Coretech/Blog/Geolocalización inferencial

Acuerdo 1-2026 · Artículo 14

Geolocalización inferencial: cómo se cumple el Acuerdo 1-2026

Desde el 23 de julio de 2026 rige la norma de la Superintendencia de Bancos que obliga a estimar desde dónde se conecta cada cliente que abre una cuenta por internet. QuickCheck ya lo hace en cada apertura.

Solicitar demostración Ver Device Intelligence

Apertura en cursoCaso 1/3

Declarado ↔ inferido

0 km

Puntaje de riesgo0 / 100

ContinuarSegundo factorRevisiónBloquear

01RedDirección IP, tipo de red y proveedor de internet.

02AnonimatoVPN, proxies y redes como TOR.

03CoherenciaZona horaria e idioma contra lo declarado.

04EvidenciaPuntaje, motivo y decisión guardados.

01 / La norma

La norma ya rige y el Artículo 14 tiene fecha fija

El Acuerdo 1-2026 se publicó en la Gaceta Oficial 30450-A el 23 de enero de 2026 y empezó a regir seis meses después. La geolocalización inferencial tiene plazo de adecuación hasta el 30 de junio de 2027.

Lo que exige el Artículo 14

Una fuente primaria de riesgo en toda apertura digital

Aplica a los bancos que abren cuentas, contratan o prestan servicios por medios digitales o remotos. El Parágrafo 1 la define como estimar la ubicación de un usuario o dispositivo combinando señales de red, dispositivo y contexto digital, aun sin coordenadas físicas directas.

Usarla como fuente primaria de evaluación de riesgo
Verificar con ella el domicilio declarado por el cliente
Frenar aperturas desde jurisdicciones de alto riesgo o sancionadas
Detectar lo que no cuadra con la información del solicitante

Acuerdo 1-2026 de la SBP

Acuerdo 1-2026 de la SBPCalendario

Geolocalización inferencial obligatoriaApertura por medios digitales o remotos

Art. 14

Entrada en vigenciaSeis meses desde la promulgación

23 jul 2026

Plazo de adecuación del Art. 14Fecha límite para los bancos

30 jun 2027

Sanción por incumplimientoSegún gravedad y reincidencia

Art. 44

MultasB/.5,000 a B/.5,000,000

SupervisorSuperintendencia de Bancos

DerogaAcuerdo 10-2015

02 / Véalo funcionar

Una apertura real, leída en 180 milisegundos

Juan declara vivir en Panamá y llena el formulario desde la app del banco. Sin preguntarle nada, QuickCheck lee su conexión y le dice al banco qué hacer.

El caso del video

Tres señales que no cuadran con lo declarado

La conexión sale por una VPN, el país real no es Panamá y la hora del equipo es de otro país. Con la configuración por defecto, un puntaje alto pide un segundo factor antes de abrir la cuenta.

VPN detectada+25

País no coincide con el declarado+30

Zona horaria distinta+15

Riesgo alto: pedir segundo factor70 / 100

Ver Device Intelligence Leer el texto del Artículo 14

QuickCheck · Device Intelligence

03 / Cómo se lee

Ninguna señal basta sola: se leen juntas

Una IP se puede disfrazar y una zona horaria se puede cambiar. La norma pide combinarlas y buscar las contradicciones, sin pedirle el GPS al cliente.

Se leen las señales

Mientras el cliente llena el formulario: IP, red, proveedor, VPN o proxy, zona horaria e idioma del equipo.

Sin permisos

Se comparan con lo declarado

El país de la conexión y la hora del equipo contra el domicilio que dijo el cliente.

Coherencia

Se califica el riesgo

Cada regla suma puntos y el puntaje dice qué pesó: VPN 25, país distinto 30, zona horaria distinta 15.

0 a 100

Se recomienda y se documenta

Continuar, pedir segundo factor, revisar o bloquear. El banco decide y todo queda registrado.

Auditable

04 / Device Intelligence

Lo que hace QuickCheck con cada señal de la norma

El módulo Device Intelligence de QuickCheck cubre la lista del Artículo 14 y la deja lista para la inspección.

Red

IP, tipo de red y proveedor

País y ciudad de la conexión, si es residencial, móvil o de un centro de datos, y quién da el servicio.

Anonimato

VPN, proxies y TOR

Detecta la conexión disfrazada y si el navegador deja ver una dirección real distinta de la aparente.

Coherencia

Zona horaria y región

La hora y el idioma del equipo se comparan con el país de la conexión y con el domicilio declarado.

Jurisdicciones

Listas GAFI, OFAC y UE

Catálogo de países por nivel de riesgo, con países permitidos o bloqueados según la política del banco.

Revisión

Cola para el oficial

Los casos de riesgo crítico pasan a revisión humana; queda quién revisó, qué decidió y por qué.

Evidencia

Registro que no se altera

Explicación en lenguaje claro hecha con IA y un sello encadenado que detecta cualquier cambio posterior.

05 / Preguntas

Lo que nos preguntan, con la respuesta corta

¿Desde cuándo es obligatoria la geolocalización inferencial?

El Acuerdo 1-2026 rige desde el 23 de julio de 2026. Para el Artículo 14, que es el de la geolocalización inferencial, el artículo 53 da a los bancos un plazo de adecuación hasta el 30 de junio de 2027.

¿Hay que rechazar a todo el que use una VPN?

No. Muchos clientes legítimos usan VPN. La norma pide saberlo, ponderarlo como señal de riesgo y documentar la decisión. Cada banco ajusta los umbrales y el peso de cada regla según su matriz de riesgo.

¿Hay que cambiar la aplicación o el core del banco?

No. Se agrega al formulario de apertura un componente que lee las señales y consulta a QuickCheck por API. La respuesta llega en el momento con la ubicación estimada, el nivel de riesgo y la acción recomendada.

¿Y la protección de datos personales?

Las señales técnicas de un cliente son datos personales, así que su tratamiento también debe cumplir la Ley 81 de 2019. Conviene informarlo en el aviso de privacidad de la apertura.

¿Falta la suya? Pregúntenos con su caso sobre la mesa y la respondemos sobre su operación, no en general.

Siguiente paso

Cuéntenos el proceso que hoy le cuesta tiempo.

Recibimos una necesidad empresarial compleja, la entendemos y la convertimos en una solución tecnológica integral. La conversación empieza por su operación, no por un catálogo de software.

Escribirnos por WhatsApp