Gobernanza de la IA en banca y fintech: Armonización de DORA y la Ley de IA de la UE

Las instituciones financieras se enfrentan a un marco regulatorio exigente al implementar inteligencia artificial. En la Unión Europea, las entidades bancarias y de tecnología financiera deben coordinar simultáneamente el Reglamento sobre la Resiliencia Operativa Digital (DORA) y la Ley de Inteligencia Artificial de la UE, junto con las directrices de la EBA sobre gobernanza de TIC.

Armonización entre DORA y la Ley de IA de la UE

En lugar de gestionar DORA y la Ley de IA como silos aislados, las arquitecturas de riesgo deben sincronizar sus áreas operativas comunes:

• Riesgo TIC de terceros: DORA impone estrictos controles contractuales, auditorías de resiliencia y estrategias de salida respecto a proveedores externos críticos. Bajo la Ley de IA, las firmas que integran modelos fundacionales o motores algorítmicos deben exigir a sus proveedores total transparencia técnica conforme al Artículo 25.
• Calificación crediticia algorítmica (Anexo III): Los modelos de IA que evalúan la solvencia de personas físicas o fijan precios de seguros son catalogados como de Alto Riesgo. Requieren validación continua de datos, auditorías de sesgos y salvaguardas claras de explicabilidad.
• Notificación de incidentes operativos: Los canales de alerta deben consolidarse. Las caídas del sistema se notifican según DORA a las autoridades financieras, mientras que fallos algorítmicos que vulneren derechos fundamentales activan las obligaciones del Artículo 73 de la Ley de IA.

Controles esenciales para el sector financiero

1. Explicabilidad y justificación de decisiones adversas: Si un algoritmo deniega un crédito o modifica condiciones de riesgo, el sistema debe emitir explicaciones comprensibles para humanos que cumplan las exigencias de transparencia.
2. Integración en Model Risk Management (MRM): Los protocolos de prueba de estrés, validación retrospectiva y detección de derivas deben extenderse a modelos generativos y no lineales.
3. Evidencias legibles por máquina: La trazabilidad de los conjuntos de datos, configuraciones e informes de validación debe mantenerse en formatos inmutables frente a inspecciones conjuntas de supervisores bancarios y digitales.