El pasado día 30 de mayo de 2024, la Autoridad Europea de Valores y Mercados (ESMA) publicó su Declaración pública sobre el uso de la Inteligencia Artificial (IA) en la prestación de servicios de inversión minorista (Public Statement On the use of Artificial Intelligence (AI) in the provision of retail investment services, 30 May 2024, ref.: ESMA35-335435667-5924), de cuyo contenido damos cuenta sintética en esta entrada.
A) Contexto: la publicación del Reglamento de Inteligencia Artificial en el DOUE del pasado 12 de julio
La publicación, en el DOUE del pasado 12 de julio, del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (RIA) ha revitalizado determinados documentos sobre el impacto de la inteligencia artificial en el sector financiero publicados por las instituciones y las autoridades de la UE durante los meses inmediatamente anteriores, con concreto, en los meses de mayo y junio de este mismo año.
En este sentido, ayer, día 17 de los corrientes publicamos en este blog una entrada que llevaba por título “Consulta pública de la Comisión Europea sobre la utilización de inteligencia artificial en el sector financiero”. Dentro de las preguntas especiales sobre el uso de los sistemas de IA en los diferentes ámbitos del mercado financiero que formula la Parte 2 (pág.11 y ss.) del Documento de Consulta incluíamos una serie de ellas referidas al mercado de instrumentos financieros que dividíamos en tres apartados sobre los mercados de valores (pág.13 y ss.), las infraestructuras del mercado (pág.12 y ss.) y la gestión de activos (pág.17 y ss.).
En esta entrada complementamos esta referencia con otra sobre la Declaración pública sobre el uso de la Inteligencia Artificial (IA) en la prestación de servicios de inversión minorista que publicó, el pasado día 30 de mayo de 2024, la Autoridad Europea de Valores y Mercados (ESMA)
B) Finalidad orientadora de la Declaración pública de ESMA
La Introducción de la Declaración pública de ESMA identifica su finalidad cuando nos dice que “las decisiones de las empresas (de servicios de inversión) siguen siendo responsabilidad de los órganos de dirección, con independencia de que las tomen personas o herramientas basadas en IA” y añade que “para garantizar el cumplimiento de las obligaciones de la MiFID II y salvaguardar los intereses de los inversores de las soluciones basadas en la IA, la AEVM ha decidido publicar esta Declaración para proporcionar algunas orientaciones iniciales a las empresas de inversión que utilizan la IA, a la luz de sus obligaciones clave en virtud de la MiFID II y para hacer hincapié en el imperativo de dar siempre prioridad a los mejores intereses de los clientes” (apartados 1 y 2 de la Declaración).
C) Presupuestos de la Declaración pública de ESMA
La Declaración pública de ESMA parte de los presupuestos comunes a las aproximaciones regulatorias a la IA por parte de la UE que son:
a) El método de análisis riesgo/oportunidad
Así la Introducción de la Declaración pública de ESMA comienza refiriéndose al método de análisis cásico del tipo coste/beneficio que, en este ámbito germinal, se expresa como riesgo/oportunidad diciendo que “el avance de la Inteligencia Artificial (IA) tiene el potencial de transformar el panorama de los servicios de inversión minorista al ofrecer oportunidades sin precedentes de eficiencia, innovación y mejora de la toma de decisiones. Aunque la IA es prometedora para mejorar las estrategias de inversión y los servicios a los clientes, también presenta riesgos inherentes, como los sesgos algorítmicos, los problemas de calidad de los datos y la (posible) falta de transparencia”.
b) La segmentación por niveles de riesgo
Siguiendo el enfoque básico del RIA, la Declaración pública de ESMA sigue diciendo que “la adopción de la IA por parte de las empresas sigue siendo un fenómeno heterogéneo. Sin embargo, se pueden prever varios usos, cada uno de ellos asociado a distintos tipos y niveles de riesgo”.
D) Beneficios potenciales de la IA para las firmas y sus clientes
La Declaración pública de ESMA diferencia entre los beneficios potenciales derivados de los usos de la IA por las propias empresas de inversión y los derivados de los servicios de terceros proveedores (apartados 3 y 4 de la Declaración). Acogiendo de este modo la distinción crucial que hace el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero (DORA) cuando establece los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros” (el lector interesado en profundizar en este aspecto puede consultar la entrada de este blog del pasado lunes día 14 sobre “DORA en las plataformas digitales: Congreso internacional de Derecho de las plataformas digitales, el 10 y 11 de julio de 2024, en la Universidad de Salamanca”).
D.1) Internos
Dentro de esta primera categoría, la Declaración pública de ESMA cita los siguientes beneficios potenciales de la IA para las firmas y sus clientes:
a) Transparencia
Este apartado muestra varios aspectos:
a.1) Información de las empresas sobre la clientela: En este sentido, ESMA nos dice que “las empresas podrían utilizar herramientas de IA para analizar la información de un cliente sobre sus conocimientos y experiencia, su situación financiera (incluida la tolerancia al riesgo) y sus objetivos de inversión (incluidas las preferencias en materia de sostenibilidad) con el fin de ofrecer recomendaciones de inversión personalizadas o gestionar y reequilibrar las carteras de los clientes”.
a.2) Información de las empresas a la clientela: La Declaración menciona la “atención al cliente y soporte” señalando que “los chatbots y asistentes virtuales potenciados por IA podrían ser utilizados por las empresas para prestar asistencia a los clientes respondiendo a consultas, proporcionando información sobre cuentas, etc.”.
b) Asesoramiento de inversión y gestión de carteras: En este aspecto ESMA se refiere al “apoyo a las empresas en la prestación de servicios de asesoramiento de inversión/gestión de carteras” diciendo que “la IA puede procesar grandes cantidades de datos financieros, como tendencias del mercado, datos históricos y noticias, para predecir los movimientos del mercado. Esto podría ser utilizado por las empresas para desarrollar estrategias de inversión e identificar posibles oportunidades de inversión que se utilizarían para los servicios de asesoramiento de inversión/gestión de carteras antes mencionados. También podría utilizarse para apoyar el asesoramiento en materia de inversión y la gestión de carteras, supervisando la exposición global al riesgo de la cartera de un cliente y garantizando que las características de la cartera sigan ajustándose al perfil del cliente (en particular, la tolerancia al riesgo y los objetivos de inversión)”.
c) Cumplimiento: En este aspecto, ESMA nos dice que “algunas empresas podrían utilizar sistemas de IA para resumir y analizar la normativa financiera; comparar las políticas y los procedimientos internos con los requisitos legales; para la detección de comportamientos que incumplan las normas de protección de los inversores de MiFID II; responder a consultas sobre la interpretación/aplicación de la legislación/política pertinente: preparar borradores de informes de cumplimiento internos/externos”.
d) Gestión de riesgos: ESMA dos dice que “la IA podría utilizarse para evaluar el riesgo asociado a las distintas opciones de inversión (productos, estrategias, etc.). También podría utilizarse para supervisar y gestionar la exposición global al riesgo de la cartera de un cliente”.
e) Detección de fraudes: La Declaración señala que “los sistemas de IA podrían supervisar los datos de las transacciones, las comunicaciones internas entre el personal o las comunicaciones externas entre el personal y los clientes/contrapartes en busca de patrones inusuales que puedan indicar una actividad fraudulenta”.
f) Eficiencia operativa: ESMA apunta que “la IA puede automatizar muchas tareas, como la introducción de datos, la generación de informes y el procesamiento de transacciones. Esto podría utilizarse para permitir a los empleados centrarse en tareas más complejas. En general, podría apoyar la redacción de cualquier documento/comunicación de la empresa (por ejemplo: comunicaciones de marketing, incluidos anuncios y publicaciones en redes sociales; correos electrónicos/cartas a clientes)”.
D.2) Externos
En este segundo aspecto de los beneficios potenciales de la IA para las firmas y sus clientes, ESMA advierte que “es importante señalar que la Declaración no sólo pretende abordar las situaciones en las que las herramientas de IA son desarrolladas específicamente o adoptadas oficialmente por la empresa de inversión o el banco, sino también se extiende a situaciones que implican el uso por parte del personal de la empresa de tecnologías de IA de terceros (como Chat GPT, Google Bard y otras) con o sin el conocimiento directo y la aprobación de la alta dirección”. Y añade en este sentido que “los principios y controles esbozados en esta Declaración tendrían por objeto recordar a las empresas que deben contar con medidas adecuadas para controlar también el uso de sistemas de IA por parte de los empleados en cualquiera de sus formas, incluidas las tecnologías de IA de terceros, tanto si están específicamente previstas o ya han sido adoptadas por la propia empresa como si no cuentan con el conocimiento y la aprobación directos de la alta dirección”.
E) Riesgos potenciales de la IA para las firmas y sus clientes
ESMA comienza manifestando una limitación de alcance cuando inicia su apartado 5 diciendo: “Aunque un análisis exhaustivo de los riesgos potenciales del fenómeno de la IA va más allá del alcance de esta Declaración, se sabe que las herramientas de IA se enfrentan actualmente a retos relacionados con” los siguientes aspectos que enumera:
a) La falta de responsabilidad y supervisión (exceso de confianza) diciendo que “existe el riesgo de que tanto los proveedores de servicios como los clientes confíen excesivamente en la IA para la toma de decisiones, descuidando la importancia del juicio humano. Este exceso de confianza puede ser especialmente arriesgado en mercados financieros complejos e impredecibles en los que la IA puede no predecir con exactitud los resultados”.
b) La falta de transparencia y explicabilidad/interpretabilidad advirtiendo que “muchos sistemas de IA suelen ser «cajas negras» y sus procesos de toma de decisiones no serían comprensibles para el personal de la empresa a todos los niveles (desde las funciones de control hasta la alta dirección). Además, entre otras cosas, la falta de explicabilidad de los modelos de IA también puede afectar a la calidad del servicio. Por ejemplo, la falta de explicabilidad puede complicar el ajuste de las estrategias de inversión o negociación de bajo rendimiento”.
c) Los riesgos de la seguridad y privacidad de los datos porque “la recopilación, almacenamiento y procesamiento de la gran cantidad de datos que requieren las herramientas de IA (incluidos los datos personales) plantea importantes problemas de privacidad y seguridad”.
d) Los riesgos de robustez y fiabilidad del resultado, y la calidad de los datos de entrenamiento, así como el sesgo algorítmico porque “se sabe que las herramientas de IA para la generación de lenguaje natural «alucinan» y producen resultados que son objetivamente incorrectos aunque suenen realistas y precisos. En el asesoramiento de inversiones y la gestión de carteras, la información alucinada puede llevar a un asesoramiento engañoso que implique riesgos inesperados u oportunidades perdidas. Los datos de entrenamiento utilizados para desarrollar la herramienta de IA también pueden introducir sesgos en la forma en que se obtienen los resultados que hacen que las predicciones sean incorrectas/inexactas. Estos sesgos suelen ser difíciles de identificar y corregir”.
F) El uso de la Inteligencia Artificial (IA) en la prestación de servicios de inversión minorista ante las obligaciones de MIFID II
F.1) Requisitos internos
De nuevo la Declaración pública de ESMA diferencia entre las implicaciones regulatorias de los usos de la IA por las propias empresas de inversión y los servicios de terceros proveedores, adoptando -con mayor razón si cabre- la orientación del DORA antes aludida.
En el primer prisma regulatorio interno, ESMA nos dice que su Declaración “se centra en la aplicación de la IA en los servicios de inversión, vista a través del prisma de los requisitos existentes de la MiFID II. Esta Declaración pretende orientar a las empresas que utilizan o tienen previsto utilizar tecnologías de IA para que puedan garantizar el cumplimiento de los requisitos clave de la MiFID II, en particular los relativos a los requisitos de organización, los requisitos de conducta y la obligación general de actuar en el mejor interés del cliente”.
En consecuencia, divide en tres categorías las implicaciones regulatorias de los usos de la IA por las propias empresas de inversión:
a) El interés superior del cliente y la información a los clientes porque “un aspecto central del uso de la IA en los servicios de inversión es el compromiso inquebrantable de actuar en el mejor interés de los clientes, un requisito general que se aplica con independencia de las herramientas que la empresa decida adoptar en la prestación de servicios. Además, las empresas de inversión deben ser transparentes sobre el papel de la IA en los procesos de toma de decisiones de inversión relacionados con la prestación de servicios de inversión. En general, la AEVM espera que cuando las empresas faciliten a sus clientes información sobre la forma en que utilizan las herramientas de IA para la prestación de servicios de inversión, se aseguren de que dicha información se presenta de forma clara, imparcial y no engañosa. Del mismo modo, las empresas de inversión que utilicen IA para las interacciones con los clientes, como a través de chatbots u otros tipos de sistemas automatizados relacionados con la IA, deben revelar de forma transparente a los clientes el uso de dicha tecnología durante estas interacciones” (apartados 7 a 9 de la Declaración).
b) Requisitos organizativos y de gobernanza, gestión de riesgos, conocimientos y competencias y formación del personal porque “al integrar la IA en aspectos relacionados con la prestación de servicios de inversión, el papel del órgano de dirección se convierte en fundamental para garantizar el cumplimiento de los requisitos organizativos de MiFID II. El órgano de dirección de la empresa debe tener una comprensión adecuada de cómo se aplican y utilizan las tecnologías de IA en su empresa y debe garantizar una supervisión adecuada de estas tecnologías. Esta supervisión es crucial para garantizar que los sistemas de IA se alinean con la estrategia general de la empresa, la tolerancia al riesgo y el marco de cumplimiento. Es responsabilidad del órgano de dirección establecer estructuras de gobierno sólidas que supervisen el rendimiento y el impacto de las herramientas de IA en los servicios de la empresa. Además, la alta dirección debe fomentar una cultura de asunción de riesgos, transparencia y responsabilidad donde se evalúen periódicamente las implicaciones del despliegue de la IA y se realicen los ajustes oportunos en respuesta a la evolución de las condiciones del mercado y del panorama normativo. Es fundamental contar con marcos eficaces de gestión de riesgos específicos para la implantación y aplicación de la IA. Las empresas de inversión deben establecer estructuras de gobernanza sólidas, realizar pruebas periódicas de modelos de IA y supervisar los sistemas de IA para identificar y mitigar los posibles riesgos y sesgos. Al utilizar herramientas de IA en los procesos de toma de decisiones de inversión relacionados con la prestación de servicios de inversión, las empresas deben asegurarse de que los datos utilizados como entrada para los sistemas de IA sean pertinentes, suficientes y representativos, garantizando que los algoritmos se entrenen y validen en conjuntos de datos precisos y exhaustivos y suficientemente amplios. Esto requiere un enfoque meticuloso de la obtención de datos, tanto si se obtienen internamente como si se adquieren a terceros. Además, la creación, el entrenamiento, las pruebas, la validación y el análisis continuo de los datos son procesos integrales que requieren una supervisión rigurosa para mantener la integridad y el rendimiento de las aplicaciones de IA. Las empresas de inversión también deben desarrollar y mantener procesos y procedimientos sólidos de gestión de riesgos específicamente adaptados para abordar los desafíos y riesgos únicos que plantean las tecnologías de IA. Esto incluye la identificación, evaluación y gestión de los riesgos asociados a la toma de decisiones de inversión impulsada por la IA, como los sesgos algorítmicos y las vulnerabilidades de seguridad de los datos. La AEVM espera que las empresas implanten sistemas de prueba y supervisión exhaustivos, aplicando el principio de proporcionalidad, para evaluar el rendimiento y el impacto de las aplicaciones de IA en sus ofertas de servicios. Esto significa que el alcance y el rigor de las pruebas y el seguimiento deben estar en consonancia con la escala, la complejidad y los riesgos potenciales asociados a los sistemas de IA en uso, garantizando que se preste una atención específica a las áreas en las que la IA tiene la influencia más significativa en los procesos de la empresa y los servicios al cliente relacionados con la prestación de servicios de inversión minorista. También es esencial que estos procesos sean dinámicos, permitiendo ajustes oportunos en respuesta a cualquier cambio en los resultados de la IA o en los patrones de toma de decisiones o cambios en las condiciones del mercado. Además, deben establecerse mecanismos claros de documentación e información para garantizar la transparencia y la rendición de cuentas en las prácticas de gestión de riesgos relacionados con la IA” dicha tecnología durante estas interacciones” (apartados 11 a 13 de la Declaración).
F.2) Requisitos externos
En esta segunda perspectiva de las implicaciones regulatorias de los usos de la IA derivados de los servicios de terceros proveedores, ESMA señala que “el despliegue de herramientas de IA en diversas etapas de la prestación de servicios de inversión puede basarse en la adquisición de soluciones desarrolladas por terceros proveedores de servicios. En tales casos, se recuerda a las empresas los requisitos MiFID II aplicables en materia de externalización de funciones operativas críticas e importantes, destinados a garantizar un nivel adecuado de diligencia debida en el proceso de selección de dichos proveedores a lo largo de la cadena de valor y la implantación de controles adecuados. Además, la AEVM señala que, teniendo en cuenta la importancia que concede la MiFID II a los conocimientos y competencia del personal que facilita información sobre productos de inversión a los clientes, las empresas que utilicen IA para tales actividades deben hacerlo bajo una vigilancia reforzada para garantizar el mismo nivel de estándares de calidad. A este respecto, deben establecerse controles sólidos para garantizar -ex ante- la exactitud de la información suministrada a los sistemas de IA y/o utilizada por éstos, con el fin de evitar la difusión a los clientes de información errónea o la prestación de asesoramiento engañoso en materia de inversión. Además, las empresas de inversión deben aplicar controles ex post suficientemente frecuentes para supervisar y evaluar cualquier proceso que implique la entrega de información directa o indirectamente a través de mecanismos impulsados por IA. Estas evaluaciones posteriores a la interacción son cruciales para garantizar el cumplimiento continuo de las obligaciones de la MiFID II y salvaguardar a los clientes contra la difusión de cualquier información inexacta o engañosa sobre los productos y servicios de inversión. No mantener la exactitud en estas interacciones podría afectar profundamente a los clientes de las empresas y a la responsabilidad de éstas hacia ellos. Las empresas deben adoptar una supervisión estricta cuando empleen IA en este contexto. Por último, la concienciación dentro de la organización, especialmente entre el personal de las funciones de control, es crucial para navegar por las complejidades de la integración de la IA. Para ello, las empresas deben garantizar programas de formación adecuados sobre el tema de la IA para el personal pertinente, asegurándose de que estén equipados para gestionar, interpretar y trabajar con tecnologías de IA. La formación debe abarcar no sólo los aspectos operativos de la IA, sino también sus riesgos potenciales, consideraciones éticas e implicaciones normativas. El personal pertinente debe estar equipado con los conocimientos necesarios para identificar y abordar cuestiones como la integridad de los datos, el sesgo algorítmico y las consecuencias imprevistas de la toma de decisiones mediante IA. Fomentar una cultura organizativa que fomente el aprendizaje y la adaptación continuos es vital, ya que las tecnologías de IA y el panorama normativo evolucionan rápidamente (apartados 14 a 18 de la Declaración).
F.3) Requisitos específicamente referidos a los servicios de inversión consistentes en el asesoramiento y gestión de carteras
A la vista del particular impacto que tiene y tendrá la IA en los servicios de inversión consistentes en el asesoramiento y gestión de carteras, ESMA dedica un apartado de su Declaración a los “requisitos de conducta empresarial” en el que explica que “el cumplimiento estricto de los requisitos de conducta empresarial en virtud de la MiFID II es primordial, especialmente cuando se utilizan sistemas de IA para la prestación de servicios de asesoramiento en materia de inversión y gestión de carteras. El uso de tecnologías de IA en estos ámbitos requiere un mayor nivel de diligencia, en particular para garantizar la idoneidad de los servicios e instrumentos financieros prestados a cada cliente. Cuando los sistemas de IA se utilizan en la prestación de servicios de inversión, resulta crucial disponer de controles sólidos para garantizar que los sistemas de IA utilizados se diseñan y supervisan, por ejemplo, en el contexto de la gobernanza de los productos para alinear la distribución de productos con el mercado objetivo, o en el contexto de la evaluación de la idoneidad, para alinear las recomendaciones y decisiones con la situación financiera del cliente, los objetivos de inversión (incluidas las preferencias de sostenibilidad y la tolerancia al riesgo), y los conocimientos y la experiencia. Las empresas de inversión deben aplicar procesos rigurosos de garantía de calidad para sus herramientas de IA. Esto debería incluir pruebas exhaustivas de la precisión de los algoritmos y sus resultados y de equidad y fiabilidad en diversos escenarios de mercado. Además, las empresas deben realizar pruebas de tensión periódicas para evaluar cómo se comportan estos sistemas de IA en condiciones de mercado extremas. Por último, las empresas deben garantizar el estricto cumplimiento de las normas de protección de datos para salvaguardar cualquier información sensible de los clientes recopilada con el fin de prestar servicios de inversión” (apartados 19 a 22 de la Declaración).
F.4) Requisitos específicamente referidos al mantenimiento de registros
Dado que la IA es un alambique que transforma datos ingentes de entrada en información de salida tras su transformación algorítmica, ESMA “espera que las empresas de inversión mantengan registros exhaustivos sobre la utilización de la IA y sobre cualquier reclamación relacionada de clientes y posibles clientes y garanticen el cumplimiento de los requisitos de la MiFID II. Se espera que las empresas mantengan registros que documenten la utilización de tecnologías de IA en los diversos aspectos relacionados con la prestación de servicios de inversión. Estos registros deben abarcar aspectos del despliegue de la IA, incluidos los procesos de toma de decisiones, las fuentes de datos utilizadas, los algoritmos implementados y cualquier modificación realizada a lo largo del tiempo” (apartados 23 y 24 de la Declaración).
G) Conclusiones
La Declaración de ESMA acaba ofreciendo una conclusión en la que señala que “el uso de la IA en los servicios de inversión presenta tanto oportunidades como retos. El cumplimiento de los requisitos de la MiFID II y la priorización de los mejores intereses de los clientes sirven de principios rectores para las empresas de inversión que aprovechan la IA. Mediante el fomento de la transparencia, la aplicación de prácticas sólidas de gestión de riesgos y el cumplimiento de los requisitos legales, la AEVM tratará de ayudar a las empresas a aprovechar el potencial de la IA, salvaguardando al mismo tiempo la confianza y la protección de los inversores”. Y añade que su Declaración “tiene por objeto ofrecer una orientación inicial a las empresas sobre este tema clave a la luz de las obligaciones pertinentes de Mifid II. Se anima a las empresas de inversión a buscar más recursos y a comprometerse con sus autoridades de supervisión para navegar eficazmente por los complejos desafíos relacionados con la IA. La AEVM y las autoridades nacionales competentes (ANC) seguirán de cerca la evolución del fenómeno y del marco jurídico pertinente de la UE en materia de IA para determinar si es necesario adoptar nuevas medidas en este ámbito” (apartados 25 y 27 de la Declaración).