Los modelos de crédito y evaluación de riesgos siguen estando sujetos a la Ley de IA hoy en día
Un acuerdo político que aplaza las obligaciones de alto riesgo de la Ley de IA de la UE hasta diciembre de 2027 ha llevado a muchas instituciones financieras a considerar toda la regulación como «un problema para el año que viene». Esa interpretación es incorrecta, y lo es de una manera que expone realmente a las instituciones que ya usan IA para decisiones de crédito, detección de fraude y evaluación de riesgos. El aplazamiento cubre un capítulo específico de la Ley. Varias otras obligaciones nunca fueron afectadas por este aplazamiento, y algunas ya están en vigor.
Confundir un retraso dirigido con un indulto general es un error fácil cuando los titulares simplifican «retraso en las normas de la Ley de IA» sin matices. El riesgo práctico es que una institución deje de prepararse por completo, solo para descubrir que las disposiciones que siguen siendo vinculantes, como los deberes de transparencia y las obligaciones para los proveedores de IA de propósito general (cuyos modelos suelen estar detrás de herramientas de puntuación crediticia), nunca formaron parte del aplazamiento. Este artículo explica qué cubre realmente el aplazamiento para las instituciones financieras, qué queda intacto y qué implica eso para el trabajo de gobernanza de IA que ya debería estar en marcha.
Resumen ejecutivo
La enmienda Digital Omnibus a la Ley de IA de la UE aplazó la aplicación de las obligaciones para sistemas de alto riesgo, actualmente hasta diciembre de 2027, debido a la falta de estándares técnicos terminados. Ese aplazamiento es real y específico: aplica al Capítulo III. No afecta las prohibiciones de prácticas prohibidas de la Ley, ni las obligaciones para proveedores de modelos de IA de propósito general, ni los requisitos de transparencia sobre contenido generado por IA y la divulgación de interacción con IA, varios de los cuales ya son obligatorios para instituciones financieras hoy. Para los responsables de riesgos y cumplimiento, la implicación práctica es que la fecha de 2027 no es el plazo correcto si el objetivo es tratar todas las obligaciones de la Ley de IA como pendientes.
Puntos clave
- Solo se aplazaron las obligaciones del Capítulo III para sistemas de alto riesgo, no toda la Ley. La puntuación crediticia es una categoría de alto riesgo del Anexo III, que pasa a diciembre de 2027, mientras que los demás capítulos siguen su calendario original.
- Las obligaciones de transparencia del Artículo 50 no se retrasaron y ya están activas. Divulgar la interacción con IA y etiquetar contenido generado por IA son obligaciones actuales para cualquier IA orientada al cliente, no futuras.
- Las obligaciones para proveedores de modelos de IA de propósito general no fueron afectadas por el aplazamiento. Muchas herramientas de puntuación crediticia y detección de fraude se apoyan en modelos de propósito general, y esas obligaciones subyacentes aplican desde antes de que se propusiera el retraso.
- Las prácticas de IA prohibidas siguen estando vetadas independientemente del calendario de alto riesgo. El aplazamiento afecta cuándo los sistemas de alto riesgo necesitan evaluación de conformidad, no si se permiten prácticas de riesgo inaceptable.
- La infraestructura de gobernanza que se construya ahora para transparencia y documentación servirá para la preparación de alto riesgo más adelante. Esperar hasta la fecha límite de 2027 significa reconstruir la misma capacidad dos veces.
Qué aplazó realmente el Digital Omnibus para la puntuación crediticia y evaluación de riesgos
El mecanismo de aplazamiento se introdujo porque los estándares técnicos y las herramientas de evaluación de conformidad necesarias para poner en práctica las obligaciones de alto riesgo no estaban listos a tiempo, no porque los objetivos de la política hayan cambiado.
Un retraso dirigido al Capítulo III, no un reinicio de la Ley
El aplazamiento aplica a la evaluación de conformidad, documentación técnica y el régimen de cumplimiento completo al que los sistemas de puntuación crediticia y detección de fraude, como categorías del Anexo III, están sujetos. Todo lo que queda fuera de ese capítulo sigue el calendario original de la Ley.
Existen fechas límite precisamente porque los estándares aún están en desarrollo
La nueva fecha funciona como un límite: las obligaciones de alto riesgo aplican una vez que los estándares necesarios estén listos, con diciembre de 2027 como fecha tope. Los reguladores esperan que las instituciones sigan preparándose durante la prórroga.
Qué ya está en vigor para instituciones financieras, haya aplazamiento o no
Varias obligaciones están completamente fuera del Capítulo III y han aplicado según el calendario original.
Las obligaciones para modelos de IA de propósito general son anteriores al aplazamiento
Los proveedores de modelos de IA de propósito general, que sustentan muchas herramientas de puntuación de riesgos y detección de fraude, están sujetos a obligaciones de documentación, transparencia y seguridad desde antes de que se propusiera el Digital Omnibus.
Las obligaciones de transparencia y divulgación ya aplican
Los requisitos de informar a los clientes cuando interactúan con un sistema de IA aplican según el calendario original de la Ley y no fueron modificados por el Omnibus. Una institución que implemente una IA de crédito o fraude orientada al cliente sin atender estos deberes no está en un periodo de gracia.
Por qué tratar el aplazamiento como una pausa sale más caro después
Una institución que detenga todo el trabajo de gobernanza de IA porque «la fecha límite se movió a 2027» está descartando cimientos que facilitarían cumplir con la futura obligación de alto riesgo.
La documentación y los registros que se construyan ahora no son trabajo perdido
La capacidad de registro y control de acceso que los sistemas de alto riesgo necesitarán en el futuro coincide en gran medida con lo que ya exigen las obligaciones de transparencia y para modelos de propósito general.
Construir la gobernanza de IA en torno a lo que realmente aplica hoy
El punto de partida práctico es separar el calendario de obligaciones de la Ley de IA entre lo que ya está vigente y lo que sigue un plazo extendido hasta 2027, priorizando de inmediato el trabajo de gobernanza sobre la primera lista.
Cómo una Data Control Plane respalda las obligaciones de gobernanza de IA ya vigentes
La Data Control Plane de Kiteworks aplica controles de confianza cero a cada acción de cualquier usuario o agente de IA en todos los canales, y registra cada una en un registro de auditoría inalterable y sin limitaciones que se integra directamente con herramientas SIEM. Como el registro es completo y nunca se toma por muestras, las instituciones pueden generar un historial detallado y consultable de acceso a datos relacionados con IA que las obligaciones actuales de transparencia y documentación exigen, y que los requisitos de alto riesgo futuros exigirán con mayor detalle.
Las instituciones que quieran ver cómo la evidencia continua y multicanal respalda sus obligaciones actuales de gobernanza de IA pueden solicitar una demo personalizada.
Preguntas frecuentes
Solo se aplazaron las obligaciones del Capítulo III para sistemas de alto riesgo hasta diciembre de 2027; el aplazamiento no aplica al resto de la Ley.
Sí, los requisitos de transparencia del Artículo 50 para divulgar la interacción con IA y etiquetar contenido generado por IA ya están activos y no se retrasaron.
Sí, estas obligaciones no fueron afectadas por el Digital Omnibus y aplican desde antes de que se propusiera el retraso, impactando a muchas herramientas de puntuación crediticia y detección de fraude.
La documentación y los registros que se construyan ahora para las obligaciones actuales de transparencia coinciden con los requisitos futuros de alto riesgo, así que retrasar el trabajo implica reconstruir las mismas capacidades después.