Decisión automatizada en KYC: dónde termina la evaluación y dónde empieza la decisión

En resumen: el 21 de agosto de 2026, la autoridad neerlandesa de protección de datos impuso a Uber una multa de 825 millones de euros por haber desactivado cuentas de conductores sobre la base de decisiones automatizadas, sin intervención humana real. El artículo 22 del RGPD regula las decisiones totalmente automatizadas que producen efectos significativos sobre una persona, y el TJUE dictaminó a finales de 2023 que un score puede constituir por sí mismo una decisión de este tipo. Para los equipos de KYC, AML/CFT y due diligence, la cuestión ya no es si hay que automatizar, sino dónde trazar la frontera entre automatizar la evaluación del riesgo y automatizar la decisión sobre una persona. La respuesta cabe en 4 condiciones que hacen que una intervención humana sea real, y no un simple clic de validación.

‍

El caso Uber: lo que ocurrió realmente

‍

Entre 2018 y 2022, Uber desactivó cuentas de conductores sobre la base de sistemas automatizados, en particular ante sospechas de fraude o valoraciones demasiado bajas. Cortar el acceso a la aplicación es cortar el acceso a los ingresos: el efecto sobre la persona es significativo, en el sentido más concreto del término.

‍

El 21 de agosto de 2026, la Autoriteit Persoonsgegevens, la autoridad neerlandesa de protección de datos, impuso una multa de 825 millones de euros, la segunda más elevada de la historia del RGPD. El reproche central no es el uso de algoritmos en sí: es la ausencia de intervención humana suficiente. Las revisiones que debían supervisar esas desactivaciones fueron consideradas formales, sin un examen real de los expedientes. Uber discrepa de la decisión y ha anunciado que la recurrirá en apelación: el asunto no está juzgado de forma definitiva, pero la señal enviada a las empresas ya es muy clara.

‍

Esa señal va mucho más allá de las plataformas VTC. Cualquier organización que puntúa a personas y desencadena acciones sobre esa base se enfrenta a la misma cuestión de gobernanza.

‍

Lo que dice el artículo 22 del RGPD, y lo que el TJUE ha hecho con él

‍

El artículo 22 del RGPD establece un principio: toda persona tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos sobre ella o le afecte significativamente de modo similar. Denegar un crédito, rechazar un alta de cliente, cancelar el acceso a un servicio: estos efectos entran típicamente en su ámbito.

‍

La sentencia SCHUFA del Tribunal de Justicia de la Unión Europea (7 de diciembre de 2023, asunto C-634/21) endureció considerablemente la lectura de este texto. El Tribunal dictaminó que la elaboración automatizada de un score de solvencia puede constituir por sí misma una decisión individual automatizada, siempre que el destinatario del score se apoye en él de manera determinante. Dicho de otro modo: si su organización sigue de forma casi sistemática el score de un proveedor, la decisión automatizada no se toma en el momento en que usted hace clic, se toma en el momento en que el score se genera. Delegar el cálculo no traslada la responsabilidad.

‍

El artículo 22 prevé excepciones: la decisión necesaria para la celebración de un contrato, la decisión autorizada por el Derecho de la Unión o de un Estado miembro, y el consentimiento explícito. Pero ninguna de estas excepciones suprime las garantías: información a la persona, derecho a obtener una intervención humana, derecho a expresar su punto de vista y a impugnar la decisión.

‍

El KYC y la due diligence no quedan fuera de juego

‍

El reflejo natural de los equipos de cumplimiento es pensar que sus tratamientos escapan a esta cuestión porque los impone la ley. Es cierto en parte, y ahí es precisamente donde importa el matiz.

Las obligaciones de diligencia debida en materia de prevención del blanqueo (AML/CFT) se apoyan en el Derecho de la Unión y en el Derecho nacional: un dispositivo KYC puede por tanto ampararse en la excepción del artículo 22. La evaluación de terceros en el marco de la debida diligencia anticorrupción responde igualmente a exigencias legales y a los estándares de los programas de cumplimiento. Pero una base legal para evaluar no es un cheque en blanco para rechazar automáticamente. 3 situaciones merecen un examen honesto de sus procesos:

‍

• El rechazo automático en el alta de clientes. Un motor de scoring analiza identidad, señales de riesgo y listas de sanciones, el score supera un umbral y la relación se deniega sin que ningún analista haya abierto el expediente. La evaluación era obligatoria; el rechazo sin revisión, en cambio, es una elección de organización.
• La due diligence de proveedores que descarta a un tercero por su score. Un autónomo analizado automáticamente (titularidad real, sanciones, prensa negativa) ve denegada su homologación como proveedor sobre la única base de un score elevado. El efecto sobre su actividad es significativo, y la persona física detrás del negocio es, sin duda, un interesado en el sentido del RGPD.
• El score externo seguido a ciegas. Desde SCHUFA, escudarse en "es el score del proveedor" ya no funciona si ese score es determinante en su decisión.

‍

La línea divisoria no es, por tanto, "cumplimiento sí o cumplimiento no". Es: sus umbrales, ¿orientan los expedientes hacia el nivel de tratamiento adecuado, o pronuncian ellos mismos el rechazo?

‍

El AI Act añade una segunda capa

‍

El RGPD ya no es el único texto que plantea la cuestión. El reglamento europeo de inteligencia artificial clasifica la evaluación de la solvencia de las personas físicas entre los sistemas de alto riesgo, con exigencias de transparencia, documentación y supervisión humana efectiva. El texto es explícito en un punto que conecta con el caso Uber: la supervisión debe permitir a un humano comprender las capacidades y los límites del sistema, mantenerse consciente del sesgo de automatización, e intervenir o interrumpir el sistema. Una supervisión que se limita a ratificar las salidas de la máquina no responde a esta definición. Para el detalle de las obligaciones y del calendario, consulte nuestro análisis del AI Act aplicado al scoring, la identidad y el fraude.

‍

Human in the loop: las 4 condiciones de una intervención real

‍

Este es el corazón del asunto, y el punto en el que convergen el caso Uber, las directrices europeas sobre decisiones automatizadas y el AI Act: una intervención humana solo es real si es significativa, ejercida por una persona con la autoridad y la competencia para cambiar la decisión. En concreto, esto supone 4 condiciones.

‍

• Comprender el resultado. El analista debe saber por qué el score es el que es: qué señales han pesado, en qué sentido y con qué fuerza. Un score opaco convierte la intervención humana en formal por construcción: no se puede cuestionar lo que no se puede explicar. Es exactamente lo que garantiza una IA explicable, que restituye sus motivos decisión por decisión.
• Disponer de la información para cuestionarlo. Ver el score no basta: hay que acceder a los datos subyacentes, a su fuente y a su antigüedad, para poder detectar un error o un contexto que el modelo ignora.
• Tener el tiempo para ejercer un juicio. Si la organización fija un volumen de expedientes por analista incompatible con una revisión real de los casos señalados, la intervención humana existe en el organigrama, no en los hechos. Es un parámetro de carga de trabajo, y por tanto una decisión de dirección.
• Tener el poder de decidir otra cosa. El analista debe poder tomar una decisión distinta de la del score, en ambos sentidos, y esa decisión debe quedar trazada con su motivo. Si el sistema no lo permite, o si nadie lo hace nunca, la revisión humana es un sello de goma.

‍

Estas 4 condiciones tienen una consecuencia práctica: el "human in the loop" no se decreta en una política interna, se demuestra en las herramientas y en las cifras. Un regulador que audite su dispositivo no leerá su procedimiento: mirará la proporción de decisiones en las que sus analistas han retomado el control, sus tiempos de revisión y la trazabilidad de sus decisiones.

‍

Lo que esto cambia en la elección y la configuración de sus herramientas

‍

Automatizar el análisis sigue siendo indispensable: nadie va a volver a la verificación manual de cada expediente, y no sería deseable ni para la detección del fraude ni para la experiencia de los clientes legítimos. La cuestión es configurar la automatización para que evalúe rápido y bien, y para que la decisión sobre los casos con efecto significativo siga estando gobernada. 4 criterios concretos, a plantear desde la licitación:

• La explicabilidad nativa. ¿El score restituye sus motivos para cada decisión, en un lenguaje utilizable por un analista, o hay que creer a la máquina bajo palabra?
• La arquitectura de umbrales. ¿La herramienta permite distinguir la validación fluida de los casos sanos, la revisión humana de los casos ambiguos y el bloqueo únicamente de los casos en los que la ley lo impone (sanciones, por ejemplo)? Un sistema que solo conoce "aceptado o rechazado" le empuja mecánicamente hacia la decisión automatizada.
• La retoma de control trazada. ¿El analista puede tomar una decisión distinta de la del score, con motivo obligatorio, marca de tiempo y conservación en el expediente? Es la prueba material de su intervención humana.
• La pista de auditoría completa. En caso de inspección o de impugnación por parte del interesado, ¿puede reconstruir la decisión íntegra: datos consultados, versión del modelo, señales determinantes, intervención humana si la hubo? Estas exigencias coinciden con las que detallamos en nuestra guía para elegir una solución KYC, y serán estructurales a medida que la AML6 armonice los controles del onboarding a escala europea.

‍

En conclusión

‍

La multa a Uber no condena la automatización: condena la automatización sin gobernanza. Entre una herramienta que evalúa y un sistema que decide, la frontera no pasa por la tecnología, pasa por la organización: umbrales que orientan en lugar de zanjar, analistas que comprenden lo que validan, el tiempo y el poder de decidir otra cosa, y la traza de todo ello. Los textos convergen, del RGPD al AI Act pasando por la jurisprudencia SCHUFA: la evaluación puede ser automática, la decisión sobre una persona debe seguir estando gobernada. Las organizaciones que lo integran ahora en la elección de sus herramientas transforman una exposición regulatoria en ventaja: decisiones más rápidas Y defendibles. Para ver cómo funciona un scoring explicable en el que el analista conserva la última palabra, probado con sus propios casos, planifique una demo.

‍

FAQ

¿Qué es una decisión totalmente automatizada en el sentido del RGPD?

Es una decisión tomada sin intervención humana significativa, que produce efectos jurídicos sobre una persona o le afecta de modo similar: denegación de un crédito, rechazo de un alta de cliente, desactivación de una cuenta. El artículo 22 del RGPD reconoce el derecho a no ser objeto de ella, salvo excepciones (contrato, autorización legal, consentimiento explícito), siempre acompañadas de garantías.

‍

¿Un scoring KYC entra en el ámbito del artículo 22?

No automáticamente: la calificación depende de la naturaleza del tratamiento, de la persona afectada y de los efectos de la decisión. Las obligaciones AML/CFT ofrecen una base legal para la evaluación. Pero si el score desencadena un rechazo sin revisión humana real, o si un score externo se sigue de manera determinante (jurisprudencia SCHUFA), el dispositivo se acerca a la decisión totalmente automatizada y a sus obligaciones.

‍

¿Qué es una intervención humana real?

Una intervención ejercida por una persona que comprende el resultado (motivos del score), dispone de la información para cuestionarlo, tiene el tiempo para examinar el expediente y el poder de tomar una decisión diferente, trazada con su motivo. Un clic de validación en una pantalla de "riesgo alto, rechazo" no cumple ninguna de estas condiciones.

‍

¿Qué cambia el AI Act respecto al RGPD en este tema?

El RGPD protege a la persona frente a la decisión automatizada; el AI Act regula el propio sistema. Para los usos de alto riesgo, como la evaluación de la solvencia de las personas físicas, impone transparencia, documentación técnica y supervisión humana efectiva, con una atención explícita al sesgo de automatización. Los dos textos se acumulan.

‍

¿Se puede rechazar automáticamente a un cliente por cumplimiento?

‍

El bloqueo automático se defiende mejor allí donde la ley lo impone directamente, como una coincidencia confirmada en una lista de sanciones. Para el resto, la práctica robusta consiste en automatizar la orientación de los expedientes (validación fluida, revisión reforzada) y reservar el rechazo de los casos ambiguos a una decisión humana documentada.

‍

Fuentes: Autoriteit Persoonsgegevens, sanción del 21 de agosto de 2026 (825 M€, decisión recurrida en apelación); TJUE, 7 de diciembre de 2023, SCHUFA Holding, C-634/21; RGPD, artículo 22; directrices del CEPD sobre decisiones individuales automatizadas (WP251); Reglamento (UE) 2024/1689 (AI Act), anexo III y artículo 14.

‍