Reglamento de IA para FinTech: Lo que necesita saber

Introducción

El sector FinTech europeo ha construido gran parte de su ventaja competitiva sobre sistemas de inteligencia artificial: modelos de credit scoring, algoritmos de detección de fraude, robo-advisors, sistemas de onboarding automatizado y motores de decisión crediticia. Ahora, el Reglamento (UE) 2024/1689 (Reglamento de IA) somete muchos de estos sistemas a las obligaciones más estrictas de la normativa: las aplicables a los sistemas de alto riesgo.

Para las empresas FinTech, esto no es una cuestión teórica. Es una realidad operativa que exige preparación inmediata. Los plazos ya están en marcha: las prohibiciones del Artículo 5 están vigentes desde febrero de 2025, y las obligaciones completas para sistemas de alto riesgo entrarán en vigor el 2 de agosto de 2026. Las multas pueden alcanzar los 35 millones de euros o el 7 % de la facturación global anual.

Este artículo analiza cómo el Reglamento de IA afecta específicamente a cada tipo de sistema de IA habitual en el sector FinTech, qué obligaciones se derivan y cómo abordar el cumplimiento de forma práctica.

Sistemas de IA FinTech: clasificación de riesgo

No todos los sistemas de IA utilizados en el sector financiero son de alto riesgo. La clasificación depende de la finalidad prevista del sistema y de su impacto sobre las personas. A continuación, analizamos los principales casos de uso.

Credit scoring y decisiones crediticias: ALTO RIESGO

Base legal: Anexo III, punto 5(b)

Los sistemas de IA utilizados para evaluar la solvencia crediticia de personas físicas están explícitamente incluidos en la lista de alto riesgo. Esto abarca:

• Modelos de credit scoring que determinan la aprobación o denegación de préstamos
• Sistemas de evaluación de riesgo crediticio que influyen en las condiciones del préstamo (tipo de interés, plazo, importe)
• Algoritmos de pre-aprobación que filtran solicitudes antes de la revisión humana
• Sistemas de scoring alternativo que utilizan datos no tradicionales (redes sociales, comportamiento de navegación)

Obligaciones clave:

• Sistema de gestión de riesgos que evalúe específicamente el riesgo de discriminación (Artículo 9)
• Datos de entrenamiento representativos y libres de sesgos que reflejen adecuadamente la diversidad de la población (Artículo 10)
• Documentación técnica que explique la lógica del modelo y las variables utilizadas (Artículo 11)
• Supervisión humana que permita a un analista revisar y anular las decisiones del modelo (Artículo 14)
• Transparencia: los solicitantes deben saber que se ha utilizado un sistema de IA en la evaluación de su solicitud (Artículo 13)

Interacción con otras normativas: Las entidades financieras que utilicen IA para credit scoring deben cumplir simultáneamente con el Reglamento de IA, el RGPD (Artículo 22 sobre decisiones automatizadas), la Directiva de Crédito al Consumo y, en su caso, DORA. La gestión integrada de estos marcos es esencial.

Detección de fraude: EXCLUIDO del alto riesgo

Base legal: Anexo III, punto 5(b) - exclusión explícita

El Reglamento excluye expresamente los sistemas de IA utilizados para la detección de fraude financiero de la categoría de alto riesgo. Esta exclusión reconoce que:

• La detección de fraude protege a los consumidores, no los perjudica
• Estos sistemas operan sobre transacciones, no sobre la evaluación de personas
• Imponer requisitos de alto riesgo podría reducir la eficacia de la lucha contra el fraude

Sin embargo, esto no significa ausencia total de obligaciones. Si el sistema de detección de fraude toma decisiones que afectan directamente al acceso de una persona a servicios financieros (por ejemplo, bloqueo de cuentas), podría argumentarse que entra en el ámbito del punto 5(a) del Anexo III. La línea entre "detección de fraude" y "denegación de acceso a servicios" debe evaluarse caso por caso.

Robo-advisors y asesoramiento automatizado: DEPENDE

Los robo-advisors plantean un caso de clasificación matizado:

• Si solo recomiendan: Un robo-advisor que sugiere asignaciones de cartera sin ejecutar automáticamente las operaciones probablemente se clasifique como riesgo limitado, con obligaciones de transparencia bajo el Artículo 50.
• Si toman decisiones de inversión: Un sistema que ejecuta operaciones automáticamente o que determina la idoneidad de productos financieros para un cliente podría clasificarse como alto riesgo bajo el punto 5(a) del Anexo III, especialmente si afecta al acceso a servicios financieros esenciales.

Recomendación práctica: Documente la finalidad prevista de cada robo-advisor y el grado de autonomía en la toma de decisiones. Si el sistema puede denegar el acceso a un producto financiero o tomar decisiones vinculantes sin intervención humana, trátelo como alto riesgo.

Onboarding y KYC automatizado: POTENCIALMENTE ALTO RIESGO

Los sistemas de verificación de identidad y KYC (Know Your Customer) basados en IA presentan dos vertientes:

• Verificación biométrica uno a uno (comparar una selfie con una foto del DNI): El Artículo 5 y el considerando 17 excluyen la verificación uno a uno con consentimiento de las prohibiciones. Sin embargo, si el sistema clasifica o categoriza personas por atributos sensibles, es alto riesgo bajo el punto 1 del Anexo III.
• Decisiones de admisión de clientes: Si el resultado del proceso KYC determina automáticamente si una persona puede abrir una cuenta o acceder a un servicio financiero, el sistema puede clasificarse como alto riesgo bajo el punto 5(a).

Sistemas de pricing y suscripción de seguros: ALTO RIESGO (parcial)

Base legal: Anexo III, punto 5(c)

Los sistemas de IA para la evaluación de riesgos y la fijación de precios en relación con seguros de vida y de salud están explícitamente clasificados como alto riesgo. Esto incluye:

• Modelos actuariales basados en IA para seguros de vida
• Sistemas de suscripción automatizada en seguros de salud
• Algoritmos de ajuste de primas basados en datos de salud o estilo de vida

Importante: Los seguros de no vida (hogar, automóvil, responsabilidad civil) NO están incluidos en esta categoría de alto riesgo, salvo que el sistema afecte al acceso a un servicio esencial.

Trading algorítmico y HFT: RIESGO MÍNIMO (generalmente)

Los sistemas de trading algorítmico que operan en mercados financieros sin tomar decisiones sobre personas individuales generalmente se clasifican como riesgo mínimo bajo el Reglamento de IA. Sin embargo:

• Están regulados por MiFID II y sus normas técnicas de regulación
• Si el sistema gestiona infraestructuras de mercado críticas, podría clasificarse como alto riesgo bajo el punto 2 del Anexo III

Obligaciones prácticas para FinTech con sistemas de alto riesgo

Documentación técnica (Artículo 11)

Para cada sistema de alto riesgo, debe prepararse una documentación técnica que incluya:

• Descripción general del sistema: finalidad, funcionamiento, hardware y software
• Descripción detallada del proceso de desarrollo: metodología, datos de entrenamiento, decisiones de diseño
• Información sobre los datos: fuentes, alcance, características, preparación, etiquetado, lagunas conocidas
• Métricas de rendimiento: exactitud, robustez, discriminación, por grupos demográficos relevantes
• Medidas de supervisión humana implementadas
• Evaluación de riesgos y medidas de mitigación adoptadas

Gobernanza de datos (Artículo 10)

Este es uno de los requisitos más exigentes para las FinTech. Los datos de entrenamiento, validación y prueba deben:

• Ser relevantes, representativos, libres de errores y completos
• Tener en cuenta las características específicas del contexto geográfico, conductual o funcional
• Someterse a un examen orientado a detectar posibles sesgos
• Cumplir con la normativa de protección de datos aplicable (RGPD)

Para los modelos de credit scoring, esto implica demostrar que los datos reflejan adecuadamente la diversidad de la población solicitante y que el modelo no discrimina por razón de sexo, raza, origen étnico u otras características protegidas.

Supervisión humana (Artículo 14)

El Artículo 14 exige que los sistemas de alto riesgo se diseñen para permitir una supervisión humana efectiva. En el contexto FinTech, esto se traduce en:

• Para credit scoring: Un analista de crédito debe poder revisar las decisiones del modelo, comprender los factores que han influido en la puntuación y anular la decisión automatizada.
• Para seguros: Un suscriptor debe poder examinar la evaluación de riesgo generada por la IA y modificarla.
• Para KYC: Un agente debe poder revisar los rechazos automatizados y tomar la decisión final.

La supervisión no puede ser meramente nominal. El personal debe tener la formación, las herramientas y la autoridad para intervenir de forma efectiva.

DORA y el Reglamento de IA: la doble carga regulatoria

Las empresas FinTech sujetas a DORA (Reglamento de Resiliencia Operativa Digital) enfrentan una carga regulatoria doble cuando utilizan sistemas de IA de alto riesgo. Ambos reglamentos exigen:

Estrategia recomendada: Integre los requisitos de ambos reglamentos en un marco de gobernanza unificado. Los procesos de gestión de riesgos, la documentación y los mecanismos de reporte pueden diseñarse para satisfacer ambas normativas simultáneamente, evitando la duplicación de esfuerzos.

Cómo Matproof ayuda a las FinTech

Matproof es una plataforma de gestión de cumplimiento diseñada para organizaciones que operan bajo múltiples marcos regulatorios europeos. Para las empresas FinTech, Matproof permite:

• Gestionar el cumplimiento del Reglamento de IA, DORA, NIS2 y el RGPD desde una única plataforma
• Clasificar automáticamente los sistemas de IA según el Anexo III
• Generar la documentación técnica exigida por el Artículo 11
• Mantener un registro continuo de evaluaciones de riesgos y medidas de mitigación
• Preparar evaluaciones de conformidad y declaraciones CE

Comience evaluando el estado de preparación de su organización con nuestra Evaluación gratuita de conformidad IA.

Preguntas frecuentes

Q: ¿Las startups FinTech tienen las mismas obligaciones que los grandes bancos?
A: Sí, si utilizan sistemas de IA de alto riesgo. El Reglamento de IA no distingue por tamaño de empresa en cuanto a las obligaciones sustantivas. Sin embargo, las PYMES pueden acceder a entornos de pruebas regulatorios (sandboxes) previstos en los Artículos 57-62, que ofrecen un marco controlado para desarrollar y probar sistemas de IA antes de su comercialización.

Q: ¿Un modelo de machine learning para detectar transacciones sospechosas de blanqueo de capitales es de alto riesgo?
A: Los sistemas de detección de fraude financiero están explícitamente excluidos del alto riesgo (Anexo III, punto 5(b)). Los sistemas de AML/CFT podrían asimilarse a esta exclusión, ya que su finalidad es proteger al sistema financiero. Sin embargo, si el sistema bloquea directamente el acceso de una persona a servicios financieros (congelación de cuentas, denegación de operaciones), la clasificación debe evaluarse cuidadosamente.

Q: ¿Puedo seguir utilizando datos alternativos para credit scoring?
A: Sí, pero con restricciones adicionales. El Artículo 10 exige que los datos de entrenamiento sean relevantes, representativos y libres de sesgos. Si utiliza datos alternativos (historial de pagos de servicios públicos, comportamiento en redes sociales), debe demostrar que estos datos no introducen discriminación indirecta y que cumplen con el RGPD, en particular con los principios de minimización de datos y limitación de la finalidad.

Q: ¿Cómo debo documentar la supervisión humana en un proceso de credit scoring automatizado?
A: Debe documentar: (1) quién tiene la responsabilidad de supervisar el sistema, (2) qué formación ha recibido esa persona, (3) qué herramientas tiene para comprender y revisar las decisiones del modelo, (4) en qué circunstancias puede anular la decisión del sistema, y (5) con qué frecuencia se ejercita efectivamente esa supervisión. El mero hecho de que un humano pueda teóricamente intervenir no es suficiente; debe demostrarse que la supervisión es efectiva en la práctica.

Q: ¿El Reglamento de IA afecta a los proveedores de IA que venden herramientas a FinTech?
A: Sí, de forma significativa. Los proveedores de sistemas de IA de alto riesgo tienen las obligaciones más extensas: sistema de gestión de calidad, evaluación de conformidad, declaración CE, marcado CE, registro en la base de datos de la UE y vigilancia poscomercialización. Si su FinTech adquiere un sistema de IA de alto riesgo de un proveedor externo, asegúrese de que el proveedor cumple con sus obligaciones bajo los Artículos 16-22.

Q: ¿Existe un período de gracia para adaptarse al Reglamento de IA?
A: El Reglamento ya está en vigor desde el 1 de agosto de 2024. Las prohibiciones del Artículo 5 se aplican desde febrero de 2025. Las obligaciones para sistemas de alto riesgo del Anexo III serán exigibles a partir del 2 de agosto de 2026. No existe un período de gracia adicional una vez vencidos estos plazos.

Próximos pasos para empresas FinTech

1. Inventaríe sus sistemas de IA: Identifique todos los modelos y algoritmos en producción, desarrollo o evaluación.
2. Clasifique cada sistema: Aplique los criterios del Artículo 6 y el Anexo III.
3. Priorice: Comience con los sistemas de credit scoring y KYC, que son los más claramente de alto riesgo.
4. Integre con DORA: Aproveche los procesos de gestión de riesgos TIC para satisfacer también los requisitos del Reglamento de IA.
5. Evalúe su preparación: Utilice la Evaluación gratuita de conformidad IA de Matproof para identificar brechas.
6. Implemente una plataforma de gestión: Inicie una prueba gratuita de Matproof para centralizar el cumplimiento de todos los marcos aplicables.

El 2 de agosto de 2026 no es un plazo negociable. Las FinTech que comiencen ahora tendrán tiempo suficiente para implementar los cambios necesarios. Las que esperen se enfrentarán a una carrera contrarreloj con riesgos significativos.