiento de los resultados no concluyentes y las pruebas que el revisor puede conservar. Incluya en esa primera comparación el tratamiento de datos y el precio del plan propuesto. Que un producto se llame de «autenticidad documental» no especifica qué cubre.

Después, use un pequeño conjunto autorizado para detectar desajustes evidentes. Para el análisis del origen del texto, incluya textos narrativos de extensión suficiente redactados por personas, borradores documentados hechos con IA y ejemplos de ayuda permitida representativos de su política. Mantenga visibles los formularios breves y los documentos solo escaneados como pruebas de cobertura, en lugar de tratarlos en silencio como documentos sin incidencias. Para herramientas de imagen o de cambio de campos, use un conjunto distinto con cambios de página conocidos y versiones de referencia fiables. Esta primera comprobación no establece una tasa de error; para eso hace falta una evaluación planificada y separada.

Para una exigencia sobre el origen de la redacción, empiece por la verificación documental: la primera comprobación de documento es gratuita y muestra un resumen; un crédito de documento desbloquea el informe completo; las condiciones vigentes figuran en precios. Para expedientes con fotos o PDF cuyo historial de edición importa, use ese informe documental. Para escaneos y fotos sueltos, use la verificación de imágenes. En siniestros, la página sobre fraude documental en siniestros explica qué documentos del expediente tiene sentido analizar, y la guía fraude al seguro con IA cubre las fotos del siniestro. Para volúmenes, API, procesamiento por lotes o integración, contacte con ventas con este texto:

Revisamos [tipos de documento] en [idiomas], con un volumen aproximado de [volumen]. Nuestra política de redacción o de declaración exige [requisito concreto]. Los documentos llegan en [formatos, con o sin capa de texto, extensión habitual de la prosa]. Les rogamos que confirmen el alcance admitido, las condiciones de tratamiento de datos, las opciones de evaluación y el precio para este flujo.

Si su preocupación inmediata es un importe cambiado o una firma, siga la guía cómo saber si un PDF ha sido modificado; si se trata de tickets de una nota de gastos, la guía cómo saber si un ticket es falso. Mantenga la confirmación del emisor dentro del proceso de negocio siempre que la autorización o los hechos determinen el resultado.

Por Yang Zheng · Revisado por Bill Liu