DataTrends LATAM

Autor: Redacción

  • Zambia bajo la lupa: coalición global exige acceso irrestricto a internet durante las elecciones

    Zambia bajo la lupa: coalición global exige acceso irrestricto a internet durante las elecciones

    Más de 370 organizaciones de 106 países que integran la coalición #KeepItOn enviaron una carta abierta al presidente zambiano Hakainde Hichilema exigiendo que se garantice el acceso irrestricto a internet y plataformas digitales durante las elecciones del 13 de agosto de 2026. El llamado pone en tensión dos frentes conocidos en la región: la seguridad nacional como justificación de apagones digitales y el derecho a la información en contextos electorales.

    #KeepItOn es una de las redes de monitoreo de internet más activas del mundo. Coordinada por Access Now, documentó en 2023 más de 180 apagones de internet en distintos países, muchos de ellos coincidentes con procesos electorales o protestas sociales. La petición a Zambia no es un hecho aislado: responde a un patrón regional y global en el que los gobiernos recurren a cortes de conectividad como herramienta de control de la narrativa pública en momentos de alta tensión política.

    El patrón de los apagones electorales

    La práctica de interrumpir el acceso a internet durante elecciones ha sido documentada en distintos países de África, Asia y, en menor medida, América Latina. El argumento oficial suele enmarcarse en la prevención de desinformación o el mantenimiento del orden público. Sin embargo, organizaciones de derechos digitales señalan que el efecto práctico es la supresión de la comunicación ciudadana, el periodismo independiente y la coordinación de la sociedad civil, precisamente cuando más se los necesita.

    En el caso de Zambia, las organizaciones firmantes de la carta —cuya lista incluye grupos de derechos digitales de todos los continentes— advierten que cualquier restricción al flujo de información durante la jornada electoral del 13 de agosto constituiría una violación de estándares internacionales de derechos humanos, incluyendo el Artículo 19 del Pacto Internacional de Derechos Civiles y Políticos, que garantiza la libertad de expresión y acceso a la información.

    Resonancias en América Latina

    Aunque el caso se desarrolla en el sur de África, las implicancias para América Latina son directas. La región tiene su propio historial de restricciones digitales en contextos de crisis institucional. Venezuela registró múltiples episodios de throttling —reducción deliberada del ancho de banda— durante protestas entre 2019 y 2024, según informes de NetBlocks y OONI. Cuba mantiene un esquema de conectividad con cortes selectivos documentados, particularmente luego de las manifestaciones de julio de 2021. En Ecuador y Perú, durante momentos de inestabilidad política, se reportaron anomalías en el acceso a plataformas específicas.

    En términos regulatorios, varios países latinoamericanos carecen de marcos explícitos que prohíban los apagones digitales ordenados por el Ejecutivo. Brasil, con la Lei 12.965/2014 (Marco Civil da Internet), establece garantías de neutralidad de red y libertad de expresión en línea que dificultan —aunque no imposibilitan— este tipo de medidas. México, Argentina y Colombia no cuentan con disposiciones equivalentes de rango legal que establezcan consecuencias claras ante una eventual orden gubernamental de corte de conectividad.

    El rol de las plataformas y los ISP

    Uno de los aspectos más relevantes del llamado de #KeepItOn es que no solo interpela a los gobiernos, sino también, implícitamente, a los proveedores de servicios de internet y a las plataformas digitales. Cuando un Estado ordena un corte o una restricción, la cadena de cumplimiento involucra a actores privados. La pregunta sobre hasta dónde debe llegar la obediencia de un ISP o una red social ante una instrucción gubernamental que compromete derechos fundamentales es un debate vigente en todo el mundo, y América Latina no es la excepción.

    “Los apagones de internet son violaciones de derechos humanos. Afectan la capacidad de los ciudadanos de acceder a información, comunicarse libremente y participar en la vida pública, especialmente durante las elecciones.”

    — Coalición #KeepItOn, carta abierta al presidente de Zambia, agosto de 2026

    Un indicador a seguir

    Lo que ocurra en Zambia el 13 de agosto será monitoreado en tiempo real por herramientas de medición como OONI Probe y por analistas de NetBlocks. Los datos resultantes alimentarán los informes anuales sobre libertad en internet y podrán ser citados en litigios y procesos de revisión ante organismos internacionales. Para los actores de derechos digitales en América Latina, cada nuevo caso documentado refuerza el argumento jurídico y político contra la legitimidad de los apagones como herramienta de gobernanza.

    Si Zambia apaga internet el día de las elecciones, no será solo un problema africano: será otro precedente disponible para cualquier gobierno de la región que busque argumentos para hacer lo mismo.

  • OpenAI bajo la lupa: 15 fiscales exigen preservar registros del incidente en Hugging Face

    OpenAI bajo la lupa: 15 fiscales exigen preservar registros del incidente en Hugging Face

    Quince fiscales generales de Estados Unidos enviaron una carta formal al CEO de OpenAI, Sam Altman, exigiendo que la compañía preserve toda la documentación relacionada con el reciente incidente en Hugging Face, en el que modelos de OpenAI habrían tenido participación directa. Los funcionarios advierten que la empresa podría haber violado leyes estatales y federales, y el movimiento marca un punto de inflexión en la presión regulatoria sobre los grandes laboratorios de inteligencia artificial.

    La carta, enviada el lunes según se informó, lleva las firmas de 15 fiscales generales de orientación republicana y está dirigida al máximo ejecutivo de la compañía creadora de ChatGPT. El texto advierte que OpenAI podría haber incurrido en conductas que vulneran normativas vigentes a nivel estatal y federal en los Estados Unidos. El pedido de preservación de registros —conocido en la práctica legal como litigation hold— suele preceder a investigaciones formales o demandas judiciales y obliga a las organizaciones a no destruir ni alterar documentación potencialmente relevante.

    Qué se sabe del incidente en Hugging Face

    Hugging Face, la plataforma de referencia para compartir modelos de inteligencia artificial de código abierto, fue escenario de una brecha en la que habrían estado involucrados modelos atribuidos a OpenAI. Aunque los detalles técnicos del incidente no han sido divulgados en su totalidad, según se informó el alcance habría sido suficientemente significativo como para motivar la acción coordinada de más de una docena de fiscales. La naturaleza exacta de los datos comprometidos y el vector de ataque permanecen bajo investigación al cierre de esta nota.

    Lo que distingue a este caso de otros incidentes en el ecosistema de IA no es solo la escala potencial, sino el hecho de que una empresa de IA de primer nivel aparezca como actor —directo o indirecto— en la brecha de otra organización del sector. Ese ángulo cambia radicalmente el análisis de responsabilidad: ya no se trata de un proveedor víctima, sino de una entidad cuya tecnología podría haber operado como vector de compromiso.

    Presión legal coordinada y señal regulatoria

    La acción coordinada de 15 fiscales generales no es un gesto simbólico. En el sistema legal estadounidense, estos funcionarios tienen potestad para iniciar investigaciones independientes, imponer medidas cautelares y, eventualmente, presentar demandas civiles o derivar casos a instancias federales. El solo hecho de que se emita una carta de preservación de registros indica que al menos algunos de estos despachos están evaluando activamente el inicio de procedimientos formales.

    “OpenAI podría haber violado leyes estatales o federales en el incidente”

    — Extracto de la carta de los 15 fiscales generales dirigida a Sam Altman, según se informó

    El movimiento se enmarca en una tendencia más amplia: los estados de EE.UU. están llenando el vacío regulatorio que el Congreso federal no ha logrado cubrir en materia de inteligencia artificial. A falta de una ley federal de IA o de privacidad integral, los fiscales generales se convierten en los principales garantes del cumplimiento normativo frente a los gigantes tecnológicos.

    Implicancias para el ecosistema de IA y los proveedores

    Para los equipos legales y de cumplimiento de empresas que utilizan modelos de OpenAI —incluidas las integradas vía API en productos de terceros—, este caso plantea preguntas urgentes sobre la cadena de responsabilidad. Si un modelo puede ser considerado vector de una brecha en una plataforma externa, los contratos de servicio, los acuerdos de procesamiento de datos y las cláusulas de indemnización cobran una relevancia que muchas organizaciones aún no han dimensionado.

    El incidente también reencuadra el debate sobre los modelos de código abierto y las plataformas de distribución como Hugging Face. La capacidad de alojar, modificar y redistribuir modelos a escala genera superficies de ataque nuevas que los marcos legales tradicionales —pensados para software empresarial empaquetado— no contemplan con precisión. Desde la perspectiva del AI Act europeo, que clasifica sistemas por nivel de riesgo, un incidente de esta naturaleza podría incidir en cómo se evalúa la categorización de modelos de propósito general.

    El ángulo latinoamericano: responsabilidad del proveedor de IA

    En América Latina, la discusión sobre responsabilidad de proveedores de IA en incidentes de datos avanza a distinta velocidad según el país. Brasil, con la Lei Geral de Proteção de Dados (LGPD) y la Autoridade Nacional de Proteção de Dados (ANPD) ya operativa, cuenta con un marco que obliga a los operadores a notificar brechas en plazos definidos y que alcanza a empresas que traten datos de titulares brasileños, independientemente de dónde estén constituidas. Argentina, bajo la Ley 25.326 y en proceso de modernización legislativa, también proyecta responsabilidad extraterritorial. México, con la LFPDPPP para el sector privado y las directrices del INAI, enfrenta el desafío de aplicar normas diseñadas antes del auge de los modelos generativos a incidentes que involucran cadenas complejas de proveedores de IA.

    Lo que el caso OpenAI-Hugging Face ilustra para la región es que las organizaciones que integran modelos de terceros en sus productos o servicios no pueden delegar completamente la responsabilidad en el proveedor. Los DPOs y equipos legales de empresas latinoamericanas que usan estas tecnologías deberían revisar con urgencia si sus contratos con proveedores de IA contemplan escenarios de responsabilidad compartida ante brechas que involucren a subprocesadores o plataformas de distribución de modelos.

    Lo que viene: investigación y precedente

    La respuesta de OpenAI a la carta de los fiscales marcará el tono de los próximos meses. Si la empresa adopta una postura cooperativa y divulga los registros solicitados voluntariamente, podría reducir la exposición legal inmediata. Si opta por una estrategia defensiva, es probable que al menos parte de los 15 despachos avancen hacia acciones formales. En cualquier escenario, el caso sentará precedente sobre el grado de accountability exigible a los laboratorios de IA cuando su tecnología protagoniza —o facilita— un incidente de seguridad en un actor externo.

    En un sector acostumbrado a moverse más rápido que los reguladores, el tiempo en que los laboratorios de IA podían declarar incidentes como “ajenos” a su responsabilidad parece estar llegando a su fin.

  • Ataque a infraestructura crítica en Utah: controlador de bombas comprometido sin exfiltración de datos

    Ataque a infraestructura crítica en Utah: controlador de bombas comprometido sin exfiltración de datos

    Un intruso logró acceder al sistema de control automatizado de una planta de disposición de aguas salinas en Utah y modificó parámetros operativos que podrían haber provocado fallas de equipos o daños ambientales. La empresa Sage Water Resources confirmó que trabajadores detectaron y revertieron los cambios maliciosos antes de que ocurriera un impacto físico. El incidente, ocurrido el 15 de marzo de 2026 y divulgado en agosto, pone en primer plano las brechas de gobernanza en entornos OT (tecnología operacional) de infraestructura crítica.

    Qué ocurrió en Duchesne

    La instalación de Sage Water Resources, ubicada cerca de Duchesne, en el estado de Utah, opera como sitio de disposición de aguas residuales de pozos petroleros —un proceso industrial sensible tanto por sus implicancias ambientales como por su integración con sistemas de control industrial (ICS). Según se informó, el intruso consiguió acceder al controlador automatizado que regula las bombas de inyección y realizó modificaciones que eludieron las salvaguardas de seguridad de los equipos. El personal de la empresa advirtió la anomalía a tiempo y evitó que los cambios derivaran en una falla operativa o en un derrame con consecuencias ambientales.

    El vector de intrusión no fue confirmado públicamente al momento de la divulgación. Lo que sí quedó establecido es que el atacante tuvo acceso suficiente como para alterar la lógica del controlador, lo cual implica un nivel de privilegio elevado dentro de la red OT o una segmentación deficiente entre la red corporativa IT y los sistemas de control. Este tipo de arquitectura plana —donde IT y OT comparten segmentos de red o credenciales— es uno de los problemas de gobernanza más frecuentes en operadores industriales de mediano tamaño.

    El ángulo de gobernanza: qué falló antes del incidente

    Más allá del análisis forense de la intrusión, el incidente expone al menos tres fallas de gobernanza de datos e infraestructura que merecen atención. Primero, la ausencia o ineficacia de controles de cambio sobre el controlador: en un entorno OT gobernado correctamente, cualquier modificación de parámetros operativos debería requerir autorización, registro y validación. Segundo, la falta de monitoreo en tiempo real que detecte desvíos de configuración antes de que un operador humano los advierta visualmente. Tercero, la inexistencia de un baseline documentado del estado de configuración del controlador, lo que dificulta la respuesta a incidentes y la atribución de cambios.

    Desde la perspectiva del NIST Cybersecurity Framework —ampliamente adoptado en sectores industriales de América del Norte— la función “Detect” y su categoría de “Anomalies and Events” debería haber generado alertas automáticas ante la modificación no autorizada de parámetros. El hecho de que la detección haya dependido de la observación humana sugiere que esa capacidad estaba ausente o no estaba operativa en este entorno.

    Infraestructura crítica y gobernanza en América Latina

    El caso es relevante para operadores latinoamericanos de infraestructura crítica —petroleras, utilities, plantas de tratamiento de agua, mineras— que conviven con el mismo problema estructural: sistemas SCADA y controladores ICS adquiridos hace décadas, sin actualizaciones de firmware, integrados a redes corporativas modernas sin segmentación adecuada. En México, la Estrategia Nacional de Ciberseguridad de 2017 identificó la protección de infraestructura crítica como eje prioritario, pero la implementación efectiva en operadores privados medianos sigue siendo heterogénea. En Argentina, el Programa Nacional de Infraestructuras Críticas de Información y Ciberseguridad (ICIC), bajo la órbita de la Secretaría de Innovación, establece lineamientos para estos entornos, aunque sin obligatoriedad generalizada para el sector hidrocarburífero privado.

    Brasil presenta el marco más estructurado de la región: la Lei nº 14.600/2023, que creó la Agência Nacional de Cibersegurança (ANCiber), incluye entre sus competencias la coordinación de la protección de infraestructuras críticas. Sin embargo, los reglamentos sectoriales que operativicen esos mandatos para empresas de disposición de residuos industriales todavía están en desarrollo.

    Lo que un CDO o responsable OT debería hacer esta semana

    Este incidente ofrece una lista de verificación concreta para equipos de gobernanza en entornos industriales:

    • Auditar el inventario de activos OT: ¿existe un catálogo actualizado de todos los controladores, PLCs y HMIs con su versión de firmware y nivel de acceso?
    • Revisar la segmentación IT/OT: ¿hay zonas DMZ entre la red corporativa y la red de control? ¿Las credenciales son independientes?
    • Documentar el baseline de configuración de controladores críticos y activar alertas ante cualquier desvío.
    • Verificar que los procedimientos de control de cambios (change management) aplican explícitamente a modificaciones de parámetros OT, no solo a cambios de software corporativo.
    • Chequear si el plan de respuesta a incidentes incluye escenarios de manipulación de controladores y define tiempos de contención para evitar impacto ambiental o físico.

    El marco DAMA-DMBOK no cubre OT directamente, pero el principio de data ownership aplicado a datos de configuración industrial —¿quién es el data steward de los parámetros de un controlador de bombas?— es exactamente la pregunta que este incidente deja sin respuesta en Duchesne.

    Cuando la gobernanza de datos llega tarde a los entornos OT, el costo no se mide en multas regulatorias sino en derrames, fallas de equipo y, eventualmente, vidas humanas.

  • Outfront Media nombra CDO con perfil de agencia: el dato como negocio publicitario

    Outfront Media nombra CDO con perfil de agencia: el dato como negocio publicitario

    Outfront Media, una de las principales compañías de publicidad exterior de Estados Unidos, designó a un veterano de la agencia UM como su nuevo Chief Data Officer, según informó MediaPost. El movimiento consolida una tendencia creciente en el sector de out-of-home (OOH): las empresas de medios físicos buscan ejecutivos con ADN de agencia para convertir datos de audiencia en ventaja competitiva real.

    El nombramiento de Griffiths —quien acumuló experiencia en UM, una de las agencias de medios más grandes del mundo bajo el paraguas de IPG Mediabrands— no es un movimiento de recursos humanos rutinario. Es una señal de hacia dónde se mueve la industria del outdoor tradicional: hacia modelos de monetización basados en datos first-party, medición de audiencias y activación programática en pantallas digitales. Outfront opera miles de vallas, pantallas y estructuras de tránsito en mercados urbanos clave de Norteamérica, y la presión del mercado publicitario por métricas comparables a las del ecosistema digital es cada vez mayor.

    El CDO como puente entre inventario físico y datos digitales

    En el sector OOH, el dato no es un subproducto del negocio: es el argumento central de venta. Las pantallas digitales fuera del hogar (DOOH) compiten directamente con display digital, redes sociales y CTV por los mismos presupuestos de marca. Para ganar esa batalla, las compañías necesitan ofrecer atribución, medición de alcance único y segmentación por audiencia con estándares equivalentes a los del entorno online. Ahí es donde un CDO con formación en planificación de medios tiene una ventaja clara sobre un perfil tecnológico puro: entiende el lenguaje de los compradores de medios y sabe qué datos hacen mover un presupuesto.

    Desde la perspectiva del DAMA-DMBOK, el rol que asume Griffiths combina al menos tres dominios críticos: gestión de datos de referencia y maestros (MDM) para unificar audiencias cross-pantalla, data quality para garantizar la integridad de las métricas de medición, y data governance como marco que permite compartir datos con agencias y anunciantes sin comprometer la privacidad de los usuarios. Este último punto es especialmente sensible en un contexto donde los datos de movilidad y geolocalización —insumo central del OOH inteligente— están bajo escrutinio regulatorio creciente.

    Geolocalización y privacidad: la tensión que el nuevo CDO deberá gestionar

    El negocio de datos en publicidad exterior depende en gran medida de señales de movilidad: datos de dispositivos móviles, patrones de tránsito y comportamiento en zonas de influencia de pantallas. Esa dependencia coloca al nuevo CDO en el centro de un debate regulatorio que ya está llegando a América Latina. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece restricciones precisas sobre el tratamiento de datos de localización como datos sensibles cuando permiten inferir comportamientos o rutinas personales. En Argentina, la Ley 25.326 y las disposiciones de la AAIP han comenzado a revisar con mayor detalle los flujos de datos de geolocalización en contextos publicitarios. México, por su parte, avanza en criterios del INAI sobre el uso de datos de comportamiento en publicidad dirigida.

    Para las empresas de OOH que operan o buscan expandirse en la región —o para sus socios locales que utilizan las mismas metodologías de medición—, el estándar de governance que establezca Outfront bajo el nuevo CDO puede convertirse en referencia o en advertencia, dependiendo de cómo equilibre monetización y cumplimiento normativo.

    Qué implica este movimiento para equipos de datos en LATAM

    El perfil de Griffiths anticipa un modelo de CDO que América Latina todavía está procesando: el ejecutivo de datos que habla tanto el idioma del negocio como el del cumplimiento. En la región, los CDO suelen venir de perfiles tecnológicos o de consultoría, con menor exposición al ciclo comercial de los medios. La brecha es relevante porque varios grupos de medios latinoamericanos —desde operadoras de vía pública en México y Colombia hasta conglomerados de medios en Brasil y Argentina— están en pleno proceso de construir sus capacidades de datos de audiencia para competir con las plataformas digitales.

    Para un CDO o Data Governance Manager en una empresa de medios de la región, el movimiento de Outfront sugiere al menos tres prioridades concretas a evaluar esta semana:

    • Auditar qué datos de movilidad o comportamiento se están incorporando a modelos de audiencia y bajo qué base legal se procesan según la normativa local aplicable.
    • Revisar si existe un data steward definido para los datasets de terceros que alimentan la segmentación publicitaria, especialmente aquellos provenientes de data brokers o SDKs de terceros en apps móviles.
    • Evaluar si el marco de governance actual permite responder a una solicitud de agencia o anunciante sobre provenance y calidad del dato de audiencia sin depender de silos departamentales.

    El CDO que el mercado de medios está buscando

    La designación en Outfront es un caso de estudio comprimido sobre la evolución del rol de CDO en industrias de medios y publicidad. Ya no alcanza con gestionar infraestructura de datos o supervisar pipelines de ingesta. El mercado exige ejecutivos capaces de traducir activos de datos en propuestas de valor para clientes externos, negociar estándares de medición con agencias y, al mismo tiempo, operar dentro de marcos regulatorios que se endurecen en todas las jurisdicciones donde la empresa tiene presencia o ambición de crecimiento.

    En un mercado donde el dato de audiencia es tanto el producto como el riesgo, la elección del CDO es, en realidad, una declaración de estrategia.

  • Sin gobierno del dato, la IA bancaria es un castillo de arena

    Sin gobierno del dato, la IA bancaria es un castillo de arena

    Los bancos que aceleran la adopción de inteligencia artificial sin haber resuelto primero su arquitectura de gobierno del dato están construyendo sobre terreno inestable. La experiencia acumulada en el sector financiero global —y cada vez más en América Latina— muestra un patrón consistente: los proyectos de IA que fracasan o generan resultados sesgados tienen, en su raíz, problemas de calidad, ownership o trazabilidad de datos, no de algoritmos.

    El dato como activo estratégico, no como subproducto

    Durante años, las entidades financieras gestionaron sus datos como un subproducto de las operaciones: algo que existía, que se almacenaba y que se consultaba cuando era necesario. La irrupción de modelos de machine learning y, más recientemente, de large language models (LLMs) en procesos críticos —scoring crediticio, detección de fraude, atención al cliente, cumplimiento regulatorio— cambió radicalmente esa ecuación. Hoy, un modelo de IA es tan confiable como los datos con los que fue entrenado y con los que opera en producción. Si esos datos tienen problemas de linaje, duplicidades o definiciones inconsistentes entre sistemas, el modelo amplifica esos defectos a escala.

    El marco DAMA-DMBOK, referencia obligada para cualquier programa de gobierno del dato, identifica once áreas de conocimiento que van desde la arquitectura de datos hasta la gestión de la calidad y la privacidad. Para un banco que quiere desplegar IA de forma responsable, las más críticas son precisamente las que más se descuidan: data quality management, data lineage y el establecimiento formal de data stewards —roles que asumen la responsabilidad operativa sobre dominios de datos específicos, como clientes, productos o transacciones.

    Qué hace un CDO bancario con esto el lunes

    El punto de partida no es un proyecto de transformación de dieciocho meses. Es un diagnóstico acotado. Un Chief Data Officer que quiera validar si su organización está en condiciones de escalar IA debería revisar al menos tres dimensiones antes de aprobar cualquier caso de uso nuevo:

    • Data lineage documentado: ¿puede el equipo trazar, de punta a punta, el recorrido de las variables que alimentan cada modelo? Sin esto, cualquier auditoría interna o regulatoria se convierte en un ejercicio de arqueología de datos.
    • Ownership formalizado: ¿existe un data steward designado para cada dominio crítico, con criterios de calidad definidos y medidos periódicamente? En bancos medianos de la región, este rol suele estar fragmentado entre TI y el área de negocio, sin responsabilidad clara.
    • Catálogo activo: ¿el banco opera con un catálogo de datos que los equipos de datos y de negocio realmente usan, o es un documento que se actualizó por última vez durante una auditoría?

    El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), ofrece una escala de madurez que varios bancos de primera línea en Brasil y Colombia ya están usando como referencia para sus programas internos. En particular, la capability 8 —que evalúa controles de acceso, clasificación y protección del dato en entornos cloud— resulta directamente aplicable a cualquier banco que opere modelos de IA sobre infraestructura híbrida.

    El ángulo regulatorio que LATAM no puede ignorar

    La presión no viene solo del mercado. Los reguladores financieros de la región están incorporando el gobierno del dato como un requisito implícito —y en algunos casos explícito— dentro de sus marcos de supervisión de riesgos tecnológicos. El Banco Central de Brasil ha avanzado en lineamientos sobre riesgo de modelos que exigen documentación del ciclo de vida del dato utilizado en sistemas de decisión automatizada. En Argentina, la Comunicación A 7724 del BCRA establece criterios de gestión de riesgo tecnológico que, interpretados en clave de IA, demandan exactamente lo que el gobierno del dato provee: trazabilidad, control y accountability. En Colombia, la Superintendencia Financiera ha señalado en circulares recientes que los sistemas de scoring basados en IA deben poder explicarse y auditarse, lo que es imposible sin data lineage sólido.

    Esta convergencia entre exigencia regulatoria y necesidad operativa es, paradójicamente, la mejor noticia para los equipos de datos bancarios: el caso de negocio para invertir en gobierno del dato ya no necesita justificarse solo por eficiencia interna. Existe un mandato externo que empuja en la misma dirección.

    Madurez antes que velocidad

    La tentación de desplegar IA rápido para mostrar resultados es comprensible en un sector tan competitivo como el bancario. Pero los casos de modelos crediticios que reprodujeron sesgos históricos —o de chatbots que ofrecieron información incorrecta sobre productos financieros— tienen, casi siempre, un factor común: datos sin gobierno. Bob Seiner, referente en Non-Invasive Data Governance, sostiene que el gobierno del dato no es un proyecto separado de la operación, sino una capa de responsabilidad que debe integrarse en los procesos existentes sin crear fricción adicional. Esa filosofía es especialmente relevante para bancos latinoamericanos con estructuras más ágiles, donde la burocracia de un programa de DG clásico puede matar la iniciativa antes de dar frutos.

    La pregunta ya no es si los bancos de la región necesitan gobierno del dato para escalar IA — la pregunta es cuántos incidentes evitables hacen falta antes de que ese programa pase al tope de la agenda del CDO.

  • ¿Dónde están sus datos? La pregunta que la IA obliga a responder

    ¿Dónde están sus datos? La pregunta que la IA obliga a responder

    La adopción masiva de inteligencia artificial en las organizaciones latinoamericanas ha disparado una pregunta que muchos equipos de datos no pueden responder con certeza: ¿dónde están realmente los datos que alimentan esos modelos? El problema no es nuevo, pero la IA lo volvió urgente. Sin un inventario preciso y un data lineage actualizado, cualquier iniciativa de IA corporativa construye sobre terreno inestable.

    Durante años, la gobernanza de datos fue tratada como un proyecto de infraestructura de segundo orden: importante en el papel, postergado en la práctica. Los datos se acumularon en silos departamentales, data lakes sin catalogar y sistemas heredados que nadie se atrevía a tocar. Ese desorden era manejable cuando los datos se usaban para reportes o dashboards. Deja de serlo cuando un modelo de lenguaje o un sistema de ML los consume sin discriminar calidad, origen ni clasificación de sensibilidad.

    El inventario como base de todo

    El primer paso que propone el DAMA-DMBOK para cualquier programa de gobierno de datos es el establecimiento de un inventario de activos de datos —lo que en la industria se conoce como data catalog. No se trata de una herramienta tecnológica per se, sino de una decisión organizacional: alguien tiene que ser responsable de saber qué datos existen, dónde residen, quién los usa y con qué propósito. Ese rol es el data steward, y en la mayoría de las empresas latinoamericanas todavía no está formalizado ni tiene capacidad de decisión real.

    El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica la capacidad de localización y clasificación de datos como una de las capabilities fundacionales —equivalente al nivel 8 de su modelo de madurez— sin la cual ningún control de privacidad, seguridad o calidad puede implementarse de forma efectiva. Dicho de otro modo: si no sabés dónde están tus datos, no podés protegerlos, no podés auditarlos y no podés cumplir con ninguna obligación regulatoria.

    La presión regulatoria que ya llegó

    En América Latina, esta exigencia dejó de ser solo buena práctica para convertirse en obligación legal en varios frentes. En Brasil, la Lei Geral de Proteção de Dados (LGPD) requiere que las organizaciones puedan demostrar el propósito y la base legal de cada tratamiento de datos personales —algo imposible sin un registro de actividades de tratamiento actualizado. En Argentina, la Ley 25.326 y la reglamentación de la AAIP (Agencia de Acceso a la Información Pública) exigen que los responsables de bases de datos personales puedan informar a los titulares qué datos tienen y con qué fin. En México, la LFPDPPP impone obligaciones similares sobre el aviso de privacidad y los transfers de datos a terceros.

    Lo que la IA agrega a este escenario es una capa adicional de complejidad: cuando los datos personales se usan para entrenar o alimentar un modelo, el ciclo de vida del dato se vuelve difuso. ¿En qué punto el dato deja de ser “tratado” y pasa a ser parte del modelo? ¿Quién es el data steward de un dataset de entrenamiento? Estas preguntas no tienen respuesta regulatoria definitiva en la región, pero las autoridades de protección de datos ya las están formulando.

    Qué hace un CDO con esto el lunes

    La pregunta operativa no es filosófica. Un Chief Data Officer que está evaluando o ya tiene iniciativas de IA en producción debería revisar esta semana al menos tres cosas concretas:

    • Inventario de datasets en uso por modelos de IA: ¿están catalogados con clasificación de sensibilidad (dato personal, dato confidencial, dato público)? ¿Tienen data steward asignado?
    • Data lineage de extremo a extremo: ¿puede trazarse el origen de cada dataset hasta la fuente primaria? ¿Hay transformaciones no documentadas en el camino?
    • Revisión de acuerdos con proveedores de IA: ¿los contratos con vendors cloud o de modelos de terceros contemplan cláusulas sobre uso de datos para reentrenamiento? ¿Son consistentes con las bases legales declaradas en los registros de tratamiento?

    El framework Non-Invasive Data Governance de Bob Seiner plantea que los controles de gobernanza más efectivos son los que se integran en los procesos existentes sin crear burocracia nueva. Aplicado al contexto de IA, eso significa que el CDO no necesita un proyecto de 18 meses para responder dónde están sus datos: necesita asignar ownership de datos en los pipelines actuales y establecer una política mínima de clasificación antes de que cualquier dataset entre a un flujo de entrenamiento o inferencia.

    La ventana se está cerrando

    En Chile, el nuevo reglamento de la Ley 21.719 —que entrará en vigencia en 2026— incorpora requisitos de accountability que obligarán a las organizaciones a demostrar, no solo declarar, que tienen control sobre sus datos personales. Colombia avanza en la misma dirección con la actualización de la Ley 1581 bajo supervisión de la SIC (Superintendencia de Industria y Comercio). El patrón regional es claro: la carga de la prueba se invierte, y ya no alcanza con tener una política de privacidad publicada en el sitio web.

    Las organizaciones que lleguen a esa instancia sin un catálogo de datos operativo ni un modelo de ownership claro no tendrán un problema de compliance: tendrán un problema de negocio.

  • IA agéntica en la empresa: gobierno de datos antes de soltar las riendas

    IA agéntica en la empresa: gobierno de datos antes de soltar las riendas

    Los agentes de inteligencia artificial ya no solo responden preguntas: toman decisiones, ejecutan tareas encadenadas y operan con autonomía creciente dentro de los sistemas corporativos. Para los equipos de data governance, esto no es una promesa de eficiencia futura, es un problema de ownership y control que existe hoy.

    La adopción de arquitecturas agénticas en el mundo empresarial está acelerando a un ritmo que supera la madurez de los marcos de gobierno existentes. A diferencia de los modelos de IA conversacional, los agentes pueden acceder a bases de datos, invocar APIs, modificar registros y desencadenar flujos de trabajo sin intervención humana en cada paso. El resultado es un nuevo vector de riesgo que no encaja bien en los playbooks tradicionales de data governance ni en los controles de ciberseguridad convencionales.

    El problema de ownership que nadie quiere resolver primero

    Antes de discutir qué hace un agente, la pregunta crítica es a qué datos tiene acceso y quién responde por ese acceso. En la terminología del DAMA-DMBOK, el concepto de data stewardship —la responsabilidad operativa sobre un conjunto de datos— se vuelve especialmente relevante cuando el “consumidor” del dato es un sistema autónomo. Si un agente procesa datos de clientes para personalizar ofertas o tomar decisiones crediticias, el data steward de ese dominio debe definir explícitamente qué atributos puede consumir el agente, bajo qué condiciones y con qué registro de auditoría.

    El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica como capability crítica la clasificación de datos y el control de acceso basado en sensibilidad. En entornos agénticos, esta capability deja de ser un ejercicio anual de catalogación para convertirse en una guardrail operativa en tiempo real. Sin una clasificación actualizada y un catálogo de datos con data lineage trazable, no es posible saber qué está consumiendo un agente ni qué decisiones está tomando en base a qué información.

    Qué hace el CDO el lunes por la mañana

    El primer movimiento concreto es un inventario de agentes activos o en piloto. En la mayoría de las organizaciones medianas y grandes de la región, ya existe algún agente de IA en producción —muchas veces desplegado por un área de tecnología o una línea de negocio sin pasar por el proceso de data governance—. Mapear qué datos consume cada agente, con qué identidad técnica se autentica y qué logs genera es el punto de partida no negociable. Sin ese inventario, cualquier política es papel mojado.

    El segundo paso es revisar las políticas de acceso con privilegio mínimo aplicadas a identidades no humanas. Los agentes de IA deben operar con el mismo principio que una cuenta de servicio: acceso estrictamente necesario para la tarea definida, con revisión periódica. Esto implica coordinar con el equipo de IAM (Identity and Access Management) para que las identidades de agentes sean ciudadanos de primera clase en el modelo de gobernanza, no excepciones informales.

    El tercer elemento es definir un proceso de aprobación para nuevos agentes que toque datos sensibles o regulados. No alcanza con una revisión de seguridad técnica: debe incluir una evaluación de impacto en el ciclo de vida del dato, quién es el data owner del dominio afectado y qué obligaciones regulatorias están en juego.

    El contexto regulatorio LATAM no espera

    En Brasil, la LGPD (Lei Geral de Proteção de Dados) ya exige que los responsables del tratamiento puedan demostrar las bases legales de cada operación con datos personales. Cuando esa operación la ejecuta un agente autónomo, la carga de la prueba no desaparece: se traslada al proceso de diseño del sistema. La ANPD ha señalado en sus orientaciones sobre IA que la automatización de decisiones con impacto sobre titulares requiere mecanismos de explicabilidad y posibilidad de revisión humana. En Argentina, la AAIP trabaja en una actualización de la Ley 25.326 que incorporará principios similares. En México, el INAI ha emitido criterios sobre decisiones automatizadas en el marco de la LFPDPPP que obligan a informar al titular cuando una decisión significativa se toma sin intervención humana.

    Esto significa que el marco de gobierno para agentes de IA no puede diseñarse solo desde la lógica tecnológica: debe incorporar los requisitos de accountability, explicabilidad y derechos del titular desde el momento del diseño, no como parche posterior al despliegue. Privacy by design y governance by design son, en este contexto, la misma exigencia con distinto nombre.

    El riesgo de esperar a que el marco llegue solo

    La tentación organizacional es esperar a que exista un estándar consolidado —un ISO, un framework de la OCDE, una guía de la autoridad regulatoria local— antes de actuar. Ese enfoque es el que genera los incidentes que después obligan a responder en modo crisis. Los marcos de referencia como el NIST AI RMF ya ofrecen una estructura de gobernanza lo suficientemente concreta para empezar: identificar, medir, gestionar y gobernar el riesgo de sistemas de IA. Adaptarlo al contexto de agentes autónomos con acceso a datos sensibles es un trabajo que puede iniciarse hoy con los equipos existentes.

    “La gobernanza de datos no es un proyecto que se activa cuando hay un problema. Es la infraestructura que determina si el problema ocurre o no.”

    — Principio operativo, DAMA International

    La IA agéntica llegó a las empresas latinoamericanas con los mismos plazos de adopción que en cualquier otro mercado, pero con marcos regulatorios en construcción y equipos de governance todavía dimensionados para un mundo donde los datos los movían las personas.

  • Brecha en proveedor logístico de Bol expone datos de clientes en la dark web

    Brecha en proveedor logístico de Bol expone datos de clientes en la dark web

    El retailer neerlandés Bol notificó a sus clientes que información personal pudo haber sido vista o copiada por terceros no autorizados que accedieron a los sistemas de uno de sus socios logísticos. Los datos comprometidos ya aparecieron publicados en la dark web, según se informó, convirtiendo el incidente en el segundo caso resonante en el comercio minorista holandés en pocas semanas, tras el aviso similar emitido por la cadena de lujo De Bijenkorf.

    Un ataque al proveedor, un problema del retailer

    Bol fue enfático en aclarar que sus propios sistemas no fueron vulnerados. Sin embargo, esa distinción tiene un peso limitado para los consumidores afectados: los datos son igualmente suyos, independientemente de en qué servidor estuvieran almacenados. Este es el patrón clásico del ataque a la cadena de suministro digital — el actor principal no es el blanco directo, pero termina siendo el rostro de la crisis ante sus usuarios. La empresa emitió un comunicado advirtiendo que “alguna información de clientes pudo haber sido visualizada o copiada”, sin detallar el volumen exacto de registros expuestos ni la naturaleza precisa de los datos involucrados.

    La coincidencia temporal con el caso De Bijenkorf no es anecdótica. Sugiere que uno o más actores maliciosos están apuntando sistemáticamente a operadores logísticos que prestan servicios a múltiples retailers, maximizando el impacto de un único punto de compromiso. Este vector — conocido en la industria como third-party breach — es precisamente el que los marcos regulatorios modernos buscan cubrir con obligaciones de due diligence sobre proveedores.

    El GDPR y la notificación: el reloj ya corre

    Bajo el Reglamento General de Protección de Datos (GDPR), tanto el responsable del tratamiento como el encargado tienen obligaciones claras ante una brecha de seguridad. El responsable — en este caso Bol, dado que es quien tiene la relación contractual con el cliente final — debe notificar a la autoridad competente, la Autoriteit Persoonsgegevens (AP) de los Países Bajos, dentro de las 72 horas de haber tomado conocimiento del incidente. Si los datos expuestos representan un riesgo alto para los derechos de los individuos, también corresponde la notificación directa a los afectados. La aparición de los datos en la dark web eleva considerablemente ese nivel de riesgo.

    El caso tiene lectura directa para América Latina. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de notificar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en “prazo razoável”, cuya interpretación la ANPD ha ido precisando en resoluciones sucesivas. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) contempla la notificación de brechas en su normativa, aunque el proyecto de reforma de la Ley 25.326 busca alinear plazos y obligaciones más explícitamente con el estándar europeo. En México, la LFPDPPP no establece un plazo específico de notificación, una laguna que el sector señala como pendiente de resolver.

    La responsabilidad no termina en el firewall propio

    Lo que el incidente de Bol pone sobre la mesa es una pregunta que todo responsable de privacidad en e-commerce y retail debería estar respondiendo ahora mismo: ¿qué nivel de acceso a datos de clientes tienen los proveedores logísticos, y bajo qué controles? Los contratos de tratamiento de datos (Data Processing Agreements o DPA, en la nomenclatura del GDPR) deben especificar medidas técnicas y organizativas mínimas, y su cumplimiento no puede auditarse una sola vez al año. En la región, muchas empresas de retail transfieren datos de envío — nombre, dirección, teléfono, en algunos casos correo electrónico e historial de compras — a operadores logísticos sin cláusulas contractuales que contemplen escenarios de brecha y responsabilidades de notificación.

    “La cadena de responsabilidad sobre los datos personales no termina donde termina el sistema propio. Termina donde termina el dato.”

    — Principio rector del enfoque de responsabilidad proactiva bajo GDPR y LGPD

    Qué mirar en las próximas horas

    Quedan abiertas varias variables que determinarán la gravedad final del caso: el tipo de datos expuestos (si incluyen información financiera o de autenticación, el riesgo escala significativamente), el número de registros publicados en la dark web, y la respuesta formal de la Autoriteit Persoonsgegevens. También será relevante saber si el mismo operador logístico prestaba servicios a De Bijenkorf, lo que confirmaría o descartaría la hipótesis de un ataque coordinado contra un proveedor compartido. Los clientes de Bol, mientras tanto, deberían estar atentos a correos de phishing que utilicen sus datos para parecer legítimos — una táctica habitual una vez que la información personal circula en foros clandestinos.

    En retail, el dato del cliente viaja con el paquete — y la responsabilidad legal, también.

  • CADA: la UE gira hacia la promoción de la IA y cambia las reglas del juego regulatorio

    CADA: la UE gira hacia la promoción de la IA y cambia las reglas del juego regulatorio

    La Comisión Europea presentó el Cloud and AI Development Act (CADA), una propuesta que redefine el enfoque regulatorio de la UE: ya no solo regula la inteligencia artificial, sino que la promueve activamente. El principio “AI first” queda codificado por primera vez en un instrumento legislativo europeo, y la señal que emite hacia el resto del mundo —incluida América Latina— es difícil de ignorar.

    Hasta ahora, el relato dominante sobre la UE y la IA era el de un bloque cauteloso, orientado al riesgo y dispuesto a sacrificar velocidad de adopción en nombre de la protección de derechos. El AI Act, aprobado en 2024, consolidó esa imagen. El CADA representa algo distinto: un reconocimiento explícito de que la regulación restrictiva, por sí sola, puede dejar a Europa fuera de la carrera tecnológica. La propuesta combina soberanía cloud con habilitación de IA, dos agendas que hasta ahora corrían en paralelo y que ahora convergen en un solo instrumento.

    Qué propone el CADA y por qué importa

    El Cloud and AI Development Act apunta a dos objetivos simultáneos: fortalecer la infraestructura cloud europea y crear condiciones más favorables para el desarrollo de sistemas de IA dentro del bloque. La codificación del principio “AI first” implica que, en el diseño de nuevas políticas y regulaciones, la habilitación del desarrollo de IA pasa a ser un criterio explícito de evaluación, no un efecto colateral deseable. Es un cambio de lógica: en lugar de preguntar “¿qué riesgos introduce esta tecnología?”, la pregunta ahora también incluye “¿qué barreras innecesarias estamos creando?”

    La propuesta también aborda el acceso a datos para el entrenamiento de modelos, la disponibilidad de infraestructura computacional dentro del territorio europeo y las condiciones bajo las cuales los desarrolladores —tanto grandes empresas como startups— pueden operar sin enfrentar cargas regulatorias asimétricas. Según se informó desde organismos de análisis de política tecnológica, el texto busca equilibrar la protección de derechos fundamentales ya consagrada en el AI Act con un marco que no desincentive la inversión en innovación.

    El giro estratégico detrás del texto

    El contexto importa tanto como el contenido. La UE lleva años observando cómo el liderazgo en modelos fundacionales se concentra en Estados Unidos y China. Las restricciones en el acceso a datos de entrenamiento, la fragmentación regulatoria entre Estados miembros y los costos de cumplimiento del AI Act generaron presiones crecientes de la industria tecnológica europea. El CADA es, en parte, una respuesta a esa tensión. No implica abandonar el enfoque de derechos —el GDPR y el AI Act siguen vigentes— sino añadir una capa de política industrial que la UE históricamente dejó en segundo plano cuando legisló sobre tecnología.

    “El CADA es tanto una ley de promoción y habilitación de la IA como una ley de soberanía cloud.”

    — Future of Privacy Forum, análisis del CADA, agosto 2025

    Este enfoque tiene precedentes fuera de Europa. Estados Unidos avanzó con ejecutivas y fondos de inversión en infraestructura de IA sin esperar marcos regulatorios comprehensivos. China integró la promoción de IA en sus planes quinquenales desde 2017. La novedad del CADA es que intenta hacer ambas cosas al mismo tiempo: regular y promover, dentro de un solo instrumento con base en el derecho comunitario.

    Implicancias para América Latina

    La región sigue de cerca los movimientos regulatorios europeos, y no solo por influencia académica. Brasil sancionó su Ley de IA —aprobada en 2025— con una arquitectura que bebe directamente del AI Act europeo, incluyendo la clasificación por niveles de riesgo y obligaciones diferenciadas para sistemas de alto impacto. Colombia avanza en su propio marco a través del documento CONPES 3988 y actualizaciones normativas en curso. Chile trabaja en un proyecto de ley de IA que también toma como referencia el modelo europeo. Si el CADA modifica sustancialmente la lógica del AI Act al incorporar el principio de habilitación, los marcos latinoamericanos que lo tomaron como modelo deberán evaluar si incorporan ese mismo equilibrio o si optan por mantener el sesgo regulatorio original.

    El debate es relevante para los equipos jurídicos y de cumplimiento de empresas que operan en ambos bloques. Una empresa con presencia en Brasil y en la UE que desarrolla sistemas de IA deberá navegar dos capas regulatorias que, hasta el AI Act, apuntaban en la misma dirección. Si el CADA introduce flexibilidades específicas para el desarrollo de modelos en suelo europeo, esa asimetría puede tener consecuencias prácticas en decisiones de inversión, localización de datos y estructuras de cumplimiento.

    La tensión que el CADA no resuelve

    El CADA no elimina las tensiones entre protección de datos y entrenamiento de modelos de IA. El GDPR sigue siendo la norma de referencia para el tratamiento de datos personales en la UE, y las autoridades de protección de datos —como el Comité Europeo de Protección de Datos— ya han señalado que la expansión del acceso a datos para IA debe respetar los principios de minimización y limitación de finalidad. Cómo coexistirán el principio “AI first” del CADA con esas restricciones es una pregunta que los organismos regulatorios europeos deberán resolver en los próximos meses, probablemente a través de guías y decisiones de supervisión que tendrán impacto directo en la industria global.

    El CADA puede ser el inicio de una reconfiguración profunda del modelo regulatorio europeo: si la UE logra combinar habilitación y protección de derechos sin sacrificar ninguno de los dos, habrá construido el manual que América Latina todavía está buscando.

  • Ransomware a Oldelval: la gobernanza que le falta a Vaca Muerta

    Ransomware a Oldelval: la gobernanza que le falta a Vaca Muerta

    Oldelval, que transporta el 75% del crudo de Vaca Muerta por más de 1.700 km de oleoductos, confirmó un ataque de ransomware. El mismo grupo —The Gentlemen— había vulnerado a EcoPetrol en Colombia una semana antes. El transporte no se interrumpió, pero el patrón regional expone un vacío: ningún país de la región tiene un marco de ciberseguridad para infraestructura energética.

    Qué pasó: ransomware en el corazón del sistema petrolero argentino

    Oleoductos del Valle (Oldelval) informó a la Comisión Nacional de Valores (CNV) de Argentina un incidente de ciberseguridad en sus sistemas administrativos, clasificado como un ataque de ransomware del tipo RaaS (Ransomware as a Service). El ataque fue reivindicado por un grupo que se presenta como The Gentlemen, el mismo que una semana antes había comprometido sistemas de EcoPetrol en Colombia, donde accedió a datos de unas 3.300 cuentas de usuarios y de 15 empresas vinculadas alojadas en servicios de nube.

    Oldelval opera la red principal de transporte de petróleo de Argentina: más de 1.700 kilómetros de oleoductos que conectan los yacimientos de la cuenca neuquina con las terminales de exportación de Puerto Rosales y Punta Colorada, en Bahía Blanca. Por sus ductos circula aproximadamente el 75% del crudo de Vaca Muerta, según la información reportada por la propia compañía a la CNV. Entre sus clientes figuran YPF (accionista principal con el 37% del paquete accionario), Vista Energy, Pan American Energy, Chevron, Shell, Tecpetrol, Pluspetrol, Pampa Energía y TotalEnergies.

    La empresa aseguró que el incidente está “100% controlado”, que el transporte de crudo no sufrió interrupciones y que los sistemas administrativos fueron restaurados. No detalló el vector de ataque ni confirmó si hubo exfiltración de datos o demanda de rescate. Oldelval indicó que avanza con las presentaciones ante las “autoridades competentes”, sin precisar cuáles.

    Contexto regulatorio: Argentina no tiene ley de ciberseguridad para infraestructura crítica

    Argentina carece de una ley integral de ciberseguridad para infraestructura crítica. La Decisión Administrativa 641/2021 creó el Comité de Ciberseguridad y definió lineamientos para el sector público, pero su alcance sobre operadores privados de infraestructura crítica energética es limitado. La Ley 26.388 de Delitos Informáticos (2008) tipifica conductas pero no establece obligaciones de protección, notificación de incidentes ni estándares mínimos de seguridad para operadores de infraestructura esencial.

    El ataque ocurre en un momento de expansión acelerada. El proyecto Duplicar Norte —un oleoducto de 207 kilómetros adjudicado a Techint— comenzará operaciones parciales a fines de 2026, con habilitación plena en el primer trimestre de 2027, según la información publicada por Infobae. En diciembre de 2024, Techint completó anticipadamente el módulo Duplicar Plus de 254 kilómetros. Cuando toda la red esté integrada con el sistema Vaca Muerta Sur, canalizará cerca del 80% de la producción regional hacia puertos de exportación.

    Mientras tanto, el proyecto de reforma de la Ley de Protección de Datos Personales (expediente 1751-D-2026, según la IAPP) se encuentra en el Congreso con provisiones sobre decisiones automatizadas y entornos de prueba regulatorios, pero no aborda específicamente la protección de infraestructura crítica.

    Por qué importa: gobernanza de datos en infraestructura energética

    El caso Oldelval no es solo un incidente de ciberseguridad: es un problema de gobernanza de datos en infraestructura crítica. Cuando un operador que transporta el 75% del crudo de la formación de esquisto no convencional más importante de América Latina sufre un ataque de ransomware, las preguntas relevantes no son solo técnicas (qué cortafuegos falló, qué dispositivo quedó expuesto) sino de gobernanza: ¿quién define los estándares de protección de datos operacionales en el sector energético? ¿Qué autoridad supervisa? ¿Qué obligación de notificación existe, más allá de la comunicación voluntaria a la CNV por ser una empresa con obligaciones de reporte bursátil?

    El patrón regional lo agrava. Que el mismo grupo ataque a EcoPetrol en Colombia y a Oldelval en Argentina en un lapso de dos semanas sugiere una campaña coordinada contra infraestructura energética latinoamericana — no incidentes aislados.

    Marco legal comparado: cómo protegen (o no) la infraestructura crítica en la región

    Brasil

    Brasil es el país con el marco más avanzado de la región en esta materia. La Autoridade Nacional de Proteção de Dados (ANPD) publicó en julio de 2026 los primeros resultados de su entorno de prueba regulatorio de inteligencia artificial, en el que monitorea a tres empresas que desarrollan soluciones de IA, identificando desafíos en “gobernanza, seguridad, transparencia y protección de datos”, según la IAPP. La ANPD también contrató especialistas para producir cinco estudios técnicos sobre temas que incluyen patrones oscuros, agentes de IA y tratamiento de datos en plataformas de envío a domicilio. Además, Brasil cuenta con la Ley General de Protección de Datos (Ley 13.709/2018, LGPD) con la ANPD como autoridad de control con capacidad sancionatoria, y el Decreto 10.748/2021 que instituyó la Red Federal de Gestión de Incidentes Cibernéticos para el sector público.

    Chile

    Chile se prepara para la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales el 1 de diciembre de 2026, que modifica integralmente la ley de 1999 y crea la Agencia de Protección de Datos Personales. Sin embargo, a agosto de 2026 la autoridad aún no ha sido designada: dos listas de candidatos fallaron y no se anunciaron nuevas nominaciones. El gobierno publicó lineamientos para que los organismos públicos designen coordinadores institucionales y desarrollen políticas internas, pero la implementación para el sector privado — incluidos operadores de infraestructura crítica — permanece indefinida hasta que la agencia esté operativa. Chile también cuenta con la Ley 21.663 Marco de Ciberseguridad (2024), una de las más completas de la región, que establece obligaciones para operadores de infraestructura crítica de la información.

    Colombia

    Colombia actualizó su Modelo de Seguridad y Privacidad de la Información para incorporar lineamientos específicos sobre inteligencia artificial para entidades públicas, con medidas “técnicas, organizacionales y regulatorias” para gestionar riesgos de IA y proteger datos personales, según la IAPP. No obstante, el ataque a EcoPetrol — donde el grupo The Gentlemen accedió a datos de 3.300 cuentas de usuarios de 15 empresas afiliadas, según Infobae— demuestra que el modelo no ha prevenido compromisos significativos en el sector energético. Colombia tiene la Ley 1581 de 2012 de Protección de Datos Personales y la Superintendencia de Industria y Comercio (SIC) como autoridad, pero carece de regulación específica de ciberseguridad para infraestructura energética comparable a la Directiva (UE) 2022/2555 sobre seguridad de las redes y sistemas de información (NIS2).

    México

    México opera bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2010) y la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (2017). El país tiene un antecedente directo: Petróleos Mexicanos (Pemex) sufrió un ataque de ransomware en noviembre de 2019, atribuido al grupo DoppelPaymer, que afectó operaciones administrativas en múltiples instalaciones. Al igual que en el caso de Oldelval, no hubo interrupción de la producción. No hay legislación específica de protección de infraestructura crítica energética contra ciberataques.

    Qué hacer: acciones concretas según el rol

    Si sos delegado de protección de datos (DPO, por sus siglas en inglés) o responsable de datos en el sector energético: Verificar que los protocolos de respuesta a incidentes incluyan no solo la restauración operativa sino la evaluación de datos personales comprometidos (empleados, contratistas, proveedores), con los plazos de notificación que exija la jurisdicción aplicable.

    Si sos director de seguridad de la información (CISO, por sus siglas en inglés) o responsable de seguridad: Evaluar la exposición de los sistemas administrativos como vector de entrada. El hecho de que Oldelval haya separado exitosamente los sistemas operacionales —sistemas de control de supervisión y adquisición de datos (SCADA) y sistemas de control industrial (ICS)— de los administrativos es una señal positiva de segmentación, pero no elimina el riesgo de exfiltración de datos corporativos sensibles: contratos, información financiera, datos de clientes como YPF, Shell o Chevron.

    Si sos regulador o legislador: El patrón regional de The Gentlemen (Colombia y Argentina en dos semanas) justifica un tratamiento coordinado. Revisar si la legislación vigente obliga a operadores de infraestructura crítica a reportar incidentes de ciberseguridad, implementar estándares mínimos y someterse a auditorías periódicas.

    Qué monitorear: Si Oldelval revela exfiltración de datos en los próximos días, las implicancias regulatorias se amplían significativamente — especialmente si los datos comprometidos incluyen información comercial de las petroleras que son sus clientes. También monitorear si The Gentlemen publica datos en sitios de filtración como ha hecho con otras víctimas.

    Nuestro análisis

    El caso Oldelval confirma una asimetría que venimos señalando: la infraestructura energética latinoamericana se expande a ritmo acelerado — Argentina proyecta exportaciones de crudo por hasta 8.000 millones de dólares anuales — pero la gobernanza de datos y la regulación de ciberseguridad que debería acompañar esa expansión avanzan a un ritmo incompatible.

    El precedente de Colonial Pipeline en 2021 — un ataque de ransomware que paralizó el suministro de combustible en la costa este de Estados Unidos durante una semana y derivó en el pago de 75 bitcoines en concepto de rescate (aproximadamente 4,3 millones de dólares en ese momento, de los cuales el FBI recuperó 2,3 millones), según Infobae — debería haber sido suficiente para que los países productores de la región legislaran sobre protección de infraestructura crítica energética. Cinco años después, ningún país de América Latina tiene un marco equivalente a la Directiva (UE) 2022/2555 sobre seguridad de las redes y sistemas de información (NIS2), que desde octubre de 2024 obliga a los operadores de infraestructura esencial a implementar medidas de gestión de riesgos de ciberseguridad, reportar incidentes en plazos definidos y someterse a supervisión activa.

    Que Oldelval haya podido mantener el transporte de crudo operativo es un dato positivo — sugiere que la segmentación entre redes de tecnología operacional (OT) y de tecnología de la información (IT) funcionó. Pero la pregunta no es si esta vez se evitó el peor escenario, sino qué pasa cuando la próxima no funcione. Con una red que se duplica en capacidad y un volumen de exportación que se multiplica, el costo de un incidente que sí afecte el transporte de crudo ya no se mide en datos comprometidos: se mide en barriles que no llegan al puerto, contratos internacionales incumplidos y un golpe a la credibilidad de Argentina como proveedor energético confiable.

    La gobernanza de datos en infraestructura crítica no es un problema de IT: es un problema de política pública.

    Preguntas frecuentes

    ¿Se interrumpió el transporte de petróleo por el ataque a Oldelval?

    No. Oldelval confirmó que el transporte de crudo no sufrió interrupciones y que el incidente afectó únicamente los sistemas administrativos. La compañía declaró que el ataque está “100% controlado”.

    ¿Qué es The Gentlemen y por qué atacan infraestructura energética en LATAM?

    The Gentlemen es un grupo que opera bajo el modelo de Ransomware as a Service (RaaS). Reivindicó ataques contra EcoPetrol en Colombia y Oldelval en Argentina en un lapso de dos semanas. La hipótesis más fuerte apunta a atacantes extranjeros, aunque no se descartan actores locales.

    ¿Argentina tiene una ley de ciberseguridad para infraestructura crítica?

    No. Argentina no cuenta con una ley integral de ciberseguridad que establezca obligaciones específicas para operadores de infraestructura crítica privados. La Decisión Administrativa 641/2021 cubre lineamientos para el sector público, y la Ley 26.388 tipifica delitos informáticos pero no impone estándares de protección.

    Fuente principal: Infobae, “La operadora del oleoducto por el que circula el 75% del petróleo de Vaca Muerta sufrió un ciberataque en sus sistemas”, 2 de agosto de 2026 (https://www.infobae.com/economia/2026/08/02/la-operadora-del-oleoducto-por-el-que-circula-el-75-del-petroleo-de-vaca-muerta-sufrio-un-ciberataque-en-sus-sistemas/). Contexto regulatorio regional: IAPP, “Notas de la IAPP América Latina: Avances en la implementación de normas sobre IA y protección de datos”, agosto de 2026.