Cumplimiento normativo · Aseguradoras
Cumplimiento normativo para aseguradoras: DORA, RGPD y EU AI Act
El cumplimiento normativo de las aseguradoras reúne hoy tres normas. Aseguradoras y reaseguradoras están dentro de DORA desde enero de 2025 y, además, tratan datos de salud de sus asegurados. También usan cada vez más modelos de IA para tarificar y gestionar siniestros. Por eso conviene gestionar las tres normas juntas.
Las normas que más pesan en el cumplimiento normativo de las aseguradoras
DORA, pieza central del cumplimiento normativo de las aseguradoras
DORA se aplica a las empresas de seguros y reaseguros. También a los intermediarios de seguros y reaseguros, con excepciones para los de menor tamaño. En concreto, exige un marco de gestión del riesgo TIC y notificar los incidentes graves al supervisor. Además, obliga a probar la resiliencia y a controlar a los proveedores TIC con un registro de información y cláusulas contractuales mínimas.
Datos de salud y RGPD
Por otro lado, los datos de salud son una categoría especial del RGPD en el cumplimiento normativo de las aseguradoras. Por eso necesitas una base jurídica reforzada y evaluaciones de impacto para los tratamientos de alto riesgo. Además, debes aplicar medidas de seguridad proporcionadas y notificar las brechas a la AEPD en 72 horas.
IA en la tarificación y los siniestros
Por su parte, el EU AI Act considera de alto riesgo los sistemas de IA que evalúan riesgos y fijan precios en los seguros de vida y de salud de personas físicas. Sin embargo, esas obligaciones no se aplican hasta el 2 de diciembre de 2027. En cambio, la transparencia ya es exigible desde agosto de 2026: por ejemplo, avisar de que se está hablando con un chatbot.
Plazos clave para aseguradoras: calendario de cumplimiento normativo
| Cuándo | Qué |
|---|---|
| 17 de enero de 2025 | DORA plenamente aplicable. |
| 4 h · 72 h · 1 mes | Notificación de incidentes graves según DORA. |
| 72 horas | Notificación de brechas de datos personales (RGPD). |
| 2 de agosto de 2026 | Transparencia de los sistemas de IA (artículo 50). |
| 2 de diciembre de 2027 | IA de alto riesgo en seguros de vida y de salud. |
Continuidad del negocio
La gestión de siniestros y la atención al asegurado no pueden pararse. Por eso, un plan de continuidad basado en ISO 22301 y conectado con el análisis de riesgos TIC de DORA evita evaluar dos veces los mismos procesos. Así aplicas la idea de un control para varias normas.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC al cumplimiento normativo de las aseguradoras
- El inventario de modelos de IA de tarificación y siniestros, así como su clasificación de riesgo.
- Registro de información de proveedores TIC y, además, notificación de incidentes con los plazos de DORA.
- El seguimiento de las evaluaciones de impacto y también de las brechas de datos de salud.
- Planes de continuidad y análisis de impacto (BIA) conectados con el riesgo TIC; así no repites el análisis.
FAQ
Preguntas frecuentes
¿Los corredores de seguros están en DORA?
Los intermediarios de seguros y reaseguros entran en DORA, salvo los que son microempresas o pymes.
¿Qué IA de una aseguradora es de alto riesgo?
La que evalúa riesgos o fija precios en seguros de vida y de salud para personas físicas. En cambio, otros usos, como los chatbots de atención, tienen obligaciones de transparencia.
¿Tengo que hacer una evaluación de impacto?
En el RGPD, sí, cuando el tratamiento de datos de salud a gran escala o la elaboración de perfiles supongan un alto riesgo para los asegurados.
Otros sectores: Banca y fintechProveedores de la AdministraciónEnergía y servicios esencialesFabricantes de producto conectado
¿Lo vemos con tus propios servicios?
Te enseñamos la plataforma con un caso real de tu sector. Así lo ves sin compromiso y sin guion comercial.
