Gobernanza de IA en banca: qué exige el AI Act y cómo encaja con DORA

Actualizado el 11 de octubre de 2026

La banca es, probablemente, el sector donde la inteligencia artificial lleva más tiempo tomando decisiones sobre personas. Los modelos de scoring deciden a quién se concede un préstamo y a qué precio; los motores antifraude bloquean operaciones; los asistentes conversacionales atienden a millones de clientes. Y es también el sector con más normas superpuestas: EU AI Act, DORA, la normativa prudencial y las directrices de la Autoridad Bancaria Europea.

La buena noticia es que un banco no parte de cero: ya tiene marcos de gobierno interno, gestión de riesgos y validación de modelos. El AI Act se apoya en ellos de forma expresa. La mala es que no los sustituye: añade obligaciones propias —sobre todo en derechos fundamentales y supervisión humana— que la gobernanza bancaria tradicional no cubre.

Este artículo explica qué sistemas de IA de un banco son de alto riesgo, qué obligaciones tienen, quién los supervisará y cómo encajar todo en un único modelo de gobernanza. Es parte de nuestra guía de gobernanza de IA.

Qué IA de un banco es de alto riesgo (y cuál no)

El anexo III del Reglamento (UE) 2024/1689, en su punto 5 («acceso a servicios privados esenciales»), clasifica como alto riesgo dos usos típicos del sector:

• Letra b): los sistemas destinados a evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los utilizados para detectar fraudes financieros.
• Letra c): los sistemas para la evaluación de riesgos y la fijación de precios de seguros de vida y de salud de personas físicas, relevantes para la bancaseguros.

De ahí se deducen tres conclusiones prácticas:

1. El scoring de particulares es alto riesgo; el de empresas, en principio, no, porque la norma habla de «personas físicas».
2. La detección de fraude está excluida expresamente de la letra b). Eso no la deja fuera de toda regulación —sigue sujeta a DORA, al RGPD y a la normativa de servicios de pago—, pero no le aplican las obligaciones de alto riesgo por ese punto.
3. Los asistentes conversacionales no son de alto riesgo por sí mismos, pero sí tienen obligaciones de transparencia desde el 2 de agosto de 2026 (artículo 50): el cliente debe saber que habla con una IA.

Proveedor o responsable del despliegue: depende de quién construye el modelo

El AI Act distingue dos papeles, y un banco puede tener los dos a la vez:

• Si el banco desarrolla su propio modelo de scoring y lo pone en servicio, es proveedor. Asume el grueso de las obligaciones: gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, precisión y solidez, sistema de gestión de la calidad y evaluación de conformidad.
• Si compra o licencia el modelo a un tercero y lo usa, es responsable del despliegue. Sus obligaciones son menores pero muy concretas (artículo 26): usarlo según las instrucciones, asignar la supervisión humana a personas con competencia y autoridad, vigilar su funcionamiento, conservar los registros y, en este caso, hacer una evaluación de impacto en los derechos fundamentales.

Lo que el AI Act aprovecha de la gobernanza bancaria

El legislador europeo sabía que los bancos ya están muy regulados, y lo dijo en el texto. Si la entidad está sujeta a requisitos de gobernanza interna por el Derecho de la Unión en materia de servicios financieros:

Obligación del AI Act	Cómo se cumple en una entidad financiera
Sistema de gestión de la calidad del proveedor (art. 17)	Se considera cumplido con las normas de gobernanza interna del sector, salvo la gestión de riesgos, la vigilancia poscomercialización y la notificación de incidentes graves (letras g, h e i), que hay que cubrir expresamente (art. 17.4)
Conservación de la documentación del proveedor (art. 18)	Se conserva como parte de la documentación exigida por la normativa financiera (art. 18.3)
Registros del proveedor y del responsable del despliegue (arts. 19 y 26.6)	Se integran en la documentación que ya exige la normativa financiera
Vigilancia del funcionamiento por el responsable del despliegue (art. 26.5)	Se considera cumplida respetando las normas de gobernanza interna del sector

En otras palabras: el AI Act no obliga a un banco a construir una estructura paralela. Le obliga a extender la que tiene para cubrir lo que aún no cubre.

Lo que la gobernanza bancaria no cubre: derechos fundamentales

Aquí está la novedad real. El artículo 27 obliga a los responsables del despliegue de sistemas del anexo III, punto 5, letras b) y c) —es decir, scoring crediticio y tarificación de seguros de vida y salud— a realizar una evaluación de impacto en los derechos fundamentales antes de usarlos. Debe describir, entre otros puntos:

• los procesos en que se usará el sistema y con qué frecuencia;
• las categorías de personas y colectivos que pueden verse afectados;
• los riesgos específicos de perjuicio para ellos;
• las medidas de supervisión humana;
• y las medidas previstas si los riesgos se materializan, incluidos los mecanismos internos de reclamación.

La validación de modelos tradicional mide si el modelo predice bien. La evaluación del artículo 27 pregunta otra cosa: a quién puede perjudicar y cómo se le protege. Son ejercicios distintos, y la segunda no suele estar en el ciclo de vida actual de los modelos de riesgo.

Quién supervisará la IA de tu banco

El AI Act lo resuelve en su artículo 74.6: para los sistemas de alto riesgo usados por entidades financieras reguladas, la autoridad de vigilancia del mercado es la autoridad de supervisión financiera de esas entidades, en la medida en que el uso del sistema esté directamente relacionado con la prestación de los servicios financieros.

En España, el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial —publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026— concretaba ese reparto: Banco de España y CNMV para los sistemas de evaluación de solvencia y calificación crediticia, y la Dirección General de Seguros y Fondos de Pensiones para los de seguros de vida y salud. La AESIA quedaba como autoridad general y punto de contacto único. Con la disolución de las Cortes el 6 de octubre de 2026, esa ley queda pendiente de la próxima legislatura; lo que no cambia es el artículo 74.6, que es Derecho europeo directamente aplicable.

Conclusión práctica: tu supervisor de IA será, muy probablemente, el mismo que ya te supervisa, con el mismo nivel de exigencia documental.

El encaje con DORA

Un modelo de scoring es, a la vez, sistema de alto riesgo para el AI Act y servicio de TIC para DORA. Las dos normas miran cosas distintas del mismo sistema: el AI Act, los derechos de las personas; DORA, la resiliencia operativa de la entidad. Lo explicamos en detalle en DORA e inteligencia artificial.

En la práctica, el modelo de gobernanza debe tratar cada sistema de IA crítico desde los dos ángulos a la vez: inventario único, un único responsable, gestión de proveedores que cumpla el régimen de terceros de DORA y la diligencia que exige el AI Act, y una única gestión de incidentes que sepa cuándo un fallo del modelo es incidente TIC grave, incidente grave del AI Act, o ambos.

Lo que dice la Autoridad Bancaria Europea

En noviembre de 2025, la Autoridad Bancaria Europea (ABE) publicó un análisis de las implicaciones del AI Act para el sector bancario y de pagos, en el que contrastó sus obligaciones con la normativa prudencial, las directrices de gobierno interno y de concesión de préstamos, y DORA. Sus conclusiones:

• No hay contradicciones significativas entre el AI Act y la normativa bancaria y de pagos: es complementario.
• La ABE no ve necesario, por ahora, publicar directrices nuevas ni revisar las existentes.
• Integrar ambos marcos exigirá esfuerzo a las entidades.
• Su trabajo en 2026 y 2027 se centra en la cooperación supervisora entre supervisores financieros y autoridades de vigilancia del mercado.

Qué implica según el tamaño de tu entidad

• Entidad pequeña o establecimiento financiero de crédito: lo más probable es que seas responsable del despliegue de un scoring de un tercero. Prioridades: exigir al proveedor las instrucciones de uso y la documentación, preparar la evaluación del artículo 27 y designar quién supervisa.
• Entidad mediana: revisa los modelos que has desarrollado internamente: puedes ser proveedor sin saberlo, con todas sus obligaciones. Y cubre las tres piezas del artículo 17.4 que la gobernanza bancaria no da por hechas.
• Gran entidad: el reto es el inventario completo —incluidos los modelos embebidos en plataformas de terceros— y un modelo de gobernanza único que responda a la vez ante el supervisor prudencial, el de IA y el de DORA.

El reto de fondo: demostrar, no estimar

Un supervisor financiero no se conforma con que el banco afirme que su modelo trata a todos los solicitantes con justicia y que la supervisión humana funciona. Pide evidencia. Y la evidencia habitual —validación por muestras, pruebas retrospectivas— entrega por naturaleza una estimación del comportamiento del modelo.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables —del AI Act, de DORA y de su propia política de riesgos— en una prueba demostrable, reproducible y auditable, no en una estimación probabilística. La prueba, no la estimación.

---

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, artículos 17, 18, 19, 26, 27, 50 y 74, y anexo III, punto 5; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»); Reglamento (UE) 2022/2554 (DORA); Autoridad Bancaria Europea, «AI Act implications for the EU banking sector», 21 de noviembre de 2025; Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (BOCG de 12 de junio de 2026); Real Decreto 806/2026, de disolución de las Cortes. Verificado el 11 de octubre de 2026.