Supervisión del mercado de IA de BaFin desde julio de 2026: análisis

El documento de IA más importante en un banco rara vez es la ficha del modelo. Es el expediente de gobernanza que alguien puede presentar de verdad cuando un supervisor pregunta quién aprobó el sistema, qué hace y qué ocurre cuando falla. Desde julio de 2026, esa pregunta en Alemania tiene un responsable institucional más claro: BaFin. Para las empresas financieras, el cumplimiento en IA ha pasado de una arquitectura abstracta de la UE al trabajo más rutinario y costoso de inventarios, controles, expedientes de proveedores y responsabilidad a nivel del consejo.

BaFin ya está en la sala

Banking.Vision informó el 27 de octubre de 2026 que BaFin tiene la responsabilidad de la supervisión del mercado de IA en el sector financiero desde julio de 2026. Eso importa porque los bancos y las aseguradoras ya operan dentro de regímenes de supervisión densos, así que la supervisión de la IA no llegará como una novedad separada en una caja aparte. Se interpretará a través de la gestión de riesgos, la externalización, los controles y la responsabilidad documentada. La traducción práctica es sencilla: si un sistema de IA apoya una actividad financiera regulada, el expediente de cumplimiento debe parecer preparado para que la supervisión pueda examinarlo.

El momento encaja dentro de una secuencia legal más amplia. El sitio de la Ley de Inteligencia Artificial de la UE dice que la Ley de IA de la UE se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024. Después, el Boletín Oficial Federal de Alemania publicó la ley nacional de aplicación del Reglamento (UE) 2024/1689 como “BGBl. 2026 I Nr. 223 vom 28.07.2026,” identificándola como la ley que aplica el reglamento de la UE sobre normas armonizadas de IA. Esa es la parte que LinkedIn suele omitir: un reglamento de la UE directamente aplicable todavía necesita maquinaria nacional para definir quién supervisa, adónde van las reclamaciones y cómo se canaliza la ejecución.

@title Reloj de supervisión de la IA financiera
@source EU AI Act Bundesgesetzblatt
@source Banking Vision BaFin speech

  12 July 2024 ··· EU AI Act published
  July 2026 ······ BaFin AI role
  28 July 2026 ··· German law published
  1 Jan 2027 ····· WpI MaRisk applies

@caption Cuatro fechas que los equipos de IA financiera deberían anotar ya en el calendario.

Qué cambia antes de la primera carta de inspección

El informe alemán de Banking.Vision plantea el punto incómodo con claridad, al decir “Viele Pflichten gelten für Banken und Versicherer schon heute.” En español: no espere a que empiece una temporada ceremonial de aplicación para iniciar el trabajo básico de cumplimiento. Para bancos y aseguradoras, la pregunta útil no es si un modelo es impresionante. Es si la institución puede clasificar su uso, documentar los controles, mostrar supervisión humana cuando sea necesario y explicar las dependencias de proveedores externos.

Eso significa que los inventarios de IA deben convertirse en registros operativos, no en teatro de innovación. Un flujo de trabajo de crédito que use apoyo de IA, una herramienta de triaje de reclamaciones de seguros o un asistente de atención al cliente que toque procesos regulados deberían tener un responsable, un propósito, documentación de entradas y salidas, criterios de seguimiento y procedimientos de escalado. Los contratos con proveedores necesitan las cláusulas aburridas: acceso a la documentación, informes de incidentes y rendimiento, notificación de cambios, visibilidad sobre subcontratistas y cooperación en auditorías. Si su equipo de compras no puede conseguir esos términos, puede que el modelo siga siendo ingenioso, pero el despliegue no está listo para un supervisor.

La gestión de riesgos es el puente

El propio lenguaje de BaFin sobre las empresas de inversión apunta en la misma dirección. En un discurso del 26 de octubre de 2026, el director ejecutivo Thorsten Pötzsch dijo que las nuevas WpI MaRisk para empresas de inversión se aplican desde el 1 de enero de 2027. También dijo que el marco reúne gobernanza, dirección de riesgos, funciones de control y externalización en un único reglamento. Eso no es una norma de IA como tal, pero indica a los desarrolladores dónde espera BaFin que vivan los controles.

Para los equipos fintech que venden al sector financiero alemán, este es el mapa. Un comprador pedirá con menos frecuencia un manifiesto sobre IA responsable y con más frecuencia pruebas que encajen en su proceso existente de gestión de riesgos. ¿Se puede supervisar el sistema? ¿Puede el banco explicar los cambios del modelo? ¿Puede una aseguradora rastrear un resultado cuestionado hasta los datos, el proceso y la función de control responsable? Si la respuesta es “nuestros abogados lo están revisando”, tradúzcalo como que todavía no es desplegable en un flujo de trabajo regulado.

El expediente de cumplimiento que hay que construir ahora

El Boletín Oficial Federal confirma que la ley de aplicación de Alemania está vinculada al Reglamento de la UE 2024/1689, mientras que Banking.Vision identifica el papel de BaFin en el sector financiero desde julio de 2026. Si se juntan ambas cosas, la obligación inmediata no es predecir cada multa futura. Es hacer que el uso de IA sea legible para el supervisor que ya es responsable del sector.

El paquete práctico mínimo es poco glamuroso. Mantenga un registro de uso de IA por proceso de negocio, no por equipo experimental. Clasifique los sistemas según las categorías de la Ley de IA y el impacto en la regulación financiera, guardando el razonamiento. Adjunte aprobaciones de gobernanza, términos de proveedores, métricas de seguimiento, rutas de incidentes y criterios de retirada. Separe las afirmaciones de marketing de la evidencia real de control, porque los supervisores no califican adjetivos.

Lo siguiente que hay que observar es cómo BaFin describe sus inspecciones y hallazgos una vez que madure la supervisión de la IA financiera. Hasta entonces, bancos, aseguradoras y proveedores fintech deberían tratar el escrutinio actual como una hoja de ruta de implementación. Las empresas que hagan el papeleo pronto no harán que el riesgo de IA desaparezca. Al menos sabrán dónde está, quién es responsable de él y qué evidencias pueden entregar cuando llegue el correo cortés de la supervisión.