Alemania nombra a BaFin primer regulador financiero en aplicar el artículo 50 del AI Act a los chatbots bancarios desde el 2 de agosto — pero su propio historial de aplicación laxa (el caso Wirecard) es la verdadera incógnita
La ley alemana KI-MIG, en vigor desde el 29 de julio de 2026, da a BaFin (el regulador financiero alemán) el poder de sancionar a bancos y aseguradoras con hasta 35 millones de euros por mal uso de la IA. La transparencia de los chatbots (decir «está hablando con una IA») es exigible desde el 2 de agosto; la calificación crediticia por IA esperará a diciembre de 2027.
El calendario legal ya es preciso. El Bundestag votó la KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) el 11 de junio de 2026, el Bundesrat la aprobó el 10 de julio y la ley entró en vigor el 29 de julio — cerrando un retraso real: Alemania había incumplido la fecha límite europea del 2 de agosto de 2025 para designar sus autoridades nacionales de aplicación del AI Act. El dispositivo elegido reparte la supervisión en dos: la Bundesnetzagentur cubre la IA en el resto de la economía (RR. HH., herramientas internas) y BaFin conserva la autoridad exclusiva sobre la IA «en relación directa con una actividad financiera regulada» — bancos, seguros, calificación crediticia. En concreto, dos obligaciones entran en vigor en fechas distintas: la transparencia (artículo 50 — informar claramente de que se habla con una IA, no con un humano) es exigible desde el 2 de agosto de 2026, con multas de hasta 15 millones de euros o el 3 % de la facturación mundial; las obligaciones completas de la IA de alto riesgo (calificación crediticia, tarificación de seguros) no entrarán en el ámbito de control activo de BaFin hasta el 2 de diciembre de 2027, por el aplazamiento del Digital Omnibus. Jens Obermöller, director general de BaFin para riesgos cibernéticos y tecnología, precisó que el regulador privilegiará el diálogo: las sanciones serán «la excepción» para las entidades que cooperen pronto.
Lo que no se puede ignorar al leer este anuncio es el historial de la propia BaFin. Es el mismo regulador cuya supervisión fallida de Wirecard — 1900 millones de euros de tesorería que nunca existieron — le valió un informe demoledor de la ESMA (la autoridad europea de los mercados financieros) y una investigación penal sobre su propia conducta. Tener un mandato legal y ejercerlo de verdad son dos cosas distintas: analistas que siguieron el despliegue del RGPD señalan que las primeras multas significativas llegaron entre 18 y 24 meses después del inicio de la aplicación — un ritmo que, si se repite, aplazaría la primera sanción real de BaFin en materia de IA a principios de 2028. En AppH, este anuncio no cambia nada de lo que ya hacemos: la verificación directa del código de Chichi (documentada el 30 de julio en un digest anterior) confirma que el subtítulo persistente del widget y el primer mensaje enviado, en los 4 idiomas, indican «asistente virtual» — no solo porque un regulador pudiera comprobarlo algún día, sino porque acompañar a un dirigente de pyme significa no dejarle creer nunca que habla con un humano cuando no es así.
A favor de AppH
- BaFin se convierte en el primer regulador sectorial designado — no solo el texto genérico del AI Act — en hacer de la transparencia de los chatbots financieros una obligación activa y cifrada (hasta 15 M€ de multa). Confirma que la aplicación país por país se vuelve concreta, no solo teórica.
- El aviso que Chichi ya muestra en los 4 idiomas — verificado directamente en el código, no declarado de palabra — es exactamente lo que BaFin empieza a controlar en los bancos alemanes. AppH no tuvo que cambiar nada para estar preparada.
Contra / lo que no se sostiene indefinidamente
- El historial de aplicación de BaFin (Wirecard, la censura de la ESMA) es un motivo real de escepticismo sobre si este anuncio se traducirá en sanciones concretas antes de 2028 — tener el poder legal no significa ejercerlo.
- Sigue siendo una ley alemana para el sector financiero alemán. Francia aún no ha nombrado un equivalente sectorial para sus pymes — la dirección está ahí, la obligación directa para los clientes de AppH todavía no.
Podríamos haber titulado este artículo «Alemania por fin aprieta las tuercas a la IA financiera» — el título más honesto es casi el contrario: acaba de dar a un regulador que él mismo falló en la supervisión de Wirecard el poder de sancionar a otras entidades por falta de control algorítmico. No es un problema que invalide la ley — es un recordatorio de que la transparencia nunca debe depender únicamente de la promesa de que un regulador la comprobará algún día. En AppH, Chichi dice que es un asistente virtual desde el primer mensaje, en los 4 idiomas, no porque una ley alemana nos obligue, sino porque un dirigente de pyme tiene derecho a saber con quién habla antes de decidir si confía en él. Y la misma lógica se aplica a la acción, no solo a la palabra: sea un chatbot bancario alemán o un agente de AppManager que redacta un recordatorio a un cliente, ninguna acción con consecuencia real sale sin que un humano la haya validado — no es la ley la que nos empuja, es la condición básica para que acompañar a un dirigente signifique algo.
Verificado por un humano de AppH