Ley de IA de la UE 2026: deberes de transparencia

Por Jonas Osman Abdelghafour.

La Ley de IA de la UE se aplica de forma horizontal, y precisamente por eso resulta incómoda para las entidades financieras: las obligaciones se vinculan al papel que desempeña una organización en relación con un sistema —proveedor, responsable del despliegue, importador, distribuidor— en lugar de a la actividad regulada que ejerce. Un banco que compra una herramienta de cribado es un responsable del despliegue; un banco que ajusta y comercializa una se convierte en algo más cercano a un proveedor. Clasificar esto de forma errónea es el error más caro disponible, porque determina todo el conjunto de obligaciones.

La clasificación es el primer control

Dos preguntas guían el trabajo. Primero, ¿está el sistema dentro del ámbito de la IA según la definición de la Ley? Segundo, ¿qué categoría de riesgo aplica? Para los servicios financieros, las categorías que muerden son las prácticas prohibidas (estrechas pero absolutas), los usos de alto riesgo —los más relevantes son la evaluación de la solvencia de personas físicas y la evaluación de riesgo y tarificación en seguros de vida y salud— y el nivel de transparencia que se aplica a los sistemas que interactúan con personas o generan contenido.

Todo lo demás depende de esta clasificación, por lo que debe figurar en el inventario de modelos como un atributo registrado con un propietario y una fecha de revisión, no en una hoja de cálculo de cumplimiento aparte.

La transparencia en la práctica

Las obligaciones de transparencia suelen describirse como "decir a las personas que están hablando con una máquina". La realidad operativa es más amplia. Los sistemas que interactúan directamente con individuos deben dejarlo claro en el momento de la interacción, en la propia interfaz, no en una política enterrada a tres clics de distancia. El contenido sintético o manipulado necesita un marcado legible por máquina. Los usos de inferencia emocional y de categorización biométrica llevan sus propios deberes de divulgación y, en contextos de empleo, están fuertemente restringidos.

Para un banco minorista, el resultado práctico no es glamuroso: interfaces de chat que se identifican, guiones de centro de contacto que divulgan la gestión automatizada, canales de producción de contenido de marketing que etiquetan los activos generados, y un rastro de evidencia que muestra cuándo se implementó cada divulgación.

Las obligaciones de alto riesgo se corresponden con controles que ya tiene

Cuando un uso cae en la categoría de alto riesgo —la calificación crediticia de consumidores, la tarificación de seguros en los ramos indicados—, los requisitos se leen como un marco de gestión del riesgo de modelo bien gestionado con papeleo adicional: un sistema de gestión del riesgo a lo largo del ciclo de vida, gobierno de datos que cubra la representatividad y el sesgo, documentación técnica, registro automático, supervisión humana integrada en el flujo de trabajo, y precisión, robustez y ciberseguridad acordes con el uso.

La respuesta eficiente es la correspondencia, no la duplicación. Los requisitos de gobierno de datos se corresponden con los controles existentes de linaje y calidad de datos. La documentación técnica se corresponde con la documentación de desarrollo de modelos, ampliada con los campos específicos de la Ley. La supervisión humana se corresponde con el diseño de anulación y escalado que la validación ya debería estar comprobando. El registro se corresponde con los requisitos de pista de auditoría. Las entidades que construyen una pila de cumplimiento de la Ley de IA en paralelo acaban manteniendo dos descripciones del mismo modelo, que divergen en el plazo de un año.

Los responsables del despliegue también tienen deberes propios —usar el sistema conforme a las instrucciones del proveedor, garantizar que los datos de entrada son pertinentes, asignar una supervisión humana competente, monitorizar el funcionamiento y, en varios casos, informar a las personas afectadas. Un banco no puede subcontratar esto al proveedor.

Los modelos de propósito general y la cadena de suministro

La mayoría de las entidades consumen modelos de propósito general en lugar de construirlos. El proveedor lleva la documentación y, por encima del umbral de riesgo sistémico, obligaciones adicionales; el responsable del despliegue todavía necesita información suficiente para cumplir con sus propios deberes. Eso convierte el acceso contractual a la documentación técnica, el aviso de cambios materiales del modelo y la evidencia que respalda las afirmaciones sobre el uso previsto en un requisito de contratación, no en algo deseable. Cuando un proveedor no lo suministre, la entidad debe asumir que necesitará pruebas compensatorias e incorporar eso en la decisión de construir frente a comprar.

Qué hacer en los próximos dos trimestres

• Etiquetar cada sistema de IA del inventario con su papel, categoría de riesgo y base jurídica, y hacer que esa clasificación se revise de forma independiente.
• Cerrar primero las brechas de transparencia en los canales de cara al cliente; son visibles, baratas de corregir y las más fáciles de que le pillen a uno en ellas.
• Corresponder los requisitos de alto riesgo con los artefactos de riesgo de modelo ya existentes y cubrir las diferencias en lugar de escribir otros nuevos.
• Corregir las plantillas de contratación para que la documentación, el aviso de cambios y los derechos de auditoría sean estándar.
• Integrar las obligaciones de alfabetización en IA en la formación del personal que opera o supervisa estos sistemas.

Las entidades que encontrarán manejable la Ley de IA son aquellas cuyo gobierno de modelos ya produce evidencia bajo demanda. Para ellas es un ejercicio de clasificación y divulgación. Para aquellas cuyo parque de IA no está documentado, es primero un ejercicio de descubrimiento —y descubrir bajo un plazo regulatorio es la forma más cara de aprender qué se posee.

Fuentes primarias: Reglamento (UE) 2024/1689 (Ley de IA); orientación del Servicio de Asistencia de la Comisión Europea sobre la Ley de IA relativa a las obligaciones de transparencia del artículo 50.