El sector fintech y de servicios financieros en España afronta una convergencia regulatoria sin precedentes. El Reglamento de Inteligencia Artificial de la Unión Europea ya está en vigor, y su aplicación efectiva avanza por fases. Para una empresa que emplea algoritmos de scoring crediticio, modelos de detección de fraude, asistentes de atención al cliente basados en lenguaje natural o sistemas de decisión automatizada en la concesión de crédito, el impacto no es futuro: es inmediato. El coste de no actuar a tiempo supera con creces el de una adaptación ordenada.
El Reglamento de Inteligencia Artificial de la Unión Europea no es una directiva: es de aplicación directa en todos los Estados miembros. Eso incluye España. Su lógica es de estratificación por riesgo: los sistemas de IA se clasifican en inaceptables, de alto riesgo, de riesgo limitado y de riesgo mínimo, y el volumen de obligaciones es proporcional a esa clasificación.
Para el sector fintech y de servicios financieros, el punto de atención es la categoría de alto riesgo. La normativa identifica expresamente los sistemas que evalúan la solvencia de personas físicas y que determinan el acceso al crédito como sistemas de alto riesgo. Este reconocimiento no es baladí: supone que quien despliega o integra esos sistemas – ya sea como proveedor o como usuario empresarial – asume un conjunto de obligaciones que exceden el mero cumplimiento del RGPD.
¿Cuáles son esas obligaciones en esencia? La norma exige, como mínimo: un sistema de gestión de riesgos documentado y actualizado; datos de entrenamiento de calidad, representativos y controlados; documentación técnica exhaustiva antes del despliegue; registro de eventos durante el funcionamiento; transparencia suficiente frente al usuario; supervisión humana efectiva; y cumplimiento de estándares de robustez, exactitud y ciberseguridad. En nuestra experiencia asesorando a empresas de tecnología financiera, la carga documental y de gobierno es la que más sorprende a los equipos internos en el primer diagnóstico.
El Reglamento también diferencia entre proveedor – quien desarrolla y pone en el mercado el sistema – y responsable del despliegue – quien lo integra en su operativa. Una fintech que adquiere a un tercero un motor de scoring ya entrenado no queda automáticamente exenta: asume obligaciones propias de control, supervisión y, en ciertos supuestos, de notificación.
La respuesta es estructural. El sector financiero es, probablemente, el ámbito donde la IA toma más decisiones con consecuencias jurídicas directas sobre personas. Un sistema que deniega un préstamo, clasifica a un cliente en una categoría de riesgo elevado o activa una alerta de fraude que bloquea una cuenta no es neutral: genera efectos legales y económicos inmediatos.
Ese es el núcleo del problema regulatorio. Y sobre él convergen tres marcos normativos simultáneamente:
La empresa fintech que no haya mapeado sus sistemas de IA frente a estas tres capas regulatorias simultáneas opera con una exposición que su consejo de administración, muy probablemente, no ha cuantificado. Hemos observado en nuestra práctica que muchos equipos de cumplimiento del sector han priorizado la normativa financiera tradicional y han dejado la adaptación al Reglamento de IA para una segunda fase que, a estas alturas, ya debería haber comenzado.
Existe una creencia extendida en el sector que conviene desterrar con claridad: disponer de una política de privacidad bien redactada en la web, o haber actualizado los avisos de cookies en 2018, no equivale a cumplir el RGPD. Y cumplir el RGPD, a su vez, no equivale a cumplir el Reglamento de IA.
Son marcos complementarios, no sustitutivos. Una entidad puede tener una política de privacidad impecable y, al mismo tiempo, carecer de un registro de tratamientos actualizado, de un análisis de impacto sobre la protección de datos para sus modelos de scoring, de un protocolo documentado de respuesta ante brechas de seguridad o de un canal de denuncias operativo que cubra el componente de compliance penal.
La AEPD ha sancionado a entidades financieras y tecnológicas no por carecer de aviso legal, sino por la ausencia de procedimientos internos verificables. El registro de actividades de tratamiento, el protocolo de brechas y un modelo de compliance estructurado son los instrumentos que, en la práctica, reducen tanto la probabilidad de sanción como su cuantía en caso de incidente.
¿Qué diferencia a una empresa preparada de una que no lo está? La evidencia documental. La autoridad supervisora, ante un incidente, no evalúa las intenciones: evalúa los procedimientos que existían antes del incidente.
El Reglamento de IA establece un calendario de aplicación por fases. Algunas obligaciones ya son exigibles. Otras lo serán de forma progresiva. En este contexto, los órganos de administración de empresas fintech y entidades financieras deben adoptar decisiones concretas que no pueden delegarse indefinidamente en el área técnica.
En primer lugar, la clasificación de riesgos de todos los sistemas de IA desplegados o en uso. Este inventario es el punto de partida y debe incluir sistemas adquiridos a terceros, herramientas de análisis de comportamiento, motores de recomendación y cualquier automatización con impacto sobre clientes o sobre decisiones de negocio. Sin inventario, no hay plan.
En segundo lugar, la determinación del rol que asume la empresa en cada sistema: proveedor, responsable del despliegue o ambos. Este análisis tiene consecuencias directas sobre las obligaciones de documentación y supervisión que recaen sobre la entidad.
En tercer lugar, la revisión de los contratos con proveedores tecnológicos. El Reglamento de IA exige que los proveedores suministren documentación técnica adecuada y que cooperen con los responsables del despliegue en el cumplimiento. Si los contratos vigentes no contemplan estas obligaciones, existe una laguna contractual con exposición legal para la empresa compradora.
En cuarto lugar, la integración del cumplimiento del Reglamento de IA en el programa de compliance penal de la empresa. Los modelos de responsabilidad penal de la persona jurídica exigen programas de prevención actualizados. Un sistema de IA que genera decisiones discriminatorias o que procesa datos sin base legítima puede activar la responsabilidad corporativa si no existe un programa de compliance que lo prevenga y detecte.
En quinto lugar – y no menos urgente – la formación de los órganos de supervisión interna. El canal de denuncias, el oficial de protección de datos (DPO) cuando sea preceptivo y el comité de riesgos deben conocer el marco del Reglamento de IA con suficiente profundidad como para identificar incidencias y escalarlas correctamente.
Uno de los escenarios más críticos en la intersección entre el Reglamento de IA y el RGPD es el de la brecha de seguridad que involucra un sistema de IA. Cuando un modelo de detección de fraude es comprometido, cuando los datos de entrenamiento de un sistema de scoring son exfiltrados, o cuando un error del sistema genera decisiones masivas incorrectas con acceso no autorizado a información de clientes, se activan simultáneamente varias obligaciones.
La AEPD debe ser notificada en el plazo de 72 horas desde que la entidad tiene conocimiento de la brecha, cuando esta afecta a datos personales y entraña un riesgo para los derechos de los interesados. Este plazo no admite interpretación generosa: los 72 horas empiezan a contar desde el conocimiento razonablemente diligente, no desde el momento en que el equipo jurídico termina de revisar la notificación.
En paralelo, el Reglamento de IA exige el registro de incidencias graves en los sistemas de alto riesgo y la notificación a la autoridad de supervisión competente. En España, la autoridad de supervisión del Reglamento de IA en el ámbito de los servicios financieros está en proceso de articulación, pero la obligación de notificación existe independientemente de que el mecanismo administrativo esté completamente operativo.
Hemos asesorado a empresas del sector tecnológico y financiero en la gestión de incidentes de este tipo. La diferencia entre una empresa que ha implantado un protocolo documentado de respuesta y otra que no lo ha hecho no reside únicamente en la capacidad de reacción técnica. Reside en la posición frente a la autoridad supervisora y en la posibilidad de acreditar diligencia activa, lo que la normativa de protección de datos valora expresamente al graduar la sanción.
La respuesta a la convergencia regulatoria no puede ser la multiplicación de silos de cumplimiento. Un programa eficaz integra el RGPD, el Reglamento de IA y el compliance penal en una arquitectura única de gobierno, con responsabilidades claras, registros unificados y procedimientos documentados.
El punto de partida es el diagnóstico. Antes de diseñar ningún programa, es necesario conocer qué datos trata la empresa, qué sistemas de IA utiliza, qué decisiones automatizadas produce y qué controles existen actualmente. En nuestra experiencia asesorando a empresas del sector, este primer diagnóstico revela con frecuencia tratamientos de datos sin base legitimadora sólida, contratos con proveedores tecnológicos sin cláusulas de protección de datos adecuadas y ausencia de análisis de impacto en sistemas que los requieren.
Sobre ese diagnóstico se construyen cuatro pilares:
La adaptación al RGPD que no se actualiza con el Reglamento de IA es, a estas alturas, una adaptación incompleta. La arquitectura de cumplimiento debe evolucionar al mismo ritmo que la regulación.
Existe una tendencia, comprensible pero costosa, a diferir la inversión en cumplimiento hasta que existe un requerimiento, una inspección o un incidente. En el sector financiero y fintech, este diferimiento tiene consecuencias que van más allá de la sanción administrativa.
Una brecha de seguridad notificada fuera de plazo, un sistema de IA de alto riesgo desplegado sin documentación técnica o un tratamiento de datos sin base legitimadora sólida no solo generan sanciones. Generan también responsabilidad contractual frente a clientes institucionales, riesgo reputacional frente a inversores, y en determinados supuestos, la activación de cláusulas de resolución en acuerdos de financiación que condicionan el cumplimiento normativo.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la pauta es consistente: el coste de implantar un programa ordenado antes de un incidente es significativamente inferior al coste de gestionarlo después. Y el valor de acreditar diligencia activa frente a la AEPD o frente a un juzgado es difícilmente cuantificable en términos de multa evitada o reducida.
La dirección de una fintech que evalúa si invertir en un programa de cumplimiento integrado debe hacerse una pregunta directa: ¿puede la empresa acreditar hoy, ante una inspección, que sus sistemas de IA están clasificados, documentados y supervisados? Si la respuesta no es un sí inequívoco, el momento de actuar es ahora.
El sector fintech opera con frecuencia en entornos transfronterizos. Los datos de clientes, los modelos de IA y las infraestructuras de procesamiento cruzan con regularidad las fronteras de la Unión Europea. Esta realidad añade una capa de cumplimiento que muchas empresas del sector subestiman.
Las transferencias internacionales de datos hacia terceros países exigen, bajo el RGPD, una base legitimadora específica. Las más habituales en el sector son las cláusulas contractuales tipo adoptadas por la Comisión Europea y las decisiones de adecuación para países concretos. Cuando el modelo de IA es entrenado o actualizado en servidores fuera del Espacio Económico Europeo, la transferencia de datos de entrenamiento queda sujeta a estas obligaciones.
El error frecuente en nuestra práctica es la asunción de que si el proveedor de nube o de IA firma las cláusulas contractuales tipo, la responsabilidad de la empresa queda cubierta. No es así. La empresa responsable del tratamiento mantiene la obligación de verificar que las garantías son efectivas y de documentar esa verificación.
Para las fintech con operativa en varios países de la UE, la cuestión de qué autoridad de protección de datos es la autoridad de control principal añade una complejidad adicional que conviene analizar con rigor antes de escalar la operación.
A modo de herramienta de diagnóstico inicial, los órganos de administración de empresas fintech y de servicios financieros deberían poder responder afirmativamente a las siguientes cuestiones. Si alguna respuesta es negativa o incierta, indica una área de exposición que requiere atención inmediata.
Este checklist no es exhaustivo ni sustituye a un diagnóstico profesional. Pero cada respuesta negativa identifica un punto de exposición real. En el entorno regulatorio actual del sector financiero español, la gestión proactiva de esos puntos es una función directiva, no únicamente técnica.
El análisis del impacto del Reglamento de IA sobre el sector fintech se enmarca dentro de la práctica más amplia de protección de datos y compliance de Velarde & Vidal, que abarca desde el diagnóstico de cumplimiento hasta la implantación de programas integrados y la respuesta ante incidentes. Las empresas que operan con sistemas de IA en entornos de decisión automatizada encontrarán en nuestra práctica societaria y de operaciones un apoyo complementario para estructurar el gobierno corporativo de la IA. Para empresas con operativa transfronteriza, el componente de transferencias internacionales de datos es habitualmente el eslabón que conecta el cumplimiento local con la exposición global.
Si quiere entender cómo le afecta el Reglamento de IA en el contexto específico de su empresa, escríbanos a info@velardevidal.com.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.