Saltar al contenido
AI Policy Generator

ENQué me toca

Scoring de crédito o solvencia en España: normas relacionadas

Modelos que estiman la probabilidad de impago o la solvencia de una persona para conceder, denegar o fijar el precio de un crédito. Es alto riesgo en la UE y Perú y exige explicar las razones de la denegación y permitir la revisión humana en casi todas las jurisdicciones.

Clasificación de riesgo

JurisdicciónNivelFechaNota
Unión EuropeaAlto riesgo2 de diciembre de 2027Anexo III(5)(b), excluida la detección de fraude; la EBA lo limita al punto de originación; FRIA para el desplegador.
Unión EuropeaNormas sectoriales20 de noviembre de 2026Directiva de crédito al consumo (CCD2): derecho a intervención humana, explicación e impugnación del scoring.
EspañaProtección de datos—RGPD art. 22 y jurisprudencia del TJUE (asunto SCHUFA): el scoring determinante es una decisión automatizada; evaluación de impacto obligatoria.

Obligaciones relacionadas con este caso de uso

Nombrar un delegado de protección de datos e implicarlo en los proyectos de IA

LOPDGDDRGPD, arts. 37-39; LOPDGDD, arts. 34-37Vigente

Ya aplicable

Cuándo se relaciona
Obligatorio en entidades públicas y en sectores como banca, seguros, sanidad, educación, telecomunicaciones, energía, seguridad privada, publicidad con perfilado y ficheros de solvencia.
Qué prevé la norma
  • Designar al delegado y comunicar su nombramiento a la AEPD en diez días.
  • Darle participación en cada proyecto de IA con datos personales, en especial en la EIPD.
  • Garantizar su independencia y recursos.
Evidencias habituales
  • Acta de designación y justificante de comunicación a la AEPD.
  • Opinión del delegado en las EIPD de sistemas de IA.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto consolidado en el BOE. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Uso de sistemas de alto riesgo: supervisión humana, registros y monitoreo

AI ActReglamento (UE) 2024/1689, art. 26(1)-(6) y (8)-(12); Anexo III; art. 6(1) y Anexo I; art. 113Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Plazos por perfil

  • : Sistemas de alto riesgo del Anexo III
  • : IA clínica que es producto sanitario de alto riesgo (Anexo I)
Cuándo se relaciona
Si usa IA para selección o gestión de personal, monitorizar trabajadores, scoring de crédito, tarificar seguros de vida o salud, evaluar estudiantes, biometría o acceso a prestaciones públicas (Anexo III). También, desde el 2-ago-2028, si usa IA clínica que sea un producto sanitario sujeto a evaluación por organismo notificado (Anexo I).
Qué prevé la norma
  • Usar el sistema según las instrucciones del proveedor.
  • Asignar la supervisión humana a personas con competencia, formación, autoridad y apoyo suficientes.
  • Asegurar que los datos de entrada bajo su control sean pertinentes y representativos.
  • Monitorizar el funcionamiento, suspender el uso ante riesgos e informar al proveedor y a la autoridad de incidentes graves.
  • Conservar los registros automáticos (logs) bajo su control al menos seis meses.
  • Entidades públicas: registrar el uso en la base de datos de la UE. Sistemas de autoridades públicas ya en uso: plazo hasta el 2-ago-2030.
Evidencias habituales
  • Designación de supervisores humanos y su formación.
  • Política de conservación de logs y muestras de registros.
  • Plan de monitoreo y registro de incidentes.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado (2-dic-2027 para el Anexo III). El Reglamento (UE) 2026/1744 movió la fecha pero no el contenido del art. 26.

Informar y explicar a las personas afectadas por decisiones de alto riesgo

AI ActReglamento (UE) 2024/1689, arts. 26(11) y 86Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si toma o apoya decisiones sobre personas con un sistema de alto riesgo del Anexo III.
Qué prevé la norma
  • Informar a las personas de que están sujetas al uso de un sistema de alto riesgo.
  • Dar, a quien lo pida, una explicación clara y significativa del papel del sistema en la decisión y de sus elementos principales cuando la decisión tenga efectos jurídicos o le afecte de forma importante.
Evidencias habituales
  • Avisos a personas afectadas.
  • Modelo de explicación y registro de solicitudes atendidas.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Evaluación de impacto en derechos fundamentales (FRIA)

AI ActReglamento (UE) 2024/1689, art. 27Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Entidades públicas y empresas privadas que prestan servicios públicos y usan IA de alto riesgo; y cualquier empresa que use IA para evaluar solvencia o tarificar seguros de vida y salud.
Qué prevé la norma
  • Antes del primer uso, evaluar procesos, duración y frecuencia, personas o grupos afectados, riesgos concretos de daño, medidas de supervisión humana y medidas ante riesgos, incluidas quejas.
  • Notificar el resultado a la autoridad de vigilancia del mercado con el formulario de la Oficina de IA.
  • Puede apoyarse en una evaluación de impacto de protección de datos ya hecha y actualizarla cuando cambien los factores.
Evidencias habituales
  • FRIA firmada y fechada.
  • Justificante de notificación a la autoridad.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada (art. 113(c)(i)). Ámbito según el art. 27: no incluye a todas las empresas que usan IA para empleo; algunas webs comerciales lo amplían de forma incorrecta.

Proveedores de sistemas de alto riesgo del Anexo III

AI ActReglamento (UE) 2024/1689, arts. 6(3)-(4), 8-17, 43, 47-49, 72-73Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si desarrolla o vende bajo su nombre un sistema de IA para un uso del Anexo III (empleo, crédito, seguros de vida y salud, educación, biometría, servicios públicos).
Qué prevé la norma
  • Sistema de gestión de riesgos durante todo el ciclo de vida y gobernanza de los datos de entrenamiento, validación y prueba.
  • Documentación técnica, registro automático de eventos, instrucciones de uso, diseño para la supervisión humana, y exactitud, solidez y ciberseguridad.
  • Sistema de gestión de calidad, evaluación de la conformidad, declaración UE de conformidad, marcado CE y registro en la base de datos de la UE.
  • Monitoreo poscomercialización y notificación de incidentes graves.
  • Si concluye que su sistema del Anexo III no es de alto riesgo (art. 6(3)), documentar el análisis y registrarlo antes de comercializarlo.
  • Las empresas medianas pequeñas (menos de 750 empleados) tienen plantillas de documentación simplificadas.
Evidencias habituales
  • Expediente técnico y sistema de gestión de calidad.
  • Declaración UE de conformidad y número de registro.
  • Plan de monitoreo poscomercialización.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado. La categoría de empresas medianas pequeñas (small mid-caps) procede de fuentes secundarias sobre el Reglamento (UE) 2026/1744.

Garantías frente a decisiones solo automatizadas

RGPDRGPD, arts. 13.2.f), 14.2.g), 15.1.h) y 22; STJUE C-634/21, SCHUFA, 7-dic-2023; STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025Vigente

Ya aplicable

Cuándo se relaciona
Si la IA decide, o determina en la práctica, decisiones con efectos jurídicos o igualmente importantes sobre personas sin intervención humana real: contratación, crédito, seguros, educación, prestaciones, precios o acceso a servicios. El apoyo al diagnóstico revisado por un profesional no suele ser una decisión solo automatizada.
Qué prevé la norma
  • Evitar decisiones basadas solo en tratamiento automatizado salvo contrato, ley o consentimiento explícito.
  • Cuando se permitan, ofrecer intervención humana real, la posibilidad de expresar su punto de vista y de impugnar la decisión.
  • Una puntuación de un tercero que determina la decisión también cuenta como decisión automatizada.
  • Informar de la existencia de la decisión automatizada y, a quien lo pida, dar información significativa sobre la lógica aplicada y sus consecuencias. La norma no exige un formato concreto de carta.
Evidencias habituales
  • Procedimiento de revisión humana con plazos y responsables.
  • Registro de decisiones y revisiones.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Evaluación de impacto de protección de datos (EIPD)

RGPDRGPD, art. 35Vigente

Ya aplicable

Cuándo se relaciona
Si usa IA para evaluar o decidir sobre personas, monitorizar, usar biometría, entrenar modelos con datos personales o tratar datos sensibles o de menores.
Qué prevé la norma
  • Hacer la EIPD antes de empezar: descripción, necesidad y proporcionalidad, riesgos y medidas.
  • Consultar a la autoridad si el riesgo residual sigue siendo alto.
  • Revisarla cuando cambie el sistema o el modelo.
Evidencias habituales
  • EIPD firmada, con opinión del delegado de protección de datos si existe.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Intervención humana, explicación e impugnación del scoring automatizado

CCD2Directiva (UE) 2023/2225, art. 18.5 y 18.8Aprobada, aplica más adelante

Aplicable desde 20 de noviembre de 2026

Cuándo se relaciona
Si concede crédito al consumo y evalúa la solvencia con modelos o IA. Al ser una directiva, obliga a las empresas a través de la ley nacional: en España la transposición sigue pendiente y las Cortes se disolvieron el 6-oct-2026, así que la fecha real en España puede ser posterior.
Qué prevé la norma
  • Permitir que el consumidor pida y obtenga intervención humana del prestamista.
  • Dar una explicación clara y comprensible de la evaluación, su lógica y riesgos, y de los principales datos usados.
  • Permitir que exprese su punto de vista y pida revisar la decisión.
  • No usar categorías especiales de datos ni datos de redes sociales para evaluar la solvencia.
Evidencias habituales
  • Procedimiento de revisión humana y modelos de carta de explicación.
  • Lista de fuentes de datos admitidas en el modelo.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Contrastado en el texto del Diario Oficial (CELEX 32023L2225): art. 18.8 (intervención humana, explicación, punto de vista y revisión), art. 18.5 (sin categorías especiales ni datos de redes sociales) y art. 48 (transposición hasta el 20-nov-2025 y aplicación desde el 20-nov-2026). Se revisó el texto original, no la versión consolidada. Al ser una directiva, frente a empresas privadas obliga la ley nacional. Según fuentes secundarias, el anteproyecto español (7-ene-2026) no se aprobó; no se comprobó en el BOE.

Documentos base relacionados

Kits relacionados

Incluye 7 documentos

Kit crédito y seguros

Riesgo de modelo con inventario y materialidad, cartas de explicación de decisiones desfavorables, revisión humana, registro de decisiones, documentación técnica de modelos y la lista de verificación del art. 26 del Reglamento de IA de la UE para sistemas de alto riesgo.

USD 139USD 253

Kit completo · disponible para comprar

Descubre qué te toca (gratis)España