Banca y seguros: preparar la TI para la IA de alto riesgo

Inteligencia Artificial · 5 min

Artículos de Pedro Vaz

El AI Act clasifica determinados sistemas de crédito y seguros como IA de alto riesgo. Descubra cómo preparar la TI para los requisitos de datos, registros y supervisión humana.

Banca y seguros: preparar la TI para la IA de alto riesgo

TL;DR

El AI Act clasifica como de alto riesgo determinados sistemas de evaluación crediticia de personas físicas y de evaluación de riesgos y fijación de precios de seguros de vida y salud.
Tras las modificaciones del AI Omnibus, las normas específicas para estos sistemas se aplican a partir del 2 de diciembre de 2027, sin perjuicio de otras obligaciones ya aplicables.
La clasificación debe tener en cuenta la finalidad de cada sistema, las excepciones previstas y la posibilidad de elaborar perfiles de personas físicas.
Las responsabilidades varían entre proveedores y entidades que utilizan los sistemas; los contratos deben reflejar esa distinción.
Los registros, la gobernanza de datos, la supervisión humana y la evaluación de impacto sobre los derechos fundamentales exigen preparación técnica y organizativa.

El calendario ha cambiado, pero el ámbito está definido

En la banca y los seguros, la inteligencia artificial ya apoya decisiones que afectan directamente a personas físicas, desde la concesión de crédito hasta la evaluación del riesgo en seguros. El Reglamento (UE) 2024/1689, conocido como AI Act, clasifica determinados usos como sistemas de IA de alto riesgo, en particular la evaluación de la solvencia o la puntuación crediticia de personas físicas y la evaluación de riesgos y fijación de precios de seguros de vida y salud. Con las modificaciones introducidas por el AI Omnibus, en vigor desde el 27 de julio de 2026, los requisitos específicos para los sistemas de alto riesgo previstos en el anexo III pasan a aplicarse a partir del 2 de diciembre de 2027. Este aplazamiento no altera la necesidad de preparación ni excluye otras disposiciones del reglamento que ya son aplicables. Para los equipos de TI, el desafío consiste en identificar los sistemas afectados y asegurar que la arquitectura, los datos, los registros y los mecanismos de supervisión permitan cumplir las obligaciones pertinentes.

Delimitar el alcance evita trabajo innecesario

El primer paso es inventariar los sistemas de IA y clasificarlos según la finalidad para la que fueron concebidos y se utilizan. El anexo III, punto 5, del AI Act abarca determinados sistemas de evaluación crediticia de personas físicas, pero no incluye, en virtud de esa disposición, la evaluación crediticia de empresas. Excluye además los sistemas destinados a la detección del fraude financiero. En los seguros, la clasificación prevista en el punto 5, letra c), se refiere específicamente a la evaluación de riesgos y fijación de precios de seguros de vida y salud; otros ramos, como el de automóviles o el multirriesgo, no quedan cubiertos por esa letra únicamente por utilizar IA. Existen, no obstante, otras disposiciones que considerar y excepciones limitadas en el artículo 6, apartado 3, para determinadas tareas que no influyan materialmente en la decisión. Cuando el sistema elabora perfiles de personas físicas, esa excepción no es aplicable. Cada clasificación debe quedar fundamentada y documentada.

El papel de cada entidad determina las obligaciones

El AI Act distingue entre los proveedores, responsables del desarrollo o la puesta a disposición de sistemas de IA bajo su nombre o marca, y las entidades responsables del despliegue, que utilizan esos sistemas bajo su propia autoridad. Un banco que desarrolla internamente un sistema de puntuación crediticia para uso propio puede asumir obligaciones de proveedor. En cambio, una aseguradora que adquiere una solución a terceros actuará, por regla general, como responsable del despliegue, sin perjuicio de otras responsabilidades que puedan surgir. A los proveedores les corresponden requisitos como la gestión de riesgos, la gobernanza de datos, la documentación técnica, la evaluación de la conformidad y los mecanismos de registro. Las entidades que utilizan los sistemas deben garantizar un uso conforme a las instrucciones, una supervisión humana adecuada, la monitorización y la conservación de los registros bajo su control, en los términos aplicables. Para los equipos de compras y TI, esto exige contratos claros sobre documentación, acceso a evidencias, actualizaciones, incidentes y responsabilidades de cada parte.

Registros, datos y supervisión humana son requisitos de arquitectura

Los sistemas de IA de alto riesgo deben disponer de capacidades de registro automático de eventos que permitan seguir su funcionamiento y apoyar la identificación de riesgos. El artículo 12 establece este principio, mientras que el artículo 26 prevé obligaciones de conservación de los registros bajo control de la entidad que utiliza el sistema, con normas específicas para las instituciones financieras y sin perjuicio de la legislación aplicable en materia de protección de datos. En la práctica, es importante definir qué eventos se registran, quién puede acceder a ellos y cómo se protegen. La trazabilidad también puede beneficiarse de la identificación de versiones de los modelos, cambios relevantes y fuentes de datos, de acuerdo con la finalidad y los riesgos del sistema. La supervisión humana exige asimismo condiciones técnicas: proporcionar información comprensible sobre los resultados, permitir la intervención de personas competentes y apoyar la identificación de errores o resultados inesperados. Estos mecanismos deben preverse en la arquitectura, y no añadirse únicamente al final del proyecto.

La gobernanza existente en el sector es un punto de partida

Los bancos y las aseguradoras ya cuentan con estructuras de gestión de riesgos, control interno, cumplimiento normativo y auditoría derivadas de la regulación financiera. El AI Act reconoce esta realidad y permite que determinadas obligaciones se cumplan a través de los mecanismos de gobernanza sectorial existentes, en las condiciones previstas en los artículos 17 y 26. No obstante, esa articulación no exime del cumplimiento de los demás requisitos aplicables. Para los sistemas de evaluación crediticia de personas físicas y de evaluación de riesgos y fijación de precios de seguros de vida y salud clasificados como de alto riesgo, el artículo 27 exige además una evaluación de impacto sobre los derechos fundamentales antes del primer uso, en los términos previstos. Esta evaluación debe considerar a las personas afectadas, los riesgos, la supervisión humana y las medidas de mitigación, y puede aprovechar elementos de evaluaciones de impacto sobre la protección de datos ya realizadas. El equipo de TI debe colaborar con las funciones de riesgos, cumplimiento y protección de datos, aportando evidencias sobre el funcionamiento y los controles de los sistemas.

Prepararse con método y sin anticipar certezas

El plazo del 2 de diciembre de 2027 debe utilizarse para organizar la preparación por fases. El trabajo puede comenzar por el inventario y la clasificación de los sistemas, seguido de la identificación de los roles contractuales, la evaluación de las capacidades de registro y supervisión humana y la integración de los requisitos en las estructuras de gobernanza existentes. También conviene revisar los contratos con proveedores, las políticas de acceso, la protección de los datos y los procedimientos de monitorización y respuesta a incidentes. Los sistemas ya comercializados o puestos en servicio antes de la fecha de aplicación deben evaluarse a la luz de las normas transitorias del artículo 111, evitando asumir que todos quedan automáticamente sujetos al mismo régimen. Las directrices de la Comisión Europea seguirán apoyando la interpretación y aplicación del reglamento. Para los equipos de TI, el objetivo debe ser llegar al plazo con responsabilidades definidas, documentación organizada y mecanismos de control verificables, sin depender de correcciones de última hora.