El Reglamento de Inteligencia Artificial de la Unión Europea clasifica los sistemas según su finalidad y el riesgo asociado, no por el sector de la empresa que los usa. En seguros, la evaluación del riesgo y la fijación de precios para personas físicas en los ramos de vida y salud figuran expresamente en el anexo III como usos de alto riesgo. Para decidir qué controles aplicar, una aseguradora debe inventariar cada sistema, definir su papel en la cadena y comprobar cómo influye en la decisión.
Esto no convierte automáticamente toda la IA aseguradora en alto riesgo. La atención al cliente, el apoyo al tramitador y la detección de fraude requieren análisis propio y siguen sujetos a las normas sectoriales y de protección de datos que correspondan. La distinción evita tanto una falsa tranquilidad como un proyecto de cumplimiento indiscriminado.
Qué exige el Reglamento de Inteligencia Artificial en seguros
El anexo III, apartado 5.c, del Reglamento (UE) 2024/1689 identifica los sistemas de IA destinados a evaluar el riesgo y establecer precios respecto de personas físicas en seguros de vida y salud. El texto no declara de alto riesgo, por ese solo motivo, todos los usos de IA de una aseguradora ni cualquier decisión automatizada sobre siniestros.
La calificación exige examinar la finalidad prevista, la función concreta del sistema y las reglas de clasificación aplicables, incluidas las excepciones del artículo 6 cuando procedan. Un asistente que resume expedientes no tiene por qué desempeñar el mismo papel que un modelo cuyo resultado determina la prima; si el resumen pasa a condicionar materialmente la decisión, debe revisarse el uso real, no solo su nombre comercial.
«AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance».
Reglamento (UE) 2024/1689, anexo III, apartado 5.c; traducción y aplicación al caso concreto sujetas al texto oficial.
No confundir alto riesgo con ausencia de obligaciones
La opinión de EIOPA sobre gobierno y gestión del riesgo de IA se dirige a los supervisores y aclara expectativas bajo la legislación aseguradora para sistemas que no sean de alto riesgo o prohibidos conforme al Reglamento. No crea obligaciones nuevas ni sustituye a Solvencia II, la normativa de distribución de seguros o el RGPD. Gobierno de datos, equidad, explicabilidad proporcionada, supervisión humana y registro siguen importando fuera de la categoría del anexo III.
Tres usos aseguradores que no deben mezclarse
La clasificación empieza con una ficha de cada sistema: finalidad, ramos afectados, colectivo, datos, salida, decisión en la que interviene, proveedor, versiones y persona responsable. La siguiente comparación es una pauta de análisis, no una clasificación jurídica automática de productos concretos.
| Uso | Pregunta decisiva | Tratamiento inicial |
|---|---|---|
| Precio de vida o salud para personas físicas | ¿El sistema evalúa riesgo o fija precio en esos ramos? | Revisar el encaje en el anexo III y obligaciones por rol. |
| Apoyo a siniestros de automóvil | ¿Resume evidencia o determina una decisión con otro fundamento regulatorio? | Documentar finalidad, supervisión y normativa aplicable; no presumir alto riesgo por pertenecer a seguros. |
| Asistente de atención al asegurado | ¿Informa, recomienda o altera materialmente la contratación? | Evaluar transparencia, protección de datos, control de respuestas y derivación humana. |
La imagen de los tres expedientes ilustra precisamente este criterio: mismo sector, finalidades distintas. Para la tramitación visual de daños puede consultarse nuestra guía sobre visión artificial en banca y seguros, centrada en pasar de una imagen a una decisión trazable sin confundir apoyo técnico con decisión automática.
Proveedor y responsable del despliegue: dos papeles distintos
El proveedor desarrolla o comercializa un sistema de IA bajo su nombre; el responsable del despliegue lo utiliza bajo su autoridad, según las definiciones del Reglamento. Una aseguradora puede desempeñar uno u otro papel —o ambos en partes de una solución— en función de cómo se desarrolla, adapta y pone en servicio. El contrato debe identificar quién entrega documentación e instrucciones, quién configura datos y umbrales, quién supervisa y quién tramita cambios e incidentes.
Cómo convertir el inventario en controles operativos
El punto de partida no es comprar otra herramienta de cumplimiento: es reconstruir la trayectoria de una decisión. Para cada caso, registre la versión del modelo, fuentes y permisos de datos, criterios de evaluación, intervención humana, dependencias técnicas y motivos de escalado. Si cambia la finalidad prevista o la integración, vuelva a clasificar el sistema antes de trasladarlo a producción.
- Finalidad y alcance: ramo, persona afectada y decisión que recibe la salida del sistema.
- Roles: obligaciones del proveedor, del responsable del despliegue y de los terceros integrados.
- Controles: calidad de datos, pruebas de sesgo y rendimiento pertinentes, supervisión, trazas e incidencias.
- Operación: versión, permisos, seguimiento, revisión de cambios y mecanismo para detener o corregir el uso.
La infografía resume estas decisiones en el mismo orden: finalidad y destinatario, rol y obligaciones, controles y evidencia. Su función es ordenar el diagnóstico; no reemplaza un análisis jurídico o actuarial del caso concreto.
Una hoja de ruta de diagnóstico sin prometer retorno
Primero, seleccione un caso de vida o salud y uno de otro ramo para probar el método. Después, compare el proceso real con la ficha, determine lagunas y asigne responsables de corregirlas. Por último, ensaye una revisión de cambio y un incidente: ¿puede reconstruirse la decisión y saber quién actúa? Mida desde una línea base tiempo de clasificación, expedientes completos, excepciones y tiempo de respuesta. La reducción de reprocesos o costes es una hipótesis que deberá validarse, no un ahorro garantizado.
Plazos y coordinación con la regulación sectorial
La aplicación del Reglamento es escalonada. La cronología oficial de la Comisión Europea refleja modificaciones del Digital Omnibus y sitúa la aplicación de las reglas de alto riesgo del anexo III el 2 de diciembre de 2027, mientras otras disposiciones tienen hitos distintos. Verifique la cronología oficial antes de fijar un compromiso contractual: una fecha aislada en un artículo puede quedar desactualizada.
La EIOPA distingue las obligaciones específicas de los sistemas de alto riesgo del marco sectorial existente. Por ello, alinear el inventario con cumplimiento, riesgos, protección de datos, tecnología y negocio evita duplicar evaluaciones y, sobre todo, dejar sin dueño los puntos de integración.
Para el marco transversal, lea la introducción al Reglamento de IA; para el modelo de gestión, consulte ISO/IEC 42001 y gobernanza operativa. Esta pieza se concentra en la clasificación y operación aseguradoras.
De la clasificación a una arquitectura gobernable
Una arquitectura útil conecta el registro de casos con datos, modelos, reglas de negocio y sistemas de pólizas o siniestros sin borrar la responsabilidad humana. La propuesta de OpenSistemas parte de integración, gobierno y operación de IA sobre sistemas corporativos existentes: consultoría operativa de IA para acotar decisiones y plataformas corporativas para sostener controles y trazabilidad. No equivale a certificar el cumplimiento de un proyecto concreto.
Si necesitas clasificar casos de uso aseguradores y definir quién los supervisa, habla con OpenSistemas. Empezaremos por la decisión que importa, los sistemas que ya tienes y la evidencia necesaria para operar con control.
GUÍA PARA COMITÉS DE DIRECCIÓN
¿Cómo pasar de los pilotos de IA a una capacidad operativa real?
Una guía para estructurar la conversación sobre adopción de IA empresarial antes de la próxima inversión.
Descargar la guíaPreguntas frecuentes sobre el Reglamento de IA en seguros
¿Toda la IA de una aseguradora es de alto riesgo?
No. El anexo III identifica, entre otros supuestos, sistemas destinados a evaluar riesgos y fijar precios para personas físicas en seguros de vida y salud. Cada sistema se clasifica según finalidad y uso previsto; otras normas y obligaciones pueden aplicarse aunque no sea de alto riesgo.
¿La detección de fraude en seguros es siempre de alto riesgo?
No se deduce automáticamente de pertenecer al sector asegurador. Hay que comprobar la finalidad, el efecto sobre la persona y las categorías aplicables. La excepción expresa para detección de fraude del anexo III 5.b se refiere al crédito, no autoriza a extrapolarla sin análisis al seguro.
¿Qué diferencia hay entre proveedor y responsable del despliegue?
El proveedor desarrolla o comercializa un sistema bajo su nombre; el responsable del despliegue lo usa bajo su autoridad. Una aseguradora debe concretar su papel para cada solución y documentar también las responsabilidades de integradores y terceros.
¿La opinión de EIOPA añade obligaciones legales nuevas?
No. EIOPA indica que su opinión orienta a los supervisores sobre los principios de gobierno y gestión del riesgo ya existentes en la legislación sectorial, con un enfoque proporcional; excluye de su ámbito los sistemas prohibidos y de alto riesgo del Reglamento de IA.
¿Cuándo se aplican las reglas del anexo III?
La cronología oficial de la Comisión Europea, que incorpora cambios del Digital Omnibus, indica el 2 de diciembre de 2027 para las reglas de alto riesgo del anexo III. Hay otros hitos para obligaciones distintas; confirme siempre el texto y calendario vigentes.
¿Cómo empezar sin rehacer todos los sistemas?
Seleccione un caso de vida o salud y otro de un ramo distinto. Describa su finalidad, datos, salida, decisión, proveedor y supervisión; clasifique cada uso y ensaye la reconstrucción de una decisión. Priorice las brechas reales antes de extender los controles.
