Gobernanza de IA en finanzas: qué debe aprobar el directorio

La mayoría de las áreas financieras dedicó el primer semestre de 2026 a prepararse para una fecha que ya no aplica. Un número menor incumple hoy una norma que nadie reprogramó. Ambos grupos cometieron el mismo error. Trataron las reglas europeas de IA como un solo plazo en lugar de varios.

La fecha se movió. Un deber no.

El 24 de julio de 2026 la Unión Europea publicó en el Diario Oficial el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA. Entró en vigor el 27 de julio, seis días antes de la fecha de cumplimiento que fue escrito para mover.

El aplazamiento es real y es sustancial. Los sistemas autónomos de alto riesgo del Anexo III, la categoría que abarca la evaluación de solvencia de personas físicas y la tarificación de riesgo en seguros de vida y salud, tienen ahora hasta el 2 de diciembre de 2027. La IA integrada en productos ya cubiertos por la legislación europea de seguridad de productos tiene hasta el 2 de agosto de 2028. Para una institución que había presupuestado una evaluación de conformidad para el tercer trimestre de este año, eso equivale a unos dieciséis meses recuperados.

Luego está la parte que no se movió.

El artículo 50 regula la transparencia. Exige que se informe a una persona cuando interactúa con un sistema de IA. Esa obligación entró en vigor el 2 de agosto de 2026 y el Ómnibus la dejó ahí. El único alivio concedido fue estrecho. El requisito de marcado de agua del artículo 50(2) recibió cuatro meses, hasta el 2 de diciembre de 2026, y solo para sistemas ya introducidos en el mercado.

Así, la posición al 24 de agosto de 2026 no es que las reglas de IA se aplazaron. Es esta. La obligación pesada de ingeniería se corrió dieciséis meses. El deber de divulgación lleva tres semanas vigente.

Por qué "aplazado" es la palabra equivocada para un acta de directorio

La diferencia importa por el carácter distinto de las dos obligaciones.

El cumplimiento de alto riesgo es una construcción. Exige un sistema de gestión de riesgos, gobernanza de datos, pruebas de sesgo, documentación técnica, diseño de supervisión humana y una evaluación de conformidad previa al despliegue. Las instituciones miden ese trabajo en trimestres de ingeniería. Es exactamente el tipo de programa que un directorio aplaza cuando un regulador le entrega dieciséis meses.

El artículo 50 no es una construcción. En la mayoría de las instituciones es una frase en una ventana de chat, una línea en un guion de respuesta de voz interactiva, una etiqueta en un correo automatizado. El trabajo es pequeño. La exposición no. El incumplimiento de cualquiera de las dos obligaciones cae en el mismo tramo sancionador, hasta 15 millones de euros o el 3% de la facturación anual mundial, la cifra que sea mayor.

Esa asimetría es la trampa. La obligación más fácil de satisfacer es la que sigue vigente, y es la que con mayor probabilidad quedó barrida dentro de un programa que se detuvo en julio.

Las cuatro aprobaciones que el directorio realmente posee

El texto regulatorio no le dice a un directorio qué firmar. Estas cuatro decisiones sí, y un directorio no puede delegar ninguna en el equipo de riesgo de modelos y seguir siendo dueño del resultado.

1. El inventario, y quién lo certificaNo una lista de modelos. Una lista de los puntos donde un sistema toca a una persona: qué conversaciones con clientes atiende un sistema de IA, qué decisiones de crédito informa, qué siniestros tarifica. La mayoría de las instituciones ya tiene un inventario de modelos. Lo construyeron para rastrear lo que predice, no lo que habla. El directorio aprueba el alcance del inventario y nombra al ejecutivo que certifica que está completo.
2. La decisión de clasificaciónSi un sistema cae dentro del Anexo III es una determinación jurídica con una consecuencia de dieciséis meses adjunta. Léela con demasiada holgura y la fecha de diciembre de 2027 nunca fue tuya. Esta decisión necesita un responsable con nombre, razonamiento escrito y un disparador de revisión, porque la clasificación sobrevive al aplazamiento aunque la obligación se haya movido.
3. El estándar de divulgaciónEl artículo 50 está vigente, así que el directorio aprueba qué significa "informado" en la práctica: la redacción, la ubicación, el punto del recorrido donde aparece y el tratamiento cuando una persona toma el relevo a mitad de conversación. Este punto es el que más se omite, porque parece una pregunta de experiencia del cliente y no de gobernanza.
4. La capa de evidenciaEn diciembre de 2027 un supervisor no preguntará si la institución tenía una política. Pedirá el registro. Qué sistema, qué versión, qué decisión, qué persona la revisó. Las instituciones que traten el aplazamiento como dieciséis meses de calma llegarán con una política y sin evidencia. El directorio aprueba quién custodia ese registro, y cuándo empieza. Empieza ahora, porque los sistemas que operan hoy están generando el expediente de 2027.

El paralelo estadounidense, y dónde se detiene

Las instituciones estadounidenses que lean esto desde fuera del perímetro europeo no deberían suponer que la pregunta es distinta en su naturaleza.

La SR 11-7, la guía supervisora de la Reserva Federal y la OCC sobre gestión del riesgo de modelos, rige desde abril de 2011. Ya exige validación, documentación y revisión independiente para modelos usados en decisiones de negocio. No es nueva y nada la ha sustituido.

Para lo que no fue escrita es para sistemas que actúan. La SR 11-7 supone que un modelo produce un resultado que luego una persona usa. Un sistema que resuelve una consulta de un cliente, ajusta un límite o completa un flujo de trabajo no encaja limpiamente en esa forma, una brecha que expusimos en La Brecha de Gobernanza de la Economía Agéntica. Las preguntas de validación siguen aplicando. Las preguntas de control, quién autorizó esta acción, contra qué mandato, con qué rastro de auditoría, no tienen respuesta asentada en el texto de 2011.

La consecuencia práctica es que una firma con un programa SR 11-7 maduro está más adelantada que una sin él, y no ha terminado. Un inventario construido para validación de modelos no responderá, por sí solo, la pregunta del artículo 50 sobre qué sistemas hablan con clientes.

Qué hacer antes de diciembre

Vale la pena completar tres cosas en los próximos noventa días, y ninguna exige reiniciar el programa aplazado.

Separa el registro. Divide el inventario de IA entre sistemas que informan decisiones y sistemas que interactúan con personas. La segunda lista es la población del artículo 50 y es más corta de lo que la mayoría de los equipos espera. También es la lista que ya está en alcance.

Cierra la brecha de divulgación. Donde un sistema de IA habla con un cliente, confirma que la divulgación existe y que sobrevive al traspaso a una persona. Esto toma días de trabajo, no trimestres.

Empieza el expediente. Cualquiera que sea el estándar de evidencia que exija diciembre de 2027, se satisfará con registros que existen o no existen. Dieciséis meses de aplazamiento son dieciséis meses de registros que nadie puede recrear después.

La pregunta detrás del plazo

El Ómnibus no redujo la pregunta de gobernanza. Reprogramó una parte y dejó la parte visible en su sitio.

Para un directorio, el encuadre útil no es la gestión de fechas de cumplimiento. Es este. Si un cliente pregunta mañana si estaba hablando con una persona, y un supervisor pregunta en 2027 quién autorizó una decisión, ¿puede la institución responder ambas desde un registro que ya lleva? La primera pregunta está vigente ahora. Los sistemas que operan hoy están respondiendo la segunda, correctamente o no.

Fuentes

Todos los documentos primarios fueron consultados el 24 de agosto de 2026. Las posiciones regulatorias indicadas corresponden a esa fecha.

• Diario Oficial de la Unión Europea, Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA), publicado el 24 de julio de 2026, en vigor desde el 27 de julio de 2026, EUR-Lex.
• Diario Oficial de la Unión Europea, Reglamento (UE) 2024/1689 (Ley de Inteligencia Artificial), artículos 50 y 99 y Anexo III, EUR-Lex.
• Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes, sobre el alcance del aplazamiento y las obligaciones que permanecen vigentes.
• Junta de Gobernadores de la Reserva Federal y Office of the Comptroller of the Currency, SR 11-7, Supervisory Guidance on Model Risk Management, abril de 2011.