Autor: Redacción

  • DHS prepara contrato masivo para centralizar ciberseguridad federal

    DHS prepara contrato masivo para centralizar ciberseguridad federal

    El Departamento de Seguridad Nacional de Estados Unidos (DHS) avanza en la adjudicación de un contrato mayor para consolidar servicios de nube, ciberseguridad y redes bajo una única estructura centralizada de gestión de TI, según un aviso publicado en Sam.gov el mes pasado.

    El contrato, identificado como Network, Cloud and Cybersecurity —según se informó—, busca centralizar la administración de infraestructura tecnológica en todo el DHS. La publicación del aviso de contratación establece una línea de tiempo tentativa para la adjudicación durante el año en curso, aunque los términos económicos y el alcance técnico completo no han sido divulgados públicamente. El movimiento se enmarca en una tendencia más amplia del gobierno federal estadounidense de consolidar proveedores y reducir la fragmentación de servicios IT entre agencias.

    Centralización federal: alcance confirmado y lo que aún no está claro

    • El aviso fue publicado en Sam.gov, plataforma oficial de contrataciones del gobierno federal de EE.UU.
    • El contrato abarca servicios de nube, ciberseguridad y redes bajo un esquema unificado.
    • La adjudicación está prevista para antes del cierre del año fiscal 2026, según se informó.
    • El monto del contrato y los proveedores preseleccionados no han sido confirmados oficialmente.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que DHS publicó formalmente el aviso de contratación y definió una hoja de ruta tentativa para el proceso de adjudicación. Lo que permanece sin verificar es si el contrato contempla cláusulas de soberanía de datos o restricciones de transferencia internacional, un punto crítico dado que DHS procesa información sensible de seguridad nacional. Tampoco se ha precisado qué agencias componentes del DHS —que incluye al Servicio de Inmigración y Control de Aduanas (ICE), la Guardia Costera y FEMA, entre otras— quedarán cubiertas bajo el acuerdo marco desde el inicio. La estrategia de centralización también plantea interrogantes sobre los controles de acceso y la gestión de identidades en un entorno multi-agencia de alta sensibilidad.

    Para América Latina, esta clase de movimientos en la arquitectura de contratación federal estadounidense tiene relevancia operativa concreta: los proveedores de servicios cloud y ciberseguridad que participan en licitaciones con DHS suelen ser los mismos actores que operan infraestructura crítica en México, Brasil, Colombia y Argentina. En la región, la tendencia a centralizar servicios IT gubernamentales también gana terreno —Brasil avanza con su Rede Nacional de Dados e IA, y Colombia con el Marco de Interoperabilidad del Estado—, pero sin los mecanismos de auditoría y transparencia en contratación que exige el sistema de Sam.gov. La Ley 25.326 en Argentina y la LGPD en Brasil imponen requisitos de seguridad sobre los encargados del tratamiento que eventualmente podrían verse afectados si proveedores con contratos DHS amplían operaciones locales.

    El próximo hito es la adjudicación formal del contrato antes del cierre del año fiscal federal, previsto para el 30 de septiembre de 2027; cualquier actualización en Sam.gov marcará el paso siguiente del proceso.

  • República Dominicana en el Diálogo de Gobernanza de Datos: avances y brechas

    República Dominicana en el Diálogo de Gobernanza de Datos: avances y brechas

    República Dominicana participó en un Diálogo de Gobernanza de Datos donde presentó sus avances institucionales e identificó oportunidades de mejora en la gestión pública del dato. El ejercicio, según se informó, sirvió como diagnóstico comparativo entre pares regionales y marca un punto de inflexión para el país en su trayectoria hacia un marco formal de gobernanza.

    La gobernanza de datos en el sector público no es un concepto abstracto: se trata de definir quién es responsable de cada dato, bajo qué reglas se recopila y comparte, y qué mecanismos garantizan su calidad e integridad a lo largo del tiempo. En el marco de los diálogos regionales —espacios promovidos por organismos multilaterales para que los Estados intercambien experiencias y se evalúen contra estándares comunes—, República Dominicana expuso tanto lo que ya tiene construido como lo que aún le falta consolidar.

    Qué presentó República Dominicana y qué reveló el diagnóstico

    Según se informó, la delegación dominicana expuso avances en la articulación de instancias de coordinación interinstitucional para el manejo de datos gubernamentales. Entre los logros destacados figuran iniciativas de digitalización de registros y esfuerzos por estandarizar formatos de datos entre organismos del Estado. Sin embargo, el propio ejercicio de diálogo dejó en evidencia brechas persistentes: ausencia de un catálogo de datos oficial, falta de roles formalizados de data stewardship en las entidades públicas, y marcos de calidad del dato que aún operan de manera ad hoc.

    Este tipo de diagnóstico se alinea con la metodología del DAMA-DMBOK, que estructura la gobernanza de datos en once áreas de conocimiento —desde la arquitectura hasta la seguridad y la calidad— y permite a los países o instituciones identificar en qué nivel de madurez se encuentran en cada dimensión. El reconocimiento explícito de oportunidades, más que de déficits, sugiere que República Dominicana adoptó en el diálogo un enfoque de madurez progresiva antes que de cumplimiento estricto.

    Por qué los diálogos regionales importan más allá del protocolo diplomático

    Los espacios de diálogo de gobernanza de datos entre Estados tienen una función técnica concreta: fuerzan a los gobiernos a traducir sus capacidades reales en indicadores comparables. En América Latina, donde la mayoría de los países carece de una ley específica de gobernanza de datos del sector público, estos foros funcionan como sustitutos parciales de los marcos regulatorios. Colombia avanza con su Política Nacional de Explotación de Datos (CONPES 3920), Chile opera bajo el impulso de su Agenda de Transformación Digital, y Brasil consolida su ecosistema alrededor de la Lei Geral de Proteção de Dados (LGPD) con creciente presión sobre el sector público para que gestione datos con trazabilidad y accountability.

    República Dominicana, que cuenta con la Ley 172-13 de Protección de Datos Personales —una de las más antiguas de la región, aunque con actualización pendiente—, enfrenta el desafío de articular esa normativa de privacidad con una capa superior de gobernanza que regule cómo el Estado clasifica, comparte e interopera datos entre sus propias instituciones. El diálogo expuso justamente esa tensión: tener legislación de privacidad no equivale a tener gobernanza de datos.

    Cuándo aplica este modelo de diálogo — y cuándo no

    Los diálogos de gobernanza de datos son útiles cuando un país se encuentra en las fases iniciales o intermedias de madurez institucional y necesita benchmarking externo para priorizar inversiones. Son menos eficaces cuando no existe un mandato político claro detrás de los compromisos que se asumen en esos foros: sin autoridad central con poder de coordinación —un Chief Data Officer nacional o una agencia equivalente—, los diagnósticos quedan en papel. El modelo funciona mejor cuando los resultados del diálogo alimentan planes de acción con responsables nominados, presupuesto asignado y plazos concretos.

    En el contexto caribeño y centroamericano, República Dominicana tiene la oportunidad de posicionarse como referente subregional si convierte las oportunidades identificadas en este diálogo en una hoja de ruta pública. Eso requiere, como mínimo, formalizar la figura del data steward en al menos los ministerios con mayor volumen de datos ciudadanos —salud, hacienda, registros civiles— y establecer un inventario de activos de datos con nivel de clasificación y propietario asignado.

    El eslabón que conecta el diálogo con la acción: ownership y catálogo

    La brecha más frecuente que revelan estos ejercicios comparativos no es tecnológica sino organizacional: los datos existen, pero nadie es formalmente responsable de su calidad. Sin un marco de data ownership —siguiendo el enfoque Non-Invasive Data Governance de Bob Seiner, que asigna responsabilidades a quienes ya usan los datos en lugar de crear estructuras paralelas—, los avances técnicos quedan desconectados de la rendición de cuentas. Un catálogo de datos gubernamental, aunque sea básico, es el primer artefacto que transforma el diálogo en gestión.

    Los países que convierten sus brechas en hojas de ruta con nombres y fechas avanzan; los que las dejan como “oportunidades identificadas” vuelven al próximo diálogo con el mismo diagnóstico. El texto completo de los compromisos asumidos por República Dominicana en este diálogo —incluyendo plazos y responsables— debería ser de acceso público para que el ejercicio tenga valor real de accountability.

  • California intima a OpenAI con citación judicial por prácticas de ciberseguridad

    California intima a OpenAI con citación judicial por prácticas de ciberseguridad

    El fiscal general de California, Rob Bonta, notificó a OpenAI una citación investigativa formal en el marco de una investigación en curso sobre sus prácticas de ciberseguridad. La acción se produjo un día después de que trascendiera que la Comisión Federal de Comercio (FTC) de Estados Unidos evalúa escalar su propia pesquisa sobre OpenAI y otras compañías de inteligencia artificial.

    Según informó la IAPP, la Fiscalía General de California —dependiente del Departamento de Justicia del estado— avanzó con la citación como parte de una investigación que ya venía siguiendo las prácticas de seguridad de la empresa. La herramienta legal permite al fiscal general requerir documentación e información que la compañía está obligada a entregar. Los detalles del alcance específico de la citación no fueron divulgados en su totalidad al momento del informe.

    Dos frentes regulatorios simultáneos para OpenAI

    La coincidencia temporal entre la citación californiana y los reportes sobre la FTC no es menor: señala que OpenAI enfrenta escrutinio regulatorio en paralelo a nivel estatal y federal. El fiscal Bonta no detalló públicamente qué incidentes de ciberseguridad motivaron la profundización de la investigación, pero el contexto es el de un aumento sostenido de notificaciones de incidentes de ciberseguridad vinculadas a grandes compañías de IA, según la misma fuente.

    Qué se sabe y qué falta confirmar

    Lo confirmado: la citación fue emitida, OpenAI fue notificada, y la investigación de la Fiscalía californiana estaba activa con anterioridad a este paso. Lo que no ha sido verificado públicamente: cuáles son los incidentes de ciberseguridad específicos bajo escrutinio, si existe coordinación formal entre la FTC y la fiscalía estatal, y si otros desarrolladores de IA recibieron citaciones similares del mismo organismo. La IAPP, que reprodujo la información, tampoco confirmó la existencia de un incidente de exfiltración de datos.

    Para América Latina, el caso tiene resonancia directa. OpenAI opera en la región y procesa datos de usuarios en países con marcos de protección vigentes: la Ley 25.326 en Argentina —cuya autoridad de aplicación es la AAIP—, la LGPD en Brasil bajo supervisión de la ANPD, y la LFPDPPP en México bajo la órbita del INAI. Una citación de esta naturaleza en California puede desencadenar solicitudes de información de autoridades latinoamericanas bajo sus propios marcos de notificación e investigación, aunque ese paso aún no ha sido reportado.

    El próximo hito a seguir es la respuesta formal de OpenAI a la citación californiana, cuyo plazo no fue divulgado públicamente, y la eventual confirmación o archivo del proceso de la FTC.

  • Progress adquiere Domo: qué implica para la gobernanza de datos en LATAM

    Progress adquiere Domo: qué implica para la gobernanza de datos en LATAM

    Progress Software anunció la adquisición de Domo, la plataforma de business intelligence y analítica en la nube, en un movimiento que reordena el mercado de gobernanza de datos e inteligencia artificial para empresas en América Latina. La operación consolida capacidades de integración de datos, catálogo y analítica bajo un mismo stack, con consecuencias directas para los equipos de gobierno de datos que ya operan con alguna de las dos plataformas.

    Progress Software es conocida en la región por sus herramientas de integración y gestión de datos —entre ellas DataDirect y Telerik—, mientras que Domo construyó su posicionamiento sobre la promesa de llevar datos operacionales a ejecutivos sin intermediación técnica. La combinación apunta a cerrar la brecha que habitualmente existe entre la capa de gobierno de datos (ownership, calidad, linaje) y la capa de consumo (dashboards, alertas, decisiones). Para un Chief Data Officer, eso es tanto una oportunidad como un riesgo de consolidación de proveedor.

    Qué cambia en el stack de gobierno de datos

    Desde la perspectiva del DAMA-DMBOK, la gobernanza de datos abarca once áreas de conocimiento que van desde la arquitectura hasta la calidad y la seguridad. Históricamente, Domo ocupaba el extremo de consumo —visualización y distribución de métricas—, mientras que Progress cubría la integración y el movimiento de datos. La adquisición sugiere una estrategia para construir un pipeline end-to-end: ingestión, transformación, catálogo semántico y presentación, todo bajo un contrato de licenciamiento único. Para los equipos que trabajan con frameworks del EDM Council (DCAM o CDMC), esto implica revisar las capabilities de data integration (nivel 3 del CDMC) y data publication (nivel 5), que ahora podrían cubrirse con un solo proveedor en lugar de dos.

    El componente de inteligencia artificial también es relevante. Domo ha desarrollado funcionalidades de IA generativa para análisis conversacional —el usuario pregunta en lenguaje natural y el sistema devuelve gráficos o cifras—, una tendencia que Progress quiere amplificar dentro de su ecosistema. El desafío de gobernanza aquí es concreto: cuando un modelo de lenguaje genera una respuesta basada en datos operacionales, ¿quién es el data steward responsable de validar que el output sea correcto y no derive de datos mal clasificados o desactualizados?

    Cuándo aplica este cambio — y cuándo no

    La adquisición es directamente relevante para organizaciones que ya usan Domo como plataforma de BI corporativa y tienen contrato activo con Progress para integración. En ese escenario, los equipos de gobierno de datos deben anticipar cambios en los Service Level Agreements, en los esquemas de licenciamiento y en la hoja de ruta de producto —decisiones que suelen tomarse sin consultar al área de datos. Para empresas que no usan ninguna de las dos plataformas, el impacto inmediato es menor, aunque el movimiento señala una tendencia de consolidación que también está ocurriendo con Salesforce-Tableau, Microsoft-Fabric y Google-Looker: el mercado de BI independiente se contrae. Las organizaciones con estrategia multi-vendor deberán revisar si ese modelo sigue siendo sostenible en un ecosistema cada vez más integrado verticalmente.

    El ángulo regulatorio en Argentina, Brasil y México

    Para las empresas de la región, la consolidación de plataformas de datos en manos de un único proveedor estadounidense tiene implicancias que van más allá de la tecnología. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) exige que las organizaciones mantengan registros de las operaciones de tratamiento y puedan identificar qué datos personales residen en qué sistema. Si Domo almacena o procesa datos de clientes o empleados brasileños, la migración o integración de plataformas post-adquisición activa obligaciones de actualización del Registro de Operações de Tratamento y, potencialmente, nuevas cláusulas contractuales con el operador. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) supervisa el cumplimiento de la Ley 25.326; los responsables de datos deben notificar cambios en los encargados de tratamiento cuando estos involucran transferencia internacional. En México, la LFPDPPP impone obligaciones similares de aviso de privacidad actualizado ante cambios en subencargados. El CDO no puede tratar esta adquisición como un tema puramente de IT.

    Cuatro decisiones concretas que no pueden esperar

    • Auditar el inventario de datos que reside en Domo: qué datasets contienen datos personales, bajo qué base legal y con qué controles de acceso activos.
    • Revisar los contratos de Data Processing Agreement (DPA) vigentes con Domo y verificar si la adquisición por Progress activa cláusulas de cambio de control que requieran consentimiento del cliente.
    • Identificar al data steward responsable de cada dominio de datos expuesto en Domo y confirmar que el linaje (data lineage) hacia las fuentes originales esté documentado en el catálogo corporativo, independientemente del proveedor.
    • Evaluar la estrategia de IA conversacional de la plataforma combinada: si el nuevo stack va a permitir que usuarios de negocio interroguen datos en lenguaje natural, se necesitan políticas de uso aceptable y controles de calidad de output antes del despliegue.

    El marco Non-Invasive Data Governance de Bob Seiner es útil aquí: la gobernanza efectiva no depende de qué herramienta usa el negocio, sino de que los roles, responsabilidades y políticas estén definidos por encima del stack tecnológico. Una adquisición cambia el proveedor; no cambia la necesidad de ownership claro sobre cada dato crítico.

    Las consolidaciones de plataformas BI aceleran una pregunta que muchos CDOs de la región todavía no respondieron: ¿qué datos críticos del negocio existen únicamente dentro de un SaaS de tercero, sin linaje documentado ni ownership formal? Esa respuesta no puede depender de que llegue un comunicado de adquisición para buscarse.

  • Aeroméxico alerta sobre posible filtración de datos de clientes

    Aeroméxico alerta sobre posible filtración de datos de clientes

    Aeroméxico emitió una alerta dirigida a sus clientes ante la posible exposición de datos personales, según se informó el 2 de octubre de 2025. La aerolínea mexicana, una de las mayores de América Latina, no ha confirmado el alcance exacto del incidente ni el número de registros comprometidos.

    La compañía notificó a sus usuarios sobre un posible incidente de seguridad que habría derivado en la exposición de información personal. Según se informó, entre los datos que podrían estar afectados figuran nombre completo, dirección de correo electrónico, número telefónico y, potencialmente, información vinculada al programa de viajero frecuente Club Premier. Aeroméxico no precisó la fecha exacta en que detectó el incidente ni el vector de ataque utilizado. La información se conoció a través de comunicaciones enviadas a clientes y fue amplificada por medios especializados en la región.

    Datos confirmados y puntos sin verificar

    • Actor afectado: Aeroméxico, aerolínea de bandera mexicana con operaciones en toda la región.
    • Tipo de datos en riesgo: nombre, correo electrónico, teléfono y posiblemente datos del programa Club Premier, según se informó.
    • Origen del incidente: no confirmado públicamente por la empresa al momento de esta publicación.
    • Número de registros afectados: sin cifra oficial disponible.
    • Fecha de detección interna: no divulgada.

    Lo que permanece sin verificar es si el incidente involucra a un tercero proveedor o si la brecha se originó en sistemas propios de la aerolínea. Tampoco hay confirmación sobre si los datos ya circulan en foros de acceso no autorizado. Aeroméxico no publicó, hasta el cierre de esta nota, un comunicado oficial con los detalles técnicos del evento ni mencionó si contrató servicios forenses externos para la investigación.

    Marco legal aplicable: LFPDPPP y plazos del INAI

    En México, el incidente activa obligaciones precisas bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento. Aeroméxico, como responsable del tratamiento, está obligada a notificar a los titulares afectados de forma inmediata y en lenguaje comprensible, conforme al artículo 20 de esa ley. Además, debe evaluar si el incidente debe reportarse al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), autoridad de control en México. El INAI puede iniciar un procedimiento de verificación de oficio si determina que la empresa no cumplió con los estándares de seguridad exigidos por el artículo 19 de la LFPDPPP, que obliga a implementar medidas administrativas, técnicas y físicas adecuadas al nivel de riesgo de los datos tratados. Para una aerolínea que procesa volúmenes significativos de datos de viajeros —incluyendo información de pagos e itinerarios— el estándar de cuidado exigido es elevado. En Colombia, Argentina y Brasil, incidentes análogos han generado investigaciones formales de las autoridades sectoriales: la SIC, la AAIP y la ANPD, respectivamente, han ampliado en los últimos dos años su capacidad de respuesta ante brechas en el sector transporte y turismo.

    El próximo hito crítico es la notificación formal al INAI: si Aeroméxico no acredita haber comunicado el incidente a los titulares y a la autoridad en los plazos que establece la LFPDPPP, queda expuesta a un procedimiento sancionatorio que puede derivar en multa y medidas correctivas de cumplimiento obligatorio.

  • Juez federal permite avanzar demanda contra vigilancia de redes del gobierno Trump

    Juez federal permite avanzar demanda contra vigilancia de redes del gobierno Trump

    Un juez federal de Nueva York rechazó el intento del gobierno de Estados Unidos de desestimar una demanda por vigilancia masiva de redes sociales dirigida a no ciudadanos. El fallo del 1° de octubre de 2026 permite que el caso avance y lo reconoce como una amenaza directa a los derechos de libre expresión y asociación protegidos por la Primera Enmienda.

    El juez Alvin K. Hellerstein, del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Nueva York, rechazó la moción de desestimación presentada por los Departamentos de Estado y Seguridad Nacional. La demanda fue iniciada en octubre de 2025 por tres sindicatos —United Automobile Workers (UAW), Communications Workers of America (CWA) y American Federation of Teachers (AFT)— con representación de la Electronic Frontier Foundation (EFF), Muslim Advocates y la Media Freedom & Information Access Clinic (MFIA).

    El programa de vigilancia: IA sobre titulares de visa y green card

    Según se informó en la demanda, la administración Trump construyó un programa de vigilancia masiva que monitorea las cuentas de redes sociales de personas con visa o residencia permanente en Estados Unidos. El sistema emplea inteligencia artificial y tecnologías automatizadas para identificar expresiones de opinión consideradas “desfavorables” por el gobierno, con el objetivo de derivar esas detecciones hacia procesos migratorios adversos. La presión no se limita a los titulares directos: el tribunal reconoció que el efecto disuasivo alcanza también a familiares y comunidades vinculadas.

    El juez Hellerstein sostuvo que la amenaza de consecuencias migratorias negativas —en un contexto de enforcement migratorio ampliamente publicitado— es “suficiente para disuadir a una persona de firmeza ordinaria del ejercicio de sus derechos bajo la Primera Enmienda”. El fallo también reconoció que el programa afecta la función representativa de los sindicatos al silenciar a sus miembros y alejarlos de la membresía activa.

    Datos confirmados al 1° de octubre de 2026

    • Fecha del fallo: 1° de octubre de 2026, Tribunal del Distrito Sur de Nueva York.
    • Demandantes: UAW, CWA y AFT, representados por EFF, Muslim Advocates y MFIA.
    • Demandados: Departamento de Estado y Departamento de Seguridad Nacional de EE.UU.
    • Motivo rechazado: moción de desestimación presentada por el gobierno federal.
    • Población bajo vigilancia: titulares de visa y green card en territorio estadounidense.
    • Tecnología involucrada: IA y sistemas automatizados de análisis de redes sociales, según se describió en la demanda.

    El caso aún no resolvió el fondo: el rechazo a la moción de desestimación solo habilita la continuación del proceso. Las audiencias sobre el mérito de las acusaciones están pendientes de agenda. Lo que el fallo sí establece con firmeza es que las organizaciones demandantes tienen legitimación para litigar tanto el daño a sus miembros como el impacto institucional sobre su capacidad de organización.

    El escenario tiene resonancias directas para América Latina. Millones de ciudadanos de la región —mexicanos, centroamericanos, sudamericanos— residen en Estados Unidos bajo distintos estatus migratorios y son, por definición, sujetos potenciales del programa de vigilancia. En países como México, donde la LFPDPPP no tiene alcance extraterritorial efectivo, o en Argentina, cuya Ley 25.326 tampoco proyecta jurisdicción sobre tratamientos realizados íntegramente en suelo estadounidense, estos ciudadanos quedan desprotegidos por sus propios marcos normativos. La demanda no les otorga derechos directos, pero su avance judicial genera un antecedente que organizaciones de la sociedad civil en la región ya monitorean como referencia de litigio estratégico.

    El próximo hito será la fijación del calendario procesal para las audiencias de fondo; hasta entonces, el programa de vigilancia continúa operativo.

  • La ley antipiratería de EE.UU. que pondría a los VPN en la mira

    La ley antipiratería de EE.UU. que pondría a los VPN en la mira

    El representante Darrell Issa (R-CA) introdujo la American Copyright Protection Act (ACPA, H.R. 10364), un proyecto que amplía la doctrina de bloqueo de sitios web en Estados Unidos hasta un punto sin precedentes: por primera vez, los proveedores de VPN quedarían explícitamente obligados a impedir que sus usuarios accedan a sitios extranjeros catalogados como fuentes de piratería. La Electronic Frontier Foundation (EFF) advirtió que el mecanismo puede operar sin que el sitio acusado tenga siquiera la oportunidad de defenderse ante un tribunal.

    El núcleo del proyecto es sencillo y, por eso mismo, preocupante: un titular de derechos de autor puede solicitar a un tribunal que catalogue un sitio web extranjero como “foreign piracy site”. Una vez obtenida esa designación, puede exigir órdenes judiciales a proveedores de servicios de internet, proveedores de DNS y, ahora explícitamente, proveedores de VPN para que adopten “medidas comercialmente razonables” que bloqueen el acceso desde territorio estadounidense. El proceso puede completarse sin notificación al sitio afectado, lo que elimina el derecho de defensa como garantía efectiva.

    H.R. 10364 va más lejos que la FADPA de 2025 en tres puntos clave

    La ACPA tiene un antecedente directo: la Foreign Anti-Digital Piracy Act (FADPA), introducida el año pasado y también cuestionada por la EFF. Pero la nueva propuesta elimina dos salvaguardas que la FADPA al menos incluía: la exclusión de empresas que proveen únicamente servicios VPN, y la exclusión de proveedores que ofrecen resolución DNS exclusivamente a través de protocolos cifrados. Ambas protecciones desaparecen en el texto de la ACPA. Además, la definición de “piracy site” se amplía: la FADPA exigía que el sitio no tuviera “ningún propósito o uso comercialmente significativo” más allá de la infracción; la ACPA lo reformula como “solo un propósito o uso comercialmente significativo limitado”. Con esa redacción, una plataforma con actividad legítima podría igualmente ser bloqueada para todos los usuarios estadounidenses.

    Por qué el bloqueo por DNS y VPN compromete infraestructura crítica

    El bloqueo a nivel de DNS y VPN no es quirúrgico. Cuando un proveedor de DNS bloquea un dominio, lo hace para todos sus usuarios, incluyendo aquellos que acceden con fines perfectamente lícitos. Los proveedores de VPN, por su parte, construyen su propuesta de valor sobre la promesa de no interferir en el tráfico del usuario. Obligarlos legalmente a filtrar destinos convierte a la herramienta de privacidad en un instrumento de control de contenidos. Investigadores, periodistas y activistas que dependen de VPN para proteger sus comunicaciones quedarían sujetos a las mismas restricciones que cualquier servicio de consumo masivo.

    El modelo de bloqueo judicial sin contradictorio y su resonancia en Brasil, Argentina y México

    El mecanismo que habilita la ACPA, bloqueo sin audiencia previa del sitio afectado, no es ajeno a América Latina, aunque los contextos son distintos. En Brasil, el Marco Civil da Internet (Ley 12.965/2014) establece que la remoción de contenidos solo puede ordenarse judicialmente, con notificación al proveedor y, en principio, al responsable del contenido. Sin embargo, la práctica de bloqueos por orden judicial sin audiencia plena al afectado ha sido documentada en casos de piratería y juego en línea. En Argentina, la Ley 26.032 protege la difusión de información por internet como ejercicio de la libertad de expresión, y los bloqueos masivos han sido cuestionados judicialmente. México carece de una ley específica de bloqueo de contenidos, pero el artículo 229 de la Ley Federal del Derecho de Autor, reformada en el marco del T-MEC, incorporó mecanismos de retirada de contenido que los operadores de telecomunicaciones deben implementar bajo supervisión del Instituto Federal de Telecomunicaciones (IFT). Si la ACPA se convierte en ley, su extraterritorialidad potencial —al afectar a servicios de VPN que operan con servidores y usuarios en LATAM— podría generar conflictos de jurisdicción con estas normativas locales.

    Efecto extraterritorial: qué significa para proveedores de VPN con operaciones en América Latina

    Muchos de los proveedores de VPN más utilizados en la región —NordVPN, ExpressVPN, Proton VPN— tienen usuarios y en varios casos infraestructura en América Latina, pero están sujetos a la ley del país donde están incorporados o donde prestan el servicio al usuario estadounidense. Una empresa de VPN que opere bajo jurisdicción de EE.UU. o que preste servicios a usuarios en ese país quedaría directamente alcanzada por la ACPA. Para proveedores con sede fuera de EE.UU., la presión podría llegar de forma indirecta: a través de tiendas de aplicaciones, procesadores de pago o acuerdos comerciales. El precedente normativo que genera la ACPA también podría animar a legisladores de la región a introducir marcos similares bajo el argumento de combatir la piratería digital.

    Qué monitorear en el trámite legislativo de H.R. 10364

    El proyecto fue introducido en la Cámara de Representantes y deberá atravesar el proceso de comités antes de avanzar. La EFF anunció su oposición al texto actual. Los puntos de mayor tensión en el debate serán la inclusión explícita de VPN, la eliminación del requisito de notificación al sitio acusado, y la nueva definición ampliada de “piracy site”. Organizaciones de libertad de prensa y grupos de privacidad digital —incluyendo la Internet Society y Access Now, con presencia activa en LATAM— podrían sumarse a la presión contra el proyecto. El Congreso también tiene pendiente una discusión más amplia sobre el equilibrio entre derechos de autor y libre acceso a la información, un debate que SOPA y PIPA ya plantearon en 2012 sin resolución duradera.

    Nuestro análisis

    La ACPA representa una escalada deliberada respecto de todos los proyectos de bloqueo anteriores. Incorporar a los proveedores de VPN no es un detalle técnico: es una declaración sobre qué herramientas de privacidad el legislador está dispuesto a subordinar al interés de los titulares de derechos de autor. La eliminación de la exclusión para VPN y DNS cifrado invierte la carga: en lugar de demostrar que el servicio participa activamente en la infracción, basta con que el tráfico de sus usuarios pueda llegar a un sitio designado. Ese estándar es incompatible con la naturaleza de una red privada virtual. Para América Latina, el riesgo no es solo el efecto de arrastre sobre proveedores con usuarios en la región —que es real—, sino el valor de señal que tiene un marco como este para legisladores locales que buscan modelos exportables de control de contenidos bajo el rótulo de protección de la propiedad intelectual.

    Si la ACPA prospera, la pregunta no será si los VPN pueden sobrevivir como herramienta de privacidad bajo ese régimen, sino cuántos otros marcos regionales adoptarán su lógica de bloqueo sin contradictorio como plantilla.

  • Ciberataques potenciados por IA: identidad y gobernanza de datos como primera línea

    Ciberataques potenciados por IA: identidad y gobernanza de datos como primera línea

    Cuando los atacantes usan inteligencia artificial para automatizar y escalar sus ofensivas, la gobernanza de datos deja de ser un asunto de cumplimiento y se convierte en infraestructura defensiva. Así lo plantea Microsoft en su análisis más reciente sobre el panorama de amenazas: sin saber qué datos existen, dónde están y quién puede acceder a ellos, cualquier control de seguridad queda ciego.

    La premisa es operativa antes que filosófica. Los modelos de lenguaje y las herramientas de automatización ofensiva permiten a los atacantes enumerar superficies de ataque, generar credenciales falsas y moverse lateralmente a una velocidad que supera la capacidad de respuesta humana. En ese escenario, la identidad —quién es quién en el ecosistema digital de una organización— y el gobierno del dato —qué activos existen y bajo qué reglas se accede a ellos— se convierten en los dos vectores que determinan si una intrusión escala o se contiene.

    Por qué la gobernanza de datos es el problema de seguridad que nadie nombra

    Un ataque potenciado por IA no inventa vulnerabilidades nuevas: las explota más rápido. Si una organización no tiene un catálogo de datos actualizado —es decir, no sabe qué información sensible existe ni quién tiene permisos sobre ella—, un atacante que compromete una cuenta privilegiada puede exfiltrar activos críticos antes de que se active cualquier alerta. La gobernanza de datos, en términos de DAMA-DMBOK, es exactamente lo que evita ese punto ciego: clasificación de activos, definición de ownership, control de acceso basado en el nivel de sensibilidad del dato y data lineage que permita rastrear qué se movió y hacia dónde.

    El data steward —el rol responsable de definir reglas de uso y calidad sobre dominios específicos de datos— cobra aquí una función que trasciende el compliance. En un entorno donde la IA ofensiva puede identificar en segundos qué tablas de una base de datos contienen registros de alto valor, tener un steward que mantenga actualizada la clasificación de sensibilidad es una decisión de gestión de riesgo, no una formalidad de auditoría.

    Identidad: el vector que amplifica o neutraliza el daño

    El control de identidad es el complemento necesario. Sin una arquitectura robusta de gestión de identidades y accesos —incluyendo privilegios mínimos, revisiones periódicas de permisos y detección de anomalías de comportamiento—, la mejor clasificación de datos no impide que una cuenta comprometida acceda a activos que no debería tocar. La IA ofensiva es especialmente efectiva en el abuso de identidades: puede generar campañas de phishing hiperpersonalizadas, explotar tokens de sesión y escalar privilegios de formas que los sistemas de detección convencionales no anticipan.

    El vínculo entre identidad y gobierno del dato no es metafórico. En términos del marco DCAM del EDM Council, la capability de seguridad y privacidad del dato requiere que los controles de acceso estén alineados con la clasificación del activo: un dato catalogado como “restringido” debería activar automáticamente políticas de acceso más estrictas en el directorio de identidades. Cuando esa alineación no existe, la brecha entre lo que dice el catálogo y lo que permite el sistema de permisos es exactamente el espacio que un atacante con IA puede explotar.

    Cuándo aplica / cuándo NO este enfoque

    Este marco de defensa es relevante para organizaciones que ya tienen una superficie de datos significativa —múltiples fuentes, entornos híbridos, usuarios con distintos niveles de privilegio— y que enfrentan adversarios con capacidad de automatizar reconocimiento y movimiento lateral. No es la solución prioritaria para una pequeña empresa con un único sistema central y accesos controlados manualmente: en ese caso, los controles de identidad básicos y el backup seguro siguen siendo la inversión más eficiente. La gobernanza de datos como vector defensivo escala en importancia directamente con la complejidad del ecosistema de datos y el valor de los activos expuestos.

    El estado del arte en América Latina: regulación que empuja en la misma dirección

    En la región, varios marcos regulatorios están generando presión convergente. La Lei Geral de Proteção de Dados (LGPD) de Brasil exige que las organizaciones implementen medidas técnicas y administrativas para proteger datos personales, lo que incluye controles de acceso y clasificación. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha actualizado sus lineamientos de seguridad exigiendo que los responsables de tratamiento documenten las medidas adoptadas para proteger los datos que tratan. En México, la LFPDPPP —y su reglamento— requieren que los encargados del tratamiento mantengan un inventario de los datos que procesan. Ninguna de estas normas menciona explícitamente “catálogo de datos” o “data steward”, pero todas presuponen capacidades de gobierno del dato para poder cumplirse. Las organizaciones que construyen esas capacidades para defenderse de ataques de IA también están, en paralelo, avanzando en su madurez regulatoria.

    Para un Chief Data Officer o Data Governance Manager en la región, la conversación sobre ciberataques potenciados por IA es una oportunidad concreta: inventariar qué activos de datos de alto valor existen y si su clasificación está actualizada en el catálogo corporativo; revisar si los permisos de acceso en el directorio de identidades son consistentes con esa clasificación; y validar si los data stewards de cada dominio tienen visibilidad sobre quién accede a los datos bajo su ownership. Esas tres acciones son el punto de partida mínimo recomendado por frameworks como CDMC del EDM Council para organizaciones que operan en entornos de amenaza elevada.

    Para profundizar en los principios de clasificación y control de acceso a datos, el DAMA-DMBOK 2 (capítulos de Data Security y Data Governance) y el marco CDMC del EDM Council ofrecen las guías de referencia más completas disponibles para equipos de gobierno de datos en entornos corporativos.

  • Data lineage en reportes financieros: el problema que nadie ve hasta que es tarde

    Data lineage en reportes financieros: el problema que nadie ve hasta que es tarde

    Los reportes financieros de las organizaciones son tan confiables como el linaje de los datos que los alimentan. Cuando ese linaje está roto o es invisible, los equipos de finanzas y auditoría firman cifras que nadie puede rastrear hasta su origen, y las consecuencias —regulatorias y reputacionales— son predecibles.

    El data lineage, o linaje de datos, es el registro completo de cómo un dato nació, qué transformaciones sufrió y adónde fue a parar. En el contexto de reportes financieros, eso significa poder responder con precisión: este número que aparece en el balance, ¿vino de qué sistema fuente?, ¿pasó por qué reglas de transformación?, ¿quién lo aprobó y cuándo? Sin esa trazabilidad, el proceso de cierre contable y los informes regulatorios descansan sobre suposiciones.

    Por qué los reportes financieros son el caso de prueba más exigente del linaje

    Las áreas de finanzas suelen operar con datos que atraviesan docenas de sistemas: ERPs, plataformas de consolidación, hojas de cálculo intermedias, herramientas de BI y, cada vez más, pipelines de datos en la nube. Cada salto entre sistemas es un punto donde el linaje puede romperse. El problema no es solo técnico: cuando un analista no puede explicar de dónde viene un número, el auditor externo tampoco puede validarlo, y el regulador —si pide explicaciones— encontrará un vacío.

    Según el marco DAMA-DMBOK, el linaje es una de las capacidades nucleares de la gestión de metadatos. Sin embargo, en la práctica, muchas organizaciones documentan el linaje de sus datos maestros o de sus dimensiones analíticas, pero descuidan el linaje de los datos financieros que alimentan reportes de cierre, informes a reguladores bancarios o estados contables auditados. La brecha entre ambos mundos —data governance y finanzas— es el punto ciego más frecuente.

    El riesgo concreto: restatements, multas y pérdida de control del CDO

    Cuando una compañía debe corregir un reporte financiero ya publicado —lo que en el mercado de capitales se conoce como restatement— una causa frecuente es la incapacidad de rastrear errores de transformación en los datos. Sin linaje documentado, encontrar el origen del error puede tomar semanas. Con linaje automatizado, puede tomar horas. La diferencia entre ambos escenarios, en términos de exposición regulatoria y costo operativo, es sustancial.

    En el ecosistema de data governance, el EDM Council —a través de su marco CDMC (Cloud Data Management Capabilities)— incluye explícitamente la trazabilidad de datos financieros como parte de las capacidades de nivel avanzado. Las organizaciones que operan sin esa trazabilidad pueden cumplir con los primeros niveles del framework pero quedarán expuestas en auditorías de madurez más exigentes.

    Cuándo aplica y cuándo no: alcance real del linaje en finanzas

    El linaje de datos financieros es crítico cuando: (a) la organización reporta a reguladores que exigen explicabilidad de las cifras —bancos centrales, comisiones de valores, superintendencias—; (b) los estados contables son auditados externamente y los auditores solicitan evidencia de los procesos de transformación; (c) la compañía opera en jurisdicciones con regímenes de reporte obligatorio de datos financieros, como los bancos sujetos a normas de Basilea III/IV. No aplica de la misma manera —aunque sí importa— en organizaciones pequeñas con sistemas únicos donde la transformación es mínima y la trazabilidad es evidente por diseño.

    • Reportes regulatorios ante bancos centrales o superintendencias
    • Consolidaciones contables que atraviesan múltiples entidades jurídicas
    • Auditorías externas que requieren evidencia de la cadena de transformación
    • Procesos de cierre mensual o trimestral con datos de múltiples fuentes

    El estado del linaje financiero en América Latina: brechas regulatorias concretas

    En la región, los reguladores financieros han avanzado en exigir calidad de datos pero rara vez prescriben lineaje como tal. El Banco Central de Brasil (BCB) ha incorporado en sus circulares de reporte requisitos de trazabilidad para datos de crédito e información prudencial, lo que obliga a los bancos a documentar el origen de sus cifras. En Argentina, la Comunicación A 8073 del BCRA establece controles sobre la integridad de la información financiera reportada, aunque sin un marco explícito de linaje. En México, la CNBV exige consistencia entre los estados financieros enviados y los datos internos, pero la responsabilidad de demostrar esa consistencia recae en las instituciones sin una metodología estándar definida.

    El resultado es una brecha común en la región: las instituciones financieras cumplen con los requerimientos de reporte, pero sin la infraestructura de linaje que permitiría responder a una pregunta de auditoría profunda en tiempo razonable. Muchos equipos de datos en bancos latinoamericanos documentan el linaje en herramientas como Collibra, Alation o Apache Atlas solo para los dominios de datos maestros, dejando fuera los pipelines de transformación financiera.

    Tres pasos concretos para cerrar la brecha

    El primer paso es mapear los dominios de datos que alimentan cada reporte regulatorio o estado contable, identificando los sistemas fuente, las reglas de transformación y los data stewards responsables de cada etapa. El segundo es extender el catálogo de datos existente —si lo hay— para incluir los pipelines financieros, no solo los dominios analíticos. El tercero, y frecuentemente el más difícil, es establecer acuerdos de ownership entre las áreas de datos y las de finanzas: el linaje financiero no puede ser responsabilidad exclusiva de IT ni de contabilidad; requiere un modelo de stewardship compartido, alineado con lo que Bob Seiner describe como Non-Invasive Data Governance: institucionalizar la responsabilidad sin crear una burocracia paralela.

    Los marcos DAMA-DMBOK y CDMC del EDM Council ofrecen guías detalladas sobre implementación de linaje en contextos regulados; las circulares del BCB y las comunicaciones del BCRA son el punto de partida para entender qué nivel de trazabilidad exige cada regulador en la región.

  • Tiendas de apps rivales en Google Play: antitrust que cambia el mercado Android

    Tiendas de apps rivales en Google Play: antitrust que cambia el mercado Android

    Una orden judicial derivada del litigio de Epic Games contra Google obliga a la compañía a permitir que tiendas de aplicaciones de terceros se distribuyan a través de Google Play y accedan a su catálogo. El cambio redefine la estructura de poder en el ecosistema Android y abre un debate que en América Latina tiene implicancias directas: ¿qué rol cumple la regulación de plataformas cuando el mercado falla por décadas?

    Durante años, la distribución de aplicaciones en Android estuvo sujeta a las reglas de un único guardián: Google. Los desarrolladores que querían llegar a la mayoría de los usuarios del sistema operativo móvil más usado del mundo tenían, en la práctica, una sola puerta de entrada. Epic Games, desarrolladora de Fortnite, decidió litigar contra ese modelo alegando violaciones a las leyes antimonopolio de Estados Unidos. El resultado fue una orden judicial que, desde octubre de 2025, ya está produciendo cambios visibles en el ecosistema.

    La orden judicial que forzó a Google a abrir el Play Store a competidores

    El fallo en el caso Epic Games v. Google impuso modificaciones sustanciales a las prácticas comerciales de la compañía. Entre los cambios más relevantes: las tiendas de aplicaciones rivales ahora pueden acceder al catálogo de Google Play y distribuirse a través de la misma plataforma. Además, los desarrolladores obtuvieron mayor libertad para dirigir a sus usuarios hacia sistemas de pago alternativos y canales de distribución propios, lo que rompe directamente con el modelo de comisiones obligatorias que Google imponía sobre las compras dentro de las aplicaciones. Según se informó, estos cambios comenzaron a ser perceptibles para los usuarios de Android durante el transcurso de 2025.

    La Electronic Frontier Foundation (EFF), organización de derechos digitales con sede en San Francisco, calificó el resultado como una victoria para la competencia y la aplicación de las normas antimonopolio, pero también subrayó una dimensión que suele quedar fuera del análisis económico: la posibilidad de que la competencia entre tiendas de apps derive en mejores estándares de privacidad y seguridad para los usuarios. Si Google no protege adecuadamente los datos de sus usuarios, argumenta la EFF, ahora existe la posibilidad real de migrar a una alternativa que sí lo haga.

    Antitrust digital en la UE, Brasil y México: tres velocidades distintas

    El caso Epic-Google no ocurre en un vacío regulatorio global. En la Unión Europea, la Ley de Mercados Digitales (DMA, por sus siglas en inglés) entró en vigor en 2023 y ya obliga a los guardianes de acceso —entre ellos Google y Apple— a permitir la carga lateral de aplicaciones y la interoperabilidad con tiendas de terceros. La diferencia clave es que en Europa el cambio llegó por vía legislativa, mientras que en Estados Unidos llegó por un litigio privado que duró años y cuyo alcance puede aún ser objeto de apelaciones.

    En América Latina, ningún país cuenta todavía con un equivalente al DMA. Brasil avanza en la regulación de plataformas digitales a través del Proyecto de Ley 2768/2022, conocido como el “PL das Plataformas”, pero su tramitación en el Congreso ha sido lenta y su texto actual no aborda de manera específica las condiciones de acceso a las tiendas de aplicaciones móviles. El Conselho Administrativo de Defesa Econômica (CADE), autoridad de competencia brasileña, ha investigado prácticas de grandes plataformas, pero sin resoluciones que hayan forzado cambios estructurales comparables a los del fallo estadounidense.

    México presenta una situación similar: la Comisión Federal de Competencia Económica (COFECE) tiene facultades para investigar prácticas monopólicas en mercados digitales, y en años recientes ha publicado estudios sobre la concentración en plataformas, pero sin acciones de remedio equivalentes al caso Epic. Colombia, por su parte, discute reformas a la Ley 1340 de 2009 —el marco de competencia vigente— que incluirían disposiciones para economías de plataforma, aunque sin fecha de aprobación concreta.

    Por qué la apertura de las tiendas de apps importa más allá de las comisiones

    El debate público suele enmarcarse en términos de comisiones: Google cobraba hasta un 30% sobre las compras dentro de las aplicaciones, lo que encarecía los servicios para desarrolladores y, en última instancia, para los consumidores. Pero la EFF señala una dimensión más profunda: el control monopólico sobre la distribución de aplicaciones equivale a control sobre qué expresión digital llega a los usuarios y en qué condiciones. Una tienda única puede remover aplicaciones, imponer restricciones de contenido o condicionar el acceso a criterios arbitrarios sin que el desarrollador tenga recurso alternativo.

    Para los usuarios latinoamericanos —que representan más del 90% de los usuarios de smartphones Android en la región, según datos de StatCounter correspondientes a 2024—, esto no es abstracto. La dependencia de un único canal de distribución afecta desde la disponibilidad de aplicaciones de gobierno abierto hasta la posibilidad de instalar herramientas de privacidad que Google podría tener incentivos para no promover. La apertura a competidores crea, al menos en teoría, un piso mínimo de pluralismo en la capa de distribución digital.

    Qué monitorear: apelaciones en EE.UU. y el avance del PL das Plataformas en Brasil

    El cambio en Google Play es real pero no necesariamente permanente. Google puede apelar aspectos del fallo o negociar modificaciones en el cumplimiento de la orden. Los equipos regulatorios y legales de empresas con operaciones en Android deben seguir de cerca la evolución del caso ante los tribunales de apelación del Noveno Circuito de Estados Unidos, que es la jurisdicción correspondiente. Mientras tanto, en América Latina, el foco de seguimiento más relevante es Brasil: si el PL das Plataformas avanza con disposiciones sobre interoperabilidad y acceso a marketplaces digitales, podría convertirse en el primer instrumento regional con impacto directo comparable al DMA europeo.

    Para las empresas que distribuyen aplicaciones en Android con ingresos en la región, la ventana práctica más inmediata está en revisar sus acuerdos de distribución con Google y explorar si las nuevas condiciones permiten reducir costos de comisión o diversificar canales. Los desarrolladores independientes latinoamericanos, que históricamente han absorbido las comisiones más altas sin poder negociar condiciones, son quienes más pueden ganar si la competencia entre tiendas efectivamente se consolida.

    Nuestro análisis

    El resultado del litigio Epic v. Google es un recordatorio incómodo para los legisladores latinoamericanos: los cambios estructurales en los mercados digitales concentrados pueden llegar por la vía judicial antes que por la legislativa, y cuando llegan así, son más lentos, más inciertos y tienen alcance jurisdiccional limitado. La Unión Europea eligió anticiparse con el DMA; Estados Unidos llegó al mismo destino por un camino más costoso. América Latina, salvo Brasil con su proyecto en discusión, todavía no eligió ninguno de los dos caminos con claridad.

    La pregunta que deben hacerse los reguladores de competencia en la región —CADE, COFECE, la SIC colombiana y sus pares— es si esperarán a que un litigio privado con años de duración produzca el resultado que la regulación proactiva podría generar en plazos más acotados. El modelo europeo ofrece evidencia de que los remedios estructurales anticipados son posibles. La voluntad política es, por ahora, la variable que falta.

    La apertura del Play Store a competidores es un hito antimonopolio relevante, pero su impacto en América Latina dependerá de si los reguladores regionales deciden ser actores o espectadores del cambio.