Industries We Serve

Qué entra en el ámbito de aplicación y cómo se clasifica

• La evaluación de la solvencia y la calificación crediticia de personas físicas se mencionan en el anexo III, punto 5, letra b). Junto a ellas figuran la evaluación de riesgos y la tarificación en los seguros de vida y de salud.
• La detección del fraude, la monitorización de transacciones para la prevención del blanqueo de capitales y el riesgo de modelo interno quedan, en la mayoría de los diseños, fuera del anexo III, y se alcanzan a través de MaRisk y DORA.
• El artículo 6, apartado 3, permite que un sistema enumerado en el anexo III quede fuera de la categoría de alto riesgo cuando no influye sustancialmente en el resultado de una decisión. Si eso se aplica es una constatación propia de cada sistema, que se documenta en lugar de presumirse.

Los plazos aplicables

• 18 Dic 2025 DORA — Guía de la BaFin sobre los riesgos TIC en el uso de la IA en las entidades financieras (ya en aplicación)
• 29 Jul 2026 KI-MIG — Empezó a aplicarse, tras su publicación en el Bundesgesetzblatt el 28 de julio de 2026 (ya en aplicación)
• 2 Dic 2027 EU AI Act — Obligaciones de alto riesgo para los sistemas independientes del anexo III

Qué pide ver un supervisor

• Un expediente de conformidad por cada sistema de alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad y la supervisión humana realmente implantada.
• Para la BaFin conforme a DORA, cada sistema de IA recogido en el inventario de activos TIC con supervisión de su ciclo de vida —desde la adquisición de datos hasta la retirada— y reflejado en el registro de información.
• Prueba de que los documentos del RGPD, de DORA y del EU AI Act existen por separado. Una EIPD del artículo 35 no es un expediente de conformidad, y ninguno de los dos exime del otro.

Qué aporta Alleina para ello

Dos trampas que este sector encuentra con más frecuencia. Una modificación sustancial reinicia el plazo de conformidad, de modo que un sistema que se apoya en el régimen transitorio de los modelos ya introducidos en el mercado puede perderlo con un reentrenamiento ordinario. Y cuando la documentación de conformidad de un proveedor externo es incompleta, las obligaciones de la entidad responsable del despliegue no desaparecen: trasladar la documentación no traslada con ella la responsabilidad.

Qué entra en el ámbito de aplicación y cómo se clasifica

• El anexo III, punto 2, menciona la IA utilizada como componente de seguridad en la gestión y el funcionamiento de las infraestructuras digitales críticas y del suministro de agua, gas, calefacción y electricidad.
• La previsión de carga y demanda, el mantenimiento predictivo y la optimización del trading no quedan automáticamente fuera de ello. Que un modelo sea o no un componente de seguridad depende de qué falla si se equivoca, lo que es una cuestión de delimitación y no una exención adquirida.
• Los suministradores de energía alemanes tienen además obligaciones derivadas de la EnWG que se vinculan al proceso y no al modelo, entre ellas la transparencia de los cambios de precio y la responsabilidad de balance.

Los plazos aplicables

• 6 Dic 2025 NIS2 / BSIG — La ley alemana de aplicación empezó a aplicarse, sin periodo transitorio (ya en aplicación)
• 29 Jul 2026 KI-MIG — Empezó a aplicarse, tras su publicación en el Bundesgesetzblatt el 28 de julio de 2026 (ya en aplicación)
• 2 Dic 2027 EU AI Act — Obligaciones de alto riesgo para los sistemas independientes del anexo III

Qué pide ver un supervisor

• Un registro defendible de qué modelos se evaluaron como componentes de seguridad y cuáles no, con el razonamiento y la fecha.
• Para los operadores incluidos en el ámbito de NIS 2, las medidas de gestión de riesgos de ciberseguridad y el calendario escalonado de notificación de incidentes, con el registro ante el BSI completado.
• La continuidad entre ambos: un incidente de IA en un sistema de control es con frecuencia notificable conforme a NIS 2 antes de que se active obligación alguna del EU AI Act.

Qué aporta Alleina para ello

Qué entra en el ámbito de aplicación y cómo se clasifica

• La IA que forma parte de un producto regulado por el MDR o el IVDR se alcanza a través del anexo I, y su conformidad discurre por la vía existente de seguridad del producto y por su organismo notificado, en lugar de junto a ella.
• La IA sanitaria independiente que no es un producto sanitario —triaje, elegibilidad y acceso a servicios sanitarios esenciales— se alcanza en cambio a través del anexo III, en la fecha más temprana.
• La misma idea clínica puede caer de un lado o del otro según su finalidad prevista, lo que la convierte en una cuestión de clasificación y no en una formalidad.

Los plazos aplicables

• 25 May 2018 GDPR — Empezó a aplicarse en toda la UE (ya en aplicación)
• 29 Jul 2026 KI-MIG — Empezó a aplicarse, tras su publicación en el Bundesgesetzblatt el 28 de julio de 2026 (ya en aplicación)
• 2 Ago 2028 EU AI Act — Obligaciones de alto riesgo para los sistemas del anexo I integrados en productos regulados

Qué pide ver un supervisor

• Para los productos del anexo I, las pruebas del EU AI Act integradas en la documentación técnica y en el sistema de gestión de la calidad existentes, en lugar de archivadas como un conjunto paralelo.
• Para los sistemas del anexo III, un expediente de conformidad propio, y una evaluación de impacto relativa a los derechos fundamentales cuando el responsable del despliegue es un organismo público o un proveedor de servicios esenciales.
• El tratamiento de categorías especiales de datos del artículo 9 del RGPD, documentado con independencia de ambos.

Qué aporta Alleina para ello

Las dos fechas son el 2 de diciembre de 2027 para los sistemas independientes del anexo III y el 2 de agosto de 2028 para la IA integrada en un producto del anexo I. Una cartera que contiene ambos soporta ambas.

Qué entra en el ámbito de aplicación y cómo se clasifica

• Una empresa de software que lanza una funcionalidad construida sobre un modelo es con frecuencia un proveedor y no solo un responsable del despliegue, y las obligaciones del proveedor son el conjunto más pesado.
• El artículo 50 sobre transparencia se aplica ahora: informar de que una persona está interactuando con un sistema de IA, y marcar los contenidos generados por IA. Las obligaciones relativas a los modelos de IA de uso general se aplican desde agosto de 2025.
• Las funcionalidades de selección de personal y de recursos humanos se mencionan en el anexo III, punto 4, lo que las sitúa en la categoría de alto riesgo en la fecha de 2027 y no en la que ya está vigente.

Los plazos aplicables

• 29 Jul 2026 KI-MIG — Empezó a aplicarse, tras su publicación en el Bundesgesetzblatt el 28 de julio de 2026 (ya en aplicación)
• 2 Ago 2026 EU AI Act — Aplicación general, incluidas las obligaciones de transparencia del artículo 50 (ya en aplicación)
• 2 Dic 2026 Digital Omnibus on AI — Nuevas prohibiciones en el artículo 5 relativas a la IA que genera imágenes íntimas no consentidas o material de abusos sexuales a menores

Qué pide ver un supervisor

• Información y marcado de contenidos implementados en el producto y acreditados, no descritos en una política.
• Para los modelos de uso general, documentación técnica, un resumen de los datos de entrenamiento y una política en materia de derechos de autor.
• Un inventario que distinga, para cada sistema, el papel de proveedor del de responsable del despliegue, porque las obligaciones difieren y una misma organización es habitualmente ambos.

Qué aporta Alleina para ello

Este es el sector en el que el aplazamiento cambia menos. La transparencia, las prohibiciones y las obligaciones sobre los modelos de uso general no se vieron afectadas por el Omnibus y son exigibles hoy.

Qué entra en el ámbito de aplicación y cómo se clasifica

• El anexo III, punto 5, menciona la IA utilizada para evaluar la solvencia o para determinar la elegibilidad a servicios privados esenciales. La selección de inquilinos, la puntuación de capacidad de pago del alquiler y las comprobaciones previas de hipoteca o financiación son las formas que esto adopta en el sector inmobiliario.
• Los modelos de valoración automatizada utilizados para fijar precios, y no para decidir sobre una persona determinada, plantean una cuestión distinta: se delimitan, en lugar de darse por incluidos o excluidos.
• En Alemania, la AGG ya prohíbe hoy la selección discriminatoria en el arrendamiento, con independencia de lo que añada el EU AI Act.

Los plazos aplicables

• 25 May 2018 GDPR — Empezó a aplicarse en toda la UE (ya en aplicación)
• 29 Jul 2026 KI-MIG — Empezó a aplicarse, tras su publicación en el Bundesgesetzblatt el 28 de julio de 2026 (ya en aplicación)
• 2 Dic 2027 EU AI Act — Obligaciones de alto riesgo para los sistemas independientes del anexo III

Qué pide ver un supervisor

• Cuando una decisión de selección está automatizada, debe documentarse la posición conforme al artículo 22 del RGPD: base jurídica, información significativa sobre la lógica aplicada y la vía para la intervención humana. Esto se aplica ahora, y no a partir de 2027.
• Pruebas de equidad sobre las características protegidas, conservadas y fechadas, que es también lo que exige una impugnación basada en la AGG.
• Un registro de revisión humana que muestre que una persona podía cambiar un resultado y lo hizo, en lugar de una aprobación de puro trámite.

Qué aporta Alleina para ello

El trabajo derivado del EU AI Act prolonga aquí controles que una actividad de arrendamiento o de financiación ya debe aplicar conforme al RGPD y a la AGG. Rara vez es un programa nuevo.