Seguros, insurtech y plataformas de reclamaciones

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Quién debe designarlo

Proveedores fuera de la Unión que ofrecen tecnología de seguros, gestión de reclamaciones o servicios de distribución a clientes de la UE. Las obligaciones de datos se aplican a cualquier procesamiento de datos de asegurados de la UE. La actividad de seguros en sí requiere autorización o registro en un estado miembro, lo que ningún representante proporciona.

Umbrales y exenciones

Sin umbral del RGPD. Bajo la Ley de IA, los sistemas utilizados para la evaluación de riesgos y la fijación de precios en seguros de vida y salud son de alto riesgo según el Anexo III, con obligaciones a partir de agosto de 2026.

Qué debe figurar en la etiqueta

No físico. El representante en el aviso de privacidad, la información precontractual requerida por la Directiva de distribución, y donde se toman decisiones automatizadas, información sobre la lógica involucrada según el Artículo 22 del RGPD.

Campos en los marketplaces

Los aseguradores que adquieren tecnología requieren términos contractuales listos para DORA, incluidos planes de salida y derechos de auditoría, ya que las entidades financieras deben gestionar el riesgo de TIC de terceros. Este se ha convertido en el factor limitante para los proveedores que venden en el sector.

Documentación que debes conservar

Registros del Artículo 30, términos del Artículo 28, la designación del Artículo 27, una evaluación de impacto sobre la protección de datos que cubra la elaboración de perfiles y cualquier dato de categoría especial como la salud, cronogramas de retención alineados con los períodos de limitación de reclamaciones, el mecanismo de transferencia, y para la IA de alto riesgo la documentación técnica y la evaluación de conformidad.

Normas y ensayos

Evaluación de sesgo y precisión para modelos de precios y reclamaciones, y para proveedores relevantes para DORA, participación en las pruebas de resiliencia de la entidad financiera.

Requisitos lingüísticos

Información dirigida a los asegurados en el idioma del estado miembro donde se sitúa el riesgo.

Desde cuándo se aplica

El representante antes de que comience el procesamiento. DORA se aplica desde el 17 de enero de 2025. Las obligaciones de alto riesgo de la Ley de IA a partir del 2 de agosto de 2026.

Cuánto se conservan los documentos

Datos de reclamaciones durante el período de limitación aplicable a la reclamación, que es largo, pero los datos de salud dentro de él deben ser minimizados y controlados en acceso en lugar de mantenerse abiertamente.

Qué ocurre si no cumples

Multas del RGPD de hasta el 4% de la facturación, acción de supervisión de los reguladores de seguros, incluida la prohibición de distribución, y sanciones de la Ley de IA de hasta 15 millones de euros o el 3%.

Quién lo controla

Autoridades de protección de datos, supervisores nacionales de seguros y EIOPA, y autoridades de vigilancia del mercado de la Ley de IA.

Dónde está el límite

El rechazo automatizado de reclamaciones sin intervención humana activa el Artículo 22 del RGPD, y la fijación de precios de cobertura de vida o salud utilizando un sistema de IA es de alto riesgo según el Anexo III. Los datos de salud en las reclamaciones son datos de categoría especial que requieren una condición del Artículo 9, que para los seguros suele ser el consentimiento explícito o una derogación nacional.

Las preguntas que nos hacen

¿Un representante de la UE nos permite vender seguros en la UE?

No. La distribución requiere el registro o autorización de una entidad en un estado miembro. El representante solo satisface la protección de datos.

¿Es el triaje de reclamaciones de alto riesgo bajo la Ley de IA?

La evaluación de riesgos y la fijación de precios para seguros de vida y salud están listadas en el Anexo III. Otras automatizaciones de reclamaciones pueden no estarlo, pero el Artículo 22 del RGPD aún se aplica a decisiones sin intervención humana.