El Reglamento Europeo de IA llega a los equipos de siniestros

En GET Insurance Solutions llevamos meses revisando cómo afecta esta regulación a nuestra propia operativa. No como ejercicio teórico, sino porque usamos sistemas de IA en la gestión de siniestros y queremos tener claridad sobre qué implica hacerlo de forma responsable desde ya.

Lo que hemos aprendido en ese proceso es lo que compartimos en este artículo.

El punto de partida: qué sistemas están en el foco

La pregunta relevante para cualquier equipo de siniestros no es "¿usamos IA?" sino "¿nuestros sistemas de IA participan en decisiones que afectan al asegurado?"

El reglamento solo identifica de forma explícita como alto riesgo en seguros la evaluación de riesgos y la tarificación de personas físicas en seguros de vida y salud (Anexo III, punto 5.c). Eso, no "cualquier" uso de IA en una aseguradora, es lo que entra automáticamente en el régimen reforzado.

La mayor parte de los usos habituales en siniestros queda en zona gris y exige evaluación caso por caso. Si un sistema clasifica la complejidad de un expediente y eso determina si se perita en remoto o en persona, está condicionando el proceso del asegurado. Si una herramienta calcula una valoración de daños que se traslada directamente a la indemnización, está tomando una decisión con consecuencias económicas reales. Ninguno de estos casos es alto riesgo de manera automática, pero tampoco se puede descartar sin más.

Conviene además recordar un matiz que se pasa por alto: la detección de fraude está expresamente excluida del régimen de alto riesgo del Anexo III (punto 5.b, leído junto con el Considerando 58). Que un modelo puntúe el riesgo de fraude no lo convierte, por sí solo, en un sistema de alto riesgo en el sentido del reglamento.

Lo que cambia en la práctica

El reglamento no prohíbe usar IA en siniestros. Lo que establece es que los sistemas que efectivamente sean de alto riesgo deben operar con garantías concretas. Simplificando mucho, hay tres que afectan directamente al día a día:

1. La supervisión humana tiene que ser real, no nominal. No es suficiente con que un gestor figure en el proceso. Tiene que poder revisar y revertir la decisión del sistema, y tiene que quedar constancia de que esa revisión ocurre. Si el triaje automático cierra expedientes sin que nadie los valide, eso no cumple.

2. El asegurado tiene derecho a una explicación comprensible. "El modelo lo calculó así" no es una respuesta válida. Si la IA influyó en la decisión sobre su siniestro, el asegurado puede preguntar por qué. Los equipos de siniestros tienen que estar preparados para responder en términos que cualquier persona entienda.

3. Las decisiones automatizadas deben ser trazables. Cada acción relevante del sistema tiene que quedar registrada con suficiente detalle para poder auditarla. Si hoy no puedes reconstruir qué decidió el sistema sobre un expediente concreto y cuándo, hay trabajo pendiente.

A esto hay que añadir un punto fácil de olvidar. El artículo 6.3 permite concluir que un sistema descrito en el Anexo III no es de alto riesgo cuando no plantea un riesgo significativo, pero el artículo 6.4 obliga a documentar esa autoevaluación antes de poner el sistema en servicio. Decidir "esto no nos aplica" tiene también su procedimiento: hay que dejarlo por escrito.

Por dónde empezar

Nuestra experiencia revisando esto internamente es que el proceso no es tan complejo como parece, pero sí requiere tiempo. Hay que hacer el trabajo con calma y no esperar a que se confirme el calendario definitivo.

Lo primero es el inventario: saber exactamente qué sistemas de IA usa el equipo de siniestros, incluyendo los que vienen de proveedores externos. Muchos equipos no tienen esa lista clara, y es el punto de partida de todo lo demás.

Lo segundo es revisar, para cada sistema, si existe supervisión humana real en los momentos que importan. No en el papel, en la práctica. Esa revisión suele revelar procesos que funcionan bien y otros que necesitan ajuste.

Lo tercero es hablar con los proveedores. El reglamento establece obligaciones para quienes desarrollan estos sistemas, y la aseguradora que los usa tiene derecho a pedir la documentación que acredita el cumplimiento. Si el proveedor no puede entregarla, eso es una señal importante.

Sobre las fechas conviene tener claro que el calendario es escalonado: prohibiciones desde febrero de 2025, obligaciones para modelos de propósito general desde agosto de 2025, transparencia del artículo 50 desde agosto de 2026, alto riesgo del Anexo III el 2 de diciembre de 2027 y productos del Anexo I el 2 de agosto de 2028. No existe una única fecha de despliegue total. Y el aplazamiento no es excusa para esperar: el trabajo de inventario, supervisión y documentación lleva meses, y empezar tarde no se compensa.

Preguntas frecuentes

La pregunta que ordena todo el proceso es simple: ¿sabemos qué deciden nuestros sistemas de IA, cuándo lo deciden y cómo puede un profesional revisarlo? Si la respuesta es sí, el camino es corto. Si es no, diciembre de 2027 es la fecha para tenerlo resuelto.

Una nota sobre el tono de este proceso

El Reglamento Europeo de IA tiene un perímetro técnico y legal que no corresponde a un equipo de siniestros interpretar solo. Para eso existen los equipos de compliance, los asesores jurídicos especializados y los recursos y orientaciones de organismos como AESIA.

Lo que sí corresponde a los equipos de siniestros es conocer qué herramientas usan, entender en qué momento esas herramientas toman o condicionan decisiones sobre personas, y asegurarse de que existe supervisión humana real en esos momentos. Eso no requiere un jurista. Requiere conocer la propia operativa.

Es el trabajo que nosotros hemos hecho. Y el que recomendamos iniciar cuanto antes.

¿Estáis revisando ya cómo afecta el reglamento a vuestra operativa? Escribidnos si queréis contrastar el proceso.