Skip to main content

Artículo 12 para la IA fintech: conservación de registros y archivos de registro

Cómo se aplica el artículo 12 (conservación de registros) a la IA de calificación crediticia y de seguros: registro por diseño, quién conserva los archivos de registro, la norma para entidades financieras, fechas, multas y lo que el Reglamento deja abierto.

Los proveedores de sistemas de IA de calificación crediticia y de seguros de vida o de salud deben diseñarlos para que registren acontecimientos de forma automática (artículo 12).

Son usos de alto riesgo del anexo III, puntos 5, letra b), y 5, letra c); la detección de fraudes queda excluida del punto 5, letra b). La obligación se aplica desde el 2 de diciembre de 2027, salvo que se aplique la excepción del artículo 6, apartado 3. Las multas pueden alcanzar hasta 15 millones de EUR o, si el infractor es una empresa, hasta el 3 % del volumen de negocios mundial anual, si esta cuantía es superior (artículo 99, apartado 4). Siguiente paso: haga una lista de los acontecimientos que su sistema debe registrar. Después, los proveedores y los responsables del despliegue conservan los archivos de registro (artículo 19, artículo 26, apartado 6).

El artículo 12 exige el registro por diseño, no un plazo de conservación

El artículo 12 establece una obligación de diseño para el proveedor. Conservar los archivos de registro es otra obligación, que figura en las filas siguientes.

  • art. 12(1)
    Registro automático de acontecimientos a lo largo del ciclo de vida

    Los sistemas de IA de alto riesgo deben permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de todo el ciclo de vida del sistema.

  • art. 12(2)
    Trazabilidad adecuada a la finalidad prevista

    Las capacidades de registro deben garantizar un nivel de trazabilidad del funcionamiento del sistema que resulte adecuado para su finalidad prevista. Deben permitir que se registren acontecimientos pertinentes para tres fines. El primero es detectar situaciones que puedan dar lugar a un riesgo en el sentido del artículo 79, apartado 1 o a una modificación sustancial. El segundo es facilitar la vigilancia poscomercialización (artículo 72). El tercero es vigilar el funcionamiento del sistema (artículo 26, apartado 5).

  • art. 12(3)
    Contenido mínimo de los archivos: solo la identificación biométrica remota

    El artículo 12, apartado 3, enumera el contenido mínimo de los archivos de registro de los sistemas de alto riesgo del anexo III, punto 1, letra a) (identificación biométrica remota). No se aplica a los sistemas de calificación crediticia ni de seguros, para los que el Reglamento no fija campos mínimos de registro.

Qué IA fintech debe cumplir el artículo 12 y quién conserva los archivos de registro

El artículo 12 se aplica solo a los sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA fintech pasa a ser de alto riesgo y quién conserva los archivos de registro.

  • Fintech no es una categoría del Reglamento

    El Reglamento no tiene una categoría «fintech». Este sitio usa la palabra para la IA que entra en el Reglamento por dos usos del anexo III, punto 5. El punto 5, letra b), abarca los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia. Exceptúa los sistemas de IA utilizados al objeto de detectar fraudes financieros. El punto 5, letra c), abarca los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud. El punto 5 no menciona la detección de fraudes, los controles contra el blanqueo de capitales ni de conocimiento del cliente, la negociación algorítmica, el asesoramiento automatizado, los seguros distintos del seguro de vida, la tramitación de siniestros ni las decisiones de crédito sobre personas jurídicas. Un sistema para uno de estos usos es de alto riesgo solo si otro punto del anexo III o el anexo I lo cubre.

  • El artículo 6, apartado 3, puede excluir un sistema del anexo III

    Un sistema del punto 5, letra b), o del punto 5, letra c), es de alto riesgo con arreglo al artículo 6, apartado 2. Con arreglo al artículo 6, apartado 3, no lo es si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales. Eso incluye no influir sustancialmente en el resultado de la toma de decisiones. El Reglamento aplica esta excepción cuando se cumple cualquiera de las condiciones siguientes (artículo 6, apartado 3, letras a) a d)). Que el sistema esté destinado a realizar una tarea de procedimiento limitada. O que esté destinado a mejorar el resultado de una actividad humana previamente realizada. O que esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada, ni a influir en ella, sin una revisión humana adecuada. O que esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III. Cómo se combinan estas condiciones con el criterio del riesgo importante es una cuestión para un jurista. El sistema siempre es de alto riesgo si efectúa la elaboración de perfiles de personas físicas. El artículo 4, punto 4, del RGPD define la elaboración de perfiles (artículo 3, punto 52). Si un sistema concreto de calificación o de fijación de precios la efectúa también es una cuestión para un jurista. El proveedor que se acoja a la excepción documenta su evaluación antes de introducir el sistema en el mercado o ponerlo en servicio. También debe registrar el sistema (artículo 6, apartado 4, artículo 49, apartado 2).

  • Proveedor y responsable del despliegue

    El proveedor desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). La puesta en servicio incluye el suministro para uso propio del proveedor (artículo 3, punto 11). Un banco o una aseguradora que desarrolla un sistema y lo pone en servicio bajo su propio nombre es, por tanto, proveedor. Un banco o una aseguradora que utiliza un sistema bajo su propia autoridad es un responsable del despliegue (artículo 3, punto 4). El responsable del despliegue pasa a ser proveedor en tres casos. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo. Realiza una modificación sustancial de ese sistema que lo deja como de alto riesgo. O cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El proveedor que inicialmente introdujo el sistema en el mercado o lo puso en servicio deja entonces de ser considerado proveedor de ese sistema específico y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2). Esto no se aplica si el proveedor inicial indicó claramente que su sistema no debe ser transformado en un sistema de alto riesgo.

  • Los proveedores conservan los archivos de registro bajo su control

    Los proveedores deben conservar los archivos de registro que generen automáticamente sus sistemas de alto riesgo, en la medida en que estén bajo su control (artículo 19, apartado 1). Sin perjuicio del Derecho aplicable de la Unión o nacional, el período debe ser adecuado para la finalidad prevista y de al menos seis meses. Puede ser distinto si el Derecho de la Unión o nacional, en particular el relativo a la protección de datos personales, dispone otra cosa.

  • Los responsables del despliegue conservan los archivos de registro bajo su control

    Los responsables del despliegue deben conservar los archivos de registro que genere automáticamente el sistema, en la medida en que estén bajo su control (artículo 26, apartado 6). El período debe ser adecuado para la finalidad prevista y de al menos seis meses. Puede ser distinto si el Derecho de la Unión o nacional aplicable, en particular el relativo a la protección de datos personales, dispone otra cosa.

  • Entidades financieras: los archivos forman parte de su documentación de Derecho financiero

    Esto se aplica a los proveedores que son entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos con arreglo al Derecho de la Unión en materia de servicios financieros. Deben mantener los archivos de registro como parte de la documentación conservada en virtud de ese Derecho (artículo 19, apartado 2). Los responsables del despliegue que sean esas entidades financieras hacen lo mismo (artículo 26, apartado 6, párrafo segundo). El Reglamento no cita ninguna norma concreta de servicios financieros.

  • Fechas

    Los requisitos para estos usos del anexo III se aplican desde el 2 de diciembre de 2027 (artículo 113, párrafo tercero, letra c), inciso i)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

  • Multas

    Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, que incluye los artículos 9 a 15 (artículo 16, letra a)). El incumplimiento de las obligaciones de los proveedores del artículo 16 o de las de los responsables del despliegue del artículo 26 puede sancionarse con multa. La multa es de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4, letras a) y e)). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor de las dos (artículo 99, apartado 6). Lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establece normas que determinan en qué medida es posible imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

  • Alcance y límites del Reglamento

    El Reglamento se aplica a los proveedores y responsables del despliegue establecidos o ubicados en un tercer país cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión (artículo 2, apartado 1, letra c)). No se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y no afecta a las competencias de los Estados miembros en materia de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6). Tampoco se aplica a la actividad de investigación, prueba o desarrollo anterior a la introducción de un sistema en el mercado o su puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (artículo 2, apartado 8). Los sistemas de IA publicados con arreglo a licencias libres y de código abierto quedan fuera del Reglamento. Esa exclusión no se aplica si se introducen en el mercado o se ponen en servicio como sistemas de IA de alto riesgo, o si entran en el ámbito de aplicación del artículo 5 o del artículo 50 (artículo 2, apartado 12).

Lo que el Reglamento deja abierto para las fintech

  • Sin campos de registro ni plazo de conservación para las fintech

    Más allá de «al menos seis meses, salvo que se disponga otra cosa», el Reglamento no fija campos, formato ni plazo de conservación de los archivos para la calificación crediticia o la fijación de precios de seguros (artículo 19, apartado 1, artículo 26, apartado 6). Otro Derecho de la Unión o nacional puede disponer otra cosa. El Reglamento no menciona por sí mismo ninguna norma armonizada. Se presume que los sistemas de alto riesgo conformes con normas armonizadas publicadas en el Diario Oficial son conformes con los requisitos de la sección 2, en la medida en que esas normas los contemplen (artículo 40, apartado 1). La Comisión elaborará directrices sobre la aplicación práctica de los requisitos y obligaciones de los artículos 8 a 15, 25 y 26 (artículo 96, apartado 1, letra a)).

  • Ejemplo: qué podría contener un archivo de calificación

    Ejemplo, no exigido por el Reglamento: el proveedor de un sistema de calificación crediticia podría registrar, en cada ejecución, la versión del modelo, una referencia a los datos de entrada y el resultado de salida. Así puede rastrearse un resultado inesperado.

  • Ejemplo: los archivos de registro pueden contener datos personales

    Ejemplo, no exigido por el Reglamento: los archivos de registro de las ejecuciones de calificación pueden contener datos personales de los solicitantes. El proveedor podría decidir con su asesoría jurídica en materia de protección de datos qué campos almacena y durante cuánto tiempo. La decisión debe respetar el mínimo de seis meses y el resto del Derecho aplicable.

Preguntas sobre el artículo 12 en las fintech

¿Quién debe cumplir el artículo 12 en el sistema de calificación crediticia de un banco?

El proveedor diseña el sistema para que permita el registro automático (artículo 12 y artículo 16, letra a)). El banco, como responsable del despliegue, conserva los archivos de registro bajo su control (artículo 26, apartado 6). El banco que desarrolla el sistema y lo pone en servicio bajo su propio nombre es el proveedor (artículo 3, puntos 3 y 11).

¿Durante cuánto tiempo debe un prestamista conservar los archivos de registro de la IA?

Los proveedores y los responsables del despliegue deben conservar los archivos de registro bajo su control durante un período adecuado para la finalidad prevista del sistema, de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa (artículos 19, apartado 1, y 26, apartado 6). El Reglamento no fija un plazo más largo para la calificación crediticia ni para los seguros.

¿Conservan los bancos los archivos de registro de la IA separados del resto de sus registros?

Las entidades financieras sujetas a requisitos de gobernanza interna con arreglo al Derecho de la Unión en materia de servicios financieros mantienen los archivos de registro como parte de la documentación conservada en virtud de ese Derecho (artículos 19, apartado 2, y 26, apartado 6, párrafo segundo). El Reglamento no dice qué Derecho ni qué registros.

Páginas relacionadas

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.