Durante los pasados días 27 y 28 junio de 2024 -tal y como anticipamos en la entrada de este mismo blog del pasado 26 de junio- se celebró en la Universidad de Las Palmas de Gran Canaria el Congreso sobre “La normativa europea sobre inteligencia artificial a debate” en el que tuve el placer y el honor de participar en la Mesa sobre “Los sistemas IA y la actividad financiera”.
Antes que nada queremos dejar constancia de que fue un Congreso magníficamente organizado en el que se observaron temas y horarios, lo que siempre es un gesto de cortesía inteligente para el público asistente y para los ponentes y que proporcionó material valioso para que podamos reflexionar sobre la previsibilidad de que se cumpla la distopia aterradora condensada en el aserto famoso de Aldous Huxley que dice: “La personas llegarán a amar su opresión, a adorar las tecnologías que deshacen su capacidad de pensar”.
Dicho lo anterior, es hora de ofrecer a los lectores de este blog una síntesis del contenido de mi ponencia, que trató de los “Riesgos y oportunidades de la aplicación de los sistemas de inteligencia artificial en la actividad bancaria”.
A) Inteligencia artificial y banca: Dos alambiques paralelos de funcionamiento superpuesto
Dado que los sistemas de inteligencia artificial y de la actividad bancaria son sistemas complejos y arriesgados en su diseño y en su funcionamiento; aplique el principio paradójico que utilizo en estas ocasiones y que me lleva a esforzarme por ofrecer una explicación tanto más sencilla cuanto más complejo es el fenómeno a explicar. Y, para ello, suelen resultarme útiles las metáforas que, naturalmente, debe interpretarse “cum granum salis” para no desvirtuar su efecto didáctico. En esta ocasión, recurrí a la metáfora del alambique por partida doble porque nos parece que los sistemas de inteligencia artificial y de la actividad bancaria comparten un denominador común funcional que consiente el uso de dicha metáfora en ambos casos. Es más, consideramos que la intersección de ambos conjuntos normativos puede explicarse mediante su superposición de modo tal que:
a) El alambique instrumental de la inteligencia artificial
En primer lugar, recurrí a la metáfora del alambique instrumental de la inteligencia artificial que ya hemos utilizado en este blog y fuera de él con anterioridad para ofrecer una imagen sencilla de la compleja IA. Recordemos en este sentido que el Diccionario de la RAE define alambique como “utensilio que sirve para destilar una sustancia volátil, compuesto fundamentalmente de un recipiente para calentar el líquido y de un conducto por el que sale la sustancia destilada”. Pues bien, proyectada esta imagen para explicar los sistemas de IA, podríamos definirlos como “sistemas que procesan grandes cantidades de datos o información bruta que se alojan en el canal de entrada para generar -mediante un método de transformación algorítmica que le permite interactuar con su entorno y aprender en consecuencia- un producto de información neta o destilada”.
Esta imagen se adecúa en buena medida con la noción de sistema de inteligencia artificial que ofrece el Reglamento europeo -que parece se publicará, por fin, en el DOUE del próximo 12 de julio- y anticipa, entre nosotros, el artículo 3 -dedicado a las “definiciones”- del Real Decreto 817/2023, , de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial (al que nos referimos en la entrada del pasado 26 de junio) que nos dice que un “sistema de inteligencia artificial” es un “sistema diseñado para funcionar con un cierto nivel de autonomía y que, basándose en datos de entradas proporcionadas por máquinas o por personas, infiere cómo lograr un conjunto de objetivos establecidos utilizando estrategias de aprendizaje automático o basadas en la lógica y el conocimiento, y genera información de salida, como contenidos (sistemas de inteligencia artificial generativos), predicciones, recomendaciones o decisiones, que influyan en los entornos con los que interactúa”. Ese mismo artículo 3 también nos anticipa la definición de “modelo fundacional” como un “modelo de inteligencia artificial entrenado en una gran cantidad de datos no etiquetados a escala (generalmente mediante aprendizaje autosupervisado y/o con recopilación automática de contenido y datos a través de internet mediante programas informáticos) que da como resultado un modelo que se puede adaptar a una amplia gama de tareas posteriores”.
b) El alambique sustancial de la actividad bancaria
En segundo lugar, superpuse al alambique instrumental de la inteligencia artificial, el alambique sustancial de la actividad bancaria que se puede inferir del mismo concepto europeo de entidad de crédito. La idea de sistema de transformación del dinero se deduce de la definición legal de las entidades de crédito -en nuestro Derecho, siguiendo al Derecho comunitario- como empresas autorizadas para desarrollar la actividad típica y habitual de “recibir del público depósitos u otros fondos reembolsables y en conceder créditos por cuenta propia” (art. 1.1 LOSSEC). Vemos como esta definición hace referencia, de forma sucesiva, a las operaciones o contratos bancarios pasivos y a las operaciones o contratos bancarios activos. Además, la “lista de actividades objeto de reconocimiento mutuo” en la UE que figura en el Anexo de la LOSSEC incluye actividades que carecen de un significado crediticio, activo o pasivo y, por lo tanto, pueden calificarse de operaciones crediticiamente neutras o servicios bancarios (por ejemplo, la gestión y el asesoramiento en la gestión de patrimonios).
De lo anterior se deduce que la actividad típica y nuclear de las entidades de crédito es la intermediación indirecta en el crédito que se realiza mediante la conexión funcional entre las operaciones bancarias pasivas (de recepción de fondos del público) y las activas (de aplicación de los fondos captados) y que, además, aquellas entidades pueden realizar otras operaciones o servicios accesorios o complementarios de las anteriores. Estas operaciones económicas bancarias se instrumentan jurídicamente mediante uno o varios contratos bancarios (el lector interesado en profundizar en esta materia puede consultar nuestro estudio “Aspectos generales de la contratación bancaria”, Capítulo XXV de la obra colectiva “Instituciones de Derecho privado” (Dir. Garrido de Palma, V.M., Coord. Nieto Carol, U.), 2ª ed., Tomo VI Mercantil, Volumen 4º Contratos Bancarios, Ed. Civitas Thomson Reuters, Cizur Menor 2022, pág.31 y ss.)
B) La calificación de los sistemas de inteligencia artificial que operan en la actividad bancaria como de alto riesgo y sus consecuencias
Si seguimos aprovechando la certeza que nos ofrece el Real Decreto 817/2023, encontramos que su art.3 define -anticipando la definición del Reglamento europeo- “sistema de inteligencia artificial de alto riesgo” como un “sistema de inteligencia artificial que cumpla alguno de los siguientes supuestos: a) Un sistema de inteligencia artificial que constituya un producto regulado por la legislación de armonización de la Unión especificada en el anexo VII del presente real decreto se considerará de alto riesgo si debe someterse a una evaluación de la conformidad por un tercero con vistas a la introducción en el mercado o puesta en servicio de dicho producto con arreglo a la legislación mencionada. b) Un sistema de inteligencia artificial que vaya a ser utilizado como un componente que cumple una función de seguridad y cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes en un producto regulado por una norma armonizada de la Unión Europea, si debe someterse a una evaluación de conformidad por parte de un tercero con vistas a la introducción en el mercado o puesta en servicio de dicho producto con arreglo a la legislación de armonización aplicable. Este supuesto será aplicable, aunque el sistema de inteligencia artificial se comercialice o se ponga en servicio independientemente del producto. c) Sistemas de inteligencia artificial mencionados en el anexo II, siempre que la respuesta del sistema sea relevante respecto a la acción o decisión a tomar, y pueda, por tanto, provocar un riesgo significativo para la salud, los derechos de las personas trabajadoras en el ámbito laboral o la seguridad o los derechos fundamentales”.
Pues bien, sin que podamos entrar en el detalle, esta definición nos muestra que los sistemas de inteligencia artificial que operan en la actividad bancaria deberán calificarse en mucha ocasiones, como sistemas de inteligencia artificial de alto riesgo; deducción que se refuerza con el examen del Anexo II del el Real Decreto 817/2023 que nos ofrece un “listado de áreas de sistemas de inteligencia artificial de alto riesgo específicos” que abarca, entra otros muchos, los que gestionan el “acceso y disfrute de servicios públicos y privados esenciales y sus beneficios”; los sistemas de IA destinados a utilizarse para evaluar la solvencia de personas físicas o establecer su calificación crediticia; los sistemas de IA destinados a utilizarse para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud; etc.
C) Las aplicaciones de los sistemas de inteligencia artificial a los diferentes tipos de operaciones bancarías
Una vez ofrecida una noción metafórica de la inteligencia artificial aplicada a la actividad bancaria como dos alambiques paralelos de funcionamiento superpuesto y tras la calificación de los sistemas de inteligencia artificial que operan en la actividad bancaria como de alto riesgo; expuse de forma somera las múltiples aplicaciones de los sistemas de inteligencia artificial a los diferentes tipos de operaciones bancarías comenzando por ofrecer una calificación telegráfica de los diferentes tipos de operaciones bancarias que nos llevaron a distinguir las tres categorías clásicas (remitimos de nuevo al lector interesado en profundizar en esta materia a nuestro estudio “Aspectos generales de la contratación bancaria” antes citado, págs..42 y ss.). A saber:
a) Los tres tipos de operaciones bancarias
a.1) Las operaciones bancarias pasivas en las que la entidad recibe crédito de su clientela; de tal modo que las entidades captan fondos del público, con la facultad de aplicarlos por cuenta propia a las operaciones activas y la obligación de restituirlos, en un determinado plazo o cuando el cliente lo solicite. Estas operaciones se corresponden con la parte de la actividad típica y habitual de las entidades de crédito consistente en “recibir del público depósitos u otros fondos reembolsables” (art. 1.1 LOSSEC). Se trata, fundamentalmente, de los depósitos abiertos de dinero. Estos contratos pasivos constituyen el presupuesto de toda la actividad bancaria de intermediación en el crédito, el “primer impulso” para que se desarrollen los flujos dinerarios que permiten dicha intermediación.
a.2) Las operaciones bancarias activas en las que la entidad otorga crédito a su clientela; de tal manera que las las entidades aplican, por cuenta propia, los fondos captados del público. Son las entidades quienes conceden crédito porque aplazan unilateralmente su derecho de solicitar la restitución del dinero entregado. Se trata, fundamentalmente, de los préstamos de dinero y de los contratos de apertura de crédito. En ellos, la banca hace uso de los fondos concediendo “créditos por cuenta propia” (art. 1.1 LOSSEC). Constituyen la consecuencia natural de la captación de fondos del público que permite que la actividad bancaria se convierta en una intermediación en el crédito
a.3) Las operaciones bancarias neutras en las que la entidad ni recibe ni otorga crédito a su clientela. En ellas las entidades prestan a su clientela servicios que no implican el aplazamiento unilateral de una obligación de la restitución de dinero. Se trata de las actividades sin significado crediticio señaladas en el Anexo de la LOSSEC. Esta tercera categoría tiene un carácter heterogéneo puesto que su definición procede de la conexión, proximidad o complementariedad con la actividad bancaria y, por ello, abarca desde el tradicional alquiler de cajas de seguridad hasta los servicios bancarios en el mercado de instrumentos financieros (en especial, de los valores negociables).
b) El método de análisis del tipo coste (riesgo)/beneficio (oportunidad)
Una vez establecidos los presupuestos conceptuales, llamé la atención sobre una idea cuya evidencia la acerca a la obviedad y que consiste en que la aplicación geométricamente creciente de la tecnología y la inteligencia artificial al mercado financiero en general (tecnofinanzas o fintech) exige una aproximación regulatoria que aplique un análisis equilibrado de los costes que, al proyectarse principalmente hacia el futuro, se presentan en forma de riesgos; y de los beneficios que, por ser también en este caso futuribles, se nos aparecen como oportunidades.
Establecido el método de análisis, entre a exponer sus dos componentes:
b.1) Por una parte, es evidente que la aplicación de la inteligencia artificial al mercado financiero es un fenómeno inevitable que produce efectos positivos para los intermediarios (bancos) y para los consumidores (clientes) en forma de ahorro de costes, accesibilidad, velocidad y seguridad de las operaciones.
b.2) Por otra parte, también resulta manifiesto que, junto a las oportunidades y ventajas que aportan la inteligencia artificial, plantea nuevos riesgos regulatorios que deben ser cuidadosamente analizados por los juristas para prevenir y evitar, en la medida de lo posible, las consecuencias dañinas que pueden ocasionar, en particular, a los clientes bancarios, como partes especialmente necesitadas de protección.
c) Los cuatro riesgos paradójicos
Expuesto el método de análisis y sus dos componentes, tipifiqué cuatro riesgos que plantea la aplicación de la inteligencia artificial a la actividad bancaria. Y, como estos riesgos implican sus respectivas paradojas regulatorias, me referí a los siguientes 4 riesgos paradójicos, expresados en forma de preguntas retóricas:
c.1) Un primer riesgo paradójico: ¿Es compatible la creciente dispersión de los datos personales de los clientes bancarios con la protección de sus derechos?
La palanca fundamental en la que se apoya la aplicación de la inteligencia artificial a la actividad bancaria es la recopilación y el tratamiento automatizado -por parte de los bancos directamente y de terceros proveedores de servicios TIC- de los datos personales de sus clientes. Esta gestión del “big data”, en la medida en que implica el tratamiento digital de los datos personales, genera un efecto de dispersión de aquellos datos, que se potencia, por ejemplo, en los casos frecuentes de externalización por los bancos de los servicios en la nube. En este punto se plantea un primer riesgo y una primera paradoja o tensión regulatoria entre esta dispersión y la necesaria protección de los datos personales, que requiere un control concentrado de aquellos datos. En este punto hay que tener presentes dos aspectos:
c.1.1) En primer lugar, aquella tensión regulatoria debe resolverse recordando que el tratamiento digital de los datos personales de los clientes bancarios por parte de los bancos debe respetar los requisitos generales del Reglamento general de protección de datos (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, que entró en vigor el pasado 25 de mayo de 2018 (art.99). A la vista de los datos gestionados por el sector de la banca, tienen una especial importancia las definiciones de “datos personales” (art.4.1); de “datos genéticos” (art.4.13); y de “datos biométricos” (art.4.14); y las medidas especiales de protección de dichos datos. Segundo, los requisitos especiales de la LOSSEC
c.1.2) En segundo lugar, los casos frecuentes de externalización por los bancos de los servicios en la nube mediante el recurso a terceros proveedores incrementa exponencialmente el riesgo operativo digital de dispersión de los datos personales de los asegurados. En este punto, no pudimos más que hacer una sintética remisión a los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros” que establece la Ley Europea de Resiliencia Operativa Digital del sector financiero (Reglamento (UE) 2022/2554, DORA) y que son: La responsabilidad, principio general a todas las entidades financieras -y por lo tanto a los bancos- cuando externalizan y subcontratan servicios o actividades en terceras entidades, plasmado en el art.28.1.a) de DORA; y la proporcionalidad, principio también común a todas las entidades financieras cuando externalizan y subcontratan servicios o actividades en terceras entidades, plasmado en el art.28.1.b) de DORA. Procede recordar que este principio de proporcionalidad rige tanto en el ámbito de gestión del ROD derivado de factores internos o endógenos como externos o exógenos como lo podemos verificar: En el ámbito de gestión del ROD derivado de factores internos o endógenos cuando el DORA, en su artículo 16 se refiere al “marco simplificado de gestión del riesgo relacionado con las TIC”; y, en el ámbito de gestión del ROD derivado de factores externos o exógenos cuando el DORA, en su artículo 28, enuncia los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros” (el lector interesado en profundizar en esta compleja materia puede informarse tanto en las numerosas entradas de este blog dedicadas DORA, por ejemplo la de 1 de febrero de 2023 titulada “DORA. Ley Europea de Resiliencia Operativa Digital del sector financiero. Reglamento (UE) 2022/2554 (3): Funcionamiento” como fuera de él, por ejemplo, en nuestro estudio “DORA. La Ley europea de resiliencia operativa digital del sector financiero. Reglamento (UE) 2022/2554” publicado en La Ley Unión Europea, nº 113, abril 2023).
c.2) Un segundo riesgo paradójico: ¿Es compatible el uso de la inteligencia artificial por los de los comparadores de hipotecas y los agregadores de información bancaria con su régimen legal de supervisión?
En este punto llamamos la atención sobre el Anteproyecto de Ley de administradores y compradores de créditos, por el que se transpone la Directiva europea sobre la materia y se modifica la Ley de contratos de crédito al consumo (Ley 16/2011/ y la Ley de contratos de crédito inmobiliario /Ley 5/2019) aprobado por el Consejo de Ministros del pasado 11 de junio.
c.3) Un tercer riesgo paradójico: ¿Es compatible el asesoramiento robotizado (robo-advisors) bancario de seguros con las exigencias legales de asesoramiento personalizado?
Los denominados “robo-advisors” son herramientas digitales que permiten a los bancos ofrecer a sus clientes un asesoramiento automatizado mediante algoritmos informatizados y árboles lógicos de decisión sin intervención relevante de un ser humano. El desarrollo de estos robo-advisors en los servicios bancarios de asesoramiento de inversión y de gestión de patrimonios plantea dos desafíos regulatorios:
c.3.1) Por una parte, el control de los riesgos típicos que se han detectado, tales como las limitaciones de la información proporcionada, los sesgos en el asesoramiento, los fallos tanto tecnológicos como a través de manipulaciones de los algoritmos y, sobre todo, la determinación de las personas responsables de los daños causados a los clientes asesorados por aquellos fallos.
c.3.2) Por otra parte, la paradoja entre la personalización creciente del asesoramiento derivada de la normativa europea, por una parte; y el uso de las técnicas de información y asesoramiento robotizado a través de máquinas sin intervención significativa humana, por otra parte. Esta paradoja de la trasparencia digital deriva de dos fenómenos recientes que parecen ir en direcciones contrapuestas:
c.3.2.1) Por un lado, vemos que, en los mercados financieros en general y en el bancario en particular, la normativa europea y española incrementan exponencialmente las exigencias de transparencia y asesoramiento personalizado
c.3.2.2) Por otro lado y en dirección contraria, vemos que las exigencias técnicas de la digitalización financiera requieren de una máxima estandarización impersonal de las informaciones y asesoramientos. Estos condicionamientos consustanciales a las nuevas tecnologías de la inteligencia artificial y fintech quedan de manifiesto en el asesoramiento robótico. Será, sin duda, extremadamente interesante verificar si, en un futuro próximo, los contratos financieros, bancarios y de seguros celebrados mediante el uso de técnicas de inteligencia artificial y de documentación e información digital y, en su caso, asesoramiento robótico cumplen las exigencias de transparencia que, para su validez, establece la Sala Primera de lo Civil del Tribunal Supremo cuando aplica la Directiva de cláusulas abusivas, la normativa MIFID.
c.4) Un cuarto riesgo paradójico: ¿pueden cumplir los contratos inteligentes (smart contracts) los requisitos legalmente exigibles a los contratos bancarios?
Los denominados “smart contracts” son acuerdos de voluntades que permiten su auto-ejecución o cumplimiento automático sobre la base de la tecnología blockchain que genera registros de datos incorruptibles. Entre sus ventajas se destaca el aumento de la trazabilidad de las actuaciones y de la seguridad respecto de los contratos tradicionales y la reducción de los costes y tiempo asociado a este tipo de transacciones.
También en este punto se percibe una cierta tensión regulatoria cuando recordamos que el uso por los bancos de estos contratos inteligentes deberá resultar compatible con la observancia de los requisitos generales de los contratos bancarios (por último remitimos una vez más al lector interesado en profundizar en esta materia de la transparencia en la contratación bancais y la protección del cliente bancario a nuestro estudio “Aspectos generales de la contratación bancaria” antes citado, págs..48 y ss.).