Un think tank de Hong Kong encendió una alerta que resuena mucho más allá de Asia: el uso de inteligencia artificial en las escuelas crece de forma desorganizada y sin un marco de gobierno de datos que lo sostenga. La fragmentación —distintas herramientas, distintos proveedores, sin ownership claro del dato educativo— es exactamente el patrón que se observa hoy en los sistemas educativos de América Latina.
Según se informó a principios de agosto, el think tank hongkonés planteó que la proliferación de aplicaciones de IA en el entorno escolar genera silos de datos estudiantiles que ninguna autoridad central puede auditar, clasificar ni controlar. La recomendación fue directa: antes de escalar el uso de IA, los sistemas educativos necesitan una política unificada de gobierno de datos que defina quién es el data owner, qué datos se recopilan, con qué propósito y por cuánto tiempo. Sin esas respuestas, la promesa pedagógica de la IA se convierte en un pasivo de privacidad y un riesgo de cumplimiento.
El problema no es la IA, es la ausencia de estructura
La discusión de fondo no gira en torno a si las herramientas de IA son buenas o malas para el aprendizaje. El núcleo del problema es estructural: cuando cada docente, cada institución o cada distrito adopta soluciones por cuenta propia, el resultado es un ecosistema donde los datos de niños y adolescentes viajan hacia proveedores externos sin políticas de retención definidas, sin clasificación de sensibilidad y sin un data steward —responsable de custodia del dato— que responda ante una auditoría. En términos del DAMA-DMBOK, el área de conocimiento de Data Security y la de Data Lifecycle Management son las primeras víctimas de esta ausencia de gobierno.
El fenómeno tiene nombre en la literatura especializada: shadow AI aplicada al sector público. Cuando la adopción tecnológica supera la capacidad de gobernanza institucional, los datos más sensibles —los de menores— quedan en el peor lugar posible: fuera del perímetro de control, pero dentro del alcance regulatorio.
LATAM: el mismo patrón, marcos regulatorios distintos
En América Latina, el problema se replica con particularidades locales que agravan el riesgo. Brasil, bajo la Lei Geral de Proteção de Dados (LGPD), establece que el tratamiento de datos de niños y adolescentes requiere consentimiento específico de los padres o tutores y que el interés superior del menor es el principio rector. Sin embargo, la Autoridade Nacional de Proteção de Dados (ANPD) aún no ha emitido una regulación sectorial específica para el ámbito educativo, lo que deja un vacío que las edtech están aprovechando. En Argentina, la Ley 25.326 de Protección de Datos Personales no contempla explícitamente la categoría de “dato educativo sensible generado por IA”, y la AAIP no ha publicado lineamientos para ese escenario. México presenta un cuadro similar: la LFPDPPP y su reglamento no fueron diseñados para la velocidad de adopción de IA generativa en aulas públicas.
Colombia, en cambio, ofrece un antecedente interesante. La Superintendencia de Industria y Comercio (SIC) ha sido más activa en la emisión de conceptos sobre tratamiento de datos de menores, y el país avanza en un marco de ética e IA que podría incluir disposiciones para el sector educativo. Chile, con su Ley Marco de Ciberseguridad ya promulgada y la reforma a la Ley 19.628 en curso, está construyendo una arquitectura regulatoria que los responsables de datos en colegios deberán conocer antes de firmar cualquier contrato con un proveedor de IA.
Qué hace un CDO educativo el lunes
Para los responsables de datos en ministerios de educación, secretarías distritales o redes de colegios privados, el caso de Hong Kong ofrece un checklist de arranque concreto. Antes de autorizar cualquier nueva herramienta de IA en el aula, el área de gobierno de datos debería poder responder afirmativamente a estas preguntas:
- ¿Existe un inventario actualizado de todos los sistemas que procesan datos de estudiantes menores de edad, incluyendo las herramientas adoptadas de forma informal por docentes?
- ¿Cada conjunto de datos tiene un data owner designado con responsabilidad formal y un data steward operativo que lo custodie?
- ¿Los contratos con proveedores de IA incluyen cláusulas de retención, eliminación y prohibición de uso secundario de datos estudiantiles alineadas con la normativa local?
- ¿Existe un proceso de Data Protection Impact Assessment (DPIA) obligatorio antes de incorporar cualquier sistema de IA que procese datos de menores?
Si alguna de esas respuestas es “no” o “no lo sé”, el riesgo regulatorio ya existe. El marco CDMC del EDM Council identifica la capacidad de “gestión de riesgos del dato” (capability 8) como prerequisito para cualquier iniciativa de IA a escala. Aplicado al sector educativo público latinoamericano, eso significa que la conversación de governance debe ocurrir antes —no después— de la compra de licencias.
El dato del menor, el más difícil de recuperar
Hay una asimetría que suele ignorarse en la discusión sobre IA educativa: un adulto puede revocar su consentimiento, cambiar de proveedor y migrar sus datos. Un estudiante de diez años cuyos patrones de aprendizaje, comportamiento y rendimiento fueron ingeridos por un modelo de IA durante tres años escolares no tiene esa opción práctica. El dato ya fue usado para entrenar; el modelo ya aprendió. La ventana de corrección en datos de menores es angosta, y eso eleva la exigencia de governance desde el primer día.
La pregunta que los ministerios de educación de la región deberían hacerse no es cuánta IA incorporar, sino si tienen la estructura de gobierno de datos suficiente para que esa IA no les genere el próximo escándalo de privacidad infantil.
Deja un comentario