Fiscalización Algorítmica y Perfiles de Riesgo
La fiscalización algorítmica es el conjunto de mecanismos tecnológicos mediante los cuales las autoridades fiscales y de seguridad social — el SAT, el IMSS y el INFONAVIT — procesan de forma automatizada el universo de información que las empresas generan en su operación cotidiana para detectar inconsistencias, construir perfiles de riesgo regulatorio y activar procedimientos de revisión o determinación. No es una posibilidad futura. Es el entorno operativo presente de toda empresa con obligaciones fiscales, laborales y de seguridad social en México. Comprender cómo funciona la fiscalización algorítmica — qué datos analiza, qué modelos utiliza y qué patrones activan una alerta — es hoy una competencia profesional indispensable para el abogado corporativo, el contador fiscal y el director de recursos humanos que asesoran o gestionan organizaciones con actividad regulatoria activa.
Los perfiles de riesgo regulatorio son construcciones algorítmicas que las autoridades elaboran sobre cada contribuyente y patrón a partir del análisis cruzado de múltiples fuentes de información: el CFDI de nómina timbrado ante el SAT, los registros de afiliación y salarios cotizados ante el IMSS, las aportaciones reportadas al INFONAVIT, los datos del Registro de Prestadoras de Servicios Especializados (REPSE) y el Sistema de Información de Riesgos del Contratista de Obras de Construcción (SIROC). Cada uno de esos registros es un nodo en una red de datos que la autoridad analiza mediante técnicas de Machine Learning supervisado y no supervisado, y mediante analítica de grafos — algoritmos que mapean no solo los datos de la empresa sino los de todos sus proveedores, clientes y subcontratistas, reconstruyendo la historia fiscal y laboral de cada relación comercial. El perfil de riesgo resultante no es una opinión subjetiva del auditor: es el output cuantificado de un modelo matemático que clasifica a la empresa dentro de un espectro de probabilidad de incumplimiento.
La Doctrina de Fiscalización — cuerpo doctrinal que establece el nexo causal obligatorio entre la facturación de servicios y la existencia verificable de los activos, el personal y la infraestructura necesarios para prestarlos — constituye el marco conceptual con el que las autoridades evalúan la sustancia económica de las operaciones documentadas en los CFDI. Bajo este marco, el análisis del CFDI ya no se limita a la verificación sintáctica del XML: el SAT procesa simultáneamente tres dimensiones de verdad. La verdad legal o formal — que el documento cumple el estándar técnico del Anexo 20 de la Resolución Miscelánea Fiscal y tiene folio fiscal válido. La verdad material o empírica — que la empresa emisora tiene capacidad real para prestar el servicio que declara, medida bajo el estándar A-P-I-C: Activos, Personal, Infraestructura y Capacidad. Y la verdad histórica — que los metadatos del XML son consistentes con la trazabilidad temporal de las operaciones reconstruida mediante analítica de grafos. Una empresa puede tener CFDIs formalmente perfectos y aun así activar un procedimiento de fiscalización si sus registros no sostienen las otras dos dimensiones.
La opacidad algorítmica — la condición por la que los modelos de riesgo del SAT son clasificados como reservados por razones de seguridad nacional — genera una asimetría informacional estructural entre la autoridad y el contribuyente. Al no poder conocer la tasa de error del algoritmo ni su metodología exacta, el contribuyente no puede ejercer plenamente su derecho a desvirtuar los hallazgos de gestión antes de que estos transiten a facultades de comprobación. Esta asimetría tiene, sin embargo, una consecuencia jurídica relevante para la defensa: cuando la autoridad basa una liquidación o una determinación exclusivamente en el output algorítmico sin corroborarlo mediante auditoría de campo que respete la contradicción y la inmediación, se actualiza una duda razonable técnica derivada de la falibilidad probabilística del modelo — duda que, en los estándares del derecho administrativo sancionador, debe resolverse a favor del contribuyente. Comprender la opacidad algorítmica no es solo un ejercicio intelectual: es un argumento de defensa disponible para quien sabe utilizarlo. La inteligencia artificial aplicada al derecho permite construir ese argumento con precisión técnica y jurídica.
Su empresa genera información todos los días. El SAT la analiza todos los días.
Cada CFDI de nómina timbrado, cada modificación de salario reportada al IMSS, cada contrato con un proveedor REPSE — todos esos datos alimentan modelos algorítmicos que construyen, en tiempo real, un perfil de riesgo sobre su organización. Cuando ese perfil supera un umbral de probabilidad de incumplimiento, se activa un procedimiento. Para entonces, la ventana para corregir ya se cerró.
Entender cómo funciona la fiscalización algorítmica es la primera línea de defensa real.
El problema
La mayoría de las empresas descubre que tiene un perfil de riesgo regulatorio cuando recibe el requerimiento, la preliquidación o el crédito fiscal. No antes. Para ese momento, la autoridad lleva meses — a veces años — acumulando evidencia digital sobre las inconsistencias de la operación: diferencias entre el salario declarado al SAT en el CFDI de nómina y el cotizado ante el IMSS, proveedores REPSE que facturan servicios especializados sin tener personal asegurado ni activos registrados que hagan posible prestarlos, operaciones con flujo bancario que no corresponde a la lógica económica del giro de la empresa.
El problema no es que la autoridad tenga esa información. Es que la procesa de forma automatizada, cruzada y continua — sin que la empresa lo perciba — y que cuando activa el procedimiento, el expediente digital ya está construido. Los plazos para desvirtuar son breves: quince días hábiles en el recurso de inconformidad ante el IMSS, treinta en el juicio contencioso ante el TFJA. La empresa que llega a esa instancia sin haber construido previamente su evidencia de materialidad — sus propios contratos, bitácoras, entregables, flujos bancarios, registros de personal — no llega tarde. Llega sin herramientas. El litigio estratégico empresarial y la IA aplicada en la contaduría y el derecho son las dos palancas que pueden revertir esa posición — cuando se activan antes del acto.
Marco legal aplicable
Código Fiscal de la Federación · Artículo 29-A, fracción IX (reforma en vigor 2026)
"Los comprobantes fiscales digitales por Internet solo podrán utilizarse o deducirse cuando el acto o actividad que en ellos se ampare sea existente, verdadero o efectivamente realizado; cuando la operación descrita en el comprobante sea consistente con la realidad de las actividades del contribuyente; y cuando el comprobante sea expedido por quien realmente realizó el acto o actividad."
Este artículo — en su formulación vigente — eleva la materialidad de las operaciones a condición de validez del CFDI, no solo a requisito de forma. Un comprobante fiscal que describe una operación que no pudo haberse realizado por ausencia de capacidad material en el emisor es, bajo este marco, un comprobante legalmente falso — independientemente de que su estructura XML sea técnicamente perfecta.
Código Fiscal de la Federación · Artículo 63, párrafo primero
"Los hechos que se conozcan con motivo del ejercicio de las facultades de comprobación previstas en este Código o en las leyes fiscales, o bien que consten en los expedientes o documentos que lleve o tenga en su poder la autoridad fiscal, así como los proporcionados por otras autoridades, podrán servir para motivar las resoluciones de la Secretaría de Hacienda y Crédito Público y de cualquier otra autoridad u organismo descentralizado competente en materia fiscal."
Este artículo es la base legal con la que el SAT otorga valor probatorio a los datos obtenidos mediante sus modelos algorítmicos — los metadatos de los CFDI, los registros cruzados con el IMSS y el INFONAVIT, las alertas generadas por analítica de grafos. La consecuencia práctica es directa: los hallazgos de los algoritmos de gestión pueden motivar resoluciones, pero solo dentro de los límites que el propio Código establece para cada tipo de facultad. Usar resultados de gestión como si fueran prueba plena de comprobación viola la fractura procedimental que el CFF impone entre ambas etapas — y esa violación es un argumento de defensa.
En qué consiste el servicio
El análisis de fiscalización algorítmica y perfiles de riesgo comprende un proceso estructurado de revisión que permite a la empresa conocer, antes de que la autoridad actúe, cuál es su posición frente a los modelos de riesgo del SAT, el IMSS y el INFONAVIT. También puede complementarse con procesos de automatización de tareas profesionales que reduzcan la carga operativa de la gestión documental preventiva.
Etapa 1 — Diagnóstico de exposición regulatoria
Revisión cruzada de la información que la empresa ha declarado ante distintas autoridades durante los últimos cinco años: CFDIs emitidos y recibidos, registros de afiliación y salarios ante el IMSS, aportaciones reportadas al INFONAVIT, operaciones con proveedores REPSE. El objetivo es identificar inconsistencias antes de que el algoritmo las procese.
Etapa 2 — Análisis de materialidad documental
Evaluación de la evidencia disponible para sostener la verdad material de las operaciones: ¿tiene la empresa documentación que acredite la capacidad real de sus proveedores para prestar los servicios facturados? ¿Sus propios entregables, contratos y registros demuestran la existencia de las operaciones que sus CFDI declaran?
Etapa 3 — Construcción del perfil defensivo
Identificación de los argumentos disponibles en caso de que la autoridad active un procedimiento: dónde la trazabilidad es sólida, dónde hay vacíos documentales que deben cubrirse antes del acto, y en qué elementos el resultado algorítmico no superaría el estándar de duda razonable si la defensa se construye correctamente.
Etapa 4 — Plan de fortalecimiento
Diseño de las acciones correctivas con mayor impacto sobre el perfil de riesgo: qué documentación debe generarse o actualizarse, qué inconsistencias pueden corregirse sin consecuencia y cuáles requieren atención inmediata antes de que el plazo de prescripción de la autoridad corra en su favor.
Por qué con Gabriel Aranda Zamacona
La comprensión de la fiscalización algorítmica no se adquiere en un seminario de tecnología. Se construye combinando experiencia real de litigio — haber defendido determinaciones del IMSS, capitales constitutivos, créditos del SAT, multas de la STPS — con comprensión de los modelos de datos que las autoridades usan para construir esos actos.
Gabriel Aranda Zamacona es abogado corporativo y contador público con más de 25 años de práctica activa en defensa empresarial ante IMSS, INFONAVIT, STPS y SAT. Esa doble formación — jurídica y contable — permite leer un expediente de fiscalización desde ambos ángulos simultáneamente: el procedimental y el financiero. Es Coordinador de la Comisión de Tecnologías de Fiscalistas.NET A.C. y Vicecoordinador del Comité de Derecho Laboral y de Seguridad Social de CONACOM — dos posiciones institucionales que reflejan un involucramiento activo, no declarativo, con los temas que esta página desarrolla.
El trabajo no produce resultados garantizados — ninguna práctica profesional seria los promete. Lo que produce es claridad sobre la posición real de la empresa, identificación de los argumentos disponibles y una estrategia construida sobre evidencia, no sobre optimismo.
Preguntas frecuentes
¿Qué es la fiscalización algorítmica?
Es el uso de modelos matemáticos — Machine Learning, analítica de grafos, técnicas de clustering — por parte del SAT, el IMSS y el INFONAVIT para analizar de forma automatizada la información que las empresas declaran y detectar inconsistencias, patrones atípicos o ausencia de capacidad material. No es auditoría humana. Es procesamiento masivo de datos que opera de forma continua, sin que la empresa lo perciba, y que puede activar un procedimiento de revisión o determinación cuando el perfil de riesgo resultante supera un umbral definido por el modelo.
¿Qué son los perfiles de riesgo regulatorio?
Son clasificaciones algorítmicas que las autoridades construyen sobre cada contribuyente o patrón a partir del cruce de múltiples fuentes de datos: CFDI, registros del IMSS, aportaciones al INFONAVIT, base del REPSE, SIROC. El perfil cuantifica la probabilidad de que la empresa tenga inconsistencias en su declaración de obligaciones. No es una sanción — es un indicador interno de la autoridad que determina qué empresas son objeto de revisión prioritaria. Una empresa con perfil de riesgo alto no ha sido sancionada, pero tiene mayor probabilidad de recibir un requerimiento o una auditoría en el corto plazo.
¿Cómo se utilizan los datos en la fiscalización moderna?
Mediante tres mecanismos principales. El Machine Learning supervisado — que clasifica contribuyentes con base en patrones aprendidos de expedientes de evasión previos. El clustering o agrupamiento no supervisado — que detecta comportamientos atípicos sin necesidad de un modelo previo de referencia. Y la analítica de grafos — que mapea las relaciones entre todos los actores de la red fiscal de la empresa (proveedores, clientes, subcontratistas) y reconstruye la historia de sus transacciones en el tiempo para identificar imposibilidades materiales o esquemas de simulación.
¿Qué relación existe con la fiscalización moderna?
La fiscalización algorítmica no reemplaza a la fiscalización tradicional — la sustituye en su etapa de selección. Las autoridades ya no eligen a quién auditar de forma aleatoria o sectorial. Usan algoritmos para identificar, dentro del universo de millones de contribuyentes, a quienes presentan mayor probabilidad de inconsistencia. La auditoría humana — visita domiciliaria, revisión electrónica, recurso de inconformidad — se activa después, sobre un universo ya filtrado por el modelo. Entender esa secuencia permite anticipar cuándo y por qué una empresa entra al radar de la autoridad.
¿Qué información puede ser analizada por los algoritmos?
Toda la información que la empresa ha declarado digitalmente: los metadatos de cada CFDI emitido y recibido (fecha, hora, RFC del emisor y receptor, montos, conceptos, nodo de subcontratación), los registros de afiliación y modificaciones de salario ante el IMSS, las aportaciones bimestrales al INFONAVIT, los datos del REPSE del prestador y del beneficiario, los registros del SIROC en obras de construcción, y — mediante convenios interinstitucionales — información bancaria, datos del Registro Civil y registros de propiedad. La autoridad tiene acceso a un ecosistema de datos que ninguna empresa puede controlar completamente. Lo que sí puede controlarse es la consistencia interna de la información propia.
¿Por qué es relevante comprender estos modelos?
Porque la estrategia de defensa y la estrategia de cumplimiento deben diseñarse con conocimiento del entorno en que operan. Una empresa que construye su evidencia documental sin comprender qué buscan los algoritmos de la autoridad puede tener expedientes correctos desde el punto de vista formal y aun así activar alertas por inconsistencias materiales que no detectó. Y un abogado que litiga una determinación originada en un hallazgo algorítmico sin entender la naturaleza probabilística del output — y sin cuestionar su suficiencia probatoria frente al estándar de duda razonable — pierde un argumento de defensa que el propio sistema jurídico pone a su disposición.
¿Puede el resultado algorítmico del SAT utilizarse como prueba plena en un proceso sancionador?
No de forma directa. El output algorítmico pertenece a la etapa de facultades de gestión — es un detonador de sospechas, no un productor de certezas jurídicas. Para tener valor punitivo, debe transitar a facultades de comprobación (artículo 42 CFF), donde la autoridad corrobora los hallazgos mediante auditoría que respete la contradicción y la inmediación. Si la autoridad determina un crédito o formula una querella basándose exclusivamente en el reporte del algoritmo sin esa corroboración, se actualiza una duda razonable técnica derivada de la falibilidad probabilística del modelo — argumento de defensa que la doctrina y el derecho administrativo sancionador reconocen.
¿Qué es el estándar A-P-I-C y cómo afecta a las empresas?
Es el marco analítico que los algoritmos del SAT utilizan para evaluar la capacidad material de los emisores de CFDI: Activos (bienes muebles e inmuebles registrados), Personal (trabajadores asegurados ante el IMSS con el perfil que corresponde al objeto social), Infraestructura (instalaciones, equipos, herramientas) y Capacidad (combinación de los anteriores que hace físicamente posible prestar el servicio facturado). Una empresa que emite millones de pesos en CFDI por servicios especializados pero no tiene personal asegurado con el perfil correspondiente ni activos que soporten la operación activa una alerta de imposibilidad material — y su CFDI, formalmente perfecto, se convierte en objeto de presunción de inexistencia bajo el artículo 29-A fracc. IX del CFF.