Cómo usan los sectores regulados los agentes de IA de forma segura: banca, seguros, telco y utilities
Un agente conversacional que se equivoca en un ecommerce genera una reclamación. El mismo error en banca, seguros, telco o utilities genera una reclamación ante el regulador sectorial además del regulador de IA. Los sectores regulados no auditan sus agentes de IA por prudencia genérica: lo hacen porque el banco central, la autoridad de seguros o la autoridad de telecomunicaciones ya vigilaban a estas compañías antes de que existiera el EU AI Act, y ese escrutinio se extiende ahora al agente conversacional igual que al resto de la operación.
Esto es lo que exige realmente la regulación en cada sector, y lo que encontramos al auditar agentes de IA ya en producción en estos cuatro verticales.
Por qué un sector regulado no puede tratar la IA como un chatbot más
Dos de los cuatro pilares del Trust Score — Integridad y Seguridad, y Confianza Regulatoria — concentran el 60% del peso, y en sectores regulados ese peso se nota más que en ningún otro sitio. Un fallo que en retail es una mala experiencia de cliente, en banca es una fuga de dato financiero sujeta a RGPD y a supervisión bancaria a la vez; en seguros es una decisión automatizada sobre un siniestro que puede escalar al regulador; en telco es una obligación de transparencia del Artículo 50 más las reglas de la autoridad sectorial; en utilities, un fallo de continuidad de servicio en un canal conversacional de emergencia arrastra una capa de responsabilidad que no existe en ecommerce.
La capa regulatoria del EU AI Act no sustituye a la del regulador sectorial. Se suma a ella.
Qué exige realmente cada sector
| Sector | Obligación EU AI Act / RGPD | Obligación sectorial adicional | Hallazgo de auditoría más frecuente |
|---|---|---|---|
| Banca | Art. 50 (divulgación), RGPD (dato financiero) | Supervisión del banco central sobre procesos automatizados que afectan al cliente | Confirmación de identidad ambigua ante pregunta directa del cliente |
| Seguros | Art. 50, evaluación de riesgo si hay scoring automatizado | Regulador de seguros — trazabilidad de decisiones sobre pólizas y siniestros | Doble hallazgo crítico en agentes de gestión de siniestros |
| Telco | Art. 50 — especialmente sensible por el volumen de interacciones | Autoridad de telecomunicaciones — continuidad de servicio y transparencia | Ausencia total de divulgación de IA |
| Utilities | Art. 50, clasificación de riesgo si hay verificación de solvencia conectada al canal | Regulación de energía/servicio público, canales de emergencia | Falta de clasificación de riesgo documentada para procesos conectados al canal conversacional |
Qué encontramos auditando agentes en estos cuatro sectores
Los ejemplos siguientes están anonimizados: proceden de auditorías reales de Lexic Compass en producción, una por sector.
Banca: ante la pregunta directa "¿eres un bot o una persona?", un canal respondió literalmente "soy una persona" — la violación más grave posible del Artículo 50, y exactamente el tipo de hallazgo que un supervisor bancario trata como fallo de control interno, no como matiz de UX.
Seguros: un agente de gestión de siniestros obtuvo 17/100 tras un doble hallazgo crítico documentado con evidencia textual — el tipo de resultado que activa el override automático NOT FIT del Trust Score, por bien que puntúe todo lo demás.
Telco: un agente nunca reveló que era una IA en ninguna de las conversaciones analizadas. Técnicamente rendía bien — cero alucinaciones, seguridad sólida — pero esa única brecha activa un override automático NOT FIT, porque es el requisito legal más básico del Artículo 50.
Utilities: en un proceso conectado a verificación de solvencia a través de un canal conversacional, la auditoría detectó que ese proceso no tenía clasificación de riesgo documentada de forma independiente — una brecha de gobernanza previa a cualquier conversación sobre si el agente "funciona bien".
No todos los resultados son negativos. Un agente conversacional del sector público auditado por Lexic Compass obtuvo 96/100 — FIT, con divulgación proactiva de IA, resistencia consistente a intentos de manipulación y gestión correcta de solicitudes de supresión de datos. Es la prueba de que el nivel es alcanzable: no es un problema de tecnología, es la cuestión de si alguien lo verificó antes de que lo hiciera un cliente, un periodista o un regulador.
Qué deberían exigir estos sectores antes de escalar un agente conversacional
- Confirmación explícita de la divulgación de IA, verificada con evidencia textual de conversaciones reales — no solo comprobada en el prompt original.
- Clasificación de riesgo documentada para cualquier proceso conectado al canal conversacional que toque dato financiero, de salud o de solvencia — no asumida por analogía con otro proceso ya evaluado.
- Evidencia de resistencia a manipulación (jailbreak, redefinición de rol) específica del sector: un ataque que bloquea un canal de banca puede colarse en un canal de telco del mismo grupo si no se prueba por separado.
- Un veredicto ejecutivo, no un dashboard técnico — el Consejo, el DPO o el regulador sectorial necesitan una conclusión legible (FIT / FIT CON CONDICIONES / NOT FIT), no una tabla de métricas de latencia.
Preguntas frecuentes
¿El EU AI Act clasifica automáticamente como "alto riesgo" a los agentes de banca y seguros?
No necesariamente. La mayoría de agentes conversacionales de atención al cliente en estos sectores caen en riesgo limitado (la obligación de transparencia del Artículo 50), no en el alto riesgo del Anexo III — que además se retrasó a diciembre de 2027. La clasificación de alto riesgo depende de si el sistema decide o influye directamente en crédito, seguro o resultados similares, no del sector en sí.
¿Por qué un agente que rinde bien técnicamente puede salir NOT FIT?
Porque el Trust Score aplica una regla de tolerancia cero: un hallazgo crítico en Integridad y Seguridad o en Confianza Regulatoria fuerza un veredicto NOT FIT por bien que puntúen las demás dimensiones. La falta de divulgación de IA es exactamente ese tipo de hallazgo.
¿Utilities está sujeto al EU AI Act igual que banca o seguros?
Sí, en lo que respecta al Artículo 50 si opera un canal conversacional con clientes. La diferencia es que utilities suele tener procesos conectados (verificación de solvencia, continuidad de servicio) que exigen clasificación de riesgo independiente antes de automatizarse a través del canal — algo que muchas organizaciones aún no han documentado.
Si tu organización opera en un sector regulado y tiene un agente conversacional en producción, la pregunta no es si el regulador sectorial va a mirarlo. Es si tú lo miraste primero. Para ver qué encuentra Lexic Compass en el tuyo, reserva una demo con tus propios datos.