Reglamento IA fintech: guía de cumplimiento

El Reglamento no tiene una categoría fintech. Este sitio usa la palabra para la IA que entra en el Reglamento por los usos siguientes.

• Calificación crediticia: anexo III, punto 5, letra b)

  Los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia son de alto riesgo. Se exceptúan los sistemas de IA utilizados al objeto de detectar fraudes financieros. El punto 5, letra b), menciona solo a las personas físicas, no a las empresas.

• Seguros de vida y de salud: anexo III, punto 5, letra c)

  Los sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud son de alto riesgo. El punto 5, letra c), menciona solo los seguros de vida y de salud.

• La detección de fraudes queda excluida del punto 5, letra b)

  La exclusión abarca los sistemas de IA utilizados al objeto de detectar fraudes financieros. Un sistema de detección de fraudes es de alto riesgo solo si otro punto del anexo III o el anexo I lo cubre.

• Otros usos fintech no se mencionan en el punto 5

  El punto 5 no menciona los controles contra el blanqueo de capitales ni de conocimiento del cliente, la negociación algorítmica, el asesoramiento automatizado, los seguros distintos del seguro de vida, la tramitación de siniestros ni las decisiones de crédito sobre personas jurídicas. Compruebe cada uno con los demás puntos del anexo III y con el anexo I antes de considerarlo fuera de las normas de alto riesgo.

• El artículo 6, apartado 3, puede excluir un sistema del anexo III

  Un sistema del punto 5, letra b), o del punto 5, letra c), es de alto riesgo con arreglo al artículo 6, apartado 2. Con arreglo al artículo 6, apartado 3, no lo es si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales. Eso incluye no influir sustancialmente en el resultado de la toma de decisiones. El Reglamento aplica esta excepción cuando se cumple cualquiera de las condiciones siguientes (artículo 6, apartado 3, letras a) a d)). Que el sistema esté destinado a realizar una tarea de procedimiento limitada. O que esté destinado a mejorar el resultado de una actividad humana previamente realizada. O que esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada, ni a influir en ella, sin una revisión humana adecuada. O que esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III. Cómo se combinan estas condiciones con el criterio del riesgo importante es una cuestión para un jurista. El sistema siempre es de alto riesgo si efectúa la elaboración de perfiles de personas físicas. El artículo 4, punto 4, del RGPD define la elaboración de perfiles (artículo 3, punto 52). Si un sistema concreto de calificación o de fijación de precios la efectúa también es una cuestión para un jurista. El proveedor que se acoja a la excepción documenta su evaluación antes de introducir el sistema en el mercado o ponerlo en servicio. También debe registrar el sistema (artículo 6, apartado 4, artículo 49, apartado 2).

• Otras normas del Reglamento que pueden alcanzar a la IA fintech

  El artículo 5, apartado 1, letra b), prohíbe los sistemas de IA que exploten vulnerabilidades de una persona física derivadas de su edad o discapacidad, o de una situación social o económica específica. Su finalidad o efecto debe ser alterar de manera sustancial el comportamiento de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables. La letra c) prohíbe los sistemas de IA que evalúen o clasifiquen a personas físicas durante un período determinado de tiempo atendiendo a su comportamiento social o a características personales, de forma que la puntuación ciudadana resultante provoque el trato perjudicial descrito en esa letra. Estas prohibiciones se aplican desde el 2 de febrero de 2025 (artículo 113, párrafo tercero, letra a)). Los proveedores de sistemas de IA destinados a interactuar directamente con personas físicas, como un chatbot, deben diseñarlos de forma que las personas estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente (artículo 50, apartado 1). Esto se aplica desde el 2 de agosto de 2026.

El proveedor desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). La puesta en servicio incluye el suministro para uso propio del proveedor (artículo 3, punto 11). Un banco o una aseguradora que desarrolla un sistema y lo pone en servicio bajo su propio nombre es, por tanto, proveedor. Un banco o una aseguradora que utiliza un sistema bajo su propia autoridad es un responsable del despliegue (artículo 3, punto 4). El responsable del despliegue pasa a ser proveedor en tres casos. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo. Realiza una modificación sustancial de ese sistema que lo deja como de alto riesgo. O cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El proveedor que inicialmente introdujo el sistema en el mercado o lo puso en servicio deja entonces de ser considerado proveedor de ese sistema específico y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2). Esto no se aplica si el proveedor inicial indicó claramente que su sistema no debe ser transformado en un sistema de alto riesgo.

Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, artículos 8 a 15 (artículo 16, letra a)). También deben cumplir las demás obligaciones del proveedor del artículo 16.

• art. 9
  Sistema de gestión de riesgos

  Un proceso iterativo continuo durante el ciclo de vida, con pruebas basadas en parámetros y umbrales de probabilidades previamente definidos y adecuados para la finalidad prevista.

• art. 10
  Datos y gobernanza de datos

  Conjuntos de datos de entrenamiento, validación y prueba que cumplan los criterios de calidad del artículo 10, incluido un examen atendiendo a posibles sesgos.

• art. 12
  Registro por diseño

  El sistema debe permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de su ciclo de vida.

• art. 13
  Instrucciones de uso

  Información que permita a los responsables del despliegue interpretar los resultados de salida y utilizarlos adecuadamente, incluidos el nivel de precisión declarado y sus parámetros.

• art. 14
  Supervisión humana por diseño

  Medidas que permitan a personas físicas vigilar el sistema de manera efectiva mientras está en uso.

• art. 15
  Precisión, solidez y ciberseguridad

  Un nivel adecuado, alcanzado de manera uniforme durante todo el ciclo de vida. Los niveles de precisión y los parámetros pertinentes para medirla se declaran en las instrucciones de uso.

• art. 17
  Sistema de gestión de la calidad

  Políticas, procedimientos e instrucciones escritos que cubren los aspectos enumerados en el artículo 17, apartado 1, aplicados de forma proporcional al tamaño de la organización del proveedor (artículo 17, apartado 2).

• art. 43(2)
  Evaluación de la conformidad

  Para los sistemas de los puntos 2 a 8 del anexo III, entre los que está el punto 5, el proveedor sigue el procedimiento de evaluación de la conformidad fundamentado en un control interno (anexo VI). Ese procedimiento no prevé un organismo notificado.

• art. 16
  Declaración UE, marcado CE y registro

  El proveedor elabora una declaración UE de conformidad y coloca el marcado CE. También se registra a sí mismo y registra el sistema en la base de datos de la UE antes de introducir el sistema en el mercado o ponerlo en servicio (artículo 16, letras g) a i); artículo 49, apartado 1).

• art. 72, 73
  Vigilancia poscomercialización e incidentes graves

  El proveedor establece y documenta un sistema de vigilancia poscomercialización (artículo 72, apartado 1) y notifica los incidentes graves a las autoridades de vigilancia del mercado (artículo 73).

• art. 26(1), (2)
  Usar según las instrucciones, encomendar la supervisión

  Los responsables del despliegue adoptan medidas técnicas y organizativas adecuadas para utilizar el sistema con arreglo a las instrucciones de uso. Encomiendan la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias.

• art. 26(4)–(6)
  Datos de entrada, vigilancia y archivos de registro

  En la medida en que ejerzan el control sobre los datos de entrada, los responsables del despliegue se aseguran de que sean pertinentes y suficientemente representativos. Vigilan el funcionamiento del sistema basándose en las instrucciones de uso. Conservan los archivos de registro bajo su control durante al menos seis meses, salvo que se disponga otra cosa en el Derecho de la Unión o nacional aplicable.

• art. 26(11)
  Informar a las personas afectadas

  Los responsables del despliegue de sistemas de alto riesgo del anexo III que tomen decisiones o ayuden a tomar decisiones relacionadas con personas físicas las informan de que están expuestas a la utilización del sistema, sin perjuicio del artículo 50 (artículo 26, apartado 11).

• art. 27
  Evaluación de impacto relativa a los derechos fundamentales

  Antes de desplegar un sistema del punto 5, letra b), o del punto 5, letra c), los responsables del despliegue, sean públicos o privados, llevan a cabo una evaluación del impacto en los derechos fundamentales (artículo 27, apartado 1). La evaluación consiste en: una descripción de los procesos del responsable del despliegue en los que se utilizará el sistema en consonancia con su finalidad prevista; el período y la frecuencia de uso previstos; las categorías de personas físicas y colectivos que puedan verse afectados; los riesgos de perjuicio específicos para ellos, teniendo en cuenta la información facilitada por el proveedor con arreglo al artículo 13; una descripción de las medidas de supervisión humana; y las medidas que deben adoptarse si esos riesgos se materializan, incluidos los acuerdos de gobernanza interna y los mecanismos de reclamación. Los responsables del despliegue notifican sus resultados a la autoridad de vigilancia del mercado (artículo 27, apartado 3). Las obligaciones que ya se cumplan mediante una evaluación de impacto relativa a la protección de datos pueden incluir referencias cruzadas (artículo 27, apartado 4).

• art. 86
  Explicación a la persona afectada

  Una persona tiene derecho a explicación cuando un responsable del despliegue adopta una decisión basándose en los resultados de salida de un sistema de alto riesgo enumerado en el anexo III, con excepción de su punto 2. La decisión debe producir efectos jurídicos o afectar considerablemente del mismo modo a la persona, de manera que esta considere que tiene un efecto perjudicial para su salud, su seguridad o sus derechos fundamentales. La persona puede obtener entonces del responsable del despliegue explicaciones claras y significativas acerca del papel que el sistema de IA ha tenido en el proceso de toma de decisiones y los principales elementos de la decisión adoptada (artículo 86, apartado 1). El derecho no se aplica cuando existan excepciones o restricciones derivadas del Derecho de la Unión o nacional de conformidad con el Derecho de la Unión (artículo 86, apartado 2). Se aplica únicamente en la medida en que el derecho no esté previsto de otro modo en el Derecho de la Unión (artículo 86, apartado 3).

El Reglamento permite a las entidades financieras integrar algunas obligaciones en las normas que ya cumplen. Las normas se aplican a las entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos con arreglo al Derecho de la Unión en materia de servicios financieros. El Reglamento no cita ninguna norma concreta de servicios financieros; qué normas cuentan es una cuestión para un jurista.

• art. 17(4)
  Sistema de gestión de la calidad

  Para los proveedores que son esas entidades financieras, la obligación de establecer un sistema de gestión de la calidad se considera cumplida al respetar las normas de gobernanza interna. Quedan exceptuados el sistema de gestión de riesgos, la vigilancia poscomercialización y la notificación de incidentes graves (artículo 17, apartado 4).

• art. 18(3)
  Documentación técnica

  Los proveedores que son entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos con arreglo al Derecho de la Unión en materia de servicios financieros mantienen la documentación técnica como parte de la documentación conservada en virtud de ese Derecho (artículo 18, apartado 3).

• art. 19(2), 26(6)
  Archivos de registro

  Los proveedores y los responsables del despliegue que son esas entidades financieras mantienen los archivos de registro generados automáticamente como parte de la documentación conservada en virtud del Derecho de la Unión pertinente en materia de servicios financieros (artículo 19, apartado 2, y artículo 26, apartado 6, párrafo segundo).

• art. 26(5)
  Vigilancia por el responsable del despliegue

  Para los responsables del despliegue que son esas entidades financieras, se considera cumplida la obligación de vigilancia del párrafo primero del artículo 26, apartado 5. La condición es que se respeten las normas sobre sistemas, procesos y mecanismos de gobernanza interna con arreglo al Derecho pertinente en materia de servicios financieros (artículo 26, apartado 5, párrafo segundo).

• art. 72(4)
  Vigilancia poscomercialización

  Los proveedores pueden integrar los elementos del sistema y del plan de vigilancia poscomercialización en los sistemas y planes que ya existan, siempre que se alcance un nivel de protección equivalente. El artículo 72, apartado 4, párrafo segundo, extiende esta opción a los sistemas del anexo III, punto 5, de esas entidades financieras.

• art. 74(6)
  Autoridad supervisora

  Para los sistemas de IA de alto riesgo introducidos en el mercado, puestos en servicio o utilizados por entidades financieras reguladas por el Derecho de la Unión en materia de servicios financieros, la autoridad de vigilancia del mercado es la autoridad nacional responsable de su supervisión financiera con arreglo a esa legislación. Esto se aplica en la medida en que la introducción en el mercado, la puesta en servicio o la utilización esté directamente relacionada con la prestación de dichos servicios financieros (artículo 74, apartado 6).

• Fechas

  Los requisitos para estos usos del anexo III se aplican desde el 2 de diciembre de 2027 (artículo 113, párrafo tercero, letra c), inciso i)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

• Multas

  Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, que incluye los artículos 9 a 15 (artículo 16, letra a)). El incumplimiento de las obligaciones de los proveedores del artículo 16 o de las de los responsables del despliegue del artículo 26 puede sancionarse con multa. La multa es de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4, letras a) y e)). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor de las dos (artículo 99, apartado 6). Lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establece normas que determinan en qué medida es posible imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

• Alcance y límites del Reglamento

  El Reglamento se aplica a los proveedores y responsables del despliegue establecidos o ubicados en un tercer país cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión (artículo 2, apartado 1, letra c)). No se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y no afecta a las competencias de los Estados miembros en materia de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6). Tampoco se aplica a la actividad de investigación, prueba o desarrollo anterior a la introducción de un sistema en el mercado o su puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (artículo 2, apartado 8). Los sistemas de IA publicados con arreglo a licencias libres y de código abierto quedan fuera del Reglamento. Esa exclusión no se aplica si se introducen en el mercado o se ponen en servicio como sistemas de IA de alto riesgo, o si entran en el ámbito de aplicación del artículo 5 o del artículo 50 (artículo 2, apartado 12).

• Sin parámetros, umbrales ni normas para las fintech

  El Reglamento no menciona ningún valor de precisión, límite de tasa de error, parámetro de equidad ni norma técnica para la calificación crediticia ni para la fijación de precios de seguros. Los proveedores fijan los parámetros de prueba (artículo 9, apartado 8) y declaran los niveles de precisión y sus parámetros en las instrucciones de uso (artículo 15, apartado 3). El Reglamento no menciona por sí mismo ninguna norma armonizada. Se presume que los sistemas de alto riesgo conformes con normas armonizadas publicadas en el Diario Oficial son conformes con los requisitos de la sección 2, en la medida en que esas normas los contemplen (artículo 40, apartado 1). Se presume que los sistemas entrenados y probados con datos que reflejan el entorno geográfico, conductual, contextual o funcional específico de uso previsto cumplen el artículo 10, apartado 4 (artículo 42, apartado 1). La Comisión elaborará directrices sobre la aplicación práctica de los requisitos y obligaciones de los artículos 8 a 15, 25 y 26 (artículo 96, apartado 1, letra a)).

• Otro Derecho se aplica junto con el Reglamento

  Otro Derecho de la Unión y nacional, como el RGPD y el Derecho de servicios financieros, sigue aplicándose. Esta página no lo describe, y el Reglamento no cita ninguna norma concreta de servicios financieros.

• Ejemplo: un inventario único de sistemas de IA

  Ejemplo, no exigido por el Reglamento: un prestamista o una aseguradora podría llevar un inventario único de sus sistemas de IA. Podría indicar para cada sistema la clasificación del anexo III, la evaluación del artículo 6, apartado 3, si se acoge a ella, y si la empresa es proveedor o responsable del despliegue.

Cada página aplica un artículo a la IA de calificación crediticia y de seguros.

• Artículo 9 para la IA fintech: sistema de gestión de riesgos

  Sistema de gestión de riesgos para la IA de calificación crediticia y de seguros.

• Artículo 10 para la IA fintech: datos y gobernanza de datos

  Conjuntos de datos, examen de sesgos y categorías especiales de datos personales.

• Artículo 12 para la IA fintech: conservación de registros y archivos de registro

  Registro automático y quién conserva los archivos de registro.

• Artículo 13 para la IA fintech: transparencia e instrucciones de uso

  Instrucciones de uso y la explicación debida a las personas afectadas.

• Artículo 14 para la IA fintech: supervisión humana

  Supervisión humana y lo que el Reglamento no exige.

• Artículo 15 para la IA fintech: precisión, solidez y ciberseguridad

  Precisión, solidez y ciberseguridad.

• Artículo 17 para la IA fintech: sistema de gestión de la calidad

  Sistema de gestión de la calidad y norma para entidades financieras.

• Artículo 26 en fintech: obligaciones de los responsables del despliegue

  Obligaciones de los responsables del despliegue de bancos y aseguradoras.

• Artículo 50 para la IA fintech: transparencia e información

  Obligaciones de transparencia para chatbots y contenido generado.

• Artículo 53 en fintech: obligaciones de los proveedores de modelos de IA de uso general

  Proveedores de modelos de IA de uso general.

• Anexo III en detalle: las 8 categorías de alto riesgo

  El punto 5 del anexo III en el contexto de las ocho categorías.

• Artículo 6: clasificación de sistemas IA de alto riesgo

  Cómo clasifica el artículo 6 los sistemas de IA de alto riesgo, incluida la excepción del artículo 6, apartado 3.

• Artículo 27: evaluación de impacto relativa a los derechos fundamentales

  La evaluación de impacto que el artículo 27, apartado 1, exige a los responsables del despliegue en el punto 5, letra b), y en el punto 5, letra c).