Denegar un crédito con un modelo automatizado es legítimo y, bien hecho, más consistente que decidir caso a caso. Lo que no es opcional son las garantías que acompañan a esa decisión: una explicación comprensible, la posibilidad de que intervenga una persona y un canal real para impugnarla.
La mayoría de las entidades tienen resuelto el modelo y no tienen resuelto lo que ocurre después de la denegación. Es un desequilibrio caro, porque el cliente descontento no reclama contra el algoritmo: reclama contra la ausencia de respuesta.
Cuándo se activa este régimen
Las garantías reforzadas entran en juego cuando la decisión se basa exclusivamente en un tratamiento automatizado y produce efectos jurídicos para el interesado o le afecta significativamente de modo similar. Denegar una solicitud de crédito encaja de lleno en ese supuesto.
Hay un matiz relevante que se ha ido consolidando: cuando una entidad calcula una puntuación sobre la solvencia de una persona y esa puntuación determina en la práctica la decisión de un tercero, el propio cálculo de la puntuación puede constituir la decisión automatizada. La consecuencia operativa es que las garantías no recaen solo sobre quien firma la denegación, sino también sobre quien suministra el modelo.
Qué significa «explicación» en la práctica
La norma habla de facilitar información significativa sobre la lógica aplicada. No exige entregar el código fuente ni los pesos del modelo, que además serían inútiles para el destinatario. Exige algo más difícil: que el cliente entienda por qué se le denegó.
Una explicación útil suele contener tres elementos:
- Qué categorías de datos se utilizaron: historial de pagos, endeudamiento vigente, antigüedad de la relación, ingresos declarados.
- Qué factores pesaron más en este caso concreto, no en el modelo en abstracto.
- Qué podría cambiar el resultado: reducir el endeudamiento existente, acreditar ingresos, esperar a que caduque un incumplimiento.
El régimen de las decisiones individuales automatizadas está en el Reglamento (UE) 2016/679, completado en España por la LOPDGDD en materia de sistemas de información crediticia. A ello se suma el Reglamento Europeo de Inteligencia Artificial, que clasifica los sistemas de evaluación de solvencia de personas físicas como de alto riesgo: lo tratamos en nuestra página sobre el Reglamento de IA.
Intervención humana: qué cuenta y qué no
Este es el punto donde más entidades incumplen sin saberlo. Que un empleado pulse «confirmar» sobre la propuesta del sistema no es intervención humana a estos efectos. Para que lo sea hacen falta tres condiciones:
- Que la persona tenga autoridad real para modificar la decisión, no solo para tramitarla.
- Que disponga de información suficiente sobre el caso, incluida la que aportó el cliente al pedir revisión.
- Que su valoración quede documentada, con el criterio aplicado y el resultado.
En estructuras pequeñas esto se resuelve con una persona designada y un procedimiento breve. En estructuras grandes, con un equipo de revisión y unos criterios escritos. Lo que no funciona en ningún tamaño es dejarlo sin asignar.
Lo que hay que tener montado antes de automatizar
Nuestra lista mínima, por orden de dificultad creciente:
- Un texto de denegación que explique de verdad, distinto según el motivo principal, y no una plantilla única.
- Un canal de revisión identificado en esa misma comunicación, con plazo de respuesta comprometido.
- Un responsable designado, con autoridad para revertir la decisión.
- Registro de la variable determinante junto a cada denegación, porque sin eso la explicación no se puede personalizar.
- Versionado del modelo, para poder reconstruir años después qué regla se aplicó.
Los tres primeros son cuestión de proceso y se resuelven en semanas. Los dos últimos son cuestión de arquitectura y, si no se diseñaron al principio, no se pueden reconstruir. Es el mismo problema que atraviesa todo el análisis de capacidad de pago.
La capa que se añade en 2026
Además de las garantías de protección de datos, los sistemas que evalúan la solvencia de personas físicas están clasificados como de alto riesgo en el Reglamento Europeo de Inteligencia Artificial, con obligaciones de gestión de riesgos, calidad de datos, documentación técnica y supervisión humana efectiva. Para muchas fintech de crédito, esta es la capa de mayor esfuerzo de implantación.
Preguntas frecuentes
¿Hay que explicar también cuando se concede?
Las garantías se activan cuando la decisión afecta significativamente al interesado, lo que en la práctica se traduce en la denegación o en la concesión en condiciones sustancialmente peores que las solicitadas.
¿Y si el modelo lo suministra un proveedor externo?
No traslada la responsabilidad. El prestamista responde de la decisión frente al cliente, y necesita del proveedor la documentación y el nivel de explicabilidad que le permitan cumplir. Conviene reflejarlo en el contrato con ese proveedor, incluido el derecho de auditoría.
¿Puedo negarme a explicar por secreto comercial?
El secreto comercial protege el detalle técnico del modelo, no exime del deber de dar información significativa sobre la lógica y los factores determinantes. Son planos distintos y conviene no confundirlos en la respuesta al cliente.
La interpretación del alcance de las garantías frente a decisiones automatizadas evoluciona con la jurisprudencia europea y con los criterios de las autoridades de control. Conviene contrastar el diseño concreto del proceso antes de ponerlo en producción.