¿Cómo configuran los regímenes regulatorios los límites de personalización?

Toda entidad financiera quiere tratar a cada cliente como un individuo. La regulación decide hasta dónde puede llegar esa ambición.

Los límites de personalización son las fronteras que la normativa de privacidad, los estándares de equidad y los deberes de idoneidad imponen a la medida en que un banco, una aseguradora o un gestor patrimonial puede adaptar un precio, un producto o un asesoramiento a una sola persona.

Existen porque una decisión personalizada en finanzas rara vez es neutral: el mismo modelo que ofrece a un cliente un tipo de interés mejor puede, en silencio, ofrecer a otro uno peor, por motivos que ni el cliente ni la entidad alcanzan a ver. En la práctica, los límites de personalización los fija menos el dato que puedes recoger y más la decisión que puedes justificar. La normativa de privacidad gobierna las entradas, la de equidad gobierna los resultados y las normas de conducta gobiernan si la recomendación sirvió realmente al cliente. Falla en cualquiera de las tres y la personalización que parecía buen servicio se convierte en un hallazgo regulatorio.

El reto:

Cuanto más afinas la personalización, con más precisión puedes discriminar, y los supervisores leen ambas cosas como la misma capacidad.

• Caso de uso: un banco minorista quiere mostrar ofertas de préstamo preconcedidas ajustadas al historial de transacciones de cada cliente. El equipo de privacidad pregunta si esa elaboración de perfiles exige consentimiento explícito; el equipo de equidad pregunta si el modelo deniega con más frecuencia a colectivos protegidos; el equipo de conducta pregunta si una oferta no solicitada es una oferta idónea. Los límites de personalización se sitúan en la intersección de las tres preguntas, no dentro de ninguna política aislada.

1. Las tres fuerzas que configuran los límites de personalización

La personalización en finanzas está restringida por tres cuerpos normativos distintos, y la mayoría de las entidades los gestiona en silos separados. La restricción vinculante para un caso de uso concreto suele ser la más estricta de las tres, no aquella de la que se ocupa el equipo del proyecto.

Cuando un caso de uso activa las tres, los límites de personalización los fija la fuerza más estricta, y rara vez es la que vigila el equipo de ingeniería. El artículo 22 del RGPD es el anclaje más claro: trata la decisión significativa y exclusivamente automatizada como restringida por defecto, admisible solo por motivos tasados y siempre con derecho a intervención humana. Puedes leer la disposición completa en el texto del artículo 22 del RGPD.

2. Cómo cambian los límites de personalización según el sector

La versión original de esta página señalaba una restricción por sector. Cada una es real y cada una es el titular visible de una norma más profunda. El escrutinio supervisor aumenta acusadamente allí donde la personalización influye de forma material en un resultado financiero, de modo que la visión sectorial que sigue importa precisamente donde la personalización es más valiosa.

Dos hechos sectoriales vuelven concretos estos límites. En gestión patrimonial, las directrices de idoneidad de ESMA bajo MiFID II exigen que el asesoramiento se ajuste a los conocimientos y la experiencia del cliente, su situación financiera y sus objetivos, y afirman con claridad que automatizar el proceso no traslada la responsabilidad fuera de la entidad. En seguros, la sentencia Test-Achats anuló la excepción que permitía a las aseguradoras usar el sexo para fijar primas, de modo que desde el 21 de diciembre de 2012 la tarificación en la UE pasó a ser unisex. Un motor de personalización que reconstruye el sexo a partir de datos de comportamiento no ha innovado rodeando esa norma: la ha incumplido.

Ejemplo: la encuesta de digitalización de EIOPA de 2024 constató que el 50 % de las aseguradoras de no vida y el 24 % de las de vida ya utilizaban IA a lo largo de la cadena de valor, incluidas la tarificación y la suscripción. La personalización no es una cuestión de futuro para estas entidades: los límites de personalización se aplican a sistemas que ya están en producción.

3. Qué prohíben realmente las normas

Si se retiran las etiquetas sectoriales, las prohibiciones convergen en cuatro conductas. Estos son los límites de personalización en su forma operativa, y cada uno se corresponde con un modo de fallo concreto.

• Discriminación, incluida la discriminación por variables indirectas. Usar una característica protegida, o un sustituto de esta, para fijar un precio o una decisión. La intención no cuenta; el resultado sí. Por eso las pruebas de sesgo tienen que fijarse en lo que el modelo hace, no solo en los datos con los que se alimentó.
• Elaboración opaca de perfiles. Construir una decisión que el cliente no puede comprender ni impugnar. La normativa de protección de datos exige información significativa sobre la lógica de una decisión automatizada y una vía para cuestionarla, lo que descarta un modelo que nadie en la entidad sabe explicar.
• Incumplimientos fiduciarios y de idoneidad. Adaptar una recomendación a los ingresos de la entidad en lugar de al interés del cliente. Un empujón “personalizado” hacia un producto de mayor margen es un incumplimiento de conducta disfrazado de funcionalidad.
• Uso ilícito de categorías especiales de datos. Inferir salud, origen étnico u otros atributos sensibles para afinar un precio, sin la estricta base jurídica que tales datos exigen. La inferencia cuenta: deducir un rasgo sensible se trata de forma muy similar a recogerlo.

4. Qué suelen entender mal las entidades sobre los límites de personalización

El error habitual es tratar los límites de personalización como un problema de privacidad, resuelto en cuanto se firman el aviso de consentimiento y el contrato de tratamiento de datos. La privacidad es solo la primera de las tres fuerzas. Un modelo puede superar todos los requisitos de consentimiento y aun así fallar en equidad o en idoneidad, porque estas se juzgan por la decisión a la que llega, no por el papeleo que respalda el dato. Las entidades que tropiezan son las que preguntan “¿podemos recoger este dato?” cuando la pregunta difícil, que llega después, es “¿podemos defender esta decisión?”.

Conviene señalar un segundo malentendido: que la regulación solo frena la personalización. El Anexo III del Reglamento de IA de la UE clasifica como de alto riesgo la IA empleada para evaluar la solvencia y la IA empleada para la evaluación de riesgos y la tarificación en los seguros de vida y de salud, lo que incorpora al desarrollo documentación, supervisión humana registrada y pruebas de sesgo. Leído a la defensiva, es una carga. Leído como un briefing de diseño, es una especificación. Las entidades que tratan los límites de personalización como una entrada de diseño, presente desde el primer sprint, entregan antes que las que pasan un modelo terminado a legal y esperan el rechazo. La restricción no es el obstáculo; lo es descubrirla tarde.

La personalización y el cumplimiento no son fuerzas opuestas. El límite es el requisito de producto que ibas a tener de todos modos; lo único que eliges es si lo aprendes antes o después de haber construido el modelo.

Optimizium, práctica de Beyond Banking y Datos

En Optimizium partimos de una premisa sencilla: los equipos que conocen tu riesgo, tu cartera y tu regulador son un activo, no un freno. La personalización a escala funciona cuando los científicos de datos que construyen el modelo y los compañeros de cumplimiento y actuarial que conocen las normas son coautores desde la primera sesión de diseño, en lugar de una barrera al final. Así es como los límites de personalización dejan de ser una sorpresa y se convierten en fronteras dentro de las cuales has diseñado a propósito.

Nuestro papel es aportar la innovación, el instrumental moderno de datos y la disciplina de entrega, respetando el conocimiento heredado que ya existe dentro de tu institución. Te ayudamos a mapear cada caso de uso frente a los límites de personalización que lo restringen, a decidir dónde una decisión automatizada necesita intervención humana y a construir el rastro de evidencia antes de que un supervisor lo pida. El resultado es una personalización que tus clientes valoran y que tu consejo puede defender, tanto en banca como en seguros y en gestión patrimonial.

Descubre cómo abordamos esto en Banca, Seguros y Gestión Patrimonial, consulta el Hub de FAQ o lee la pregunta relacionada: ¿Qué limita la IA en siniestros, suscripción y asesoramiento?