¿Qué debe regularse?

Por Rogério Melfi, embajador de IA4FIN.

Existe una tendencia natural ante una tecnología capaz de transformar mercados enteros: crear una regulación específica para ella. Con la inteligencia artificial no ha sido distinto. Debatimos una ley de IA, autoridades competentes, sistemas de alto riesgo, transparencia, explicabilidad y responsabilidades.

Pero ante esto me pregunto: ¿necesitamos regular la inteligencia artificial como una categoría nueva o comprender los riesgos que introduce en una actividad que ya está intensamente regulada?

La diferencia importa porque los entornos muy regulados, como el sistema financiero, ya operan sobre una extensa arquitectura de gestión de riesgos. Las instituciones deben identificar, evaluar, monitorizar y mitigar riesgos de crédito, mercado, liquidez, operación, ciberseguridad, fraude, terceros y muchos otros inherentes a la actividad financiera.

Un modelo utilizado para conceder crédito puede afectar al riesgo crediticio y a la relación con el consumidor. Un fallo en la calidad de los datos puede comprometer decisiones y generar riesgo jurídico o reputacional. Un sistema generativo de atención puede orientar incorrectamente al cliente y transformar un fallo del modelo en un problema institucional. Del mismo modo, una dependencia excesiva de un proveedor puede ampliar el riesgo de terceros.

Esto sugiere que quizá no exista un único “riesgo de IA”. Existen riesgos conocidos que pasan a manifestarse de nuevas formas y a otra escala.

En el Informe de Estabilidad Financiera de noviembre de 2025, el Banco Central presentó una encuesta sobre el uso de inteligencia artificial en el Sistema Financiero Nacional. Entre las 162 instituciones que respondieron, el 71,6% informó que utilizaba soluciones o servicios tecnológicos con modelos de IA desarrollados por proveedores externos. Los casos de uso ya incluían atención, análisis documental, prevención del fraude, monitorización de transacciones, KYC, seguridad y evaluación del riesgo de crédito.

Al mismo tiempo, solo el 42,6% declaró tener procesos, prácticas o procedimientos complementarios destinados específicamente a gestionar los riesgos de las soluciones que emplean inteligencia artificial. El dato muestra una diferencia relevante entre la velocidad de adopción tecnológica y la madurez de su gobernanza.

Aunque todavía no hay una regulación nacional aprobada ni una norma sectorial específica sobre inteligencia artificial, el Banco Central ya sigue su utilización por las instituciones.

Este enfoque parece adecuado para una tecnología que evoluciona más rápido que el proceso regulatorio. El camino pasa por seguir casos de uso, identificar riesgos y evaluar cuáles ya cubren las estructuras existentes y cuáles exigen nuevas obligaciones.

Uno de los puntos más relevantes es la contratación de terceros. Si muchas instituciones utilizan las mismas soluciones de IA y un proveedor afronta un problema importante, el impacto puede alcanzar a varias simultáneamente. Lo que al principio parece una decisión tecnológica pasa a ser una cuestión de concentración y, potencialmente, de estabilidad financiera.

Para una institución aislada, contratar a un gran proveedor de IA puede tener sentido. Es más rápido y barato que desarrollar internamente determinadas capacidades. El problema surge cuando decenas de instituciones llegan a la misma conclusión y pasan a depender de los mismos modelos, proveedores o infraestructuras.

En este escenario, un fallo deja de afectar solo a quien contrató una solución. Una vulnerabilidad compartida, una indisponibilidad o un comportamiento inesperado de un modelo muy utilizado puede afectar a distintos participantes al mismo tiempo. La inteligencia artificial entra entonces en un debate que el mercado financiero conoce bien: la concentración de riesgos.

Esto también muestra por qué sería un error tratar igual todos los usos de IA. Una herramienta interna para resumir documentos no presenta el mismo riesgo que un modelo que participa en decisiones de crédito. Un chatbot de atención no debería necesariamente recibir el mismo tratamiento que un agente autorizado a ejecutar operaciones financieras. Lo que importa es el uso, el grado de autonomía, las personas afectadas y las consecuencias de un eventual fallo.

Determinados usos exigirán obligaciones específicas de seguridad, documentación, transparencia, monitorización o revisión humana. Las decisiones automatizadas capaces de afectar significativamente a los consumidores también merecen un tratamiento compatible con su impacto.

Cuanto mayor sea la autonomía del sistema y la consecuencia de una decisión o un fallo, mayor debe ser la capacidad de la institución para demostrar cómo se gobierna ese sistema.

Esto desplaza parte del debate del algoritmo a la responsabilidad. ¿La institución sabe qué modelos utiliza y para qué? ¿Conoce los datos involucrados? ¿Monitoriza su desempeño? ¿Puede identificar fallos? ¿Tiene procedimientos de contingencia? ¿Sabe qué riesgos transfirió a terceros y cuáles siguen bajo su responsabilidad?

El mercado financiero tiene una ventaja porque no empieza de cero. Bancos, fintechs, cooperativas e instituciones de pago ya conviven con controles internos, auditoría, gestión de riesgos y supervisión. El desafío consiste en incorporar las particularidades de la inteligencia artificial a esa estructura y crear nuevas exigencias donde los riesgos realmente las justifiquen.

Este análisis, sin embargo, no es unánime. La Unión Europea siguió este camino con el Reglamento de IA precisamente porque consideró que los derechos del titular de los datos, la explicabilidad y la no discriminación exigen un mínimo común, independientemente del sector, y que dejar a cada regulador sectorial reinventar esas exigencias crea fragmentación y desigualdad de trato entre un cliente bancario y uno de un seguro de salud, por ejemplo, evaluados por modelos igualmente opacos.

El Congreso sigue intentando completar la pieza que falta: el proyecto de ley 2338/2023, el Marco Legal de la IA, aprobado por el Senado en 2024 y bloqueado en la Cámara de Diputados desde entonces. Se espera que su tramitación avance en los próximos meses. Cuando ocurra, el desafío será encajar esta nueva capa en una estructura de gestión de riesgos que ya existe.

Por tanto, la tecnología puede ser manual, electrónica, digital, interna o de terceros. La responsabilidad por sus efectos sigue siendo de la institución regulada.

📌 Artículo publicado originalmente en IA4FIN