IA en crédito y seguros: qué exige el Reglamento europeo

Qué usos del sector están en el anexo III

El anexo III del Reglamento pone dos usos de este sector en la lista de alto riesgo. El primero, los sistemas «destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia», con una salvedad expresa: quedan fuera los que se usan para detectar fraudes financieros. El segundo, los que hacen la evaluación de riesgos y la fijación de precios de personas físicas en los seguros de vida y de salud.

Fíjate en lo que no dice. Habla de personas físicas: puntuar a una sociedad no está en esa lista. Y en seguros nombra solo vida y salud: tarificar el coche o el hogar con un modelo no entra ahí. Que algo quede fuera del anexo III no quiere decir que no le apliquen otras normas, como la protección de datos o la regulación del crédito y de los seguros. Y cuidado con los autónomos y los avalistas: son personas físicas.

La excepción del fraude es estrecha. Si el mismo modelo que marca operaciones sospechosas alimenta también la decisión de conceder o denegar, la excepción ya no describe todo lo que hace el sistema, y lo prudente es tratarlo como de alto riesgo.

El artículo 6 permite que algunos sistemas del anexo III no se consideren de alto riesgo, pero cierra esa puerta en el caso típico de este sector: según el artículo 6, siempre lo son cuando el sistema «efectúe la elaboración de perfiles de personas físicas». Puntuar la solvencia de una persona suele ser exactamente eso.

Base:Reglamento de IA, anexo IIIReglamento de IA, art. 6

Qué te toca si usas el sistema

Si tu entidad usa un sistema de scoring o de tarificación desarrollado por otro, eres responsable del despliegue. Si el modelo lo has desarrollado tú, aunque sea para uso interno, eres además proveedor y te tocan también sus obligaciones. Las del responsable del despliegue obligaciones están en el artículo 26 y se aplican desde el 2 de diciembre de 2027, con el resto de reglas de los sistemas de alto riesgo del anexo III. Las que más pesan aquí:

• Usarlo conforme a sus instrucciones de uso, con supervisión humana de personas que tengan competencia, formación y autoridad para corregir una puntuación o un precio.
• Cuidar que los datos de entrada que controlas sean pertinentes y suficientemente representativos.
• Vigilar su funcionamiento y, si hay motivos para pensar que presenta un riesgo, avisar al proveedor y a la autoridad de vigilancia del mercado y suspender su uso.
• Informar a las personas a las que el sistema evalúa, o ayuda a evaluar, de que están expuestas a él.

Base:Reglamento de IA, art. 26Reglamento de IA, art. 113Reglamento de IA, anexo III

Dos atajos para bancos y aseguradoras

El artículo 26 tiene en cuenta que las entidades financieras ya viven bajo normas de gobernanza propias. Si tu entidad está sujeta a esos requisitos del Derecho de la Unión en materia de servicios financieros, la obligación de vigilar el sistema se entiende cumplida cuando respetas sus normas sobre sistemas, procesos y gobernanza interna, y los registros que genere el sistema se guardan como parte de la documentación que esa misma legislación ya te exige.

Lo que el atajo no dice es que desaparezcan los demás deberes de ese apartado, como avisar y suspender el uso si el sistema presenta un riesgo o comunicar los incidentes graves. Encaja la IA en los procesos que ya tienes, pero no des esos avisos por cubiertos sin comprobarlo.

Base:Reglamento de IA, art. 26

La evaluación de impacto en los derechos fundamentales

Este es el deber que distingue al sector. El artículo 27 obliga a quien despliega los sistemas del anexo III, punto 5, letras b) y c) —solvencia de personas físicas y seguros de vida y salud— a evaluar, antes de usarlos, el impacto que pueden tener en los derechos fundamentales. En los demás ámbitos esa evaluación es cosa de organismos públicos y de quien presta servicios públicos; aquí alcanza también a la empresa privada.

La evaluación se hace antes del primer uso, se actualiza si cambia alguno de sus elementos y sus resultados se notifican a la autoridad de vigilancia del mercado con el modelo de cuestionario que tiene que preparar la Oficina de IA. Como el resto de deberes de este bloque, se aplica desde el 2 de diciembre de 2027. Debe recoger:

• En qué procesos de tu entidad se usará el sistema, de acuerdo con su finalidad prevista.
• Durante cuánto tiempo y con qué frecuencia está previsto usarlo.
• Qué categorías de personas y colectivos pueden verse afectados.
• Los riesgos de perjuicio concretos para esas personas, con la información que da el proveedor.
• Cómo se aplica la supervisión humana, según las instrucciones de uso.
• Qué se hará si esos riesgos se materializan, incluida la gobernanza interna y los mecanismos de reclamación.

Base:Reglamento de IA, art. 27Reglamento de IA, anexo IIIRGPD, art. 35

No empieces de cero

Si ya tienes la evaluación de impacto de protección de datos del artículo 35 del RGPD para ese tratamiento, el artículo 27 te deja apoyarte en ella para lo que ya cubra, sin repetirlo. Lo demás hay que hacerlo aparte: la evaluación de derechos fundamentales mira más allá de los datos, sobre todo a la no discriminación y al acceso a los servicios.

Base:Reglamento de IA, art. 27RGPD, art. 35

El derecho a que te expliquen la decisión

Quien se vea afectado por una decisión tomada a partir de un sistema de alto riesgo del anexo III, si le produce efectos jurídicos o le afecta considerablemente de modo similar y la considera perjudicial para su salud, su seguridad o sus derechos fundamentales, tiene derecho según el artículo 86 a obtener del responsable del despliegue «explicaciones claras y significativas acerca del papel que el sistema de IA ha tenido en el proceso de toma de decisiones y los principales elementos de la decisión adoptada».

Es un derecho subsidiario: solo se aplica en la medida en que el Derecho de la Unión no lo prevea ya de otro modo. En crédito y seguros es probable que otras normas cubran parte de lo mismo —el artículo 22 del RGPD ya protege frente a decisiones basadas únicamente en tratamiento automatizado—, así que lo sensato es un único procedimiento de respuesta que sirva para todas.

El artículo 86 forma parte del régimen general, pero solo alcanza a sistemas de alto riesgo del anexo III, cuyas reglas se aplican desde el 2 de diciembre de 2027. Cuándo puede exigirse en la práctica es una cuestión abierta: lo prudente es tener el procedimiento listo antes.

Base:Reglamento de IA, art. 86Reglamento de IA, anexo IIIRGPD, art. 22

La línea que no se cruza: la puntuación social

El artículo 5 prohíbe, desde el 2 de febrero de 2025, evaluar o clasificar a personas durante un período de tiempo por su comportamiento social o por rasgos personales cuando la puntuación acaba en un trato perjudicial en contextos que no tienen relación con aquellos en que se recogieron los datos, o en un trato injustificado o desproporcionado. Un modelo de riesgo que mezcla hábitos ajenos al crédito, como la actividad en redes sociales, para penalizar a alguien se acerca a esa línea.

Aquí solo se recoge la letra del artículo 5 que toca a este sector, no su lista completa: la tienes en la guía general.

Base:Reglamento de IA, art. 5

Seis comprobaciones para empezar ya

Ninguna exige contratar nada, y todas te dejan mejor colocado si alguien pregunta.

1. Escribe para qué sirve el sistema y si encaja en el punto 5, letra b) o c), del anexo III, o en la excepción del fraude. Que lo revise alguien con criterio jurídico.
2. Pide al proveedor las instrucciones de uso y la documentación que necesitarás para supervisarlo y para la evaluación de impacto.
3. Arranca la evaluación de impacto del artículo 27 desde la de protección de datos que ya tengas.
4. Decide quién puede corregir una puntuación o un precio, con qué formación y con qué autoridad.
5. Redacta el aviso a solicitantes y asegurados de que se usa IA, y el procedimiento para responder a las peticiones de explicación del artículo 86.
6. Revisa que ningún dato de entrada convierta el modelo en una puntuación social.

Base:Reglamento de IA, anexo IIIReglamento de IA, art. 27Reglamento de IA, art. 86

En la guía general

• Cómo se decide si un sistema es de alto riesgo
• Las ocho obligaciones de quien usa un sistema de alto riesgo
• Multas y el trato a las pymes

Preguntas frecuentes

Sigue por aquí