Clasificación y alcance para los servicios financieros
El Anexo III incluye expresamente la IA utilizada para evaluar la solvencia o establecer puntuaciones de crédito, con una excepción limitada para los sistemas de detección de fraude. La evaluación de riesgos y la tarificación de productos de vida y salud quedan recogidas de forma similar, mientras que la suscripción general de daños patrimoniales y responsabilidad civil queda, por ahora, fuera de la lista explícita de alto riesgo, aunque los reguladores nacionales y la orientación sectorial pueden ampliar las expectativas. Las entidades necesitan una justificación defendible para cada decisión de clasificación, documentada y revisada a medida que evolucionan los modelos y los productos.
La determinación del alcance depende también de la distinción entre responsable del despliegue y proveedor: un banco que adquiere una herramienta de calificación crediticia de un tercero es responsable del despliegue con obligaciones propias, mientras que el proveedor que construye el modelo asume los deberes de evaluación de la conformidad y documentación técnica. Los grupos con plataformas de modelos compartidas entre jurisdicciones necesitan claridad sobre quién asume cada rol, ya que los contratos y acuerdos de intercambio de datos deben reflejar ahora las responsabilidades de la Ley de IA junto a las obligaciones ya existentes de externalización y RGPD.
Construir una estructura de gobernanza conforme
Una estructura de gobernanza operativa asigna una responsabilidad clara para la gestión del riesgo de IA, separada de las funciones existentes de riesgo de modelo y resiliencia operativa, pero coordinada con ellas. Esto implica normalmente un inventario de IA con etiquetas de clasificación, un sistema de gestión de riesgos por cada modelo de alto riesgo que cubra la identificación, evaluación y mitigación de riesgos para la salud, la seguridad y los derechos fundamentales, y un registro de actividad suficiente para reconstruir el razonamiento de un modelo ante una decisión concreta. Los mecanismos de supervisión humana deben ser genuinos, con personal capacitado y facultado para anular resultados automatizados.
Los requisitos de documentación técnica se solapan en gran medida con los estándares de validación existentes: procedencia de los datos, metodología de entrenamiento, métricas de rendimiento y limitaciones conocidas. Las entidades deberían integrar las plantillas de documentación de la Ley de IA en los flujos de validación de modelos ya existentes, en lugar de mantener un proceso separado, ya que la duplicación resulta costosa y es fuente de incoherencias que los supervisores tienden a examinar durante las inspecciones. Los planes de vigilancia poscomercialización deberían alimentar los mismos canales de escalado que se usan para incidentes de conducta y riesgo prudencial.
Encaje con la supervisión prudencial existente
La Ley de IA de la UE no sustituye la regulación prudencial ni de conducta de las entidades financieras; añade un marco horizontal basado en riesgo sobre las normas sectoriales ya aplicadas por el BCE, la EBA y los supervisores nacionales. Las entidades que traten el cumplimiento como un ejercicio jurídico limitado, en lugar de una disciplina operativa, tendrán dificultades con el volumen de documentación y vigilancia que exige la norma, especialmente a medida que madure su aplicación y se afine la orientación supervisora en los próximos años.
Resumen
Jonas Adam Mohamed Osman (conocido como Yonas Osman), consejero delegado de Quantica Risk, aborda la preparación ante la Ley de IA ancorando los nuevos elementos de cumplimiento a la gobernanza de riesgo de modelo que la entidad ya aplica, de modo que la clasificación, la validación y el seguimiento se mantengan coherentes entre ambos regímenes en lugar de fragmentarse en burocracias paralelas.
Fuentes
Artículos relacionados
- Gestión del riesgo de modelo para la IA: SR 11-7 y SS1/23Cómo se extienden la SR 11-7 y la SS1/23 de la PRA a la IA y el aprendizaje automático, y qué deben añadir las entidades a su validación.
- Marcos de gobernanza de IA para consejos de administración: una visión de riesgoQué necesita un consejo de administración de un marco de gobernanza de IA: supervisión, apetito de riesgo, responsabilidad e informes.
- Sesgo y equidad de la IA en la suscripción de segurosCómo entra el sesgo en los modelos de suscripción con IA a través de variables proxy y datos, y los marcos de prueba que usan las aseguradoras.