Skip to main content

Artículo 17 para la IA fintech: sistema de gestión de la calidad

Cómo se aplica el artículo 17 (sistema de gestión de la calidad) a la IA fintech: los 13 aspectos, la regla para las entidades financieras del artículo 17, apartado 4, la documentación, las fechas y las multas.

Los proveedores de sistemas de IA de alto riesgo deben aplicar un sistema de gestión de la calidad que cubra al menos 13 aspectos (artículo 17, apartado 1).

«Fintech» no es una categoría del Reglamento; las vías son el anexo III, punto 5, letras b) y c), desde el 2 de diciembre de 2027. Para los proveedores que son entidades financieras sujetas a las normas de gobernanza del Derecho financiero de la Unión, la obligación se considera cumplida si las respetan (artículo 17, apartado 4). Quedan exceptuados la gestión de riesgos, la vigilancia poscomercialización y la notificación de incidentes. Las multas llegan hasta 15 millones de EUR o, si el infractor es una empresa, hasta el 3 % del volumen de negocios anual mundial, la cuantía mayor (artículo 99, apartado 4). Siguiente paso: compruebe si le afecta el artículo 17, apartado 4.

El artículo 17 enumera 13 aspectos que debe incluir el sistema

El sistema debe documentarse de manera sistemática y ordenada en forma de políticas, procedimientos e instrucciones escritos. Cuatro aspectos enlazan con otras obligaciones del Reglamento; siguen nueve más.

  • art. 17(1)(a)
    Estrategia de cumplimiento normativo

    Una estrategia para el cumplimiento de la normativa, incluido el cumplimiento de los procedimientos de evaluación de la conformidad y de los procedimientos de gestión de las modificaciones del sistema.

  • art. 17(1)(g)
    Sistema de gestión de riesgos

    El sistema de gestión de riesgos a que se refiere el artículo 9.

  • art. 17(1)(h)
    Vigilancia poscomercialización

    El establecimiento, la implantación y el mantenimiento de un sistema de vigilancia poscomercialización con arreglo a el artículo 72.

  • art. 17(1)(i)
    Notificación de incidentes graves

    Los procedimientos de notificación de un incidente grave con arreglo a el artículo 73.

  • art. 17(1)(b)–(f), (j)–(m)
    Los otros nueve aspectos

    Diseño y control del diseño; desarrollo, control de calidad y garantía de calidad; procedimientos de examen, prueba y validación; especificaciones técnicas y normas; gestión de datos; comunicación con autoridades, organismos notificados y otros; registro de la documentación; gestión de recursos; y un marco de rendición de cuentas.

  • art. 17(2)
    Proporcional al tamaño, no a la protección

    La aplicación debe ser proporcionada al tamaño de la organización del proveedor, en particular si es una pyme, incluidas las empresas emergentes, o una pequeña empresa de mediana capitalización. Los proveedores deben respetar en todo caso el grado de rigor y el nivel de protección necesarios para que sus sistemas de IA de alto riesgo cumplan el Reglamento.

Cómo se aplica el artículo 17 a la IA fintech

El artículo 17 solo obliga a los proveedores de sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA fintech pasa a ser de alto riesgo y qué reglas afectan a las entidades financieras.

  • «Fintech» no es una categoría del Reglamento

    El Reglamento no tiene una categoría «fintech». Este sitio usa la palabra para la IA que entra en el Reglamento por dos vías del anexo III: el punto 5, letra b), solvencia y calificación crediticia de las personas físicas, y el punto 5, letra c), evaluación de riesgos y fijación de precios en los seguros de vida y de salud. La letra b) excluye la detección de fraudes. El punto 5 del anexo III no menciona los controles contra el blanqueo de capitales, la negociación algorítmica, el robo-asesoramiento, los seguros distintos de los de vida y de salud ni la evaluación crediticia de personas jurídicas. Un sistema puede ser de alto riesgo igualmente en virtud de otro punto del anexo III.

  • Anexo III, punto 5, letras b) y c)

    El anexo III, punto 5, letra b), abarca los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros. La letra c) abarca los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud. Con arreglo al artículo 6, apartado 2, los sistemas de IA mencionados en el anexo III se consideran de alto riesgo. El proveedor que considere que un sistema de ese tipo no es de alto riesgo con arreglo al artículo 6, apartado 3 debe documentar su evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio, y registrarlo conforme al artículo 49, apartado 2. La excepción nunca se aplica cuando el sistema efectúa la elaboración de perfiles de personas físicas. La elaboración de perfiles es la definida en el artículo 4, punto 4, del Reglamento (UE) 2016/679 (artículo 3, punto 52); el Reglamento no responde si un sistema de puntuación determinado elabora perfiles.

  • Proveedor y responsable del despliegue

    El proveedor desarrolla el sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre (artículo 3, punto 3); puede ser un proveedor de software o un banco que desarrolla un sistema para uso propio. Una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema bajo su autoridad, como un banco, una aseguradora o un prestamista, es un responsable del despliegue (artículo 3, punto 4). Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, realiza una modificación sustancial que lo deja como de alto riesgo, o cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1).

  • Fechas

    El anexo III, puntos 5, letras b) y c), se aplica desde el 2 de diciembre de 2027 (artículo 113, apartado 3, letra c)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

  • Multas

    El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor (artículo 99, apartado 6). El mismo límite rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

  • Límites del ámbito de aplicación del Reglamento

    El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3).

  • Entidades financieras: la regla de gobernanza interna (artículo 17, apartado 4)

    En el caso de los proveedores que sean entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos en virtud del Derecho de la Unión en materia de servicios financieros, se considera cumplida la obligación de establecer un sistema de gestión de la calidad cuando se respetan las normas sobre los sistemas o procesos de gobernanza interna con arreglo a ese Derecho (artículo 17, apartado 4). Se exceptúan el artículo 17, apartado 1, letras g), h) e i): el sistema de gestión de riesgos (artículo 9), el sistema de vigilancia poscomercialización (artículo 72) y los procedimientos de notificación de un incidente grave (artículo 73). Se tienen en cuenta las normas armonizadas del artículo 40. El Reglamento no define «entidad financiera» ni nombra el Derecho en materia de servicios financieros de que se trata.

  • Sistemas de gestión de la calidad sectoriales

    Los proveedores sujetos a obligaciones relativas a sistemas de gestión de la calidad o a una función equivalente con arreglo al Derecho sectorial de la Unión pueden incluir los aspectos del artículo 17, apartado 1, en el sistema de gestión de la calidad previsto en ese Derecho (artículo 17, apartado 3).

  • Documentación, registros y vigilancia en el Derecho financiero

    Los proveedores que sean entidades financieras sujetas a esos requisitos de gobernanza interna mantienen la documentación técnica como parte de la documentación conservada con arreglo al Derecho de la Unión en materia de servicios financieros (artículo 18, apartado 3) y conservan del mismo modo los registros generados automáticamente (artículo 19, apartado 2). El artículo 72, apartado 4, párrafo segundo, extiende a los sistemas del anexo III, punto 5, de dichas entidades financieras la opción de integrar elementos de la vigilancia poscomercialización en sistemas y planes ya existentes; el Reglamento no dice qué sistemas existentes del Derecho financiero cuentan.

  • Qué autoridad es competente

    Para los sistemas de alto riesgo introducidos en el mercado, puestos en servicio o utilizados por entidades financieras reguladas por el Derecho de la Unión en materia de servicios financieros, la autoridad de vigilancia del mercado es la autoridad nacional responsable de la supervisión financiera de dichas entidades con arreglo a esa legislación, en la medida en que la introducción en el mercado, la puesta en servicio o el uso del sistema esté directamente relacionado con la prestación de esos servicios financieros (artículo 74, apartado 6). En circunstancias adecuadas y siempre que se garantice la coordinación, el Estado miembro podrá designar a otra autoridad competente (artículo 74, apartado 7).

Lo que el Reglamento deja abierto para fintech

  • Ninguna norma nombrada ni correspondencia con el Derecho financiero

    El Reglamento no nombra ninguna norma ni certificación para el sistema de gestión de la calidad ni hace corresponder las normas de gobernanza del Derecho financiero con los 13 aspectos. El artículo 17, apartado 4 solo dice que se tienen en cuenta las normas armonizadas del artículo 40.

  • La conservación de diez años es del artículo 18

    La obligación de conservar la documentación del sistema de gestión de la calidad durante diez años desde que el sistema se introdujo en el mercado o se puso en servicio figura en el artículo 18, apartado 1, no en el artículo 17.

  • Ejemplo: una tabla de carencias

    Ejemplo, no un requisito del Reglamento: un banco que sea proveedor podría enumerar los 13 aspectos en una tabla, marcar el documento de gobernanza interna que cubre cada uno y tratar los aspectos g), h) e i) como trabajo aparte, porque el artículo 17, apartado 4, no los cubre.

Preguntas sobre el artículo 17 en fintech

¿Necesita un banco que desarrolla su propio modelo de puntuación crediticia un sistema de gestión de la calidad independiente?

No necesariamente. Si el banco es una entidad financiera sujeta a requisitos de gobernanza interna con arreglo al Derecho de la Unión en materia de servicios financieros, se considera cumplida la obligación al respetar esas normas, salvo en lo dispuesto en el artículo 17, apartado 1, letras g), h) e i) (artículo 17, apartado 4). Un proveedor con un sistema de gestión de la calidad con arreglo a otro Derecho sectorial de la Unión puede incluir los aspectos en él (artículo 17, apartado 3).

¿Exige el artículo 17 conservar los registros diez años?

No. El artículo 18, apartado 1, exige que el proveedor mantenga a disposición de las autoridades nacionales competentes la documentación técnica, la documentación del sistema de gestión de la calidad y otros documentos enumerados durante diez años desde que el sistema se introdujo en el mercado o se puso en servicio.

¿Cubre el artículo 17, apartado 4, a una empresa emergente fintech que no es un banco?

El artículo 17, apartado 4, cubre a los proveedores que son entidades financieras sujetas a requisitos de gobernanza interna con arreglo al Derecho de la Unión en materia de servicios financieros. El Reglamento no define «entidad financiera» a estos efectos. Que una empresa fintech concreta quede cubierta depende del Derecho en materia de servicios financieros que le sea aplicable; consulte a un jurista.

Páginas relacionadas

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.