El Expediente que Nadie Tiene.

El hallazgo de la entrega anterior de esta serie fue textual, no interpretativo: el Artículo 111, apartado 2, no dice que los modelos de scoring ya operativos queden exentos del reglamento. Dice que "el presente Reglamento" se aplica a los operadores de sistemas de alto riesgo introducidos antes del 2 de agosto de 2026 únicamente si, a partir de esa fecha, "dichos sistemas se ven sometidos a cambios significativos en su diseño". El Artículo 3, punto 8, define "operador" incluyendo de forma expresa al responsable del despliegue —el banco que licencia o adquiere el modelo, no solo a quien lo construye—.

La lectura que DOC.15 dejó como tesis fue que el amparo dura hasta la próxima recalibración, y que todo modelo de scoring, por disciplina prudencial elemental, tiene que recalibrarse. La pregunta que quedó sin responder es la que corresponde a esta entrega: cuando el amparo se rompe, ¿qué exige exactamente "el presente Reglamento" sobre un responsable del despliegue?

El Artículo 27 obliga a hacer una evaluación de impacto relativa a los derechos fundamentales antes de desplegar ciertos sistemas de alto riesgo. La redacción del apartado 1 une, con la conjunción "y", dos categorías de responsables del despliegue obligados: los organismos de Derecho público o las entidades privadas que prestan servicios públicos —para cualquier sistema del Artículo 6(2)—, y, como categoría independiente, sin condición de naturaleza pública, los responsables del despliegue de sistemas del Anexo III, punto 5, letras b) y c).

La letra b) de ese punto 5 es la misma que sostuvo la tesis de DOC.15: "evaluar la solvencia de personas físicas o establecer su calificación crediticia", con la única exclusión de los sistemas dedicados a detectar fraude financiero. Un banco privado, sin ninguna relación con la prestación de servicios públicos, queda dentro de la obligación del Artículo 27 por esta segunda vía. La norma no deja margen para leer el scoring como un caso ajeno a esta exigencia.

El Artículo 27(1) fija un contenido mínimo de seis elementos: una descripción de los procesos en los que se usará el sistema; el período y la frecuencia de uso previstos; las categorías de personas y colectivos que pueden verse afectados; los riesgos específicos de perjuicio para esas categorías; una descripción de las medidas de supervisión humana aplicadas; y las medidas de mitigación, gobernanza interna y mecanismos de reclamación previstos si esos riesgos se materializan.

El cuarto elemento —los riesgos específicos— tiene una condición que el banco no controla por sí solo: debe evaluarse "teniendo en cuenta la información facilitada por el proveedor con arreglo al artículo 13". El Artículo 13 obliga al proveedor a entregar instrucciones de uso concisas, completas, correctas y claras. Para un modelo de scoring construido o licenciado antes de que el reglamento existiera, es razonable dudar de que ese paquete de instrucciones, en el formato que exige el Artículo 13, se haya entregado alguna vez. La evaluación del banco depende, en uno de sus seis elementos, de un documento que otro tuvo que escribir primero.

El Artículo 27(1) exige la evaluación antes de desplegar el sistema. El Artículo 27(2) precisa que la obligación se aplica al primer uso. Ninguna de las dos redacciones contempla el caso de un sistema que lleva años en producción continua bajo el amparo del régimen transitorio: su primer uso real ya ocurrió, sin evaluación, porque el reglamento todavía no existía o el sistema estaba amparado.

⚠️ Este es un hallazgo de tensión textual, no una conclusión sobre el estado de cumplimiento de ningún modelo en particular. El reglamento no resuelve expresamente qué constituye "primer uso" a efectos del Artículo 27 para un sistema que pierde el amparo transitorio por recalibración años después de haber entrado en producción. Cada institución debe evaluar su propia situación con su asesoría legal; esta pieza señala la pregunta, no la responde por cuenta de nadie.

Hay un alivio parcial, y conviene nombrarlo con precisión para no sobreestimarlo. El Artículo 27(4) establece que si alguna de las obligaciones del artículo ya se cumple mediante la evaluación de impacto de protección de datos del Artículo 35 del RGPD, la evaluación de impacto en derechos fundamentales complementa esa evaluación —no la sustituye como un todo—.

Un banco que ya hizo una EIPD sobre su modelo de scoring no parte de cero. Pero una EIPD de protección de datos, por diseño, no suele cubrir las categorías de personas afectadas en el sentido del Artículo 27(1)(c), ni las medidas de supervisión humana conforme a las instrucciones del proveedor del Artículo 27(1)(e), ni los mecanismos de gobernanza interna y reclamación del Artículo 27(1)(f). Complementar no es archivar la EIPD como si fuera suficiente.

El Artículo 26(6) obliga al responsable del despliegue a conservar los archivos de registro que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un período de al menos seis meses, salvo que otra norma disponga algo distinto. El párrafo siguiente del mismo apartado desplaza ese mínimo para las entidades financieras: deben conservar esos registros como parte de la documentación que ya les exige la normativa de servicios financieros. Los seis meses no son la cifra operativa de un banco; lo es el régimen sectorial de conservación que ya tiene, y que hay que identificar con precisión antes de asumir que basta con el piso genérico del reglamento.

Hay una condición previa que suele pasarse por alto: la capacidad técnica de generar esos registros no es algo que el banco pueda incorporar por su cuenta. El Artículo 12(1) exige que el sistema "permita técnicamente el registro automático de acontecimientos... a lo largo de todo el ciclo de vida del sistema" —una obligación de diseño y desarrollo que corresponde al proveedor—. Un modelo legado que no fue construido para generar esos registros no puede empezar a generarlos por decisión unilateral del banco que lo despliega. El Artículo 26(6) obliga a conservar algo que, técnicamente, puede no existir para conservar.

El expediente que reclaman los artículos 26 y 27 no es solamente material para una eventual inspección. El Artículo 86(1) da a toda persona afectada por una decisión del responsable del despliegue basada en un sistema del Anexo III —el scoring incluido, con la única excepción de su punto 2— que le produzca efectos jurídicos o la afecte de forma considerable, el derecho a obtener "explicaciones claras y significativas acerca del papel que el sistema de IA ha tenido en el proceso de toma de decisiones y los principales elementos de la decisión adoptada".

Sin evaluación de impacto, sin registros conservados y sin instrucciones del proveedor, un banco no tiene con qué honrar esa solicitud si un cliente la presenta. El expediente no es un ejercicio de cumplimiento diferido hacia el regulador: es la base operativa de una obligación frente a personas concretas, que puede activarse antes de que llegue cualquier inspección.

El listado tasado del Artículo 99(4), que somete su incumplimiento a multas de hasta 15.000.000 EUR o el 3% del volumen de negocios mundial —la cifra que ya se precisó en DOC.15, frente al 7% que corresponde solo a las prácticas prohibidas del Artículo 5—, nombra de forma expresa las obligaciones del responsable del despliegue del Artículo 26. El Artículo 27 no figura en ese listado. Esta pieza no concluye que incumplir la evaluación de impacto carezca de consecuencia —el reglamento puede alcanzarlo por otra vía no verificada aquí—; concluye únicamente lo que el texto dice y lo que no dice, porque la precisión sobre ese punto es, en sí misma, información que ningún comité de dirección debería tener que adivinar.

DOC.15 propuso un inventario de tres columnas: qué modelos producen resultados que se consumen en la Unión, cuándo fue su última recalibración, y qué documentación respalda esa recalibración. Esa tercera columna, a la luz de esta entrega, resulta insuficiente. No basta con documentar la recalibración: hay que documentar si, para ese modelo, existe una evaluación de impacto en derechos fundamentales, si el proveedor entregó instrucciones de uso compatibles con el Artículo 13, y si el sistema genera y conserva los registros que exige el Artículo 26(6). Un inventario que responda "no consta" en cualquiera de esas tres preguntas nuevas identifica, con precisión, dónde está el trabajo pendiente antes de que la próxima recalibración lo convierta en una obligación vencida.