Blog

Uruguay consolidó un nuevo paso en su estrategia de gobernanza de datos al avanzar en acuerdos de cooperación internacional, según informó el gobierno uruguayo a través de su portal oficial GUB.UY. El movimiento posiciona al país como uno de los actores más activos de la región en materia de alineación normativa transfronteriza, en un contexto en que América Latina debate cómo coordinar marcos regulatorios sin perder soberanía sobre los datos.

La iniciativa, anunciada en octubre de 2025, se inscribe en una tendencia global: los países reconocen que la gobernanza de datos no puede ser exclusivamente doméstica cuando los flujos de información cruzan fronteras en milisegundos. Uruguay, con una trayectoria reconocida en protección de datos —fue el primer país de América Latina en obtener la declaración de adecuación de la Unión Europea bajo el GDPR— vuelve a buscar que su marco normativo sea compatible con estándares internacionales de alto nivel.

La Ley 18.331 de Uruguay y el valor de la adecuación europea como palanca diplomática

La arquitectura regulatoria uruguaya descansa sobre la Ley 18.331 de Protección de Datos Personales y su decreto reglamentario 414/009, con la Unidad Reguladora y de Control de Datos Personales (URCDP) como autoridad de control. Ese andamiaje fue suficiente para que la Comisión Europea confirmara la adecuación del país, lo que significa que las transferencias de datos personales desde la UE hacia Uruguay no requieren garantías adicionales. Esa credencial diplomática —que solo comparten unos pocos países fuera del espacio europeo— es la que habilita a Montevideo a sentarse en mesas de cooperación de igual a igual con bloques que de otro modo impondrían condiciones unilaterales. La nueva iniciativa de cooperación internacional, según se informó, busca capitalizar exactamente esa posición de partida.

Argentina, Brasil y Chile: tres velocidades distintas en la carrera de la armonización

El contraste con los vecinos regionales es significativo. Brasil opera desde 2020 con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y cuenta con la Autoridade Nacional de Proteção de Dados (ANPD), que avanza en la reglamentación de transferencias internacionales con un enfoque de adecuación propio —aún sin reconocimiento formal de la UE—. Argentina, por su parte, tiene vigente la Ley 25.326 de Protección de los Datos Personales desde el año 2000, con una declaración de adecuación europea que data del mismo período pero cuyo mantenimiento está bajo escrutinio dado que la norma no fue actualizada para reflejar los estándares del GDPR; el proyecto de reforma que impulsa la Agencia de Acceso a la Información Pública (AAIP) lleva años sin alcanzar sanción legislativa. Chile, en tanto, aprobó en 2024 la nueva Ley 21.719 de Protección de Datos Personales, que moderniza el marco anterior y crea la Agencia de Protección de Datos Personales, aunque los plazos de implementación se extienden hasta 2026. Ninguno de estos tres países tiene hoy la combinación que ofrece Uruguay: norma vigente, autoridad operativa y adecuación europea confirmada. Esa brecha explica por qué Montevideo puede liderar conversaciones regionales de armonización sin necesitar el permiso de socios más grandes.

Flujos de datos transfronterizos: qué cambia para empresas con operaciones en la región

Para una empresa con operaciones en varios países de América Latina, la fragmentación regulatoria tiene costos concretos: contratos de transferencia distintos por jurisdicción, cláusulas contractuales tipo adaptadas a cada marco, y equipos jurídicos que deben monitorear estados de adecuación que cambian. Si Uruguay logra articular acuerdos bilaterales o multilaterales que establezcan puentes de reconocimiento mutuo —similar a lo que el G7 discute bajo el enfoque de “data free flow with trust”—, el beneficio operativo sería directo para compañías que usan al país como hub regional de procesamiento. La URCDP, con recursos acotados para una autoridad de control, tiene el desafío de sostener compromisos internacionales sin descuidar la supervisión doméstica; ese equilibrio será determinante para que los acuerdos no queden en declaraciones de intención.

Qué monitorear: hitos regulatorios y negociaciones abiertas en el segundo semestre de 2025

Hay al menos tres frentes a seguir de cerca. Primero, el contenido específico de los acuerdos anunciados: con qué países o bloques se firmaron, qué mecanismos de reconocimiento mutuo contemplan y si incluyen cláusulas de auditoría cruzada. Segundo, el estado de la reforma de la Ley 25.326 en Argentina: si el proyecto avanza, podría activar una renovación de la adecuación europea para Buenos Aires y cambiar el mapa regional. Tercero, la implementación efectiva de la Ley 21.719 chilena, que cuando entre en vigor plena tendrá una de las autoridades de control más nuevas y potencialmente más activas del cono sur. La convergencia —o divergencia— entre estos procesos determinará si la iniciativa uruguaya encuentra interlocutores regionales o queda aislada como un ejercicio bilateral con Europa.

Nuestro análisis: la apuesta uruguaya tiene sentido, pero depende de vecinos que aún no llegaron

Uruguay tiene un activo genuino: es el único país de América Latina que cumple simultáneamente con adecuación europea vigente, autoridad de control operativa y marco legal moderno. Eso le da credibilidad negociadora que ningún país de la región puede replicar hoy. El riesgo es que la cooperación internacional, sin masa crítica regional, produzca más ceremonias que infraestructura. La cooperación transfronteriza en gobernanza de datos necesita que al menos Brasil o Argentina normalicen sus marcos —Brasil está más cerca— para que los acuerdos uruguayos tengan efecto multiplicador. Sin eso, Montevideo puede ser un hub de referencia normativa para la UE, pero no un nodo de armonización latinoamericana. La diferencia entre los dos escenarios vale miles de millones de dólares en inversión de centros de datos y contratos de servicios digitales para la región.

¿Puede Uruguay sostener su ventaja regulatoria mientras Argentina reforma su ley y Chile termina de implementar la suya, o el liderazgo normativo del país pequeño depende de que sus vecinos grandes sigan retrasados?

Un análisis publicado por ACAMS —la principal asociación global de profesionales en prevención del lavado de dinero— reencuadra el caso Bank of America como una señal regulatoria de primer orden: cuando la gobernanza de datos falla en una institución financiera, esa falla deja de ser un problema de compliance técnico y pasa a ser evidencia de debilidad en los controles de crimen financiero. El cambio de encuadre tiene consecuencias directas para CDOs y equipos de gobierno de datos en bancos latinoamericanos.

Durante años, la gobernanza de datos en el sector financiero fue tratada como una disciplina de arquitectura interna: quién es dueño de qué dato, cómo se cataloga, qué tan limpio está el pipeline de reporting. Las multas regulatorias llegaban por fallas en KYC (conoce a tu cliente), SAR (reportes de actividades sospechosas) o monitoreo de transacciones —no por “mala gobernanza”. Lo que el caso Bank of America, según el análisis de ACAMS, pone sobre la mesa es que esas dos dimensiones ya no son separables.

Qué señala ACAMS sobre el caso Bank of America y los controles AML

Según se informó en la publicación de ACAMS, el caso ilustra cómo deficiencias en la calidad, trazabilidad y ownership de los datos subyacen directamente a fallas en los programas de antilavado de dinero (AML, por sus siglas en inglés). En otras palabras: si un banco no puede demostrar que sus datos de cliente son íntegros, auditables y tienen un data steward identificable, tampoco puede demostrar que su programa de prevención funciona. Los reguladores están comenzando a tratar esa incapacidad como una falla de control, no como una deuda técnica.

El marco conceptual que emerge es el siguiente: la gobernanza de datos pasa a ser considerada una capability de control financiero, equiparable a los controles de transacciones o a los modelos de scoring de riesgo. Esto eleva la gobernanza de datos al mismo nivel de escrutinio que los programas BSA/AML en jurisdicciones con supervisión federal estricta, y abre la puerta a que autoridades en otras regiones adopten la misma lógica.

Brasil, Argentina y México: marcos AML que presionan sobre la calidad del dato

En América Latina, la intersección entre AML y gobernanza de datos ya tiene referentes regulatorios concretos, aunque la articulación explícita todavía es incipiente. En Brasil, el Banco Central do Brasil (BCB) y el COAF (Conselho de Controle de Atividades Financeiras) exigen a las instituciones financieras la gestión de registros de clientes bajo estándares que, en la práctica, requieren capacidades de data lineage y data quality auditables. La Resolução BCB nº 44/2021 establece requisitos de integridad de información en programas PLD/FT (Prevenção à Lavagem de Dinheiro / Financiamento do Terrorismo) que ningún banco puede cumplir sin gobierno de datos operativo.

En Argentina, la Unidad de Información Financiera (UIF) viene reforzando sus requerimientos de reporte electrónico estructurado —vía ROS y REOSC— que presuponen que los datos de transacciones y clientes tienen owner definido, son trazables y están sujetos a controles de calidad. Los bancos que reportan al BCRA bajo Comunicación A 8073 ya operan con capacidades de gobierno del dato que se solapan parcialmente con los requisitos CDMC del EDM Council, aunque sin la certificación formal. En México, el SITI (Sistema Interinstitucional de Transferencias de Información) administrado por la CNBV obliga a las entidades financieras a mantener registros estructurados y auditables que implican, en la práctica, un data stewardship funcional sobre los datos transaccionales.

Por qué la distinción entre “calidad de datos” y “control de crimen financiero” dejó de ser operativa

El problema estructural que el caso Bank of America expone no es nuevo en la literatura de gobernanza: el DAMA-DMBOK 2 ya articulaba que la calidad del dato tiene dimensiones de conformidad regulatoria, no solo de utilidad analítica. Lo que cambia ahora es el origen de la consecuencia: no es un auditor interno que marca una observación de data quality, sino un regulador financiero que la convierte en hallazgo de control AML. Para un CDO en el sector bancario, eso transforma el presupuesto de gobernanza de un ítem discrecional a un requisito de gestión de riesgo regulatorio.

Bob Seiner, referente en Non-Invasive Data Governance, ha argumentado consistentemente que la gobernanza de datos es más efectiva cuando se ancla en responsabilidades que ya existen en la organización, en lugar de crear estructuras paralelas. En el contexto AML, ese argumento se vuelve urgente: los compliance officers ya tienen responsabilidades legales sobre los controles antilavado; si la gobernanza de datos no está integrada a esa cadena de responsabilidad, el banco queda expuesto a que una falla técnica de datos se interprete como una falla deliberada de control.

Qué hacer desde el rol de CDO en un banco de la región

Para un Chief Data Officer o Data Governance Manager en una institución financiera latinoamericana, el caso Bank of America impone una revisión concreta de las siguientes dimensiones:

• Ownership formalizado: cada dataset crítico para AML —listas de clientes, transacciones, alertas de monitoreo— debe tener un data steward identificado por nombre y cargo, no solo por dominio funcional genérico.
• Data lineage auditable: los reguladores esperan poder rastrear cómo se construyó un reporte de actividad sospechosa. Sin lineage, el banco no puede demostrar integridad del proceso.
• Métricas de calidad vinculadas a riesgo AML: no alcanza con reportar completitud y exactitud como KPIs internos; hay que mostrar cómo esos indicadores impactan en la capacidad de detección de operaciones sospechosas.
• Articulación con compliance: el CDO debe tener una cadencia regular con el Chief Compliance Officer para mapear qué datos subyacen a cada control AML y qué nivel de madurez de gobernanza requiere cada uno.
• Catálogo de datos con clasificación de riesgo regulatorio: priorizar la catalogación de activos de datos según su rol en reportes exigidos por UIF, COAF, CNBV u otras autoridades locales equivalentes.

El marco CDMC (Cloud Data Management Capabilities) del EDM Council, y en particular sus capacidades 7 y 8 sobre gestión de datos de referencia y controles de calidad, ofrece un punto de partida estructurado para instituciones que quieran alinear su madurez de gobernanza con los requerimientos emergentes de los reguladores AML regionales.

Nuestro análisis

La lectura de ACAMS sobre el caso Bank of America no es un accidente editorial. ACAMS es la voz institucional del ecosistema AML global, y cuando esa comunidad adopta el lenguaje de la gobernanza de datos como control de crimen financiero, está enviando una señal a los reguladores de América Latina sobre el estándar que se espera. En Brasil, Argentina y México, las autoridades financieras tienen los instrumentos legales para hacer esa lectura: lo que falta, en muchos casos, es la articulación explícita entre los equipos de datos y los equipos de compliance dentro de las propias instituciones. Los bancos que resuelvan esa brecha interna antes de que el regulador la señale tendrán una ventaja de riesgo significativa. Los que esperen la sanción para construir el programa de gobernanza estarán recorriendo el camino más costoso.

La pregunta que los CDOs del sector financiero en la región deberían responder hoy es directa: si su regulador local auditara mañana el lineage de los datos que alimentan sus reportes AML, ¿podría el equipo de gobernanza demostrarlo en tiempo real?