En la mayoría de las empresas el alto riesgo está en Recursos Humanos y no en la actividad. En servicios financieros la respuesta cambia: aquí sí está en el negocio.
Pero cambia menos de lo que el sector teme, y la razón está en tres acotaciones que el propio Anexo III escribe y que casi nunca se citan.
Lo que dice el punto 5
«b) Sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros.»
«c) Sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud.»
Dos actividades, y en las dos hay una acotación dentro de la frase.
La figura dibuja los ocho ámbitos del anexo III del Art. 6, apartado 2, y resalta el punto 5: acceso a servicios privados esenciales y a servicios y prestaciones públicos esenciales y disfrute de estos servicios y prestaciones. Un sistema de estas áreas puede encajar en alto riesgo; la clasificación se hace sistema a sistema, atendiendo a la letra concreta de cada punto y a sus excepciones.
Acotación 1 — «personas físicas»
La letra b) no dice «evaluar la solvencia». Dice evaluar la solvencia de personas físicas.
La consecuencia es grande y se pasa por alto sistemáticamente: el análisis de riesgo crediticio de empresas queda fuera del punto 5. Un modelo que puntúa la solvencia de una sociedad, califica una cartera corporativa o evalúa el riesgo de una operación entre empresas no está describiendo a una persona física.
Esto deja fuera del alto riesgo una parte considerable de la actividad de banca de empresas, factoring, seguro de crédito y análisis financiero B2B. No sin obligaciones —siguen siendo sistemas de IA, con lo que corresponda por su clasificación—, pero fuera de este punto.
Donde sí entra de lleno: crédito al consumo, hipotecas, microcréditos, financiación de particulares, calificación crediticia individual. Ahí la persona evaluada es una persona física y el punto b) es el que aplica.
Acotación 2 — el fraude, excluido por escrito
La letra b) termina con una excepción expresa: «salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros».
No es interpretación ni analogía: está escrito en el mismo inciso. Un sistema cuya finalidad es detectar fraude no entra en el punto 5.b), aunque analice a personas físicas y aunque su salida tenga consecuencias para ellas.
La pregunta que decide, y no siempre es cómoda de responder, es para qué está el sistema. Si su función es decidir si se concede financiación, es solvencia. Si su función es detectar operaciones anómalas, es fraude. Un mismo motor de puntuación puede estar haciendo lo primero bajo el nombre de lo segundo — y entonces lo que cuenta es la finalidad real, no la etiqueta del proyecto.
Acotación 3 — «vida y salud», no todos los seguros
La letra c) tampoco cubre el ramo entero. Nombra seguros de vida y de salud.
Automóvil, hogar, responsabilidad civil, multirriesgo de empresa: la tarificación con IA en esos ramos no aparece en el punto 5.c). Es una acotación tan explícita como las anteriores y con el mismo efecto: reduce bastante el perímetro respecto de lo que se suele asumir.
Lo que estas tres acotaciones significan juntas
Que la clasificación en este sector no se resuelve por el tipo de empresa, sino sistema a sistema y finalidad a finalidad.
Dos entidades del mismo tamaño y el mismo negocio pueden tener perfiles muy distintos según a quién evalúen (persona física o sociedad), para qué (conceder o detectar) y en qué ramo. No hay una respuesta «de sector», y quien la dé —en cualquiera de las dos direcciones— está simplificando.
Es exactamente el mismo criterio que ordena el resto: la clasificación depende del uso real, no del producto ni de la actividad nominal.
Y la parte que comparte con todos los demás
Una entidad financiera también contrata y evalúa personal, y el Anexo III.4 le aplica igual. Con un matiz propio de este sector: aquí el equipo de riesgos suele tener cultura de modelo, validación y documentación, mientras que el software de administración interna no pasa por ese filtro. El sistema mejor gobernado y el peor gobernado conviven en la misma casa, y el segundo no está en el radar de nadie.
La fecha
El régimen del Anexo III empieza el 2 de diciembre de 2027 —y buena parte de las guías sigue dando agosto de 2026—. Hoy no hay incumplimiento posible por esta vía.
Lo que sí está en vigor desde el 2 de febrero de 2025, para cualquier entidad y cualquier clasificación, es el Art. 4 de alfabetización en IA —reescrito por el Digital Ómnibus sin dejar de obligar— y el Art. 5, salvo las dos prohibiciones que añadió el Reglamento (UE) 2026/1744, aplicables desde el 2 de diciembre de 2026. Y en paralelo, para las decisiones que produzcan efectos jurídicos o afecten significativamente a una persona, el Art. 22 del RGPD tiene su propio umbral y su propio régimen — que no depende del calendario del AI Act y lleva años exigible.
Contenido con arreglo a los artículos 4 y 5 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), y al artículo 22 del Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.