El sector fintech y los servicios financieros tradicionales se encuentran ante una transformación regulatoria sin precedentes en la Unión Europea. El Reglamento de Inteligencia Artificial aprobado por las instituciones europeas establece un marco de obligaciones graduadas por nivel de riesgo que afecta de forma directa y severa a las entidades que utilizan sistemas de IA en la evaluación crediticia, la detección del fraude, la gestión de activos o la valoración de riesgos. Ignorarlo no es una opción: la exposición regulatoria comienza mucho antes de que los plazos de cumplimiento vencen.
Los servicios financieros figuran entre los sectores que el legislador europeo ha identificado como de uso de alto riesgo de la inteligencia artificial. No se trata de una declaración genérica: la normativa enumera de forma explícita los sistemas que se consideran de alto riesgo en este ámbito, y muchos de los modelos que las entidades fintech y bancarias ya tienen desplegados caen dentro de esa categoría.
¿Qué significa eso en la práctica? Significa que esos sistemas quedan sujetos a requisitos específicos de datos de entrenamiento, documentación técnica, transparencia, supervisión humana y exactitud, entre otros. No basta con que el sistema funcione bien. Debe poder demostrarse que cumple, y esa demostración requiere documentación, procesos y controles que no se improvisan.
En nuestra experiencia asesorando a empresas del sector, el error más frecuente es suponer que la conformidad con el Reglamento General de Protección de Datos (RGPD) cubre automáticamente las exigencias del Reglamento de IA. Son marcos distintos que se superponen pero no se sustituyen. La Agencia Española de Protección de Datos (AEPD) ha señalado la interconexión entre ambos instrumentos, pero también ha subrayado que cada uno exige medidas específicas propias.
El sector financiero tiene, además, una característica que amplifica la presión: ya está sujeto a una densa capa de normativa sectorial – supervisión prudencial, normativa contra el blanqueo de capitales, regulación de mercados – que convierte cualquier incumplimiento en una cadena de consecuencias regulatorias y reputacionales. Un fallo de cumplimiento en materia de IA no se gestiona aisladamente; se acumula sobre un expediente ya complejo.
El primer paso del diagnóstico es el inventario. Muchas organizaciones financieras no tienen un mapa completo de los sistemas de IA que operan, ya sea porque los han desarrollado internamente, porque los han adquirido a terceros proveedores o porque se despliegan a través de APIs integradas en plataformas de terceros.
El Reglamento distingue cuatro niveles de riesgo: riesgo inaceptable – que implica prohibición directa –, alto riesgo, riesgo limitado y riesgo mínimo. Para el sector financiero, los sistemas que con mayor frecuencia quedan clasificados en la categoría de alto riesgo incluyen los siguientes:
Junto a estos, los sistemas de IA de riesgo limitado – como los chatbots de atención al cliente – no están sujetos a los requisitos reforzados de alto riesgo, pero sí a obligaciones de transparencia: el usuario debe saber que interactúa con un sistema automatizado. Este es un punto que, en nuestra práctica, las entidades subestiman con frecuencia.
La clasificación no siempre es obvia. Un mismo sistema puede comportarse de forma distinta según el caso de uso. Hemos observado que empresas que creían tener solo sistemas de riesgo limitado descubrían, al realizar el análisis, que parte de su funcionalidad los situaba en la categoría de alto riesgo. El inventario debe hacerse con rigor técnico y jurídico, no de forma declarativa.
Un sistema de IA clasificado como de alto riesgo en el sector financiero arrastra un conjunto de obligaciones que afectan tanto al proveedor del sistema – quien lo desarrolla o comercializa – como al responsable del despliegue – la entidad que lo utiliza para prestar el servicio.
La distinción proveedor/responsable del despliegue es fundamental. Una fintech que compra un modelo de scoring a un tercero no queda liberada de obligaciones: asume las que le corresponden como responsable del despliegue. Si, además, ese modelo se personaliza o reentrenan con datos propios, la frontera con el papel de proveedor se difumina y las obligaciones se acumulan.
Las principales obligaciones para los sistemas de alto riesgo incluyen:
Antes de poner en servicio un sistema de alto riesgo, las entidades deben completar una evaluación de conformidad. Para determinadas categorías – entre las que se encuentran algunos sistemas del sector financiero – esta evaluación requiere la intervención de un organismo notificado externo. El marcado CE es el resultado del proceso; desplegarlo sin completarlo genera responsabilidad directa.
Los sistemas de IA del sector financiero procesan datos personales de forma masiva. Eso hace que el Reglamento de IA y el RGPD – con su norma de desarrollo español, la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) – operen de forma simultánea sobre los mismos sistemas.
La AEPD ha publicado orientaciones sobre la intersección entre ambos marcos y ha subrayado que las evaluaciones de impacto sobre la protección de datos (EIPD) deben incorporar las dimensiones de riesgo que introduce la IA. Dicho de otro modo: si ya tenías que hacer una EIPD para un sistema de decisión automatizada, esa EIPD ahora debe ampliarse para capturar también los riesgos específicos del Reglamento de IA.
Los puntos de confluencia más relevantes para el sector financiero son los siguientes:
Coordinar ambos marcos desde el inicio – en lugar de tratar de integrarlos a posteriori – es la forma más eficiente de construir un programa de cumplimiento sostenible. Lo hemos visto en nuestra práctica: las empresas que abordaron el RGPD y el Reglamento de IA de forma integrada redujeron significativamente el esfuerzo de auditoría y la duplicidad de controles.
Uno de los malentendidos más extendidos que encontramos en la fase de diagnóstico es creer que con una política de privacidad actualizada en la web y una cláusula en los contratos ya se ha completado el cumplimiento. Es un error con consecuencias costosas.
El cumplimiento real en materia de datos e IA requiere, como mínimo: un registro de actividades de tratamiento actualizado y completo; una evaluación de impacto para los tratamientos que lo exigen – y los sistemas de IA de alto riesgo lo exigen siempre –; un protocolo documentado de gestión de brechas de seguridad; cláusulas de encargo de tratamiento con todos los proveedores que acceden a datos personales; y, para las entidades que despliegan sistemas de IA de alto riesgo, la documentación técnica y los controles de supervisión exigidos por el Reglamento.
La sanción por incumplimiento del RGPD puede alcanzar importes muy relevantes – la normativa prevé dos umbrales distintos según la gravedad de la infracción –, y el Reglamento de IA añade su propio régimen sancionador, que incluye multas proporcionales al volumen de negocio global de la entidad. Los dos marcos pueden acumularse sobre el mismo hecho.
El registro de actividades de tratamiento, el protocolo de brechas y un programa de compliance estructurado no son burocracia: son los instrumentos que, en un procedimiento sancionador, permiten demostrar la diligencia de la organización y reducen la exposición efectiva.
Un programa de cumplimiento para IA en el sector financiero no se construye desde cero ni de forma aislada. Se ancla en la estructura de governance ya existente – comités de riesgos, área de cumplimiento normativo, auditoría interna – y se extiende para incorporar los elementos específicos que exige el nuevo marco.
Proponemos estructurarlo en cuatro fases:
La cuarta fase es la más frecuentemente omitida. Las organizaciones invierten en la fase de remediación y luego no establecen mecanismos de mantenimiento. El cumplimiento en materia de IA no es un proyecto con fecha de cierre; es un proceso continuo que evoluciona con el sistema.
Las entidades financieras que ya tienen un programa de compliance penal – y que, conforme a la legislación societaria y la normativa sectorial, en muchos casos están obligadas a tenerlo – cuentan con una base sólida sobre la que construir el cumplimiento en materia de IA.
El compliance penal exige, entre otros elementos, un sistema de control interno, una evaluación de riesgos de comisión de delitos, y un canal de denuncias confidencial. Todos estos elementos son reutilizables en el contexto del Reglamento de IA. ¿Por qué? Porque los incumplimientos del Reglamento de IA – en particular en materia de transparencia y supervisión humana – pueden tener consecuencias que van más allá de la sanción administrativa: en determinados supuestos, pueden generar responsabilidad civil por daños causados por sistemas defectuosos, e incluso conectar con tipos penales relacionados con la estafa, la manipulación informática o la responsabilidad penal de la persona jurídica.
El canal de denuncias que exige la normativa de protección de los informantes – transpuesta en España a través de legislación específica – debe permitir también la comunicación de posibles incumplimientos en materia de IA, tanto por parte de empleados como de terceros. Diseñar el canal con ese alcance ampliado desde el inicio es más eficiente que añadirlo después.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud: la experiencia muestra que las organizaciones que integran el compliance de IA en su modelo general de cumplimiento normativo alcanzan un nivel de madurez superior y con menor coste acumulado que las que lo tratan como un proyecto independiente.
El Reglamento de IA establece un calendario de aplicación escalonado. Las prohibiciones de prácticas de IA inaceptables se aplicaron en primer lugar. Las obligaciones para los sistemas de alto riesgo tienen plazos de aplicación que varían según la categoría y el momento en que el sistema se pone en servicio por primera vez. Los sistemas ya en producción cuando entran en vigor las obligaciones disponen de períodos transitorios, aunque más cortos de lo que muchas organizaciones anticipan.
Lo que la dirección debe decidir – y documentar – con anterioridad al vencimiento de los plazos aplicables incluye:
La anticipación reduce el coste. Un programa de cumplimiento iniciado con suficiente margen temporal permite repartir el esfuerzo, corregir los sistemas con menor urgencia y negociar en mejores condiciones con proveedores y organismos de evaluación. La adecuación reactiva – realizada bajo presión temporal con el plazo encima – multiplica los costes y aumenta el riesgo de errores.
¿Evalúa cómo estructurar este proceso en su organización? Le ayudamos a identificar el punto de partida y a trazar el camino más eficiente: info@velardevidal.com.
El Reglamento de IA es de aplicación extraterritorial: se aplica a los proveedores que comercializan sistemas en la Unión Europea, aunque estén establecidos fuera, y a los responsables del despliegue que operan en la UE. Para los grupos financieros con presencia en varias jurisdicciones, esto genera complejidades adicionales.
Un grupo con matriz fuera de la UE que opera en España a través de una filial debe determinar cuáles de sus sistemas de IA están sujetos al Reglamento europeo y cuáles a la normativa de otras jurisdicciones – que puede ser distinta o inexistente –. La filial española, como responsable del despliegue, asume obligaciones directas independientemente de que el sistema sea desarrollado y mantenido por la matriz.
Los grupos con estructura de holding deben revisar también cómo se distribuyen los datos de entrenamiento entre entidades del grupo. Si el modelo se entrena con datos de clientes europeos – incluidos los datos de clientes españoles sujetos al RGPD – y ese entrenamiento se realiza en un servidor fuera de la UE, concurren simultáneamente las restricciones de transferencia internacional de datos del RGPD y las obligaciones de calidad de datos del Reglamento de IA.
Para estas situaciones, coordinamos con abogados locales de confianza en la jurisdicción correspondiente, lo que permite ofrecer un análisis consolidado que considera las exigencias de cada marco aplicable sin perder la coherencia del enfoque global.
Puede encontrar orientación adicional sobre marcos de cumplimiento en entornos regulados en nuestra sección de preguntas frecuentes sobre cumplimiento en sectores regulados, donde abordamos situaciones comparables en otros ámbitos de alta exigencia normativa.
A modo de síntesis operativa, recogemos los pasos que, en nuestra práctica, constituyen la secuencia más eficiente de preparación para una entidad fintech o de servicios financieros:
El registro de actividades de tratamiento y la documentación técnica de los sistemas de IA de alto riesgo son los dos pilares documentales que cualquier inspección o procedimiento sancionador examinará en primer lugar. Su ausencia o insuficiencia es el indicador más claro de incumplimiento a ojos de las autoridades supervisoras.
Para profundizar en los procedimientos de respuesta a derechos de los interesados, que son parte integral del cumplimiento en este contexto, puede consultar nuestra guía sobre cómo atender los derechos de los interesados, donde desarrollamos la secuencia completa y los plazos aplicables.
El asesoramiento en materia de Reglamento de IA para el sector financiero se integra naturalmente con otras áreas de trabajo que abordamos de forma coordinada. La revisión de contratos con proveedores tecnológicos conecta con nuestra práctica de Derecho societario y operaciones. La gestión de incidentes de seguridad y brechas de datos conecta con el área de litigación y arbitraje cuando la brecha genera reclamaciones de terceros. Los programas de compliance penal y canal de denuncias se articulan junto con las estructuras de gobierno corporativo de la entidad.
Puede explorar el alcance completo de nuestra práctica en protección de datos y compliance, donde detallamos todos los servicios disponibles en este ámbito para empresas que operan en España.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.