Banca & AI Act: encuadrar el scoring y la decisión asistida

¿De qué trata el AI Act?

El AI Act califica como de alto riesgo, en su anexo III, la evaluación de la solvabilidad y el establecimiento de puntuaciones de crédito de personas físicas — salvo cuando se trate de detectar fraudes financieros. Los sistemas de alto riesgo están sujetos a obligaciones de gestión de riesgos, calidad de los datos, transparencia, supervisión humana y robustez.

Los usos internos o conversacionales se encuadran generalmente en el riesgo limitado o mínimo.

¿Está afectado el sector «Banca»?

Los bancos están implicados como desplegadores y, si desarrollan sus propios modelos bajo su marca, como proveedores. La puntuación crediticia de particulares es el caso emblemático de alto riesgo.

La detección del fraude, aunque se base en IA, escapa a la clasificación de alto riesgo prevista para la puntuación crediticia; no obstante, sigue estando sujeta al RGPD.

Obligaciones detalladas

Sanciones y riesgos

Hasta 35 M€ o el 7 % del volumen de negocio para las prácticas prohibidas, y 15 M€ o el 3 % para los incumplimientos de alto riesgo. A ello se añade el riesgo RGPD sobre la elaboración de perfiles.

Para un banco, un scoring mal documentado o sesgado expone a sanciones y a un riesgo de discriminación con graves consecuencias.

Calendario de aplicación

• 1Entrada en vigor. 1 de agosto de 2024.
• 2Alto riesgo. Obligaciones principales a partir del 2 de agosto de 2026 para el scoring de crédito.

Errores frecuentes en el sector

• 1Alto riesgo no identificado. Tratar la puntuación crediticia como un uso ordinario.
• 2Sesgos no controlados. Ignorar los sesgos de los datos, fuente de discriminación e incumplimiento.
• 3Acumulación RGPD olvidada. No articular el AI Act y el RGPD en materia de perfilado.
• 4Supervisión de fachada. Mostrar una supervisión humana sin medios reales para influir en la decisión.

Caso práctico

Un banco despliega un modelo de scoring para la concesión de créditos al consumo. Clasificado como de alto riesgo, exige documentación técnica, control de sesgos y supervisión humana de las denegaciones. El banco articula estos requisitos con la información RGPD sobre elaboración de perfiles y el derecho del cliente a la intervención humana, abordando ambos textos de forma conjunta.

Hoja de ruta de cumplimiento

1. 1

   Inventariar. Inventariar todos los usos de IA (crédito, fraude, relación con el cliente, interno).

2. 2

   Calificar. Aislar los sistemas de alto riesgo (scoring de crédito).

3. 3

   Fiabilizar los datos. Tratar la calidad y los sesgos de los datos de entrenamiento.

4. 4

   Documentar. Producir documentación técnica y evaluación de conformidad.

5. 5

   Encuadrar. Implementar la supervisión humana e información, articuladas con el RGPD.

Preguntas frecuentes