Seguros — Cumplimiento del Reglamento UE de IA

Obligaciones del Reglamento UE de IA para la IA en seguros: modelos actuariales, suscripción, evaluación de siniestros y tarifación de IA para personas físicas. Incluye la categoría 5(b) del Anexo III y la interacción con Solvencia II.

Seguros y el Reglamento UE de IA — El reto actuarial

El Reglamento UE de IA (Reglamento (UE) 2024/1689) impone su mayor carga de cumplimiento sobre los sistemas de IA que afectan a la capacidad de las personas físicas para acceder a servicios esenciales y productos financieros. El seguro ocupa el centro de esta preocupación. Los sistemas de IA que determinan si una persona física puede obtener un seguro de automóvil, salud, vida o propiedad —y a qué coste— son, en muchas configuraciones, sistemas de IA de alto riesgo conforme al Anexo III, punto 5(b) del Reglamento.

El reto definitorio para el sector asegurador es el actuarial. Durante más de un siglo, la tarifación de seguros se ha basado en la modelización estadística del riesgo entre cohortes de población. El Reglamento UE de IA no prohíbe la diferenciación actuarial, pero impone obligaciones sustantivas a los sistemas de IA a través de los cuales se ejecuta dicha diferenciación cuando estos sistemas operan a nivel de la persona física individual. El cambio de los modelos de agrupación tradicional a la puntuación de riesgo individual basada en IA —habilitada por la telemática, los flujos de datos de salud y la analítica del comportamiento— es precisamente lo que activa el régimen de alto riesgo del Reglamento.

Las aseguradoras que operan en la UE deben llevar a cabo un ejercicio sistemático de clasificación: ¿cuáles de sus sistemas de IA producen resultados individualizados que determinan o influyen significativamente en las decisiones de cobertura para personas físicas? Dicho ejercicio de clasificación no es meramente una formalidad de cumplimiento. Su resultado determina si la aseguradora, como responsable de despliegue conforme al Art. 26 (o proveedor conforme al Art. 16), asume obligaciones relativas a la gobernanza de datos, la documentación técnica, la supervisión humana, la evaluación de conformidad y el registro en la base de datos de la UE para IA de alto riesgo.

La aplicación del Reglamento al sector asegurador se ve adicionalmente complicada por la elevada densidad regulatoria existente. La Directiva Solvencia II (2009/138/CE), la Directiva de Distribución de Seguros (IDD) (UE) 2016/97, el GDPR y las directrices de IA basadas en principios de EIOPA (2021) imponen cada una requisitos sobre la modelización actuarial, el trato al cliente y el uso de datos. Estos marcos se solapan con las obligaciones del Reglamento UE de IA, pero no las sustituyen. Los programas de cumplimiento deben abordar todos ellos simultáneamente.

Casos de uso de IA de alto riesgo en seguros

Modelos actuariales de tarifación para personas físicas

El Anexo III, punto 5(b) del Reglamento UE de IA clasifica como de alto riesgo cualquier sistema de IA utilizado para evaluar la solvencia crediticia de personas físicas o para clasificar a personas físicas en función de su perfil de riesgo a efectos de acceso a servicios de seguros. Esto comprende los sistemas de IA actuarial que:

• Generan una puntuación de riesgo individual utilizada para fijar la prima de un seguro de automóvil a un tomador nominado
• Clasifican el estado de salud o el riesgo de mortalidad de una persona física para determinar la elegibilidad de cobertura de seguro de vida o la prima aplicable
• Producen una decisión de tarifación de seguro de propiedad basada en factores de riesgo evaluados por IA y atribuibles a una persona física específica

El umbral crítico es el impacto sobre la persona física individual. La IA actuarial aplicada a personas jurídicas —responsabilidad civil empresarial, carga comercial, propiedad industrial— no activa el Anexo III cat. 5(b) salvo que las personas físicas se vean afectadas de manera materialmente equivalente. Las aseguradoras que operen tanto en ramos personales como comerciales deben clasificar cada sistema de IA en función de la población sobre la que actúa.

Telemática en seguros de automóvil y sistemas de pago por uso

Los sistemas de tarifación de seguros basados en telemática que recogen datos de comportamiento al volante —velocidad, aceleración, patrones de frenado, horarios de uso— y utilizan modelos de IA para generar una prima individual para una persona física nominada son el caso de uso paradigmático de IA de alto riesgo en seguros. Estos sistemas reúnen todos los elementos del Anexo III cat. 5(b): evalúan a personas físicas individuales, producen resultados que determinan el acceso al seguro y su tarifación, y su individualización basada en IA es precisamente lo que los distingue de la agrupación actuarial tradicional.

Los proveedores de motores de puntuación telemática —tanto si son desarrollados internamente como si se licencian a un proveedor externo— deben cumplir el Art. 9 (gestión de riesgos), el Art. 10 (gobernanza de datos para conjuntos de datos de entrenamiento y validación), el Art. 11 en relación con el Anexo IV (documentación técnica), el Art. 12 (registro), el Art. 13 (transparencia), el Art. 14 (supervisión humana) y el Art. 15 (exactitud, robustez, ciberseguridad).

IA de suscripción en seguros de vida y salud

Los sistemas de IA utilizados en la suscripción de seguros de vida para evaluar el riesgo de longevidad o mortalidad de solicitantes individuales —determinando si se ofrece cobertura y a qué prima— son de alto riesgo conforme al Anexo III cat. 5(b) cuando producen evaluaciones individualizadas para personas físicas. Esto incluye los sistemas de IA que procesan respuestas a cuestionarios de salud, historiales médicos (cuando se accede a ellos de forma lícita) o flujos de datos de dispositivos vestibles para generar una puntuación de riesgo que influye en las decisiones de suscripción.

La IA en seguros de salud que segmenta a los solicitantes individuales por perfil de riesgo sanitario a efectos de tarifación o determinación de elegibilidad está sujeta a la misma clasificación. Las aseguradoras deben prestar especial atención a la intersección del Art. 9 del GDPR (datos de salud como categoría especial de datos) y los requisitos de gobernanza de datos del Art. 10 del Reglamento de IA: los conjuntos de datos de entrenamiento que contengan datos de salud requieren una base jurídica explícita conforme al Art. 9(2) del GDPR, y dicha base debe quedar documentada en la documentación técnica exigida por el Anexo IV.

IA de evaluación y liquidación de siniestros

La clasificación de la IA de siniestros depende de su función en el flujo de trabajo de decisión sobre siniestros. Deben distinguirse dos escenarios:

• IA que influye de forma significativa en el resultado de un siniestro para una persona física: cuando un sistema de IA evalúa un siniestro y su resultado desemboca directamente en la reducción, el rechazo o el pago condicional de una prestación de seguro a una persona física —aunque nominalmente sea revisado por una persona—, el sistema es probablemente de alto riesgo conforme al Anexo III cat. 5(b), dado que efectivamente determina el acceso de la persona física a las prestaciones del seguro.
• IA que marca siniestros para investigación humana: cuando el resultado de la IA es uno de varios factores considerados por un gestor de siniestros que adopta una decisión sustantiva independiente y tiene la autoridad y la información para apartarse de la evaluación de la IA, el sistema puede no ser de alto riesgo. Esta distinción debe estar documentada y ser operativamente genuina, no meramente nominal.

Detección de fraude en seguros

Los sistemas de IA utilizados para detectar posibles siniestros fraudulentos ocupan una importante zona fronteriza. Cuando la IA de detección de fraude desencadena una acción adversa automática —suspensión del pago, cancelación de la póliza— que afecta a una persona física sin una revisión humana sustantiva, es probable que sea de alto riesgo. Cuando la IA únicamente genera una alerta de riesgo de fraude que posteriormente investiga un gestor especializado con plena autoridad decisoria, puede no serlo. Las aseguradoras deben documentar en detalle el flujo de trabajo de la IA de fraude y evaluar si la supervisión humana operativa es sustantiva o meramente nominal.

Proveedor frente a responsable de despliegue en seguros

Distinción de funciones

El Reglamento UE de IA impone conjuntos de obligaciones diferentes en función de si una organización es proveedor (desarrolla y comercializa la IA) o responsable de despliegue (utiliza un sistema de IA de un tercero en un contexto profesional). Para las aseguradoras, esta distinción tiene una relevancia comercial significativa:

• Una aseguradora que desarrolla su propio motor de puntuación telemática o IA de tarifación actuarial es proveedora conforme al Art. 3(3) y asume las obligaciones íntegras de proveedor del Art. 16: sistema de gestión de calidad, documentación técnica, Declaración UE de Conformidad, marcado CE, registro en la base de datos de la UE y supervisión poscomercialización.
• Una aseguradora que licencia software de IA actuarial de un proveedor externo es responsable de despliegue conforme al Art. 3(4) y asume las obligaciones de responsable de despliegue del Art. 26: implementación conforme a las instrucciones del proveedor, supervisión humana, mantenimiento de registros e información de incidentes.
• Una aseguradora que modifica un sistema de IA licenciado de manera que altere su finalidad prevista —por ejemplo, aplicando un modelo telemático a una población de tomadores fuera del alcance validado— puede ser reclasificada como proveedora conforme al Art. 25(1) con las obligaciones íntegras de proveedor.

Diligencia debida del responsable de despliegue en IA actuarial de proveedores externos

Las aseguradoras que desplieguen sistemas de IA actuarial de terceros deben ejercer una diligencia debida estructurada antes y después del despliegue:

Predespliegue: Verificar que el sistema de IA esté registrado en la base de datos de la UE para IA de alto riesgo conforme al Art. 49, que lleve el marcado CE y vaya acompañado de una Declaración UE de Conformidad. Solicitar y revisar el resumen de documentación técnica, incluidas las métricas de exactitud y sesgo, el alcance del caso de uso validado y la declaración de finalidad prevista.

Protecciones contractuales: Los contratos de adquisición con proveedores de IA deben especificar: la obligación del proveedor de notificar a la aseguradora las actualizaciones significativas o las reevaluaciones; la obligación del proveedor de facilitar datos actualizados de supervisión poscomercialización a requerimiento; y los límites del alcance de despliegue permitido —con un mecanismo claro para que la aseguradora solicite una evaluación de ampliación de alcance en lugar de proceder unilateralmente—.

Supervisión continua: Conforme al Art. 26(5), los responsables de despliegue deben supervisar el rendimiento de los sistemas de IA de alto riesgo en su contexto operativo. Para la IA actuarial, esto implica hacer seguimiento del rendimiento del modelo frente a los resultados reales de siniestros, supervisar el desplazamiento distribucional entre la población de entrenamiento y la población viva de tomadores, y escalar las desviaciones materiales al proveedor para su investigación.

Interacción con Solvencia II, IDD y GDPR

Solvencia II — Sistema de gobernanza y ORSA

Los requisitos del Pilar II de la Directiva Solvencia II establecen un Sistema de Gobernanza sobre las funciones actuariales y de gestión de riesgos. La Evaluación Propia del Riesgo y la Solvencia (ORSA) exige una identificación documentada de riesgos, pruebas de resistencia y gobernanza del modelo interno. Estos requisitos coinciden sustancialmente con el sistema de gestión de riesgos del Art. 9 del Reglamento UE de IA y los componentes de validación de modelos de la documentación técnica del Anexo IV.

Las aseguradoras deben llevar a cabo un análisis de brechas estructurado para identificar qué artefactos de gobernanza de Solvencia II pueden aprovecharse para el cumplimiento del Reglamento de IA y qué brechas subsisten. Las brechas más frecuentes suelen incluir: las pruebas de sesgo y la evaluación de equidad específicas de la IA (no contempladas en Solvencia II); la documentación de conjuntos de datos del Art. 10 para datos de entrenamiento y validación (que va más allá del alcance de validación de modelos de Solvencia II); el registro automático de la operación del sistema de IA conforme al Art. 12; y el diseño del mecanismo de supervisión humana conforme al Art. 14. Cuando un modelo interno aprobado conforme a Solvencia II incorpore componentes de IA, el marco de gobernanza de dicho modelo debe ampliarse para satisfacer las obligaciones del Reglamento de IA antes de que el sistema pueda ser desplegado lícitamente bajo el régimen de alto riesgo.

Directiva de Distribución de Seguros — Equidad y transparencia

La IDD (UE) 2016/97 exige que la distribución de seguros se lleve a cabo en el mejor interés del cliente, con información presentada de manera comprensible. Cuando se utiliza IA en el proceso de distribución —por ejemplo, en una plataforma digital que genera recomendaciones de productos personalizadas o cotizaciones de primas—, las obligaciones de equidad y divulgación de la IDD se alinean con los requisitos de transparencia del Art. 13 del Reglamento UE de IA. Las aseguradoras deben integrar las obligaciones de divulgación del Reglamento de IA en los Documentos de Información sobre el Producto (DIP) y los Documentos de Información Clave de la IDD, garantizando que el papel de la IA en la decisión de distribución o tarifación se comunique en un lenguaje accesible para el tomador.

GDPR — Categorías especiales de datos y toma de decisiones automatizada

El Art. 9 del GDPR clasifica los datos de salud, los datos genéticos y los datos relativos a la salud física o mental de una persona como categorías especiales de datos, cuyo tratamiento está prohibido salvo que concurra una derogación específica. Las aseguradoras de vida y salud que utilicen dichos datos en el entrenamiento o la puntuación de IA deben identificar y documentar una base jurídica válida conforme al Art. 9(2) —con mayor frecuencia el consentimiento explícito conforme al Art. 9(2)(a) o una derogación del derecho de un Estado miembro conforme al Art. 9(2)(b)— para cada categoría de datos y finalidad de tratamiento.

El Art. 22 del GDPR restringe las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o significativos similares para las personas físicas. Una decisión de suscripción de IA que rechace automáticamente una solicitud de cobertura, o una decisión de siniestros de IA que reduzca automáticamente un pago de prestación, sin intervención humana, constituye toma de decisiones exclusivamente automatizada conforme al Art. 22. El interesado tiene derecho a: revisión humana de la decisión; una explicación de los factores principales que influyeron en la decisión automatizada; y el derecho a impugnar el resultado. Las aseguradoras deben incorporar estos derechos en sus procesos orientados al cliente y garantizar que los mecanismos de revisión interna sean sustantivamente funcionales.

Directrices de IA de EIOPA

Las directrices basadas en principios de EIOPA sobre el uso de IA en seguros (2021) establecieron las expectativas del sector en materia de transparencia, no discriminación, calidad de los datos y explicabilidad de los modelos antes de la entrada en vigor del Reglamento de IA. EIOPA está elaborando orientaciones de aplicación específicas del sector para el Reglamento UE de IA, y las aseguradoras deben seguir de cerca los documentos de EIOPA. Los supervisores nacionales —ACPR (Francia), BaFin (Alemania), IVASS (Italia), DNB (Países Bajos)— implementarán las expectativas de supervisión en línea con las orientaciones de EIOPA, y se esperan publicaciones de preguntas y respuestas específicas del sector durante el período de aplicación del Reglamento.

Supervisión — EIOPA y supervisores nacionales

Función supervisora de EIOPA

EIOPA (Autoridad Europea de Seguros y Pensiones de Jubilación) no dispone de autoridad de ejecución directa en virtud del Reglamento UE de IA, que designa a las autoridades nacionales de supervisión como autoridades competentes conforme al Art. 70. Sin embargo, EIOPA coordina la convergencia supervisora entre los reguladores de seguros de la UE y emite normas técnicas vinculantes y no vinculantes. Las expectativas de gobernanza de IA de EIOPA —expresadas mediante directrices, dictámenes y comunicados de supervisión— determinarán la forma en que los supervisores nacionales implementen los requisitos del Reglamento de IA en el contexto asegurador. Las aseguradoras deben tratar los documentos de EIOPA como orientación sectorial de referencia, aunque no sean jurídicamente vinculantes.

Supervisores nacionales de seguros como autoridades competentes en materia de IA

Los supervisores nacionales de seguros en los principales mercados de la UE están en posición de ejercer las funciones de autoridad competente del Reglamento de IA sobre los sistemas de IA de seguros:

• ACPR (Autorité de contrôle prudentiel et de résolution) en Francia, que ha publicado expectativas de supervisión sobre IA en servicios financieros
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) en Alemania, con una trayectoria consolidada en la supervisión de la toma de decisiones algorítmica
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) en Italia
• DNB (De Nederlandsche Bank) en los Países Bajos

Estas autoridades tienen competencias conforme a los Art. 74 y Art. 75 para solicitar acceso a datos de entrenamiento, documentación técnica y registros; realizar inspecciones in situ; ordenar medidas correctoras; y recomendar sanciones económicas por incumplimiento. Las multas por comercializar IA de alto riesgo no conforme pueden alcanzar 30 millones de euros o el 6 % de la facturación anual global, la cifra que sea mayor.

Supervisión dual: Reglamento de IA y regulación sectorial

Los supervisores de seguros que lleven a cabo la aplicación del Reglamento de IA lo harán en el contexto de sus mandatos prudenciales y de conducta más amplios. Una investigación sobre el Reglamento de IA relativa a un modelo actuarial de tarifación con sesgo puede involucrar simultáneamente las obligaciones de información del Pilar III de Solvencia II, los requisitos de conducta de la IDD y la aplicación del GDPR por la autoridad de protección de datos. Las aseguradoras deben asumir que las intervenciones supervisoras serán interfuncionales y diseñar sus programas de cumplimiento en consecuencia.

Hoja de ruta de cumplimiento para aseguradoras

Paso 1: Inventario y clasificación de sistemas de IA

Llevar a cabo un inventario exhaustivo de todos los sistemas de IA utilizados en: tarifación de primas; aceptación o rechazo en la suscripción; evaluación o pago de siniestros; detección de fraude; puntuación de riesgo de clientes; y distribución o recomendación de productos. Para cada sistema, evaluar si produce resultados que determinen o influyan significativamente en los resultados para personas físicas individuales. Los sistemas que superen este umbral requieren una evaluación de clasificación conforme al Anexo III cat. 5(b).

Paso 2: Determinación de proveedor o responsable de despliegue

Para cada sistema de IA de alto riesgo, determinar si la aseguradora es el proveedor, el responsable de despliegue o si —y esto es fundamental— el uso fuera del alcance validado del proveedor ha desencadenado una reclasificación como proveedor. Recabar asesoramiento jurídico para evaluar configuraciones en la zona límite, en particular cuando se hayan utilizado datos propios o poblaciones de tomadores para ajustar o ampliar un modelo licenciado.

Paso 3: Análisis de brechas respecto a las obligaciones del Reglamento de IA

Mapear los artefactos de gobernanza existentes en Solvencia II, la documentación del ORSA y los procesos de validación del modelo interno frente a los requisitos del Reglamento de IA conforme al Art. 9 (gestión de riesgos), Art. 10 (gobernanza de datos), Art. 11 y Anexo IV (documentación técnica), Art. 12 (registro), Art. 13 (transparencia), Art. 14 (supervisión humana) y Art. 15 (exactitud, robustez, ciberseguridad). Documentar las brechas identificadas y asignar la responsabilidad de subsanación.

Paso 4: Gobernanza de datos y alineación con el GDPR

Para cada sistema de IA de alto riesgo, auditar los conjuntos de datos de entrenamiento y validación. Documentar la procedencia de los datos, los métodos de recopilación, la representatividad en los grupos demográficos pertinentes de la cartera de tomadores y las limitaciones conocidas. Garantizar que las bases jurídicas del GDPR estén establecidas para todos los datos personales y, cuando proceda, para los datos de categorías especiales. Integrar la documentación del Art. 10 en el expediente técnico del Anexo IV.

Paso 5: Diseño del mecanismo de supervisión humana

Diseñar mecanismos de supervisión humana operativamente realistas para cada despliegue de IA de alto riesgo. Para la IA de suscripción, esto significa que un suscriptor cualificado disponga de la información, la autoridad y el tiempo en el flujo de trabajo para revisar y apartarse de la recomendación de la IA antes de que afecte al tomador. Para la IA de siniestros, significa que un gestor de siniestros tenga una autoridad de revisión sustantiva —no una mera función de validación formal—. Documentar el diseño de la supervisión e incluirlo en la documentación técnica.

Paso 6: Diligencia debida del proveedor externo y revisión contractual

Para los sistemas de IA actuarial de terceros, implementar el proceso de diligencia debida previa al despliegue descrito anteriormente y revisar los contratos existentes con proveedores. Cuando los contratos carezcan de disposiciones que obliguen al proveedor a mantener la documentación de cumplimiento del Reglamento de IA, a notificar a la aseguradora los cambios significativos y a permitir la auditoría del rendimiento del sistema de IA, subsanarlos mediante enmienda o renegociación contractual. Establecer procedimientos internos para supervisar el rendimiento del sistema de IA en la cartera viva de tomadores e informar de las desviaciones significativas a los proveedores y, cuando proceda, a las autoridades supervisoras.