AI Act para Fintech: Scoring Crediticio, Fraude y Cumplimiento

Sí. El Anexo III, punto 5(b) del AI Act clasifica expresamente como de alto riesgo los sistemas de IA destinados a evaluar la solvencia de personas físicas o establecer su puntuación crediticia. No importa si la fintech es el proveedor o el deployer: ambos tienen obligaciones. La única exclusión expresa en este punto es la detección de fraude financiero, que no se considera alto riesgo por esta vía.

El Anexo III punto 5(b) excluye expresamente 'los sistemas de IA utilizados con el fin de detectar el fraude financiero'. Esto significa que los sistemas antifraude de pagos, AML y KYC no se consideran de alto riesgo por esta vía. Sin embargo, deben cumplir las obligaciones generales del AI Act (transparencia del Art. 50 si usan chatbots, no incurrir en prácticas prohibidas del Art. 5) y del RGPD.

El FRIA (Fundamental Rights Impact Assessment, Art. 27) es una evaluación obligatoria para deployers de sistemas de alto riesgo del Anexo III. Para fintech, es obligatorio cuando se despliegan sistemas de scoring crediticio (5b) o de seguros de vida y salud (5c). Debe identificar los grupos de personas afectados, los riesgos específicos para sus derechos fundamentales y las medidas de mitigación. Es adicional a la EIPD del RGPD.

Los sistemas de alto riesgo del Anexo III deben cumplir antes del 2 de diciembre de 2027. Las prácticas prohibidas del Art. 5 ya están en vigor desde el 2 de febrero de 2025. Las obligaciones de transparencia del Art. 50 (chatbots, deepfakes) entran en vigor el 2 de agosto de 2026. Conviene iniciar el compliance cuanto antes, especialmente la documentación técnica y el FRIA.

Sí, pero debe designar un representante autorizado en un Estado miembro (Art. 22) antes de comercializar sus sistemas en la UE. El representante actúa ante las autoridades nacionales de supervisión y es responsable del cumplimiento. A2 Estudio Legal ofrece este servicio de representante AI Act para fintech no europeas.

Las sanciones máximas son: hasta 35 millones de € o el 7% de la facturación global anual para prácticas prohibidas (Art. 5); hasta 15 millones de € o el 3% para incumplimiento de obligaciones de sistemas de alto riesgo; hasta 7,5 millones de € o el 1,5% para información incorrecta a autoridades. Para PYMEs y startups, se aplica el importe absoluto inferior. Las multas las impone la autoridad nacional competente (AESIA en España).

Ambas normativas se aplican simultáneamente. El AI Act regula el sistema de IA (el producto), mientras que el RGPD regula el tratamiento de datos personales (los derechos). El TJUE confirmó en el caso Schufa (C-634/21, 2023) que el scoring crediticio constituye una decisión automatizada del Art. 22 RGPD. El cumplimiento del AI Act no exime del RGPD. Ambas normativas exigen evaluaciones (FRIA y EIPD) que pueden integrarse.

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es la autoridad competente en España. A nivel europeo, la Oficina Europea de IA coordina la aplicación entre Estados miembros. La AEPD interviene cuando hay intersección con el RGPD (tratamiento de datos personales). En casos transfronterizos, la cooperación entre autoridades se canaliza a través del CEPD.