Artículo 13 para la IA fintech: transparencia e instrucciones de uso

El artículo 13 establece obligaciones del proveedor hacia el responsable del despliegue. No establece ninguna obligación de explicar una decisión a un solicitante o cliente.

• art. 13(1)
  Transparencia que permite a los responsables del despliegue interpretar los resultados

  Los sistemas de IA de alto riesgo deben diseñarse y desarrollarse de modo que funcionen con un nivel de transparencia suficiente para que los responsables del despliegue interpreten y usen correctamente sus resultados de salida. Debe garantizarse un tipo y un nivel de transparencia adecuados para que el proveedor y el responsable del despliegue cumplan sus obligaciones previstas en la sección 3.

• art. 13(2)
  Instrucciones de uso

  Los sistemas de alto riesgo deben ir acompañados de instrucciones de uso en un formato digital o de otro tipo adecuado. Deben incluir información concisa, completa, correcta y clara que sea pertinente, accesible y comprensible para los responsables del despliegue.

• art. 13(3)(a), (b)
  Contenido mínimo: proveedor, funcionamiento y límites

  Las instrucciones deben contener al menos la identidad y los datos de contacto del proveedor, y las características, capacidades y limitaciones del funcionamiento del sistema. Esto incluye su finalidad prevista. Incluye el nivel de precisión (con los parámetros para medirla), solidez y ciberseguridad con respecto al cual se haya probado y validado el sistema y que puede esperarse, y las circunstancias conocidas que puedan afectarlo. Incluye las circunstancias conocidas o previsibles que puedan dar lugar a riesgos para la salud, la seguridad o los derechos fundamentales. Cuando proceda o en su caso, incluyen además las capacidades técnicas para explicar los resultados de salida, el funcionamiento con respecto a determinadas personas o colectivos, las especificaciones relativas a los datos de entrada y la información que permita a los responsables del despliegue interpretar los resultados de salida.

• art. 13(3)(c)–(f)
  Cambios, supervisión, recursos y archivos de registro

  Las instrucciones deben indicar además los cambios predeterminados por el proveedor en el momento de la evaluación de la conformidad inicial, en su caso, y las medidas de supervisión humana del artículo 14. Deben indicar los recursos informáticos y de hardware necesarios, la vida útil prevista y las medidas de mantenimiento, incluidas las actualizaciones del software. Cuando proceda, describen los mecanismos que permiten a los responsables del despliegue recabar, almacenar e interpretar correctamente los archivos de registro de conformidad con el artículo 12.

El artículo 13 se aplica solo a los sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA fintech pasa a ser de alto riesgo.

• Fintech no es una categoría del Reglamento

  El Reglamento no tiene una categoría «fintech». Este sitio usa la palabra para la IA que entra en el Reglamento por dos usos del anexo III, punto 5. El punto 5, letra b), abarca los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia. Exceptúa los sistemas de IA utilizados al objeto de detectar fraudes financieros. El punto 5, letra c), abarca los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud. El punto 5 no menciona la detección de fraudes, los controles contra el blanqueo de capitales ni de conocimiento del cliente, la negociación algorítmica, el asesoramiento automatizado, los seguros distintos del seguro de vida, la tramitación de siniestros ni las decisiones de crédito sobre personas jurídicas. Un sistema para uno de estos usos es de alto riesgo solo si otro punto del anexo III o el anexo I lo cubre.

• El artículo 6, apartado 3, puede excluir un sistema del anexo III

  Un sistema del punto 5, letra b), o del punto 5, letra c), es de alto riesgo con arreglo al artículo 6, apartado 2. Con arreglo al artículo 6, apartado 3, no lo es si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales. Eso incluye no influir sustancialmente en el resultado de la toma de decisiones. El Reglamento aplica esta excepción cuando se cumple cualquiera de las condiciones siguientes (artículo 6, apartado 3, letras a) a d)). Que el sistema esté destinado a realizar una tarea de procedimiento limitada. O que esté destinado a mejorar el resultado de una actividad humana previamente realizada. O que esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada, ni a influir en ella, sin una revisión humana adecuada. O que esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III. Cómo se combinan estas condiciones con el criterio del riesgo importante es una cuestión para un jurista. El sistema siempre es de alto riesgo si efectúa la elaboración de perfiles de personas físicas. El artículo 4, punto 4, del RGPD define la elaboración de perfiles (artículo 3, punto 52). Si un sistema concreto de calificación o de fijación de precios la efectúa también es una cuestión para un jurista. El proveedor que se acoja a la excepción documenta su evaluación antes de introducir el sistema en el mercado o ponerlo en servicio. También debe registrar el sistema (artículo 6, apartado 4, artículo 49, apartado 2).

• Proveedor y responsable del despliegue

  El proveedor desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). La puesta en servicio incluye el suministro para uso propio del proveedor (artículo 3, punto 11). Un banco o una aseguradora que desarrolla un sistema y lo pone en servicio bajo su propio nombre es, por tanto, proveedor. Un banco o una aseguradora que utiliza un sistema bajo su propia autoridad es un responsable del despliegue (artículo 3, punto 4). El responsable del despliegue pasa a ser proveedor en tres casos. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo. Realiza una modificación sustancial de ese sistema que lo deja como de alto riesgo. O cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El proveedor que inicialmente introdujo el sistema en el mercado o lo puso en servicio deja entonces de ser considerado proveedor de ese sistema específico y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2). Esto no se aplica si el proveedor inicial indicó claramente que su sistema no debe ser transformado en un sistema de alto riesgo.

• Explicar una decisión a un solicitante no es el artículo 13

  El artículo 86, apartado 1, confiere un derecho a explicación. Se aplica cuando un responsable del despliegue adopta una decisión basándose en los resultados de salida de un sistema de IA de alto riesgo del anexo III, con excepción de los de su punto 2. La decisión debe producir efectos jurídicos o afectar considerablemente del mismo modo a la persona, de manera que esta considere que tiene un efecto perjudicial para su salud, su seguridad o sus derechos fundamentales. Esa persona tiene entonces derecho a obtener del responsable del despliegue explicaciones claras y significativas acerca del papel que el sistema de IA ha tenido en el proceso de toma de decisiones y los principales elementos de la decisión adoptada. El derecho no se aplica cuando existan excepciones o restricciones derivadas del Derecho de la Unión o nacional de conformidad con el Derecho de la Unión (artículo 86, apartado 2). Se aplica únicamente en la medida en que el derecho no esté previsto de otro modo en el Derecho de la Unión (artículo 86, apartado 3). Los responsables del despliegue de sistemas del anexo III que tomen decisiones o ayuden a tomar decisiones relacionadas con personas físicas también deben informarles de que están expuestas a la utilización del sistema (artículo 26, apartado 11).

• Fechas

  Los requisitos para estos usos del anexo III se aplican desde el 2 de diciembre de 2027 (artículo 113, párrafo tercero, letra c), inciso i)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

• Multas

  Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, que incluye los artículos 9 a 15 (artículo 16, letra a)). El incumplimiento de las obligaciones de los proveedores del artículo 16 o de las de los responsables del despliegue del artículo 26 puede sancionarse con multa. La multa es de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4, letras a) y e)). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor de las dos (artículo 99, apartado 6). Lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establece normas que determinan en qué medida es posible imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

• Alcance y límites del Reglamento

  El Reglamento se aplica a los proveedores y responsables del despliegue establecidos o ubicados en un tercer país cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión (artículo 2, apartado 1, letra c)). No se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y no afecta a las competencias de los Estados miembros en materia de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6). Tampoco se aplica a la actividad de investigación, prueba o desarrollo anterior a la introducción de un sistema en el mercado o su puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (artículo 2, apartado 8). Los sistemas de IA publicados con arreglo a licencias libres y de código abierto quedan fuera del Reglamento. Esa exclusión no se aplica si se introducen en el mercado o se ponen en servicio como sistemas de IA de alto riesgo, o si entran en el ámbito de aplicación del artículo 5 o del artículo 50 (artículo 2, apartado 12).

• Sin formato de información para las fintech

  El Reglamento no fija formato, plantilla ni redacción para las instrucciones de uso en el crédito o los seguros. El proveedor decide cómo presentar los elementos que exige el artículo 13, apartado 3. El Reglamento no menciona por sí mismo ninguna norma armonizada. Se presume que los sistemas de alto riesgo conformes con normas armonizadas publicadas en el Diario Oficial son conformes con los requisitos de la sección 2, en la medida en que esas normas los contemplen (artículo 40, apartado 1). La Comisión elaborará directrices sobre la aplicación práctica de los requisitos y obligaciones de los artículos 8 a 15, 25 y 26 (artículo 96, apartado 1, letra a)).

• Ejemplo: contenido para un sistema de calificación crediticia

  Ejemplo, no exigido por el Reglamento: las instrucciones de uso de un sistema de calificación crediticia podrían indicar los datos que necesita el modelo y la población con la que se midió su precisión. También podrían nombrar los casos en que su resultado no debería usarse por sí solo.

• Ejemplo: datos de entrada que controla el responsable del despliegue

  Ejemplo, no exigido por el Reglamento: las instrucciones de uso podrían enumerar los datos de entrada del lado del banco de los que depende el modelo, para que un responsable del despliegue que controla los datos de entrada pueda cumplir el artículo 26, apartado 4.

• Artículo 13 reglamento IA: transparencia e instrucciones de uso

  El artículo 13 para todos los sectores: requisitos, fechas y multas.

• Reglamento IA fintech: guía de cumplimiento

  Resumen fintech: cómo alcanza el Reglamento a la IA de calificación crediticia y de seguros.

• Artículo 14 para la IA fintech: supervisión humana

  IA fintech y artículo 14: supervisión por personas físicas y lo que el Reglamento no exige.

• Anexo III en detalle: las 8 categorías de alto riesgo

  Las categorías del anexo III, incluido el punto 5 sobre calificación crediticia y seguros de vida y de salud.