IA en banca, crédito y seguros: obligaciones del Reglamento de IA para scoring y tarificación

Para quién

Para entidades de crédito, establecimientos financieros, plataformas de préstamo y aseguradoras de vida y salud que usan IA, propia o de terceros, para decidir sobre personas físicas.

Requisitos previos

• Inventario de los modelos y sistemas de IA que intervienen en la concesión de crédito o en la suscripción y tarificación.
• Las evaluaciones de impacto del RGPD de esos tratamientos.

Qué dice la norma

Desde cuándo: las obligaciones de alto riesgo del anexo III aplican desde el 2 de diciembre de 2027, tras el Ómnibus de 2026. Ver el calendario.

Obligaciones específicas del sector:

• Como responsables del despliegue, el art. 26: uso según instrucciones, supervisión humana con autoridad, datos de entrada pertinentes, vigilancia, registros e información a las personas afectadas. Ver la ficha del art. 26.
• Las entidades financieras cumplen la vigilancia y la conservación de registros dentro de sus normas de gobernanza interna del Derecho financiero de la UE (art. 26, apartados 5 y 6).
• Evaluación de impacto en derechos fundamentales antes del primer uso, aunque sean entidades privadas (art. 27, apartado 1). Ver la ficha del art. 27.
• Supervisión: por regla general, la autoridad de vigilancia del mercado es la autoridad nacional de supervisión financiera de la entidad (art. 74, apartado 6), aunque el Estado puede designar otra (art. 74, apartado 7). En España, la designación depende de la ley aún pendiente.

Pasos

1. Clasifica cada modelo

Separa los que evalúan solvencia o tarifican vida y salud (alto riesgo) de los de fraude, recobro u otros ramos. Documenta el razonamiento.

• Entregable: mapa de modelos con su calificación.

2. Integra el Reglamento en tu gobierno de modelos

La supervisión humana, los registros y la vigilancia pueden apoyarse en tus marcos de gestión del riesgo de modelos y de gobernanza interna.

• Entregable: procedimiento de gobierno de modelos actualizado.

3. Haz la evaluación de impacto del art. 27

Apóyate en la evaluación del RGPD con referencias cruzadas (art. 27, apartado 4) y notifica el resultado a la autoridad.

• Entregable: evaluación de impacto en derechos fundamentales.

4. Revisa sesgos y explicabilidad

Las decisiones de crédito y precio afectan de forma directa a las personas. Examina los sesgos de los datos y prepara cómo explicar las decisiones (art. 86 del RIA y art. 22 del RGPD). Ver sesgos en la IA.

• Entregable: informe de sesgos y protocolo de explicación.

5. Exige información al proveedor

Si el modelo es de un tercero, pide las instrucciones de uso y la información del art. 13: limitaciones, precisión y medidas de supervisión humana.

• Entregable: checklist de proveedor completada.

Checklist

• Modelos de solvencia y de vida y salud identificados como alto riesgo.
• Gobierno de modelos adaptado al art. 26.
• Evaluación del art. 27 preparada antes del 2 de diciembre de 2027.
• Sesgos examinados y explicaciones preparadas.
• Información del proveedor revisada.

Errores frecuentes

• Tratar el antifraude como alto riesgo. El anexo III lo excluye expresamente de la letra b), aunque puede tener otras obligaciones.
• Extender la letra c) a todos los seguros. Solo cubre vida y salud.
• Olvidar el art. 27 por ser entidad privada. Bancos y aseguradoras de estas letras están obligados.