La inteligencia artificial se ha convertido en un factor estratégico para la transformación del sector financiero, pero su adopción plantea desafíos regulatorios de primer orden. El Reglamento IA (Reglamento UE 2024/1689) establece un marco jurídico pionero que exige a bancos, aseguradoras e intermediarios integrar la explicabilidad, la trazabilidad y la supervisión humana en el diseño y uso de sistemas de inteligencia artificial. La evaluación de solvencia crediticia se configura como caso expreso de alto riesgo, pero la lógica del Reglamento extiende sus exigencias a múltiples aplicaciones —trading algorítmico, robo-advisors, tarificación de seguros o monitorización AML—, todas ellas bajo la supervisión coordinada de CNMV, Banco de España y DGSFP, junto con las autoridades europeas. El reto para las entidades es doble: adaptar sus marcos de gobernanza y riesgo a un escrutinio más estricto, y, al mismo tiempo, aprovechar la oportunidad de diferenciarse mediante un uso responsable y transparente de la IA que refuerce la confianza de clientes, inversores y supervisores.
1. Introducción
La inteligencia artificial se ha consolidado en los últimos años como la tecnología con mayor capacidad transformadora en la industria financiera. La automatización de procesos, la gestión algorítmica de riesgos, la personalización de productos y servicios o la detección de patrones complejos en grandes volúmenes de datos son hoy realidades presentes en bancos, aseguradoras, sociedades de inversión y proveedores de servicios de pago. Esta evolución tecnológica, que se desarrolla a una velocidad sin precedentes, plantea a su vez interrogantes regulatorios de gran calado.
La Unión Europea ha querido dar respuesta a estos desafíos a través de la aprobación del Reglamento (UE) 2024/1689, de 13 de junio de 2024, sobre Inteligencia Artificial (Reglamento IA). La norma constituye el primer marco normativo integral dedicado a la inteligencia artificial. Su ambición no es menor: garantizar que el desarrollo, la comercialización y el uso de la IA en el mercado europeo se realicen de forma coherente con los valores de la Unión, con la protección de los derechos fundamentales, con la estabilidad de los mercados y con la seguridad jurídica de los operadores.
El Reglamento IA no se concibe como una pieza aislada, sino como parte de la estrategia digital de la UE, en la que se incluyen también normas como el Reglamento (UE) 2022/2065 sobre servicios digitales (DSA), el Reglamento (UE) 2022/1925 sobre mercados digitales (DMA), o el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital (DORA). Todas estas normas comparten una lógica común: establecer reglas armonizadas que permitan a Europa liderar el espacio digital desde un enfoque de seguridad jurídica, confianza y respeto a los derechos.
En este contexto, el sector financiero ocupa una posición especialmente delicada. Por un lado, se trata de un sector intensivo en el uso de datos, donde la inteligencia artificial ofrece ventajas evidentes para la gestión de riesgos, la eficiencia operativa y la innovación comercial. Por otro, es un sector regulado hasta el detalle, en el que el incumplimiento normativo puede poner en riesgo no solo a la entidad individual, sino a la estabilidad del sistema en su conjunto.
El Reglamento IA afecta de lleno a la industria financiera, y lo hace de manera dual: por un lado, incluyendo en su listado de sistemas de alto riesgo los modelos destinados a evaluar la solvencia crediticia de personas físicas; por otro, sometiendo a todas las entidades reguladas al escrutinio de sus supervisores en la aplicación de la inteligencia artificial, aunque sus casos de uso no estén expresamente recogidos en el Reglamento. A ello se suma la presión internacional: el Banco de Pagos Internacionales (BIS) y su Financial Stability Institute (FSI) han situado la explicabilidad de la IA en el centro de las preocupaciones supervisoras, planteando que no basta con exigir transparencia, sino que es preciso que las decisiones derivadas de modelos de IA puedan ser comprendidas, justificadas y auditadas.
2. La estructura del Reglamento IA
El Reglamento IA establece un régimen jurídico basado en riesgos, con una estructura jerárquica que diferencia las obligaciones en función del impacto potencial de cada tipo de sistema de IA. La lógica del legislador es clara: no todas las aplicaciones de IA presentan el mismo nivel de amenaza para los derechos fundamentales o la estabilidad de los sistemas, de manera que las exigencias regulatorias deben ser proporcionadas a dicho riesgo.
El artículo 5 recoge una serie de prácticas prohibidas, que incluyen la manipulación subliminal del comportamiento humano, la explotación de vulnerabilidades de colectivos vulnerables, la utilización de sistemas de clasificación social por parte de autoridades públicas y la identificación biométrica remota en tiempo real en espacios de acceso público, salvo excepciones tasadas relacionadas con la lucha contra el terrorismo y delitos graves. Estas prohibiciones tienen carácter absoluto y son aplicables desde febrero de 2025.
El núcleo del Reglamento se encuentra en el régimen aplicable a los sistemas de alto riesgo, regulado en los artículos 6 a 51. Aquí el legislador establece un catálogo de obligaciones exhaustivas que incluyen, entre otras, la implantación de sistemas de gestión de riesgos, el aseguramiento de la calidad y gobernanza de los datos, la elaboración de documentación técnica detallada, el mantenimiento de registros de trazabilidad, la provisión de información al usuario, la supervisión humana efectiva, la robustez y seguridad del sistema y la obligación de registrar el modelo en una base de datos europea.
El Anexo III del Reglamento contiene la lista de sistemas de IA considerados de alto riesgo, organizada por sectores. Esta lista es, en principio, cerrada, aunque el artículo 7 faculta a la Comisión para actualizarla mediante actos delegados. En el ámbito financiero, aparecen de manera expresa: i) los sistemas destinados a evaluar la solvencia crediticia de personas físicas o a establecer su calificación crediticia salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros y ii) los sistemas de IA utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud.
Por debajo de esta categoría se encuentran los sistemas de riesgo limitado, sujetos a obligaciones de transparencia. Es el caso de los chatbots, de los sistemas de reconocimiento de emociones o de los generadores de contenidos sintéticos (deepfakes). El Reglamento impone aquí la obligación de informar claramente al usuario de que está interactuando con un sistema de IA o de que un contenido ha sido generado artificialmente.
Finalmente, los sistemas de riesgo mínimo o nulo no quedan sujetos a obligaciones específicas, aunque la Comisión promueve la adopción de códigos voluntarios de conducta y buenas prácticas.
Este esquema general es aplicable a todos los sectores económicos, pero en el caso del sector financiero su aplicación debe entenderse en conexión con las normas prudenciales y de conducta ya existentes, lo que añade una capa adicional de complejidad.
3. El crédito como supuesto financiero de alto riesgo
El Anexo III, apartado 5, letra a) del Reglamento IA establece expresamente que son sistemas de alto riesgo aquellos destinados a “evaluar la solvencia crediticia de personas físicas o a establecer su calificación crediticia”. Se trata de la única referencia directa al sector financiero en el listado del Reglamento, pero su importancia es capital.
El credit scoring es un proceso esencial en la actividad bancaria. Determina si un consumidor accede o no a financiación, en qué condiciones y con qué coste. La incorporación de modelos de inteligencia artificial a este proceso multiplica la eficiencia y la capacidad predictiva, pero también incrementa los riesgos de opacidad, sesgo y discriminación. El legislador europeo ha querido situar este uso en el nivel máximo de exigencia, consciente de que una decisión injusta o inexplicable en materia de crédito puede tener consecuencias directas sobre los derechos fundamentales de las personas.
Las entidades que utilicen IA en la evaluación de solvencia deberán, por tanto, cumplir con todas las obligaciones del Título III del Reglamento. Ello implica contar con un sistema de gestión de riesgos específico para el modelo, garantizar que los datos de entrenamiento son representativos y no discriminatorios, elaborar documentación técnica que describa de manera detallada el diseño, la finalidad y las limitaciones del sistema, mantener registros de trazabilidad que permitan auditar cada decisión, asegurar que existe supervisión humana capaz de revisar y rectificar las decisiones automatizadas y registrar el modelo en la base de datos europea de sistemas de IA de alto riesgo.
Esta obligación se superpone con la normativa financiera sectorial. La Directiva 2008/48/CE sobre contratos de crédito al consumo exige que la evaluación de solvencia se realice de manera responsable, mientras que la Directiva 2014/17/UE sobre contratos de crédito inmobiliario contiene obligaciones similares para los préstamos hipotecarios. En el plano prudencial, el Reglamento (UE) 575/2013 (CRR) y la Directiva 2013/36/UE (CRD IV) obligan a las entidades de crédito a mantener sistemas de gestión de riesgos adecuados. El Reglamento IA añade a este marco la obligación de que tales sistemas sean no solo eficaces, sino también explicables.
El Reglamento General de Protección de Datos (RGPD), en su artículo 22, establece que los interesados tienen derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ellos, salvo excepciones. La denegación de un préstamo basada en un algoritmo de IA encaja plenamente en esta categoría, de modo que la entidad deberá garantizar no solo la existencia de intervención humana, sino también la provisión de explicaciones significativas al cliente.
La jurisprudencia del TJUE en materia de credit scoring ha confirmado esta interpretación. En asuntos recientes, el Tribunal ha reconocido que los consumidores tienen derecho a obtener información suficiente sobre la lógica subyacente en el proceso de evaluación automatizada de su solvencia. El Reglamento IA consolida este estándar y lo convierte en obligación jurídica directa, con consecuencias sancionadoras en caso de incumplimiento.
4. Aplicaciones financieras no listadas en el Anexo III
Aunque el Anexo III del Reglamento IA solo recoge de forma expresa la evaluación de la solvencia crediticia de personas físicas como supuesto de alto riesgo, sería un error interpretar que el resto de aplicaciones financieras quedan al margen del Reglamento. El legislador ha sido consciente de que el sector financiero es especialmente intensivo en el uso de modelos algorítmicos, y por ello ha previsto que, en todos aquellos supuestos en los que una entidad regulada utilice inteligencia artificial, las obligaciones del Reglamento IA deberán ser vigiladas y aplicadas por las autoridades financieras competentes.
Esto significa que, aunque un caso de uso concreto no figure en la lista cerrada del Anexo III, las entidades financieras deberán estar preparadas para justificar ante su supervisor cómo integran en sus modelos los principios de gestión de riesgos, documentación, trazabilidad y supervisión humana. El resultado práctico es que el alcance del Reglamento es mucho más amplio de lo que pudiera parecer en una primera lectura.
Un primer ejemplo lo encontramos en el trading algorítmico y, en particular, en el high frequency trading (HFT). Bajo el marco de la Directiva 2014/65/UE (MiFID II) y de sus normas técnicas de desarrollo, las empresas de servicios de inversión que operan con algoritmos están obligadas a mantener sistemas robustos, a garantizar la trazabilidad de las órdenes y a implementar mecanismos de control humano inmediato, como los denominados kill switches. Si la lógica de estos sistemas se apoya en inteligencia artificial, será difícil sostener que no resultan alcanzados por las exigencias del Reglamento IA en materia de transparencia, documentación y supervisión. La CNMV y la ESMA podrán, en consecuencia, requerir a las entidades explicaciones detalladas de los modelos, así como auditorías periódicas que garanticen su robustez.
Otro ámbito crítico es el del asesoramiento automatizado de inversiones, donde proliferan los llamados robo-advisors. Bajo MiFID II, la entidad debe asegurarse de que la recomendación es idónea en función del perfil del cliente, lo que implica un análisis individualizado de sus objetivos, conocimientos y tolerancia al riesgo. Cuando esta evaluación se delega a un sistema de IA, el deber de idoneidad se ve reforzado por las exigencias del Reglamento IA: el cliente debe ser informado de que interactúa con un sistema de inteligencia artificial y debe recibir explicaciones comprensibles sobre la lógica de la recomendación. Además, el supervisor podrá exigir a la entidad que acredite documentalmente cómo funciona el modelo, qué datos utiliza y qué pruebas de estabilidad se han realizado.
En el sector asegurador, la utilización de IA en procesos de underwriting y tarificación plantea riesgos evidentes de sesgo y discriminación. Aunque el Reglamento IA no incluye este caso en el listado de alto riesgo, la combinación de Solvencia II y de las obligaciones del Reglamento exige a las aseguradoras justificar ante la Dirección General de Seguros y Fondos de Pensiones (DGSFP) y la EIOPA que los modelos utilizados son comprensibles, que se han identificado posibles sesgos y que existen medidas de mitigación. El proceso ORSA (Own Risk and Solvency Assessment) se convierte aquí en el vehículo natural para integrar los riesgos asociados al uso de IA, de modo que el supervisor pueda evaluar su impacto en la solvencia global de la entidad.
La prevención de blanqueo de capitales y financiación del terrorismo constituye un cuarto ámbito de aplicación indirecta. La Directiva (UE) 2024/1640 y el Reglamento (UE) 2024/1624 refuerzan la obligación de las entidades financieras de monitorizar transacciones y detectar operaciones sospechosas. El empleo de IA en este ámbito, aunque no se califique de alto riesgo en el Reglamento IA, se encuentra claramente sometido a las exigencias de gobernanza y trazabilidad. Una entidad no podrá limitarse a alegar que “el algoritmo lo detectó”: deberá ser capaz de explicar qué factores motivaron la alerta y por qué se considera que la operación presentaba un riesgo de blanqueo. La futura Autoridad Europea contra el Blanqueo (AMLA) ejercerá un papel protagonista en esta materia, lo que implica que la explicabilidad de los modelos será condición imprescindible para demostrar el cumplimiento.
En síntesis, aunque el crédito aparezca como único supuesto expreso en el Anexo III, la lógica del Reglamento IA conduce a una extensión práctica de sus obligaciones a la mayor parte de los usos de la inteligencia artificial en el sector financiero. La clave es que el Reglamento no se limita a regular los productos de IA como tales, sino que condiciona su utilización por parte de entidades sometidas a regulación prudencial y de conducta.
5. Supervisión integrada y autoridades competentes
Una de las novedades más relevantes del Reglamento IA es la creación de un sistema de gobernanza multinivel que combina instituciones europeas y autoridades nacionales. El Capítulo VIII del Reglamento establece la creación de la Oficina Europea de IA, dependiente de la Comisión, que tendrá funciones de coordinación, de desarrollo de guías y de supervisión de los modelos de uso general. Sin embargo, en el caso de los sistemas de IA utilizados en sectores regulados, el legislador ha querido preservar el papel de las autoridades sectoriales ya existentes, que pasan a ser las competentes para supervisar la aplicación del Reglamento.
En el ámbito financiero, esto significa que el Banco Central Europeo, en el ejercicio de sus competencias de supervisión bancaria bajo el Mecanismo Único de Supervisión, evaluará el uso de IA por parte de las entidades significativas. La EBA hará lo propio respecto de la banca menos significativa, en coordinación con las autoridades nacionales. La EIOPA supervisará el uso de IA en el sector asegurador y reasegurador, mientras que la ESMA se centrará en los mercados de valores y en las empresas de servicios de inversión.
En España, la supervisión corresponderá al Banco de España, la CNMV y la DGSFP, según el ámbito de cada entidad. Estos organismos, además, deberán coordinarse con la Oficina Europea de IA y con sus homólogos europeos para asegurar una aplicación uniforme.
El resultado práctico es una supervisión integrada, en la que el cumplimiento del Reglamento IA no se evalúa de forma independiente, sino como parte del marco global de gobernanza de riesgos de la entidad. Así, en un proceso de revisión supervisora (SREP), el Banco de España podrá exigir a una entidad de crédito documentación específica sobre los modelos de IA que utiliza en sus procesos de concesión de crédito o de gestión de riesgos. En una revisión de productos de seguros, la DGSFP podrá requerir explicaciones sobre los modelos de tarificación basados en IA. Y en un control de cumplimiento de MiFID II, la CNMV podrá auditar los algoritmos de un robo-advisor.
La clave de esta arquitectura es que los supervisores financieros se convierten en autoridades competentes del Reglamento IA en sus respectivos sectores. No se trata de una superposición de normas, sino de una integración: la evaluación de riesgos de IA se incorpora al mismo plano que la evaluación de riesgos prudenciales, operativos o de conducta. En la práctica, las entidades deberán prepararse para un escrutinio más exigente, en el que la opacidad o la falta de explicabilidad de un modelo de IA no se considerará un problema tecnológico, sino un incumplimiento regulatorio.
6. La explicabilidad como requisito transversal
El Reglamento IA introduce en sus artículos 8 a 29 una serie de obligaciones para los sistemas de alto riesgo que, aunque redactadas en términos técnicos, tienen un trasfondo claro: asegurar que la utilización de la inteligencia artificial sea comprensible, controlable y, en última instancia, explicable. No se trata únicamente de una cuestión de transparencia formal, sino de una exigencia de fondo que conecta con los principios fundamentales del Derecho de la Unión, en particular con el derecho a la tutela judicial efectiva, el principio de igualdad y no discriminación y la protección de los consumidores.
La diferencia entre transparencia y explicabilidad resulta crucial. La transparencia puede alcanzarse mediante la mera divulgación de información técnica, como la publicación de parámetros o la comunicación de que un sistema utiliza redes neuronales profundas. La explicabilidad, en cambio, exige que el proceso de decisión automatizada pueda ser comprendido en términos jurídicamente significativos por los usuarios, los clientes, los supervisores e incluso por los tribunales. Un modelo puede ser transparente en cuanto a su arquitectura, pero opaco en cuanto a sus resultados; el Reglamento IA no se conforma con lo primero, sino que exige lo segundo.
El artículo 13 del Reglamento impone la obligación de que los sistemas de alto riesgo estén diseñados de forma que su funcionamiento sea “suficientemente transparente para permitir a los usuarios interpretar los resultados y utilizarlos de manera adecuada”. Esta cláusula, que puede parecer abierta, debe interpretarse en conjunción con el artículo 14, que exige la existencia de supervisión humana efectiva. La lógica es clara: si un modelo no puede ser explicado, el ser humano no podrá supervisarlo de manera adecuada, lo que supone un incumplimiento normativo.
En el ámbito financiero, esta exigencia adquiere una dimensión especial. Las decisiones de crédito, de tarificación de seguros, de recomendación de inversión o de monitorización AML no son meros cálculos técnicos, sino decisiones jurídicas y económicas que afectan a derechos subjetivos. Una denegación de préstamo, una prima más alta, una recomendación de inversión o una alerta de blanqueo implican consecuencias que deben poder ser justificadas. La explicabilidad es, por tanto, condición indispensable para garantizar la rendición de cuentas.
Este requisito no se limita a los sistemas de alto riesgo. Incluso los sistemas de riesgo limitado deben cumplir con obligaciones de transparencia frente al usuario, como la de informar cuando interactúa con un chatbot o cuando un contenido ha sido generado artificialmente. En el sector financiero, esto implica que los clientes deben saber cuándo una interacción se realiza con un agente virtual y deben recibir información suficiente para valorar las decisiones automatizadas que les afectan.
La explicabilidad, en definitiva, se convierte en un principio transversal del Reglamento IA, que impregna todas las categorías de riesgo y que, en el caso del sector financiero, conecta de manera directa con la regulación sectorial y con la doctrina consolidada de los supervisores europeos.
7. Orientaciones internacionales y convergencia supervisora
El valor del Reglamento IA se refuerza cuando se analiza en paralelo con las orientaciones internacionales. El Banco de Pagos Internacionales (BIS), a través de su Financial Stability Institute (FSI), ha publicado varios trabajos recientes sobre el uso de la IA en finanzas. El más relevante es Managing explanations: how regulators can address AI explainability (septiembre de 2025), en el que se sostiene que la aceptabilidad de un modelo de inteligencia artificial no depende únicamente de su precisión estadística, sino de la capacidad de la entidad para explicar sus resultados de manera proporcional al riesgo que generan.
El FSI introduce aquí la idea de que la explicabilidad no es un concepto binario —explicable o no explicable—, sino un continuum. En un extremo estarían los modelos simples, como las regresiones lineales, que son plenamente interpretables. En el otro extremo, los modelos basados en redes neuronales profundas, cuya opacidad los hace difícilmente explicables. La clave, según el FSI, es que el nivel de explicabilidad exigido debe calibrarse según tres factores: la criticidad del uso, el impacto potencial en derechos fundamentales y estabilidad financiera, y la complejidad intrínseca del modelo.
Este planteamiento encaja con la lógica de proporcionalidad que inspira también el Reglamento IA. Allí donde la decisión afecta directamente a derechos de los consumidores —como en la concesión de crédito o en la tarificación de seguros—, el nivel de explicabilidad exigido debe ser máximo. Allí donde el impacto es menor —por ejemplo, en la priorización de tareas internas de back office—, puede admitirse un grado inferior de explicabilidad, siempre que existan controles compensatorios.
No solo el BIS ha tomado posición en esta materia. El Banco Central Europeo (BCE), en su Financial Stability Review de mayo de 2024, subrayó la necesidad de establecer controles estrictos sobre la calidad de los datos, la robustez de los modelos y la capacidad de las entidades para auditar sus propios sistemas. La EBA, en su informe sobre riesgos tecnológicos de 2023, ya alertaba de que la falta de explicabilidad en los modelos de IA podía convertirse en un riesgo operativo de primera magnitud. La EIOPA, por su parte, publicó en 2021 un documento de discusión sobre la IA en seguros en el que identificaba la explicabilidad como principio esencial para garantizar la confianza de los asegurados y evitar prácticas discriminatorias.
Este movimiento supervisor apunta hacia una clara convergencia internacional: la utilización de inteligencia artificial en el sector financiero no será aceptada si no va acompañada de explicaciones comprensibles y auditables. La innovación tecnológica, por sí sola, no justifica la opacidad. Por el contrario, cuanto más complejo sea un modelo, mayor será la exigencia de controles externos e internos que garanticen la comprensibilidad de sus resultados.
En este contexto, el Reglamento IA se convierte en el marco jurídico de referencia en Europa, pero no agota el debate. Las entidades financieras deberán tener en cuenta tanto las obligaciones legales derivadas del Reglamento como las expectativas supervisoras formuladas por organismos como el BIS, el BCE, la EBA o la EIOPA. La combinación de norma y práctica supervisora configura un estándar que ya no es meramente voluntario, sino exigible en la práctica.
8. Casos prácticos de aplicación del Reglamento IA en entidades financieras
La verdadera dimensión del Reglamento IA para el sector financiero se aprecia cuando se traduce en situaciones concretas que las entidades afrontan diariamente. Analizar casos prácticos permite comprender cómo el Reglamento se articula con la normativa financiera sectorial y qué consecuencias jurídicas y operativas tiene para bancos, aseguradoras, sociedades de inversión y demás intermediarios.
8.1. Denegación de crédito minorista
La evaluación de la solvencia crediticia de particulares es el único uso financiero expresamente calificado como de alto riesgo en el Anexo III del Reglamento IA. Pensemos en un banco que utiliza un sistema de machine learning para calcular la probabilidad de impago de un cliente que solicita un préstamo personal.
Conforme al artículo 9 del Reglamento IA, el modelo debe ser entrenado con datos de calidad, suficientemente representativos, sin sesgos y actualizados periódicamente. Además, el artículo 13 obliga a que su funcionamiento sea lo bastante transparente para que el usuario —en este caso, la entidad financiera— pueda interpretar los resultados. A ello se suma el artículo 14, que exige supervisión humana efectiva: no basta con un algoritmo autónomo; debe existir la posibilidad de que un empleado revise la decisión.
Este esquema interactúa con el artículo 8 de la Directiva 2008/48/CE sobre contratos de crédito al consumo y con el artículo 18 de la Directiva 2014/17/UE sobre contratos de crédito inmobiliario, que ya imponían la obligación de evaluar la solvencia de manera responsable. El Reglamento IA refuerza esa obligación exigiendo no solo la evaluación, sino la posibilidad de explicarla. En la práctica, si el banco deniega el préstamo, deberá informar al cliente de los principales factores determinantes de la decisión, lo que conecta también con el artículo 22 del RGPD, que reconoce el derecho a no ser objeto de decisiones exclusivamente automatizadas.
En un escenario de reclamación judicial, el banco tendrá que acreditar no solo que la denegación fue adecuada desde el punto de vista prudencial, sino también que el modelo utilizado era explicable, trazable y estaba sujeto a supervisión humana. El incumplimiento de estas exigencias podría dar lugar a responsabilidades sancionadoras por parte del supervisor y, además, a reclamaciones civiles por parte de los clientes.
8.2. Fijación de primas de seguro
Otro caso paradigmático es el de la tarificación en seguros. Supongamos que una aseguradora utiliza un algoritmo de IA para fijar la prima de una póliza de salud, combinando información sobre edad, hábitos de consumo y datos médicos obtenidos de dispositivos portátiles.
Aunque este uso no figura en el listado del Anexo III, la interacción entre el Reglamento IA y la Directiva 2009/138/CE (Solvencia II) lo convierte en un ámbito sometido a exigencias muy estrictas. La aseguradora deberá integrar en su proceso ORSA el riesgo derivado de utilizar un modelo complejo y potencialmente opaco. Si el supervisor —la DGSFP o la EIOPA— detecta que las primas resultantes generan discriminación indirecta hacia determinados colectivos, podrá exigir explicaciones detalladas y, en su caso, medidas correctoras.
El Reglamento IA impone aquí la obligación de trazabilidad de resultados (art. 12) y de documentación técnica exhaustiva (art. 11), lo que implica que la aseguradora deberá conservar evidencias que permitan demostrar cómo y por qué se fijó la prima de cada asegurado. La falta de explicabilidad en este ámbito podría no solo generar sanciones regulatorias, sino también litigios en materia de igualdad de trato y no discriminación.
8.3. Recomendaciones de inversión mediante robo-advisors
Los robo-advisors constituyen un tercer caso de relevancia. Bajo MiFID II, toda recomendación de inversión debe ser idónea para el cliente, atendiendo a sus objetivos, conocimientos y tolerancia al riesgo. Si la evaluación de idoneidad se confía a un modelo de IA, el artículo 13 del Reglamento IA exige que el sistema sea lo bastante transparente para que la entidad pueda interpretar y explicar las recomendaciones.
Esto significa que, si un cliente conservador recibe una recomendación de inversión en productos de alto riesgo, la entidad deberá ser capaz de explicar al supervisor y al propio cliente cómo el modelo llegó a esa conclusión. La CNMV podrá exigir la documentación técnica del modelo y auditar sus resultados. En este contexto, la opacidad no es aceptable: la entidad no podrá excusarse en la complejidad del algoritmo.
El incumplimiento de estas exigencias podría dar lugar no solo a sanciones bajo el Reglamento IA, sino también a la calificación de la recomendación como inadecuada bajo MiFID II, con las correspondientes consecuencias de responsabilidad civil frente al cliente.
8.4. Detección de operaciones sospechosas en materia de AML
Un cuarto supuesto lo encontramos en el ámbito de la prevención de blanqueo de capitales. Muchas entidades utilizan IA para monitorizar transacciones y generar alertas de operaciones inusuales. Imaginemos un sistema que detecta patrones de movimientos en cuentas y genera una alerta de posible blanqueo.
Aunque este uso no figura en el Anexo III, se encuentra plenamente alcanzado por la lógica del Reglamento IA y por el nuevo Reglamento (UE) 2024/1624. La entidad no podrá limitarse a comunicar al SEPBLAC que “el algoritmo detectó la operación”. Deberá explicar cuáles fueron los factores considerados, por qué se generó la alerta y cómo se validó humanamente antes de elevarla como comunicación de operación sospechosa.
Aquí la explicabilidad adquiere un matiz adicional: la futura Autoridad Europea contra el Blanqueo (AMLA) exigirá narrativas auditables, lo que implica que los modelos opacos que no permitan reconstruir la lógica de la alerta no serán aceptables.
9. Gobernanza y gestión del riesgo de modelos
La respuesta institucional a estas exigencias debe articularse a través de un marco de gobernanza robusto. El Reglamento IA, en su Título III, artículos 9 a 15, establece obligaciones específicas para los sistemas de alto riesgo, que las entidades financieras deberán integrar en su esquema de gestión de riesgos y control interno.
En primer lugar, será imprescindible mantener un inventario completo de modelos de IA utilizados en la organización, describiendo su finalidad, arquitectura, limitaciones y supuestos de diseño. Este inventario deberá actualizarse periódicamente y estar disponible para el supervisor en caso de requerimiento.
En segundo lugar, cada modelo deberá contar con un responsable designado dentro de la entidad, encargado de su supervisión y de la interlocución con los supervisores. Este responsable no podrá ser un mero perfil técnico, sino un cargo con capacidad real de decisión, en línea con las exigencias de responsabilidad de la alta dirección establecidas en CRD IV y Solvencia II.
En tercer lugar, la entidad deberá implantar mecanismos de supervisión humana efectiva, que permitan anular o corregir las decisiones automatizadas cuando se detecten resultados anómalos o injustificados. El artículo 14 del Reglamento IA insiste en que el control humano debe ser real y operativo, no meramente simbólico.
En cuarto lugar, será necesario documentar exhaustivamente el ciclo de vida de cada modelo, conservando registros sobre su diseño, entrenamiento, validación, puesta en producción y monitorización. Esta trazabilidad permitirá auditar el modelo tanto interna como externamente y será condición indispensable para defender la entidad en caso de inspección o procedimiento sancionador.
Finalmente, la entidad deberá integrar la explicabilidad en su Model Risk Management (MRM). Ello implica definir estándares de explicabilidad para cada categoría de uso, realizar pruebas periódicas de interpretabilidad y sesgo, e incluir la evaluación de riesgos de IA en los procesos internos como el ORSA (en seguros), el ICAAP (en banca) o las revisiones de idoneidad (en servicios de inversión).
En la práctica, el Reglamento IA obliga a las entidades financieras a evolucionar desde un modelo de gobernanza centrado en la gestión de riesgos tradicionales a un modelo de governance by design, en el que la explicabilidad se incorpora desde el inicio en el desarrollo de los sistemas. No se trata de un mero cumplimiento documental, sino de un cambio cultural: los modelos deben diseñarse no solo para ser eficientes, sino para ser entendibles, justificables y controlables.
10. Calendario de aplicación y régimen sancionador
El Reglamento IA entró en vigor el 1 de agosto de 2024, pero su aplicación no es inmediata ni uniforme, sino que se ha previsto un calendario escalonado con el fin de permitir a los Estados miembros, a las autoridades supervisoras y a los operadores económicos adaptar sus estructuras de cumplimiento. Este escalonamiento responde a la complejidad de la norma y a la magnitud de los cambios organizativos que impone.
Las prácticas prohibidas en virtud del artículo 5 —como la manipulación subliminal de comportamientos o la utilización de sistemas de clasificación social— deberán cesar a más tardar en febrero de 2025. Se trata de una exigencia que no admite prórroga y que impone a las entidades financieras un análisis inmediato de todos sus modelos para descartar la utilización de técnicas que puedan encajar en estas categorías. Aunque es poco probable que bancos o aseguradoras recurran a sistemas de clasificación social, la amplitud de la definición de manipulación subliminal exige cautela.
Los sistemas de inteligencia artificial de uso general (general purpose AI, GPAI) deberán cumplir con las obligaciones específicas previstas en el Título VIII del Reglamento a partir de agosto de 2025. Dado que muchos proveedores financieros utilizan modelos de propósito general (como LLMs incorporados a sus sistemas de atención al cliente o de análisis de mercado), esta fecha marca un hito crítico en la preparación de los contratos con proveedores externos y en la verificación del cumplimiento de estos modelos por parte de los suministradores tecnológicos.
La plena aplicación del régimen para los sistemas de alto riesgo —incluyendo el caso de la evaluación de solvencia crediticia— se producirá en agosto de 2026. Para entonces, todas las entidades financieras deberán haber inscrito en la base de datos europea sus sistemas de IA de alto riesgo, disponer de la documentación técnica exigida, haber implementado mecanismos efectivos de supervisión humana y haber integrado en su gestión de riesgos los controles previstos en los artículos 9 a 15 del Reglamento.
El régimen sancionador del Reglamento IA, previsto en el Capítulo XII, resulta especialmente severo. Se establecen tres niveles de infracción:
- Para las infracciones muy graves —como la utilización de prácticas prohibidas o el incumplimiento de los requisitos aplicables a los sistemas de alto riesgo—, las multas pueden alcanzar hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual total, el que resulte mayor.
- Para las infracciones graves —como el incumplimiento de las obligaciones de transparencia para los sistemas de riesgo limitado—, las sanciones ascienden a 15 millones de euros o el 3 % del volumen de negocios mundial anual total.
- Para las infracciones menores —como la aportación de información incorrecta o incompleta a las autoridades—, el importe puede ser de hasta 7,5 millones de euros o el 1 % del volumen de negocios mundial anual total.
Estas cifras sitúan el Reglamento IA en un nivel sancionador comparable al del Reglamento General de Protección de Datos (RGPD), que fijó el estándar en materia de multas administrativas en la Unión Europea. La novedad aquí es que los porcentajes se aplican sobre el volumen de negocios global, lo que significa que un incumplimiento por parte de una entidad de un grupo financiero internacional podría acarrear sanciones multimillonarias.
Para las entidades financieras, el calendario y el régimen sancionador implican la necesidad de diseñar un plan de cumplimiento inmediato. Este plan debe identificar los sistemas en uso, clasificarlos según el nivel de riesgo, planificar las adaptaciones necesarias, asignar responsables internos y prever los recursos presupuestarios para cumplir con las obligaciones documentales y de supervisión. Retrasar esta preparación supondría exponerse a sanciones de gran magnitud y a una pérdida significativa de credibilidad ante el supervisor.
11. Implicaciones estratégicas para las entidades financieras
Más allá de las obligaciones jurídicas estrictas, el Reglamento IA y el debate sobre la explicabilidad plantean un conjunto de implicaciones estratégicas que las entidades financieras no pueden ignorar. La regulación de la inteligencia artificial no es solo un ejercicio de cumplimiento formal, sino un factor que condiciona la competitividad, la reputación y la relación de las entidades con sus clientes, supervisores e inversores.
En primer lugar, la confianza del cliente pasa a depender de manera directa de la capacidad de la entidad para explicar las decisiones automatizadas. En un entorno en el que los consumidores son cada vez más conscientes de sus derechos y de los riesgos asociados a la tecnología, una denegación de crédito sin explicación o una recomendación de inversión percibida como opaca pueden erosionar la confianza en la entidad y motivar reclamaciones o incluso litigios. La explicabilidad se convierte así en un elemento de diferenciación competitiva: las entidades que logren transmitir claridad y comprensión generarán mayor lealtad y menor conflictividad.
En segundo lugar, el riesgo reputacional se intensifica. Un fallo en un sistema de IA que genere discriminación, sesgo o decisiones injustificables puede tener un impacto mediático inmediato. El sector financiero, que opera en un entorno de confianza fiduciaria, no puede permitirse escándalos asociados a “algoritmos injustos”. Integrar la explicabilidad desde el diseño de los modelos es, en este sentido, una estrategia de protección reputacional.
En tercer lugar, el Reglamento IA interactúa con las políticas de sostenibilidad y criterios ESG. En particular, el principio de gobernanza responsable y el respeto a los derechos fundamentales forman parte de la dimensión social del ESG. Los inversores institucionales y los reguladores ya exigen que las entidades reporten sobre sus prácticas de gobernanza tecnológica. La capacidad de demostrar un uso explicable y ético de la IA reforzará la posición de las entidades en sus informes de sostenibilidad y en sus relaciones con inversores responsables.
En cuarto lugar, la relación con los supervisores adquiere un matiz nuevo. La CNMV, el Banco de España o la DGSFP no se conformarán con recibir informes técnicos; exigirán explicaciones claras y evidencias documentales de que los modelos cumplen con los estándares del Reglamento IA. La supervisión pasará de ser un control ex post a un diálogo continuo sobre la gobernanza de la IA. Las entidades que adopten un enfoque proactivo, anticipando explicaciones y demostrando control sobre sus modelos, gozarán de mayor credibilidad y de una relación más fluida con sus supervisores.
Finalmente, el Reglamento IA plantea una cuestión de ventaja competitiva. Las entidades que se adelanten en la implementación de marcos robustos de gobernanza y explicabilidad estarán mejor posicionadas no solo para evitar sanciones, sino también para aprovechar la IA de manera segura y confiable. En un mercado en el que la innovación tecnológica es clave para diferenciarse, la capacidad de demostrar un uso responsable de la IA puede convertirse en un activo estratégico.
En conclusión, las implicaciones del Reglamento IA van mucho más allá del cumplimiento formal. Afectan a la confianza del cliente, a la reputación, a la sostenibilidad, a la relación con los supervisores y a la competitividad en el mercado. Para las entidades financieras, integrar la explicabilidad en sus modelos no es una opción, sino una necesidad estratégica.
12. Conclusión
La aprobación del Reglamento (UE) 2024/1689, sobre Inteligencia Artificial (Reglamento IA), marca un punto de inflexión en la forma en que las entidades financieras deben concebir, desarrollar y utilizar sistemas algorítmicos en sus procesos de negocio. Se trata de una norma que no solo armoniza a nivel europeo las reglas aplicables a la IA, sino que redefine los estándares de gobernanza, transparencia y rendición de cuentas en un sector particularmente sensible para la estabilidad económica y la protección de los consumidores.
El Reglamento IA establece un marco basado en riesgos que, en el ámbito financiero, se traduce en un doble nivel de exigencia. Por un lado, la calificación expresa de la evaluación de la solvencia crediticia como sistema de alto riesgo obliga a bancos y entidades de crédito a rediseñar sus modelos de credit scoring con un enfoque de explicabilidad desde el inicio. Por otro lado, la integración del Reglamento con la normativa sectorial hace que, aunque otros usos no aparezcan expresamente en el Anexo III, deban igualmente someterse a las obligaciones de gobernanza, documentación y control humano cuando sean empleados por entidades reguladas.
La consecuencia inmediata es que la inteligencia artificial en finanzas deja de ser un terreno de innovación relativamente autónomo para convertirse en un espacio estrictamente regulado, en el que la explicabilidad se erige como criterio central. No se trata de un requisito meramente técnico, sino de una exigencia jurídica vinculada a derechos fundamentales y a principios estructurales del Derecho de la Unión. La jurisprudencia del TJUE, la interacción con el RGPD, la normativa sectorial (CRR/CRD, MiFID II, Solvencia II, IDD, AML) y las orientaciones internacionales del BIS, el BCE, la EBA y la EIOPA refuerzan este mensaje: la innovación algorítmica solo es aceptable si es comprensible, controlable y susceptible de rendir cuentas.
Para las entidades financieras, el desafío es, al mismo tiempo, una oportunidad. La adaptación al Reglamento IA exige inversiones en gobernanza de modelos, en documentación técnica y en procesos de supervisión humana, pero también permite diferenciarse frente a clientes, supervisores e inversores. Una entidad capaz de explicar con claridad por qué deniega un crédito, cómo fija una prima de seguro, en qué basa una recomendación de inversión o por qué genera una alerta AML reforzará la confianza de su clientela, reducirá el riesgo reputacional y consolidará su posición en el mercado.
El calendario de aplicación del Reglamento IA obliga a actuar sin demora. En menos de un año deberán cesar las prácticas prohibidas; en un año deberán cumplirse las obligaciones aplicables a los sistemas de propósito general; y en dos años, los modelos de alto riesgo, incluido el credit scoring, deberán haber completado su adaptación. A la vez, el régimen sancionador del Reglamento, con multas de hasta el 7 % del volumen de negocios global, convierte el cumplimiento en una prioridad estratégica de primer orden.
En definitiva, el Reglamento IA inaugura una nueva etapa en la regulación financiera europea. La inteligencia artificial ya no podrá utilizarse como una “caja negra” opaca, sino como una herramienta sometida a reglas claras, explicaciones comprensibles y controles efectivos. Para los clientes, esto significa mayor seguridad y confianza; para los supervisores, mayor capacidad de escrutinio; y para las entidades financieras, la posibilidad de liderar un modelo de innovación tecnológica compatible con la estabilidad, la ética y la sostenibilidad.
Las entidades que asuman esta realidad desde ahora, incorporando la explicabilidad en sus modelos y anticipando las exigencias del Reglamento, estarán no solo cumpliendo la ley, sino también posicionándose estratégicamente en un mercado en el que la confianza será el principal activo competitivo. El Reglamento IA no es únicamente un desafío regulatorio; es, sobre todo, una oportunidad para que el sector financiero europeo demuestre que puede liderar la innovación tecnológica sin renunciar a los principios jurídicos y éticos que definen su legitimidad social.