Un banco colombiano puede operar con un bot WhatsApp con respaldo normativo claro, siempre que cumpla los lineamientos de la Superintendencia Financiera de Colombia (SFC) sobre canales digitales, autenticación de clientes y protección de datos bajo la Ley 1581 de Habeas Data.
La pregunta ya no es si se permite, sino cómo se implementa sin exponer al banco a sanciones.
Si querés evaluar un piloto con controles SFC desde el primer día, podés agendar una demo para banca o conocer la solución para banca y finanzas.
WhatsApp Business API en banca: por qué ahora
La Circular Externa 029 de la SFC establece requisitos para canales transaccionales y de información, y WhatsApp Business API encaja dentro del marco de “canales no presenciales” cuando el banco garantiza:
- Trazabilidad.
- Cifrado extremo a extremo.
- Autenticación robusta del usuario.
Con más de 37 millones de usuarios activos en Colombia, WhatsApp es el punto de contacto más natural para consultas bancarias que hoy saturan call centers y sucursales.
El problema real está en la distancia entre lo que dice la norma y lo que entiende tu equipo de producto. La SFC exige estándares de seguridad equivalentes a los de la banca en línea, pero no prescribe la tecnología específica. Eso te deja espacio para implementar un bot WhatsApp banca que consulte saldos, gestione bloqueos de tarjeta y envíe recordatorios de pago, siempre que cada flujo tenga controles proporcionales al riesgo.
Qué pide la SFC
Los tres pilares regulatorios del canal digital bancario
- Autenticación del cliente con al menos dos factores independientes antes de acceder a cualquier operación.
- Registro auditable de cada interacción, con timestamp, identificación del cliente y resultado de la autenticación.
- Consentimiento explícito para el tratamiento de datos personales, con posibilidad de revocación y uso restringido al propósito autorizado.
Cómo cumplir Habeas Data en WhatsApp
Consentimiento integrado al primer mensaje
El consentimiento en WhatsApp funciona mejor cuando se integra al primer mensaje del flujo. Un modelo efectivo arranca con un mensaje de bienvenida donde el cliente acepta la política antes de acceder a cualquier funcionalidad transaccional:
“Hola, [nombre]. Para continuar, aceptá nuestra política de tratamiento de datos personales respondiendo SÍ. Podés consultar la política completa en [enlace]. Si respondés NO, esta conversación se cerrará.”
Con ese registro, el banco tiene evidencia auditable del consentimiento, almacenada con marca de tiempo y número de celular verificado.
Retención de logs
- La SFC exige conservar registros de transacciones por un mínimo de cinco años.
- La ubicación de esos datos debe estar documentada ante el regulador.
- Cuando la infraestructura está alojada en servidores fuera de Colombia, tu banco necesita un acuerdo de transferencia internacional de datos que cumpla con el artículo 26 de la Ley 1581.
- Los logs deben incluir timestamp, identificación del cliente, tipo de operación, respuesta del sistema y resultado de la autenticación.
Podés revisar los estándares de seguridad completos.
Operaciones habilitadas (saldos, bloqueos, cobranzas)
Las operaciones que un WhatsApp banca Colombia permite se dividen en tres niveles de riesgo que determinan la autenticación requerida.
Niveles de riesgo y autenticación requerida
|
Nivel |
Operaciones típicas |
Autenticación requerida |
|---|---|---|
|
Informativo |
Consulta de saldos, fechas de corte, puntos de atención |
Verificación del número de celular registrado en el core bancario |
|
Operativo |
Bloqueo preventivo de tarjeta, solicitud de certificados |
Segundo factor (OTP por SMS o validación biométrica) |
|
Transaccional |
Pagos, transferencias por WhatsApp |
Autenticación fuerte con dos factores más confirmación explícita del monto y destinatario |
Flujo de consulta de saldo
El cliente escribe “saldo”, el bot valida que el número de WhatsApp coincida con el registrado en el core. Si coincide, responde con el saldo disponible y la fecha de corte. Si no coincide, solicita validación de identidad mediante código OTP. Todo el proceso ocurre en menos de 15 segundos, con cada paso registrado en el log de auditoría.
Bloqueo de tarjeta por pérdida o robo
Es donde el bot WhatsApp banca genera mayor impacto operativo. Un banco colombiano que implementó este flujo redujo el tiempo promedio de bloqueo de 4 minutos con agente humano a 38 segundos por WhatsApp, lo que redujo la ventana de exposición al fraude en un 84%. Incluye autenticación con OTP, confirmación del número de tarjeta (últimos cuatro dígitos) y mensaje de confirmación con número de caso.
Autenticación y antifraude
El bot debe incorporar detección de comportamiento anómalo:
- Múltiples intentos de autenticación fallidos.
- Consultas desde dispositivos no registrados.
- Solicitudes de bloqueo seguidas de desbloqueo en menos de una hora.
Cada alerta escala automáticamente a un agente humano con el contexto completo de la conversación, a través del Módulo de agentes.
Ruta de habilitación
Un proyecto de habilitación toma entre 8 y 14 semanas desde la aprobación del comité de riesgos, distribuidas en cuatro fases:
- Semanas 1 a 3: revisión legal, definición de operaciones habilitadas y construcción de la matriz de riesgo.
- Semanas 4 a 6: integración técnica con el core bancario, configuración de autenticación y pruebas de seguridad.
- Semanas 7 a 10: pruebas de usuario, ajustes de flujos conversacionales y capacitación del equipo de operaciones.
- Semanas 11 a 14: lanzamiento escalonado con monitoreo en tiempo real de métricas de resolución, tiempos de respuesta y tasas de autenticación exitosa.
Casos en bancos colombianos
Microfinanzas: cobranza y consultas
Un banco colombiano de microfinanzas lanzó su canal de WhatsApp para cobranza y consultas en 2023. En los primeros seis meses:
- El 43% de las gestiones de cobro que antes requerían llamada se resolvieron por WhatsApp.
- Tasa de promesa de pago un 28% superior a la del canal telefónico.
El mensaje de cobranza llegaba en el momento exacto, con monto, fecha límite y botón de pago integrado, eliminando la fricción que genera la llamada en horario laboral.
Procesadora de tarjetas: soporte a comercios
Una entidad que procesa tarjetas habilitó consultas de comercios afiliados por WhatsApp, reduciendo en un 60% las llamadas al centro de soporte técnico. Los comercios consultan estado de transacciones, reportan fallos en terminales y reciben guías de solución paso a paso, todo automatizado. Podés revisar más casos de éxito del sector financiero.
Requisitos para proveedores
Para equipos que evalúan proveedores, ISO 27001 y el estatus de Meta Business Partner son requisitos mínimos que garantizan cumplimiento técnico y acceso directo a la API oficial.
Cari AI, con más de 73 millones de conversaciones procesadas y presencia en 9 países de la región, opera con ambas certificaciones y ha desplegado más de 1.000 Agentes IA en sectores regulados como banca y seguros, lo que reduce los tiempos de integración y validación ante la SFC.
Si necesitás validar el modelo con tu área legal antes de avanzar, podés hablar con el equipo de compliance de Cari AI para recibir la documentación técnica y regulatoria que tu comité de riesgos necesita.
Preguntas frecuentes
¿Puede un banco en Colombia operar por WhatsApp?
Sí. La SFC permite el uso de WhatsApp Business API como canal no presencial, siempre que el banco garantice trazabilidad, cifrado extremo a extremo y autenticación robusta. La Circular Externa 029 fija los requisitos, y el comité de riesgos interno es el primer organismo que debe aprobar el proyecto con base en la matriz de riesgo.
¿Qué autenticación se usa?
Depende del nivel de riesgo de la operación. Para consultas informativas basta con la verificación del número registrado en el core. Para operaciones (bloqueos, certificados), se exige un segundo factor como OTP por SMS o validación biométrica. Para transacciones (pagos, transferencias), se requiere autenticación fuerte con dos factores más confirmación explícita del monto y destinatario.
¿Qué operaciones se pueden hacer?
Consulta de saldos y fechas de corte, bloqueo preventivo de tarjeta, solicitud de certificados, cobranza con botón de pago, recordatorios de pago, consulta de puntos de atención y, con autenticación fuerte, pagos y transferencias. Cada operación debe tener controles proporcionales a su riesgo.
¿Cumple la SFC?
Sí, cuando se implementa según la Circular Externa 029 y se documenta la matriz de riesgo. La SFC no emite autorización específica para el canal de WhatsApp, pero exige que el banco acredite cumplimiento de los pilares de autenticación, trazabilidad y consentimiento antes de habilitar operaciones transaccionales.
¿Dónde quedan los logs?
En una arquitectura con retención mínima de cinco años, con timestamp, identificación del cliente, operación, respuesta del sistema y resultado de autenticación. La Ley 1581 no exige que los datos permanezcan en Colombia, pero sí obliga a que cualquier transferencia internacional esté respaldada por un acuerdo formal bajo el artículo 26.
¿Cuánto tarda la habilitación?
Entre 8 y 14 semanas desde la aprobación del comité de riesgos, dependiendo de la complejidad de la integración con el core bancario y la cantidad de flujos habilitados desde el inicio. Los bancos que comienzan con alcance acotado (solo consultas y bloqueo de tarjeta) llegan al lanzamiento en el extremo inferior de ese rango.
Para arrancar el proyecto con un piloto validado, podés agendar una demo para banca o hablar con el equipo de compliance de Cari AI.
