Skip to main content

Artículo 26 en fintech: obligaciones de los responsables del despliegue

Cómo se aplica el artículo 26 (obligaciones del responsable del despliegue) a bancos, aseguradoras y prestamistas que utilizan IA de alto riesgo: supervisión, vigilancia, registros, reglas para las entidades financieras, artículos 27 y 86, fechas y multas.

Los responsables del despliegue de sistemas de IA de alto riesgo, como los bancos y las aseguradoras, deben seguir las instrucciones de uso, asignar la supervisión humana, vigilar el funcionamiento y conservar los registros (artículo 26).

Las vías fintech son el anexo III, punto 5, letras b) y c), desde el 2 de diciembre de 2027; «fintech» no es una categoría del Reglamento. Los responsables del despliegue de estos sistemas deben además evaluar el impacto en los derechos fundamentales (artículo 27, apartado 1). Las multas llegan hasta 15 millones de EUR o, si el infractor es una empresa, hasta el 3 % del volumen de negocios anual mundial, la cuantía mayor (artículo 99, apartado 4). Siguiente paso: pida a cada proveedor las instrucciones de uso.

El artículo 26 pide a los responsables del despliegue usar, supervisar, vigilar y registrar

El artículo 26 fija estas obligaciones a los responsables del despliegue de sistemas de IA de alto riesgo.

  • art. 26(1)
    Usar según las instrucciones

    Adoptar medidas técnicas y organizativas adecuadas para utilizar el sistema con arreglo a las instrucciones de uso.

  • art. 26(2)
    Encomendar la supervisión humana

    Encomendar la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias, así como el apoyo necesario.

  • art. 26(4)
    Comprobar los datos de entrada

    En la medida en que el responsable del despliegue ejerza el control sobre los datos de entrada, garantizar que sean pertinentes y suficientemente representativos en vista de la finalidad prevista.

  • art. 26(5)
    Vigilar, informar, suspender

    Vigilar el funcionamiento sobre la base de las instrucciones de uso y, cuando proceda, informar a los proveedores. Si el uso conforme a las instrucciones puede presentar un riesgo en el sentido de artículo 79, apartado 1, informar sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspender el uso. Tras un incidente grave, informar inmediatamente primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado. Si no se puede contactar con el proveedor, se aplica el artículo 73 mutatis mutandis.

  • art. 26(6)
    Conservar los registros

    Conservar los registros que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista y de al menos seis meses, salvo disposición en contrario del Derecho de la Unión o nacional, en particular sobre protección de datos personales.

  • art. 26(7)
    Informar a los trabajadores

    Los empleadores deben informar a los representantes de los trabajadores y a los trabajadores afectados, antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo, de que estarán expuestos a su utilización. Esta información se facilita, cuando proceda, de conformidad con las normas y los procedimientos del Derecho y la práctica de la Unión y nacionales en materia de información de los trabajadores y sus representantes.

  • art. 26(8)
    Las autoridades públicas se registran

    Los responsables del despliegue que sean autoridades públicas, o instituciones, órganos u organismos de la Unión, deben cumplir las obligaciones de registro del artículo 49, que afectan a los sistemas del anexo III. No deben utilizar un sistema que no esté registrado en la base de datos de la UE.

  • art. 26(9)
    Evaluación de impacto relativa a la protección de datos

    Cuando proceda, utilizar la información facilitada con arreglo al artículo 13 para la evaluación de impacto relativa a la protección de datos del artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680.

  • art. 26(11)
    Informar a las personas afectadas por decisiones

    En los sistemas del anexo III que toman o ayudan a tomar decisiones sobre personas físicas, informar a esas personas de que están expuestas a la utilización del sistema, sin perjuicio del artículo 50.

  • art. 26(12)
    Cooperar con las autoridades

    Cooperar con las autoridades competentes en cualquier acción que emprendan en relación con el sistema de IA de alto riesgo.

Cómo se aplica el artículo 26 en un banco o una aseguradora

El artículo 26 solo obliga a los responsables del despliegue de sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA fintech pasa a ser de alto riesgo y qué reglas afectan a las entidades financieras.

  • «Fintech» no es una categoría del Reglamento

    El Reglamento no tiene una categoría «fintech». Este sitio usa la palabra para la IA que entra en el Reglamento por dos vías del anexo III: el punto 5, letra b), solvencia y calificación crediticia de las personas físicas, y el punto 5, letra c), evaluación de riesgos y fijación de precios en los seguros de vida y de salud. La letra b) excluye la detección de fraudes. El punto 5 del anexo III no menciona los controles contra el blanqueo de capitales, la negociación algorítmica, el robo-asesoramiento, los seguros distintos de los de vida y de salud ni la evaluación crediticia de personas jurídicas. Un sistema puede ser de alto riesgo igualmente en virtud de otro punto del anexo III.

  • Anexo III, punto 5, letras b) y c)

    El anexo III, punto 5, letra b), abarca los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros. La letra c) abarca los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud. Con arreglo al artículo 6, apartado 2, los sistemas de IA mencionados en el anexo III se consideran de alto riesgo. El proveedor que considere que un sistema de ese tipo no es de alto riesgo con arreglo al artículo 6, apartado 3 debe documentar su evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio, y registrarlo conforme al artículo 49, apartado 2. La excepción nunca se aplica cuando el sistema efectúa la elaboración de perfiles de personas físicas. La elaboración de perfiles es la definida en el artículo 4, punto 4, del Reglamento (UE) 2016/679 (artículo 3, punto 52); el Reglamento no responde si un sistema de puntuación determinado elabora perfiles.

  • Proveedor y responsable del despliegue

    El proveedor desarrolla el sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre (artículo 3, punto 3); puede ser un proveedor de software o un banco que desarrolla un sistema para uso propio. Una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema bajo su autoridad, como un banco, una aseguradora o un prestamista, es un responsable del despliegue (artículo 3, punto 4). Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, realiza una modificación sustancial que lo deja como de alto riesgo, o cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). Las personas físicas que utilizan un sistema en el ejercicio de una actividad puramente personal de carácter no profesional no están obligadas como responsables del despliegue (artículo 2, apartado 10). Poner su nombre o marca en el sistema se entiende sin perjuicio de los acuerdos contractuales que asignen las obligaciones de otro modo (artículo 25, apartado 1, letra a)); el proveedor inicial deja entonces de ser el proveedor de ese sistema y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2).

  • Fechas

    El anexo III, puntos 5, letras b) y c), se aplica desde el 2 de diciembre de 2027 (artículo 113, apartado 3, letra c)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

  • Multas

    El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor (artículo 99, apartado 6). El mismo límite rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8). Los artículos 27, 49 y 86 no figuran en el artículo 99, apartados 3 a 5; los Estados miembros establecen las normas sobre las sanciones aplicables a las infracciones del Reglamento por parte de los operadores (artículo 99, apartado 1).

  • Límites del ámbito de aplicación del Reglamento

    El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3).

  • Entidades financieras: seguimiento y registros (artículo 26, apartados 5 y 6)

    En el caso de los responsables del despliegue que sean entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos en virtud del Derecho de la Unión en materia de servicios financieros, se considera cumplida la obligación de seguimiento cuando se respetan las normas sobre los sistemas, procesos y mecanismos de gobernanza interna con arreglo al Derecho pertinente en materia de servicios financieros (artículo 26, apartado 5, párrafo segundo). Estos responsables del despliegue conservan los registros como parte de la documentación conservada con arreglo al Derecho de la Unión en materia de servicios financieros (artículo 26, apartado 6, párrafo segundo). El Reglamento no nombra el Derecho en materia de servicios financieros de que se trata.

  • Evaluación de impacto relativa a los derechos fundamentales (artículo 27)

    Artículo 27, apartado 1: antes de desplegar un sistema de IA de alto riesgo de los contemplados en el artículo 6, apartado 2, con excepción de los sistemas destinados a utilizarse en el ámbito del punto 2 del anexo III, los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, y los responsables del despliegue de los sistemas contemplados en el anexo III, punto 5, letras b) y c), deben evaluar el impacto que su uso pueda tener en los derechos fundamentales. Para las letras b) y c), el texto nombra a los responsables del despliegue de esos sistemas sin limitarlos a organismos públicos. La obligación se aplica al primer uso; en casos similares, el responsable del despliegue puede basarse en evaluaciones anteriores (artículo 27, apartado 2). El responsable del despliegue notifica los resultados a la autoridad de vigilancia del mercado (artículo 27, apartado 3) y puede remitirse a una evaluación de impacto relativa a la protección de datos (artículo 27, apartado 4).

  • Explicación de las decisiones (artículo 86) e información (artículo 26, apartado 11)

    Con arreglo al artículo 26, apartado 11, los responsables del despliegue de sistemas de IA de alto riesgo del anexo III que tomen decisiones relacionadas con personas físicas, o ayuden a tomarlas, deben informar a esas personas de que están expuestas a la utilización del sistema. Por separado, toda persona afectada objeto de una decisión adoptada por el responsable del despliegue sobre la base de los resultados de un sistema de IA de alto riesgo del anexo III (salvo el punto 2) que produzca efectos jurídicos o le afecte de modo similar y significativo, de una manera que considere que tiene un efecto adverso para su salud, su seguridad o sus derechos fundamentales, tiene derecho a obtener del responsable del despliegue explicaciones claras y significativas sobre el papel del sistema de IA en el procedimiento de toma de decisiones y sobre los principales elementos de la decisión adoptada (artículo 86, apartado 1). Solo se aplica en la medida en que ese derecho no esté previsto de otro modo en el Derecho de la Unión (artículo 86, apartado 3). El apartado 1 no se aplica cuando del Derecho de la Unión o nacional, en cumplimiento del Derecho de la Unión, se deriven excepciones o restricciones (artículo 86, apartado 2).

  • Qué autoridad es competente

    Para los sistemas de alto riesgo introducidos en el mercado, puestos en servicio o utilizados por entidades financieras reguladas por el Derecho de la Unión en materia de servicios financieros, la autoridad de vigilancia del mercado es la autoridad nacional responsable de la supervisión financiera de dichas entidades con arreglo a esa legislación, en la medida en que la introducción en el mercado, la puesta en servicio o el uso del sistema esté directamente relacionado con la prestación de esos servicios financieros (artículo 74, apartado 6). En circunstancias adecuadas y siempre que se garantice la coordinación, el Estado miembro podrá designar a otra autoridad competente (artículo 74, apartado 7).

Lo que el Reglamento deja abierto para fintech

  • Sin cifras de personal ni de formación

    El artículo 26 no fija dotación de personal, horas de formación ni cualificación para las personas que supervisan un sistema de crédito o de seguros. Exige la competencia, la formación, la autoridad y el apoyo necesarios. La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15 y 25 y 26 (artículo 96, apartado 1, letra a)).

  • Registros y conservación según el Derecho financiero

    El artículo 26, apartado 6, fija al menos seis meses para los registros bajo el control del responsable del despliegue y cede ante otro Derecho de la Unión o nacional, en particular sobre datos personales. El Reglamento no nombra ningún plazo de conservación del Derecho en materia de servicios financieros.

  • Decisión de diseño: funciones de supervisión

    Una decisión de diseño habitual, no un requisito del Reglamento: nombrar a las personas de supervisión por su función en los procedimientos de crédito o de suscripción y registrar su formación.

  • Revisión humana de cada decisión

    El artículo 14, apartado 4, y el artículo 26, apartado 2, se refieren a la supervisión humana del sistema. Ninguno dice que una persona deba revisar cada decisión individual. El Reglamento no responde si otro Derecho, por ejemplo sobre decisiones individuales automatizadas, lo exige.

Preguntas sobre el artículo 26 en fintech

¿Es responsable del despliegue un banco que utiliza el sistema de puntuación crediticia de un proveedor?

Sí, si utiliza el sistema de IA bajo su autoridad (artículo 3, punto 4). Tiene entonces las obligaciones del artículo 26 desde el 2 de diciembre de 2027, cuando el sistema es de alto riesgo con arreglo al anexo III, punto 5, letra b). Pasa a ser proveedor en los casos del artículo 25, apartado 1.

¿Debe un banco privado realizar una evaluación de impacto en los derechos fundamentales?

Si despliega un sistema contemplado en el anexo III, punto 5, letra b) o c), el artículo 27, apartado 1, exige la evaluación antes del despliegue. El texto nombra a los responsables del despliegue de esos sistemas sin limitarlos a organismos públicos. Los resultados se notifican a la autoridad de vigilancia del mercado (artículo 27, apartado 3).

¿Durante cuánto tiempo debe un banco conservar los registros de un sistema de IA?

Un responsable del despliegue que sea una entidad financiera sujeta a requisitos de gobernanza interna con arreglo al Derecho de la Unión en materia de servicios financieros conserva los registros como parte de la documentación conservada con arreglo a ese Derecho (artículo 26, apartado 6). Los demás responsables del despliegue conservan los registros bajo su control durante al menos seis meses, salvo que otro Derecho de la Unión o nacional disponga otra cosa. El Reglamento no nombra ningún plazo de conservación del Derecho en materia de servicios financieros.

¿Debe un banco explicar al solicitante el rechazo de una solicitud de crédito?

Cuando se cumplen las condiciones del artículo 86, apartado 1, la persona afectada tiene derecho a obtener del responsable del despliegue explicaciones claras y significativas sobre el papel del sistema de IA en la decisión y sobre los principales elementos de la decisión. El artículo 26, apartado 11, exige por separado que el responsable del despliegue informe a las personas de que están expuestas a la utilización de un sistema del anexo III que toma o ayuda a tomar decisiones sobre ellas. El artículo 86 solo se aplica en la medida en que ese derecho no esté previsto de otro modo en el Derecho de la Unión (artículo 86, apartado 3). El apartado 1 no se aplica cuando del Derecho de la Unión o nacional, en cumplimiento del Derecho de la Unión, se deriven excepciones o restricciones (artículo 86, apartado 2).

Páginas relacionadas

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.