La ACPR, autoridad de vigilancia del mercado de la IA en crédito y seguros desde diciembre de 2027

Qué establece el Reglamento de IA¶

El anexo III del Reglamento (UE) 2024/1689 recoge dos casos de uso financieros. El punto 5, letra b), abarca los sistemas destinados a evaluar la solvencia de personas físicas o a establecer su calificación crediticia, salvo los sistemas utilizados para detectar fraudes financieros. El punto 5, letra c), abarca los sistemas destinados a la evaluación de riesgos y la fijación de precios en relación con personas físicas en los seguros de vida y de salud.

Para estos sistemas, el artículo 74, apartado 6, designa la autoridad de vigilancia del mercado por defecto. Cuando el sistema lo utilizan entidades financieras reguladas por el Derecho de la Unión en materia de servicios financieros, es «la autoridad nacional pertinente responsable de la supervisión financiera de dichas entidades», en la medida en que el uso esté directamente relacionado con la prestación de esos servicios financieros. El artículo 74, apartado 7, permite a un Estado miembro designar otra autoridad, siempre que se garantice la coordinación. Elegir a la ACPR sigue la lógica del Reglamento.

El calendario está fijado. El Ómnibus Digital trasladó al 2 de diciembre de 2027 la aplicación del capítulo III, secciones 1 a 3, para los sistemas de alto riesgo del anexo III. Las obligaciones del responsable del despliegue se aplican desde la misma fecha, incluida la evaluación de impacto relativa a los derechos fundamentales (FRIA) del artículo 27 para la evaluación de la solvencia y la fijación de precios de seguros de vida y de salud.

En qué punto está la designación francesa¶

La designación se tramita en el proyecto de ley de diversas disposiciones de adaptación del Derecho francés al Derecho de la UE (DDADUE). Presentado en el Senado el 10 de noviembre de 2025 por el procedimiento acelerado, el Senado lo aprobó en primera lectura el 18 de febrero de 2026 y lo remitió a la Asamblea Nacional el 20 de febrero de 2026 (proyecto de ley n.º 2518).

En el Senado, el Gobierno logró aprobar una enmienda que fija el esquema de gobernanza: la CNIL pasa a ser una de las autoridades competentes en virtud del artículo 70 del Reglamento de IA y la autoridad de vigilancia del mercado para varias categorías del anexo III. La exposición de motivos de la enmienda indica que los sistemas utilizados por entidades financieras para evaluar la solvencia, el riesgo o el precio en relación con personas físicas entran en el ámbito de la ACPR.

En el comunicado de su consulta sobre equidad algorítmica, actualizado el 24 de septiembre de 2026, la ACPR escribe que, con arreglo al proyecto de ley DDADUE, que examina el Parlamento, sería designada autoridad de vigilancia del mercado para los casos de uso de alto riesgo vinculados a los servicios financieros, y que sus nuevas funciones comenzarían el 2 de diciembre de 2027. A 2 de octubre de 2026, el proyecto de ley no se ha aprobado definitivamente. Trate la designación como propuesta; el Reglamento de IA se aplica directamente con independencia de la autoridad que se designe finalmente.

Qué ha dicho la ACPR sobre su método¶

En su reunión con el sector del 1 de julio de 2026, la ACPR presentó su hoja de ruta partiendo de la hipótesis de trabajo de que será designada. Tres puntos importan a los equipos de cumplimiento y de riesgos.

Dos fuentes de competencia. La ACPR obtiene sus facultades de supervisión de la IA del Reglamento de IA, para los casos 5.b) y 5.c), y de la normativa sectorial vigente, para todo sistema de IA que conlleve un riesgo prudencial o de conducta, incluidas la protección de la clientela y la prevención del blanqueo de capitales y la financiación del terrorismo. En virtud de la neutralidad tecnológica ya dispone de esas facultades, aunque, según sus diapositivas, en la práctica todavía no las utiliza. Un agente de IA que clasifica alertas de blanqueo de capitales queda fuera del anexo III y sigue sujeto a supervisión.

Cuatro ámbitos prioritarios. Rendimiento y robustez, explicabilidad, equidad, y ciberseguridad y privacidad. Son los ejes de una metodología de auditoría de la IA que la ACPR dice querer construir con el sector y que presenta como destinada a convertirse con el tiempo en un marco de referencia.

Una hoja de ruta en dos partes. Diseñar una supervisión proporcionada (recogida de información, puntuación de riesgos, priorización, organización interna) y ayudar a las entidades a desarrollar la capacidad humana y técnica para demostrar que se cumplen los requisitos.

La consulta sobre equidad algorítmica¶

El 1 de julio de 2026, la ACPR publicó un documento de reflexión, «L'équité algorithmique dans le secteur financier» (la equidad algorítmica en el sector financiero), y abrió una consulta pública hasta el 30 de septiembre de 2026. La cuestión es cómo conciliar la tarificación diferenciada según el riesgo con la prevención de un trato injusto o discriminatorio, en particular el vinculado a características personales sensibles. El ámbito remite a los dos casos de uso de alto riesgo: el crédito y los seguros de vida y de salud.

El documento trata el marco jurídico aplicable, los conceptos y las métricas de equidad, los métodos para identificar, medir y corregir sesgos, y las formas de integrarlos en la práctica de las entidades. Se basa en talleres técnicos con entidades voluntarias. La ACPR afirma que no constituye una posición oficial de la ACPR.

Para una entidad, la consecuencia es concreta. La equidad será uno de los cuatro ejes de supervisión, y la consulta aporta el vocabulario que usarán las preguntas: qué definición de equidad aplica la entidad a cada modelo, qué métricas sigue, cómo trata las variables correlacionadas con características sensibles y qué registro conserva de las decisiones de compromiso.

La nota de la CNIL y el CIANum sobre IA agéntica¶

El 20 de julio de 2026, la CNIL y el Conseil de l'IA et du Numérique publicaron una nota exploratoria, «IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs» (IA agéntica y protección de datos personales). No crea ninguna obligación nueva. Describe cómo el paso a los agentes tensiona los principios del RGPD y señala que el Reglamento de IA no contiene normas específicas para los agentes de IA.

Varias conclusiones afectan directamente a los bancos. La memoria persistente de los agentes permite perfiles de usuario muy precisos; los flujos de datos entre servicios dificultan la atribución de responsabilidades; y la opacidad de estas arquitecturas aumenta los riesgos de las decisiones automatizadas, con sectores regulados como el financiero citados como ejemplo. Entre las vías propuestas figuran normas de transparencia más estrictas sobre las acciones de los agentes, la validación humana obligatoria para las decisiones más críticas y, desde el diseño, la memoria compartimentada de los agentes, la ejecución en entornos aislados y un botón de parada de emergencia.

Una entidad que confía a un agente parte de un proceso de crédito o de suscripción se sitúa donde se cruzan los dos regímenes: la ACPR para el sistema de alto riesgo y la conducta, la CNIL para los datos personales. La nota muestra las preguntas que hará la CNIL, que coinciden con las de la ACPR en trazabilidad y control humano.

Preparar la evidencia para una inspección¶

La ACPR todavía no ha publicado su metodología de auditoría. Sus cuatro ámbitos prioritarios y sus criterios de 2020 (gestión de datos, rendimiento, estabilidad, explicabilidad) bastan para empezar a preparar la evidencia ya. La tabla es una lectura práctica; no reproduce ningún requisito publicado.

Qué aprendimos sobre las exportaciones de evidencia¶

Mientras preparábamos una demostración en julio de 2026, generamos un paquete de evidencia sellado a partir de nuestros propios entornos de prueba. La exportación terminó como «completada con omisiones»: faltaban dos eventos de seguridad de una fuente no autorizada, y la exportación los señaló como advertencia. Es el comportamiento correcto: un paquete de evidencia debe indicar lo que no contiene. Un inspector que encuentra una laguna no declarada deja de confiar en el resto del expediente.

Para un banco que se prepara para una inspección de la ACPR, la regla va más allá de cualquier herramienta. El inventario de sistemas, las validaciones y los registros de decisiones deben indicar cada uno su alcance y sus exclusiones, con el motivo de cada una.

Calendario¶

Las fechas conocidas a 2 de octubre de 2026.

Qué hacer antes de diciembre de 2027¶

Cuatro líneas de trabajo. Enumere los sistemas que entran en los puntos 5.b) y 5.c), incluidos los que suministran terceros y las funciones de crédito integradas en procesos más amplios. Para cada uno, prepare la FRIA del artículo 27 y la evidencia de los cuatro ámbitos prioritarios. Documente una definición de equidad y unas métricas por modelo a partir del documento de reflexión de la ACPR. Para los agentes, registre cada acción propuesta, la regla aplicada y la decisión humana cuando se requiera, de modo que una decisión pueda reproducirse ante un inspector.

En los pasos de un proceso confiados a un agente, un punto de control en tiempo de ejecución evalúa cada acción antes de que se ejecute y genera esos registros. KLA Control Plane aplica este patrón con cuatro resultados (allow, warn, require_approval, block) y un registro por decisión. Las obligaciones del responsable del despliegue se exponen en la plantilla de FRIA y en el ejemplo resuelto de FRIA para calificación crediticia.