Un amigo que construía un producto de pagos vio que una billetera suya fue marcada por una API de puntuación de riesgos el año pasado. Quedó bloqueada en un flujo de incorporación con una puntuación de 87 sobre 100 y no más. Sin explicación, sin lista de señales, sin forma de apelar más allá de enviar un correo al soporte y esperar. La billetera resultó pertenecer a alguien que simplemente había interactuado años antes con un protocolo DeFi que luego fue retirado del listado (de-listado), sin relación con lo que la persona estaba haciendo realmente.
Esa historia se me quedó grabada porque la puntuación no estaba mal exactamente. Solo que no se podía comprobar. El equipo de mi amigo no tenía manera de ver qué la había disparado, no podía saber si el modelo estaba desactualizado, no podía distinguir una señal de riesgo real del ruido antiguo que arrastraba un algoritmo que nadie podía inspeccionar.
El scoring de riesgo como categoría tiene este problema incorporado. Un número entre 0 y 100 lleva una autoridad real, suficiente para bloquear una transacción, congelar una cuenta, impedir el alta de un usuario, y casi ninguna de esa autoridad viene con una razón visible adjunta. Eso es tolerable cuando la puntuación coincide con lo que ya sospechabas. Es un costo real la única vez que no, porque no hay nada que impugnar salvo el número en sí.
El scoring de riesgo de Magic Labs, ahora integrado en las políticas de Newton, se nutre de siete años de datos transaccionales de más de 50 millones de billeteras, combinados con datos de sanciones de la OFAC y conjuntos de datos públicos. Esa es una base de datos seria, más de la que tienen la mayoría de herramientas de riesgo independientes. Pero la profundidad de los datos nunca fue realmente el problema de mi amigo. El problema era que el número llegaba sin ningún razonamiento adjunto, de cualquier proveedor, por muy buenos que fueran los datos subyacentes.
Aquí está la parte que en realidad es diferente al ejecutar ese scoring a través de una política de Newton en vez de una simple llamada a una API. La evaluación produce una atestación: un registro de qué política se ejecutó, qué señales ponderó y a qué conclusión llegó, visible después en el Newton Explorer. El puntaje en sí no se vuelve más preciso solo porque esté atestado. Lo que se vuelve posible es comprobar el razonamiento después de los hechos, en vez de solo aceptar o disputar un número de forma aislada.
No creo que esto resuelva el problema más difícil del scoring de riesgo: si el modelo subyacente está realmente bien calibrado, si las señales obsoletas se ponderan demasiado, y si una billetera marcada tiene alguna vía real para corregirse. Una atestación prueba que se ejecutó una política y qué decidió. No prueba que esa política fuera la adecuada.
Lo que sí cambia es dónde recae la rendición de cuentas. Un puntaje de caja negra es una decisión que nadie fuera del proveedor puede inspeccionar. Una decisión atestada es una decisión que cualquiera afectado por ella puede realmente comprobar.
La billetera de mi amigo quedó desbloqueada finalmente, después de un ticket de soporte y una revisión manual que tardó más de lo que debería. Prefiero que el razonamiento hubiera sido verificable desde el principio en lugar de tener que luchar para que un humano explicara un número.