Cumplimiento normativo en el sector asegurador: RGPD, AI Act, DORA y NIS2

Por qué el sector «Seguros» está afectado

El sector asegurador maneja datos personales a gran escala y, en numerosos ramos, datos de salud: cuestionarios de suscripción en seguros de vida y de prestatario, datos de siniestros, información médica. Estos datos pertenecen a la categoría especial del RGPD, cuyo tratamiento está prohibido salvo excepción estrictamente regulada.

La IA está en el núcleo del negocio: tarificación actuarial, suscripción automatizada, detección de fraude, gestión de siniestros. El AI Act clasifica expresamente la evaluación de riesgos y la tarificación en seguros de vida y salud, respecto de personas físicas, entre los usos de alto riesgo — con las obligaciones más exigentes. La detección de fraude queda excluida de dicha categoría, pero sigue sujeta al RGPD.

Como entidad financiera, la aseguradora está sujeta a DORA en materia de resiliencia operativa digital. NIS2, que también se aplica al sector financiero, lo hace de forma residual: DORA, como texto sectorial, prevalece en la gestión del riesgo TIC y la notificación de incidentes.

DORA — la resiliencia operacional del asegurador

Las empresas de seguros y reaseguros son entidades financieras plenamente sujetas a DORA desde el 17 de enero de 2025: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia, gestión de proveedores TIC terceros mediante un registro de información, e intercambio de información.

Un principio de proporcionalidad modula las obligaciones según el tamaño y el perfil de riesgo.

Obligaciones clave

• Marco de gestión de riesgos TIC pilotado por la dirección.
• Clasificación y notificación de los incidentes TIC graves.
• Programa de pruebas de resiliencia.
• Registro de información y encuadramiento contractual de los proveedores TIC.

AI Act — tarificación de vida y salud de alto riesgo

La evaluación de riesgos y la tarificación en seguros de vida y salud, aplicadas a personas físicas, están clasificadas como de alto riesgo por el AI Act. Los sistemas afectados soportan obligaciones exigentes: gestión de riesgos, calidad y representatividad de los datos, control de sesgos, supervisión humana y documentación.

La detección de fraude queda excluida de esta clasificación en los mismos términos, pero sigue sujeta al RGPD; los usos internos o conversacionales se rigen por regímenes más ligeros.

Obligaciones clave

• Clasificar los sistemas (tarificación vida/salud = alto riesgo).
• Calidad de los datos y control de los sesgos.
• Supervisión humana e información a los asegurados.
• Documentación técnica y evaluación de conformidad.

RGPD — datos de salud y perfilado

La aseguradora es responsable del tratamiento de datos frecuentemente sensibles: salud en el seguro de vida vinculado a préstamos, previsión y seguro médico complementario. Debe identificar una excepción para el tratamiento de datos de salud, regular la elaboración de perfiles y las decisiones automatizadas, y controlar los plazos de conservación y la seguridad.

Algunas prácticas (cuestionario médico) están además reguladas por normas sectoriales nacionales.

Obligaciones clave

• Excepción legal para el tratamiento de datos de salud.
• Regulación del perfilado y de las decisiones automatizadas.
• Plazos de conservación adaptados (siniestros, contratos).
• Seguridad y trazabilidad de alto nivel.

NIS2 — sector financiero, articulado con DORA

El sector financiero, incluido el asegurador, está comprendido en el ámbito de NIS2. No obstante, para la gestión del riesgo TIC y la notificación de incidentes, DORA prevalece como regulación sectorial. NIS2 conserva un alcance residual; el reto consiste en articular ambas normativas sin duplicar los dispositivos.

Obligaciones clave

• Comprender la articulación NIS2 / DORA (DORA prevalece para las TIC).
• Coherencia de las medidas de seguridad con DORA.
• Coordinación de las notificaciones de incidentes.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

Dos articulaciones estructuran el cumplimiento de una aseguradora. En primer lugar, NIS2 / DORA: DORA, texto sectorial, prevalece para la gestión del riesgo TIC y la notificación de incidentes de las entidades financieras; la aseguradora estructura por tanto su resiliencia en torno a DORA y solo aplica NIS2 de forma residual.

A continuación, RGPD / AI Act, especialmente relevante en el sector asegurador: la tarificación de vida y salud combina datos personales sensibles (salud) — que implican una excepción del RGPD, información al interesado y encuadramiento del perfilado — y un sistema de alto riesgo en el sentido del AI Act (calidad de los datos, control de sesgos, supervisión, documentación). Ambos regímenes deben tratarse conjuntamente, so pena de dejar un riesgo de discriminación sin controlar.

Calendario de aplicación

• 1DORA. Aplicable desde el 17 de enero de 2025.
• 2RGPD. En vigor; vigilancia sobre los datos de salud y la elaboración de perfiles.
• 3AI Act. Alto riesgo: obligaciones principales a partir del 2 de agosto de 2026 para la tarificación de vida/salud.
• 4NIS2. Aplicación residual, prevaleciendo DORA para el riesgo TIC.

Sanciones aplicables

Los regímenes se acumulan: RGPD hasta 20 M€ o el 4 % del volumen de negocio mundial, AI Act hasta 35 M€ o el 7 %. DORA corresponde a un régimen prudencial (poderes de supervisión y sanción de las autoridades, multas coercitivas para los proveedores críticos). NIS2 prevé hasta 10 M€ o el 2 %, pero su aplicación es residual en el sector asegurador.

El riesgo específico del sector radica en los datos de salud y en la tarificación: un sesgo en un modelo de tarificación puede constituir a la vez un incumplimiento del AI Act, una vulneración del RGPD y una práctica discriminatoria.

Hoja de ruta de puesta en conformidad

• 1Estructurar la resiliencia en torno a DORA. Construir el marco de gestión de riesgos TIC, la clasificación de incidentes y el registro de proveedores, articulando NIS2 de forma residual.
• 2Dominar la IA de alto riesgo. Identificar los sistemas de tarificación de vida/salud y desplegar gestión de riesgos, calidad de datos, control de sesgos, supervisión y documentación.
• 3Asegurar los datos de salud. Encuadrar la excepción RGPD, el alojamiento, la elaboración de perfiles y la conservación de los datos de salud.
• 4Tratar conjuntamente el RGPD y el AI Act. Articular información, perfilado y requisitos de alto riesgo en la tarificación y la suscripción.
• 5Gestionar al nivel de dirección. Hacer recaer la resiliencia y el cumplimiento en la dirección, conforme a los requisitos prudenciales.

Cómo Data Comply One acompaña al sector

Data Comply One cubre RGPD, AI Act, NIS2 y DORA en una plataforma única, con DPO y CISO externalizados — el espectro regulatorio asegurador completo. El enfoque integrado facilita la articulación NIS2 / DORA y el tratamiento conjunto de la acumulación RGPD / AI Act en la tarificación.

DCO ofrece plantillas adaptadas a entidades financieras y datos de salud (registro de proveedores TIC, procedimientos de incidentes, EIPD de salud, documentación AI Act para la tarificación).

Preguntas frecuentes