Toda plataforma tiene una tasa de fraude óptima. Y nunca es cero.
Las grandes plataformas no aspiran al fraude cero: lo calculan y lo presupuestan. La norma interna que fija ese nivel tolerado es el documento más peligroso que guarda la empresa.
Empecemos por la cifra que toda plataforma dice perseguir: fraude cero. Ninguna la persigue de verdad. Quienes dirigen las grandes redes publicitarias y los grandes marketplaces saben que el último resto de fraude es el más caro de eliminar, y la economía apunta en la misma dirección. Cazar esa última fracción de actores maliciosos cuesta más en ingresos perdidos, falsos positivos y horas de revisión de lo que ese fraude jamás llegará a pesar en el panel de control que la empresa realmente vigila.
Esto no es cinismo, es la economía de la aplicación de normas. Gary Becker lo planteó en 1968 en su trabajo sobre delito y castigo: el nivel de vigilancia que maximiza el beneficio nunca es el que elimina todo el delito. Superado cierto punto, cada euro adicional invertido en control atrapa cada vez menos, mientras el coste colateral de bloquear a clientes legítimos sigue subiendo. Toda plataforma se enfrenta a la misma curva, y solo con la economía en la mano, su óptimo se sitúa en un punto calculable muy por debajo de cero.
¿Por qué iba una empresa a tolerar un fraude que podría eliminar?
Porque eliminarlo no es gratis, y las pérdidas las asume otro. Supongamos que a un equipo de verificación publicitaria se le indica que no puede expulsar a un anunciante fraudulento cuando hacerlo cueste más de una fracción fija de los ingresos. Esa instrucción, en este ejemplo hipotético, no es un fallo de seguridad: es una partida presupuestaria. El fraude ha sido tasado, limitado y aprobado. La víctima de la estafa es una externalidad que el modelo de precios no contempla, porque nunca aparece en la columna de ingresos que la norma protege.
Vista así, la frase «nos tomamos el fraude muy en serio» hace mucho trabajo. Una plataforma puede tomarse el fraude muy en serio como centro de coste y aun así mantenerlo deliberadamente en un nivel distinto de cero, igual que un supermercado se toma en serio la merma sin poner un vigilante en cada pasillo. El problema no es que las plataformas razonen así: toda empresa con una función de pérdidas lo hace. El problema es qué ocurre cuando esa función de pérdidas se pone por escrito.
La cifra no es el problema. El documento sí.
Una tasa de fraude tolerada que solo existe en la cabeza de un directivo es un criterio operativo. Esa misma tasa, convertida en una política interna que prohíbe retirar a actores rentables pero dañinos por debajo de un umbral de ingresos, es otra cosa muy distinta. Convierte un fallo de moderación en una decisión. Transforma un «no lo detectamos» en un «lo modelizamos, lo tasamos y decidimos mantenerlo», que es la diferencia entre negligencia y premeditación en casi cualquier sistema legal que importe.
Esa es la asimetría que nadie calcula. La ventaja económica de dejar la norma por escrito es, como mucho, un proceso de aplicación algo más ordenado. La desventaja es una prueba localizable, con fecha y autor, guardada en un sistema diseñado precisamente para conservarla. Cualquier empresa que gestione un marketplace, una red publicitaria o una plataforma con contenido de usuarios debería tratar su propio análisis de «tasa de daño aceptable» primero como una futura prueba judicial y solo después como una herramienta operativa. La hoja de cálculo sobrevive al trimestre para el que se construyó.
¿Por qué la moderación es estricta con lo inofensivo y laxa con lo dañino?
Porque la aplicación de normas se calibra según el gradiente de ingresos, no el gradiente de daño. Los sistemas automatizados son implacables con el material barato de detectar y barato de retirar: un tutorial para aficionados, un truco de configuración, un vídeo que activa un filtro de derechos de autor. Son permisivos con el material caro de juzgar y lucrativo de conservar: el anunciante fraudulento que paga la tarifa completa. La máquina optimiza la métrica que puede medir a escala, y el daño no es esa métrica. El daño es lento, discutible y humano. El clic es instantáneo.
Aquí es donde muchas plataformas han delegado silenciosamente el criterio en un proceso que nunca se diseñó para ejercerlo. La adjudicación genuina es cara, así que se sustituye por decisiones automatizadas sin nadie que revise los casos difíciles. El resultado es un sistema que se equivoca con total confianza en ambos extremos: sobrebloquea lo trivial, infrabloquea lo peligroso, y llama «moderación» al conjunto. Si estás construyendo la aplicación de normas sobre agentes automatizados, el fallo no está en que el modelo sea débil, está en que el modelo apunta al objetivo equivocado y nadie lo supervisa.
Qué ha cambiado, y por qué tu archivo de riesgo ya es una prueba
Dos cosas se han movido a la vez. Primero, la corrección siempre ha llegado tarde. Las medidas de seguridad que una plataforma anuncia son, casi siempre, resultado de un acuerdo judicial más que controles proactivos, porque una multa tasada por debajo de los ingresos que genera un diseño dañino es, sencillamente, un coste más del negocio. Reguladores y fiscales estatales han empezado a decirlo en voz alta: un fiscal general estatal ganó un veredicto de jurado histórico contra una gran plataforma por daños que su propio diseño produjo, y el Reino Unido impone ya obligaciones exigibles de protección infantil a los servicios online en lugar de esperar a que se ofrezcan voluntariamente.
Segundo, la sanción está cambiando de forma. Cuando las multas eran cantidades fijas, calcular un nivel de daño tolerado era racional y seguro: la pérdida potencial estaba acotada y solía ser menor que la ganancia. A medida que las sanciones pasan a ser un porcentaje de los ingresos globales, y las teorías de producto defectuoso tratan un diseño dañino como un producto con fallos y no como discurso protegido, esa pérdida acotada deja de estarlo. El documento interno que hacía funcionar las viejas cuentas se convierte en la prueba que demuestra la intención bajo las nuevas.
¿Qué cambiaría esta lectura? Si una plataforma publicase su umbral de fraude tolerado y después retirase de forma demostrable a los actores que superan una línea de daño fija, con independencia de lo que paguen, el argumento de la «negligencia presupuestada» perdería fuerza, porque la norma estaría calibrada por daño y no por ingresos. Esa versión existe en la teoría. Es rara en la práctica, y la razón es la misma por la que el óptimo nunca es cero.
La conclusión práctica para quien opere una plataforma es poco glamurosa. Da por hecho que la tasa de fraude no es cero, porque no lo es. Después, asegúrate de que la forma en que razonas sobre ella sobreviviría a ser leída en voz alta en una sala de juicio, lo que normalmente significa calibrar la aplicación de normas por daño, documentar la línea de daño y no la de ingresos, y tratar todo el ejercicio como un problema de gobernanza, no una hoja de cálculo. La cantidad óptima de fraude no es cero. La cantidad óptima de autoincriminación, sí.
Preguntas frecuentes
¿Existe de verdad una cantidad «óptima» de fraude para una empresa?
Sí, en el sentido económico estricto. Superado cierto punto, atrapar más fraude cuesta más de lo que ese fraude provoca, tanto en gasto directo de control como en el bloqueo indebido de clientes legítimos. Toda empresa con pérdidas se enfrenta a esta curva. La controversia no es que exista un óptimo, sino si las plataformas lo calibran por el daño a las víctimas o solo por sus propios ingresos.
¿Tolerar algo de fraude hace responsable legalmente a una plataforma?
Tolerarlo en silencio es una cosa; documentar una norma que mantiene en activo a actores rentables pero dañinos es otra. Esto es análisis, no asesoría legal, pero el patrón general es claro: una política interna que tasa y aprueba un nivel de daño puede leerse como prueba de una decisión deliberada, mucho más difícil de defender que un fallo genuino de detección.
¿Cómo debería documentar un marketplace sus controles de fraude y abuso?
Calibrando los umbrales por daño y no por ingresos, y dejando el razonamiento por escrito en esos términos. Un control que dice «retira a cualquier actor que supere esta línea de daño» se lee de forma muy distinta a uno que dice «no retires actores por debajo de este coste de ingresos». Da por hecho que cualquier cosa que registres podría acabar en un procedimiento judicial, y haz que el registro describa el daño que evitas, no el ingreso que proteges.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.