IA en finanzas y seguros: casos, normativa y proveedores

La IA ya es mayoritaria en las grandes entidades financieras: el 92 % de los bancos de la UE la despliega (EBA, 2025). Para una correduría, una fintech o una entidad pequeña, los casos con mejor retorno son documentos, atención al cliente y fraude, con el cumplimiento diseñado desde el primer día.

Esta guía está pensada para dirección, operaciones, cumplimiento o tecnología de entidades financieras y aseguradoras de tamaño pequeño y medio: corredurías y agencias de seguros, fintech, entidades de pago, cooperativas de crédito o empresas de asesoramiento financiero. Explica qué casos funcionan, cuáles son de alto riesgo según el Reglamento de IA, qué exige DORA al contratar un proveedor y cómo empezar con un piloto medible.

¿Cuánto se usa la IA en banca y seguros?

El sector financiero va por delante del resto de la economía. La Autoridad Bancaria Europea observa que el 92 % de los bancos de la UE está desplegando IA y el 8 % restante la está probando o estudiando casos de uso. Además, el 55 % de los bancos encuestados ya usa IA de propósito general o agentes en procesos de cara al cliente (EBA, 2025).

En seguros, la foto es parecida aunque más reciente. La autoridad europea de seguros, EIOPA, encuestó a 347 entidades de 25 países y concluyó que casi dos tercios ya usan IA generativa de forma activa, aunque la mayoría sigue en fase de prueba de concepto (EIOPA, 2026).

La lectura para una entidad pequeña es clara. Las grandes no han empezado por decisiones de crédito o de precio, sino por tareas internas de bajo riesgo y alto volumen. Es el orden sensato también para ti.

¿Qué casos de uso funcionan en finanzas y seguros?

Los casos que citan EBA y EIOPA se repiten en entidades de cualquier tamaño. Lo que cambia es el volumen y el riesgo regulatorio de cada uno. Esta tabla los ordena de menos a más exigentes.

EXPERTUNO · COMPARATIVA

¿Qué casos de uso funcionan en finanzas y seguros?

Caso de uso	Ejemplo	Riesgo regulatorio	Especialidad en expertuno
Asistente interno de conocimiento	Consultas sobre condicionados, normativa o procedimientos	Bajo, si no trata datos de clientes	rag
Extracción y clasificación documental	Pólizas, partes de siniestro, facturas, extractos, informes	Medio: datos personales, a veces de salud	automation
Conciliación y tesorería	Casar cobros y pagos con facturas y remesas	Bajo o medio	data
Atención al cliente	Chat o voz para estado de siniestros, recibos o dudas	Medio: transparencia y escalado a persona	conversational
Detección de fraude y blanqueo	Patrones anómalos en transacciones o siniestros	Medio: excluida del alto riesgo del Anexo III	data
Scoring crediticio de personas	Solvencia o puntuación de crédito	Alto riesgo en el Reglamento de IA	data
Riesgo y precio en vida y salud	Tarificación individual de seguros de vida o salud	Alto riesgo en el Reglamento de IA	data

Dos matices. El primero: un asistente que responde con tus propios documentos se construye casi siempre con una arquitectura RAG, que explicamos en qué es RAG y cuándo lo necesita una empresa. El segundo: el riesgo regulatorio no depende de la tecnología, sino de la decisión que apoya. El mismo modelo de lenguaje es de bajo riesgo si resume un condicionado y de alto riesgo si decide a quién se concede un préstamo.

¿Y en el departamento financiero de cualquier pyme?

Aunque tu empresa no sea una entidad financiera, su departamento de administración tiene casos parecidos y de bajo riesgo regulatorio. Los más habituales son la lectura automática de facturas de proveedor y su registro contable, la conciliación de extractos bancarios con cobros y pagos, la clasificación de gastos, la previsión de tesorería a partir del histórico y la preparación de borradores de informes de cierre. Ninguno decide sobre personas, así que el marco relevante es el de protección de datos y control interno, no el de alto riesgo. Si este es tu caso, te será más útil la guía sobre cómo usar la IA para automatizar procesos.

Hay también ejemplos españoles de producto. Embat, una fintech española creada en 2021, usa modelos de IA generativa de Google Cloud para automatizar la contabilización multidivisa y la conciliación bancaria de medianas y grandes empresas. Según el caso publicado por su proveedor, la IA enriqueció casi un tercio (32,7 %) de los datos necesarios para conciliar de forma automática (Google Cloud).

¿Qué usos son de alto riesgo según el Reglamento de IA?

El Reglamento europeo de IA clasifica como alto riesgo dos usos típicamente financieros: los sistemas destinados a evaluar la solvencia de personas físicas o establecer su puntuación de crédito, con la excepción de los usados para detectar fraude financiero, y los destinados a evaluar el riesgo y fijar precios de personas físicas en seguros de vida y salud (Comisión Europea, AI Act Service Desk).

El calendario ha cambiado. Con el Ómnibus de IA, en vigor desde el 27 de julio de 2026, las obligaciones de estos sistemas de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027, en lugar de agosto de 2026 (Comisión Europea, 2026). El retraso da margen, no una exención.

EXPERTUNO · COMPARATIVA

Usos financieros y Reglamento de IA

Uso	Clasificación	Desde cuándo aplica
Solvencia o scoring crediticio de personas físicas	Alto riesgo (Anexo III, punto 5.b)	2 de diciembre de 2027
Riesgo y precio en seguros de vida y salud de personas físicas	Alto riesgo (Anexo III, punto 5.c)	2 de diciembre de 2027
Detección de fraude financiero	Excluida expresamente del punto 5.b	Obligaciones generales
Asistentes internos y extracción documental	Riesgo limitado o mínimo, según el caso	Obligaciones generales

En la práctica, si usas o compras un sistema de scoring o de tarificación de vida y salud, tendrás que asegurarte de que el proveedor cumple sus obligaciones como fabricante del sistema y de que tu entidad cumple las suyas como usuaria: utilizarlo según sus instrucciones, garantizar supervisión humana con personas formadas, conservar los registros y vigilar su funcionamiento. A eso se suman las reglas de protección de datos sobre decisiones automatizadas, que ya se aplican hoy.

¿Qué cambia con la protección de datos?

El Reglamento de IA no sustituye al RGPD; se suma a él. Si un sistema contribuye a decidir si se concede un préstamo, se acepta un riesgo o se rechaza un siniestro, el cliente tiene derecho, con carácter general, a no quedar sometido a una decisión basada únicamente en un tratamiento automatizado que le afecte de forma significativa. Cuando se aplica alguna de las excepciones legales, conserva el derecho a obtener intervención humana, expresar su punto de vista e impugnar la decisión, y a recibir información significativa sobre la lógica aplicada. En seguros de salud y vida, además, entran en juego datos de salud, que exigen una base jurídica reforzada y medidas de seguridad específicas. Por eso conviene que cumplimiento y protección de datos participen en el diseño del piloto, no solo en su revisión final.

¿Qué exige DORA cuando contratas IA a un tercero?

Muchas entidades olvidan que un proveedor de IA en la nube es, a efectos regulatorios, un proveedor de servicios TIC. El Reglamento de resiliencia operativa digital (DORA) se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, empresas de inversión y otras entidades financieras, y abarca la gestión del riesgo TIC, la notificación de incidentes, las pruebas de resiliencia y el control del riesgo de terceros, incluidas cláusulas contractuales clave (EIOPA).

Traducido a una contratación concreta, conviene pedir al proveedor de IA:

• Ubicación y tratamiento de los datos: dónde se almacenan y procesan, qué subencargados intervienen y si los datos se usan para entrenar modelos.
• Continuidad y salida: qué pasa si el servicio cae, cómo se recuperan tus datos y cómo migrarías a otro proveedor.
• Registro y auditoría: trazas de cada consulta y acción del sistema, accesibles para tu equipo de cumplimiento.
• Gestión de incidentes: plazos de aviso compatibles con tus obligaciones de notificación.
• Cambios de modelo: aviso previo y pruebas cuando el proveedor cambie el modelo subyacente.

Tienes un repaso de riesgos más amplio en riesgos de la IA en la empresa y una lista de comprobación contractual en qué revisar antes de firmar con una consultoría de IA.

¿Cuánto cuesta y qué tipo de proveedor conviene?

En el mercado español conviven cuatro perfiles: fabricantes de software financiero o asegurador que añaden IA a su producto, fintech e insurtech especializadas en un proceso, consultoras de datos que construyen modelos a medida, y agencias de automatización que integran modelos de lenguaje con tus sistemas. Para una entidad pequeña, lo habitual es empezar con el primero o el último, y reservar el desarrollo a medida para procesos diferenciales.

EXPERTUNO · COMPARATIVA

Proyectos de IA en entidades financieras pequeñas: coste orientativo

Proyecto	Implantación orientativa	Coste recurrente orientativo
Asistente interno sobre normativa y procedimientos	6.000 – 25.000 €	300 – 1.500 € al mes
Extracción y clasificación de documentos	8.000 – 40.000 €	Según volumen de documentos
Asistente de atención al cliente con escalado	5.000 – 30.000 €	300 – 2.000 € al mes
Modelo de detección de fraude o anomalías	20.000 – 80.000 €	Mantenimiento y revisión periódica
Scoring o tarificación de alto riesgo	Desde 50.000 €, más validación y documentación	Gobierno del modelo y auditorías

Estos rangos son conservadores y dependen del número de sistemas que haya que integrar, del volumen de documentos o conversaciones y del trabajo de cumplimiento. El coste que más se subestima es el de gobierno: revisar muestras, documentar decisiones y mantener el registro de proveedores. Si quieres comparar con otras automatizaciones, revisa cuánto cuesta automatizar procesos con IA.

El caso de Embat ayuda a dimensionar el valor de la automatización financiera. Según el caso de Google Cloud, su solución permite a los equipos financieros ahorrar hasta un 75 % del tiempo en procesos manuales y repetitivos, y hasta 10 horas semanales a sus clientes (Google Cloud). Son cifras de un caso publicado por el proveedor tecnológico, útiles como orden de magnitud, no como promesa para tu entidad.

Preguntas que separan a un proveedor serio

• ¿Puedes hacer una demostración con una muestra anonimizada de nuestros documentos o conversaciones?
• ¿Qué parte de las respuestas o extracciones revisa una persona y cómo se decide?
• ¿Dónde se procesan los datos, qué modelos usas y qué pasa si cambias de modelo?
• ¿Qué registros de actividad nos entregas y en qué formato?
• ¿Qué entidades financieras o aseguradoras usan ya la solución y con qué resultados verificables?

Un proveedor que conteste con vaguedades a cualquiera de estas cinco preguntas no está preparado para un sector supervisado.

¿Cómo empezar sin comprometer el cumplimiento?

EXPERTUNO · FRAMEWORK

Primer proyecto de IA en una entidad financiera

1. 01
   Clasifica el caso

   Decide si apoya decisiones sobre personas (crédito, precio, siniestros) o solo tareas internas, y empieza por las segundas.

2. 02
   Revisa datos y base jurídica

   Qué datos personales intervienen, si hay datos de salud y qué base legal ampara el tratamiento.

3. 03
   Contrata con cláusulas DORA

   Ubicación de datos, subencargados, continuidad, auditoría, incidentes y salida por escrito.

4. 04
   Pilota con humano en el bucle

   El sistema propone y una persona valida, con métricas de acierto, tiempo y errores.

5. 05
   Documenta y escala

   Registro de decisiones, revisión de muestras y criterios claros para ampliar o parar.

El error más común es empezar por el caso más vistoso, como un asistente que "asesora" a clientes sobre productos financieros, en lugar del más rentable y controlable, como la extracción de datos de siniestros o la conciliación. El primero exige mucha más validación y puede chocar con normas de conducta y de información al cliente. El segundo devuelve horas desde el primer mes.

Define las métricas del piloto antes de empezar y mídelas también en la situación actual, sin IA. Para un proyecto documental, por ejemplo: porcentaje de campos extraídos correctamente, tiempo medio por expediente, casos derivados a revisión manual y errores detectados después. Para un asistente de atención: consultas resueltas sin intervención, tiempo de respuesta, escalados y reclamaciones. Sin esa línea base, cualquier resultado parecerá bueno y no podrás defender la ampliación ante dirección ni ante un supervisor.

Checklist antes de contratar IA en finanzas o seguros

• [ ] Has clasificado el caso: tarea interna, atención al cliente o decisión sobre personas.
• [ ] Sabes si el uso entra en el alto riesgo del Anexo III y desde cuándo te afecta.
• [ ] Has identificado los datos personales y, en su caso, de salud que tratará el sistema.
• [ ] El proveedor detalla dónde se procesan los datos y si se usan para entrenar modelos.
• [ ] El contrato incluye continuidad, auditoría, notificación de incidentes y plan de salida.
• [ ] El proveedor figura en tu registro de proveedores TIC y en tu análisis de riesgos.
• [ ] Hay supervisión humana definida para cualquier decisión con efecto sobre clientes.
• [ ] El piloto tiene métricas de acierto, tiempo ahorrado y errores, con fecha de fin.
• [ ] Existe un responsable interno que revisa muestras y registros de forma periódica.

Veredicto del consejo

Mercado. Banca y seguros van por delante en adopción: el 92 % de los bancos europeos despliega IA y casi dos tercios de las aseguradoras usan IA generativa. Para las entidades pequeñas, la oferta de software vertical con IA integrada crece rápido. La diferenciación no está en tener IA, sino en usarla con gobierno.

Económico. Los mejores retornos iniciales están en documentos, conciliación y atención de consultas repetitivas, con implantaciones de coste moderado. Los modelos de scoring o tarificación exigen una inversión mayor en validación y documentación. Presupuesta el gobierno del sistema como parte del coste, no como un extra.

Técnico. Trazabilidad, control de versiones del modelo y supervisión humana son requisitos de diseño, no añadidos. Prioriza proveedores que expliquen dónde se procesan los datos, cómo registran cada acción y cómo pruebas los cambios de modelo antes de que lleguen a producción.

Comprador. Empieza por casos internos de bajo riesgo, exige cláusulas compatibles con DORA y deja las decisiones sobre personas para cuando tengas gobierno probado. El retraso del alto riesgo a diciembre de 2027 es tiempo para prepararse, no para ignorarlo.

Si quieres comparar proveedores con pruebas, filtra el directorio de especialistas en datos e IA y plantea a cada uno el mismo caso, con los mismos requisitos de cumplimiento.