Conformidad del sector financiero: RGPD, AI Act, DORA y NIS2

Por qué el sector «Sector financiero» está afectado

Lo que une al sector financiero es el estatus de entidad financiera en el sentido de DORA y la intensidad de las obligaciones digitales que se derivan de él. Todas estas entidades se apoyan en sistemas de información críticos y dependen de proveedores TIC, ámbito que DORA regula desde el 17 de enero de 2025.

La IA es estructural y frecuentemente de alto riesgo: scoring crediticio de personas (banca), evaluación de riesgos y tarificación de vida/salud (seguros), sin olvidar la lucha contra el fraude y el blanqueo de capitales. El RGPD regula tratamientos especialmente sensibles, desde el KYC hasta la elaboración de perfiles.

DORA — el denominador común

Todas las entidades financieras están sujetas a DORA: gestión de riesgos TIC, gestión y notificación de incidentes, pruebas de resiliencia, gestión de proveedores TIC terceros mediante un registro de información e intercambio de información. Es el texto de referencia del sector.

La proporcionalidad modula las obligaciones según el tamaño y el perfil de riesgo.

Obligaciones clave

• Marco de gestión de riesgos TIC.
• Notificación de los incidentes TIC mayores.
• Pruebas de resiliencia (incluidas TLPT para las entidades significativas).
• Registro de información de los proveedores TIC.

AI Act — usos frecuentemente de alto riesgo

El sector concentra varios usos de alto riesgo: el scoring crediticio de personas físicas y la evaluación de riesgos y la tarificación en seguros de vida y salud. La detección del fraude queda excluida de esta categoría. Se aplican las obligaciones del alto riesgo (calidad de los datos, supervisión, documentación).

Obligaciones clave

• Clasificar los usos (scoring, tarificación = alto riesgo).
• Calidad de los datos y control de los sesgos.
• Supervisión humana e información.
• Documentación y evaluación de conformidad.

RGPD — tratamientos sensibles

KYC, lucha contra el blanqueo de capitales, scoring, perfilado y, en seguros, datos de salud: el sector financiero trata datos personales de alto impacto. Los detalles figuran en las páginas «Banca» y «Seguros».

Obligaciones clave

• Bases jurídicas e información (elaboración de perfiles, decisiones automatizadas).
• Seguridad y plazos de conservación.
• Regulación de los datos sensibles (salud en seguros).

NIS2 — residual

El sector financiero está dentro del ámbito de NIS2, pero DORA prevalece como regulación sectorial para el riesgo TIC y los incidentes. NIS2 solo desempeña un papel residual; es necesario articular ambas normativas sin duplicar esfuerzos.

Obligaciones clave

• Reconocer la prevalencia de DORA para el riesgo TIC.
• Garantizar la coherencia de las medidas.
• Coordinar las notificaciones.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

El sector financiero ilustra dos articulaciones clave. NIS2 / DORA: DORA, como texto sectorial, prevalece en materia de riesgo TIC e incidentes; NIS2 tiene carácter residual. RGPD / AI Act: los usos de alto riesgo (scoring, tarificación) combinan datos personales y sistemas de alto riesgo, y deben tratarse de forma conjunta.

Calendario de aplicación

• 1DORA. Aplicable desde el 17 de enero de 2025 para todas las entidades financieras.
• 2RGPD. En vigor.
• 3AI Act. alto riesgo: A partir del 2 de agosto de 2026 (scoring, tarificación).
• 4NIS2. Residual, con prevalencia de DORA para el riesgo TIC.

Sanciones aplicables

Los regímenes se acumulan: RGPD (20 M€ / 4 %), AI Act (35 M€ / 7 %), DORA (régimen prudencial), NIS2 (10 M€ / 2 %, residual). El sector está además sujeto a la supervisión prudencial de sus autoridades.

El riesgo es tanto prudencial y sistémico como financiero: un fallo de resiliencia puede desencadenar medidas de las autoridades y una pérdida de confianza.

Hoja de ruta de puesta en conformidad

• 1Estructurar la resiliencia (DORA). Construir el marco TIC, la gestión de incidentes, las pruebas y el registro de proveedores.
• 2Dominar la IA de alto riesgo. Identificar la puntuación y la tarificación, desplegar las obligaciones de alto riesgo.
• 3Proteger los tratamientos RGPD. Encuadrar KYC, elaboración de perfiles, decisiones automatizadas y datos sensibles.
• 4Articular NIS2. Tratar el riesgo residual sin duplicar DORA.
• 5Profundizar por vertical. Consultar las páginas «Banca» y «Seguros».

Cómo Data Comply One acompaña al sector

Data Comply One cubre RGPD, AI Act, NIS2 y DORA en una plataforma única, con DPO y CISO externalizados — el espectro completo del sector financiero. El enfoque integrado facilita la articulación NIS2 / DORA y el tratamiento conjunto RGPD / AI Act.

DCO ofrece plantillas adaptadas a las entidades financieras (registro de información de proveedores TIC, procedimientos de incidente, documentación AI Act).

Preguntas frecuentes