Gobernanza de la IA en la banca de la UE, autoridades que se solapan, expectativas cada vez más prescriptivas

Los bancos europeos se enfrentan al marco de gobernanza de la IA más prescriptivo del mundo. Los bancos de la UE deben satisfacer obligaciones bajo múltiples regímenes que se solapan simultáneamente: el Reglamento de IA de la UE (para la IA como producto regulado); la regulación prudencial y de capital CRR 3/CRD VI; las expectativas de supervisión bancaria del BCE a través del Mecanismo Único de Supervisión (MUS); las directrices de la EBA sobre externalización, gobernanza interna y resiliencia operativa; el DORA (Reglamento de Resiliencia Operativa Digital) para el riesgo de terceros de TIC; el RGPD para el tratamiento de datos personales; y las expectativas de supervisión a nivel nacional de las autoridades competentes. El resultado es un entorno de cumplimiento estratificado en el que la gobernanza de la IA debe diseñarse para satisfacer todos estos regímenes de forma simultánea.

La Guía de Supervisión del BCE sobre Modelos Internos (julio de 2025), un cambio importante

El 25 de julio de 2025, el Banco Central Europeo publicó la última versión de su Guía de Supervisión sobre Modelos Internos. La guía supuso un cambio importante para los bancos de la UE: las expectativas de gestión del riesgo de modelo ahora se extienden a todos los modelos utilizados por la entidad, no solo a los modelos internos regulatorios (Basel IRB). Los modelos de fijación de precios, los modelos de pruebas de resistencia, las simulaciones de ALM y los modelos de IA y ML quedan todos bajo la gestión del riesgo de modelo (MRM). El anterior enfoque de gobernanza de dos niveles, controles estrictos en torno a los modelos regulatorios y controles ad hoc más laxos en torno a todo lo demás, ya no es aceptable de forma explícita.

El capítulo 9 de la guía de 2025 se centra específicamente en los modelos de aprendizaje automático. El BCE acoge favorablemente las técnicas basadas en ML, pero exige que cumplan estándares más altos que los modelos tradicionales: una gobernanza de datos sólida con criterios de calidad claros, incluidos los datos de entrenamiento; comprobaciones adicionales para datos no estructurados o sintéticos con el fin de abordar los valores ausentes y el sesgo; una infraestructura de TI capaz de soportar mayores exigencias computacionales; ajuste de hiperparámetros documentado; seguimiento de la deriva del modelo; y explicabilidad adecuada a la finalidad del modelo. Para muchos bancos de la UE, esto representa una mejora significativa, un notebook ya no es una documentación suficiente, los reguladores esperan procesos de desarrollo de modelos auditables.

Talleres de IA del BCE y observaciones de supervisión (2025)

El BCE llevó a cabo talleres sobre IA con bancos de nueve países europeos a lo largo de 2025, y los resultados se publicaron en noviembre de 2025. Observaciones clave: los bancos están integrando la IA junto con los modelos tradicionales para las decisiones de crédito y la detección de fraude; los bancos esperan que la IA de detección de fraude se clasifique como de bajo riesgo conforme al Reglamento de IA de la UE (una postura que el BCE ha señalado pero no respaldado); ningún banco declaró utilizar IA generativa en la calificación crediticia, citando el tiempo de desarrollo, el coste y los problemas de fiabilidad; los mecanismos de gobernanza se están estableciendo sobre todo integrando la IA en las políticas existentes o creando funciones dedicadas de gobernanza de la IA (comités, unidades de IA); la integración de la gobernanza de datos para la IA está «aún por establecer» de forma efectiva en la mayoría de los casos; los modelos de IA tienden a desarrollarse internamente pero se alojan en proveedores de servicios en la nube.

El BCE ha declarado que su enfoque para 2026 se centrará en las aplicaciones de IA generativa, una evaluación más profunda de las dependencias de terceros y el riesgo de concentración, y el refuerzo del trabajo de resiliencia operativa sobre la base del DORA. Las revisiones focalizadas y las inspecciones in situ realizadas en 2024-2025 indican que el BCE seguirá utilizando las herramientas de supervisión existentes para examinar directamente la gobernanza de la IA.

Aplicación del Reglamento de IA de la UE a los bancos de la UE

Las clasificaciones de alto riesgo del Reglamento de IA de la UE relevantes para los bancos incluyen: la IA utilizada en la evaluación de la solvencia de personas físicas (alto riesgo del anexo III); la IA utilizada en la evaluación de riesgos y la fijación de precios en los seguros de vida y de salud (alto riesgo); los sistemas de IA utilizados como componentes de seguridad en infraestructuras críticas (cuando la infraestructura operada por el banco cumple los requisitos); la IA utilizada en decisiones de empleo; los sistemas de categorización biométrica. Los bancos que desplieguen IA de alto riesgo como proveedores o responsables del despliegue deben cumplir con el marco del Reglamento de IA de la UE, gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, transparencia frente a los usuarios, y la mayoría de las obligaciones del anexo III se aplicarán a partir del 2 de diciembre de 2027 en virtud del acuerdo del Digital Omnibus de 7 de mayo de 2026.

Los bancos que operan internacionalmente se enfrentan a la cuestión de si adoptar un único marco global que satisfaga los requisitos del Reglamento de IA de la UE (más estrictos) o mantener variaciones regionales. La mayoría de los grandes bancos de la UE están adoptando marcos globales que cumplen con los estándares de la UE.

El DORA, la capa de resiliencia operativa para la IA

El Reglamento de Resiliencia Operativa Digital (DORA), aplicable desde el 17 de enero de 2025, impone requisitos de riesgo de terceros de TIC a las entidades financieras de la UE. Los proveedores de IA se consideran proveedores terceros de TIC en virtud del DORA. Los bancos deben: mantener un registro de los acuerdos con terceros de TIC (incluidos los proveedores de IA); llevar a cabo evaluaciones de riesgo antes de suscribir acuerdos con terceros de TIC; garantizar que las disposiciones contractuales cumplan los requisitos específicos del DORA (descripciones del servicio, ubicaciones, obligaciones de seguridad, derechos de auditoría, estrategias de salida); mantener una gestión de incidentes relacionados con las TIC con notificación a las autoridades competentes; llevar a cabo ejercicios de continuidad de negocio y recuperación ante desastres en materia de TIC.

La Guía del BCE sobre la externalización de servicios en la nube a proveedores de servicios en la nube (publicada en julio de 2025) explica cómo espera el BCE que los bancos cumplan con el DORA en contextos de nube, incluso para los servicios de IA que normalmente se prestan a través de plataformas en la nube. Las buenas prácticas incluyen reducir los riesgos de dependencia de un único proveedor, disponer de opciones de contingencia probadas para los servicios en la nube que respalden funciones críticas o importantes, y garantizar que las condiciones contractuales respalden una salida y transición conformes con el DORA.

Directrices de la EBA, gobernanza y externalización

Las directrices de la EBA sobre gobernanza interna (EBA/GL/2017/11), sobre acuerdos de externalización (EBA/GL/2019/02) y sobre el SREP (EBA/GL/2022/03) se aplican todas al despliegue de IA en los bancos de la UE. El manual de supervisión de la EBA sobre la validación de los sistemas de calificación en el marco del enfoque IRB (EBA/REP/2023/29) se aplica cuando se utilizan técnicas de ML en la modelización del riesgo de crédito. El documento ocasional n.º 24 del Comité de Supervisión Bancaria de Basilea (septiembre de 2025), «How supervisors can address explainability» (Cómo pueden abordar los supervisores la explicabilidad), ofrece una perspectiva de supervisión internacional adicional directamente relevante para los bancos de la UE.

Retos reales para los programas de gobernanza de la IA en los bancos de la UE

Inventario de modelos a gran escala. Los grandes bancos de la UE tienen miles de modelos, muchos de ellos integrados en software de terceros. Construir y mantener un inventario completo que catalogue la finalidad, el tipo, el nivel de MRM y la clasificación conforme al Reglamento de IA de cada modelo es en sí mismo una tarea de gran envergadura.

Riesgo de concentración en los modelos fundacionales. La mayor parte de la capacidad de IA empresarial depende de un pequeño número de proveedores de modelos fundacionales. Los bancos de la UE se enfrentan a un riesgo de concentración que la diversificación tradicional de proveedores no puede abordar fácilmente, no existen muchos proveedores alternativos de la clase GPT-4 o de la clase Claude. El BCE ha señalado esta concentración de forma explícita.

Explicabilidad frente a rendimiento. Los modelos de ML que superan a los enfoques tradicionales a menudo lo consiguen captando patrones complejos que son difíciles de explicar. La expectativa del BCE de una explicabilidad proporcional a la finalidad del modelo exige que los bancos equilibren las ganancias de rendimiento con las limitaciones de explicabilidad, en particular en las decisiones de crédito en las que se requieren explicaciones sobre las medidas adversas.

Linaje de los datos de entrenamiento y sesgo. Las expectativas de la EBA en materia de gobernanza de datos se extienden a los datos de entrenamiento de la IA. Establecer el linaje de los datos, las pruebas de sesgo y el seguimiento continuo de la equidad a nivel del ciclo de vida del modelo requiere capacidades que la mayoría de los bancos no han desarrollado históricamente.

Qué deberían incluir los programas de gobernanza de la IA de los bancos de la UE a finales de 2026

Inventario completo de modelos que cubra todos los modelos, incluidos los de IA/ML, con el nivel de MRM y la clasificación conforme al Reglamento de IA. Marco de MRM actualizado y coherente con la Guía de Supervisión del BCE sobre Modelos Internos (julio de 2025), incluidos los requisitos específicos de ML del capítulo 9. Estrategia de IA documentada, alineada con el apetito de riesgo, aprobada por el consejo y revisada anualmente. Contratos con proveedores de IA actualizados conforme a los estándares del DORA, incluidos los derechos de auditoría, la notificación de incidentes y la asistencia en la salida. Evaluación de carencias respecto al Reglamento de IA de la UE con un plan de implementación para las obligaciones de alto riesgo aplicables a partir del 2 de diciembre de 2027. Acuerdos con proveedores de servicios en la nube alineados con la Guía del BCE sobre la externalización de servicios en la nube (julio de 2025). Documentación de explicabilidad para la IA utilizada en decisiones que afectan a los clientes, suficiente tanto para el examen regulatorio como para fines de notificación de medidas adversas. Seguimiento de sesgo y equidad con protocolos de prueba documentados. Informes de riesgo de IA a los comités de riesgo y al consejo.

Más información: texto completo del Reglamento de IA de la UE

Lecturas relacionadas

Más información: texto completo del Reglamento de IA de la UE