)
Última actualización: 16 de octubre, 2026
¿Cómo es la gobernanza de la IA en servicios financieros del Reino Unido cuando el regulador dice que no escribirá reglas específicas para la IA?
Se parece a tus obligaciones actuales, aplicadas a sistemas que ahora actúan por su cuenta. La FCA se apoya en el Consumer Duty y en el Senior Managers and Certification Regime (SM&CR), la PRA en la gestión del riesgo de modelos, y las normas de protección de datos de la ICO ya cubren las decisiones automatizadas. Todas piden lo mismo: pruebas de que una persona concreta controla cada sistema de IA y de que puedes demostrarlo.
TL;DR: puntos clave
- La FCA afirma que no prevé regulación adicional para la IA y remite a las empresas al Consumer Duty y al SM&CR (FCA).
- La Mills Review, publicada el 6 de julio de 2026 tras 140 contribuciones escritas, consideró que el modelo del SM&CR sigue siendo sólido para la IA de baja autonomía, pero señaló tensión cuando la IA aprueba u observa decisiones por sí sola (Skadden).
- El Tesoro designó el 10 de julio de 2026 a los cuatro primeros proveedores terceros críticos, y las nuevas normas de reporte de terceros relevantes se aplican desde el 18 de marzo de 2027 (MoFo).
- El Treasury Committee pidió a los reguladores el 20 de enero de 2026 una guía práctica sobre protección del consumidor y responsabilidad bajo el SM&CR para la IA antes de que acabe 2026 (Global Policy Watch).
- Las reglas de decisiones automatizadas de la Data (Use and Access) Act (artículos 22A a 22D) se aplican desde el 5 de febrero de 2026, y se espera un código estatutario de la ICO sobre IA en 2027 (Bratby Law, Arnold & Porter).
De un vistazo: quién espera qué de la gobernanza de la IA en servicios financieros del Reino Unido
Respuesta rápida
¿Qué es la gobernanza de la IA en servicios financieros del Reino Unido?
Es el conjunto de responsables, controles y registros que demuestran que una entidad regulada gestiona la IA dentro de las normas existentes: el Consumer Duty y el SM&CR en la FCA, la gestión del riesgo de modelos en la PRA, la resiliencia operativa y la supervisión de terceros, y el UK GDPR para las decisiones automatizadas. No existe un único reglamento de IA, así que el trabajo consiste en asignar cada sistema a esas obligaciones y conservar las pruebas.
| Regulador u organismo | Instrumento | Qué pide a las entidades | Estado a 16 de octubre de 2026 |
|---|---|---|---|
| FCA | Consumer Duty, SM&CR | Resultados justos y responsabilidad directiva con nombre y apellidos para la IA | Sin reglas específicas de IA previstas |
| PRA y Bank of England | Gestión del riesgo de modelos (SS1/23), resiliencia | Gobernanza de modelos que escale a la IA generativa y agéntica | Mesas redondas y encuesta de adopción de IA en 2026 |
| HM Treasury, FCA, PRA | Régimen de terceros críticos | Supervisión de grandes proveedores, y las entidades siguen siendo responsables de su propio riesgo | Primeras designaciones el 10 de julio de 2026 |
| ICO | UK GDPR, artículos 22A a 22D, código estatutario de IA | Salvaguardas para decisiones automatizadas significativas | Artículos en vigor, código previsto para 2027 |
)
Qué significa en la práctica la gobernanza de la IA en servicios financieros del Reino Unido
La propia página de la FCA dice que no pretende introducir regulación adicional para la IA. Su enfoque está basado en principios y en resultados, y nombra el Consumer Duty y la responsabilidad de los directivos senior bajo el SM&CR como anclas principales (FCA, 2026). El AI Lab de la FCA ofrece apoyo a las entidades que desarrollan casos de uso de IA.
Un reglamento más ligero no significa una supervisión más ligera. Según Ropes & Gray (2026), la ausencia de un reglamento de IA convive con una supervisión activa de la gobernanza, la responsabilidad y los resultados para el cliente. El despacho enumera lo que es probable que miren los reguladores: un inventario vivo de usos de IA con responsables claros, información útil para los consejos, escenarios de IA en las pruebas de resiliencia operativa y diligencia debida proporcionada sobre los proveedores de IA terceros.
La lectura práctica es sencilla. Trata cada sistema de IA como una actividad regulada con un responsable. Si no sabes decir quién aprobó un modelo, qué resultado para el cliente afecta y cómo lo apagarías, las preguntas sobre el Consumer Duty y el SM&CR encontrarán primero esa laguna.
Qué significa la Mills Review para los directivos senior
La FCA lanzó la Mills Review en enero de 2026 para examinar cómo la IA avanzada puede transformar los servicios financieros minoristas. Según Skadden (2026), se publicó el 6 de julio de 2026, recogió 140 contribuciones escritas y una encuesta a más de 5.000 adultos del Reino Unido, y formuló siete recomendaciones a la junta de la FCA.
La revisión describe cinco niveles de autonomía de la IA. La tabla muestra dónde crece la presión sobre la gobernanza.
| Nivel de autonomía | Qué hace la IA | Presión sobre la gobernanza |
|---|---|---|
| Operator | Asiste cuando se le pide | Baja: se mantiene la responsabilidad actual del SM&CR |
| Collaborator | Trabaja junto al personal | Baja a moderada |
| Consultant | Recomienda, decide una persona | Moderada: demuestra que la revisión humana es real |
| Approver | Decide dentro de límites, una persona supervisa | Alta: la opacidad y la deriva del modelo complican la responsabilidad |
| Observer | Ejecuta acciones aprobadas, una persona monitoriza | La más alta: es difícil demostrar un control humano significativo |
Según el mismo resumen, ningún participante defendió que el régimen de directivos senior en sí deba cambiar, y la revisión no recomienda nuevas Senior Management Functions. Sí sugiere una guía más clara de la FCA sobre los "reasonable steps" que debe dar un directivo, además de mejores herramientas de aseguramiento antes y después del despliegue. La junta de la FCA aún no ha dicho qué recomendaciones adoptará, y la FCA prevé publicar hallazgos de buenas y malas prácticas más adelante en 2026.
Para un CISO, lo accionable es el nivel de autonomía de cada sistema. Un chatbot que redacta respuestas para el personal y un agente que aprueba reembolsos están en puntos distintos de esa escala, y tu gobernanza debería reflejarlo.
Expectativas de la PRA y del Bank of England: riesgo de modelos y resiliencia
La PRA y el Bank of England también mantienen una línea neutral respecto a la tecnología. En su respuesta del 1 de abril de 2026 a una carta del Gobierno reafirmaron ese enfoque y dijeron que seguirán revisando si hacen falta más salvaguardas (Global Policy Watch, 2026). El resumen de sus mesas redondas anteriores, publicado el 16 de febrero de 2026, recoge que las entidades respaldaron el enfoque basado en principios, incluidas las expectativas de gestión del riesgo de modelos de la PRA en el SS1/23.
El mismo resumen recoge dos preguntas abiertas de las entidades. ¿Escala la gestión del riesgo de modelos a la IA generativa y agéntica, y cómo funciona el human-in-the-loop a medida que la IA toma más decisiones? Conviene responder a ambas en tu propia política antes de que lo pregunte un supervisor.
En ciberresiliencia, una declaración conjunta del Bank of England, la FCA y el Tesoro del 15 de mayo de 2026 instó a las entidades a reforzar sus defensas frente a las amenazas de la IA de frontera. Ropes & Gray (2026) enumera sus cinco áreas: gobernanza y estrategia, gestión de vulnerabilidades, riesgo de terceros, protección, y respuesta y recuperación. Añade que el National Cyber Security Centre registró 204 ataques de importancia nacional en los 12 meses hasta septiembre de 2025, frente a 89 un año antes.
Riesgo de terceros y de terceros críticos en IA
La mayor parte de la IA en servicios financieros se compra, no se construye. Según Ropes & Gray (2026), alrededor de un tercio de los casos de uso de IA en servicios financieros implican implementaciones de terceros. La FCA y la ICO señalaron en un blog conjunto de junio de 2025 que las entidades dudaban de quién responde cuando herramientas de IA de terceros toman decisiones automatizadas, y algunas frenaron su despliegue.
El régimen de terceros críticos añade ahora supervisión sobre los propios proveedores. MoFo (2026) informa de que el Tesoro designó a los cuatro primeros proveedores el 10 de julio de 2026, con efecto el 13 de julio, y de que la FCA y la PRA pueden imponer condiciones o prohibir a un proveedor designado prestar servicio a entidades autorizadas. El régimen no traslada tu responsabilidad. Las entidades financieras siguen siendo responsables de gestionar su propio riesgo de terceros, y las nuevas normas sobre acuerdos de terceros relevantes se aplican desde el 18 de marzo de 2027, con registros anuales de esos acuerdos.
Construye ya el registro e incluye los servicios de IA que viven dentro de productos de otros proveedores. Un proveedor que añade un agente a una herramienta que ya usas ha cambiado tu riesgo sin un proceso de compra.
Solapamiento con protección de datos: decisiones automatizadas y el código de la ICO
La gobernanza de la IA en una entidad regulada también es gobernanza de protección de datos. Los artículos 22A a 22D del UK GDPR sustituyen al antiguo artículo 22 y se aplican desde el 5 de febrero de 2026 (Bratby Law, 2026). La guía en borrador de la ICO define una decisión significativa como la basada únicamente en tratamiento automatizado que tiene un efecto jurídico o similarmente significativo, y trata las decisiones sin intervención humana significativa como únicamente automatizadas (ICO, 2026).
El borrador enumera las salvaguardas: información sobre las decisiones, posibilidad de presentar alegaciones, intervención humana y posibilidad de impugnar. Las decisiones de crédito, fraude y precios son los casos obvios en servicios financieros. Los datos de categorías especiales en decisiones automatizadas tienen condiciones más estrictas.
Hay dos fechas que importan. La ICO consultó el borrador de guía del 31 de marzo al 29 de mayo de 2026. Arnold & Porter (2026) informa de que no se espera que un código estatutario sobre IA y toma de decisiones automatizada, creado por la SI 2026/425, entre en vigor hasta 2027. Cuando lo haga, los tribunales deberán tenerlo en cuenta en los procedimientos pertinentes. Si tu entidad también vende en la UE, ten presente que las obligaciones de alto riesgo independientes de la AI Act se han descrito como aplazadas al 2 de diciembre de 2027 por el digital omnibus (Cloud Security Alliance, 2026), así que confirma el texto final con tus asesores legales.
Cómo construir un modelo operativo de gobernanza de la IA
Un modelo operativo convierte las secciones anteriores en rutina. La tabla es una secuencia práctica, no una lista de comprobación regulatoria.
| Paso | Qué producir | Pregunta regulatoria a la que responde |
|---|---|---|
| Inventario | Cada sistema de IA y agente, responsable, proveedor, datos, nivel de autonomía | ¿Quién responde y de qué? |
| Clasificar | Impacto en el cliente, nivel de autonomía, condición de decisión automatizada | ¿Dónde se aplica el Consumer Duty o el artículo 22A? |
| Controlar | Permisos, límites y reglas de aprobación por agente | ¿Es significativo el control humano? |
| Probar | Pruebas previas al despliegue y periódicas, incluidas pruebas adversarias | ¿Puedes evidenciar la gestión del riesgo de modelos? |
| Terceros | Registro, diligencia debida, planes de salida | ¿Estás listo para las normas de reporte de marzo de 2027? |
| Responder | Planes de incidentes para fallos y ataques de IA | ¿Incluye la planificación de resiliencia la IA? |
| Reportar | Información al consejo sobre casos de uso, incidentes y dependencias | ¿Pueden los directivos demostrar pasos razonables? |
Empieza por el inventario, porque todos los demás pasos dependen de él. Una plataforma de Agent Posture Management (TrustLens) puede descubrir agentes y conexiones que no figuraban en tu lista, algo que importa porque los despliegues en la sombra son lo primero que suelen encontrar los supervisores. Para el marco más amplio, consulta nuestra guía de gobernanza de la IA.
Cómo lo comparamos
Usamos la propia página de la FCA para su posición declarada, resúmenes de despachos de abogados sobre la Mills Review, el informe del Treasury Committee y las designaciones de terceros críticos, y el borrador de guía de la ICO para las decisiones automatizadas. Los resúmenes de despachos y de prensa especializada son fuentes secundarias, así que comprueba la publicación primaria antes de citar una fecha o una cifra en una comunicación regulatoria.
Las pruebas que puede pedir un supervisor
Prepara un dossier de pruebas breve por cada sistema de IA relevante. Debe incluir el responsable y el registro de aprobación, los datos usados, los resultados de las pruebas, la monitorización existente, el diseño de la supervisión humana y el plan de salida de cada proveedor. Ropes & Gray (2026) señala las aprobaciones, las evaluaciones de riesgo, las evaluaciones de impacto de protección de datos, los registros de pruebas y los planes de incidentes como los registros que las entidades deben poder mostrar.
Mantenlo al día. Un dossier que era correcto en el lanzamiento y nunca se actualizó vale menos que uno más corto revisado cada trimestre.
Un plan de 90 días para una entidad del Reino Unido
En los primeros 30 días, construye el inventario y asigna un responsable a cada sistema. Del día 31 al 60, clasifica por autonomía e impacto en el cliente y contrasta las decisiones automatizadas con los artículos 22A a 22D. Del día 61 al 90, prueba los sistemas de mayor riesgo, redacta los planes de incidentes y entrega al consejo un primer informe. Revisa el plan cuando la FCA publique sus hallazgos de buenas y malas prácticas y cuando la ICO cierre su guía.
Seguridad y gobernanza: riesgos empresariales de los agentes de IA sin gobernar
Los agentes añaden riesgos que la gobernanza clásica de modelos no ve. La prompt injection puede redirigir a un agente a través del contenido que lee, los datos pueden filtrarse por los prompts y las salidas de las tools, y un agente con acceso amplio a herramientas puede hacer un mal uso de él. Para las entidades reguladas son también fallos de gobernanza, porque debilitan el control humano significativo que deben poder evidenciar.
NeuralTrust aborda esto mediante la Runtime Security Mesh. TrustGate define permisos y límites por agente, incluye más de 200 servidores MCP preconfigurados y actúa como punto de política y logging entre agentes y tools. TrustLens inventaría agentes y conexiones. TrustGuard monitoriza el comportamiento de los agentes en runtime. TrustTest hace red teaming de los agentes antes de que lleguen a producción. NeuralTrust se despliega en tu propia infraestructura o on-premises, con un servicio gestionado alojado en la UE o en EE. UU. La plataforma suma cuatro reconocimientos en los Gartner Hype Cycle 2026, incluido AI Runtime Defense. Consulta también nuestra guía sobre las directrices de IA del NCSC y sobre la gobernanza del AI gateway.
¿Cuál deberías elegir?
| Tipo de entidad | Primera prioridad | Por qué |
|---|---|---|
| Bancos y building societies que aplican el SS1/23 | Ampliar el inventario de modelos a sistemas generativos y agénticos | Las entidades dudaron de que la gestión del riesgo de modelos escale |
| Aseguradoras y gestoras que compran IA a proveedores | Registro de terceros y planes de salida | Las normas de reporte se aplican desde el 18 de marzo de 2027 |
| Fintechs y asesores de cara al cliente minorista | Pruebas de resultados del Consumer Duty y responsables nombrados del SM&CR | La Mills Review se centra en la IA de cara al consumidor |
| Entidades con decisiones automatizadas de crédito o fraude | Contrastar cada decisión con los artículos 22A a 22D | Las salvaguardas de decisiones automatizadas se aplican desde el 5 de febrero de 2026 |
Conclusión
La gobernanza de la IA en servicios financieros del Reino Unido no espera a un nuevo reglamento, porque las normas que importan ya se aplican. La FCA espera que el Consumer Duty y el SM&CR cubran la IA, la PRA espera que la gestión del riesgo de modelos se amplíe y la ICO espera salvaguardas en las decisiones automatizadas. Construye un inventario, asigna un responsable a cada sistema, prueba los más arriesgados y conserva pruebas de que una persona puede intervenir de verdad. Las entidades que lo hagan ahora responderán a los hallazgos de buenas y malas prácticas de la FCA con registros, no con recuerdos.
Asegura la IA de servicios financieros en producción con NeuralTrust
Descubre agentes, fija límites por agente y monitoriza cada tool call antes de que lo pregunte un supervisor.
)
Comparativas relacionadas
- AI Governance 2026: Frameworks & Tools
- Directrices del NCSC sobre IA para empresas del Reino Unido 2026
- Gobernanza del AI Gateway para empresas
- Guía completa del CISO del Reino Unido sobre seguridad de la IA empresarial (2026)
Preguntas frecuentes sobre gobernanza de la IA en servicios financieros del Reino Unido
1. ¿Tiene la FCA reglas específicas para la IA?
No. La FCA dice que no prevé regulación adicional para la IA y se apoya en los marcos existentes, sobre todo el Consumer Duty y la responsabilidad de los directivos senior bajo el SM&CR. Se espera igualmente que las entidades evidencien gobernanza, pruebas y resultados para el cliente de la IA que despliegan.
2. ¿Quién responde de la IA bajo el SM&CR?
Los directivos senior siguen siendo responsables bajo el régimen actual. La Mills Review consideró el modelo sólido para la IA de baja autonomía, pero señaló la dificultad de identificar a un directivo responsable cuando la IA aprueba u observa decisiones. Sugiere una guía más clara sobre los pasos razonables.
3. ¿Necesitan los bancos del Reino Unido un marco de riesgo de modelos de IA aparte?
No necesariamente. El resumen de las mesas redondas de la PRA muestra a las entidades respaldando el SS1/23 sobre gestión del riesgo de modelos, aunque dudan de que escale a la IA generativa y agéntica. La mayoría amplía su marco actual con controles específicos para agentes y pruebas de supervisión humana.
4. ¿Qué implican las normas de terceros críticos para los proveedores de IA?
El Tesoro designó en julio de 2026 a los cuatro primeros terceros críticos, y los reguladores pueden imponerles condiciones. Las entidades siguen siendo responsables de su propio riesgo de terceros, y las normas de reporte de terceros relevantes se aplican desde el 18 de marzo de 2027. Mantén un registro que incluya los servicios de IA.
5. ¿Restringe el UK GDPR las decisiones automatizadas en servicios financieros?
Sí, para las decisiones significativas tomadas únicamente por medios automatizados. Los artículos 22A a 22D, en vigor desde el 5 de febrero de 2026, exigen salvaguardas como información, alegaciones, intervención humana y una vía para impugnar. Los datos de categorías especiales tienen condiciones más estrictas.
6. ¿Cuándo se aplicará el código de prácticas de IA de la ICO?
No se espera que el código estatutario sobre IA y toma de decisiones automatizada entre en vigor hasta 2027. La ICO consultó un borrador de guía sobre decisiones automatizadas entre el 31 de marzo y el 29 de mayo de 2026, y se espera la guía final más adelante en 2026.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- FCA, AI and the FCA: our approach, página actualizada el 2 de octubre de 2026.
- Skadden, FCA's Mills Review Charts a Course for AI-Enabled Retail Financial Services, 21 de julio de 2026.
- Global Policy Watch, UK Financial Services Regulators' Approach to Artificial Intelligence in 2026, abril de 2026.
- Ropes & Gray, From Principles to Practice: The FCA's Evolving Expectations on AI Governance, junio de 2026.
- MoFo, UK Announces List of First Critical Third Parties, julio de 2026.
- Bratby Law, Data Use and Access Act 2025 Commencement Changes, consultado el 16 de octubre de 2026.
- Arnold & Porter, The ICO's New Statutory Duty to Produce an AI Code of Practice, 17 de agosto de 2026.
- ICO, Automated decision-making, including profiling (draft guidance), 31 de marzo de 2026.
- Cloud Security Alliance Labs, EU AI Act omnibus: high-risk deadline delay, 2026.