¿Qué es la regulación de la IA en los servicios financieros?
Regulación de la IA: sectores y ámbitos
La regulación de la IA en los servicios financieros es la combinación de legislación financiera, expectativas supervisoras, normas técnicas y, en algunas jurisdicciones, legislación específica sobre IA que rige cómo las empresas desarrollan, adquieren y utilizan la IA en el crédito, los pagos, la negociación y la gestión de riesgos. En la práctica, la mayoría de las obligaciones siguen derivando de la arquitectura normativa financiera existente: protección del consumidor, gobernanza prudencial de modelos, integridad del mercado, resiliencia operativa, externalización y gobernanza de datos. Las nuevas leyes de IA, especialmente en la UE, añaden obligaciones adicionales para usos de alto riesgo definidos, como algunos sistemas de puntuación crediticia al consumo.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
No existe un reglamento global único para la IA en las finanzas. Los reguladores suelen partir de la función de negocio que afecta el modelo. Un modelo de crédito plantea cuestiones de igualdad en el préstamo, divulgación y explicabilidad. Un modelo antifraude plantea cuestiones de delitos financieros, resiliencia y trato al cliente. Un modelo de negociación plantea cuestiones de integridad del mercado, pruebas y controles. Un modelo de capital plantea cuestiones de gobernanza prudencial, validación y responsabilidad de la alta dirección.
Por eso la regulación de la IA en las finanzas es, en su mayor parte, una capa adicional sobre las normas que las empresas ya tienen. La nueva pregunta no es solo "¿es esta IA lícita?", sino también "¿puede la empresa demostrar quién es su responsable, de qué datos depende, cómo se probó, dónde puede fallar, cuándo debe detenerse y cómo pueden cuestionarla los clientes, los auditores y los supervisores?"
Una forma útil de entender este ámbito es la siguiente: las finanzas rara vez parten de un debate abstracto sobre la IA. Parten de decisiones reguladas, sistemas regulados y riesgos regulados. La IA cambia cómo se producen, pero no elimina las obligaciones que ya les son inherentes.
Por qué importa
Para las empresas, la IA puede determinar quién obtiene un préstamo, qué pagos se bloquean, cómo se enrutan las operaciones, cómo se detecta el fraude y cómo se mide el capital. Esas decisiones afectan a los clientes, la liquidez, el cumplimiento normativo, la adecuación del capital y la confianza. Si los controles son débiles, el fallo no se queda dentro del equipo tecnológico. Puede convertirse en un problema de conducta, un problema prudencial, un problema de integridad del mercado, o varios a la vez.
Las consecuencias prácticas son, por tanto, elevadas. Las organizaciones necesitan evidencias, no eslóganes: un inventario de modelos, responsables identificados, registros de validación, excepciones, supervisión de proveedores, registros de incidentes y una vía clara de remediación. Sin esas evidencias, los consejos de administración y la alta dirección tienen dificultades para demostrar que adoptaron medidas razonables, los equipos de compras no pueden gestionar adecuadamente a terceros, y los reguladores no pueden comprobar si la empresa controla el riesgo de los modelos o simplemente confía en que todo saldrá bien.
Esto también importa para el crecimiento y la contratación. Un banco, una fintech o un asesor que no pueda explicar cómo se gobierna su IA tendrá más dificultades para captar clientes regulados, superar la diligencia debida o escalar a través de fronteras. En términos duraderos, la lección es sencilla: en las finanzas, la gobernanza de la IA forma parte de la operación del negocio regulado, no es una capa opcional que se añade después.
Cómo funciona
El modelo básico: primero la ley sectorial, después la ley de IA
En la mayoría de las jurisdicciones, los reguladores no comienzan preguntando únicamente si un sistema es "IA". Preguntan qué actividad regulada afecta y qué riesgos modifica. El Banco de Inglaterra, la PRA y la FCA lo dejaron claro en DP5/22, describiendo un enfoque centrado en aclarar cómo la regulación financiera existente se aplica a la IA y, a continuación, abordar las lagunas genuinas. El mismo patrón aparece en otros lugares. En la banca estadounidense, la guía vigente sobre riesgo de modelos sigue siendo la columna vertebral para los modelos de IA no generativa y no agéntica. En la UE, la EBA señala que el AI Act es complementario a la legislación bancaria y de pagos, no un sustituto.
Esa arquitectura importa porque la regulación financiera ya es densa. Las empresas ya están supervisadas en materia de conducta, gobernanza, externalización, resiliencia operativa, integridad del mercado, solidez prudencial, auditoría y mantenimiento de registros. La IA, por tanto, aterriza dentro de un entorno de control maduro. Una empresa que trata la IA como un problema de innovación independiente suele pasar por alto la pregunta más difícil: ¿qué proceso regulado existente se ha modificado y qué prueba de control se necesita ahora?
El crédito y las decisiones de préstamo son donde las obligaciones sobre IA resultan más visibles
El crédito es el ejemplo más claro de la IA como capa sectorial adicional. Un modelo que clasifica a los prestatarios, fija precios o recomienda aprobaciones no es solo una herramienta analítica. Pasa a formar parte de una decisión de crédito regulada. En Estados Unidos, el CFPB ha dejado claro que los prestamistas siguen obligados a proporcionar razones específicas para las acciones adversas, incluso cuando utilizan modelos complejos o de caja negra. Un prestamista no puede justificar avisos deficientes alegando que el modelo es demasiado opaco para explicarlo.
En la UE, el AI Act añade otra capa para algunos usos crediticios. El material de implementación actual de la Comisión identifica la evaluación de la solvencia de personas físicas como un caso de uso de alto riesgo, porque afecta al acceso a servicios privados esenciales. Esto significa que el marco ordinario de crédito y derecho del consumidor ya no es suficiente por sí solo. Las empresas también deben considerar la evaluación de la conformidad, el mantenimiento de registros, la trazabilidad, la supervisión humana, la calidad de los datos y el seguimiento posterior a la comercialización cuando sea aplicable el AI Act.
El resultado práctico es que la IA en el crédito se rige por más que la calidad predictiva. Las empresas deben saber para qué sirve el modelo, qué intereses protegidos afecta, qué razones pueden comunicarse al cliente, cómo se monitoriza la lógica de decisión para detectar desviaciones y quién puede cuestionar o anular el sistema cuando empieza a comportarse fuera de la política establecida.
La IA en pagos se gobierna habitualmente a través de controles de fraude, resiliencia y externalización
En los pagos, la IA se utiliza ampliamente para la incorporación remota de clientes, el filtrado de fraude, la detección de actividades sospechosas, la verificación de usuarios y el monitoreo de transacciones. Estas son funciones de gran importancia, pero no siempre se gobiernan mediante una ley específica de IA. En muchos casos siguen estando principalmente dentro de las normas de servicios de pago, los controles AML y CFT, la supervisión de la externalización, la resiliencia operativa y las obligaciones de trato al cliente.
El material sectorial de la EBA es útil aquí porque muestra lo comunes que se han vuelto estos casos de uso en el mercado bancario y de pagos de la UE. También subraya que el papel jurídico de una empresa puede variar según cómo se obtenga la tecnología. Si una empresa de pagos desarrolla el sistema internamente, puede ser a la vez proveedor y desplegador. Si adquiere el modelo de un tercero, puede ser únicamente desplegador. Eso cambia el mapa exacto de obligaciones bajo el AI Act, pero no elimina la responsabilidad bajo la supervisión financiera.
Por eso las empresas de pagos necesitan una gobernanza sólida de proveedores. Adquirir un motor antifraude no elimina la necesidad de probarlo, monitorizar los falsos positivos y negativos, gestionar los cambios del modelo, gestionar incidentes y comprender cómo interactúa la herramienta con las reclamaciones de clientes, los controles de delitos financieros y la continuidad del servicio.
La negociación y la actividad de inversión se encuadran en controles más antiguos pero ya exigentes
En los servicios de negociación e inversión, la IA suele encuadrarse en controles que se construyeron para la actividad algorítmica antes de la actual ola de IA. Los supervisores del Reino Unido remiten a las empresas a los requisitos existentes de negociación algorítmica, la responsabilidad de la alta dirección, las obligaciones de prueba y los mecanismos prácticos de parada. También advierten de que el uso generalizado de datos y modelos similares puede aumentar el comportamiento gregario y la prociclicidad, lo que convierte una decisión de diseño a nivel de empresa en una posible preocupación de estabilidad a nivel de mercado.
Esta es una distinción regulatoria importante. La IA en negociación no está regulada únicamente porque utilice aprendizaje automático. Está regulada porque puede mover órdenes, precios, decisiones de vigilancia y trato a clientes a gran velocidad y escala. Las preguntas reales de cumplimiento son operativas: cómo se prueba el modelo antes del despliegue en producción, cómo se aprueban los cambios, cómo se monitoriza el comportamiento en producción, quién puede intervenir rápidamente y qué evidencia demuestra que la empresa se mantuvo dentro de las normas de integridad del mercado.
Para los responsables, esto significa que la IA en negociación rara vez debe tratarse como un proyecto especial de laboratorio. Pertenece a la misma conversación de gobernanza que el diseño de algoritmos, la publicación de código, los controles de abuso de mercado, la resiliencia y la aprobación del directivo responsable.
La supervisión prudencial es donde la gobernanza de modelos resulta más visible
La supervisión prudencial es a menudo donde la IA se encuentra con la capa más profunda de la arquitectura normativa financiera existente. Los modelos de capital, estrés y riesgo ya viven dentro de estructuras de validación, aprobación y auditoría, por lo que el aprendizaje automático no llega a un espacio vacío. La PRA trata el riesgo de modelos como un riesgo en sí mismo. En su marco SS1/23 vigente, con efecto desde el 23 de abril de 2026, se espera que las empresas con aprobación de modelos internos definan qué se considera un modelo, mantengan un inventario de modelos, clasifiquen el riesgo de modelos, asignen la responsabilidad a la Función de Alta Dirección correspondiente, validen de forma independiente y mantengan medidas de mitigación del riesgo de modelos.
El trabajo de la EBA sobre aprendizaje automático para modelos IRB muestra por qué los supervisores se preocupan tanto por esto. El uso de ML en modelos de capital regulatorio sigue siendo selectivo, no universal. Los principales puntos de fricción no son un lenguaje ético abstracto. Son cuestiones prudenciales operativas: explicabilidad, trazabilidad, sobreajuste, comprensión suficiente por parte de la dirección, calidad de la validación y cómo se gestionan los cambios materiales en el modelo cuando este evoluciona más rápidamente que las técnicas tradicionales.
La guía interagencial vigente en Estados Unidos sigue la misma lógica básica. La guía revisada de riesgo de modelos de abril de 2026 es más explícitamente basada en riesgos, hace hincapié en el cuestionamiento efectivo, la documentación, el riesgo agregado de modelos y la supervisión de proveedores, y deja claro que las empresas siguen siendo responsables de las decisiones de gestión del riesgo de modelos adecuadas a su propio perfil de riesgo. Este es el núcleo duradero de la regulación de la IA en las finanzas: antes de que un modelo sea celebrado por su rendimiento, debe ser gobernable.
La UE añade la capa transectorial de IA más clara, pero el calendario ha cambiado
La UE es el ejemplo más claro de una ley de IA transectorial que se superpone a la regulación financiera. El AI Act entró en vigor el 1 de agosto de 2024. La alfabetización en IA y las prácticas prohibidas son aplicables desde el 2 de febrero de 2025. Las normas de gobernanza y las obligaciones para los modelos de IA de uso general son aplicables desde el 2 de agosto de 2025.
Sin embargo, las empresas no deben basarse en resúmenes de implementación anteriores. La página de implementación actual de la Comisión, actualizada tras el acuerdo político sobre simplificación alcanzado el 7 de mayo de 2026, muestra que el calendario para los sistemas de alto riesgo ha cambiado. Según ese material vigente, determinadas áreas de alto riesgo son aplicables a partir del 2 de diciembre de 2027, y la IA integrada en productos regulados es aplicable a partir del 2 de agosto de 2028. Para las finanzas, la evaluación de la solvencia de personas físicas sigue siendo un ejemplo clave de caso de uso de alto riesgo. La aplicación está repartida entre las autoridades nacionales competentes y la Oficina de IA de la UE, con el Consejo de IA apoyando la coherencia.
Para los bancos y las empresas de pagos, el trabajo de mapeo de la EBA añade un mensaje sectorial crucial: el AI Act y la legislación bancaria o de pagos no parecen fundamentalmente contradictorios, pero las empresas pueden necesitar un esfuerzo real de implementación para integrar ambos regímenes de forma coherente. El reto práctico no es, por tanto, elegir un régimen sobre otro. Es asegurarse de que el marco de control de la empresa satisface ambos.
Las normas y los marcos de gobernanza ayudan a las empresas a crear evidencias defendibles
La ley indica a las empresas qué obligaciones existen. Las normas y los marcos de gobernanza les ayudan a demostrar que esas obligaciones se están cumpliendo. El AI RMF de NIST es voluntario, pero resulta útil en las finanzas porque organiza el trabajo en Gobernar, Mapear, Medir y Gestionar. Esa estructura encaja bien con lo que las organizaciones financieras ya necesitan para la garantía y el escrutinio.
En la práctica, las evidencias útiles rara vez son llamativas. Incluyen inventarios de modelos, clasificación de casos de uso, registros de linaje de datos, aprobaciones de desarrollo, expedientes de validación, paquetes de pruebas, umbrales de monitorización, registros de anulaciones, informes de incidentes, documentos del consejo y comités, plantillas de avisos a clientes y diligencia debida sobre terceros. Cuando estos registros están interconectados, crean algo importante: un rastro de auditoría que demuestra que la empresa sabía qué hacía el modelo, dónde podía fallar y cómo se controlaba el riesgo.
Ese rastro de evidencias es lo que conecta la gobernanza de la IA con disciplinas adyacentes como la gestión de riesgos, la auditoría y el cumplimiento normativo. También es lo que hace posible la revisión interfuncional. Un modelo puede ser técnicamente sólido y, aun así, no ser apto para un uso regulado si la documentación, la responsabilidad y el proceso de cuestionamiento son débiles.
Ejemplos
Un prestamista estadounidense utiliza un modelo de suscripción basado en aprendizaje automático para aprobar o rechazar préstamos personales sin garantía. El modelo puede ser sofisticado, pero la carga legal sigue siendo familiar. Si la empresa deniega una solicitud o adopta otra medida crediticia adversa, debe proporcionar una razón específica y precisa. El CFPB ha declarado que un prestamista no puede invocar la opacidad como defensa. En la práctica, esto significa que la explicabilidad y el diseño de los avisos pasan a formar parte de las operaciones de crédito, no solo del desarrollo del modelo.
Un banco europeo desea introducir aprendizaje automático en la modelización del riesgo de crédito basada en calificaciones internas para el capital regulatorio. El informe de seguimiento de la EBA muestra que las empresas utilizan el ML de forma selectiva, principalmente en la estimación de la probabilidad de incumplimiento durante la diferenciación del riesgo, y que los puntos de presión supervisora incluyen la explicabilidad, la trazabilidad, el sobreajuste, la validación y la gobernanza de los cambios en el modelo. El proyecto no es, por tanto, solo un ejercicio de modelización. Se convierte en un ejercicio de gobernanza prudencial con exigencias de documentación, cuestionamiento y aprobación.
Una empresa de negociación del Reino Unido despliega herramientas de negociación algorítmica mejoradas con IA o herramientas de vigilancia. Los supervisores del Reino Unido remiten a las empresas a los controles de negociación algorítmica existentes, incluidos la gobernanza, las pruebas previas al despliegue, la responsabilidad de la alta dirección y los mecanismos prácticos de parada. La pregunta regulatoria es menos "¿es esto IA?" y más "¿puede la empresa controlarlo de forma segura en producción sin dañar la integridad del mercado ni amplificar la inestabilidad?"
Malentendidos frecuentes
Mito: la IA en las finanzas solo está regulada por las nuevas leyes de IA.
Realidad: la mayoría de las obligaciones siguen derivando de la regulación financiera existente, y la legislación específica sobre IA actúa como una capa adicional en algunos ámbitos.
Mito: solo importa la IA orientada al cliente.
Realidad: los modelos internos de capital, riesgo, fraude, vigilancia e informes pueden recibir la misma atención supervisora.
Mito: si el modelo proviene de un proveedor, este asume la carga del cumplimiento normativo.
Realidad: las empresas reguladas suelen mantener la responsabilidad sobre las pruebas, la validación, el monitoreo, la gestión de incidentes y la idoneidad continuada para el uso previsto.
Mito: solo el aprendizaje automático necesita gobernanza.
Realidad: los supervisores también se preocupan por los métodos complejos basados en reglas y las herramientas de puntuación cuando influyen de forma material en decisiones reguladas.
Mito: el EU AI Act convierte toda la IA de los servicios financieros en de alto riesgo.
Realidad: la categoría de alto riesgo es específica del caso de uso. La evaluación de la solvencia de personas físicas es un ejemplo claro, pero muchas herramientas de pago y de riesgo interno no se clasifican automáticamente en esa categoría.
Riesgos y límites
La regulación de la IA en las finanzas tiene límites. No proporciona un manual de diseño completo para cada modelo, ni elimina las decisiones de juicio sobre proporcionalidad, materialidad o evidencia aceptable. Mucho depende todavía del caso de uso, la jurisdicción, si el sistema se desarrolla internamente o se adquiere a un proveedor, y si el modelo afecta a clientes, mercados o capital prudencial.
Algunas posiciones jurídicas también siguen evolucionando. En la UE, el calendario de implementación para los sistemas de alto riesgo cambió tras el acuerdo político de mayo de 2026 sobre simplificación, por lo que las empresas deben verificar las fechas más recientes específicas de cada categoría en lugar de basarse en resúmenes anteriores. En la banca estadounidense, la guía interagencial de riesgo de modelos de abril de 2026 cubre directamente los modelos de IA tradicional y no generativa, pero no la IA generativa o agéntica como tal, aunque las empresas siguen necesitando controles de gobernanza más amplios para esas herramientas. Y no todos los controles importantes de IA se encuadran en una categoría de ley de IA de alto riesgo; muchas herramientas de pago, fraude y riesgo interno siguen gobernadas principalmente por la legislación financiera ordinaria y la supervisión.
Este tema también se aplica erróneamente con frecuencia al tratar la regulación como una lista de verificación técnica. No lo es. La cuestión del control es tan organizativa como técnica: quién es el responsable del modelo, quién puede cuestionarlo, qué evidencias existen y qué ocurre cuando el rendimiento o la legalidad se deterioran.
Qué hacer a continuación
Comience por elaborar un inventario unificado de todos los casos de uso de IA o basados en modelos en crédito, pagos, negociación y riesgo. Etiquete cada caso de uso por actividad regulada, impacto en el cliente, materialidad prudencial, jurisdicción, si se adquiere o se desarrolla internamente, y si podría encuadrarse en una categoría de alto riesgo de la UE.
A continuación, alinee la gobernanza con ese mapa. Designe un responsable de alto nivel, establezca niveles de clasificación de modelos, exija validación o cuestionamiento independiente donde sea material, revise los avisos a clientes en el crédito y asegúrese de que los contratos con proveedores permitan el acceso a auditorías, pruebas, notificación de incidentes y visibilidad sobre los cambios en los modelos.
Por último, prepare las evidencias ahora, no cuando comience la aplicación de la normativa. Los documentos de comités, los expedientes de validación, los registros de linaje de datos, los umbrales de monitorización, los registros de excepciones, los planes de remediación y la diligencia debida sobre proveedores de servicios son lo que hace que la gobernanza de la IA sea defendible. Los reguladores suelen pedir pruebas de control, no declaraciones de intenciones.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿La regulación de la IA en los servicios financieros trata principalmente del EU AI Act?
No. El AI Act importa, especialmente para algunos usos de crédito al consumo en la UE, pero la mayoría de los controles cotidianos siguen derivando de la legislación sectorial, como la gobernanza de modelos, la protección del consumidor, la integridad del mercado y la resiliencia.
¿Todo sistema de IA financiero se considera de alto riesgo en la UE?
No. La categoría es específica del caso de uso. La evaluación de la solvencia de personas físicas es un ejemplo claro, pero muchos usos de fraude, pagos y riesgo interno no se clasifican automáticamente de esa manera.
¿Puede un banco basarse en la documentación de un proveedor y dar el trabajo por concluido?
No. Las empresas financieras suelen seguir siendo responsables de las pruebas, la validación, el monitoreo, la gestión de incidentes y la decisión de continuar utilizando la herramienta.
Si un modelo predice bien, ¿podemos aceptar una explicabilidad débil?
No cuando la ley exige razones, cuestionamiento o comprensión supervisora. En las decisiones de crédito en particular, las empresas pueden seguir necesitando razones específicas para las acciones adversas y un registro de cómo se alcanzaron esas razones.
¿Esto solo es relevante para la IA orientada al cliente?
No. Las calificaciones internas, las pruebas de estrés, el monitoreo del fraude, la vigilancia de operaciones y las herramientas de ejecución pueden encuadrarse dentro de la supervisión financiera.
¿Están los reguladores del Reino Unido esperando un reglamento de IA específico para las finanzas?
Su orientación actual consiste principalmente en aclarar y aplicar el marco existente, utilizando orientaciones adicionales cuando sea necesario, en lugar de sustituir toda la arquitectura normativa financiera.
¿Qué deben seguir ahora las empresas con presencia en la UE?
Deben seguir el calendario de implementación vigente, clasificar los casos de uso del Anexo III y preparar con antelación la documentación, la supervisión y el monitoreo. Según el material actual de la Comisión, la alfabetización en IA es aplicable desde el 2 de febrero de 2025, la gobernanza de GPAI desde el 2 de agosto de 2025, y determinadas áreas de alto riesgo están previstas a partir del 2 de diciembre de 2027.
¿Las normas como el NIST AI RMF sustituyen al cumplimiento legal?
No. Son herramientas de gobernanza voluntarias. Su valor radica en que ayudan a las empresas a estructurar evidencias, roles, pruebas y monitoreo de una manera que respalda el cumplimiento legal y supervisor.