AI Act y Scoring Crediticio: Qué Cambia desde Agosto 2026

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial es el primer marco legal integral del mundo sobre IA. Se publicó en el DOUE el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024.

A diferencia de la mayoría de regulaciones financieras (que son directivas), el AI Act es un Reglamento: aplica directamente en todos los Estados miembros sin necesidad de transposición nacional. Esto significa que el texto europeo es la norma jurídica directamente exigible en España.

El AI Act clasifica los sistemas de IA en cuatro categorías según el riesgo: riesgo inaceptable (prohibidos: manipulación cognitiva, scoring social estatal, identificación biométrica masiva), alto riesgo (educación, empleo, justicia, servicios públicos esenciales y scoring crediticio), riesgo limitado (transparencia: chatbots, deepfakes) y riesgo mínimo (sin obligaciones específicas).

Para el sector financiero, la consecuencia es directa: el scoring crediticio algorítmico es sistema de "alto riesgo" (Anexo III, punto 5b). Todas las financieras que utilizan modelos de machine learning, redes neuronales o cualquier sistema automatizado para decidir si conceden o no un préstamo deberán cumplir las obligaciones del AI Act desde el 2 de agosto de 2026.

El Anexo III del AI Act lista los sistemas de IA considerados de alto riesgo. El punto 5b establece textualmente que son de alto riesgo "los sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, con la excepción de los sistemas de IA utilizados con el fin de detectar fraude financiero".

La clasificación se debe a tres razones documentadas en los considerandos del Reglamento: (1) las decisiones de scoring afectan al acceso a servicios esenciales (crédito al consumo, hipotecas, productos financieros básicos), (2) los modelos algorítmicos pueden amplificar sesgos sociales (raza, género, código postal) si los datos de entrenamiento están desbalanceados, (3) la opacidad típica del machine learning impide al consumidor entender por qué se le ha denegado.

La excepción de detección de fraude es importante: los sistemas que solo identifican operaciones sospechosas (fraud detection) NO son alto riesgo. Pero si un sistema combina detección de fraude con evaluación de solvencia (uso típico en microcréditos online), sí entra plenamente en el régimen de alto riesgo.

Otros sistemas de alto riesgo según el mismo Anexo III incluyen: educación (sistemas de admisión y evaluación de estudiantes), empleo (selección de personal, monitorización de trabajadores), aplicación de la ley, gestión migratoria, justicia y procesos democráticos. El scoring crediticio comparte régimen con estos.

El AI Act se aplica en fases progresivas. Para el sector financiero, la fecha crítica es el 2 de agosto de 2026, pero hay hitos previos que conviene conocer.

Consulta el timeline visual más abajo. Las dos fechas que importan a las financieras españolas son: 2 de agosto de 2025 (normas de gobernanza y sanciones aplicables) y 2 de agosto de 2026 (sistemas de alto riesgo, incluido scoring crediticio).

Las primeras prohibiciones (sistemas inaceptables) entraron en vigor el 2 de febrero de 2025. Aunque esas prácticas no son típicas en el sector financiero español, conviene revisar que ningún sistema cae en el ámbito de "social scoring" prohibido (clasificación masiva de personas por comportamiento general sin relación con un fin específico).

Las financieras que operen sistemas de IA de alto riesgo (scoring crediticio) deben cumplir diez obligaciones principales antes de poder seguir comercializando el sistema:

1. Sistema de gestión de riesgos. Identificar y mitigar de forma continua los riesgos que el sistema puede generar para los derechos fundamentales del consumidor. No basta con un análisis inicial; debe ser un proceso vivo a lo largo del ciclo de vida del sistema.

2. Calidad y gobernanza de datos. Los datasets usados para entrenar, validar y probar el modelo deben ser relevantes, representativos, libres de errores y completos. Hay que prestar especial atención a la mitigación de sesgos (por sexo, edad, origen, código postal). Documentación obligatoria.

3. Documentación técnica. Antes de poner el sistema en el mercado debe existir un dossier técnico exhaustivo: descripción del sistema, propósito, lógica general, decisiones de diseño, métricas de rendimiento, conjuntos de datos, planes de mantenimiento. Disponible para los supervisores cuando lo soliciten.

4. Trazabilidad y registros automáticos (logs). El sistema debe registrar automáticamente los eventos clave: inputs, outputs, decisiones, intervenciones humanas. Los logs deben conservarse al menos seis meses (o más si la regulación sectorial lo exige) y ser auditables.

5. Transparencia hacia el usuario. Información clara sobre el funcionamiento del sistema, sus limitaciones, los datos que utiliza y las consecuencias de sus decisiones. Esta obligación se solapa con el deber de información del CCD2 (SECCI).

6. Supervisión humana ("human oversight"). Capacidad real (no nominal) de intervención humana en las decisiones del sistema. El operador humano debe poder entender el funcionamiento, detectar fallos, ignorar el output cuando sea necesario y revertir decisiones. No basta con un humano de "rubber stamp".

7. Robustez técnica, precisión y ciberseguridad. El sistema debe tener un nivel adecuado de exactitud, robustez frente a errores e incidentes, y protección frente a manipulaciones adversarias (ataques de envenenamiento del modelo, etc.).

8. Evaluación de conformidad (conformity assessment). Antes de poner el sistema en el mercado, la financiera debe realizar (o encargar) una evaluación que demuestre que cumple todos los requisitos. Para scoring crediticio, normalmente se trata de evaluación interna documentada. Para los sistemas integrados con biometría, evaluación por tercero notificado.

9. Registro en la base de datos UE. Los sistemas de alto riesgo deben inscribirse en una base de datos pública de la UE antes de su uso. Esto da visibilidad y permite a los supervisores realizar inspecciones.

10. Marcado CE y declaración de conformidad UE. El sistema debe llevar marcado CE y la financiera debe firmar declaración de conformidad formal.

Derecho a explicación (Art. 86 AI Act). Si una financiera te deniega un préstamo basándose en un sistema de IA de alto riesgo, tienes derecho a obtener una explicación clara y significativa del papel del sistema en esa decisión y de los principales elementos que llevaron a la denegación. No basta con un "lo decidió nuestro algoritmo": deben darte información concreta.

Derecho a revisión humana. Combinando AI Act + GDPR + CCD2, tienes derecho a solicitar que un humano revise la decisión. La financiera no puede mantenerse en el output automatizado si tú lo cuestionas razonadamente. La revisión humana debe ser real: una persona con autoridad real para cambiar la decisión.

Derecho a presentar reclamación. Si crees que el sistema te ha discriminado o ha incumplido sus obligaciones, puedes reclamar ante la AESIA (Agencia Española de Supervisión de la IA). También ante la AEPD si la queja se refiere al uso de tus datos personales en el modelo.

Derecho del artículo 22 del GDPR. Tu derecho preexistente desde 2018 sigue vigente: como regla general, no puedes ser objeto de una decisión basada exclusivamente en tratamiento automatizado que produzca efectos jurídicos significativos. Excepciones: contrato (la decisión es necesaria para celebrarlo), consentimiento explícito, autorización por norma de Estado miembro con garantías.

Derecho a saber qué datos se usaron. Por el GDPR puedes solicitar acceso a los datos personales usados para tomar la decisión, y rectificar los que sean inexactos.

Derecho a no discriminación. Si el sistema te ha denegado el crédito por motivos protegidos (sexo, raza, edad, código postal usado como proxy social), puedes reclamar por discriminación además de por incumplimiento del AI Act.

El AI Act NO sustituye a otras normas: las complementa. Tres normas se aplican de forma simultánea cuando un sistema de IA decide sobre tu préstamo:

GDPR (Reglamento UE 2016/679) — Artículo 22. Regula las decisiones automatizadas en general desde 2018. Establece tu derecho a no ser objeto de decisión basada solo en tratamiento automatizado (con excepciones), derecho a intervención humana, derecho a expresar tu punto de vista y derecho a impugnar la decisión. El AI Act refuerza estos derechos en el contexto específico de IA de alto riesgo.

AI Act (Reglamento UE 2024/1689). Añade obligaciones técnicas y organizativas a los desarrolladores y operadores del sistema. El consumidor obtiene el derecho específico del Art. 86 (explicación clara y significativa).

CCD2 (Directiva UE 2023/2225). En relación con el scoring crediticio, exige evaluación de solvencia rigurosa. Si la evaluación se hace con IA, deben cumplirse simultáneamente las exigencias de CCD2 (evaluación adecuada) y AI Act (transparencia, supervisión humana, no discriminación).

En la práctica, las tres normas conviven: el GDPR garantiza derechos generales sobre datos y decisiones automatizadas, el AI Act impone obligaciones técnicas específicas a sistemas de alto riesgo y el CCD2 regula el resultado material (concesión adecuada de crédito). Una denegación de microcrédito por un algoritmo puede ser impugnada invocando las tres normas a la vez.

España fue el primer Estado miembro de la UE en crear una agencia específica para supervisar la inteligencia artificial, anticipándose a la entrada en vigor del AI Act. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) se creó por el Real Decreto 729/2023, de 22 de agosto, tiene sede en A Coruña y está operativa desde 2024.

Las funciones principales de AESIA incluyen: supervisión del cumplimiento del AI Act en España, inspección de sistemas de alto riesgo, tramitación de reclamaciones de consumidores y empresas, y coordinación con otras autoridades (AEPD, Banco de España, supervisores sectoriales) y con la Oficina Europea de IA.

Reparto de competencias. Cuando un sistema de IA usa datos personales (caso de todo scoring crediticio), la AEPD conserva sus competencias sobre el tratamiento de datos. AESIA se ocupa específicamente del cumplimiento del AI Act como tal. Es probable que reciba tu reclamación quien tenga competencia y, en su caso, la traslade. En la práctica, los consumidores pueden dirigirse a cualquiera de las dos agencias.

El Banco de España seguirá supervisando a las entidades financieras desde la perspectiva sectorial (concesión adecuada, capital, etc.). Las reclamaciones por incumplimiento de CCD2 siguen el procedimiento bancario habitual (SAC → Banco de España → vía judicial).

El AI Act establece tres niveles de sanciones, similares (aunque inferiores) a las del GDPR:

Nivel máximo: hasta 35 millones de euros o el 7 % del volumen anual mundial (el que sea mayor) por incumplir las prohibiciones de prácticas inaceptables (manipulación cognitiva, social scoring estatal, identificación biométrica masiva). No aplica típicamente a financieras.

Nivel intermedio: hasta 15 millones de euros o el 3 % del volumen anual mundial. Por incumplir las obligaciones de sistemas de alto riesgo. Este es el nivel que aplica a financieras con scoring crediticio que no cumplan las obligaciones (documentación, supervisión humana, registros, etc.).

Nivel mínimo: hasta 7,5 millones de euros o el 1 % del volumen anual mundial. Por proporcionar información incorrecta, incompleta o engañosa a las autoridades supervisoras.

Las pymes y startups pueden beneficiarse de cuantías proporcionalmente reducidas. Pero el marco general es severo: para una financiera de tamaño medio con ingresos de 10 M€/año, una sanción del 3 % serían 300.000 € por incumplimiento serio.

Además de las sanciones administrativas, los consumidores afectados pueden reclamar daños y perjuicios ante los tribunales civiles. La carga de la prueba sobre el correcto funcionamiento del sistema recae sobre la financiera.

Prácticamente todas las financieras del catálogo del portal utilizan algún tipo de scoring algorítmico para decidir solicitudes en segundos. Desde el 2 de agosto de 2026 todas deberán adaptarse al régimen de alto riesgo del AI Act.

Documentación técnica obligatoria. Las financieras deberán elaborar un dossier técnico exhaustivo de cada sistema de scoring usado. Incluye: descripción del modelo, variables empleadas, fuentes de datos, métricas de rendimiento, sesgos identificados y mitigados, planes de mantenimiento. Este dossier debe estar a disposición de AESIA cuando lo solicite.

Supervisión humana real, no nominal. Las decisiones de denegación automática deberán poder revisarse por un humano con autoridad para revertir. Esto puede afectar a la operativa de "decisión en 60 segundos" típica de microcréditos express: la decisión inmediata sigue siendo posible, pero debe existir un mecanismo accesible para que el cliente solicite revisión humana.

Mitigación de sesgos. Variables como código postal, edad o estado civil pueden actuar como proxies de variables protegidas (raza, nivel socioeconómico, género). Las financieras deberán auditar sus modelos para identificar y mitigar estos sesgos. Documentación obligatoria.

Registro en base de datos UE. Cada sistema de scoring debe inscribirse en el registro europeo de IA de alto riesgo. Es información pública: cualquier consumidor podrá consultar qué sistemas usa una financiera.

Información al solicitante. En el momento de la solicitud, la financiera deberá informar de forma clara que la decisión usará un sistema de IA y de cuál es la lógica básica. No tiene que revelar el modelo en detalle (propiedad intelectual), pero sí los factores principales.

Costes de cumplimiento. Para las financieras más pequeñas, el coste de cumplimiento puede ser significativo. Es previsible que algunas entidades opten por externalizar el scoring a proveedores que asuman las obligaciones del AI Act, o por simplificar sus modelos hasta dejarlos fuera del régimen de "alto riesgo".

En el catálogo del portal, las entidades con mayor sofisticación algorítmica serán las más afectadas. Las que usen modelos más sencillos (reglas básicas + ASNEF + ingresos) podrían argumentar que no se trata de un sistema de IA en sentido estricto del AI Act, pero la mayoría de scoring moderno usa machine learning y entra plenamente.