«El mulero clásico irá siendo desplazado por la cuenta puramente artificial», advierte Rafael Chelala Riva, experto en delito tecnológico

El fraude mediante cuentas mula, que durante años fue un problema periférico de la criminalidad en línea, se ha convertido en una de las principales preocupaciones de bancos, tribunales y reguladores. La irrupción de la inteligencia artificial cambia su escala y su coste: los modelos de lenguaje reclutan a cualquier hora, los sistemas generativos fabrican ofertas y documentos de apariencia impecable, y las identidades sintéticas y los deepfakes amenazan con dejar sin persona real la cuenta que recibe el dinero. A ello se suma un marco normativo en plena transición, con el nuevo Reglamento europeo de servicios de pago todavía pendiente de publicación, y una jurisprudencia que discute dónde termina la responsabilidad del ordenante y dónde empieza la de la entidad.

G

Agrega

como fuente preferida en Google

Para analizarlo, Economist & Jurist ha entrevistado a Rafael Chelala Riva, abogado colegiado en el Ilustre Colegio de la Abogacía de Madrid y especialista en Derecho procesal penal económico y en Derecho de datos, con especial dedicación al delito tecnológico y a la defensa de las entidades financieras frente al fraude. Licenciado en Derecho por la Universidad Complutense de Madrid, Máster en Finanzas por CUNEF y Máster en Business Innovation por la Universidad de Deusto, es doctorando en Derecho mercantil con una tesis sobre la responsabilidad civil de la inteligencia artificial y su aseguramiento, y profesor en Deusto Business School.

En la conversación, Chelala sostiene que la inteligencia artificial no ha inventado el fraude, sino que lo potencia, y que el mulero clásico irá cediendo paso a la cuenta puramente artificial. Distingue entre el dolo eventual, el blanqueo imprudente y la mera instrumentalización del titular, y advierte de que la frontera entre ellos es, en última instancia, una cuestión de prueba. Defiende que las entidades tienen obligaciones de medios y no de resultado, y que no deben convertirse en aseguradoras universales del fraude. Repasa además el alcance de PSD3 y del nuevo Reglamento de servicios de pago, que serán exigibles mañana y no hoy, y concluye que la misma tecnología que industrializa el fraude es la que mejor lo detecta, con un equilibrio ético que, a su juicio, tendrán que fijar los juristas y no las máquinas.

Economist & Jurist (E&J).- ¿Cómo está modificando la inteligencia artificial las estructuras tradicionales de fraude mediante cuentas mula?

Rafael Chelala Riva (R. C. R.).- La inteligencia artificial no ha inventado el fraude mediante cuentas mula, que es la figura más antigua y más vigente de la criminalidad patrimonial en línea; lo que hace es actuar como potenciador de un delito que ya existía, alterando su escala y su coste. Conviene situarlo en contexto: hoy la inmensa mayoría de los delitos patrimoniales contra las entidades financieras y sus clientes se cometen ya por medios cibernéticos, y sobre ese terreno la inteligencia artificial supone un salto cualitativo. Reclutar muleros era una tarea intensiva; hoy esa conversación la sostiene un modelo de lenguaje a cualquier hora y en cualquier idioma, mientras otro sistema genera ofertas de empleo y documentación de apariencia impecable. Pero el cambio estructural está en los agentes de inteligencia artificial, capaces de ejecutar procesos complejos de principio a fin sin intervención humana: generar una identidad, superar el alta, sostener la interacción y mover los fondos. Cuando eso se generalice, el mulero clásico irá siendo desplazado por la cuenta puramente artificial.

(Imagen: E&J)

E&J.- ¿Qué elementos permiten diferenciar jurídicamente al denominado «mulero» que actúa con conocimiento del origen delictivo de los fondos de aquel que ha sido instrumentalizado sin conocer su verdadera finalidad?

R. C. R.- La diferencia está en el elemento subjetivo, en lo que el titular sabía o debía saber sobre el origen de los fondos, y la clave para medirlo es el canon de la persona media. Quien se concierta con la red y conoce, siquiera con dolo eventual, la procedencia del dinero responde como cooperador en la estafa o autor de blanqueo doloso; quien ha sido puramente instrumentalizado, sin poder saber para qué servía su cuenta, por ejemplo por una absoluta falta de formación, podría quedar fuera del ámbito delictivo. Y en medio está la zona más frecuente: el blanqueo imprudente del artículo 301.3 del Código Penal, que se sitúa en el incumplimiento del deber de cuidado cuando las circunstancias hacían evidente la anomalía para cualquier persona media. Y lo eran: cualquiera que haya trabajado sabe que un empleo exige un alta en la Seguridad Social y un contrato, y que una «oferta» que consiste en recibir transferencias de desconocidos y reenviarlas a cambio de una comisión no es un empleo. A ello se añade la ignorancia deliberada como forma de dolo eventual: la situación, hoy muy habitual, de quien no quiere saber lo que hay detrás porque intuye la respuesta.

E&J.- ¿Qué responsabilidad penal puede asumir una persona que presta o facilita su cuenta para recibir fondos de origen ilícito?

R. C. R.- Cuando quien presta su cuenta conoce el fin al que se destina, su aportación no es accesoria sino esencial: sin una cuenta real a la que llegue el dinero, el fraude no se consuma, y recibir los fondos y desviarlos con rapidez es la pieza fundamental del esquema. Esa contribución constituye cooperación necesaria del artículo 28 del Código Penal respecto de la estafa, con la misma pena que el autor, cuando existe concierto y conocimiento del plan, y así integra la jurisprudencia a los muleros en esquemas de estafa continuada, falsedad y organización criminal. Si el conocimiento alcanza solo a la procedencia delictiva del dinero, la conducta se reconduce al blanqueo doloso, y si no hay dolo pero sí desatención grave del deber de cuidado, al blanqueo imprudente. El abanico puede ir desde la pena de la estafa hasta la impunidad, y lo recorre el grado de conocimiento y de dominio del hecho, sin olvidar la responsabilidad civil derivada del delito, que convierte al mulero, casi sin excepción, en el único obligado alcanzable para la víctima.

E&J.- ¿Dónde se encuentra actualmente la frontera entre el blanqueo imprudente, el dolo eventual y la mera instrumentalización del titular de la cuenta?

R. C. R.- Es una frontera complicada, porque los tres estados se distinguen por un dato interno, lo que el sujeto se representó, que el tribunal solo puede reconstruir por indicios. En el dolo eventual el sujeto se representa la alta probabilidad del origen delictivo y actúa aceptándola; en la imprudencia grave no se la representa, pero debió hacerlo porque era evidente para cualquier persona media; y en la instrumentalización pura no había señal razonable de alarma. Dicho esto, la impunidad es complicada, precisamente porque es muy raro que a quien participa no le salte alguna alarma: la oferta irreal, el dinero de desconocidos, la orden de reenviarlo de inmediato. Todo se reduce, en definitiva, a una cuestión de prueba. Lo verdaderamente normal, a estas alturas, cuando existe tanta información pública sobre estos fraudes, es la ignorancia deliberada ante ofertas de trabajo irreales, y esa figura sirve, a mi entender, para calificar a quien elige no saber, no para presumir el dolo de quien sencillamente no pudo saber. La inteligencia artificial desplaza algo la frontera, porque un reclutamiento con ofertas, empresas y contratos impecables hace menos evidente lo que antes lo era, y exigirá mayor rigor probatorio para sostener el dolo eventual.

(Imagen: E&J)

E&J.- ¿Qué obligaciones concretas tienen las entidades bancarias respecto de la identificación y seguimiento de las cuentas que pueden estar siendo utilizadas como cuentas mula?

R. C. R.- La regulación es muy estricta. La Ley 10/2010 de prevención del blanqueo impone la identificación del cliente y del titular real, el seguimiento continuo de la operativa, el examen especial de las operaciones anómalas, la comunicación por indicio al SEPBLAC y la abstención de ejecutar ante sospechas, bajo un régimen sancionador severo; a ello se suman el deber de cooperación en la recuperación de fondos y, desde octubre de 2025, la verificación de la coincidencia entre nombre e IBAN. Pero quiero subrayar algo que se olvida cuando se presenta a la banca como parte pasiva: las entidades son las primeras interesadas en bloquear estas cuentas y en garantizar la trazabilidad de los fondos, porque la entidad que reembolsa a su cliente una operación no autorizada se convierte en la perjudicada patrimonial del delito y, cada vez con más frecuencia, se persona como acusación particular contra la red y el mulero, quedando el cliente inicialmente perjudicado como testigo ya resarcido. Todas esas obligaciones son de medios y no de resultado: exigen medidas proporcionadas al riesgo, no garantizar que ninguna cuenta sea utilizada indebidamente, lo que en la práctica es imposible.

E&J.- ¿Hasta dónde puede llegar la responsabilidad civil de la entidad bancaria receptora cuando una víctima de fraude reclama por no haber detectado una operativa sospechosa?

R. C. R.- El punto de partida es que la entidad receptora no es garante del patrimonio de un tercero con el que no tiene relación contractual, de modo que su responsabilidad solo puede nacer de un incumplimiento concreto de los deberes que la norma le impone, nunca de que el dinero acabara en una de sus cuentas. El artículo 59 del Real Decreto-ley 19/2018 considera correctamente ejecutada la orden cursada conforme al IBAN, y el Tribunal de Justicia de la Unión Europea, en el asunto Tecnoservice, extendió esa protección al proveedor del beneficiario. Dicho esto, las entidades deben establecer, y de hecho establecen, procesos de detección, muchos ya regulados: diligencia debida y seguimiento continuo, alta con verificación de identidad y prueba de vida, y monitorización transaccional. Solo la ausencia de esos procesos, o la pasividad ante indicios claros comunicados, abriría una vía de responsabilidad, por culpa propia acreditada y no por el resultado; la entidad que actúa con responsabilidad queda fuera del reproche. Y aquí la inteligencia artificial es también un aliado para bien: el aprendizaje automático detecta patrones de cuenta mula mucho mejor que las reglas estáticas, y el Reglamento europeo de inteligencia artificial ha acertado al excluir del alto riesgo a los sistemas de detección del fraude financiero.

E&J.- ¿Qué relevancia tiene actualmente la jurisprudencia del Tribunal Supremo y del Tribunal de Justicia de la Unión Europea sobre la responsabilidad de las entidades en las transferencias fraudulentas?

R. C. R.- Una relevancia decisiva, y en mi opinión se está moviendo en una dirección razonable: hacia la responsabilidad del ordenante en las transferencias consentidas, sin perjuicio de valorar si ha existido una clara negligencia de la entidad. La piedra angular es la distinción entre operación autorizada y no autorizada. Si el defraudador obtiene las credenciales y ejecuta él mismo la disposición, la operación no está autorizada y suele regir el reembolso del Real Decreto-ley 19/2018, salvo fraude o negligencia grave del usuario. Pero cuando es la propia víctima quien, engañada, emite la orden de pago, la jurisprudencia europea desde Tecnoservice y las recientes sentencias de la Sala Primera sitúan el riesgo en el ordenante y exoneran a la entidad que ejecutó conforme al identificador único y cumplió sus deberes de verificación y cooperación. Solo en supuestos de negligencia grave acreditada de la entidad, como la pasividad ante indicios claros de fraude que el propio cliente le ha comunicado, cabe un reproche, y la entidad que monitoriza, alerta y reacciona queda fuera de él. Y es que la propia agilidad que exigen las operaciones financieras obliga a un mayor control por parte del ordenante en unas transacciones electrónicas que las entidades no pueden verificar una a una, debiendo presuponerse que quien ordena una transferencia desea enviar los fondos al destinatario identificado por un IBAN válido.

(Imagen: E&J)

E&J.- ¿Considera que el desarrollo de las identidades sintéticas y los deepfakes puede modificar sustancialmente los actuales mecanismos de prevención del fraude bancario?

R. C. R.- Sin ninguna duda; estamos ante otro nivel de exposición. Los mecanismos de prevención partían de una premisa: detrás de cada cuenta hay una persona real, que puede haber sido engañada o comprada, pero que existe, tiene un documento, una cara y una voz. La identidad sintética rompe esa premisa, porque combina datos reales y fabricados en una persona que no existe, y los deepfakes le ponen rostro y voz en tiempo real para superar la videoidentificación y la prueba de vida. El propio mecanismo de comisión cambia con una tecnología mucho más potente y de desarrollo exponencial: lo que hoy exige un equipo técnico mañana lo ofrecerá un servicio contratable por cualquiera. Eso obliga a rediseñar la prevención en el plano técnico, con detección de inyección y contraste con fuentes oficiales; en el organizativo, donde la intervención humana en la videoconferencia sigue siendo uno de los mejores detectores; y en el jurídico, porque cuando la cuenta se abre con una identidad que no existe, la entidad no es un tercero negligente sino la víctima directa de un engaño en el alta. La prevención deja de ser un problema de conocer al cliente para convertirse en el de saber si el cliente existe.

E&J.- ¿Qué dificultades plantea para la investigación penal que las redes criminales utilicen cuentas abiertas mediante identidades sintéticas o documentación generada mediante IA?

R. C. R.- La primera y más grave es que la localización del autor se complica muchísimo, porque desaparece el único eslabón real de la cadena. El mulero ha sido, paradójicamente, el mejor aliado del investigador: la única persona identificada y localizable de todo el esquema, con un expediente de alta, un domicilio y un teléfono desde los que se reconstruye el reclutamiento hacia atrás y el destino de los fondos hacia delante. Cuando ese eslabón sea una identidad que no existe, la instrucción perderá su punto de entrada natural y la víctima, al único demandado alcanzable. El autor se aleja un paso más y su actividad se vuelve exponencial, porque abre tantas cuentas como identidades genera sin exponer a ninguna persona física.

A ello se suman la dificultad probatoria de una documentación sintética casi indistinguible de la auténtica y el salto de jurisdicciones: el dinero pasa por cuentas en distintos países y sale a criptoactivos en minutos, mientras cada salto exige un instrumento de cooperación internacional distinto. Frente a ello, la respuesta pasa por la cooperación entre entidades y con las autoridades y por el intercambio de información en tiempo real, que es donde la banca está invirtiendo con mayor intensidad.

E&J.- ¿Cómo pueden afectar PSD3 y el nuevo marco europeo de servicios de pago a las obligaciones de las entidades bancarias frente a este tipo de operaciones?

R. C. R.- La reforma, articulada en la tercera Directiva y sobre todo en el nuevo Reglamento de servicios de pago, cuyo texto de compromiso respaldó el Consejo en abril de 2026 y sigue pendiente de publicación oficial, supondrá cambios de calado, aunque su aplicación general no llegará hasta veintiún meses después de su entrada en vigor (artículo 112, en la numeración de ese texto). El primero es la generalización de la verificación del beneficiario a todas las transferencias, de modo que quien la aplica correctamente queda indemne y quien no lo hace responde (artículos 50 y 57, aplicables a los veintisiete meses). El segundo, el más relevante, es el reconocimiento del fraude por suplantación de la propia entidad: cuando el defraudador se hace pasar por el banco a través de sus canales de comunicación y logra que el cliente autorice un pago, el consumidor tendrá derecho al reembolso íntegro, condicionado a la notificación sin demora indebida y a la denuncia policial (artículo 59.1), salvo fraude o negligencia grave del propio consumidor (artículo 59.3), cuya prueba recae en la entidad (artículo 59.4); por primera vez una operación autorizada da lugar a reembolso. El tercero afecta directamente a las cuentas mula: la monitorización de operaciones se impone también al proveedor del beneficiario antes de poner los fondos a disposición (artículo 83.1 bis); la entidad receptora podrá retener y devolver los fondos cuando tenga razones objetivamente justificadas para sospechar el fraude, y deberá hacerlo cuando esas razones sean claras e incontrovertibles (artículo 69.2 bis); y la participación en acuerdos de intercambio de información sobre fraude entre proveedores pasa a ser obligatoria (artículo 83 bis), con cooperación de operadores de telecomunicaciones y grandes plataformas (artículo 59 bis). Es un marco equilibrado, que no consagra una responsabilidad objetiva y mantiene la negligencia grave del usuario como excepción (artículo 60.1 bis); pero esos deberes serán exigibles mañana, no hoy, y no puede hacerse responder a una entidad en 2026 por un canon que el legislador todavía no ha puesto en vigor.

(Imagen: E&J)

E&J.- ¿Qué medidas deberían reforzar actualmente las entidades financieras para detectar y bloquear este tipo de operativas?

R. C. R.- Más que de medidas nuevas hablaría de intensificar lo que ya hacen, porque el esfuerzo preventivo del sector es real: las entidades realizan análisis forense sobre cada nueva variante de fraude, extraen su patrón, activan nuevos controles y conciencian a sus clientes con campañas y advertencias constantes. Sobre esa base, lo que a mi juicio debe reforzarse es, primero, la prevención en el alta, que es donde nace la cuenta mula: verificación de identidad robusta frente a la inyección de vídeo y los documentos sintéticos, con intervención humana en los casos de riesgo. Segundo, la detección de comportamiento en las primeras semanas de vida de la cuenta, porque la cuenta recién abierta que recibe un ingreso de un tercero y lo vacía de inmediato responde a un patrón que el aprendizaje automático identifica con creciente precisión. Tercero, la cooperación entre entidades, que permite bloquear en la receptora lo que detecta la del ordenante, la mayor ganancia en tiempo cuando los pagos son inmediatos. Y cuarto, la velocidad de reacción ante el aviso de fraude, que marca la diferencia entre la entidad exonerada y la condenada. La misma tecnología que industrializa el fraude es la que mejor lo detecta.

E&J.- ¿Cuál considera que será el principal reto jurídico en los próximos años ante la utilización de inteligencia artificial para automatizar el fraude financiero?

R. C. R.- El reto es gigantesco, y lo es especialmente para los bancos, que no dejan de ser los garantes de nuestra salud financiera y, a la vez, la primera víctima de esta criminalidad. El reto de fondo es mantener un sistema de responsabilidad coherente cuando el fraude se automatiza en toda su cadena mientras el derecho sigue presuponiendo que en algún punto hay una persona que engaña, otra engañada y otra que presta su cuenta. En lo penal habrá que decidir cómo se imputa el resultado de un proceso ejecutado por un agente autónomo. En el civil, la presión para convertir a la entidad en aseguradora universal del fraude va a crecer, porque será el único patrimonio alcanzable cuando el autor esté fuera de toda jurisdicción y el mulero haya desaparecido; el reto es resistir la tentación de desplazar el riesgo por vía interpretativa hacia entidades que cumplen una regulación ya muy estricta, cuando el legislador europeo ha optado, con acierto, por un reparto equilibrado y no por la responsabilidad objetiva. Y añadiría la dimensión ética, que me preocupa tanto como la penal: la misma inteligencia artificial que permite defraudar a escala es la que la banca necesita para defenderse, y el equilibrio entre una detección eficaz y el respeto a los datos y a la no discriminación algorítmica no lo van a fijar las máquinas; lo tendremos que fijar los juristas.