DataTrends LATAM

Autor: Redacción

  • El acuerdo de Meta con 52 estados puede silenciar el activismo juvenil en redes

    El acuerdo de Meta con 52 estados puede silenciar el activismo juvenil en redes

    Meta llegó a un acuerdo con 52 estados y territorios de Estados Unidos que impondrá límites diarios de dos horas, restricciones de contenido y verificación de edad para menores de 18 años en Instagram y Facebook. La Electronic Frontier Foundation advierte que estas medidas, presentadas como protección infantil, pueden desmantelar décadas de activismo juvenil digital — y su alcance normativo ya presiona a plataformas como TikTok y YouTube.

    El acuerdo, sellado mediante un fallo de consentimiento judicial, es uno de los movimientos regulatorios más amplios sobre redes sociales y menores en la historia reciente de Estados Unidos. Más allá de la retórica del bienestar infantil, el texto del acuerdo —ejecutado con la participación de fiscales generales de todo el país— instala una arquitectura de control que afecta directamente la capacidad de jóvenes menores de edad de organizarse, publicar y comunicarse en tiempo real.

    Dos décadas de organización juvenil en redes: de Parkland a Fridays for Future

    Jóvenes de entre 14 y 17 años han utilizado Instagram, Facebook, TikTok y YouTube como infraestructura política durante más de una década. Las movilizaciones estudiantiles tras el tiroteo en Parkland en 2018, las huelgas climáticas de Fridays for Future coordinadas globalmente y las protestas contra la brutalidad policial —documentadas en tiempo real— son ejemplos concretos de ese uso. En 2021, Darnella Frazier tenía 17 años cuando publicó en Facebook el video del asesinato de George Floyd, material que resultó decisivo en el juicio posterior. Esa capacidad de transmitir evidencia en tiempo real, desde un teléfono, por una menor de edad, quedaría severamente limitada bajo el nuevo esquema.

    El acuerdo con Meta fija un límite diario de dos horas de uso para cuentas de menores, junto con restricciones de contenido no especificadas en la fuente pero incluidas en el texto del fallo de consentimiento. Además, obliga a Meta a incorporar mecanismos de verificación de edad —age gating— en cada producto, y genera presión indirecta sobre plataformas que no son parte del acuerdo, como TikTok y YouTube, para adoptar medidas equivalentes.

    Age gating: qué significa en la práctica para un menor en Argentina, Brasil o México

    La verificación de edad no es un debate nuevo en América Latina. Argentina, Brasil y México cuentan con marcos normativos que abordan el tratamiento de datos de menores, aunque desde ángulos distintos. En Argentina, la Ley 25.326 y su decreto reglamentario exigen consentimiento parental para el tratamiento de datos de menores, y la Agencia de Acceso a la Información Pública (AAIP) ha emitido disposiciones sobre el punto. En Brasil, la Lei Geral de Proteção de Dados (LGPD) y la Lei 14.811 —promulgada en 2024— refuerzan la protección de niñas, niños y adolescentes en entornos digitales, incluyendo requisitos de verificación de edad para plataformas. En México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) no tiene aún una regulación específica equivalente, aunque el proyecto de reforma a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) contempla capítulos sobre menores.

    El problema práctico del age gating es que requiere verificar identidad. Para hacerlo de forma efectiva, las plataformas deben recopilar más datos personales —documentos, datos biométricos, información de los tutores— no menos. Esa paradoja no es menor: el instrumento diseñado para proteger la privacidad de los menores puede terminar incrementando la superficie de exposición de sus datos.

    Cuándo aplica el acuerdo y cuándo no

    El acuerdo Meta-estados aplica directamente a Instagram y Facebook bajo jurisdicción estadounidense. No tiene efecto jurídico directo en plataformas que operan bajo otras jurisdicciones, ni vincula automáticamente a TikTok o YouTube. Sin embargo, el efecto de arrastre es real: cuando Meta implementa verificación de edad a escala global —como parte de su infraestructura de producto— el cambio impacta a usuarios de toda la región. Plataformas que buscan evitar litigios similares en otros mercados tienden a adoptar estándares similares de forma preventiva, lo que convierte decisiones judiciales de un solo país en normas de facto para el ecosistema global.

    El acuerdo no aplica a plataformas fuera del perímetro de Meta ni a usos profesionales o periodísticos, aunque la frontera entre un menor que documenta un hecho de interés público y un “usuario menor de 18 años” sujeto a restricciones es exactamente el punto que la EFF señala como problemático: la regulación no distingue.

    La tensión entre protección y participación política: el argumento que los reguladores no resuelven

    La EFF sostiene que el acuerdo, aunque presentado bajo el objetivo de proteger a jóvenes de contenido dañino y de diseños adictivos, tiene como consecuencia no declarada restringir el acceso de menores a herramientas de organización política. Esa tensión —protección versus participación— no es nueva en el derecho de menores, pero adquiere una dimensión distinta cuando la plataforma que se regula es también el espacio público donde ocurre la movilización social contemporánea. En América Latina, donde las protestas juveniles han sido protagonistas en Chile (2019), Colombia (2021) y Brasil (2022-2023), esa tensión tiene consecuencias concretas.

    El texto completo del acuerdo está disponible en el sitio de la Fiscalía General de California; el análisis de la EFF puede consultarse en eff.org. La pregunta que ningún regulador respondió todavía es cómo una menor de 17 años con un teléfono documenta la historia si el algoritmo ya le cortó el acceso dos horas antes.

  • Buenos Aires lanza marco de gobernanza de datos bajo gestión Kicillof

    Buenos Aires lanza marco de gobernanza de datos bajo gestión Kicillof

    La provincia de Buenos Aires formalizó un nuevo marco de gobernanza de datos impulsado por la gestión del gobernador Axel Kicillof, que incluye también la actualización de su infraestructura tecnológica base. La iniciativa posiciona a la provincia más poblada de Argentina como la primera jurisdicción subnacional del país en adoptar un esquema estructurado de gestión de datos públicos, según se informó en medios locales el 16 de septiembre de 2025.

    El anuncio combina dos planos distintos pero complementarios: la modernización de sistemas operativos en dependencias provinciales —con migración hacia versiones actualizadas de Windows— y la creación de un marco normativo-institucional para ordenar cómo el Estado bonaerense recolecta, procesa, comparte y resguarda sus datos. La coexistencia de ambas medidas no es casual: sin una capa de infraestructura actualizada, cualquier política de gobernanza de datos corre el riesgo de quedar en papel.

    Qué contiene el marco bonaerense y qué organismos involucra

    Según se informó, el esquema abarca criterios de clasificación de datos, definición de roles de custodia y reglas de interoperabilidad entre organismos provinciales. La arquitectura propuesta establece responsabilidades diferenciadas por tipo de dato —con énfasis en datos sensibles de ciudadanos— y prevé mecanismos de auditoría interna. No se han publicado hasta el momento los textos técnicos completos ni los decretos específicos que le dan fuerza normativa al marco, por lo que el alcance preciso de las obligaciones que impone a cada organismo aún no puede verificarse de fuentes oficiales directas.

    Lo que sí resulta significativo es el nivel de gobierno que lidera la iniciativa: al emanar directamente del Ejecutivo provincial, el marco tiene potencial de impactar a más de 600 organismos y reparticiones del Estado bonaerense, incluyendo ministerios, entes autárquicos y organismos de recaudación como ARBA, que ya opera con grandes volúmenes de datos fiscales de personas físicas y jurídicas.

    Argentina en 2025: el vacío de gobernanza subnacional que esta medida empieza a cubrir

    A nivel nacional, Argentina no cuenta con una ley específica de gobernanza de datos públicos. La Ley 25.326 de Protección de Datos Personales regula el tratamiento de datos de personas físicas, pero no establece un esquema de gobierno del dato para el Estado como actor institucional. El Poder Ejecutivo Nacional avanzó con el Decreto 558/2022, que creó la Agencia de Acceso a la Información Pública (AAIP) como autoridad de aplicación, pero sin un marco de data governance que defina roles tipo data owner o data steward dentro de los organismos públicos. La iniciativa bonaerense cubre, al menos parcialmente, ese vacío a escala provincial.

    En paralelo, la Ciudad Autónoma de Buenos Aires viene desarrollando su propia arquitectura de datos a través de la Secretaría de Innovación y Transformación Digital, aunque sin un marco formal publicado con ese nombre. La provincia de Córdoba también tiene experiencia en interoperabilidad entre organismos, pero igualmente carece de un esquema codificado de gobernanza. Buenos Aires provincia se adelanta, al menos en términos de denominación institucional explícita.

    Marco comparado LATAM: Brasil, Chile y Colombia ya cuentan con referencia normativa nacional

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) obliga a los organismos públicos a designar un Encarregado de Dados —equivalente funcional del Data Protection Officer europeo— y establece bases legales específicas para el tratamiento de datos por parte del Estado. La Autoridade Nacional de Proteção de Dados (ANPD) viene desarrollando resoluciones que profundizan los requisitos de governance para el sector público federal, con un roadmap que incluye guías de gestión del ciclo de vida del dato. Lo que Buenos Aires anuncia como marco propio, Brasil lo viene construyendo con respaldo normativo federal desde 2020.

    En Chile, la Ley 21.663 de Protección de Datos Personales —promulgada en 2024 y en proceso de implementación gradual— incorpora obligaciones diferenciadas para organismos públicos, incluyendo la figura del Delegado de Protección de Datos. Colombia, por su parte, opera bajo la Ley 1581/2012 complementada por el Decreto 1377/2013, y su Autoridad Nacional de Protección de Datos (SIC) ha emitido instrucciones específicas para entidades del Estado. Ninguno de estos países, sin embargo, cuenta con un marco de gobernanza de datos públicos separado de la legislación de privacidad —lo que muestra que la iniciativa bonaerense, si logra esa distinción, abre un camino relativamente inédito en la región.

    Qué implica para equipos de datos en organismos provinciales y empresas que contratan con el Estado

    Para los equipos técnicos que operan dentro de la administración bonaerense, la creación de un marco de gobernanza implica la definición formal de data stewards por área temática, la elaboración o actualización de un catálogo de datos con clasificación por sensibilidad, y el establecimiento de acuerdos de intercambio de datos (data sharing agreements) entre organismos. Siguiendo la metodología DAMA-DMBOK, estas son las áreas de conocimiento de Knowledge Area 1 (Data Governance) y Knowledge Area 2 (Data Architecture) que cualquier organismo público debería tener documentadas antes de poder reportar cumplimiento con un marco de este tipo.

    Para empresas que prestan servicios tecnológicos o de datos a la provincia —desde consultoras hasta proveedores de cloud—, el nuevo marco puede traducirse en requisitos contractuales más estrictos: cláusulas de tratamiento de datos, restricciones de transferencia internacional y obligaciones de auditoría. Los pliegos de licitación podrían incorporar, en los próximos meses, exigencias de certificación o declaración de cumplimiento con el marco provincial.

    Qué monitorear en las próximas semanas

    Los puntos críticos a seguir son tres. Primero, la publicación del texto completo del marco en el Boletín Oficial de la provincia, que determinará si tiene fuerza de decreto, resolución o instrucción administrativa, con implicancias directas sobre su obligatoriedad y jerarquía normativa. Segundo, la designación del organismo rector o unidad de gobierno del dato que supervisará el cumplimiento —si ese rol recae en la Subsecretaría de Tecnología e Innovación o en un nuevo ente, cambia la estructura de accountability. Tercero, el cronograma de implementación por tipo de organismo: los marcos que carecen de fases graduales suelen diluirse en la práctica dentro de las burocracias estatales.

    Nuestro análisis

    La iniciativa bonaerense es políticamente significativa, pero su valor real depende de un detalle que todavía no está disponible públicamente: el texto normativo. Anunciar un “marco de gobernanza de datos” sin publicar los instrumentos legales que lo sostienen es una práctica frecuente en la región —y también la razón por la que muchos de esos marcos quedan como ejercicios de comunicación en lugar de transformaciones operativas. Si la provincia de Buenos Aires logra publicar roles formalizados (data owner, data steward), un registro de activos de datos y mecanismos de auditoría con periodicidad definida, habrá dado un paso que ninguna otra jurisdicción subnacional argentina ha dado de forma documentada. Si el marco queda en una declaración de principios, se sumará a una larga lista de iniciativas de modernización estatal que no sobreviven al ciclo político. La diferencia entre ambos escenarios se verá en el Boletín Oficial, no en el comunicado de prensa.

    La gobernanza de datos pública en Argentina no se construye con anuncios: se construye con textos normativos, roles con nombre y apellido institucional, y presupuesto asignado. Eso es lo que hay que pedir en el Boletín Oficial.

  • Qué compran Disney, GM y los bancos sobre vos a los data brokers

    Qué compran Disney, GM y los bancos sobre vos a los data brokers

    Cuando consumidores ejercieron su derecho de acceso ante un importante data broker estadounidense, los archivos que recibieron revelaron algo incómodo: empresas como Disney, General Motors, aseguradoras y bancos compraban datos sobre su peso, consumo de alcohol y probabilidad de hacerse una mamografía. La investigación, publicada por The Markup, expone el mercado de perfiles personales con un nivel de detalle que excede cualquier noción razonable de “dato de marketing”.

    Los data brokers —empresas que recopilan, combinan y venden perfiles de personas a terceros— operan desde hace décadas en un vacío regulatorio relativo. Lo que hace novedoso este caso es el método: los propios consumidores solicitaron sus archivos, y lo que obtuvieron permitió rastrear quién había comprado esos datos y qué categorías específicas incluían. El resultado es una radiografía del mercado secundario de datos personales que normalmente permanece opaco.

    Qué tipos de datos circulan entre compradores corporativos

    Los perfiles revelados incluían variables de salud inferidas —como indicadores de peso corporal y hábitos de consumo de alcohol— junto con predicciones de comportamiento médico, entre ellas la probabilidad de que una persona se realice ciertos estudios de detección temprana. Que una empresa automotriz como GM o un estudio de entretenimiento como Disney accedan a esa clase de información plantea preguntas que van más allá del marketing: ¿para qué sirve saber si alguien es probable que se haga una mamografía al momento de venderle un auto o una suscripción de streaming? La respuesta más probable involucra segmentación actuarial, modelos de riesgo crediticio o perfilado psicográfico de precisión.

    Las aseguradoras y los bancos identificados como compradores representan el caso de uso más preocupante desde el punto de vista regulatorio. En jurisdicciones donde el uso de datos de salud para decisiones de crédito o seguro está restringido, adquirir esa información de un tercero bajo el rótulo de “datos de comportamiento” puede constituir una evasión de facto de esas restricciones.

    Por qué el derecho de acceso funcionó como herramienta de auditoría ciudadana

    El mecanismo que permitió esta investigación es el mismo que leyes de privacidad de todo el mundo reconocen como derecho de acceso o derecho de acceso a datos personales —equivalente al derecho de acceso del RGPD europeo, al acesso previsto en la LGPD brasileña (art. 18), al derecho de acceso de la Ley 25.326 argentina (art. 14) y al acceso regulado por la LFPDPPP mexicana (art. 22). En todos esos marcos, la persona titular puede solicitar qué datos tiene una organización sobre ella. Lo que esta investigación demuestra es que esa solicitud, cuando se dirige a un data broker, puede revelar no solo los datos propios sino también el ecosistema de compradores que los adquirió.

    Ese uso del derecho de acceso como herramienta de investigación y auditoría ciudadana no es nuevo —organizaciones como Privacy International lo han empleado sistemáticamente en Europa— pero sigue siendo subutilizado en América Latina, donde las autoridades de control como la AAIP en Argentina, la ANPD en Brasil o el INAI en México tienen competencia para recibir denuncias derivadas de respuestas incompletas o insatisfactorias a esas solicitudes.

    Cuándo aplica este riesgo en LATAM / cuándo no

    El mercado de data brokers en América Latina es menos maduro que el estadounidense, pero existe y crece. Empresas de enriquecimiento de datos operan en Brasil, México, Colombia y Argentina, y venden perfiles combinados a anunciantes, aseguradoras y entidades financieras. La diferencia relevante es que en Brasil, la LGPD establece que datos de salud son datos sensibles (art. 11) y su tratamiento requiere base legal específica y consentimiento explícito; en Argentina, la Ley 25.326 también clasifica los datos relativos a la salud como datos sensibles con protección reforzada. En México, la LFPDPPP y su reglamento exigen consentimiento expreso para datos sensibles. Eso significa que un data broker que comercialice inferencias de salud —aunque las llame “propensity scores” o “behavioral data”— podría estar violando esas normas si el titular no consintió expresamente ese tratamiento. El riesgo regulatorio es real, pero depende de que las autoridades tengan la capacidad técnica de auditar qué variables se esconden detrás de las etiquetas comerciales que usan los brokers.

    El escenario donde este riesgo no aplica directamente es el de datos estrictamente agregados y no reidentificables. Si un broker vende únicamente estadísticas de segmento sin posibilidad de asociarlas a individuos, los marcos de protección de datos personales no se activan. El problema, ampliamente documentado, es que la reidentificación de conjuntos supuestamente anónimos es técnicamente posible en la mayoría de los casos cuando se cruzan con otras fuentes.

    El circuito que une al broker con el comprador corporativo

    Lo que esta investigación hace visible es el circuito completo: una persona interactúa con servicios digitales, aplicaciones de salud, programas de fidelidad o simplemente navega la web. Ese rastro es recopilado, procesado e inferido por el broker, que construye un perfil comercializable. Ese perfil llega a compradores corporativos —una automotriz, un banco, una aseguradora— que lo integran a sus modelos de decisión. El titular del dato raramente sabe que ese circuito existe, y cuando lo descubre —como en este caso, a través de una solicitud de acceso— la información obtenida puede ser incompleta o técnicamente inaccesible para quien no tenga formación específica.

    Ese déficit de transparencia es precisamente lo que los regímenes de privacidad modernos intentan corregir con obligaciones de información al momento de la recolección, registros de actividades de tratamiento y —en el caso del AI Act europeo— requisitos de explicabilidad para decisiones automatizadas. En LATAM, el eslabón más débil sigue siendo la aplicación efectiva: tener el derecho en la ley y poder ejercerlo con resultado útil son dos cosas distintas.

    Para quienes trabajan en privacidad en la región, el caso refuerza una pregunta pendiente: si los titulares latinoamericanos ejercieran masivamente su derecho de acceso ante los brokers que operan localmente, ¿qué empresas aparecerían en la lista de compradores?

  • AWS confirma pérdida permanente de datos en Medio Oriente por ataques iraníes

    AWS confirma pérdida permanente de datos en Medio Oriente por ataques iraníes

    Amazon Web Services confirmó que recursos de clientes alojados en sus regiones de Baréin y Emiratos Árabes Unidos son irrecuperables tras ataques iraníes que superaron la redundancia regional diseñada para resistir fallas. Una zona de disponibilidad en los EAU permanece inaccesible, según se informó el 16 de septiembre de 2026.

    Los impactos afectaron infraestructura física de AWS en dos regiones del Medio Oriente. En Baréin, los ataques sobrepasaron los mecanismos de redundancia entre zonas de disponibilidad —el esquema de aislamiento de fallas que AWS considera su primera línea de resiliencia—, dejando datos de clientes sin posibilidad de recuperación. En los EAU, al menos una zona de disponibilidad quedó directamente inaccesible, según se informó. AWS no especificó públicamente el volumen de recursos afectados ni el número de clientes impactados.

    Datos confirmados al 16 de septiembre de 2026

    • Región AWS Baréin (me-south-1): redundancia regional superada, recursos declarados irrecuperables.
    • Región AWS EAU (me-central-1): al menos una zona de disponibilidad inaccesible.
    • Causa confirmada por AWS: daño físico por ataques iraníes.
    • Fecha de comunicación oficial: 16 de septiembre de 2026.
    • Volumen de datos perdidos y número de clientes afectados: no divulgados.

    Qué se sabe y qué falta confirmar

    AWS reconoció la pérdida permanente de recursos, lo que implica que los SLA estándar de durabilidad —incluida la promesa de 99,999999999% (11 nueves) para Amazon S3— no cubren escenarios de daño físico por conflicto armado, situación expresamente excluida en las condiciones de servicio bajo la cláusula de fuerza mayor. No se confirmó si AWS activó procedimientos de notificación a clientes bajo marcos regulatorios aplicables, ni si existen clientes bajo jurisdicciones con obligaciones de notificación de brechas —como el GDPR en su extensión a empresas con filiales europeas— que procesen datos en esas regiones. Tampoco se informó si hay plazos de restablecimiento parcial de la zona EAU afectada.

    Para organizaciones latinoamericanas con operaciones en Medio Oriente —incluidas empresas con presencia en los EAU bajo acuerdos de libre comercio con México, y compañías con filiales en Baréin vinculadas a grupos financieros de Brasil o Argentina—, el escenario expone un riesgo que los marcos de gobernanza de datos de la región raramente contemplan: la pérdida definitiva de datos en la nube por eventos de fuerza mayor en zonas geopolíticamente inestables. Las políticas de respaldo multi-región fuera del área de conflicto serán el criterio diferenciador entre organizaciones que recuperen operaciones y las que no.

    El próximo hito crítico es la comunicación formal de AWS a clientes afectados con detalle de recursos irrecuperables, que determinará si se activan obligaciones de notificación regulatoria en las jurisdicciones de cada cliente.

  • El espejismo de capacidades que genera la IA en las organizaciones

    El espejismo de capacidades que genera la IA en las organizaciones

    Cuando una organización adopta IA y parece operar mejor, más rápido y con mayor precisión, puede estar construyendo una fachada: una apariencia de capacidad que no tiene sustento real en procesos, datos ni conocimiento institucional. MIT Sloan Management Review llama a este fenómeno el “espejismo de capacidades” (capability mirage), y sus implicancias van mucho más allá de la productividad.

    El concepto describe una trampa específica: la IA ejecuta tareas que antes requerían competencia humana acumulada, y lo hace con tal fluidez que los líderes —y los propios equipos— asumen que la organización ha mejorado. Pero el conocimiento que antes residía en personas no se ha transferido a la institución: simplemente se ha subcontratado a un sistema cuyo razonamiento interno nadie puede auditar. La organización no aprendió; delegó.

    La diferencia entre automatizar una tarea y consolidar una capacidad

    Automatizar una tarea y desarrollar una capacidad organizacional son cosas distintas. Una capacidad implica que la organización puede entender lo que hace, explicarlo, replicarlo sin el sistema original y corregirlo cuando falla. Un modelo de lenguaje que redacta contratos, clasifica reclamos o sintetiza jurisprudencia puede hacer todo eso con gran velocidad, pero si el equipo jurídico o de compliance no sabe evaluar el output ni detectar sus límites, la organización opera sobre un andamio sin cimientos. El riesgo no es técnico: es institucional.

    El espejismo se vuelve especialmente peligroso cuando la IA se usa para funciones que tienen consecuencias regulatorias directas. En el sector financiero, en el área de cumplimiento normativo, en recursos humanos o en la gestión de datos personales, un error generado por IA que nadie puede detectar porque nadie entiende el proceso subyacente puede derivar en infracciones graves. Y el regulador no acepta como defensa que “lo hizo el algoritmo”.

    Responsabilidad legal cuando el sistema falla y nadie sabe por qué

    Desde una perspectiva de Legal AI, el espejismo de capacidades plantea un problema de imputabilidad. Si un sistema de IA toma una decisión que afecta a un titular de datos —una denegación de crédito, una clasificación de riesgo, una resolución automatizada de un reclamo— la normativa vigente en múltiples jurisdicciones exige que esa decisión sea explicable y revisable por un humano. El artículo 22 del RGPD europeo, que sirvió de modelo para el artículo 19 de la Ley 25.326 argentina y para disposiciones equivalentes en la Ley General de Protección de Datos de Brasil (LGPD, artículo 20), establece el derecho a no ser objeto de decisiones exclusivamente automatizadas con efectos significativos. Ese derecho presupone que existe un humano capaz de revisar la decisión, no solo un humano que firmó la autorización para que la máquina la tome.

    Si el personal que opera el sistema ha perdido la comprensión del proceso —porque la IA lo hizo siempre, porque no hubo transferencia de conocimiento, porque la rotación borró la memoria institucional— la revisión humana se vuelve nominal. Hay una persona que aprueba, pero no hay capacidad real de supervisión. Eso es exactamente el espejismo: apariencia de control sin sustancia.

    El AI Act europeo y su impacto en sistemas de alto riesgo desplegados en LATAM

    El Reglamento de Inteligencia Artificial de la Unión Europea (AI Act, en vigor desde agosto de 2024) clasifica como de alto riesgo los sistemas de IA usados en selección de personal, calificación crediticia, administración de justicia y servicios esenciales, entre otros. Para esos sistemas, el AI Act exige documentación técnica detallada, supervisión humana efectiva y capacidad de intervención. La palabra clave es “efectiva”: no basta que exista un protocolo de revisión; debe haber competencia humana real para ejercerlo. El espejismo de capacidades viola ese requisito de fondo, aunque cumpla los formales.

    Esto importa en América Latina porque varias multinacionales con operaciones en la región están dentro del alcance extraterritorial del AI Act —si sus sistemas afectan a personas en la UE— y porque los marcos regulatorios emergentes en Chile, Colombia, Brasil y México están tomando el AI Act como referencia explícita. La Política Nacional de Inteligencia Artificial de Colombia (CONPES 3975) y el proyecto de ley de IA que avanza en Brasil ya incorporan el concepto de supervisión humana significativa como eje estructural.

    Cuándo aplica esta advertencia y cuándo no

    El espejismo de capacidades no aplica a todas las implementaciones de IA por igual. Si una organización usa IA para tareas que nunca requirieron capacidad institucional crítica —generación de borradores, resúmenes internos, clasificación preliminar de documentos con revisión posterior—, el riesgo es bajo. El problema aparece cuando la IA reemplaza procesos en los que el criterio humano tenía valor regulatorio, legal o de control de riesgo, y ese criterio no se preserva ni se desarrolla en paralelo. También aplica cuando la dependencia de un único proveedor de IA hace que la organización pierda la capacidad de operar si ese proveedor cambia sus modelos, sus condiciones de uso o su disponibilidad.

    Un test simple: si el proveedor de IA retirara su sistema mañana, ¿podría el equipo explicar cómo tomó las decisiones del último año? ¿Podría replicar el proceso con otro sistema o a mano? Si la respuesta es no en áreas reguladas, hay un espejismo activo.

    Lo que distingue adopción real de adopción cosmética

    Las organizaciones que evitan el espejismo hacen al menos tres cosas distintas a las que caen en él. Primero, documentan el razonamiento esperado del sistema y lo comparan periódicamente con el output real. Segundo, mantienen —o construyen— capacidad humana paralela en las funciones críticas, aunque sea a menor escala. Tercero, tratan la IA como una herramienta de aumento, no de sustitución, en los procesos donde la explicabilidad es un requisito normativo. Esto no es conservadurismo tecnológico: es gestión de riesgo regulatorio.

    En la práctica, significa que el área legal, de compliance o de gobernanza de datos debe participar en el diseño de la implementación, no solo en la firma del contrato con el proveedor. El rol del Chief Data Officer o del DPO no termina en la evaluación de impacto inicial; incluye monitorear si la capacidad institucional de supervisión se mantiene a lo largo del tiempo.

    Para profundizar en los marcos de supervisión humana de sistemas de IA de alto riesgo, el texto del AI Act europeo está disponible en el Diario Oficial de la UE (Reglamento UE 2024/1689); la Autoridad Nacional de Protección de Datos de Brasil (ANPD) publicó su guía de decisiones automatizadas bajo el artículo 20 de la LGPD en 2023 y es lectura obligada para equipos que operan en la región.

  • OpenAI financia datos biológicos para IA: cómo se construye el corpus médico

    OpenAI financia datos biológicos para IA: cómo se construye el corpus médico

    OpenAI está financiando la creación de datos biológicos estructurados para entrenar sus modelos de inteligencia artificial en el dominio médico y científico. La estrategia expone una tensión jurídica central: quién controla los datos que alimentan sistemas de IA capaces de acelerar descubrimientos farmacéuticos y clínicos, y bajo qué reglas pueden circular.

    El problema de fondo no es técnico sino de disponibilidad y propiedad. Los modelos de lenguaje de propósito general enfrentan un techo cuando se los aplica a biología molecular, ensayos clínicos o desarrollo farmacéutico: el conocimiento especializado existe, pero gran parte está encapsulado en documentos regulatorios confidenciales, estrategias de fabricación y datos de seguridad que las empresas biotecnológicas tratan como secretos comerciales. Ese corpus no circula libremente porque no fue diseñado para circular.

    La propuesta de usar datos de biotechs quebradas

    La analista de políticas Ruxandra Teslo planteó, según se informó, una idea que llamó la atención en el sector: adquirir datos de empresas biotecnológicas en proceso de quiebra mediante ofertas en sus procedimientos concursales. La lógica es que, al disolverse una compañía, sus activos intangibles —incluyendo presentaciones regulatorias detalladas, datos de eficacia y seguridad, y estrategias de manufactura— quedan disponibles para subasta. En condiciones normales, ese material nunca llega al mercado porque las empresas exitosas lo retienen indefinidamente o lo licencian bajo términos restrictivos. La quiebra crea una ventana legal inusual.

    OpenAI habría identificado en este enfoque una vía para construir datasets de alta calidad y alta especificidad biológica. La compañía estaría financiando la creación y adquisición de este tipo de datos, aunque los detalles exactos del mecanismo de compra y los acuerdos concretos no han sido divulgados públicamente según la información disponible.

    Qué tipo de dato biológico se busca y por qué no basta con lo público

    Los modelos entrenados sobre literatura científica abierta —artículos de PubMed, preprints, bases de datos genómicas públicas— ya existen y tienen limitaciones conocidas: reflejan lo que se publicó, no lo que se investigó y falló. El “publication bias” (sesgo de publicación) hace que los datos negativos de ensayos clínicos, los fracasos de compuestos en fase temprana y los problemas de manufactura queden fuera del registro público. Sin embargo, esa información de fracasos tiene un valor predictivo enorme para sistemas de IA que buscan anticipar qué moléculas o estrategias no funcionarán.

    Los reguladores sí reciben esos datos. La FDA en Estados Unidos, la EMA en Europa y sus contrapartes latinoamericanas —ANVISA en Brasil, ANMAT en Argentina, COFEPRIS en México— acumulan volúmenes masivos de información preclínica y clínica en cada expediente de aprobación. Esos datos son confidenciales durante décadas, salvo que una quiebra los libere o que el regulador decida publicarlos bajo esquemas de acceso controlado. La propuesta de Teslo explota precisamente esa segunda vía concursal.

    Cuándo aplica esta lógica y cuándo no: límites legales y éticos

    El modelo concursal funciona para datos de compañías disueltas, pero tiene restricciones importantes. En primer lugar, los datos de ensayos clínicos contienen información derivada de participantes humanos que otorgaron consentimiento para usos específicos. El hecho de que la empresa propietaria quiebre no extingue automáticamente las obligaciones de confidencialidad frente a esos participantes ni los derechos emergentes de las normativas de protección de datos personales. En jurisdicciones donde rige el GDPR europeo o la LGPD brasileña —que exige base legal específica para el tratamiento de datos sensibles de salud bajo el artículo 11 de la Ley 13.709/2018—, la transferencia de ese corpus a un nuevo controlador para entrenamiento de IA requeriría análisis legal adicional que la simple transacción concursal no resuelve.

    En Argentina, la Ley 25.326 de Protección de Datos Personales clasifica los datos de salud como sensibles y su tratamiento requiere consentimiento expreso o habilitación legal específica. La AAIP (Agencia de Acceso a la Información Pública) no ha emitido lineamientos explícitos sobre el uso de datos sensibles de salud para entrenamiento de modelos de IA, lo que deja un vacío interpretativo relevante para cualquier actor regional que quiera replicar este tipo de operaciones.

    El régimen de propiedad intelectual de los datos generados para IA

    Más allá del dato adquirido, OpenAI estaría financiando también la generación activa de nuevos datos biológicos —anotaciones, datasets sintéticos, experimentos diseñados para producir información estructurada que los modelos puedan ingerir. Aquí emerge otra capa jurídica: quién es el propietario del dato generado bajo encargo. En el derecho anglosajón, el concepto de “work for hire” resuelve parcialmente la cuestión a favor del comitente. En los sistemas de derecho civil latinoamericanos, la respuesta varía por jurisdicción y tipo de dato. Un dataset generado por investigadores de una universidad pública brasileña financiados por OpenAI podría quedar sujeto a restricciones de dominio público o normativa universitaria incompatibles con una licencia exclusiva.

    El AI Act de la Unión Europea, en vigor desde 2024, clasifica los sistemas de IA de alto riesgo usados en medicina y exige documentación sobre los datos de entrenamiento, incluyendo su procedencia y las medidas de gobernanza aplicadas. Si los modelos de OpenAI entrenados con datos biológicos se comercializan en Europa o se usan en productos que llegan a mercados latinoamericanos con acuerdos de adecuación, las obligaciones de trazabilidad del corpus de entrenamiento se vuelven directamente aplicables.

    La carrera por el corpus médico y sus implicancias para América Latina

    América Latina produce una fracción del conocimiento biomédico global pero concentra una diversidad genética y epidemiológica que los grandes modelos actuales subrepresentan. Los ensayos clínicos realizados en Brasil, México o Argentina generan datos regulatorios que reposan en ANVISA, COFEPRIS o ANMAT sin que existan mecanismos formales para su aprovechamiento científico posterior más allá del expediente de aprobación. Si las grandes compañías tecnológicas logran construir corpus biológicos masivos con datos del Norte Global, los modelos resultantes heredarán esos sesgos de representación. La oportunidad para los reguladores latinoamericanos —y para centros de investigación como FIOCRUZ o el CONICET— sería diseñar esquemas de acceso controlado a datos regulatorios propios que permitan participar en la construcción de IA biomédica con representación regional, en lugar de quedar como consumidores netos de modelos entrenados en otra parte.

    Para profundizar en el marco regulatorio aplicable al tratamiento de datos de salud para entrenamiento de IA, el artículo 11 de la LGPD brasileña (Ley 13.709/2018) y las guías de la ANPD sobre datos sensibles ofrecen el punto de partida más desarrollado de la región.

  • Sin gobernanza de datos de marketing, la IA no convierte en ingresos

    Sin gobernanza de datos de marketing, la IA no convierte en ingresos

    Un estudio conjunto de Integrate y Demand Metric revela que la preparación para la inteligencia artificial en equipos de marketing no depende principalmente de la tecnología adoptada, sino del nivel de madurez en gobernanza de datos. Las organizaciones con prácticas sólidas de gobierno del dato reportan mayor crecimiento de ingresos y mayor efectividad en sus iniciativas de IA.

    El hallazgo central del estudio es operativo, no aspiracional: la variable que mejor predice si una organización puede capitalizar la IA en marketing no es el presupuesto tecnológico ni el tamaño del equipo, sino la calidad de sus datos y los procesos que los gobiernan. En términos del marco DAMA-DMBOK, se trata de las capabilities de Data Quality Management y Metadata Management —las mismas que determinan si un modelo de IA recibe insumos confiables o ruido estructurado.

    Qué mide el estudio y qué encontró

    Según se informó, la investigación relevó el estado de preparación para IA (AI readiness) en organizaciones de marketing, cruzando ese indicador con variables de gobernanza de datos y resultados de negocio. El patrón emergente fue consistente: las empresas que califican alto en gobernanza —con datos unificados, ownership definido y procesos de calidad activos— también reportan mayor crecimiento de ingresos vinculado a iniciativas de IA. Las que muestran gobernanza débil describen proyectos de IA que no escalan o que generan resultados inconsistentes.

    Este patrón no es nuevo en la literatura de gobierno del dato. Bob Seiner, referente de Non-Invasive Data Governance, ha argumentado que los programas de IA fallan cuando los datos subyacentes no tienen un accountability claro. El estudio aporta evidencia cuantitativa desde el dominio de marketing, un área donde la fragmentación de datos —leads de múltiples canales, identidades duplicadas, atribución opaca— es endémica.

    Tres brechas de gobernanza que bloquean la IA en marketing

    Del análisis surge que las organizaciones con baja AI readiness comparten al menos una de estas tres brechas estructurales:

    • Ausencia de data stewardship en el dominio de datos de clientes: nadie es accountable de la definición canónica de “lead calificado” ni de su actualización.
    • Falta de data lineage documentado entre fuentes de captura (formularios, CRM, plataformas de demanda) y los modelos de scoring o segmentación que alimentan la IA.
    • Datos de contacto sin política de calidad activa: duplicados, campos vacíos y registros desactualizados que degradan la precisión de cualquier modelo predictivo.

    Cada una de estas brechas tiene un correlato directo en el EDM Council CDMC (Cloud Data Management Capabilities): las capabilities de Data Quality (nivel 6), Data Catalog & Discovery (nivel 5) y Data Ownership (nivel 3) son exactamente las que el estudio identifica como diferenciadoras entre organizaciones que escalan IA y las que no lo logran.

    Cuándo aplica / cuándo NO este vínculo entre gobernanza y AI readiness

    El vínculo es directo cuando la IA opera sobre datos propios de la organización: bases de clientes, historiales de interacción, datos de CRM. En esos casos, la calidad del dato de entrada determina la utilidad del output. El vínculo es menos determinante cuando la IA se aplica a datos sintéticos o modelos preentrenados que no dependen de los datos internos de la organización. Para equipos de marketing en LATAM que usan IA principalmente para generación de contenido o automatización de copy —sin scoring predictivo ni segmentación sobre base propia—, la gobernanza de datos no es el cuello de botella inmediato, aunque sí lo será en cuanto escalen hacia personalización o atribución multicanal.

    El punto ciego en equipos de marketing de Argentina, México y Brasil

    En América Latina, la fragmentación del dato de marketing tiene una dimensión adicional: la coexistencia de regulaciones de datos personales con distinto grado de madurez. En Brasil, la LGPD (Lei Geral de Proteção de Dados) exige bases legales para el tratamiento de datos de contacto y habilita derechos de acceso y supresión (DSAR) que impactan directamente en la calidad de las bases de marketing. En Argentina, la Ley 25.326 y las resoluciones de la AAIP establecen requisitos similares. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) regula el consentimiento para usos secundarios como el scoring automatizado.

    Un equipo de marketing que alimenta modelos de IA con datos recolectados sin base legal adecuada no solo tiene un problema de gobernanza técnica: tiene un pasivo regulatorio. El dato que alimenta el modelo puede ser el mismo que genera una sanción del INAI, la ANPD o la AAIP. La gobernanza de datos de marketing en LATAM no puede disociarse de la capa de privacidad.

    Lo que un CDO puede hacer esta semana con este hallazgo

    El estudio ofrece un argumento de negocio concreto para priorizar inversión en gobernanza: la AI readiness tiene correlación directa con crecimiento de ingresos, y esa readiness depende de governance. Para un CDO que necesita justificar el programa ante el CFO o el CMO, este es el tipo de evidencia que convierte gobernanza en prioridad presupuestaria y no en overhead. Los pasos inmediatos son tres: mapear el data lineage entre las fuentes de captura de leads y los modelos de IA o scoring en uso; identificar quién es el data steward del dominio de cliente en marketing (si la respuesta es “nadie”, ese es el primer gap); y auditar si los datos que alimentan IA tienen base legal documentada bajo la regulación local aplicable.

    Para profundizar en el marco de capacidades de gobierno del dato aplicado a IA, el EDM Council CDMC y el DAMA-DMBOK 2 ofrecen los estándares de referencia que permiten medir y cerrar estas brechas con criterio formal, no con intuición.

  • Brecha en Revolut expone pasaportes y registros de transacciones

    Brecha en Revolut expone pasaportes y registros de transacciones

    Revolut, el neobanco británico con operaciones en varios países de América Latina, sufrió una brecha de seguridad que expuso pasaportes y registros de transacciones de clientes, según informó el medio especializado Safestate el 14 de septiembre de 2026. La magnitud exacta del incidente —número de afectados, ventana temporal de exposición y geografías involucradas— no había sido confirmada públicamente al momento de publicación.

    La información publicada indica que entre los datos comprometidos figuran documentos de identidad —pasaportes— y registros de movimientos financieros, una combinación especialmente sensible porque habilita tanto el robo de identidad como la reconstrucción del perfil económico de las personas afectadas. Según se informó, el incidente fue revelado por fuentes externas a la compañía, sin que Revolut haya emitido una comunicación oficial detallada al momento del reporte.

    Datos confirmados al cierre de esta edición

    • Tipos de datos expuestos: documentos de pasaporte y registros de transacciones financieras, según Safestate.
    • Actor involucrado: Revolut, fintech con licencia bancaria en la Unión Europea y presencia en mercados de LATAM.
    • Fecha del reporte: 14 de septiembre de 2026.
    • Número de afectados: no confirmado públicamente.
    • Vector de ataque: no divulgado.

    Qué se sabe y qué falta confirmar

    Lo confirmado hasta ahora es la naturaleza de los datos expuestos: documentación de identidad y registros financieros. Lo que permanece sin verificar es si el incidente involucra clientes de jurisdicciones latinoamericanas —donde Revolut ha expandido operaciones—, qué período de tiempo abarca la exposición, y si existió exfiltración activa o se trató de una exposición accidental. Tampoco se ha confirmado si Revolut notificó a las autoridades de protección de datos correspondientes, obligación exigible bajo la normativa europea (GDPR, artículo 33) en un plazo de 72 horas desde el conocimiento del incidente.

    En América Latina, la exposición de pasaportes activa obligaciones similares bajo marcos como la Ley 25.326 de Argentina, la LGPD brasileña (artículo 48, notificación a la ANPD y a los titulares en plazo razonable) y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México. Si clientes de estas jurisdicciones están entre los afectados, las autoridades de control —AAIP en Argentina, ANPD en Brasil, INAI en México— tendrían competencia para requerir información y, en su caso, iniciar actuaciones.

    El próximo hito crítico es la confirmación —o desmentida— oficial de Revolut sobre el alcance geográfico del incidente y el estado de las notificaciones regulatorias, dato que determinará qué autoridades de protección de datos en LATAM pueden activar sus facultades de investigación.

  • Amodei pide frenar los LLM: qué implica para la regulación de IA en LATAM

    Amodei pide frenar los LLM: qué implica para la regulación de IA en LATAM

    El CEO de Anthropic, Dario Amodei, publicó un ensayo llamando a desacelerar el desarrollo de los grandes modelos de lenguaje, citando riesgos que considera inminentes. El giro “doomista” en la industria abre una pregunta concreta para América Latina: ¿hay marcos regulatorios en la región preparados para responder si los propios desarrolladores piden un freno?

    El movimiento es inusual. Que el CEO de una de las compañías más valoradas en el ecosistema de IA generativa —Anthropic fue fundada precisamente con un argumento de seguridad frente a OpenAI— publique un llamado público a reducir el ritmo de desarrollo de los modelos de lenguaje no es una postura académica: es una señal de que el debate sobre gobernanza de sistemas de IA ha cruzado definitivamente hacia el interior de la industria. Según se informó, el ensayo de Amodei publicado el fin de semana del 13 de septiembre de 2026 enumera los peligros que él mismo percibe en la tecnología que su empresa contribuye a desarrollar.

    El argumento “doomista” y su peso regulatorio

    El término “doomer” —con origen en las comunidades de alineación de IA y seguridad existencial— describe a quienes sostienen que el desarrollo no controlado de sistemas de inteligencia artificial avanzada representa un riesgo catastrófico para la humanidad. Lo que cambia con la intervención de Amodei es que ya no se trata de investigadores académicos o activistas: es el ejecutivo de una empresa que compite directamente con OpenAI y Google DeepMind quien pone ese argumento sobre la mesa pública. El impacto regulatorio de ese giro no es trivial. Cuando los propios actores del mercado solicitan restricciones, los reguladores tienen un argumento adicional —y más difícil de rebatir— para avanzar con marcos vinculantes.

    El AI Act europeo ya prevé este escenario; LATAM, todavía no

    El Reglamento de Inteligencia Artificial de la Unión Europea —AI Act, en vigor desde agosto de 2024— contempla categorías de riesgo para modelos de propósito general (GPAI) y establece obligaciones de transparencia y evaluación para los sistemas de mayor capacidad. La lógica subyacente del AI Act es exactamente la que Amodei articula en su ensayo: que ciertos sistemas requieren controles antes de su despliegue, no después. En América Latina, el panorama es fragmentado. Brasil avanza con el Proyecto de Ley 2.338/2023, que sigue una arquitectura de riesgos similar al modelo europeo y fue aprobado en el Senado en diciembre de 2024, aunque aún aguarda definición en Cámara de Diputados. Chile tiene su Política Nacional de Inteligencia Artificial actualizada en 2024, pero sin rango legal vinculante. Colombia publicó lineamientos éticos para IA desde el Ministerio TIC, también sin fuerza de ley. México carece de regulación específica para IA a nivel federal. Argentina discute proyectos en el Congreso, pero ninguno ha alcanzado sanción.

    Por qué el llamado de Amodei complica la autorregulación como estrategia

    Durante años, la industria tecnológica ha ofrecido la autorregulación como alternativa a marcos legales obligatorios: códigos de conducta, compromisos voluntarios, auditorías internas. El ensayo de Amodei erosiona esa posición desde adentro. Si el propio CEO de una compañía líder en seguridad de IA afirma que el ritmo de desarrollo es peligroso, el argumento de que la industria puede regularse a sí misma pierde credibilidad ante cualquier legislador o autoridad de control. Para los reguladores latinoamericanos que debaten si adoptar enfoques prescriptivos o principistas, este episodio ofrece un dato político relevante: la presión por marcos vinculantes ya no viene solo de la sociedad civil.

    Cuándo aplica este debate / cuándo NO

    El llamado de Amodei es relevante para la discusión regulatoria de sistemas de IA de propósito general —modelos de lenguaje a escala, sistemas multimodales con capacidades avanzadas de razonamiento— y para los procesos legislativos en curso en Brasil, Chile y Argentina. No aplica directamente a usos sectoriales acotados de IA (diagnóstico médico con modelos supervisados, scoring crediticio con modelos explicables), cuya regulación ya está siendo abordada por autoridades financieras y sanitarias en la región con instrumentos propios. Tampoco implica una moratoria técnica formal: Amodei expresó una posición, no anunció una detención del desarrollo en Anthropic.

    Lo que los legisladores latinoamericanos pueden leer entre líneas

    El posicionamiento de Amodei llega en un momento en que el debate legislativo en Brasil sobre el PL 2.338/2023 necesita argumentos para avanzar en Cámara de Diputados. Un llamado público de un CEO del sector a reducir el ritmo de desarrollo es exactamente el tipo de evidencia que los promotores de regulación más estricta utilizan para justificar urgencia. En Argentina, donde la Agencia de Acceso a la Información Pública (AAIP) ha publicado recomendaciones sobre IA pero carece de mandato legal específico para regularla, el episodio refuerza la necesidad de una ley con rango normativo. La pregunta que queda abierta es si los congresos de la región procesarán esta señal con la velocidad que el ritmo del sector exige.

    El texto completo del ensayo de Amodei está disponible en el sitio oficial de Anthropic; el Proyecto de Ley brasileño 2.338/2023 puede consultarse en el portal del Senado Federal de Brasil en senado.leg.br.

  • Silent Ransom Group atacó a Greenberg Traurig: 126.000 afectados sin notificador claro

    Silent Ransom Group atacó a Greenberg Traurig: 126.000 afectados sin notificador claro

    El grupo de ransomware Silent Ransom Group (SRG) comprometió los sistemas de Greenberg Traurig, uno de los estudios jurídicos más grandes del mundo, y publicó los datos en su sitio de filtraciones. Según informó DataBreaches.net, el incidente afecta a unas 126.000 personas y plantea una pregunta sin respuesta clara: quién tiene la obligación de notificarlas.

    Greenberg Traurig figura en la lista de firmas atacadas por SRG, un grupo que al 21 de agosto ya acumulaba 64 estudios jurídicos en su sitio de filtraciones, entre ellos Troutman Pepper Locke, cuya brecha fue reportada ese mismo día. La incorporación de Greenberg Traurig al listado fue confirmada el 14 de septiembre de 2026, según se informó, con detalles exclusivos proporcionados por DataBreaches.net. El estudio tiene presencia en múltiples jurisdicciones de América y Europa, lo que agrega capas de complejidad regulatoria al análisis de notificación.

    Datos confirmados del incidente

    • Actor de amenaza: Silent Ransom Group (SRG)
    • Firma afectada: Greenberg Traurig
    • Personas potencialmente afectadas: 126.000
    • Publicación en sitio de filtraciones: confirmada al 14 de septiembre de 2026
    • SRG acumulaba al menos 64 firmas legales en su leak site al 21 de agosto de 2026
    • Incidente previo vinculado al mismo grupo: Troutman Pepper Locke (reportado el 21 de agosto de 2026)

    Qué se sabe y qué falta confirmar sobre la notificación a los 126.000 afectados

    El nudo central de este incidente no es técnico sino regulatorio: los datos comprometidos corresponden presumiblemente a clientes, contrapartes y empleados cuyos registros fueron procesados por el estudio en nombre de terceros. Eso abre el debate sobre si Greenberg Traurig actúa como responsable del tratamiento o como encargado —distinción crítica bajo el GDPR europeo, la LGPD brasileña (Lei 13.709/2018) y la Ley 25.326 argentina. En jurisdicciones como Brasil, el encargado puede tener obligación directa de notificar a la Autoridade Nacional de Proteção de Dados (ANPD) si el incidente afecta a titulares brasileños; en Argentina, la notificación a la AAIP depende de quién figure como responsable registrado. En México, la LFPDPPP impone al responsable —no al encargado— la carga de la notificación, aunque sin un plazo fijo expresamente establecido para brechas. Esta ambigüedad no es menor: con 126.000 personas involucradas y un estudio con clientes en varias jurisdicciones latinoamericanas, la cadena de notificación podría involucrar a múltiples empresas clientes sin que ninguna haya activado aún el proceso, según se informó.

    Lo que falta confirmar incluye: el tipo de datos exfiltrados (si son datos sensibles, la urgencia regulatoria se incrementa en todas las jurisdicciones mencionadas), qué clientes corporativos de Greenberg Traurig están entre los afectados y si el estudio ha emitido alguna comunicación formal a las partes interesadas. Al cierre de esta nota, no había declaración pública de la firma.

    El plazo de notificación bajo la LGPD es de hasta 72 horas para comunicar a la ANPD los incidentes de alto riesgo; si hay titulares brasileños entre los 126.000 afectados, ese reloj ya está corriendo.