Las empresas de telecomunicaciones recurren a sistemas automatizados para influir en los resultados de los consumidores, pero, a medida que convergen los marcos de gobernanza de la inteligencia artificial, aquellas que carecen de controles integrados a nivel de toda la empresa están acumulando una deuda regulatoria que las autoridades reguladoras están a punto de exigirles.
Evolución de las capacidades de la IA: la mejora de las competencias ha pasado de centrarse en las indicaciones conversacionales a centrarse en la ingeniería estratégica del contexto
El sector de los seguros se ha convertido en el que más recurre a la inteligencia artificial en Estados Unidos según el criterio más relevante: la densidad de las decisiones automatizadas que afectan a los consumidores a título individual.
Todos los flujos de trabajo de suscripción, motores de tarificación, modelos de tramitación de siniestros y sistemas de detección de fraudes funcionan a gran escala, generando resultados que determinan si los consumidores obtienen cobertura, a qué precio y en qué condiciones. Sin embargo, los programas de gestión de riesgos que rigen esas decisiones no han avanzado al mismo ritmo y, como consecuencia, las aseguradoras se enfrentan cada vez más a importantes repercusiones a nivel de toda la empresa, al tiempo que se acercan rápidamente los plazos reglamentarios para el cumplimiento de la normativa sobre inteligencia artificial.
Hasta hace poco, la gobernanza de la inteligencia artificial en el sector de los seguros se limitaba a un debate sobre gestión de riesgos entre los equipos de cumplimiento normativo y los departamentos jurídicos, pero ya no es así.
En la actualidad, existen tres marcos normativos distintos que abordan la cuestión de la gobernanza en nombre de los operadores, y la mayoría de ellos no están preparados para ninguno de ellos.
Hay tres plazos reglamentarios que rigen el cumplimiento normativo en materia de IA
El primer reloj está en cuenta atrás.
Normativa de California sobre tecnologías de toma de decisiones automatizada (ADMT), que forma parte del marco general de protección de datos del Estado, entrarán en vigor el 1 de enero de 2027. En virtud de la ADMT, las organizaciones, incluidas las compañías de seguros, deben garantizar a los consumidores el derecho a excluirse voluntariamente, una revisión humana significativa y evaluaciones de riesgo documentadas para cualquier sistema automatizado que influya de manera sustancial en decisiones importantes de los consumidores.
En el caso de las aseguradoras, las normas se aplican a todos los segmentos de las líneas de seguros personales y comerciales. Asimismo, se aplican a los motores de reglas y a los modelos de puntuación, y no solo a los sistemas de aprendizaje automático. Es importante destacar que conllevan obligaciones de cumplimiento con consecuencias normativas reales. La Agencia de Protección de la Privacidad de California (CalPrivacy), que ostenta la autoridad para velar por su cumplimiento, puede imponer multas de hasta $7.500 por infracción, calculadas por consumidor. CalPrivacy ya ha demostrado que impondrá sanciones en lugar de emitir advertencias, con una lista cada vez mayor de medidas coercitivas que van desde cientos de miles hasta decenas de millones de dólares.
El segundo reloj da la hora antes. Boletín sobre modelos de inteligencia artificial de la Asociación Nacional de Comisionados de Seguros, ahora aprobada por 25 estados, exige a las entidades de crédito que establezcan un programa escrito de gobernanza de la inteligencia artificial que abarque el desarrollo, la adquisición, las pruebas, el seguimiento y la supervisión de los sistemas de inteligencia artificial. El primer ciclo de inspección en vivo comienza en el cuarto trimestre, incluso antes de que se ponga en marcha la aplicación de la normativa ADMT.
Ya ha dado la tercera campanada. La Circular n.º 7 del Departamento de Servicios Financieros de Nueva York (NYDFS), publicada en 2024, exige a las aseguradoras que operan en Nueva York que dispongan de un programa escrito de gobernanza de la IA, cuya responsabilidad recaiga en el consejo de administración. Las aseguradoras que operan en Nueva York sin un programa escrito de gobernanza de la IA ya se encuentran en situación de incumplimiento.
Estos programas de cumplimiento comparten una serie de requisitos comunes en materia de infraestructura: un registro documentado de las decisiones automatizadas, la asignación de modelos y data, mecanismos de protección de los derechos de los consumidores, pruebas de la evaluación de riesgos, programas de supervisión de proveedores y políticas de gobernanza por escrito. Las empresas de telecomunicaciones que tratan cada marco como un mandato de cumplimiento aislado están generando costes redundantes en sus operaciones y brechas estructurales en su gobernanza, con una alta probabilidad de tener que realizar costosas modificaciones a medida que más estados se sumen a la iniciativa.
El alcance es más amplio de lo que la mayoría de los operadores han cartografiado
La idea errónea más peligrosa en materia de gobernanza de la IA en el sector de los seguros es que estos marcos se centran únicamente en la IA y el aprendizaje automático. No es así.
Cualquier sistema automatizado que influya de manera sustancial en una decisión importante del consumidor entra dentro del ámbito de aplicación de la ADMT. Esto incluiría, por ejemplo, un motor de reglas creado hace 15 años si influye en la fijación de precios, los criterios de elegibilidad o los resultados en materia de cobertura. También se incluyen los modelos de evaluación de riesgo de fraude y los flujos de trabajo de tramitación de reclamaciones, junto con una gran variedad de procesos de toma de decisiones esenciales en toda la empresa. Lo que importa no es la tecnología, sino si la decisión afecta de manera significativa a la vida de los consumidores.
El marco de la NAIC amplía aún más este requisito, abarcando no solo los sistemas, sino también a los proveedores y las relaciones data que hay detrás de ellos. El NYDFS va aún más allá: las aseguradoras deben regular tanto sus modelos internos como los data externos utilizados para alimentar dichos modelos. Esto reviste gran importancia para las aseguradoras de seguros generales que gestionan programas de seguros basados en el uso mediante telemática y datos de comportamiento de terceros (data). El marco se aplica a la cadena de suministro de data, no solo al sistema de toma de decisiones.
Las aseguradoras que han llevado a cabo esta labor detectan sistemáticamente más riesgos de incumplimiento de lo que esperaban: motores de reglas heredados anteriores a cualquier programa formal de inteligencia artificial, modelos de terceros integrados en plataformas centrales y flujos de trabajo que han gestionado los resultados de los clientes durante años sin haber sido clasificados formalmente como sistemas de toma de decisiones.
La mayoría no ha realizado este ejercicio y es precisamente lo que los examinadores vienen a comprobar.
La tendencia en materia de legislación estatal no da señales de ralentizarse
La ley SB 21-169 de Colorado, en vigor desde 2023, exige que las compañías de seguros de vida documenten las medidas de protección de la equidad algorítmica y presenten certificaciones anuales ante el comisionado estatal de seguros. En aquel momento, el sector de los seguros lo consideró un requisito de cumplimiento específico de Colorado. No fue así. Se trataba de una tendencia generalizada.
El marco ADMT de California ha ampliado esa misma lógica a las decisiones automatizadas en todas las líneas de seguros, abarcando los derechos de los consumidores, la explicabilidad y la rendición de cuentas. Nueva York cuenta con requisitos similares en vigor desde principios de 2024. Illinois, Maryland y Connecticut están impulsando marcos análogos. El boletín de la NAIC ha llegado a 25 estados y sigue extendiéndose.
La idea errónea más peligrosa en gobernanza de la IA en el sector de los seguros Es que estos marcos se centran exclusivamente en la inteligencia artificial y el aprendizaje automático. Las aseguradoras que han tratado cada avance como un hecho aislado han ido creando programas puntuales, estado por estado. Las aseguradoras que reconocen esta tendencia están desarrollando programas integrados, diseñados para adaptarse a los nuevos requisitos a medida que se suman más estados, sin necesidad de volver a diseñarlos cada vez. La diferencia no radica únicamente en el coste, sino en la rapidez competitiva. Cuando el siguiente estado adopta medidas, una aseguradora solo tiene que realizar ajustes, mientras que otras deben empezar de cero.
La diferencia no radica únicamente en el coste, sino en la velocidad competitiva.
Qué se requiere para que un sistema esté listo para su implementación
El objetivo de la gobernanza de la IA en el sector de los seguros no es el cumplimiento normativo por sí mismo. Se trata de la capacidad de implementar funciones de toma de decisiones automatizadas a gran escala, con la confianza de que dichas funciones puedan explicarse, defenderse y ajustarse cuando así lo exijan los organismos reguladores, los consumidores o las condiciones del mercado. Las aseguradoras que construyan esta infraestructura ahora no solo están gestionando el riesgo normativo. Están sentando las bases operativas para obtener una ventaja competitiva en un mercado en el que la IA desempeña un papel fundamental.
Esto es lo que requiere dicha infraestructura:
- Un registro documentado de todas las decisiones automatizadas clasificados según los criterios de ámbito de aplicación de la ADMT, la NAIC y la NYDFS. No solo los sistemas de inteligencia artificial, sino también los motores de reglas, los modelos de puntuación y las herramientas de elaboración de perfiles.
- Un mapa completo del data que influye en dichas decisiones, incluidas fuentes externas y aportaciones de proveedores externos.
- Notificaciones a los consumidores y vías de exclusión voluntaria que funcionen en la práctica, no como declaraciones de política, sino como mecanismos que modifican los resultados de las decisiones.
- Procesos de revisión humana en los que los revisores cuentan con una auténtica facultad de anulación y documentar sus fundamentos de forma que las autoridades reguladoras puedan acceder a ellos.
- Evaluaciones formales de riesgos para cada sistema de toma de decisiones sobre materiales: pruebas documentadas de que la empresa de transporte ha evaluado, comprendido y controla los riesgos que generan sus sistemas automatizados.
Nada de esto constituye una teoría novedosa sobre gobernanza. Los organismos reguladores de diversas jurisdicciones ya lo han incorporado a la legislación. Las aseguradoras serán evaluadas en función de ello cuando lleguen los inspectores.
El plazo para construir está a punto de vencer
El ciclo de inspecciones de la NAIC comienza este otoño.
La aplicación de la normativa ADMT entrará en vigor el 1 de enero. Ambos plazos están próximos y exigen una coordinación interfuncional entre los departamentos de data, tecnología, asuntos jurídicos, suscripción y siniestros. Las aseguradoras que lleguen a la segunda mitad de 2026 sin un programa de IA (AIS) por escrito, sin una evaluación de preparación para la ADMT y sin un marco de gobernanza de la IA que cumpla con los requisitos del NYDFS no se están preparando para una inspección, sino que ya se encuentran en la sala de inspección.
La buena noticia es que la infraestructura necesaria en los tres marcos comparte elementos comunes. Un programa integrado, creado una sola vez y diseñado para dar respuesta simultáneamente a los requisitos de la ADMT, la NAIC y la NYDFS, resulta más económico y ofrece un marco de gobernanza más sólido que tres líneas de trabajo de cumplimiento paralelas. Las aseguradoras que lo implanten ahora contarán con ventajas estructurales en cuanto a la preparación para las inspecciones, la rapidez de implementación y la gestión de las relaciones con las autoridades reguladoras, que sus competidores que se incorporen más tarde no podrán replicar con la misma rapidez.
Las empresas de transporte que esperan un momento más oportuno para ponerse en marcha están interpretando mal su calendario.
Las decisiones automatizadas se están ejecutando. Los marcos normativos están en vigor. Cada mes que transcurre sin un programa de gobernanza de la IA supone una deuda normativa, y el calendario de cumplimiento ya está fijado.
