La regulación que conoces se diseñó para otro tipo de sistemas

El supuesto dominante en los servicios financieros ha sido que el riesgo de la IA encaja dentro de los marcos existentes de gestión del riesgo de modelos. SR 11-7 en Estados Unidos, estándares equivalentes en Europa y procesos de validación interna construidos a lo largo de décadas. La premisa: la IA es un modelo más sofisticado, y gobernar modelos sofisticados es lo que los servicios financieros llevan haciendo desde siempre.

Esa premisa se rompe en tres puntos estructurales. Primero, la gestión tradicional del riesgo de modelos presupone que los modelos pueden especificarse, validarse y operar después dentro de parámetros conocidos. Los sistemas de IA no se comportan así. El mismo modelo, alimentado con datos de producción ligeramente distintos, puede producir resultados sistemáticamente diferentes de los obtenidos en la validación. Segundo, el modelo ya no es la unidad de gobernanza. Un único modelo fundacional puede dar servicio simultáneamente a cinco casos de uso bancarios distintos, cada uno con un perfil de riesgo diferente. Tercero, los modelos de proveedor, esos modelos fundacionales de terceros que cada vez sostienen más la IA bancaria, se gobiernan mediante marcos de compras que nunca se diseñaron para sistemas cuyo comportamiento el comprador no puede observar del todo.

El seguro agrava el problema. El Reglamento Europeo de IA clasifica expresamente como de alto riesgo la tarificación en los seguros de vida y de salud. Esa sola frase cambia las obligaciones de toda aseguradora que despliegue IA en suscripción o en siniestros, por madura que sea su gobernanza actuarial actual.

Los riesgos son estructurales y se sitúan en la intersección entre los marcos de supervisión vigentes y unas obligaciones regulatorias nuevas que ninguno de esos marcos anticipó.