Cumplimiento del sector bancario: RGPD, AI Act, NIS2 y DORA

Por qué el sector «Banca» está afectado

El banco trata datos personales a gran escala y para finalidades sensibles: conocimiento del cliente (KYC), concesión de crédito, detección de fraude y lucha contra el blanqueo de capitales. Estos tratamientos imponen un rigor RGPD máximo, tanto más cuanto que el scoring y la elaboración de perfiles producen decisiones con efecto directo sobre las personas.

El uso de la IA es estructurante en este sector. La evaluación de la solvencia de particulares mediante un sistema de IA figura entre los usos de alto riesgo del AI Act, con las obligaciones más exigentes. Otros usos (detección de fraude, asistentes conversacionales) se enmarcan en regímenes más ligeros.

En materia de resiliencia, la banca está sujeta tanto a NIS2 (sector esencial) como a DORA. En la práctica, DORA constituye la lex specialis para la gestión del riesgo TIC y la notificación de incidentes de las entidades financieras: es DORA quien estructura el dispositivo, aplicándose NIS2 de forma residual.

DORA — la resiliencia operativa digital

DORA impone a los bancos un marco completo: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia (incluidas pruebas de intrusión basadas en amenazas para las entidades significativas), gestión de los riesgos derivados de proveedores terceros de TIC mediante un registro de información, y compartición de información sobre ciberamenazas.

Es el texto central del cumplimiento digital bancario desde el 17 de enero de 2025.

Obligaciones clave

• Marco de gestión de riesgos TIC pilotado por la dirección.
• Clasificación y notificación de los incidentes TIC graves.
• Programa de pruebas de resiliencia (incluido TLPT para las significativas).
• Registro de información de los proveedores TIC y encuadramiento contractual.

AI Act — la puntuación crediticia de alto riesgo

La evaluación de la solvencia y el establecimiento de puntuaciones de crédito de personas físicas están expresamente clasificados entre los usos de alto riesgo (a excepción de la detección de fraude). Los bancos afectados soportan obligaciones significativas: gestión de riesgos, calidad de los datos, transparencia, supervisión humana y documentación.

Los demás usos (chatbots, automatización interna) corresponden en la mayoría de los casos a riesgo limitado o mínimo.

Obligaciones clave

• Clasificar los sistemas de IA (scoring de crédito = alto riesgo).
• Calidad y representatividad de los datos, gestión de sesgos.
• Supervisión humana e información a las personas.
• Documentación técnica y evaluación de conformidad.

RGPD — KYC, scoring y lucha contra el fraude

El banco es responsable del tratamiento para finalidades de gran relevancia: KYC/AML, concesión de crédito, scoring, detección de fraude. La elaboración de perfiles y las decisiones automatizadas requieren una vigilancia especial (información, derecho a la intervención humana).

La base jurídica, el plazo de conservación y la seguridad deben gestionarse con precisión, en un marco donde el secreto bancario se añade al RGPD.

Obligaciones clave

• Base jurídica e información reforzada para el perfilado.
• Encuadramiento de las decisiones automatizadas (intervención humana).
• Plazos de conservación adaptados (crédito, AML-CFT).
• Seguridad y trazabilidad de alto nivel.

NIS2 — sector esencial, articulado con DORA

La banca figura entre los sectores esenciales de NIS2. No obstante, para la gestión del riesgo TIC y la notificación de incidentes, DORA prevalece como normativa sectorial específica. NIS2 conserva un alcance residual e impone comprender la articulación de ambos textos para evitar duplicidades.

Obligaciones clave

• Comprender la articulación NIS2 / DORA (DORA prevalece para las TIC).
• Medidas de seguridad coherentes con DORA.
• Coordinación de los dispositivos de incidentes.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

El punto clave para un banco es la articulación NIS2 / DORA. Ambas regulaciones abordan la ciberseguridad, pero DORA, como texto sectorial, prevalece en la gestión del riesgo TIC y la notificación de incidentes de las entidades financieras. En la práctica, un banco estructura su resiliencia en torno a DORA y aplica NIS2 únicamente de forma residual, sin duplicar los dispositivos.

Además, la IA de scoring genera una acumulación RGPD / AI Act: una puntuación crediticia se basa en datos personales (base jurídica, información, derecho a intervención humana en virtud del RGPD) y constituye un sistema de alto riesgo (calidad de los datos, supervisión, documentación en virtud del AI Act). Ambos requisitos deben abordarse conjuntamente.

Calendario de aplicación

• 1DORA. Aplicable desde el 17 de enero de 2025.
• 2RGPD. En vigor; controles periódicos sobre la elaboración de perfiles y el scoring.
• 3AI Act. alto riesgo: Obligaciones principales a partir del 2 de agosto de 2026 para el scoring crediticio.
• 4NIS2. Aplicable de forma residual, prevaleciendo DORA para el riesgo TIC.

Sanciones aplicables

Los regímenes se acumulan. El RGPD expone a 20 M€ o el 4 % del volumen de negocio mundial, el AI Act a 35 M€ o el 7 %. DORA se inscribe en un régimen prudencial: las autoridades competentes disponen de poderes de supervisión y sanción, y un proveedor TIC crítico puede ser objeto de multas coercitivas. NIS2 prevé hasta 10 M€ o el 2 % para las entidades esenciales, aunque su aplicación es residual en el sector bancario.

Más allá de las multas, el reto es prudencial y reputacional: un incidente de resiliencia grave puede desencadenar medidas por parte de las autoridades supervisoras y una pérdida inmediata de confianza.

Hoja de ruta de puesta en conformidad

• 1Estructurar la resiliencia en torno a DORA. Construir el marco de gestión de riesgos TIC, la clasificación de incidentes y el programa de pruebas, articulando NIS2 de forma residual.
• 2Dominar la IA de alto riesgo. Identificar los sistemas de scoring crediticio e implantar gestión de riesgos, calidad de datos, supervisión y documentación.
• 3Proteger los tratamientos RGPD sensibles. Encuadrar la elaboración de perfiles, las decisiones automatizadas, los plazos de conservación y la seguridad para KYC, crédito y fraude.
• 4Gestionar los proveedores TIC. Mantener el registro de información y encuadrar contractualmente a los proveedores (cláusulas DORA).
• 5Gestionar al nivel de dirección. Hacer recaer la resiliencia y el cumplimiento en la dirección, de conformidad con los requisitos prudenciales.

Cómo Data Comply One acompaña al sector

Data Comply One cubre RGPD, AI Act, NIS2 y DORA en una plataforma única, con DPO y CISO externalizados — el espectro regulatorio bancario completo. El enfoque integrado facilita la articulación NIS2 / DORA y el tratamiento conjunto de la acumulación RGPD / AI Act en los usos de scoring.

DCO pone a disposición plantillas adaptadas a las entidades financieras (registro de información de proveedores TIC, procedimientos de incidentes, documentación AI Act para el scoring).

Preguntas frecuentes