DataTrends LATAM

Blog

  • Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware promulgó la House Bill 380, una reforma sustantiva a su Delaware Personal Data Privacy Act (DPDPA) que ajusta obligaciones para controladores de datos, amplía derechos de los consumidores y endurece requisitos de transparencia. La movida convierte a Delaware en uno de los estados estadounidenses con la legislación de privacidad más actualizada del país, y el impacto se extiende a cualquier empresa latinoamericana que opere o comercialice servicios en ese mercado.

    Delaware no es un actor menor en el ecosistema corporativo de América: es el estado de constitución de más del 65% de las empresas Fortune 500, según datos de la División de Corporaciones de Delaware. Eso significa que la reforma no es solo una cuestión local. Cualquier entidad constituida allí —y muchas con sede en Brasil, México o Argentina lo están— queda alcanzada por las nuevas obligaciones, independientemente de dónde procese los datos.

    Qué modifica HB 380 en la DPDPA original

    La HB 380 introduce ajustes en al menos tres ejes centrales de la DPDPA vigente desde 2023. Primero, refuerza las obligaciones de evaluación de impacto de protección de datos (DPIA) para tratamientos de alto riesgo, incluyendo publicidad dirigida, venta de datos personales y elaboración de perfiles con efectos jurídicos. Segundo, amplía la definición de “datos sensibles” para incorporar categorías que la ley original dejaba en zona gris, entre ellas datos de salud mental y datos derivados de inferencias sobre características protegidas. Tercero, establece mecanismos más precisos de opt-out universales para los consumidores, alineándose con el Global Privacy Control (GPC), señal técnica que varios estados ya reconocen como método válido de ejercicio de derechos.

    El régimen de cumplimiento también se toca: la reforma ajusta los plazos para responder solicitudes de derechos —equivalentes a los DSAR del GDPR— y precisa qué información debe incluirse en las políticas de privacidad para que se consideren suficientes ante una eventual acción del Attorney General, que retiene la facultad exclusiva de aplicación de la ley.

    LGPD, Ley 25.326 y LFPDPPP frente al estándar Delaware

    El ejercicio comparativo revela tanto convergencias como brechas relevantes para equipos de compliance en la región. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ya reconoce la evaluación de impacto —llamada Relatório de Impacto à Proteção de Dados Pessoais (RIPD)— como obligación para tratamientos de alto riesgo, lo que la acerca conceptualmente a la DPIA reforzada por HB 380. Sin embargo, la ANPD aún no ha publicado criterios definitivos sobre qué tratamientos activan ese umbral, lo que deja margen de incertidumbre operativa que Delaware, en cambio, empieza a cerrar con texto más preciso.

    Argentina opera bajo la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000 y objeto de un proceso de reforma que lleva años pendiente en el Congreso. La AAIP ha impulsado un proyecto de actualización que incorporaría, entre otras cosas, evaluaciones de impacto y mecanismos de opt-out más modernos —exactamente lo que HB 380 consolida en Delaware—. Mientras Argentina espera, las empresas argentinas con presencia en Estados Unidos enfrentan la paradoja de cumplir estándares más exigentes en el norte que los que rigen en su propio mercado doméstico.

    México presenta una dinámica distinta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) incluye derechos ARCO robustos y avisos de privacidad detallados, pero carece de un mecanismo equivalente al opt-out universal vía señal técnica. El INAI ha dado señales de modernización regulatoria, aunque sin cronograma firme. Para empresas mexicanas que operan en ambos mercados, la HB 380 de Delaware anticipa un nivel de granularidad técnica que el marco mexicano todavía no exige.

    Impacto operativo para empresas con vínculos en Delaware

    Las obligaciones concretas que HB 380 activa para controladores de datos incluyen revisar si los mecanismos de opt-out actuales son compatibles con el GPC, actualizar las DPIA para reflejar las nuevas categorías de datos sensibles y auditar las políticas de privacidad públicas para verificar que cumplen los requisitos de contenido mínimo que la reforma especifica. Las empresas latinoamericanas con subsidiarias, fondos de capital o estructuras holding constituidas en Delaware deben evaluar si esas entidades califican como controladores bajo la DPDPA reformada —el umbral aplica a quienes realizan negocios en Delaware o dirigen productos a residentes del estado.

    El riesgo de no actuar no es inmediato en términos de multa automática, ya que la DPDPA mantiene el modelo de aplicación exclusiva por el Attorney General, sin causa de acción privada. Pero la ausencia de cumplimiento documentado puede transformarse en pasivo legal en el momento en que ese órgano inicie una investigación, especialmente si el incumplimiento involucra datos sensibles de la nueva categoría.

    Qué monitorear en los próximos seis meses

    Delaware no especificó en la HB 380 una fecha de entrada en vigor diferida larga, por lo que los equipos de compliance deben asumir que los cambios son exigibles en el corto plazo. Los hitos a seguir incluyen:

    • Publicación de guías interpretativas del Attorney General de Delaware sobre los nuevos requisitos de DPIA y opt-out.
    • Avance del proyecto de reforma de la Ley 25.326 en el Congreso argentino, que podría incorporar estándares similares.
    • Resolución de la ANPD brasileña sobre criterios de activación del RIPD para tratamientos de alto riesgo.
    • Posibles lineamientos del INAI mexicano sobre reconocimiento de señales técnicas de opt-out en el contexto de la LFPDPPP.

    Nuestro análisis

    La HB 380 es relevante para LATAM no porque Delaware sea un referente regulatorio directo de la región, sino porque actúa como laboratorio de estándares corporativos globales. Cuando la mayoría de las grandes empresas latinoamericanas se constituyen o financian a través de Delaware, los requisitos de ese estado se convierten de facto en el piso de compliance que esas estructuras deben sostener. El movimiento de Delaware hacia el opt-out técnico universal y la expansión de datos sensibles es consistente con una tendencia global que LGPD, GDPR y el futuro marco argentino ya anticipan. Los equipos de privacidad en la región que esperan a que “su” regulador local se actualice están gestionando el riesgo por el lado equivocado: el riesgo Delaware ya está activo hoy.

    ¿Tiene su organización mapeadas las entidades constituidas en Delaware y evaluado si califican como controladores bajo la DPDPA reformada? Esa pregunta debería estar en la agenda del próximo comité de privacidad.

  • California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California acaba de convertirse en el estado más poblado de Estados Unidos en prohibir el acceso de menores de 16 años a redes sociales, con la promulgación de AB 1709 por el gobernador Gavin Newsom. La Electronic Frontier Foundation rechazó la norma de forma inmediata, argumentando que la ley no resuelve los problemas estructurales de la industria y, en cambio, introduce nuevos riesgos para la privacidad de todos los usuarios.

    AB 1709 establece una restricción funcional de acceso a plataformas de redes sociales para personas menores de 16 años. Para cumplir con la norma, las plataformas deberán implementar sistemas de verificación de edad, lo que implica —en la práctica— recolectar más datos personales de sus usuarios. La EFF señala que este mecanismo concentra aún más poder en manos de las empresas tecnológicas, en lugar de desmantelar los modelos de negocio basados en vigilancia que son, según la organización, el problema central.

    AB 1709: qué prohíbe la ley californiana y cómo funciona la verificación de edad

    La ley no solo impide el registro de menores de 16 años: también elimina herramientas básicas de navegación para quienes no puedan verificar su edad. Según la EFF, esta arquitectura de cumplimiento obliga a todos los usuarios —no solo a los menores— a entregar información personal adicional para franquear los controles de acceso. La verificación de edad, lejos de proteger a los jóvenes, expande la superficie de recolección de datos de las plataformas. Rindala Alajaji, directora asociada de Asuntos Estatales de la EFF, sostuvo que “prohibir el acceso de menores a foros digitales —o eliminar las herramientas básicas necesarias para navegarlos— no va a ayudar a que los jóvenes sean más seguros o saludables en la era de la IA”.

    La organización también anticipó litigios: califican la norma como inconsistente con los derechos de libre expresión garantizados constitucionalmente, y advierten que California destinará recursos a defender una ley que enfrentará impugnaciones judiciales, en lugar de avanzar hacia marcos de privacidad más sólidos.

    El argumento de fondo: leyes de privacidad contra modelos de vigilancia, no contra usuarios

    La posición de la EFF no es de defensa irrestricta de las plataformas. Al contrario: la organización argumenta que la regulación debe apuntar a los modelos de negocio que monetizan la atención y los datos de los usuarios, no a la restricción de acceso a internet. La investigación disponible, según señala la EFF, indica que las prohibiciones de este tipo resultan ineficaces para mejorar la salud o seguridad de los jóvenes, mientras que sí les recortan oportunidades de expresión, participación política, práctica religiosa y construcción de comunidad, especialmente para quienes no encuentran esos espacios en el mundo físico.

    El debate sobre la verificación de edad en plataformas no es nuevo ni exclusivo de California. En el Reino Unido, el Online Safety Act 2023 introdujo obligaciones similares para plataformas con audiencias infantiles. En la Unión Europea, el Digital Services Act establece requisitos de protección para menores, aunque sin prohibiciones de acceso absolutas. La diferencia de enfoque es relevante: mientras las normativas europeas tienden a exigir salvaguardas en el diseño de los servicios, la ley californiana opta por una restricción de acceso que traslada la carga de cumplimiento hacia la verificación de identidad masiva.

    Brasil, Argentina y México ante el mismo dilema regulatorio para menores en redes

    América Latina observa el debate californiano con atención, porque varios países de la región tienen proyectos similares en distintos estadios de avance. Brasil sancionó en septiembre de 2024 la Ley 14.811, que prohíbe el uso de redes sociales a menores de 14 años sin autorización parental y obliga a las plataformas a implementar medidas de protección; la reglamentación de sus mecanismos de verificación todavía está en proceso y genera tensiones análogas a las que describe la EFF para California. En Argentina, la Ley 26.061 de Protección Integral de Niños, Niñas y Adolescentes es el paraguas vigente, pero no regula específicamente el acceso a plataformas digitales; el Ministerio de Capital Humano y el Ente Nacional de Comunicaciones (ENACOM) han explorado lineamientos sin traducirlos en una norma específica. En México, la Ley Federal de Telecomunicaciones y Radiodifusión incluye obligaciones generales de protección de menores en medios audiovisuales, pero la regulación de redes sociales en este segmento sigue fragmentada y sin un proyecto de ley consolidado.

    El patrón común en los tres países es el mismo que señala la EFF para California: cuando la regulación se centra en el control de acceso etario, la verificación de edad se convierte en un nuevo vector de recolección de datos personales, sin que existan —en paralelo— marcos robustos que limiten qué pueden hacer las plataformas con esa información. En Brasil, la ANPD (Autoridade Nacional de Proteção de Dados) tiene competencia sobre el tratamiento de datos de menores bajo la LGPD, pero la articulación entre esa autoridad y los mecanismos de verificación que exige la Ley 14.811 todavía no está resuelta. En Argentina, la AAIP (Agencia de Acceso a la Información Pública) enfrenta una situación equivalente bajo la Ley 25.326, cuya actualización lleva años pendiente en el Congreso.

    Verificación de edad y expansión de la recolección de datos: el efecto colateral que los legisladores subestiman

    El punto técnico que la EFF pone sobre la mesa merece atención particular para los equipos de privacidad de la región. Cada vez que una norma exige verificar la edad de un usuario, las plataformas necesitan un vector de autenticación: documento de identidad, número de teléfono, datos biométricos o combinaciones de los anteriores. Esa recolección adicional amplía el perímetro de datos bajo custodia de la plataforma. Si la normativa de privacidad aplicable no regula con precisión qué puede hacerse con esos datos de verificación, cuánto tiempo pueden retenerse y qué mecanismos de auditoría existen, el resultado neto puede ser un aumento del riesgo para todos los usuarios, no solo para los menores que se pretende proteger. Es exactamente la crítica que articula la EFF, y es un problema de diseño regulatorio que los países de América Latina deberían resolver antes de replicar el modelo californiano.

    Nuestro análisis

    La crítica de la EFF a AB 1709 es técnicamente sólida y políticamente incómoda. Es incómoda porque señala que proteger a los menores en entornos digitales requiere algo más difícil que una prohibición: requiere regular los modelos de negocio que hacen de la atención y los datos un producto. Eso implica confrontar a las plataformas en su arquitectura de monetización, no solo en su política de registro de usuarios. Para América Latina, la lección es concreta: si Brasil, Argentina o México avanzan en leyes de restricción etaria sin acompañarlas de marcos que limiten el uso de los datos de verificación, el resultado será más recolección de datos personales de la población general con menos garantías de privacidad. La ANPD y la AAIP tienen aquí una oportunidad de intervenir en la discusión antes de que las leyes de protección de menores se conviertan en nuevas fuentes de riesgo para los datos de toda la ciudadanía.

    Prohibir el acceso no es lo mismo que garantizar la protección: mientras los países de la región debaten quién puede entrar a internet, la pregunta que nadie responde es qué pueden hacer las plataformas con los datos que recolectan para decidirlo.

  • ShinyHunters expone 6,4 millones de registros de McKesson

    ShinyHunters expone 6,4 millones de registros de McKesson

    El grupo de extorsionistas seriales ShinyHunters expuso datos de aproximadamente 6,4 millones de personas en un ataque contra McKesson, uno de los mayores proveedores de insumos médicos y farmacéuticos del mundo. La escala del incidente se conoció recién el 10 de septiembre de 2026, cuando el servicio Have I Been Pwned (HIBP) incorporó los datos filtrados a su base de consulta pública.

    El ataque ocurrió el mes anterior a la divulgación, aunque McKesson no había informado públicamente la magnitud del compromiso hasta que HIBP lo reveló de forma indirecta al indexar los registros. Según se informó, ShinyHunters habría reclamado la extracción de 284 millones de documentos de los sistemas de la compañía — una cifra que excede en varios órdenes de magnitud el número de individuos afectados confirmado hasta ahora, lo que sugiere duplicación de registros o extracción masiva de transacciones y documentos internos.

    Datos confirmados al cierre de esta edición

    • 6,4 millones de individuos afectados, según HIBP.
    • 284 millones de documentos reclamados por ShinyHunters como volumen total extraído.
    • McKesson identificada como empresa del sector médico-farmacéutico.
    • Fecha del ataque: agosto de 2026, según se informó.
    • La incorporación a HIBP el 10 de septiembre fue la primera confirmación pública de escala.

    Qué se sabe y qué falta confirmar

    HIBP confirmó el número de individuos afectados al añadir los datos a su sistema de notificación. No obstante, la naturaleza exacta de los datos expuestos — si incluye información clínica, financiera o únicamente datos de contacto — no había sido detallada de forma oficial por McKesson al momento de esta publicación. Tampoco se había confirmado si la compañía cumplió con los plazos de notificación obligatoria exigidos por las regulaciones aplicables en Estados Unidos (HIPAA) ni si se notificó a autoridades de otros países donde opera. ShinyHunters es un grupo con antecedentes documentados de ataques de alto perfil, incluyendo el caso Snowflake en 2024, lo que le otorga credibilidad técnica a la magnitud del reclamo, aunque los 284 millones de documentos no han sido verificados de forma independiente.

    Para los equipos de cumplimiento en América Latina, la nota de alerta es doble. McKesson opera en mercados de la región a través de subsidiarias y redes de distribución farmacéutica. Si datos de pacientes o clientes latinoamericanos fueron comprometidos, las empresas locales que mantienen relaciones comerciales con el proveedor quedan expuestas a obligaciones de notificación propias: en Brasil bajo la LGPD (artículo 48, plazo de dos días hábiles al titular y a la ANPD en casos de riesgo relevante), en México bajo la LFPDPPP, y en Argentina bajo la Ley 25.326 y las disposiciones de la AAIP. La cadena de responsabilidad no termina en el proveedor extranjero si hay transferencia internacional de datos involucrada.

    El próximo hito clave es la notificación formal de McKesson a los reguladores de salud en Estados Unidos, cuyo plazo bajo HIPAA es de 60 días desde la detección del incidente: si el ataque ocurrió en agosto, ese plazo vence en octubre de 2026.

  • Microsoft corrige casi mil vulnerabilidades en Patch Tuesday de septiembre 2026

    Microsoft corrige casi mil vulnerabilidades en Patch Tuesday de septiembre 2026

    Microsoft lanzó su ciclo de actualizaciones de seguridad de septiembre de 2026 —conocido como Patch Tuesday— con casi mil fallas corregidas, según se informó. El volumen es uno de los más altos registrados en un solo ciclo mensual por la compañía.

    El paquete de actualizaciones fue publicado el segundo martes de septiembre, en línea con el calendario mensual fijo que Microsoft mantiene desde 2003. Según se informó desde el portal especializado Nivel4 Ciberseguridad, el total de vulnerabilidades parcheadas se aproxima a las mil, aunque el desglose por severidad —crítica, importante, moderada— no fue detallado en la información disponible al cierre de esta nota.

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen inusualmente alto de correcciones en un único ciclo mensual. No se ha informado si alguna de las vulnerabilidades parcheadas se encontraba siendo explotada activamente en el momento de la publicación —dato crítico para priorizar el despliegue de parches en entornos corporativos—. Tampoco se han identificado públicamente CVEs específicos con puntaje CVSS 9.0 o superior que requieran atención inmediata, según la información disponible.

    • Ciclo: Patch Tuesday, septiembre de 2026
    • Total de fallas corregidas: aproximadamente 1.000, según se informó
    • Productos afectados: no especificados en la información disponible
    • Explotación activa confirmada: sin datos al cierre de esta nota

    Relevancia para organizaciones en Argentina, México y Brasil

    En América Latina, el Patch Tuesday tiene implicancias directas sobre el cumplimiento normativo de protección de datos. En Argentina, la Ley 25.326 y las directrices de la AAIP exigen medidas de seguridad adecuadas para el tratamiento de datos personales; un sistema sin parchear que luego sufre una brecha puede comprometer esa adecuación. En Brasil, la LGPD (Lei 13.709/2018) establece en su artículo 46 la obligación del controlador de adoptar medidas técnicas capaces de proteger los datos personales de accesos no autorizados, lo que incluye la gestión oportuna de vulnerabilidades. En México, la LFPDPPP y su reglamento contemplan el principio de seguridad con estándares equivalentes.

    El próximo Patch Tuesday está programado para el segundo martes de octubre de 2026: los equipos de seguridad y compliance tienen hasta esa fecha para evaluar y priorizar el despliegue de las actualizaciones de septiembre en sus entornos de producción.

  • Corea del Sur eleva multas por brechas de datos al 10% de los ingresos

    Corea del Sur eleva multas por brechas de datos al 10% de los ingresos

    Corea del Sur acaba de reescribir la ecuación costo-beneficio de la protección de datos para las empresas que operan en su territorio. Desde el 12 de septiembre de 2025, las compañías que filtren información personal de 10 millones de personas o más —por dolo o negligencia grave— quedan expuestas a multas de hasta el 10% de sus ingresos globales anuales. El mensaje del regulador es explícito: la protección de datos debe ser una inversión preventiva, no un costo operativo que se absorbe después del incidente.

    La reforma fue impulsada por la Comisión de Protección de Información Personal de Corea (PIPC, por sus siglas en inglés), la autoridad de control equivalente a lo que en la región son la ANPD brasileña, la AAIP argentina o el INAI mexicano. La PIPC viene acumulando experiencia sancionatoria desde que se consolidó como ente autónomo en 2020, pero el techo anterior de multas era considerado insuficiente para disuadir a grandes corporaciones con facturación multimillonaria. El nuevo umbral del 10% sobre ingresos —no sobre utilidades— cambia radicalmente esa aritmética.

    La reforma coreana: 10 millones de registros como umbral de responsabilidad agravada

    La modificación introduce una distinción crítica: el régimen agravado del 10% aplica cuando la brecha involucra al menos 10 millones de titulares de datos y existe dolo o negligencia grave demostrable. Para incidentes de menor escala o negligencia ordinaria, el régimen general de la Ley de Protección de Información Personal (PIPA) coreana continúa vigente con sanciones menores. Este esquema escalonado no es una novedad conceptual —el RGPD europeo ya diferencia entre infracciones “graves” y “muy graves” con topes del 2% y 4% del volumen de negocio global, respectivamente—, pero la escala del 10% supera cualquier régimen vigente en economías desarrolladas.

    El criterio de “ingresos globales” es el detalle más significativo para empresas multinacionales. Una plataforma digital con operaciones en Corea del Sur pero con matriz en Estados Unidos, Japón o Europa enfrentaría una multa calculada sobre su facturación consolidada, no solo sobre los ingresos generados en territorio coreano. Eso convierte a la PIPC en un regulador con alcance extraterritorial comparable al de la Autoridad de Protección de Datos irlandesa dentro del ecosistema del RGPD.

    LGPD, Ley 25.326 y LFPDPPP: los techos sancionatorios que Corea dejó atrás

    El contraste con América Latina es revelador. Brasil cuenta con el marco más cercano al estándar internacional: la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) habilita multas de hasta el 2% de los ingresos en Brasil —no globales— de la persona jurídica en su último ejercicio fiscal, con tope absoluto de 50 millones de reales por infracción. La Autoridade Nacional de Proteção de Dados (ANPD) comenzó a aplicar sanciones pecuniarias en 2023 y acumula resoluciones, pero el volumen de multas efectivas todavía es bajo en comparación con autoridades europeas de similar madurez institucional.

    En Argentina, la Ley 25.326 de Protección de Datos Personales —que data del año 2000 y es objeto de un proceso de reforma legislativa que lleva varios años sin resolución definitiva— establece sanciones que van de una advertencia a la inhabilitación del registro de base de datos, con multas que en la práctica han resultado simbólicas frente al tamaño de los actores infractores. La Agencia de Acceso a la Información Pública (AAIP) carece del régimen porcentual sobre ingresos que hoy tienen tanto la ANPD como la PIPC coreana. México, por su parte, mantiene el esquema de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010), con multas expresadas en días de salario mínimo —un mecanismo que erosiona el poder disuasorio frente a grandes corporaciones—, aunque el INAI ha impulsado reformas para modernizarlo.

    Colombia (Ley 1581/2012, reglamentada por la Superintendencia de Industria y Comercio) y Chile (nueva Ley 21.719, en proceso de implementación con autoridad de control en formación) completan un mapa regional donde ningún país supera el umbral del 4% sobre ingresos como sanción máxima aplicable, y donde la mayoría aún opera con techos nominales muy por debajo de esa cifra.

    Por qué el modelo coreano presiona a los directorios, no solo a los equipos de compliance

    Una multa calculada sobre el 10% de ingresos globales deja de ser un problema del departamento legal para convertirse en un riesgo de balance que requiere atención del directorio y del CFO. Esa es, precisamente, la intención declarada del regulador coreano: que la protección de datos compita con otras inversiones estratégicas dentro de la asignación de capital corporativo. La lógica es la misma que llevó al RGPD a adoptar multas porcentuales en lugar de montos fijos: cuando el techo sancionatorio es proporcional al tamaño del infractor, deja de existir el incentivo para que una empresa grande simplemente “pague y siga”.

    Para empresas latinoamericanas con operaciones en Corea del Sur —o que procesen datos de ciudadanos coreanos— la reforma es directamente aplicable. Para quienes no tienen presencia en Asia, el movimiento coreano funciona como señal de hacia dónde se dirigen los regímenes de privacidad que buscan credibilidad sancionatoria real. Brasil está en ese camino; Argentina y México tienen reformas pendientes que podrían incorporar esta lógica si los proyectos legislativos prosperan.

    Qué monitorear: la ANPD brasileña y el proyecto de reforma argentina en 2025-2026

    Dos hitos merecen seguimiento inmediato en la región. En Brasil, la ANPD avanza en la revisión de su regulación de seguridad y notificación de incidentes (Resolución CD/ANPD nº 2/2022), y cualquier actualización del régimen sancionatorio deberá pasar por el Congreso para modificar la LGPD, algo que el ecosistema de privacidad brasileño ya discute abiertamente. En Argentina, el Poder Ejecutivo presentó en 2023 un proyecto de modernización de la Ley 25.326 que contempla un esquema de multas graduadas; su suerte legislativa sigue siendo incierta, pero la reforma coreana agrega presión internacional al debate local. Las organizaciones con operaciones en múltiples jurisdicciones deberían documentar ya cuál es su exposición máxima bajo cada régimen vigente, y comparar ese número contra el presupuesto que hoy destinan a prevención.

    Nuestro análisis: el 10% como nueva referencia de credibilidad regulatoria

    La reforma coreana no es solo una decisión de política doméstica: es una declaración sobre qué nivel de sanción se necesita para cambiar el comportamiento corporativo en materia de protección de datos. El RGPD demostró que los porcentajes sobre ingresos —y no los montos fijos— son el único mecanismo que genera incentivos reales para empresas de escala global. Corea del Sur va más lejos que Europa en ese mismo eje. América Latina, con la excepción parcial de Brasil, todavía opera con regímenes diseñados para otro tamaño de mercado y otro tipo de infractor. El riesgo de esa brecha no es solo reputacional: es que las empresas que operan en múltiples jurisdicciones optimicen su inversión en privacidad hacia donde el regulador tiene mayor capacidad de daño económico, dejando a los titulares latinoamericanos con menor protección efectiva. Eso no es un problema de texto legal; es un problema de arquitectura de incentivos que los reguladores de la región tienen pendiente resolver.

    ¿Cuándo un regulador latinoamericano tendrá los dientes suficientes para que el cálculo costo-beneficio de una brecha masiva deje de favorecer a quien la provoca?

  • Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica formalizó una hoja de ruta de 36 meses para implementar gobernanza de datos en su sistema de salud pública, según se informó a principios de septiembre de 2025. La iniciativa posiciona al país como uno de los pocos en América Central con un plan estructurado de data governance sectorial, y su diseño —centrado en calidad del dato, interoperabilidad y roles de ownership— ofrece una referencia concreta para la región.

    El plan costarricense articula tres horizontes temporales: el primero enfocado en diagnóstico de madurez y definición de roles (data stewards, data owners); el segundo en implementación de un catálogo de datos clínico-administrativos y mecanismos de calidad; y el tercero en interoperabilidad con sistemas externos y medición de impacto. La secuencia sigue una lógica reconocible para cualquier practicante del DAMA-DMBOK: primero se establece el who antes del how, evitando el error frecuente de implementar herramientas sin estructuras de accountability previas.

    Qué implica una hoja de ruta sectorial en salud: roles, calidad y catálogo en 36 meses

    El sector salud es, en términos de gobernanza de datos, uno de los más complejos: combina datos clínicos sensibles, sistemas heredados de décadas, múltiples actores (hospitales, clínicas, laboratorios, aseguradoras) y marcos regulatorios de privacidad que restringen el flujo de información. Diseñar un roadmap para ese entorno en solo 36 meses es ambicioso. La clave estará en si Costa Rica logra asignar data stewards con autoridad real sobre dominios específicos —historia clínica electrónica, facturación, epidemiología— o si los roles quedan como títulos formales sin capacidad de decisión sobre el dato.

    Según se informó, el plan contempla también la definición de métricas de calidad del dato aplicadas a los registros hospitalarios, un área donde los sistemas latinoamericanos suelen acumular deuda técnica significativa: duplicación de pacientes, campos vacíos en registros críticos, inconsistencias entre sistemas de admisión y facturación. Sin una baseline de calidad documentada, cualquier iniciativa de analítica o interoperabilidad queda sobre arena.

    Brasil, Colombia y Chile: tres modelos de gobernanza en salud pública con distinto grado de avance

    Costa Rica no parte de cero en el contexto regional. Brasil opera desde 2020 la Rede Nacional de Dados em Saúde (RNDS), impulsada por el Ministerio de Salud, que establece estándares de interoperabilidad basados en HL7 FHIR y exige a los establecimientos adherirse a un modelo de datos federado. La LGPD (Lei 13.709/2018) actúa como piso normativo para el tratamiento de datos sensibles de salud, clasificados en el artículo 11 como categoría especial con restricciones específicas de base legal. Brasil es hoy el caso de mayor escala en la región, aunque la heterogeneidad entre estados federales genera inconsistencias de implementación.

    Colombia avanzó con la Política Nacional de Datos de Salud del Ministerio de Salud y Protección Social, apoyada en la Resolución 866 de 2021, que establece estándares técnicos para la interoperabilidad del sector. La Ley 1581 de 2012 (régimen general de protección de datos) y su decreto reglamentario 1074 de 2015 proveen el marco para el tratamiento de datos sensibles, aunque persisten vacíos en la aplicación sectorial específica para salud. Chile, por su parte, avanza con el proyecto de nueva Ley de Protección de Datos Personales —ya aprobada en el Congreso y en proceso de implementación reglamentaria— que incorpora un régimen reforzado para datos de salud, y con el Plan Nacional de Salud Digital 2030 que contempla componentes de interoperabilidad, sin que se haya formalizado aún un marco de gobernanza de datos con la especificidad del costarricense.

    En ese mapa, el diferencial de Costa Rica no es el tamaño ni el presupuesto —la Caja Costarricense de Seguro Social (CCSS) opera en un país de cinco millones de habitantes— sino la existencia de una hoja de ruta documentada, con fases, entregables y, según se informó, mecanismos de seguimiento. Esa granularidad es exactamente lo que suele faltar en los planes regionales de transformación digital en salud, donde las declaraciones de intención superan ampliamente a los planes de ejecución.

    El modelo CDMC del EDM Council como referencia para medir madurez en salud

    Para los equipos de gobernanza que quieran benchmarkear el plan costarricense —o diseñar uno propio—, el Cloud Data Management Capabilities (CDMC) del EDM Council ofrece una estructura de 14 capabilities distribuidas en seis categorías, varias de ellas directamente aplicables al sector salud: control de acceso a datos sensibles, linaje, calidad y catalogación. El CDMC fue diseñado inicialmente para el sector financiero, pero su adopción en salud crece porque permite demostrar compliance con reguladores sin necesidad de reconstruir el marco desde cero. Alternativamente, el Marco de Referencia de Gobernanza de Datos de DAMA International (DMBOK2, 2017) provee las once áreas de conocimiento que cualquier roadmap sectorial debería mapear antes de fijar cronogramas.

    Un error frecuente en iniciativas similares en la región es saltear el diagnóstico de madurez —usando, por ejemplo, el Data Management Maturity (DMM) del CMMI Institute— y pasar directamente a la adquisición de herramientas de catalogación o calidad. El resultado es predecible: plataformas sin adopción, data stewards sin autoridad y presupuestos consumidos sin baseline medible.

    Qué monitorear en los próximos 12 meses del plan costarricense

    Los primeros 12 meses de cualquier roadmap de gobernanza son el filtro real entre iniciativa y programa sostenible. Para Costa Rica, los hitos críticos que valdría observar son: la formalización de los roles de data ownership en la CCSS con mandatos documentados; la publicación del inventario o catálogo de dominios de datos del sistema de salud; y la definición de métricas de calidad con valores baseline para al menos tres dominios críticos (identidad del paciente, diagnóstico, prestación). Si esos tres entregables existen al término del primer año, el plan tiene sustancia operativa. Si no, el riesgo de que el roadmap quede como documento de política sin implementación es alto, un patrón que la región conoce bien.

    Para organizaciones de salud en otros países que observen este caso, la señal más valiosa no es el cronograma en sí sino la decisión de hacer explícito el modelo de accountability: quién es dueño de cada dominio de datos, con qué autoridad y medido con qué indicadores. Esa claridad conceptual, plasmada en un documento oficial, es más rara en el sector público latinoamericano de lo que debería.

    Nuestro análisis

    El plan costarricense merece atención regional no por su escala, sino por su método. En un sector donde “transformación digital en salud” suele significar comprar un ERP o migrar a la nube, formalizar un roadmap de gobernanza con fases, roles y métricas es una decisión de madurez institucional infrecuente en América Central. La pregunta que determinará si este plan es referencia o anécdota es una sola: ¿la CCSS asignó data stewards con poder de veto sobre decisiones de calidad y acceso, o solo creó un comité asesor? La diferencia entre ambos modelos no es semántica; es la distancia entre gobernanza operativa y gobernanza decorativa. Equipos en Argentina, Colombia o Perú que estén diseñando iniciativas similares en el sector público deberían pedir acceso al marco de roles antes de replicar el cronograma.

    Un roadmap de 36 meses en salud pública es una promesa institucional: su valor real se mide en los primeros 12, cuando los roles pasan de organigramas a decisiones reales sobre el dato.

  • Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz International —fabricante de Oreo, Cadbury y Chips Ahoy— decidió que antes de escalar el uso de inteligencia artificial necesitaba resolver un problema más antiguo y más barato de ignorar: la calidad y la propiedad de sus datos. El resultado fue un rediseño completo de su modelo de gobernanza, con ownership transferido de IT a los equipos de negocio, antes de encender cualquier modelo.

    La secuencia importa. Muchas organizaciones invierten en IA sobre datos que nadie sabe exactamente quién tiene que mantener, con linaje desconocido y calidad sin medir. Mondelēz invirtió ese orden: primero construyó la base, después habilitó los casos de uso. La plataforma elegida fue Ataccama ONE, que integró calidad de datos, catálogo y data lineage —trazabilidad del origen y transformación de cada activo de datos— en un único entorno operativo, según informó la empresa.

    El movimiento clave: del ownership de IT al ownership del negocio

    El cambio estructural más relevante no fue tecnológico sino organizacional. Mondelēz trasladó la responsabilidad formal sobre los datos desde el área de tecnología hacia los equipos de negocio que los crean y consumen. En la terminología del DAMA-DMBOK, esto equivale a formalizar el rol de data steward en las líneas de negocio, reconociendo que el área de IT puede administrar la infraestructura pero no puede ser la última responsable de la semántica ni de la calidad de datos que nunca generó. Bob Seiner, referente de la corriente de Non-Invasive Data Governance, describe este patrón como asignar responsabilidades a quienes ya las ejercen informalmente —la formalización no crea el trabajo, lo hace visible y auditable.

    La consecuencia práctica es que los data stewards de cada unidad de negocio pasan a ser los responsables de definir reglas de calidad, aprobar cambios en definiciones de datos maestros y validar el linaje antes de que un dataset llegue a un modelo de IA. Sin ese mecanismo, la cadena de responsabilidad se rompe y el error de datos se convierte en error de modelo —un problema infinitamente más difícil de diagnosticar.

    Calidad, catálogo y linaje: por qué los tres juntos y no por separado

    La decisión de consolidar calidad de datos, catálogo y linaje en un entorno único en lugar de mantener herramientas separadas responde a un problema de fricción operativa conocido en la industria. Cuando el catálogo vive en un sistema, las reglas de calidad en otro y el linaje en un tercero, los data stewards pasan tiempo reconciliando vistas inconsistentes en lugar de gobernar. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica la integración de estos tres dominios como una capability de nivel avanzado —equivalente aproximadamente al nivel 4 sobre 5 en el modelo de madurez— que habilita la confianza en datos para casos de uso de analytics e IA.

    Para Mondelēz, conectar esos tres dominios significó poder responder preguntas concretas antes de autorizar el uso de un dataset en un modelo: ¿De dónde vienen estos datos? ¿Quién los modificó por última vez y cuándo? ¿Qué porcentaje cumple las reglas de calidad definidas por el steward responsable? Sin esas respuestas, la confianza en el output del modelo es, en el mejor caso, optimismo.

    Cuándo aplica este enfoque y cuándo no es suficiente

    El modelo de Mondelēz es replicable en organizaciones con volumen de datos distribuido entre múltiples unidades de negocio, fuentes heterogéneas y ambición de escalar IA más allá de proyectos piloto. No es la solución adecuada para empresas en etapas tempranas de madurez donde el problema es más básico —inventario de fuentes, definición de dominios de datos, identificación de propietarios— porque implantar un catálogo activo sobre datos sin ownerships claros genera ruido, no gobernanza. El DAMA-DMBOK sugiere evaluar primero la madurez en Data Management antes de seleccionar plataformas: sin un mapa de dominios y stewards asignados, la herramienta no sustituye el trabajo conceptual previo.

    Tampoco es un modelo listo para operar en contextos con datos altamente sensibles sin capas adicionales de control. En sectores regulados —financiero, salud, telecomunicaciones— la gobernanza de datos para IA debe articularse además con marcos de gestión de riesgo como el NIST AI RMF, que exige documentación de la procedencia de los datos de entrenamiento y de las métricas de calidad utilizadas para validar los modelos.

    La lectura desde América Latina: regulación y presión sobre el dato de negocio

    En la región, la presión para formalizar el ownership de datos tiene cada vez más anclaje regulatorio. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que las organizaciones puedan demostrar la trazabilidad de los datos personales utilizados en procesos automatizados de toma de decisiones —exactamente el tipo de linaje que Mondelēz construyó, aunque aplicado aquí a un requerimiento de cumplimiento legal y no solo operativo. En Argentina, la Ley 25.326 y las disposiciones de la AAIP sobre tratamiento automatizado plantean exigencias similares en materia de responsabilidad sobre el dato. En México, el INAI ha comenzado a preguntar por los mecanismos de control sobre datos utilizados en sistemas de IA en el sector privado.

    El punto de convergencia es que los CDOs de empresas de consumo masivo con operaciones en Brasil, Argentina o México no pueden separar la gobernanza de datos para IA de su programa de cumplimiento en protección de datos personales. El ownership de negocio que Mondelēz formalizó no es solo buena práctica de DAMA: en determinados contextos regulatorios regionales, es condición de cumplimiento.

    Lo que un CDO puede hacer a partir de este caso

    El caso de Mondelēz sugiere una secuencia de tres movimientos concretos. Primero, auditar qué porcentaje de los datasets que hoy alimentan o alimentarán modelos de IA tienen un data steward formalmente asignado en el área de negocio —no en IT. Segundo, evaluar si calidad, catálogo y linaje están integrados o son silos que requieren reconciliación manual; si lo segundo, cuantificar el costo operativo de esa fricción antes de la próxima conversación presupuestaria. Tercero, mapear cuáles de esos datasets contienen datos personales y si el linaje documentado es suficiente para responder a una auditoría de la ANPD, la AAIP o el INAI. Los tres pasos son independientes de la plataforma elegida y pueden iniciarse con los recursos de gobernanza ya existentes.

    La referencia técnica de base para este enfoque es el DAMA-DMBOK segunda edición, en particular los capítulos de Data Quality Management y Data Governance; para el marco de madurez en nube, el CDMC del EDM Council ofrece el benchmark más usado actualmente en organizaciones con arquitecturas híbridas.

  • Índice ITD-IA: proveedores mineros de Chile promedian 43 sobre 100

    Índice ITD-IA: proveedores mineros de Chile promedian 43 sobre 100

    Los proveedores del sector minero en Chile obtienen un promedio de 43 sobre 100 en el Índice de Transformación Digital e Inteligencia Artificial (ITD-IA), según se informó en septiembre de 2025. El resultado revela una brecha significativa entre la adopción tecnológica declarada y la madurez real de las empresas que abastecen a una de las industrias más relevantes de América Latina.

    El ITD-IA es un instrumento de medición que evalúa el nivel de preparación digital y de inteligencia artificial de las organizaciones. En el caso del ecosistema proveedor de la minería chilena, el índice considera dimensiones como infraestructura tecnológica, capacidades de datos, adopción de herramientas de automatización y uso de modelos de IA en procesos operativos o de gestión. Un puntaje de 43 sobre 100 ubica al conjunto evaluado por debajo del umbral que suele considerarse de madurez intermedia en marcos de referencia internacionales.

    Qué mide el ITD-IA y por qué 43 es una señal de alerta

    Los marcos de transformación digital —como el Digital Maturity Model del MIT CISR o los niveles de capacidad del EDM Council— distinguen entre organizaciones que usan tecnología para automatizar tareas repetitivas y aquellas que integran datos como activo estratégico. Un puntaje promedio de 43 indica que la mayoría de los proveedores evaluados se encuentran en etapas iniciales: tienen herramientas digitales, pero carecen de procesos formales de gobernanza de datos, pipelines de datos integrados o modelos predictivos en producción. La brecha no es de infraestructura sino de madurez organizacional: saben que deben adoptar IA, pero no tienen los fundamentos de datos para hacerlo de forma sostenible.

    El sector minero chileno es el mayor productor de cobre del mundo y concentra una cadena de valor que involucra a miles de proveedores de servicios, equipamiento y tecnología. Que ese ecosistema proveedor opere con niveles bajos de madurez digital implica riesgos concretos: dependencia de procesos manuales, menor capacidad de respuesta ante disrupciones, y dificultad para integrarse con los sistemas digitales de las mineras que exigen trazabilidad, reportes automatizados y cumplimiento en tiempo real.

    Cuándo aplica este índice — y cuándo no

    El ITD-IA resulta relevante para proveedores que aspiran a mantener o ampliar contratos con grandes operadoras mineras —como Codelco, BHP o Antofagasta Minerals— que ya operan con plataformas de datos integradas y exigen interoperabilidad digital a sus cadenas de suministro. No aplica como diagnóstico suficiente para empresas cuyo modelo de negocio es exclusivamente de servicios físicos sin interfaz digital, aunque incluso en esos casos la automatización de la facturación, el cumplimiento normativo y la gestión de seguridad tienden a digitalizarse de forma acelerada.

    Tampoco es un índice de riesgo de ciberseguridad ni de privacidad de datos en sentido estricto. Mide capacidad de adopción, no exposición a brechas. Sin embargo, una correlación frecuente en la industria es que las organizaciones con baja madurez digital también carecen de políticas formales de clasificación y protección de datos, lo que las expone a incidentes que sí tienen consecuencias regulatorias bajo la Ley 19.628 de Chile —actualmente en proceso de actualización legislativa— y eventualmente bajo los estándares que Chile deberá alinear si avanza en tratados de libre comercio con cláusulas de flujo de datos.

    La brecha de datos en la cadena de suministro minera latinoamericana

    Chile no es un caso aislado. En Perú, la Sociedad Nacional de Minería reportó en años recientes que una fracción menor de sus proveedores tier-2 y tier-3 contaba con sistemas ERP integrados, según se informó en documentos del sector. En México, el clúster minero de Sonora enfrenta desafíos similares de digitalización en proveedores locales. La diferencia es que Chile tiene un ecosistema de medición —el ITD-IA— que al menos cuantifica la brecha, lo que es el primer paso para cerrarla. Sin un índice, no hay línea de base; sin línea de base, no hay programa de mejora medible.

    Para los equipos de gobernanza de datos en las operadoras mineras, el promedio de 43 tiene una implicancia directa: los datos que ingresan desde proveedores a los sistemas de planificación y mantenimiento predictivo son de calidad variable y baja trazabilidad. Eso contamina los modelos de IA que las propias mineras están desplegando para optimizar operaciones. La gobernanza de datos no termina en el perímetro de la organización; se extiende a la cadena de suministro.

    Tres acciones concretas frente a un puntaje de 43

    • Establecer un umbral mínimo de madurez digital —por ejemplo, 55 sobre 100 en el ITD-IA o equivalente— como requisito de calificación para contratos de largo plazo, con un período de transición de 12 a 18 meses para proveedores actuales.
    • Implementar un programa de acompañamiento a proveedores estratégicos con talleres de gobernanza de datos básica: inventario de activos de datos, definición de data owners, y protocolos de intercambio de datos estructurados (APIs o formatos normalizados).
    • Incluir en los contratos de servicio cláusulas de calidad de datos que definan SLAs para la entrega de información operativa, con penalidades por datos incompletos o inconsistentes que afecten los modelos predictivos del operador.

    Un promedio de 43 no describe un problema futuro: describe el estado actual de los datos que ya están alimentando los sistemas de decisión de la minería chilena hoy.

  • OpenAI dice resolver un Problema del Milenio: el escándalo que opaca el hito

    OpenAI dice resolver un Problema del Milenio: el escándalo que opaca el hito

    OpenAI anunció que sus agentes de inteligencia artificial resolvieron uno de los Problemas del Milenio, los desafíos matemáticos más importantes del mundo con un premio de un millón de dólares cada uno. El anuncio llegó envuelto en acusaciones que, según se informó, opacaron rápidamente lo que habría sido un hito sin precedentes para el campo.

    Los Problemas del Milenio son siete preguntas matemáticas abiertas seleccionadas por el Clay Mathematics Institute en el año 2000. Hasta la fecha, solo una había sido resuelta por un ser humano —la conjetura de Poincaré, por Grigori Perelman en 2003—. Que un sistema de inteligencia artificial reclame haber resuelto otra coloca el anuncio en una categoría de importancia que trasciende a la propia empresa. También lo convierte en un objetivo inmediato de escrutinio dentro de la comunidad matemática y regulatoria.

    Por qué la controversia importa tanto como el resultado

    El problema no es solo si la solución es válida —algo que la comunidad matemática tardará semanas o meses en verificar de forma rigurosa—. El problema central es cómo OpenAI realizó y comunicó el anuncio. Según se informó, las acusaciones que rodean el caso cuestionan la transparencia del proceso de validación y la forma en que la compañía presentó el hallazgo públicamente. En un campo donde la demostración debe ser reproducible y sometida a revisión por pares, la velocidad del ciclo de relaciones públicas corporativo choca de frente con los tiempos del método científico.

    Este episodio ilustra una tensión estructural que se repetirá: las empresas de IA tienen incentivos comerciales para anunciar avances de forma rápida y contundente, mientras que la ciencia exige validación lenta, abierta y adversarial. Cuando ambas lógicas colisionan en dominios de alta consecuencia —matemáticas, medicina, derecho—, el daño reputacional puede ser duradero y las implicancias regulatorias, significativas.

    Qué define un “agente” que resuelve matemáticas y por qué eso importa legalmente

    OpenAI empleó lo que denomina “agentes” —sistemas de IA capaces de planificar, ejecutar pasos intermedios y usar herramientas externas de forma autónoma— para atacar el problema. Esto es relevante desde una perspectiva de gobernanza de IA: un agente autónomo que genera una demostración matemática no es equivalente a un modelo que responde una pregunta. Plantea preguntas sobre autoría, sobre responsabilidad por errores en la cadena de razonamiento, y sobre quién certifica que el output es correcto antes de que sea presentado públicamente como verdad.

    En el marco del AI Act de la Unión Europea —vigente de forma gradual desde 2024—, los sistemas de IA de alto riesgo requieren supervisión humana efectiva antes de que sus outputs se utilicen en contextos críticos. Una demostración matemática reclamada como válida sin verificación independiente previa al anuncio público podría, en determinadas lecturas del reglamento, constituir un uso que excede los controles requeridos para un sistema de propósito general con impacto de alto perfil. América Latina no tiene aún un marco equivalente consolidado, aunque Brasil avanza con su Proyecto de Ley 2338/2023 de regulación de IA y Colombia publicó su política nacional de IA con principios de transparencia y rendición de cuentas que apuntan en la misma dirección.

    Cuándo aplica la regulación de IA y cuándo no en este tipo de escenario

    El AI Act europeo clasifica los sistemas según riesgo, no según la naturaleza del output. Un agente matemático no cae automáticamente en la categoría de alto riesgo —que incluye educación, empleo, infraestructura crítica, biometría—. Sin embargo, cuando el output de ese agente es presentado como una verdad científica validada y tiene impacto en la reputación pública de una disciplina, el debate regulatorio se desplaza hacia la transparencia y la gobernanza de los modelos de propósito general (GPAI, por sus siglas en inglés). El AI Act establece para estos modelos obligaciones de documentación técnica, reporte de incidentes graves y, para los de mayor capacidad sistémica, evaluaciones de riesgo adversarial. OpenAI, como proveedor de modelos GPAI de alta capacidad sistémica, está dentro de ese perímetro regulatorio en Europa.

    Fuera de Europa, la regulación es más difusa. En México, el INAI no tiene competencia sobre sistemas de IA en sí mismos. En Argentina, la AAIP publicó lineamientos no vinculantes sobre IA y datos personales en 2023, pero carecen de fuerza coercitiva sobre anuncios de esta naturaleza. El vacío regulatorio no significa ausencia de consecuencias: las acusaciones de transparencia pueden traducirse en investigaciones del Congreso, presión de organismos de competencia o daño reputacional con efectos sobre adopción empresarial.

    El patrón de anuncio-controversia-validación tardía en IA

    Este no es el primer caso en que un avance de IA en matemáticas o ciencias genera primero titulares y luego correcciones. AlphaFold de DeepMind fue validado de forma positiva por la comunidad científica, pero el proceso tomó tiempo y la empresa abrió el código. Los modelos de lenguaje grande que “resuelven” olimpiadas matemáticas han sido repetidamente cuestionados por errores en pasos intermedios que el resultado final ocultaba. El patrón sugiere que el sector necesita protocolos de divulgación responsable —responsible disclosure— equivalentes a los que existen en ciberseguridad: antes de publicar, validar; antes de validar, documentar.

    Para las organizaciones latinoamericanas que evalúan adoptar agentes de IA en funciones analíticas o de soporte a decisiones, este episodio es una señal de alerta sobre la cadena de confianza: ¿quién verifica el output antes de que llegue a un decisor? ¿Existe un proceso formal de revisión humana? ¿El proveedor documenta las limitaciones del sistema de forma accesible? Estas preguntas no son teóricas: son el núcleo de cualquier programa de gobernanza de IA que aspire a ser robusto.

    Para profundizar en el marco regulatorio europeo aplicable a modelos de propósito general, el texto consolidado del AI Act está disponible en el Diario Oficial de la Unión Europea (Reglamento 2024/1689). El Proyecto de Ley 2338/2023 de Brasil puede consultarse en el sitio del Senado Federal.

  • EFF premia en 2026 a cuatro organizaciones de derechos digitales globales

    EFF premia en 2026 a cuatro organizaciones de derechos digitales globales

    La Electronic Frontier Foundation (EFF) anunció los ganadores de sus premios anuales 2026: Access Now, 7amleh – The Arab Center for the Advancement of Social Media, DeFlock y New Media Rights. Las cuatro organizaciones fueron reconocidas por contribuciones concretas en derechos digitales, vigilancia estatal, acceso a internet y asistencia legal para creadores y usuarios.

    Los EFF Awards —conocidos durante décadas como Pioneer Awards— llevan treinta años distinguiendo a actores clave en la defensa de libertades digitales. A diferencia de premios honoríficos genéricos, el criterio de selección exige contribuciones técnicas, sociales, económicas o culturales específicas y sustanciales en campos que van desde el periodismo y el arte hasta el desarrollo tecnológico y el derecho. La edición 2026 refleja un momento en que la vigilancia estatal, los cortes de internet en zonas de conflicto y la concentración de poder en plataformas digitales dominan la agenda global.

    Access Now: línea de emergencia para activistas en 24 países de riesgo

    Fundada en 2009 como equipo de respuesta de emergencia para ayudar a activistas iraníes a reconectarse de forma segura, Access Now se convirtió en una de las organizaciones de referencia global en derechos digitales para comunidades en riesgo. Su Digital Security Helpline opera las veinticuatro horas y ofrece asistencia técnica directa a organizaciones de la sociedad civil, medios de comunicación y periodistas. La organización también documenta y denuncia los apagones de internet —internet shutdowns— que gobiernos de distintas regiones emplean como herramienta de control político. Su presencia en América Latina es activa: ha registrado cortes y restricciones de conectividad en Venezuela, Cuba y Nicaragua, y colabora con organizaciones regionales en el monitoreo de estos eventos.

    7amleh y DeFlock: derechos digitales árabes y resistencia a la vigilancia vehicular

    7amleh – The Arab Center for the Advancement of Social Media fue reconocida por su trabajo en la defensa de los derechos digitales de comunidades árabes, con foco en el impacto que las políticas de moderación de contenido de las grandes plataformas tienen sobre minorías lingüísticas y grupos en situaciones de conflicto. La organización ha documentado sistemáticamente casos de censura algorítmica y eliminación de contenido que afectan de manera desproporcionada a hablantes de árabe.

    DeFlock, por su parte, fue premiada por empoderar a comunidades para actuar frente a la vigilancia vehicular masiva. Su trabajo apunta directamente a los sistemas de reconocimiento de matrículas (License Plate Readers, LPR) que fuerzas de seguridad y actores privados despliegan en espacios públicos. Este tipo de tecnología tiene correlato directo en debates latinoamericanos: en Argentina, la Ciudad de Buenos Aires opera uno de los sistemas de reconocimiento de imágenes en espacio público más extensos de la región, cuyo marco normativo fue cuestionado por la Agencia de Acceso a la Información Pública (AAIP) en informes de los últimos años. En Brasil, el uso de sistemas biométricos y de vigilancia urbana también está bajo escrutinio, con la Autoridade Nacional de Proteção de Dados (ANPD) avanzando en lineamientos sobre tratamiento de datos biométricos.

    New Media Rights: asistencia legal gratuita frente a amenazas digitales en Estados Unidos

    New Media Rights fue reconocida por proveer asistencia legal gratuita a creadores de contenido y consumidores que enfrentan amenazas digitales: desde reclamos abusivos de derechos de autor hasta disputas sobre privacidad en plataformas. Su modelo de acceso a la justicia tiene resonancia en la región: organizaciones como la Fundación Karisma en Colombia o el Centro de Estudios en Libertad de Expresión (CELE) en Argentina cumplen funciones análogas en sus ecosistemas locales, aunque con recursos significativamente más limitados y marcos legales distintos.

    Cuándo aplica este reconocimiento y cuándo no como referencia regulatoria

    Los EFF Awards no son un estándar regulatorio ni una certificación de cumplimiento. Reconocen trabajo civil y técnico en la frontera de los derechos digitales, pero no implican que las organizaciones premiadas operen dentro de marcos jurídicos específicos de cada jurisdicción. Para equipos legales o de gobernanza en América Latina, el valor de estos premios radica en identificar actores con trayectoria verificable en temas de vigilancia, acceso a internet, moderación de contenido y defensa de creadores —organizaciones que pueden ser interlocutores válidos en procesos de consulta pública o diseño de políticas.

    La edición 2026 de los premios coincide con un ciclo legislativo activo en la región: Chile avanza en la implementación de su Ley Marco de Ciberseguridad, México discute reformas a la LFPDPPP y Colombia analiza actualizaciones a su Ley 1581. En ese contexto, los trabajos documentados por organizaciones como Access Now —sobre shutdowns y vigilancia— pueden operar como evidencia empírica en debates parlamentarios y ante autoridades de control.

    La lista completa de ganadores históricos de los EFF Awards está disponible en eff.org/awards/past-winners; el registro de shutdowns documentados por Access Now, en accessnow.org.