Exigido, discutido y no pedido

Ordena las obligaciones desde las que claramente vinculan hoy a una aseguradora que usa IA en siniestros de auto, pasando por las que están de verdad en discusión, hasta las que nadie está pidiendo. El medio es donde están los argumentos interesantes, y es más pequeño de lo que sugiere la conversación.

El extremo firme

Todo mercado con regulación de seguros tiene reglas sobre cómo hay que tramitar los siniestros: plazos de acuse de recibo y de decisión, prohibición de demora injustificada, exigencia de motivar un rechazo, deber de instruir antes de negar. En Estados Unidos circulan bajo el rótulo de prácticas desleales de tramitación de siniestros, adoptadas estado por estado a partir de un modelo antiguo; en otros sitios aparecen como normas de conducta o en el derecho general del contrato de seguro. Su propiedad común, a los efectos de aquí, es que son neutrales respecto a la tecnología. No mencionan modelos, y se aplican por entero a las decisiones que produjo un modelo.

Eso tiene una consecuencia que las aseguradoras suelen saltarse. Si una valoración es injustificadamente baja, es una valoración injustificada la haya producido una persona o un sistema. Si un rechazo no se puede explicar, el defecto es la explicación ausente y no el método. Una aseguradora que alega que la decisión vino de un modelo validado no está contestando la pregunta del regulador sobre esa decisión: está describiendo cómo llegó a algo que todavía tiene que justificar.

Lo mismo vale para el derecho antidiscriminatorio. Las prohibiciones de discriminación injusta en seguros son muy anteriores al aprendizaje automático y se fijan en resultados y no en intenciones. Un modelo que produce un resultado diferencial a través de una variable indirecta que nadie eligió con ese fin ha producido un resultado diferencial, y la ausencia de intención no es una respuesta bajo reglas construidas sobre el efecto.

La conservación de registros también pertenece a este extremo. Los expedientes de siniestros siempre han tenido que conservarse y poder reconstruirse. Cuando parte del razonamiento vive ahora en un modelo y en sus entradas, conservar el expediente en el sentido antiguo conserva menos que antes.

El instrumento que más ha hecho por decir esto de forma explícita para la IA es la circular modelo de la NAIC Use of Artificial Intelligence Systems by Insurers, adoptada por el Comité Ejecutivo (EX) y el Plenario de la NAIC el 4 de diciembre de 2023. No es una ley. Es un texto modelo escrito para que un departamento estatal de seguros lo emita como propio —el nombre del departamento y sus citas legales quedan en blanco en la versión publicada— y no crea prohibiciones nuevas. Lo que hace es decir a las aseguradoras que las decisiones y actuaciones que afectan a los consumidores tomadas o apoyadas por sistemas de IA deben cumplir todas las leyes y reglamentos de seguros aplicables, incluidos los que tratan las prácticas comerciales desleales y la discriminación injusta; que entre las leyes en que se apoya está la Unfair Claims Settlement Practices Act, que es la del lado de siniestros; que se espera que la aseguradora desarrolle, implante y mantenga un programa escrito —la circular lo llama AIS Program— para el uso responsable de los sistemas de IA que toman o apoyan decisiones sobre prácticas de seguro reguladas, y que cubra la administración y el pago de siniestros junto con el resto del ciclo de vida del seguro; que el programa debe abarcar esos sistemas tanto si los construyó la aseguradora como si los adquirió de un tercero, con diligencia debida y, cuando estén disponibles, derechos contractuales de auditoría y de cooperación; y que en una investigación o acción de conducta de mercado la aseguradora puede esperar que se le pidan el programa escrito, sus inventarios y documentación de modelos predictivos, su validación y sus pruebas, y su diligencia y sus contratos con terceros. Leída como anuncio de derecho nuevo es poca cosa; leída como aviso de que el derecho existente se va a aplicar a las decisiones de los modelos, es la declaración más clara disponible. Cuántos departamentos la han emitido, y en qué forma lo hizo cada uno, no es algo que hayamos contado.

El medio discutido

Qué cuenta como decisión que hay que motivar. Una puntuación que encamina un siniestro no es obviamente una decisión sobre el siniestro, y una valoración que un tramitador acepta sin cambiarla no es obviamente la decisión del tramitador. Las aseguradoras tienden a tratar el modelo como entrada y a la persona como quien decide; el representante de un reclamante argumentará que, cuando la persona nunca se aparta de la salida, decidió el modelo. En la mayoría de los sitios nada zanja esto, y la respuesta práctica es hacer visible en el expediente la aportación humana en lugar de ganar la discusión en abstracto.

Si la revisión humana tiene que ser sustantiva. Los instrumentos y las guías hablan cada vez más de supervisión humana, y casi ninguno la define. Una cola con un revisor que casi siempre está de acuerdo con el sistema satisface todos los requisitos escritos que conocemos y no satisface nada de lo que tranquilizaría a un regulador en una inspección. La distancia entre el requisito formal y aquello que pretendía asegurar está abierta de par en par, y una aseguradora que decide cerrarla está actuando por delante de las reglas.

Si al reclamante se le debe conocer el método. El texto más claro que hemos leído sobre esto es el artículo 22 del Reglamento General de Protección de Datos de la UE, que da al interesado el derecho a no ser objeto de una decisión «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar», y que —cuando la decisión es necesaria para un contrato o se basa en el consentimiento explícito— obliga al responsable del tratamiento a adoptar medidas adecuadas que incluyan como mínimo el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. Hasta dónde alcanza eso en la tramitación de siniestros, donde normalmente hay una persona en algún punto del proceso, depende de si un flujo concreto está de hecho automatizado únicamente. Esa es una pregunta sobre el flujo y no sobre el artículo, y está genuinamente sin resolver. Para los regímenes de protección de datos de fuera de la UE, este texto no dice nada.

Deberes de comprobación de la discriminación indirecta. El ejemplo que suele citarse es el proyecto de ley SB21-169 de Colorado, de 2021, Restrict Insurers’ Use Of External Consumer Data. Según el propio registro de la Asamblea General de Colorado, la norma prohíbe a una aseguradora usar una fuente externa de datos de consumidores, un algoritmo o un modelo predictivo que discrimine injustamente por las características protegidas que enumera, y encarga al comisionado de seguros adoptar normas —para tipos concretos de seguro y por práctica aseguradora— que obliguen a la aseguradora a informar de las fuentes externas que usa y de cómo las usa, a establecer y mantener un marco de gestión de riesgos diseñado para determinar si ese uso discrimina injustamente, a informar de los resultados y de las medidas adoptadas, y a aportar una declaración responsable de su director de riesgos. Ahí hay dos cosas fáciles de pasar por alto. El deber opera a través de normas hechas tipo por tipo y práctica por práctica, y no sobre toda la cartera de la aseguradora, así que si alcanza o no la tramitación de siniestros de auto en ese estado es una pregunta sobre las normas efectivamente adoptadas; y donde un deber de esta forma existe es de lo más exigente de este campo, porque obliga a una aseguradora a buscar un daño que puede encontrar.

Dónde muerde el Reglamento de IA de la UE y dónde no. El Reglamento (UE) 2024/1689 se publicó en el Diario Oficial del 12 de julio de 2024, entró en vigor a los veinte días de esa publicación y, por su artículo 113, es aplicable a partir del 2 de agosto de 2026, con los capítulos I y II a partir del 2 de febrero de 2025, otro grupo de capítulos y el artículo 78 a partir del 2 de agosto de 2025, y el artículo 6, apartado 1, y sus obligaciones correspondientes a partir del 2 de agosto de 2027. Su anexo de alto riesgo alcanza al seguro en un punto. El anexo III, punto 5, letra c), enumera los «sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud». La tramitación de siniestros de auto no es eso. Importa en las dos direcciones: una aseguradora no debería suponer que sus modelos de siniestros de auto son de alto riesgo por ese punto, ni suponer que están sin regular, porque el derecho general descrito arriba sigue aplicándose y no hemos leído el Reglamento de forma exhaustiva en busca de otras disposiciones que pudieran alcanzar un uso concreto.

La exigibilidad probatoria en litigio. Que una puntuación, la especificación de un modelo o el historial de reservas sean obtenibles por un reclamante es una cuestión procesal, contestada de forma distinta en cada jurisdicción, y el texto sobre triaje trata lo que se sigue de ella. Pertenece al medio discutido porque las respuestas se están construyendo caso a caso.

El extremo donde nada se exige

Ningún regulador que conozcamos exige a una aseguradora publicar su modelo, revelar sus variables, alcanzar un umbral de exactitud declarado ni ofrecer a los reclamantes un derecho general a que una persona tramite su siniestro. Propuestas de cada tipo existen en el debate. Ninguna es obligación viva en los mercados que cubre esta sección, y una aseguradora que planifique como si lo fueran está planificando para un mundo que puede no llegar.

Esa ausencia corta por los dos lados. Significa que la carga de cumplimiento es más liviana de lo que sugiere la inquietud. También significa que nadie va a entregarle a una aseguradora un examen que pueda aprobar y darse por terminada, así que la gobernanza sigue siendo una cuestión de criterio.

La línea

Aquí es donde la trazaríamos. Una aseguradora debería poder hacer cuatro cosas, y no debería esperar a que ninguna se le exija: enunciar el motivo de una decisión concreta con los hechos de ese siniestro; mostrar que el criterio de una persona entró en el expediente y cuándo; comprobar sus modelos en busca de resultados diferenciales y conservar el registro de haber comprobado, incluidos los resultados que no quería; y reconstruir una decisión —entradas, versión del modelo, umbral en vigor— meses después.

Esas cuatro no son la lectura de ningún instrumento concreto. Son lo que ya implica todo lo que hay en el extremo firme, aquello hacia lo que con más probabilidad converja el medio discutido, y lo primero que va a buscar el abogado de un reclamante sea cual sea la regla aplicable. Una aseguradora que pueda hacerlas es defendible con el derecho que existe. La que no pueda está expuesta ahora, y la exposición no tiene nada que ver con que llegue o no una ley de IA.