Reglamento de IA vs DORA
Cómo se cruza la regulación específica de la IA con el marco de resiliencia operativa digital del sector financiero
Comparativa rápida
Visión comparada de las principales dimensiones regulatorias
| Dimensión | Reglamento de IA | DORA |
|---|---|---|
| Enfoque principal | Regular los sistemas de IA en todos los sectores según su riesgo, desde las prácticas prohibidas hasta las obligaciones de transparencia de los sistemas de riesgo limitado | Garantizar la resiliencia operativa digital de las entidades financieras mediante la gestión del riesgo TIC, los incidentes, las pruebas y las dependencias de terceros |
| Alcance | Todos los sectores: cualquier proveedor, responsable del despliegue, importador o distribuidor de sistemas de IA introducidos en el mercado de la UE o que afecten a personas en la UE | Solo el sector financiero: bancos, aseguradoras, empresas de servicios de inversión, entidades de pago, proveedores de servicios de criptoactivos y proveedores terceros críticos de servicios TIC |
| Enfoque de riesgo | Cuatro niveles según el uso previsto: riesgo inaceptable (prohibido), alto riesgo (requisitos estrictos de conformidad), riesgo limitado (transparencia) y riesgo mínimo (voluntario) | Proporcionalidad: los requisitos se ajustan al tamaño de la entidad, a su perfil de riesgo y a la criticidad de sus servicios TIC, pero todas deben cumplir un mínimo |
| Requisitos de evaluación | Evaluaciones de la conformidad para la IA de alto riesgo (internas o por un organismo notificado, según la categoría), evaluaciones de impacto en los derechos fundamentales para determinados responsables del despliegue y vigilancia poscomercialización | Programa obligatorio de pruebas de resiliencia operativa digital, con evaluaciones de vulnerabilidades, pruebas basadas en escenarios y pruebas de penetración basadas en amenazas (TLPT) para las entidades significativas |
| Gobernanza | Sistemas de gestión de la calidad y de gestión de riesgos, documentación técnica, supervisión humana y requisitos de transparencia para proveedores y responsables del despliegue | El órgano de dirección debe aprobar la estrategia de riesgo TIC, formarse con regularidad en riesgo TIC, asignar presupuesto y responder del cumplimiento de DORA |
| Sanciones | Prácticas prohibidas: hasta 35 millones de euros o el 7% del volumen de negocios mundial; incumplimientos de alto riesgo: hasta 15 millones de euros o el 3%; información incorrecta a las autoridades: hasta 7,5 millones de euros o el 1% | Las fijan los Estados miembros; para los proveedores terceros críticos de servicios TIC, una multa coercitiva de hasta el 1% del volumen de negocios diario medio mundial por cada día de incumplimiento (máximo 6 meses) |
| Disposiciones sobre terceros | Obligaciones en la cadena de valor: los proveedores deben dar información suficiente a los responsables del despliegue, los importadores y distribuidores tienen deberes de diligencia y los proveedores de modelos de IA de uso general tienen obligaciones de transparencia y seguridad | Marco propio de riesgo de terceros TIC: registro de todos los proveedores TIC, cláusulas contractuales obligatorias, gestión del riesgo de concentración y vigilancia directa de la UE sobre los proveedores TIC críticos a través del supervisor principal |
Diferencias clave
Lo que distingue a estas normativas
- Reglamento de IA
El Reglamento de IA regula una tecnología; DORA regula un sector
El Reglamento de IA se aplica allí donde se usen sistemas de IA, en cualquier sector. DORA se aplica a las entidades financieras, usen la tecnología que usen. Una entidad financiera que usa IA debe cumplir ambos: el Reglamento de IA para sus sistemas de IA y DORA para su resiliencia TIC en general.
- DORA
DORA exige pruebas de resiliencia continuas
DORA exige programas de pruebas continuos, con análisis de vulnerabilidades, pruebas de escenarios y pruebas de penetración basadas en amenazas (TLPT) cada tres años. El Reglamento de IA exige una evaluación de la conformidad antes de comercializar un sistema de alto riesgo y vigilancia poscomercialización después, pero no ese mismo régimen de pruebas operativas continuas.
- Reglamento de IA
El Reglamento de IA prohíbe directamente ciertas prácticas de IA
El Reglamento de IA prohíbe los sistemas de IA de riesgo inaceptable, como la puntuación social, la identificación biométrica remota en tiempo real en espacios públicos con fines policiales (con excepciones limitadas), la explotación de grupos vulnerables y el reconocimiento de emociones en el trabajo. DORA no prohíbe tecnologías; exige resiliencia sea cual sea la tecnología.
- DORA
DORA aborda el riesgo de concentración TIC
DORA aborda el riesgo de concentración: que demasiadas entidades financieras dependan del mismo proveedor TIC. Las entidades deben valorar si la externalización crea dependencias sistémicas, y los proveedores TIC críticos están bajo vigilancia de la UE. El Reglamento de IA no tiene una norma equivalente sobre la concentración de proveedores de IA.
- Reglamento de IA
El Reglamento de IA fija techos de multa más altos
La multa máxima del Reglamento de IA, de 35 millones de euros o el 7% del volumen de negocios mundial por prácticas prohibidas, es uno de los techos de multa más altos de la regulación digital de la UE. DORA fija menos importes a escala de la UE y deja la mayoría a los Estados miembros, salvo las multas coercitivas a los proveedores TIC críticos.
Dónde se solapan
Ámbitos en los que ambas normativas coinciden
- Ambos exigen marcos sólidos de gestión de riesgos (el Reglamento de IA para los sistemas de IA y DORA para los sistemas TIC), y las entidades financieras deben integrarlos en su gestión de riesgos global
- Ambos imponen deberes de gobernanza: el Reglamento de IA exige supervisión humana de los sistemas de IA y DORA hace responsable al órgano de dirección de la resiliencia TIC
- Ambos abordan el riesgo de terceros: el Reglamento de IA mediante obligaciones en la cadena de valor para proveedores, responsables del despliegue y distribuidores, y DORA mediante su marco de riesgo de terceros TIC
- Ambos exigen documentación y registros: documentación técnica y registros de actividad para la IA de alto riesgo en el Reglamento de IA, y gestión del riesgo TIC e informes de incidentes documentados en DORA
¿Cuál se aplica a tu caso?
Escenarios habituales y qué normativa prevalece
Eres un banco que usa IA para la calificación crediticia y la detección del fraude
Se aplican los dos. La IA que evalúa la solvencia de personas físicas o establece su calificación crediticia es de alto riesgo según el Reglamento de IA (anexo III), lo que exige evaluación de la conformidad, transparencia y supervisión humana; la IA usada solo para detectar fraude financiero queda expresamente fuera de esa categoría. DORA te obliga a gestionar cualquier sistema de IA dentro de tu marco de riesgo TIC, con pruebas de resiliencia y vigilancia de terceros si la IA procede de un proveedor externo.
Eres una startup de IA que vende a empresas de fuera del sector financiero
El Reglamento de IA se aplica a tus sistemas según su nivel de riesgo. DORA no se aplica, porque tus clientes no son entidades financieras. Céntrate en los requisitos de conformidad del Reglamento de IA, sobre todo si tus productos entran en una categoría de alto riesgo (por ejemplo, IA para selección de personal, educación o fines policiales).
Eres una aseguradora que usa IA en la suscripción y en los siniestros
Se aplican los dos. La IA que evalúa el riesgo y fija precios a personas físicas en seguros de vida y salud es de alto riesgo según el Reglamento de IA (anexo III), con evaluación de la conformidad, explicabilidad y supervisión humana; otros usos, como automatizar siniestros, deben revisarse caso por caso. DORA exige que todo sistema de IA forme parte de tu marco de gestión del riesgo TIC, con pruebas de resiliencia y gestión del riesgo de terceros si el proveedor es externo.
Eres una entidad de pago que no usa sistemas de IA
Solo se aplica DORA. Como entidad financiera, debes cumplir sus requisitos de gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia y vigilancia de terceros, uses o no IA. El Reglamento de IA no se aplica si no desarrollas, despliegas ni usas sistemas de IA.
Preguntas frecuentes
Preguntas habituales sobre estas normativas
Lee las guías completas
Más comparativas
Alinea el Reglamento de IA y DORA con Reversa
Las entidades financieras que usan IA responden ante ambos marcos. Reversa integra la gobernanza de la IA en tu trabajo de resiliencia TIC, con los mismos controles y el mismo equipo.
- 01Reunión inicial
- 02Demostración sobre tu caso
- 03Despliegue en semanas