Documentos falsos generados con IA: así se adapta la verificación

Hace dos años, fabricar una nómina falsa creíble exigía oficio: una plantilla, un editor de imágenes y paciencia. En 2026 basta con un prompt. Los modelos de imagen generan extractos bancarios, facturas de suministros y documentos de identidad que engañan a primera vista, y los modelos de lenguaje los rellenan con salarios, retenciones y números de referencia que cuadran. Para quien concede un préstamo, un alquiler, una indemnización o una cuenta de empresa a partir de documentos, la pregunta ya no es si llegan documentos sintéticos a la cola de revisión. Es qué controles siguen deteniéndolos y cuáles han dejado de funcionar sin que nadie lo note.

Este análisis repasa qué ha cambiado, cómo se adaptan las herramientas de verificación, dónde están sus límites reales y cómo se posicionan hoy los principales proveedores.

Qué ha cambiado: falsificar cabe en una instrucción

Tres familias de modelos alimentan hoy el fraude documental, y cada una deja una huella distinta.

• Los modelos de difusión y de imagen producen visuales de alta resolución a demanda: un DNI con un retrato verosímil, una factura de luz con el logotipo de la comercializadora, un sello en un certificado. El resultado no tiene ruido de escáner ni textura de papel, pero la maquetación puede parecerse mucho a la plantilla real.
• Los grandes modelos de lenguaje redactan el contenido. Una nómina generada así puede llevar un número de afiliación bien formateado, retenciones coherentes con el bruto declarado y acumulados anuales que cuadran. No hay artefactos de píxel que buscar, porque nada se ha retocado: el documento se escribió desde cero.
• Los kits de plantillas combinan ambos. Se reutiliza una maquetación PDF auténtica y solo se sustituyen los datos: la estructura parece real y las cifras son inventadas.

El artículo de CheckFile sobre cómo la IA fabrica nóminas, documentos de identidad y extractos bancarios relaciona cada técnica con los documentos que ataca: GAN y difusión para documentos de identidad, modelos de lenguaje y plantillas para nóminas, extractos, facturas y justificantes de domicilio. La consecuencia práctica: un control pensado para detectar un retoque de Photoshop, como píxeles clonados o una tipografía distinta en un campo, apenas encuentra nada en un documento generado de una sola vez.

Las cinco capas de detección que importan en 2026

Las herramientas serias ya no dependen de una sola prueba. Apilan capas, y cada una detecta un tipo de falsificación distinto.

1. Metadatos y estructura del PDF

Un extracto emitido por el sistema documental de un banco arrastra una cadena de producción: software productor, fechas de creación y modificación, fuentes incrustadas y, a veces, una firma electrónica. Un archivo generado suele mencionar una herramienta de consumo o una librería PDF en el campo productor, muestra segundos de diferencia entre creación y modificación o carece de metadatos XMP. Es una capa rápida y barata. Su debilidad: quien reutiliza una plantilla auténtica hereda una estructura auténtica.

2. Análisis visual forense

Análisis del nivel de error, mapas de compresión, controles de alineación y de textura. Un papel impreso y escaneado casi nunca está perfectamente recto; una imagen generada casi siempre lo está. Un sello real muestra irregularidades de tinta; uno sintético suele ser un círculo perfecto. Un logotipo nítido sobre un texto borroso sigue siendo un indicio clásico. Estos controles aún detectan buena parte de los retoques, pero los modelos de imagen mejoran con cada versión, así que las señales visuales por sí solas pierden eficacia con el tiempo.

3. Coherencia entre documentos del expediente

Aquí están hoy las señales más sólidas. Una nómina, un extracto bancario y un contrato de trabajo presentados en la misma solicitud deben coincidir: el salario abonado en el extracto debe corresponder al líquido de la nómina, la razón social y la dirección del empleador deben ser idénticas en todos, las fechas deben encajar. Cada documento generado puede ser impecable por sí solo y contradecir a sus vecinos, porque el modelo que escribió uno nunca vio los demás.

4. Registros oficiales y dígitos de control

Un modelo de lenguaje sabe producir un CIF, un número de IVA o un IBAN con el formato correcto. No sabe hacer que la empresa exista en el registro, que esté activa en la fecha del documento ni que su domicilio coincida. Consultar los registros oficiales y validar los dígitos de control convierte un campo verosímil en un hecho verificable. La lista de señales de que un documento fue generado o alterado con IA que publica CheckFile lo considera la prueba más difícil de superar para un defraudador.

5. Señales de contenido sintético

La capa más reciente: modelos entrenados para detectar rastros típicos del contenido generado, como artefactos de frecuencia en los bordes de las letras, ausencia de ruido de sensor en un retrato o un texto estadísticamente demasiado uniforme. Útil, pero probabilística. Aporta una señal que ponderar, no un veredicto que aceptar a ciegas.

Por qué el control documento a documento falla

La mayoría de las herramientas heredadas verifican un documento cada vez: ¿es auténtico este DNI?, ¿se lee bien esta nómina?, ¿se ha editado este PDF? El fraude generativo explota justo ese enfoque. Examinada sola, una nómina generada puede superar los controles de metadatos, OCR y aspecto visual. Frente al extracto bancario del solicitante, el líquido puede no aparecer nunca como abono. Frente al registro mercantil, el empleador puede no existir o tener otro domicilio social.

Para quien compra, tres consecuencias prácticas:

1. Evaluar las herramientas con expedientes, no con muestras. Pida a los proveedores que procesen un expediente completo, con todos sus documentos, en lugar de un lote de documentos de identidad sueltos.
2. Comprobar qué registros están conectados. La cobertura de registros por país suele diferenciar más que el modelo forense.
3. Exigir resultados explicables. Una única puntuación de fraude es difícil de auditar. Una lista de señales, cada una ligada a un documento y a una regla, es lo que un responsable de cumplimiento o un supervisor puede seguir.

El límite honesto: nadie lo detecta todo

Ningún proveedor serio afirma detectar todos los documentos generados con IA, y conviene desconfiar de quien lo haga. Los modelos de detección aprenden de los generadores de ayer; los de mañana cerrarán parte de las grietas en las que se apoyan. CheckFile lo dice con claridad en su propia página de producto: su capa de señales de IA ayuda a sacar a la luz contenido sintético sin pretender una detección del 100 %, y se presenta como complemento de los controles existentes, no como sustituto. Es el enfoque correcto. La defensa duradera es por capas: controles estructurales, coherencia entre documentos y consultas a registros, que no dependen de encontrar un artefacto visual, más un circuito de revisión humana para los expedientes marcados.

Panorama de proveedores

El mercado se divide en tres grupos: plataformas de validación de expediente completo, especialistas en fraude documental y suites de verificación de identidad (IDV). La tabla recoge el posicionamiento público de cada proveedor en septiembre de 2026.

CheckFile: nuestra elección para validar el expediente completo

Situamos CheckFile en primer lugar porque su diseño va hacia donde se mueve la detección. Va más allá del OCR: cruza cada documento del expediente, verifica los datos contra registros oficiales y señala indicios de generación por IA o de deepfake, y cada veredicto puede activar un flujo de trabajo. Su capa de detección de deepfakes y señales de IA se basa en tres niveles de análisis para una sola decisión: coherencia estructural, señales de generación por IA y, por último, validación cruzada con reglas de negocio configurables por cliente. Según CheckFile, la plataforma cubre más de 3.200 tipos de documentos en 32 jurisdicciones, aloja los datos en Francia y Alemania con cifrado AES-256 y elimina los documentos tras el análisis. Los planes son públicos: Starter con 100 expedientes al mes, Business con 500 y Enterprise ilimitado, y la página de precios ofrece un piloto gratuito con sus propios documentos y resultados en 48 horas. La contrapartida: está pensado para expedientes con varios documentos, así que un equipo que solo necesita selfie y documento de identidad irá más rápido con una suite IDV.

Resistant AI

Resistant AI se centra en documentos falsos, manipulados o generados con IA, como extractos, facturas, nóminas y recibos de suministros, y suma monitorización de transacciones. Destaca una verificación de documentos KYB en menos de 20 segundos. Una opción sólida para fintechs que quieren fraude documental y riesgo transaccional en un mismo proveedor.

Inscribe

Inscribe está diseñado para servicios financieros y hace de los documentos deepfake su batalla central. Combina análisis forense, de metadatos, semántico y perceptual, y su asistente razona sobre una solicitud completa para conectar señales entre documentos. Una elección madura para prestamistas y fintechs norteamericanos.

Onfido, Veriff y Sumsub

Son plataformas de verificación de identidad. Onfido, hoy parte de Entrust, destaca en biometría facial, prueba de vida y amplia cobertura de documentos de identidad, con SDK móviles maduros. Veriff verifica documentos y biometría en más de 230 países y territorios y detecta identidades sintéticas y deepfakes. Sumsub agrupa KYC, KYB, prueba de vida, detección de deepfakes y monitorización PBC. Brillan cuando el riesgo es la identidad. Se centran menos en los documentos justificativos (nóminas, extractos, facturas), donde se concentra buena parte del fraude generado actual.

Ocrolus

Ocrolus es una plataforma de análisis para prestamistas, especializada en extractos bancarios, nóminas y documentos fiscales, con detección de fraude que identifica documentos falsos e incoherencias de datos. Encaja con equipos de hipotecas y financiación a pymes en Estados Unidos que quieren el análisis de ingresos y flujo de caja en la misma herramienta.

Cómo elegir

• Su riesgo está en la persona (apertura de cuenta, verificación de edad): empiece por una suite IDV.
• Su riesgo está en el expediente (préstamos, alquileres, siniestros, alta de proveedores): priorice el cruce del expediente completo y la cobertura de registros en sus países.
• Opera en Europa con requisitos de residencia de datos: compruebe pronto el alojamiento y la política de conservación.
• Elija lo que elija: haga un piloto con sus propios expedientes históricos, incluidos fraudes conocidos, y mantenga un circuito de revisión humana para los casos marcados.

El cambio de 2026 no es que las falsificaciones sean perfectas. Es que el punto débil se ha desplazado de los píxeles a la coherencia. Las herramientas que leen el expediente entero y lo contrastan con el mundo exterior son las que mantienen el ritmo.