GOBIERNO DE PUERTO RICO

20^ma. Asamblea 4^ta. Sesión

Legislativa Ordinaria

CÁMARA DE REPRESENTANTES

R. de la C. 424

PRIMER INFORME PARCIAL

16 de octubre de 2026

A LA CÁMARA DE REPRESENTANTES:

La Comisión de Asuntos del Consumidor de la Cámara de Representantes de Puerto Rico, previo estudio y análisis de la Resolución de la Cámara 424, según enmendada, y de los memoriales explicativos recibidos, tiene a bien someter este Primer Informe Parcial, con sus hallazgos, conclusiones y recomendaciones, de conformidad con el mandato investigativo de la medida.

ALCANCE DE LA MEDIDA

La R. de la C. 424 fue presentada el 5 de septiembre de 2025 por el representante Pérez Cordero. Su texto de aprobación final por la Cámara está fechado el 14 de octubre de 2025 y consta en el expediente una versión según enmendada por la R. de la C. 734 el 17 de agosto de 2026.

La medida, persigue ordenar a las comisiones de Asuntos del Consumidor; y de Banca, Seguros y Comercio de la Cámara de Representantes de Puerto Rico a realizar una investigación exhaustiva sobre cómo prevenir las modalidades de fraude financiero con el uso de inteligencia artificial.

La exposición de motivos identifica los retos que presentan los casos de robo de identidad provocados por la automatización del phishing, la falsificación convincente de comunicaciones, la clonación de voces y videos, el robo de credenciales, la suplantación de identidad y la exposición de usuarios de PayPal, Venmo, ATH Móvil, Google Pay, Apple Pay y Samsung Pay. El mandato no presupone que las plataformas mencionadas sean intrínsecamente inseguras, sino que exige examinar los riesgos derivados de su utilización fraudulenta.

ANÁLISIS DE LA MEDIDA

Para la evaluación de la medida la Comisión de Asuntos del Consumidor solicitó memoriales explicativos al Departamento de Asuntos del Consumidor (DACO), a la Corporación Pública para la Supervisión y Seguro de Cooperativas (COSSEC), a la Asociación de Bancos de Puerto Rico (ABPR), a la Policía de Puerto Rico (PPR), a la Oficina del Comisionado de Instituciones Financieras (OCIF), al Puerto Rico Innovation and Technology Services (PRITS), y al Banco Cooperativo de Puerto Rico (BANCOOP).

Al momento de redactar este Primer Informe Parcial sobre la medida, aún no se habían recibido comentarios de parte de la Policía de Puerto Rico (PPR) ni de la Oficina del Comisionado de Instituciones Financieras (OCIF).

Con el beneficio de los memoriales presentados ante la Comisión procedemos a esbozar los hallazgos preliminares de la investigación realizada:

DEPARTAMENTO DE ASUNTOS DEL CONSUMIDOR (DACO)

El Departamento de Asuntos del Consumidor (DACO), representado por su secretario Hiram J. Torres Montalvo, presentó un memorial explicativo sobre la R. de la C. 424 ante la Comisión de Asuntos del Consumidor de la Cámara de Representantes de Puerto Rico. En su exposición, la agencia reafirmó su compromiso institucional de proteger los derechos del consumidor y combatir tendencias inflacionarias en virtud de su Ley Orgánica.

DACO advierte que la rápida proliferación de la inteligencia artificial generativa representa un desafío sin precedentes, comparable con el surgimiento de internet en la década de los noventa. El acceso masivo a estas tecnologías ha impulsado la creación de Deepfakes, los cuales alteran imágenes, videos y archivos de voz para llevar a cabo actividades ilícitas y fraudes cada vez más realistas.

Indican que, a nivel estadístico, la situación refleja un aumento alarmante en los delitos cibernéticos. Durante el año 2025, el FBI registró más de 22,000 querellas vinculadas a esquemas de fraude con inteligencia artificial, ocasionando pérdidas superiores a los 893 millones de dólares en Estados Unidos y Puerto Rico. Además, se proyecta que el ciudadano promedio recibe diariamente 2.6 videos falsos generados con esta tecnología, lo que equivale a un incremento del 400 por ciento con respecto al año anterior.

Un área de máxima preocupación planteada por el DACO es la explotación de menores mediante la creación de imágenes y videos pornográficos. Según datos presentados, el 75 por ciento de los Deepfakes desarrollados en Estados Unidos y Europa contienen material pornográfico, y el 83.2 por ciento de estos corresponden a menores de edad. Esta preocupante tendencia ha motivado a decenas de jurisdicciones a regular de forma estricta el uso de la inteligencia artificial.

Frente a este escenario, el DACO reactivó la Oficina Contra la Obscenidad y Pornografía Infantil y creó la Unidad para la Detección de Esquemas Fraudulentos contra el Consumidor. Entre diciembre de 2025 y junio de 2026, esta unidad identificó 77 esquemas de fraude por medios electrónicos, de los cuales 42 utilizaron inteligencia artificial.

Finalmente, la agencia promueve campañas activas de educación en coordinación con entidades federales y estatales como el FBI, ICE y PRITS. Entre las principales recomendaciones defensivas para los ciudadanos se destaca evitar compartir información confidencial, verificar la procedencia de los correos electrónicos, no hacer clic en enlaces sospechosos y no descargar archivos adjuntos de fuentes desconocidas.

CORPORACIÓN PÚBLICA PARA LA SUPERVISIÓN Y SEGURO DE COOPERATIVAS (COSSEC)

La Corporación Pública para la Supervisión y Seguro de Cooperativas de Puerto Rico (COSSEC), representada por su presidenta ejecutiva Mabel Jiménez Miranda, presentó su ponencia oficial en torno a la Resolución de la Cámara 424 ante la Comisión de Asuntos del Consumidor de la Cámara de Representantes. En este documento, la entidad expresa su respaldo a las iniciativas enfocadas en fortalecer la ciberseguridad, proteger al consumidor y prevenir modalidades de fraude financiero impulsadas por el avance acelerado de la inteligencia artificial, tales como la suplantación de identidad, la clonación de voz, los deepfakes, los accesos no autorizados y los esquemas de phishing.

Asimismo, COSSEC destaca que el sistema cooperativo de ahorro y crédito en Puerto Rico ya cuenta con un marco regulatorio robusto para mitigar estos riesgos. Específicamente, se resalta la aprobación del Reglamento Núm. 9741 de Sistemas de Información y Tecnología el 13 de febrero de 2026, el cual exige a las cooperativas aseguradas mantener políticas actualizadas sobre gestión de riesgos tecnológicos, seguridad cibernética, continuidad operacional y notificación de incidentes para salvaguardar la información de los socios. Por esta razón, la institución sostiene que los objetivos principales de la medida legislativa ya están siendo atendidos dentro de su normativa vigente.

Finalmente, la COSSEC recomienda que cualquier esfuerzo legislativo adicional contemple un enfoque integral que promueva la educación continuada del personal regulatorio, programas de orientación preventiva para el consumidor y la colaboración interagencial para compartir información sobre nuevas amenazas. De igual manera, sugiere utilizar la propia inteligencia artificial como una herramienta defensiva para detectar patrones de transacciones inusuales y adaptar continuamente los reglamentos frente a la evolución tecnológica.

ASOCIACIÓN DE BANCOS DE PUERTO RICO (ABPR)

La Asociación de Bancos de Puerto Rico (ABPR), a través de su presidenta y principal oficial ejecutiva, la Lcda. Zoimé Álvarez Rubio, presentó sus comentarios sobre la Resolución de la Cámara 424 ante la Comisión de Asuntos del Consumidor de la Cámara de Representantes. En su exposición, la entidad aborda la creciente preocupación por el aumento de fraudes financieros facilitados por el uso de la inteligencia artificial y tecnologías de avanzada. Se destaca cómo herramientas sofisticadas como la inteligencia artificial generativa han permitido a los estafadores elaborar contenidos falsos altamente convincentes, crear videos deepfake, desarrollar identidades sintéticas y realizar ataques de phishing a una escala sin precedentes, dificultando la distinción entre interacciones legítimas y fraudulentas.

Para contrarrestar estas amenazas emergentes, la ABPR resalta que las instituciones bancarias en Puerto Rico invierten continuamente en tecnología avanzada y soluciones de seguridad basadas en IA. Entre las herramientas defensivas implementadas por la banca se encuentran el aprendizaje automático, la autenticación biométrica, el análisis de fraude en tiempo real, el cifrado de transmisiones mediante capas de conexión segura (SSL) y el uso de cortafuegos (firewalls) para evitar accesos no autorizados a las redes.

Además de los mecanismos tecnológicos, la ponencia enfatiza el rol fundamental de la educación continua para los clientes y los comercios. Los bancos educan de forma periódica sobre cómo reconocer y prevenir esquemas de fraude, aconsejando el uso de contraseñas complejas cambiadas con frecuencia, la activación de la autenticación multifactorial, la revisión constante de estados de cuenta y la precaución extrema al interactuar con correos electrónicos o enlaces sospechosos. Como esfuerzo complementario, la Asociación mantiene campañas educativas permanentes en medios de comunicación, redes sociales, charlas y su plataforma digital para orientar a la ciudadanía en general sobre la prevención del robo de identidad y el cibercrimen.

PUERTO RICO INNOVATION AND TECHNOLOGY SERVICES (PRITS)

La Puerto Rico Innovation and Technology Service (PRITS), por conducto de su director ejecutivo, Poincaré Díaz Peña, presentó su ponencia sobre la Resolución de la Cámara 424 ante la Comisión de Asuntos del Consumidor de la Cámara de Representantes, respaldando la investigación para prevenir el fraude financiero impulsado por la inteligencia artificial (IA). PRITS enfatizó que la prevención del fraude trasciende el ámbito bancario para convertirse en un eje transversal de la política pública sobre ciberseguridad, protección de datos, continuidad operacional y transformación digital. Amparada en la Ley 75-2019 y la Ley 40-2024, la agencia ejerce el mandato de liderar la política tecnológica estatal y consolidar la resiliencia cibersegura del gobierno.

En su análisis técnico, PRITS subrayó que la IA es una herramienta de uso dual: no representa una modalidad delictiva en sí misma, sino que es utilizada tanto por cibercriminales como por instituciones defensivas. Como amenaza, la IA sofisticaba modalidades de ingeniería social y ataques digitales como el phishing, spear phishing, smishing, vishing, el compromiso de correos corporativos (BEC), los deepfakes, la clonación de voz, las identidades sintéticas, la apropiación de cuentas, el SIM swapping, el credential stuffing, el quishing y las estafas en billeteras virtuales. Citando el informe IC3 del FBI de 2025, la agencia advirtió que los delitos cibernéticos generaron más de $20,900 millones en pérdidas mediante un millón de querellas, correspondiendo 22,364 de ellas al uso de IA con pérdidas superiores a $893 millones.

Por otra parte, como mecanismo de defensa, la IA y el aprendizaje automático fortalecen el ecosistema financiero cuando se combinan con biometría conductual, identificación de dispositivos, autenticación multifactor, llaves de acceso (Passkeys/FIDO2), la arquitectura Zero Trust, plataformas SIEM/SOAR/UEBA y el intercambio de inteligencia sobre amenazas. Este enfoque integral se sustenta en referencias de ciberseguridad como el NIST AI Risk Management Framework, el NIST Cybersecurity Framework 2.0, las guías de CISA y FFIEC, y el marco regulatorio federal de salvaguardas financieras (GLBA, FTC y Dodd-Frank).

En conclusión, PRITS puntualizó que los marcos voluntarios no eximen el cumplimiento de las obligaciones legales aplicables e instó a articular gobernanza, controles técnicos y capacitación ciudadana. Asimismo, recomendó a las comisiones legislativas integrar el insumo de la Oficina del Comisionado de Instituciones Financieras (OCIF) y del Departamento de Asuntos del Consumidor (DACO) para recopilar datos concretos de incidentes en Puerto Rico y perfeccionar las medidas de protección.

BANCO COOPERATIVO DE PUERTO RICO (BANCOOP)

El BanCoop compareció por conducto de su presidente y principal ejecutivo, Johnny A. Pérez Crespo, quien manifiesta que, como banco miembro de la Asociación de Bancos de Puerto Rico, acoge íntegramente el memorial de esta.

Habiendo presentado una síntesis de los comentarios presentados, la Comisión sostiene que los memoriales convergen en que el riesgo principal del fraude financiero con inteligencia artificial combina suplantación convincente, ingeniería social y acceso indebido a identidades digitales. El fraude puede originarse fuera de la infraestructura bancaria y concretarse mediante una transacción iniciada por el propio consumidor bajo engaño. Por ello, un programa exclusivamente orientado a infraestructura informática resulta insuficiente. Deben integrarse educación, verificación independiente de instrucciones de pago, autenticación fuerte, vigilancia transaccional y protocolos de respuesta y recuperación.

Resaltamos, además, las diferencias funcionales importantes. DACO aporta vigilancia y educación de consumidores; COSSEC supervisa cooperativas bajo su ámbito; PRITS tiene pericia en estándares y seguridad tecnológica del gobierno; y los bancos operan controles preventivos en sus propias redes. No obstante ninguna de las ponencias demuestra por sí sola la existencia de un sistema uniforme, interoperable y documentado de intercambio de alertas para todo el ecosistema financiero. Tampoco se acreditan acuerdos operacionales, plazos de notificación comunes o una metodología homogénea para clasificar fraudes asistidos por IA, por lo cual el tema que atiende la medida que nos ocupa debe retomarse para conocer las acciones administrativas puntuales que están llevando a cabo las agencias del gobierno y las entidades privadas concernidas para atender el tema del fraude financiero utilizando la emergente tecnología de inteligencia artificial.

Particularmente, la protección debe extenderse a adultos mayores y personas con barreras tecnológicas, sin excluir a quienes no disponen de teléfonos inteligentes o biometría para satisfacer los protocolos técnicos de privacidad.

HALLAZGOS PRELIMINARES DE LA INVESTIGACIÓN

1. La IA incrementa la escala, credibilidad y personalización de modalidades tradicionales de fraude, resultando en un gran reto para los ciudadanos; principalmente frente a poblaciones vulnerables como los adultos mayores.
2. Los riesgos examinados incluyen suplantación de voz y rostro, phishing y sus variantes, apropiación de cuentas, identidades sintéticas, fraude empresarial y manipulación de instrucciones de pago.
3. Los bancos participantes describen inversiones y prácticas preventivas, pero no aportan métricas auditables de efectividad o resultados. Resulta indispensable retomar los esfuerzos llevados a cabo por la banca y profundizar sobre las estadísticas de casos manejados.
4. COSSEC informa la existencia del Reglamento Núm. 9741 y obligaciones de seguridad tecnológica para cooperativas bajo su supervisión; pero no se documenta su nivel de cumplimiento, por lo cual resulta necesario profundizar sobre las estadísticas de casos manejados.
5. DACO informa 77 esquemas detectados, 42 vinculados en algún grado a IA, durante el periodo informado; pero el dato no equivale a casos resueltos en favor de las víctimas, por lo cual resulta necesario profundizar sobre el resultado de los casos.
6. PRITS identifica estándares, herramientas y fundamentos normativos aprovechables para un enfoque coordinado y basado en riesgo, por lo que resulta necesario brindar seguimiento a las gestiones del Gobierno de Puerto Rico para combatir el fraude financiero por medio de la Inteligencia Artificial.
7. El expediente no contiene una base estadística consolidada de incidentes, pérdidas, restituciones, sectores afectados o tiempos de respuesta en Puerto Rico para resolver casos de fraude financiero. Como cuestión de hecho, no se pudo contar con los comentarios de la Policía de Puerto Rico, por lo cual resulta necesario brindar seguimiento sobre el particular.
8. Tampoco consta memorial de OCIF entre los documentos examinados, pese a estar expresamente contemplada su colaboración por la resolución, por lo cual resulta necesario brindar seguimiento sobre el particular.
9. Las nuevas modalidades de los delitos de fraude financiero exigen fortalecer la educación preventiva y la coordinación entre sector público, instituciones financieras, cooperativas y proveedores tecnológicos.
10. Los mecanismos de autenticación y monitoreo deben equilibrarse con privacidad, accesibilidad y procedimientos de revisión de decisiones automatizadas.

CONCLUSIONES Y RECOMENDACIONES

La Comisión de Asuntos del Consumidor, luego del análisis de la medida, sostiene que la amenaza es actual, afecta a diversos sectores de la población y es cambiante con el desarrollo de nueva tecnología y esquemas de fraude financiero. El marco regulatorio y los controles tecnológicos descritos anteriormente proporcionan una base útil, pero la documentación recibida revela necesidades de coordinación, medición y divulgación preventiva por parte de las agencias gubernamentales y las entidades privadas concernidas.

Es por lo que, con el claro objetivo de atender las brechas específicas de protección al consumidor, y para poder rendir en su momento un Informe Final sobre esta medida, recomendamos brindar seguimiento sobre los siguientes asuntos:

1. que DACO, PRITS, COSSEC y OCIF establezcan, dentro de sus competencias y mediante acuerdos pertinentes, una mesa de coordinación sobre fraude financiero facilitado por IA, con participación voluntaria del sector bancario, cooperativo, telecomunicaciones y entidades federales pertinentes;
2. solicitar a OCIF un memorial técnico y estadísticas agregadas disponibles sobre reclamaciones, modalidades, pérdidas y prácticas de mitigación, sin divulgar información confidencial, bancaria o de seguridad;
3. solicitar a la PPR un memorial sobre la medida, a los fines de que se informe cómo la agencia maneja los casos de fraude financiero, estadísticas, adiestramientos tomados, casos resueltos, entre otra información pertinente;
4. promover un protocolo uniforme de clasificación y reporte estadístico de incidentes que distinga fraude confirmado, intento, alerta, querella, víctima, monto comprometido, pérdida efectiva y recuperación; identificar separadamente el uso confirmado, probable o desconocido de IA;
5. recomendar campañas permanentes de educación de DACO, la banca comercial y aliados, con ejemplos de clonación de voz, deepfakes, enlaces falsos, códigos QR, suplantación de entidades, transferencias urgentes y procedimientos para denunciar; desarrollar materiales accesibles para adultos mayores y poblaciones vulnerables;
6. fomentar entre entidades sujetas a supervisión competente controles proporcionales al riesgo: autenticación resistente al phishing, alertas transaccionales, verificación por canal independiente de cambios de cuentas beneficiarias, detección de anomalías y protocolos de suspensión y escalamiento de operaciones sospechosas;
7. evaluar, con reguladores y entidades afectadas, mecanismos de respuesta rápida ante incidentes, preservación de evidencia, orientación para congelación o recuperación de fondos y canales claros de reclamación;
8. solicitar a COSSEC un informe sobre los resultados obtenidos tras la implantación del Reglamento Núm. 9741 con indicadores agregados de cumplimiento, capacitación, incidentes y acciones correctivas, sujeto a la protección de información sensible;
9. encomendar a PRITS desarrollar guías técnicas voluntarias para entidades gubernamentales que interactúan con pagos o datos financieros, tomando como referencia NIST AI RMF, CSF 2.0, CISA y estándares actualizados, sin atribuirle facultades regulatorias sobre banca privada que no le hayan sido conferidas;
10. evaluar la necesidad de presentar legislación complementaria sobre suplantación digital fraudulenta, transparencia en comunicaciones automatizadas y protección de consumidores, luego de evaluar legislación penal y civil vigente, preeminencia federal e impacto fiscal; y
11. evaluar la necesidad de emitir requerimientos de información a las agencias pertinentes sobre resultados, indicadores de prevención y brechas normativas sobre los delitos de fraude financiero y el uso de la Inteligencia Artificial.

Por todo lo antes expuesto, la Comisión de Asuntos del Consumidor, luego del estudio y consideración de la Resolución de la Cámara 424, según enmendada, somete a este Honorable Cuerpo Legislativo este Primer Informe Parcial, con sus hallazgos, conclusiones y recomendaciones.

Respetuosamente sometido,

HON. EDGAR E. ROBLES RIVERA

Presidente

Comisión de Asuntos del Consumidor