GUÍA
Reglamento europeo de IA: guía para el sector financiero
La Unión Europea ha creado una norma común para regular la inteligencia artificial. Esta guía explica qué significa para bancos, aseguradoras y otras entidades financieras, qué usos se consideran de alto riesgo y qué plazos deben cumplir proveedores y empresas que usan estos sistemas.
Qué es el Reglamento de IA y por qué afecta a las finanzas
La Comisión Europea ha puesto en marcha el primer marco legal completo sobre inteligencia artificial a nivel mundial. Este Reglamento, conocido como AI Act, clasifica los sistemas de inteligencia artificial en cuatro niveles de riesgo y prohíbe de forma directa nueve prácticas que considera inaceptables. Para el sector financiero, esta clasificación importa porque determina qué obligaciones debe cumplir un banco, una aseguradora o cualquier empresa que use estas herramientas en su actividad diaria.
El texto legal es el Reglamento (UE) 2024/1689, adoptado por el Parlamento Europeo y el Consejo el 13 de junio de 2024 y publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024. Establece normas armonizadas para el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial en toda la Unión, con especial atención a los sistemas de alto riesgo y a los modelos de propósito general, una categoría que incluye herramientas usadas por empresas de muchos sectores, entre ellos el financiero.
El Reglamento no sustituye a las normas que ya rigen la actividad financiera. El propio texto explica que su aplicación convive con la normativa previa sobre protección de datos, vigilancia del mercado y supervisión financiera. Esto significa que un banco o una aseguradora que use inteligencia artificial debe seguir cumpliendo sus obligaciones habituales de solvencia y control de riesgo, además de las nuevas reglas sobre IA.
Qué usos financieros se consideran de alto riesgo
El Reglamento identifica usos concretos del sector financiero como de alto riesgo. Entre ellos están la evaluación de solvencia crediticia y la valoración de riesgo en seguros de vida y de salud cuando se realizan mediante sistemas de inteligencia artificial. Estos casos preocupan al regulador porque afectan directamente al acceso de las personas a productos financieros y de seguro, y por eso reciben un tratamiento más estricto que otros usos de menor riesgo.
Cuando una entidad usa inteligencia artificial de alto riesgo para estos fines, debe realizar antes una evaluación de impacto sobre los derechos fundamentales. Esta obligación recae sobre organismos de derecho público, operadores privados que prestan servicios públicos, y quienes realizan evaluaciones de solvencia crediticia o de riesgo en seguros de vida y salud mediante estos sistemas. La evaluación busca anticipar posibles efectos negativos antes de que el sistema entre en funcionamiento, un paso que añade una capa de control previo a la actividad habitual de riesgo de estas entidades.
Además, cuando el responsable del despliegue es una autoridad pública, el Reglamento exige realizar esta evaluación de impacto antes del primer uso del sistema de alto riesgo. Esta misma obligación de notificar los resultados a la autoridad nacional se aplica a los organismos públicos y a los operadores que evalúan solvencia crediticia o riesgo en seguros de vida y salud, de modo que el supervisor tenga constancia del análisis realizado antes de que el sistema opere con normalidad.
Obligaciones de proveedores y de quienes usan estos sistemas
El Reglamento distingue entre quienes crean estos sistemas de inteligencia artificial, llamados proveedores, y quienes los usan en su actividad, llamados responsables del despliegue. Los proveedores de sistemas de alto riesgo deben someterlos a una evaluación de conformidad antes de comercializarlos en el mercado de la Unión Europea, un requisito que busca comprobar que el sistema cumple las normas antes de que llegue a manos de un banco, una aseguradora o cualquier otra empresa.
Por su parte, los responsables del despliegue —es decir, las entidades financieras que usan estos sistemas en sus procesos de evaluación de solvencia o de riesgo en seguros— asumen las obligaciones de evaluación de impacto y notificación explicadas antes. Esta división de responsabilidades entre quien crea el sistema y quien lo usa es uno de los pilares del Reglamento y afecta a cómo una empresa financiera organiza su relación contractual con los proveedores de tecnología.
El incumplimiento de estas obligaciones tiene consecuencias económicas concretas. El Reglamento prevé multas de hasta 15.000.000 de euros o hasta el 3% del volumen de negocios mundial anual de una empresa por incumplir las obligaciones que recaen sobre proveedores, importadores, distribuidores, responsables del despliegue u organismos notificados. Esta cifra da una idea del peso que el legislador europeo otorga al cumplimiento en un sector como el financiero, donde el riesgo reputacional y económico de una sanción puede ser considerable.
Calendario de aplicación y gobernanza
El Reglamento no entra en vigor de golpe. Establece un calendario escalonado de aplicación entre 2025 y 2028 que distingue entre prohibiciones, obligaciones de transparencia, reglas para modelos de propósito general y normas sobre sistemas de alto riesgo. Este escalonamiento da tiempo a las entidades financieras para adaptar sus sistemas de evaluación de solvencia y de riesgo en seguros antes de que las obligaciones más exigentes sean plenamente aplicables.
El calendario detallado arranca en febrero de 2025 con las prohibiciones y las disposiciones sobre alfabetización en inteligencia artificial, y se extiende hasta agosto de 2028 con las normas sobre inteligencia artificial integrada en productos. En este periodo se incluyen también las obligaciones para modelos de inteligencia artificial de propósito general con riesgo sistémico, definidos por un umbral de cómputo de 10 elevado a 25 FLOP, una magnitud técnica que da idea de la escala de los modelos afectados.
Una propuesta conocida como Digital Omnibus, presentada en noviembre de 2025, amplía los plazos para las normas de alto riesgo hasta diciembre de 2027 y agosto de 2028. Esta ampliación responde, según los documentos oficiales, a retrasos en el proceso de estandarización técnica, un factor que las entidades financieras deben tener en cuenta al planificar sus propios calendarios internos de adaptación al Reglamento.
Para vigilar el cumplimiento de todas estas obligaciones, el Reglamento crea la Oficina de IA, el Consejo de IA, un foro consultivo y un grupo de expertos científicos independientes. La Oficina de IA es responsable, en particular, de la gobernanza y aplicación de las obligaciones para proveedores de modelos de propósito general, una función relevante para las empresas financieras que dependan de este tipo de modelos en sus procesos de evaluación de riesgo o solvencia.
Fuentes: Unión Europea · Comisión Europea: marco regulatorio de la IA (página oficial), Unión Europea · European Commission: Navigating the AI Act (FAQ), Unión Europea · Reglamento (UE) 2024/1689 (AI Act).
Redactado con asistencia de IA y revisado por una persona antes de su publicación. Política editorial