Skip to main content

Artículo 15 para la IA fintech: precisión, solidez y ciberseguridad

Cómo se aplica el artículo 15 (precisión, solidez, ciberseguridad) a la IA fintech: vías de la puntuación crediticia y los seguros del anexo III, fechas, funciones de proveedor y responsable del despliegue, multas.

Los proveedores de sistemas de IA de alto riesgo, como los de software de puntuación crediticia, deben diseñarlos con precisión, solidez y ciberseguridad adecuadas (artículo 15).

«Fintech» no es una categoría del Reglamento. Las vías son el anexo III, punto 5, letra b) (solvencia de las personas físicas) y letra c) (seguros de vida y de salud), desde el 2 de diciembre de 2027. El proveedor indica los niveles y parámetros de precisión en las instrucciones de uso (artículo 15, apartado 3). Las multas llegan hasta 15 millones de EUR o, si el infractor es una empresa, hasta el 3 % del volumen de negocios anual mundial, la cuantía mayor (artículo 99, apartado 4). Siguiente paso: haga una lista de los parámetros que declarará.

El artículo 15 pide un nivel adecuado, no una cifra fija

El artículo 15 fija requisitos de diseño para el proveedor. No nombra ningún valor de precisión para ningún sector.

  • art. 15(1)
    Nivel adecuado durante todo el ciclo de vida

    Los sistemas de IA de alto riesgo deben diseñarse y desarrollarse para alcanzar un nivel adecuado de precisión, solidez y ciberseguridad, y funcionar de manera uniforme en ese sentido durante todo su ciclo de vida.

  • art. 15(2)
    La Comisión fomenta los puntos de referencia

    La Comisión fomentará, según proceda, el desarrollo de parámetros de referencia y metodologías de medición, en cooperación con partes interesadas como las autoridades de metrología y evaluación comparativa. No es una obligación del proveedor.

  • art. 15(3)
    Declarar niveles y parámetros

    Los niveles de precisión y los parámetros de precisión pertinentes deben indicarse en las instrucciones de uso que acompañan al sistema.

  • art. 15(4)
    Resiliencia ante errores y bucles de retroalimentación

    Los sistemas deben ser lo más resilientes posible frente a errores, fallos e incoherencias que puedan darse en el sistema o en su entorno, en particular por su interacción con personas físicas u otros sistemas. Deben adoptarse medidas técnicas y organizativas; se citan como opciones la redundancia técnica y los planes de copia de seguridad o a prueba de fallos. Un sistema que sigue aprendiendo tras su introducción en el mercado debe desarrollarse de modo que se elimine o reduzca en lo posible el riesgo de que salidas sesgadas influyan en entradas futuras (bucles de retroalimentación).

  • art. 15(5)
    Ciberseguridad frente a terceros no autorizados

    Los sistemas deben resistir los intentos de terceros no autorizados de alterar su uso, sus resultados o su funcionamiento aprovechando vulnerabilidades. Las soluciones técnicas incluirán, cuando proceda, medidas contra el envenenamiento de datos, el envenenamiento del modelo, los ejemplos adversarios o la evasión del modelo, los ataques a la confidencialidad y los defectos del modelo.

Qué IA fintech debe cumplir el artículo 15

El artículo 15 solo obliga a los sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA fintech pasa a ser de alto riesgo.

  • «Fintech» no es una categoría del Reglamento

    El Reglamento no tiene una categoría «fintech». Este sitio usa la palabra para la IA que entra en el Reglamento por dos vías del anexo III: el punto 5, letra b), solvencia y calificación crediticia de las personas físicas, y el punto 5, letra c), evaluación de riesgos y fijación de precios en los seguros de vida y de salud. La letra b) excluye la detección de fraudes. El punto 5 del anexo III no menciona los controles contra el blanqueo de capitales, la negociación algorítmica, el robo-asesoramiento, los seguros distintos de los de vida y de salud ni la evaluación crediticia de personas jurídicas. Un sistema puede ser de alto riesgo igualmente en virtud de otro punto del anexo III.

  • Anexo III, punto 5, letras b) y c)

    El anexo III, punto 5, letra b), abarca los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros. La letra c) abarca los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud. Con arreglo al artículo 6, apartado 2, los sistemas de IA mencionados en el anexo III se consideran de alto riesgo. El proveedor que considere que un sistema de ese tipo no es de alto riesgo con arreglo al artículo 6, apartado 3 debe documentar su evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio, y registrarlo conforme al artículo 49, apartado 2. La excepción nunca se aplica cuando el sistema efectúa la elaboración de perfiles de personas físicas. La elaboración de perfiles es la definida en el artículo 4, punto 4, del Reglamento (UE) 2016/679 (artículo 3, punto 52); el Reglamento no responde si un sistema de puntuación determinado elabora perfiles.

  • Proveedor y responsable del despliegue

    El proveedor desarrolla el sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre (artículo 3, punto 3); puede ser un proveedor de software o un banco que desarrolla un sistema para uso propio. Una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema bajo su autoridad, como un banco, una aseguradora o un prestamista, es un responsable del despliegue (artículo 3, punto 4). Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, realiza una modificación sustancial que lo deja como de alto riesgo, o cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1).

  • Fechas

    El anexo III, puntos 5, letras b) y c), se aplica desde el 2 de diciembre de 2027 (artículo 113, apartado 3, letra c)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

  • Multas

    El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor (artículo 99, apartado 6). El mismo límite rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

  • Límites del ámbito de aplicación del Reglamento

    El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3).

Lo que el Reglamento deja abierto para fintech

  • Ningún valor de precisión para fintech

    El artículo 15 no nombra ningún parámetro de precisión, valor mínimo, método de prueba ni norma para ningún sector, ni para la puntuación crediticia ni para los seguros. El proveedor declara los niveles y los parámetros pertinentes (artículo 15, apartado 3). Las normas armonizadas cuyas referencias se publican en el Diario Oficial dan presunción de conformidad en la medida en que cubran los requisitos (artículo 40, apartado 1); un certificado de ciberseguridad publicado con arreglo al Reglamento (UE) 2019/881 la da para los requisitos de ciberseguridad en la medida en que los cubra (artículo 42, apartado 2). Se considera que los sistemas incluidos en el ámbito de aplicación del Reglamento (UE) 2024/2847 que cumplan las condiciones del artículo 12, apartado 1, de dicho Reglamento cumplen los requisitos de ciberseguridad del artículo 15 (artículo 42, apartado 3). La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15 y 25 y 26 (artículo 96, apartado 1, letra a)).

  • Ejemplo: parámetros para un modelo de puntuación crediticia

    Ejemplo, no un requisito del Reglamento: el proveedor de un modelo de puntuación crediticia podría declarar qué parámetros de precisión midió e indicar la población de solicitantes y el período con los que se midieron.

  • Ejemplo: pruebas de errores y ataques

    Ejemplo, no un requisito del Reglamento: un proveedor podría probar el sistema con entradas corruptas o fuera de rango y con ejemplos adversarios, y conservar los resultados.

Preguntas sobre el artículo 15 en fintech

¿Fija el artículo 15 valores de precisión para la puntuación crediticia?

No. El artículo 15, apartado 1, exige un nivel adecuado, y el artículo 15, apartado 3, exige que el proveedor declare los niveles y los parámetros pertinentes en las instrucciones de uso. El Reglamento no nombra ningún valor, parámetro ni método de prueba para la puntuación crediticia ni para los seguros.

¿Se aplica el artículo 15 a la IA de detección de fraudes?

El artículo 15 obliga a los sistemas de IA de alto riesgo. El anexo III, punto 5, letra b), excluye los sistemas utilizados para detectar fraudes financieros; por tanto, un sistema así no es de alto riesgo por ese punto. Solo lo es si otro punto del anexo III lo abarca (artículo 6, apartado 2).

¿Quién debe cumplir el artículo 15 cuando un banco compra una herramienta de puntuación crediticia?

El proveedor diseña el sistema para cumplir el artículo 15 (artículo 16, letra a)). El banco es responsable del despliegue y utiliza el sistema con arreglo a las instrucciones de uso (artículo 26, apartado 1). Un responsable del despliegue que pone su nombre en el sistema, realiza una modificación sustancial o cambia la finalidad prevista pasa a ser el proveedor (artículo 25, apartado 1).

Páginas relacionadas

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.