RegulAI — Compliance Automation API

Concepto

RegulAI es un agente de IA SaaS para automatización de cumplimiento AML/CFT dirigido a equipos de Cumplimiento y Riesgo en Fintechs (neobancos, procesadores de pago, exchanges de cripto). Sustituye la monitorización manual de transacciones y los sistemas basados en reglas estáticas con un agente de IA que:

1. Ingiere transacciones en tiempo real vía API REST segura.
2. Analiza cada transacción usando reglas AML ponderadas y/o un LLM externo (OpenAI-compatible).
3. Genera alertas con puntuación de riesgo 0-100 y explicación en lenguaje natural.
4. Gestiona el flujo de revisión humana: descartar falso positivo → investigar → confirmar SAR.
5. Pre-rellena borradores SAR (Suspicious Activity Report) para las alertas de mayor riesgo, listos para envío a la FIU.

Modelo de negocio: B2B SaaS por niveles basado en volumen de transacciones analizadas mensualmente.

---

Arquitectura

┌───────────────────────────────────────────────────────────────┐
│  RegulAI Spring Boot 4.0.4 / Java 25                         │
│                                                               │
│  ┌─────────────────┐   ┌──────────────────────────────────┐  │
│  │  Security Layer  │   │  REST Controllers                │  │
│  │  ─────────────  │   │  ────────────────────────────    │  │
│  │  JwtAuthFilter  │──▶│  AuthController        POST /auth│  │
│  │  TenantContext  │   │  CustomerController     CRUD     │  │
│  │  JwtService     │   │  TransactionController  POST/GET │  │
│  └─────────────────┘   │  AlertController        GET/POST │  │
│                         │  SarController          GET      │  │
│                         └──────────────┬─────────────────-┘  │
│                                        │                      │
│                         ┌──────────────▼─────────────────┐   │
│                         │  Service Layer                  │   │
│                         │  ─────────────────────────────  │   │
│                         │  ComplianceAgentService  ◀──┐  │   │
│                         │    ├── Mock Rule Engine    │  │   │
│                         │    └── LLM via Feign ──────┘  │   │
│                         │  AlertService                  │   │
│                         │  SarDraftService               │   │
│                         │  AuthService (in-memory users) │   │
│                         │  CustomerService               │   │
│                         └──────────────┬────────────────-┘   │
│                                        │                      │
│                         ┌──────────────▼─────────────────┐   │
│                         │  Repository Layer (JPA)         │   │
│                         │  CustomerRepository             │   │
│                         │  TransactionRepository          │   │
│                         │  ComplianceAlertRepository      │   │
│                         └──────────────┬────────────────-┘   │
│                                        │                      │
│                         ┌──────────────▼─────────────────┐   │
│                         │  H2 (dev) / PostgreSQL (prod)   │   │
│                         └────────────────────────────────-┘   │
└───────────────────────────────────────────────────────────────┘
         │ OpenFeign
         ▼
 OpenAI-compatible LLM API (opcional; fallback a mock)

Multi-tenancy

Cada cliente Fintech tiene un %%INLINE0%% embebido en su JWT. El filtro %%INLINE1%% lo extrae y lo almacena en %%INLINE2%% (ThreadLocal). Todos los repositorios filtran por %%INLINE3%% — imposible acceder a datos de otro tenant.

Motor de análisis (AML Rule Engine)

En modo %%INLINE4%% (por defecto en dev), el %%INLINE5%% aplica 6 reglas ponderadas:

Regla	Peso	Condición
HIGH_VALUE	+35	amount > $50,000
SANCTIONED_COUNTRY	+40	país en lista FATF/OFAC
HIGH_RISK_CUSTOMER	+20	perfil cliente = HIGH
POTENTIAL_STRUCTURING	+25	$7,000–$10,000 (near CTR)
ROUND_AMOUNT	+10	importe en cifras redondas
RAPID_SUCCESSION	+15	>5 tx en 24h

Score ≥ 70 → alerta creada. Score ≥ 85 + CONFIRMED_SAR → borrador SAR disponible.

---

Endpoints REST

Autenticación

POST /api/v1/auth/login
Body: { "email": "compliance@fintech1.com", "password": "password123" }
→ { "token": "eyJ...", "tenantId": "tenant_001", "role": "COMPLIANCE_OFFICER", "expiresIn": 86400 }

Todos los demás endpoints requieren: Authorization: Bearer <token>

Clientes

POST   /api/v1/customers          Registrar cliente
GET    /api/v1/customers          Listar clientes del tenant
GET    /api/v1/customers/{id}     Obtener cliente

Transacciones (ingesta + análisis IA)

POST   /api/v1/transactions       Ingestar + analizar transacción  ← integración Fintech
GET    /api/v1/transactions       Listar transacciones (paginado)
GET    /api/v1/transactions/{id}  Ver transacción específica

Ejemplo POST /api/v1/transactions:

{
  "customerId": "3fa85f64-5717-4562-b3fc-2c963f66afa6",
  "amount": 75000.00,
  "currency": "USD",
  "type": "TRANSFER",
  "description": "Wire transfer",
  "counterpartyName": "Unnamed Corp",
  "counterpartyAccount": "IR12345678",
  "originCountry": "IR",
  "timestamp": "2026-06-28T14:30:00Z"
}

Respuesta:

{
  "id": "...",
  "status": "FLAGGED",
  "riskScore": 75,
  "alertId": "...",
  "reasoning": "RegulAI Compliance Analysis — Risk Score: 75/100\n\nTriggered AML Indicators:\n1. High-value transaction exceeding $50,000...\n2. Origin country 'IR' appears on FATF high-risk list...",
  "analyzedAt": "2026-06-28T14:30:01Z"
}

Dashboard de Alertas

GET    /api/v1/alerts             Listar alertas (filtro ?status=PENDING_REVIEW)
GET    /api/v1/alerts/{id}        Ver alerta con razonamiento IA
POST   /api/v1/alerts/{id}/review Revisar alerta (decisión del oficial)

Ejemplo POST /api/v1/alerts/{id}/review:

{
  "decision": "CONFIRMED_SAR",
  "notes": "Customer has no legitimate business justification for Iran transfer."
}

Borrador SAR

GET    /api/v1/alerts/{alertId}/sar-draft   Obtener borrador SAR pre-rellenado

Solo disponible para alertas en estado %%INLINE14%%. Devuelve un %%INLINE15%% con narrativa completa lista para edición y envío a la FIU.

---

Modelo de Datos

Customer          Transaction           ComplianceAlert
─────────         ───────────           ───────────────
id (UUID PK)      id (UUID PK)          id (UUID PK)
tenantId          tenantId              tenantId
name              customerId (FK)       transactionId (FK)
email             amount                customerId (FK)
accountNumber     currency              riskScore (0-100)
riskProfile       type                  reasoning (TEXT)
countryOfResidence description          triggeredRules
createdAt         counterpartyName      status
                  counterpartyAccount   reviewedBy
                  originCountry         reviewedAt
                  timestamp             reviewNotes
                  status                sarDraftGenerated
                  riskScore             createdAt
                  createdAt

---

Análisis de Negocio

Propuesta de Valor

• ROI directo: Un equipo de 5 analistas de cumplimiento maneja ~200 alertas/día. RegulAI filtra 80%+ de falsos positivos, liberando 4 FTEs para trabajo de alto valor.
• Riesgo reducido: Detección más rápida reduce la ventana de exposición a multas regulatorias (AMLD6, FinCEN).
• Time-to-value: Integración en <1 día via API REST; no requiere cambios en sistemas core.

Modelo de Precios (estimado)

Tier	Transacciones/mes	Precio
Starter	hasta 10,000	$500/mes
Growth	hasta 100,000	$2,500/mes
Enterprise	ilimitado	$10,000+/mes

Mercado Objetivo

Fintechs EU/US: ~8,000 empresas activas. TAM estimado $2.4B (RegTech AML, 2026). SAM initial: 500 Fintechs Serie A/B con equipos de cumplimiento formados.

---

Cómo Ejecutar

Prerequisitos

• Java 25 JDK
• Maven 3.9+
• (Opcional) Docker para PostgreSQL

Modo Desarrollo (H2 en memoria)

cd solutions/2026-06-28-regulai-compliance-api

# Compilar
mvn clean compile

# Ejecutar con perfil dev (H2 + mock LLM)
mvn spring-boot:run -Dspring-boot.run.profiles=dev

La aplicación arranca en http://localhost:8080. H2 Console: %%INLINE17%% (JDBC URL: %%INLINE18%%)

Flujo de demo rápido

# 1. Obtener JWT
TOKEN=$(curl -s -X POST http://localhost:8080/api/v1/auth/login \
  -H "Content-Type: application/json" \
  -d '{"email":"compliance@fintech1.com","password":"password123"}' \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['token'])")

# 2. Crear cliente
CUSTOMER_ID=$(curl -s -X POST http://localhost:8080/api/v1/customers \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"name":"Ivan Petrov","email":"ivan@example.com","accountNumber":"ACC-001","riskProfile":"HIGH","countryOfResidence":"RU"}' \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['id'])")

# 3. Ingestar transacción sospechosa → análisis IA automático
curl -s -X POST http://localhost:8080/api/v1/transactions \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d "{\"customerId\":\"$CUSTOMER_ID\",\"amount\":80000,\"currency\":\"USD\",\"type\":\"TRANSFER\",\"originCountry\":\"IR\"}" | python3 -m json.tool

# 4. Ver alertas generadas
curl -s http://localhost:8080/api/v1/alerts \
  -H "Authorization: Bearer $TOKEN" | python3 -m json.tool

# 5. Revisar alerta (reemplazar ALERT_ID)
curl -s -X POST http://localhost:8080/api/v1/alerts/ALERT_ID/review \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"decision":"CONFIRMED_SAR","notes":"Confirmed suspicious transfer to Iran."}'

# 6. Obtener borrador SAR
curl -s http://localhost:8080/api/v1/alerts/ALERT_ID/sar-draft \
  -H "Authorization: Bearer $TOKEN" | python3 -m json.tool

Modo Producción (PostgreSQL + LLM real)

# application-prod.yml o variables de entorno
spring:
  datasource:
    url: jdbc:postgresql://localhost:5432/regulai
    username: regulai_user
    password: ${DB_PASSWORD}
  jpa:
    hibernate:
      ddl-auto: validate   # usa Flyway/Liquibase para migrations

regulai:
  jwt:
    secret: ${JWT_SECRET}     # min 32 chars
  llm:
    api-key: ${OPENAI_API_KEY}
    model: gpt-4o
    mock-enabled: false       # activa LLM real

mvn spring-boot:run -Dspring-boot.run.profiles=prod

Docker

mvn spring-boot:build-image -Dspring-boot.build-image.imageName=regulai:latest
docker run -p 8080:8080 \
  -e SPRING_PROFILES_ACTIVE=dev \
  regulai:latest

---

Referencias

• BuildMVPFast — Best AI Agent SaaS Ideas for Fintech
• FATF High-Risk Jurisdictions
• FinCEN SAR Filing Requirements
• Spring Boot 4.0.4 Reference Documentation
• JJWT 0.12.x Documentation
• Spring Cloud OpenFeign 4.2.x

---

Análisis FinOps para RegulAI

Estimación de Costos Operativos Mensuales

RegulAI, con su modelo de negocio B2B SaaS, se beneficia de una estructura de costos lean en su fase MVP, principalmente impulsada por el consumo de APIs de LLM y una infraestructura cloud básica. Aquí se desglosan las estimaciones:

• Uso de LLM (API): Se estima un uso de aproximadamente 110 millones de tokens/mes. Esta cifra se basa en el análisis de 20,000 transacciones mensuales (1,000 por cada uno de los 20 clientes objetivo del MVP), donde cada análisis requiere un prompt complejo (ej. 5,000 tokens de entrada) y una explicación detallada (ej. 500 tokens de salida).

* Costo LLM: Utilizando gpt-4o-mini de OpenAI (tarifas de $0.15/M tokens de entrada y $0.60/M tokens de salida), el costo estimado es de $21/mes.

• Infraestructura Cloud (AWS/GCP/Azure baseline): Para un servicio Spring Boot API con PostgreSQL, se estima:

* Compute: Una instancia t3.small (o equivalente) para la aplicación. (~$15/mes) * Base de Datos: Una instancia RDS t3.micro de PostgreSQL con 20GB de almacenamiento. (~$15/mes) * Red y Otros: Costos de transferencia de datos, almacenamiento adicional, logs y monitoreo básico. (~$10/mes) * Costo Total de Infraestructura Cloud: $40/mes.

• Costos Operativos Totales Mensuales: $21 (LLM) + $40 (Cloud) = $61/mes.

Estimación de Ingresos Mensuales

Basado en el modelo de monetización por suscripción y un precio inicial para el MVP, se proyecta:

• Precio por Cliente: $25/mes (para atraer a los primeros 20 clientes de Fintech de tamaño pequeño a mediano).

Ingresos Mensuales Totales: 20 clientes $25/mes = $500/mes.

Margen de Beneficio

Con los costos e ingresos estimados, el margen de beneficio inicial es muy saludable:

Margen de Beneficio: (($500 - $61) / $500) 100 = (87.8%). Redondeado a 88%.

Este alto margen es característico de un MVP SaaS con costos variables bajos (APIs) y una infraestructura de nube optimizada, demostrando una fuerte viabilidad financiera inicial.

Optimización de Costos (FinOps Estrategias)

Para mantener y mejorar este margen a medida que RegulAI escala, se recomienda implementar las siguientes estrategias FinOps:

1. Optimización del Uso de LLM:

* Caché Inteligente: Implementar una capa de caché para las respuestas del LLM para transacciones o patrones de riesgo idénticos o muy similares. Esto reduce llamadas redundantes a la API del LLM. * Enrutamiento Condicional: Desarrollar un sistema de reglas o un modelo LLM más pequeño y económico para clasificar transacciones de bajo riesgo, reservando el LLM principal y más costoso (gpt-4o-mini) solo para casos que realmente requieran un análisis contextual profundo. * Prompt Engineering Eficiente: Revisar y optimizar continuamente los prompts para minimizar el número de tokens de entrada (ej. resumiendo historiales de clientes en lugar de enviar el texto completo) y de salida, sin comprometer la calidad del análisis. * Batch Processing: Para funciones como la generación de borradores de SAR, agrupar estas tareas y ejecutarlas durante horas de menor actividad. Esto podría permitir el uso de instancias de compute más económicas o tiers de LLM con precios diferenciados si estuvieran disponibles.

1. Optimización de Infraestructura Cloud:

* Serverless para Agente de IA: Migrar el ComplianceAgentService a una arquitectura serverless (ej. AWS Lambda, Google Cloud Functions). Esto permite pagar solo por las invocaciones y el tiempo de cómputo real, eliminando el costo de una instancia EC2 siempre activa si el volumen de transacciones es variable o con picos. * Dimensionamiento Correcto (Right-Sizing): Monitorear el uso real de CPU, memoria y E/S de la base de datos y la instancia de compute. Ajustar el tamaño de las instancias %%INLINE24%% y %%INLINE25%% a la menor especificación que satisfaga los requisitos de rendimiento y disponibilidad. * Políticas de Retención de Datos: Implementar y hacer cumplir políticas de retención de datos para la base de datos PostgreSQL y logs. Eliminar datos antiguos que ya no son necesarios o archivarlos en almacenamiento de bajo costo (ej. S3 Glacier) para reducir los costos de almacenamiento primario. * Reservar Capacidad: Una vez que el uso de la infraestructura se estabilice, considerar la compra de instancias reservadas (Reserved Instances) o planes de ahorro (Savings Plans) para EC2 y RDS, lo que puede ofrecer descuentos significativos (hasta 70%) en compromisos a 1 o 3 años.

1. Monitoreo y Alertas:

* Establecer alertas de costos en la plataforma cloud para notificar sobre umbrales de gasto excedidos, especialmente para el consumo de APIs de LLM, que puede escalar rápidamente con el aumento de clientes y transacciones.