Cómo cumplir la Ley de IA en el sector financiero y bancario

La Ley de IA considera inicialmente de alto riesgo dos usos propios del sector financiero: evaluar la solvencia o puntuación crediticia de personas físicas y evaluar riesgos o fijar precios en seguros de vida y salud. También pueden ser de alto riesgo determinados sistemas usados para seleccionar, dirigir o evaluar empleados.

Esta guía convierte el Reglamento (UE) 2024/1689 en un plan para bancos, fintech, entidades de pago, financieras, empresas de servicios de inversión y aseguradoras. El objetivo es identificar qué IA se utiliza, para qué sirve, qué obligaciones tiene, quién la controla y qué documentos deben conservarse.

Cómo cumplir la Ley de IA en el sector financiero

1. Integrar la IA en la estructura de gobernanza de la entidad.
2. Inventariar los modelos y herramientas, del scoring al chatbot.
3. Revisar la IA utilizada por cada área financiera.
4. Clasificar cada caso de uso, del scoring al robo-advisor.
5. Eliminar los usos prohibidos en productos financieros y aplicar la transparencia en cada canal.
6. Evaluar a los proveedores dentro del marco DORA.
7. Validar el modelo antes de llevarlo a producción.
8. Establecer supervisión humana y evaluaciones de impacto en scoring y tarificación.
9. Formar a cada equipo, del analista de riesgos al gestor comercial.
10. Monitorizar denegaciones, primas y desviaciones, y conservar el expediente.

Paso 1. Integra la IA en la estructura de gobernanza de la entidad

La entidad actúa como responsable del despliegue de cada sistema que contrata o activa: es la figura en la que encajan las entidades financieras en la mayoría de los casos, y la responsabilidad última recae en el consejo de administración y la alta dirección. A diferencia de otros sectores, la gobernanza de la IA no parte de cero: se integra en la estructura de control ya existente. El departamento de Compliance desarrolla la operativiza en el día a día (en entidades grandes, mediante un comité de IA o un responsable específico), la dirección de riesgos clasifica y vigila los sistemas de alto riesgo y el DPO, obligatorio en las entidades financieras, cubre el cruce con el RGPD.

• Consejo de administración y su comité de riesgos: aprueban la política de IA, los recursos, los límites y las excepciones, e integran el riesgo de IA en el marco de apetito de riesgo de la entidad.
• Direcciones responsables de cada modelo: la dirección de riesgos de crédito, el departamento actuarial y de suscripción, el responsable de banca digital y la unidad de prevención del blanqueo definen la finalidad de sus sistemas, los clientes afectados, la decisión en la que intervienen y los controles del día a día.
• Departamento de modelización y sistemas (CIO y CISO): controlan la integración con el core, las versiones, los accesos, la seguridad y los registros.
• Dirección de Riesgos (CRO) y Cumplimiento Normativo: la unidad de validación interna de modelos revisa la clasificación y el rendimiento; el director de cumplimiento vigila el encaje con el AI Act, DORA y la regulación sectorial, y las medidas correctoras.
• Asesoría Jurídica y DPO: revisan los contratos con proveedores, la información al cliente, el cruce con el RGPD y las evaluaciones de impacto.
• Auditoría Interna: comprueba de forma independiente que el inventario de modelos y los controles funcionan.

Si la entidad desarrolla modelos propios, como un scoring interno de crédito, no es solo responsable del despliegue: asume además obligaciones de proveedor. La guía de la Comisión sobre el artículo 50 explica qué corresponde al proveedor y qué corresponde al responsable del despliegue.

Paso 2. Inventaría los modelos y herramientas, del scoring al chatbot

Registra cada herramienta y cada finalidad. Un mismo producto necesita fichas distintas si, por ejemplo, resume expedientes y también recomienda decisiones de crédito.

Para detectar herramientas no declaradas, cruza el inventario de modelos con el registro de externalizaciones de DORA, los contratos con proveedores TIC, las actividades de tratamiento, los gastos de software y las funciones de IA activadas en el core bancario, el CRM o la plataforma de siniestros.

Paso 3. Revisa la IA de cada área financiera

Crédito y riesgos

• Qué registrar: scoring, capacidad de pago, preconcesiones, límites, BNPL, condiciones y extracción de datos financieros.
• Clasificación: evaluar la solvencia o puntuación crediticia de personas físicas es inicialmente de alto riesgo según el punto 5.b del anexo III.
• Qué hacer: comprobar el artículo 6.3, validar datos y sesgos, fijar límites, permitir la corrección humana y preparar una explicación de la denegación. Desde el 20 de noviembre de 2026, el artículo 18.8 de la Directiva (UE) 2023/2225 refuerza la intervención humana, la explicación y la revisión en el crédito al consumo automatizado.
• Qué conservar: finalidad, versión, variables, validación, métricas por grupos, umbrales, correcciones humanas, explicaciones y reclamaciones.

Fraude, KYC y prevención del blanqueo

• Qué registrar: motores antifraude, verificación de identidad, análisis documental, monitorización de operaciones y priorización de alertas.
• Clasificación: la detección de fraude financiero está excluida expresamente del punto 5.b. AML y KYC tampoco son de alto riesgo por esa sola finalidad.
• Qué hacer: medir falsos positivos y negativos, controlar bloqueos, definir qué alertas requieren revisión humana y evaluar la RegTech. La EBA relacionó más de la mitad de los fallos graves de cumplimiento registrados en EuReCA con un uso inadecuado de herramientas RegTech.
• Qué conservar: reglas, umbrales, tasas de error, revisiones, decisiones e incidentes.

Atención al cliente, recobro y reclamaciones

• Qué registrar: chatbots, asistentes de voz, copilotos de agentes, clasificación de llamadas y priorización de reclamaciones.
• Qué hacer: comprobar que el cliente sabe cuándo interactúa con IA, limitar operaciones, probar respuestas y ofrecer atención humana en reclamaciones, fraude, dificultad financiera y decisiones relevantes. El CFPB documentó respuestas incorrectas, bucles y dificultades para acceder a una persona.
• Qué conservar: aviso, temas permitidos, fuentes autorizadas, pruebas, derivaciones y reclamaciones.

Inversión y negociación

• Qué registrar: robo-advisors, perfilado, recomendaciones, vigilancia de mercados y negociación algorítmica.
• Clasificación: no son de alto riesgo por esa sola finalidad, pero siguen sometidos a MiFID II y a las normas de abuso de mercado.
• Qué hacer: comprobar la idoneidad de las recomendaciones, controlar errores y sesgos, probar los algoritmos y limitar la ejecución. La guía de ESMA sobre IA en servicios de inversión exige proteger el interés del cliente, informar con claridad y mantener gobierno y supervisión.
• Qué conservar: pruebas de idoneidad, límites, escenarios de estrés, órdenes, cambios e incidencias.

Seguros: tarificación y siniestros

• Qué registrar: selección de riesgos, tarificación, renovación, fraude, triaje y valoración de siniestros.
• Clasificación: evaluar riesgos o fijar precios en seguros de vida y salud es inicialmente de alto riesgo. Otros ramos no entran en esa categoría por esa sola finalidad.
• Qué hacer: controlar variables y posibles proxies discriminatorios, revisar efectos sobre acceso y primas, explicar resultados y definir cuándo interviene una persona. La Opinión de EIOPA establece criterios sectoriales sobre datos, equidad, explicabilidad, ciberseguridad y supervisión para los usos incluidos en su ámbito.
• Qué conservar: variables, fuentes, validación actuarial, análisis por grupos, correcciones, rechazos y reclamaciones.

Recursos Humanos de la entidad

• Qué registrar: publicidad de vacantes, cribado de currículos, entrevistas, promociones, extinciones, asignación de tareas y evaluación del rendimiento de gestores y operadores.
• Clasificación: estos usos pueden ser de alto riesgo según el punto 4 del anexo III.
• Qué hacer: medir sesgos, informar a empleados y representantes cuando corresponda, permitir la revisión humana y no utilizar reconocimiento de emociones salvo las excepciones legales.
• Qué conservar: criterios, pruebas por grupos, información laboral, consultas, decisiones revisadas e impugnaciones.

TI, ciberseguridad y riesgo tecnológico (DORA)

• Qué registrar: IA integrada en el core bancario, CRM, ERP, nube, desarrollo, seguridad y aplicaciones de terceros.
• Qué hacer: controlar accesos, datos, subcontratistas, vulnerabilidades, continuidad, registros y salida del proveedor. El informe de riesgos de la EBA de 2026 exige a los bancos integrar el uso de IA en su marco DORA.
• Qué conservar: evaluación del proveedor, contrato, versiones, pruebas de seguridad, plan de continuidad, salida e incidentes.

Marketing y ofertas personalizadas

• Qué registrar: generación de contenidos, segmentación, modelos de propensión y personalización de ofertas de productos financieros.
• Qué hacer: revisar el contenido antes de publicarlo, aplicar el artículo 50 cuando proceda, respetar el RGPD y evitar la explotación prohibida de la vulnerabilidad económica.
• Qué conservar: criterios de segmentación, base jurídica, revisión de cumplimiento, avisos y campañas.

Paso 4. Clasifica cada caso de uso, del scoring al robo-advisor

1. Comprueba si la herramienta encaja en la definición de sistema de IA: un motor de reglas fijas del scoring tradicional puede quedar fuera; un modelo que aprende de datos, no.
2. Revisa si el uso está prohibido por el artículo 5, como la puntuación social aplicada al crédito.
3. Comprueba si activa las obligaciones de transparencia del artículo 50, como ocurre con el asistente de banca digital.
4. Revisa si la finalidad aparece en el anexo III.
5. Si aparece, aplica el artículo 6.3.
6. Determina si la entidad es proveedor o responsable del despliegue, clave en los modelos de scoring desarrollados internamente.

Paso 5. Elimina los usos prohibidos en productos financieros y aplica la transparencia en cada canal

Usos prohibidos en la operativa financiera

• Puntuación social: denegar o encarecer un producto financiero por conductas ajenas al riesgo real, como los hábitos de consumo, la actividad en redes o reclamaciones presentadas en otros ámbitos.
• Explotación de vulnerabilidad: usar los movimientos de cuenta para detectar dificultad económica y dirigir a esas personas créditos rápidos o revolving, o presionar en el recobro aprovechando esa situación.
• Reconocimiento de emociones en el trabajo: analizar el estado emocional de los gestores del contact center o de los operadores de mesa para evaluar su rendimiento, salvo motivos médicos o de seguridad.
• Categorización biométrica sensible: inferir origen étnico, creencias u orientación sexual a partir de la voz o la imagen del cliente en el vídeo-KYC o el onboarding digital, salvo las excepciones legales.

Consulta el artículo 5 y las directrices de la Comisión sobre prácticas prohibidas antes de bloquear un uso.

Transparencia en banca digital, tarificadores y comunicaciones

• Chatbots y asistentes: el asistente de la banca digital o el tarificador conversacional de la aseguradora deben informar de la interacción con IA. La entidad debe comprobar que el aviso funciona en cada canal.
• Ultrafalsificaciones: si la entidad publica vídeos o audios sintéticos de portavoces en campañas o comunicaciones a inversores, debe revelar su carácter artificial, salvo las excepciones legales.
• Textos de interés público: los informes o análisis de mercado generados con IA y publicados por la entidad deben indicar su origen artificial cuando se cumplan las condiciones del artículo 50.

Paso 6. Evalúa al proveedor dentro del marco DORA

En banca y seguros esta evaluación no es un proceso nuevo: se integra en el control de externalizaciones que ya exigen DORA y las directrices de la EBA. Antes de contratar, renovar o activar una nueva función de IA, comprueba:

• Finalidad prevista, límites y segmento de clientes o cartera para los que se ha probado.
• Modelo, versión, métricas, sesgos y si los datos de evaluación representan a la clientela de la entidad.
• Acceso y exportación de los registros y de las explicaciones de cada decisión de crédito o prima.
• Uso, conservación, localización y transferencia de los datos financieros de los clientes.
• Subcontratistas, seguridad, incidentes, continuidad y recuperación conforme a DORA.
• Aviso previo de cambios de modelo, finalidad o condiciones que alteren el scoring o la tarificación.
• Derecho de auditoría, cooperación con el Banco de España, la CNMV o la DGSFP y plan de salida.

No despliegues el sistema si falta información necesaria y el riesgo no puede reducirse. Comprueba también si la entidad pasa a ser proveedor conforme al artículo 25: ocurre al comercializar el sistema con su nombre, modificarlo sustancialmente o cambiar su finalidad, y es el escenario habitual cuando la entidad desarrolla internamente sus modelos de scoring.

Paso 7. Valida el modelo antes de llevarlo a producción

• Rendimiento: precisión, falsos positivos y negativos, estabilidad y backtesting frente a la cartera real.
• Equidad: diferencias injustificadas entre grupos y variables proxy, como el código postal o el tipo de contrato actuando como sustitutos del origen o la edad.
• Explicabilidad: factores comprensibles para el analista, el cliente y el supervisor financiero.
• Supervisión: capacidad de corregir una denegación o una prima y de detener el sistema.
• Seguridad: manipulación de entradas, fuga de datos, instrucciones maliciosas, caída y recuperación, alineadas con el marco DORA.
• Operativa: avisos, reclamaciones, registros y ejercicio de derechos.

La aprobación debe indicar versión, finalidad, población, datos, límites, métricas aceptables y condiciones de parada.

La mayoría de las entidades ya somete sus modelos de scoring o tarificación a un circuito interno de control (revisión independiente antes de usarlos, vigilancia de su acierto y retirada cuando fallan), porque el Banco de España y el BCE lo exigen desde antes del AI Act. No crees un proceso paralelo: los bancos europeos están ampliando sus marcos de gestión del riesgo de modelos para absorber las obligaciones del AI Act, añadiendo los controles nuevos del reglamento (equidad entre grupos, explicabilidad ante el cliente, condiciones de suspensión) al ciclo que ya siguen sus modelos. Duplicar el circuito genera dos expedientes para el mismo scoring, calendarios descoordinados y responsables distintos respondiendo por el mismo sistema.

Paso 8. Establece supervisión humana y evaluaciones de impacto en scoring y tarificación

• Supervisión humana: para sistemas de alto riesgo, el artículo 26 exige asignarla a personas competentes y con autoridad para corregir o detener el uso.
• Evaluación de derechos fundamentales: antes del primer uso de scoring de crédito y tarificación de vida o salud de alto riesgo, realiza la evaluación del artículo 27 y cumple su obligación de notificación.
• EIPD: realiza la evaluación de impacto en protección de datos exigida por el artículo 35 del RGPD cuando el tratamiento pueda entrañar un alto riesgo, siguiendo los criterios publicados por la AEPD.
• Explicación: prepara una respuesta clara para las solicitudes amparadas por el artículo 86, coordinada con el artículo 22 del RGPD y la regulación sectorial.

Qué conservar: versión, datos de entrada, salida, factores determinantes de la denegación o la prima, identidad del revisor, corrección realizada, decisión comunicada al cliente y reclamación.

Paso 9. Forma a cada equipo, del analista de riesgos al gestor comercial

El artículo 4 exige medidas de alfabetización adaptadas al conocimiento, el contexto y el riesgo. No exige un certificado único.

• Consejo y dirección: responsabilidades, apetito de riesgo de IA e incidentes con impacto en clientes o en el supervisor.
• Crédito y seguros: variables del scoring y de la tarificación, sesgos, explicación de denegaciones y primas, y revisión de decisiones.
• Fraude y AML: errores de los motores de alertas, suplantación de identidad en el onboarding y escalado.
• Atención al cliente y red comercial: límites del asistente de banca digital, comprobación de respuestas, transparencia y derivación a un gestor.
• TI y Seguridad: protección de los datos financieros, ataques a los modelos, registros, cambios e incidentes reportables bajo DORA.
• Compras y Jurídico: documentación del proveedor de IA, contratos de externalización y reparto de responsabilidades.

Qué conservar: temario, asistentes, fecha, evaluación y formación de refuerzo.

Paso 10. Monitoriza denegaciones, primas y desviaciones, y conserva el expediente

Define una frecuencia según el riesgo y revisa el sistema siempre que cambien:

• El modelo de scoring o tarificación, la versión, los datos, el proveedor, la finalidad o el segmento de clientes.
• Las tasas de error, denegaciones, primas, reclamaciones o diferencias entre grupos.
• La seguridad, la disponibilidad o la capacidad de explicar la decisión al cliente.
• La normativa o las instrucciones del Banco de España, la CNMV, la DGSFP, la AESIA o la AEPD.

Para los sistemas de alto riesgo, el artículo 26.6 exigirá conservar durante al menos seis meses los registros generados automáticamente que estén bajo el control de la entidad, salvo que otra norma establezca un plazo distinto.

Qué obligaciones tiene la entidad financiera como responsable del despliegue

Qué documentos debe conservar la entidad

El contenido dependerá del sistema y de las normas aplicables. Como expediente mínimo, conserva:

• Política de IA de la entidad y reparto de funciones entre direcciones.
• Inventario de modelos y fichas de finalidad y clasificación.
• Evaluación y contrato del proveedor, con cláusulas de auditoría y plan de salida.
• Validaciones, métricas, backtesting, límites y aprobaciones.
• EIPD y evaluación de derechos fundamentales cuando procedan.
• Diseño de supervisión humana y personas autorizadas.
• Avisos, explicaciones, decisiones y reclamaciones.
• Registros, incidentes, cambios y medidas correctoras.
• Formación impartida a cada equipo y sus registros.
• Informes al consejo y auditorías internas.

Quién supervisa el cumplimiento de la Ley de IA en el sector financiero

El artículo 74.6 atribuye la vigilancia de determinados sistemas de alto riesgo relacionados con servicios financieros a la autoridad de supervisión financiera. En España, la autoridad dependerá de la actividad y la finalidad: Banco de España, CNMV o Dirección General de Seguros y Fondos de Pensiones. Según el sistema, también podrán intervenir AESIA y, si hay datos personales, la AEPD. En banca, esta vigilancia se superpone al marco de gobernanza de modelos que ya exigen el Banco de España y el BCE en la concesión de crédito.

Comprobación final: cuándo la entidad está preparada

La entidad está preparada para cumplir la Ley de IA en el sector financiero cuando puede demostrar que:

• todos los sistemas, del scoring al chatbot de banca digital, tienen responsable, finalidad y clasificación.
• los usos prohibidos están bloqueados y los avisos de IA funcionan en cada canal de contratación y atención.
• el scoring, la tarificación de vida y salud y los sistemas de RRHH cuentan con validación, supervisión y evaluaciones de impacto.
• los proveedores entregan la información y los registros, y el contrato permite auditar y cambiar de sistema.
• el personal sabe cuándo corregir una decisión del sistema y cuándo derivar al cliente a una persona.
• cada denegación, prima o bloqueo puede reconstruirse ante el supervisor o una reclamación.