DataTrends LATAM

Autor: Redacción

  • OpenAI y el robo de archivos: las señales de alerta para la gobernanza de datos corporativa

    OpenAI y el robo de archivos: las señales de alerta para la gobernanza de datos corporativa

    Las acusaciones de robo de archivos contra un empleado de OpenAI pusieron en primer plano un riesgo que muchas organizaciones subestiman: la exfiltración de datos sensibles desde adentro. El caso no es sobre ciberseguridad perimetral — es sobre qué pasa cuando los controles de gobernanza de datos fallan en el punto más cercano al activo: el ser humano con acceso autorizado.

    Según se informó, el incidente involucra a un ex empleado de OpenAI al que se le imputan cargos relacionados con la sustracción de archivos internos de la compañía. Los detalles procesales aún están en etapa preliminar, pero el patrón es familiar para cualquier equipo de gobernanza de datos: un insider con credenciales legítimas, acceso a activos de alto valor y controles de salida insuficientes. El resultado es una brecha que ningún firewall hubiera detenido.

    Por qué el data ownership importa más que el perímetro tecnológico

    La gobernanza de datos tradicional concentra esfuerzos en calidad, linaje y catálogos. Pero el caso de OpenAI expone una capacidad frecuentemente subdesarrollada: el control de acceso granular vinculado al rol y al ciclo de vida del dato. En términos del marco DAMA-DMBOK, esto corresponde a la disciplina de Data Security dentro del cuerpo de conocimiento — una de las diez áreas de conocimiento que los equipos de datos suelen tercerizar completamente a IT sin asumir corresponsabilidad desde el gobierno del dato.

    La distinción importa. Cuando un data steward define qué dataset puede ver qué perfil de usuario, y bajo qué condición de tiempo o propósito, está construyendo la primera línea de defensa contra la exfiltración interna. Sin esa definición operativa, IT no tiene una política que implementar — solo tiene una infraestructura que proteger sin saber exactamente qué.

    El riesgo del acceso sin expiración y la ausencia de clasificación

    Los incidentes de insider threat comparten una anatomía recurrente: acceso que se acumula con el tiempo sin revisión, datos sin clasificación formal que no disparan alertas al moverse, y offboarding que elimina la cuenta pero no audita qué se copió antes. En el marco CDMC (Cloud Data Management Capabilities) del EDM Council, la capacidad 9 —Data Security & Privacy— incluye explícitamente la gestión del ciclo de acceso, el principio de mínimo privilegio y los controles de Data Loss Prevention (DLP) como requisitos auditables. Pocas organizaciones de la región los implementan con rigor equivalente al nivel 3 de madurez.

    La clasificación de datos es el habilitador crítico. Sin un esquema que distinga entre datos públicos, internos, confidenciales y restringidos — y sin que esa clasificación esté operacionalizada en controles técnicos — los sistemas de DLP no tienen criterio para actuar. El dato sale sin que nadie lo sepa porque nadie había definido que ese dato era importante.

    Cuándo aplica este análisis / cuándo NO

    Este ángulo de gobernanza aplica cuando la organización maneja activos de datos de alto valor — modelos propietarios, datasets de entrenamiento, bases de clientes, información comercial sensible — y tiene empleados con acceso amplio a esos activos. No aplica como problema exclusivo de grandes tecnológicas: cualquier empresa que haya consolidado datos en un data lake o plataforma cloud sin una política de clasificación y control de acceso asociada enfrenta una exposición equivalente. Lo que varía es la probabilidad y el impacto, no la vulnerabilidad estructural.

    El frente LATAM: marcos locales que ya exigen controles similares

    En América Latina, la presión regulatoria sobre controles internos de datos va en aumento. La Lei Geral de Proteção de Dados (LGPD) de Brasil exige que los operadores adopten medidas de seguridad “técnicas y administrativas” aptas para proteger los datos personales de accesos no autorizados — lo que incluye el acceso indebido por parte de empleados. La Autoridade Nacional de Proteção de Dados (ANPD) ya emitió orientaciones sobre el principio de necesidad que limita el acceso al mínimo indispensable para la finalidad declarada. En Argentina, la Ley 25.326 y las disposiciones de la AAIP establecen obligaciones similares sobre seguridad de la información. En México, la LFPDPPP y su reglamento requieren que los responsables implementen controles de acceso diferenciado. Ninguna de estas normas habla de “data steward” o “CDMC”, pero todas describen obligaciones que solo pueden cumplirse si existe una función de gobernanza que traduzca la regulación en controles operativos concretos.

    Un CDO que trabaje en Brasil, Argentina o México debería revisar si su organización puede responder afirmativamente a tres preguntas: ¿Sabemos qué datasets son críticos y quién tiene acceso hoy? ¿Tenemos un proceso de revisión periódica de accesos (access recertification)? ¿El offboarding incluye un paso de auditoría de actividad reciente antes de revocar credenciales? Si la respuesta a cualquiera de las tres es “no” o “no sé”, el caso de OpenAI dejó de ser noticia ajena.

    La ANPD y la AAIP no necesitan esperar un incidente local para empezar a preguntar por controles de acceso interno — las obligaciones ya están en los textos vigentes. La documentación del DAMA-DMBOK (capítulo 7, Data Security) y el catálogo de capacidades CDMC del EDM Council son los puntos de partida para estructurar una respuesta auditabe.

  • Acusaciones contra OpenAI y los riesgos de gobernanza de datos en la empresa

    Acusaciones contra OpenAI y los riesgos de gobernanza de datos en la empresa

    Las acusaciones de robo de archivos contra OpenAI no son solo un litigio corporativo: exponen una falla estructural en la manera en que las empresas clasifican, custodian y controlan el acceso a sus datos antes de que lleguen a un proveedor de inteligencia artificial. El caso ilustra por qué la gobernanza de datos es un prerequisito, no un complemento, de cualquier estrategia de IA empresarial.

    El caso, según se informó, involucra alegaciones de que empleados o ex-empleados habrían sustraído archivos propietarios y los habrían trasladado a OpenAI o utilizado en conexión con sus sistemas. Independientemente del desenlace legal, el patrón que describe es conocido para cualquier CDO que haya intentado rastrear qué datos salen de la organización y hacia dónde: sin un modelo sólido de ownership, clasificación y data lineage, la empresa no puede saber qué perdió hasta que alguien se lo dice en una demanda.

    Qué falla cuando los datos se mueven sin trazabilidad

    El concepto de data lineage —la capacidad de rastrear el origen, el movimiento y la transformación de un dato a lo largo del tiempo— es la primera línea de defensa ante este tipo de incidentes. Cuando un empleado copia archivos a un entorno externo, el lineage debería activar una alerta: el dato salió del grafo conocido. Pero en la mayoría de las organizaciones, ese grafo no existe más allá del data warehouse, y los archivos no estructurados —documentos, presentaciones, modelos internos— quedan fuera del radar del catálogo de datos corporativo. Según el marco DAMA-DMBOK (segunda edición), la gestión del ciclo de vida del dato incluye explícitamente la trazabilidad de su disposición y transferencia, algo que pocas organizaciones implementan de manera efectiva para activos no estructurados.

    El rol del data steward es igualmente crítico aquí. Bob Seiner, referente en Non-Invasive Data Governance, define al steward no como un guardián burocrático sino como la persona que ya toma decisiones sobre un dato y simplemente las formaliza. Cuando ese rol no está asignado sobre archivos sensibles —código fuente, modelos propietarios, datos de clientes— nadie detecta el movimiento anómalo porque nadie tiene ownership formal del activo.

    Cuándo aplica / cuándo NO este riesgo

    Este riesgo de exfiltración silenciosa aplica de manera directa cuando la empresa utiliza proveedores de IA externos —ya sea a través de APIs, plugins o plataformas SaaS con capacidades generativas— y los empleados tienen acceso amplio a datos propietarios sin controles de clasificación. También aplica en escenarios de offboarding: cuando un empleado con acceso privilegiado sale de la organización y no existe un proceso formal de revocación de acceso y auditoría de lo que exportó antes de irse. No aplica —o aplica con menor urgencia— en organizaciones que operan modelos de IA completamente on-premise, sin transferencia de datos a terceros, y con controles de DLP (Data Loss Prevention) activos y auditados sobre todos los endpoints.

    Shadow AI: el vector que amplifica el riesgo en 2025

    Un factor que el caso OpenAI pone en primer plano es el del shadow AI: el uso de herramientas de inteligencia artificial generativa por parte de empleados sin autorización ni supervisión del área de TI o de datos. Según estimaciones del sector citadas por Gartner en 2024, más del 40% de los empleados en grandes organizaciones utiliza herramientas de IA generativa fuera de los canales corporativos aprobados. Cuando un empleado sube archivos internos a ChatGPT, Gemini o cualquier herramienta SaaS con IA para “hacer su trabajo más rápido”, está transfiriendo datos fuera del perímetro controlado, muchas veces sin que el dato haya sido clasificado previamente como sensible o confidencial. Sin clasificación, no hay política aplicable. Sin política aplicable, no hay infracción interna detectable hasta que el daño ya ocurrió.

    El ángulo regulatorio en Argentina, Brasil y México

    En América Latina, el escenario tiene capas regulatorias adicionales. En Argentina, la Ley 25.326 de Protección de Datos Personales establece obligaciones sobre la cesión y transferencia de datos a terceros, incluyendo proveedores tecnológicos en el exterior, lo que convierte cualquier transferencia no controlada a un sistema de IA externo en una potencial infracción ante la AAIP. En Brasil, la LGPD (Lei 13.709/2018) exige base legal para el tratamiento y transferencia internacional, y la ANPD ha señalado el uso de IA como una de sus prioridades de fiscalización para 2025 y 2026. En México, el INAI supervisa el cumplimiento de la LFPDPPP también en contextos B2B cuando hay datos de personas físicas involucrados. En los tres casos, el prerequisito regulatorio es el mismo que el prerequisito de gobernanza: saber qué datos tenés, cómo están clasificados, quién tiene acceso y hacia dónde se mueven.

    Tres controles que un CDO puede activar esta semana

    Frente a este escenario, la respuesta operativa no requiere esperar a que el litigio se resuelva. Un CDO con mandato real puede activar de inmediato tres controles de alta prioridad:

    • Auditar el inventario de activos no estructurados sensibles (código fuente, modelos propietarios, datos de clientes en formatos de archivo) y asignar un data steward formal con accountability documentada para cada dominio crítico.
    • Revisar los controles de DLP sobre endpoints y canales de salida, con foco específico en transferencias hacia dominios de proveedores de IA (openai.com, anthropic.com, gemini.google.com, etc.) y servicios de almacenamiento en la nube no corporativos.
    • Establecer o actualizar la política de uso de IA generativa externa, con un proceso de aprobación explícito para herramientas de IA y una cláusula de clasificación previa obligatoria: ningún dato puede salir hacia un sistema de IA externo si no tiene una etiqueta de clasificación asignada.

    El marco CDMC (Cloud Data Management Capabilities) del EDM Council, en su capability 8 sobre protección y privacidad de datos, ofrece un modelo de madurez útil para evaluar en qué punto se encuentra la organización antes de escalar el uso de proveedores de IA externos.

    Las acusaciones contra OpenAI no definen culpabilidad, pero sí definen una pregunta que todo CDO debería poder responder hoy: si un empleado copiara los archivos más sensibles de la organización y los cargara a un sistema de IA externo esta tarde, ¿cuánto tardaríamos en saberlo?

  • Lectores de patentes sin orden judicial: EFF lleva el debate a Wisconsin

    Lectores de patentes sin orden judicial: EFF lleva el debate a Wisconsin

    La Electronic Frontier Foundation y la ACLU de Wisconsin presentaron una petición ante la Corte Suprema de ese estado para que declare inconstitucionales las búsquedas retrospectivas en bases de datos de lectores automatizados de patentes (ALPR) sin orden judicial previa. El caso involucra cuatro ciudades —Milwaukee, Racine, Kenosha y Green Bay— y tiene como cliente principal al Wisconsin Council of Churches, una organización religiosa cuya membresía considera especialmente sensible el registro sistemático de sus desplazamientos. Un tribunal federal en Oklahoma ya sentó un precedente al calificar los ALPR como “un tipo de vigilancia masiva indiscriminada”.

    Los sistemas ALPR capturan, almacenan y cruzan las matrículas de miles de vehículos en tiempo real. La discusión no es si la tecnología puede hacerlo —técnicamente, puede—, sino si el Estado tiene derecho a consultarla sin que un juez valide previamente que existe una sospecha individualizada sobre alguien. Esa distinción es el núcleo del debate constitucional que la EFF intenta instalar, primero en California con el caso SIREN v. San José y ahora en Wisconsin.

    Qué registran los ALPR y por qué la acumulación importa más que cada dato

    Un lector de patentes aislado parece inocuo: toma una foto, registra una matrícula, anota hora y lugar. Pero cuando cuatro ciudades comparten y agregan esos registros durante meses, el resultado es un mapa detallado de los hábitos de vida de personas que nunca fueron sospechosas de nada. La petición ante la Corte Suprema de Wisconsin describe con precisión el tipo de información que queda expuesta: visitas a centros médicos, participación en reuniones de recuperación de adicciones, asistencia a servicios religiosos, concurrencia a protestas o encuentros políticos. Individualmente, ninguno de esos datos es comprometedor. Agregados y buscados retrospectivamente, permiten construir un perfil que ninguna persona razonable aceptaría compartir voluntariamente con la policía sin una orden judicial.

    El argumento de la EFF descansa en la doctrina del “efecto mosaico” —desarrollada en el razonamiento del juez Sotomayor en el caso United States v. Jones (2012) ante la Corte Suprema federal de Estados Unidos— según la cual la acumulación de datos aparentemente triviales puede constituir una intrusión más grave a la privacidad que una búsqueda domiciliaria puntual. Wisconsin tiene clausulas constitucionales propias de privacidad que, según la organización, ofrecen protecciones más amplias que la Cuarta Enmienda federal.

    El fallo de Oklahoma de octubre de 2026: primer precedente judicial sobre ALPR como vigilancia masiva

    A principios de octubre de 2026, un tribunal federal en Oklahoma emitió la primera resolución judicial estadounidense que califica explícitamente a los ALPR como “un tipo de vigilancia masiva indiscriminada” y excluyó como prueba la evidencia obtenida mediante una búsqueda sin orden. La EFF calificó el resultado como parcialmente decepcionante —según se informó, el fallo no resolvió todos los puntos planteados—, pero reconoció su valor histórico como precedente. Para la estrategia litigiosa de la organización, ese fallo en Oklahoma y la petición en Wisconsin forman parte de una campaña coordinada: construir doctrina estado por estado hasta forzar una definición federal o legislativa.

    El impacto sobre las organizaciones que operan sistemas de vigilancia urbana —proveedores como Flock Safety o Motorola Solutions, que abastecen a decenas de departamentos de policía en EE.UU.— aún no es claro. Si Wisconsin resuelve a favor de la EFF, los departamentos que comparten datos con ciudades de ese estado deberán revisar sus protocolos de acceso retroactivo y sus contratos con terceros.

    Argentina, Brasil y México frente a la vigilancia biométrica y vehicular: marcos disímiles

    América Latina no es ajena al despliegue de ALPR. En Argentina, el sistema de reconocimiento de patentes forma parte de la infraestructura del programa de videovigilancia del Ministerio de Seguridad de la Nación y de los sistemas provinciales. La Ley 25.326 de Protección de Datos Personales establece que los datos sensibles —entre los cuales podrían encuadrarse los de localización vinculados a actividades religiosas o políticas— requieren consentimiento expreso o habilitación legal específica, pero la norma data de 2000 y no contempla explícitamente la inteligencia de fuentes abiertas ni la agregación masiva de datos vehiculares. La Agencia de Acceso a la Información Pública (AAIP) no ha emitido hasta la fecha una resolución específica sobre el uso de ALPR por fuerzas de seguridad.

    Brasil presenta un escenario más activo. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica datos de localización como datos personales cuando permiten identificar a una persona, y la Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en regulaciones sectoriales. Sin embargo, la base legal de “seguridad pública” contenida en el artículo 4 de la LGPD crea una zona gris que permite a las fuerzas de seguridad operar con mayor margen, siempre que exista habilitación legal específica. La discusión sobre si la consulta retrospectiva de bases de ALPR exige autorización judicial es, en Brasil, una deuda regulatoria pendiente.

    México, por su parte, desplegó en años recientes cámaras con lectura de patentes en la Ciudad de México y en estados como Jalisco y Nuevo León. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) no aplica al sector público, que se rige por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO). El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) tiene facultades para revisar el tratamiento de datos por parte de entes públicos, pero su capacidad de supervisión sobre operaciones de inteligencia de seguridad es limitada en la práctica.

    Qué cambia para empresas y entidades religiosas que operan en entornos de vigilancia urbana

    El caso de Wisconsin introduce un elemento que rara vez aparece en el debate sobre ALPR: el impacto específico sobre organizaciones con actividades constitucionalmente protegidas. Una iglesia, una clínica de salud mental, un sindicato o un partido político que opera en una ciudad con cobertura ALPR genera, sin saberlo, un registro permanente de quién visita sus instalaciones. Para las organizaciones de la sociedad civil en LATAM, ese riesgo es igualmente real. Una entidad que ofrece asistencia a víctimas de violencia doméstica en Buenos Aires, Bogotá o Ciudad de México no puede garantizar a sus asistentes que su desplazamiento hasta la sede no quedará indexado en una base de datos policial durante años.

    Las empresas que proveen tecnología de vigilancia a gobiernos latinoamericanos deben monitorear este litigio: si la doctrina del “efecto mosaico” se consolida jurisprudencialmente en EE.UU., presionará hacia estándares de auditoría y limitación de retención de datos que eventualmente migrarán a los contratos de exportación de tecnología de seguridad.

    Qué monitorear: los próximos hitos en Wisconsin y su proyección regional

    La Corte Suprema de Wisconsin deberá decidir si acepta la petición para revisar el caso. Si la admite, el proceso de briefing y argumentación oral podría extenderse durante 2027. En paralelo, el caso SIREN v. San José en California avanza en el circuito federal y podría generar una segunda resolución con peso doctrinal antes de que Wisconsin resuelva. En LATAM, dos eventos merecen seguimiento: la revisión del anteproyecto de reforma a la Ley 25.326 en Argentina —que podría incluir disposiciones sobre datos de localización— y los avances regulatorios de la ANPD en Brasil sobre tratamiento de datos por parte del sector público de seguridad.

    Nuestro análisis

    El litigio de la EFF en Wisconsin no es solo un debate constitucional estadounidense. Es la primera vez que una organización de alcance nacional construye una teoría jurídica sistemática contra la vigilancia vehicular masiva con clientes que representan a comunidades religiosas —un actor que los tribunales históricamente tratan con deferencia cuando alega vulneración de derechos asociativos o de conciencia. Esa elección de cliente no es casual: maximiza la simpatía judicial y amplía el alcance potencial del fallo más allá de la privacidad individual.

    Para la región, el déficit es evidente: ninguna autoridad de protección de datos de América Latina ha emitido hasta la fecha una resolución que regule específicamente la consulta retrospectiva de bases ALPR por fuerzas de seguridad, a pesar de que la tecnología ya está desplegada en al menos cinco países. La AAIP en Argentina, la ANPD en Brasil y el INAI en México tienen bases legales para actuar; lo que falta es voluntad regulatoria. El precedente de Oklahoma demuestra que los tribunales pueden avanzar donde los reguladores no lo hacen.

    Si una organización religiosa en Green Bay tiene argumentos jurídicos para resistir la vigilancia masiva de sus feligreses, una clínica de salud sexual en Ciudad de México o un centro de asistencia a migrantes en Buenos Aires también los tiene — pero ninguna autoridad latinoamericana se ha preguntado todavía quién los va a defender.

  • TSA no protegió datos biométricos de pasajeros, según auditoría del DHS

    TSA no protegió datos biométricos de pasajeros, según auditoría del DHS

    El Inspector General del Departamento de Seguridad Nacional de Estados Unidos (DHS OIG) detectó una “debilidad significativa” en el sistema de reconocimiento facial de la Administración de Seguridad en el Transporte (TSA): un proveedor externo accedió y extrajo imágenes de pasaportes y licencias de conducir de pasajeros sin conocimiento de la agencia, y sin que los afectados fueran notificados.

    El hallazgo surge de una auditoría al sistema CAT-2 (Credential Authentication Technology 2), la tecnología que la TSA despliega en aeropuertos estadounidenses para verificar identidad mediante comparación facial. Según el resumen público del informe —el texto completo está clasificado—, el proveedor del sistema pudo acceder a información sensible durante tareas de mantenimiento y mejoras, sin que la TSA lo supiera ni lo autorizara formalmente. El OIG publicó sus conclusiones en septiembre de 2026.

    Cuatro fallas confirmadas en el contrato con el proveedor

    • El proveedor extrajo imágenes de documentos de identidad (pasaportes y licencias) sin autorización explícita de la TSA.
    • La agencia no contaba con políticas claras que regularan el acceso de terceros a datos biométricos y biográficos.
    • No existía registro de cuándo ni qué información fue extraída.
    • La TSA no pudo verificar que los datos extraídos fueran eliminados correctamente, ni notificó a los pasajeros sobre el posible almacenamiento de su información.

    Qué se sabe y qué falta confirmar

    El OIG emitió una observación formal y tres recomendaciones para fortalecer controles, mejorar la supervisión de proveedores y garantizar transparencia. Según se informó, la TSA aceptó las tres recomendaciones: dos ya están en proceso de implementación y una permanece abierta. Lo que no está confirmado públicamente —por la clasificación del informe completo— es el volumen exacto de registros afectados, la identidad del proveedor y si los datos extraídos fueron efectivamente eliminados. La EFF señaló que las implicancias de privacidad afectan a millones de pasajeros que no optaron por salir del sistema biométrico voluntario.

    El caso expone una tensión estructural presente también en América Latina: los programas de verificación biométrica en aeropuertos —que avanzan en México, Brasil, Colombia y Argentina— suelen tercerizarse a proveedores privados bajo contratos que no siempre contemplan restricciones explícitas de acceso a datos durante el soporte técnico. En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica datos biométricos como categoría sensible y exige que el operador —en este caso, la agencia estatal— mantenga control efectivo sobre el tratamiento realizado por suboperadores. En Argentina, la Ley 25.326 requiere medidas de seguridad adecuadas, aunque la AAIP aún no ha emitido lineamientos específicos para biometría en contextos aeroportuarios. En México, el INAI ha señalado que el uso gubernamental de datos biométricos debe cumplir con los principios de la LFPDPPP incluso cuando el tratamiento lo ejecuta un tercero contratado.

    La TSA tiene plazo abierto para cerrar la recomendación pendiente; hasta entonces, el mecanismo de supervisión de proveedores con acceso a datos biométricos sigue sin resolverse formalmente.

  • EFF desafía la vigilancia de redes sociales que usa IA para suprimir discurso

    EFF desafía la vigilancia de redes sociales que usa IA para suprimir discurso

    Un tribunal federal en Estados Unidos rechazó el pedido del gobierno de desestimar la demanda presentada por la Electronic Frontier Foundation (EFF) contra el programa “Catch and Revoke”, un sistema de vigilancia masiva que monitorea las redes sociales de millones de personas y utiliza inteligencia artificial para identificar expresiones críticas hacia el gobierno. La decisión permite que el caso avance y abre una discusión con implicancias directas para América Latina, donde la vigilancia digital estatal es un campo regulatoriamente desprotegido.

    “Catch and Revoke”: qué hace el programa que la EFF lleva a juicio

    El programa “Catch and Revoke”, impulsado por el gobierno de Estados Unidos, fue diseñado para rastrear sistemáticamente las publicaciones en redes sociales de personas dentro y fuera del territorio estadounidense —incluyendo titulares de visas y residentes— con el objetivo declarado de detectar vínculos con actividad terrorista. Sin embargo, según la EFF, el sistema en la práctica funciona como una herramienta de supresión de discurso protegido constitucionalmente: cualquier expresión crítica hacia políticas del gobierno puede activar alertas automatizadas con consecuencias migratorias o legales para quien la emitió. La organización alega que esto genera un efecto disuasorio masivo —conocido en derecho constitucional como “chilling effect”— sobre la libertad de expresión en línea.

    La abogada Lisa Femia, de la EFF, explicó en el episodio más reciente del newsletter EFFector que la inteligencia artificial es el núcleo operativo del programa: los algoritmos clasifican y priorizan publicaciones según criterios opacos, sin posibilidad de revisión humana significativa antes de que se tomen decisiones que afectan la vida de las personas. La falta de transparencia sobre qué expresiones activan el sistema y quién las revisa es, según la EFF, una de las mayores amenazas al debido proceso.

    El fallo judicial: por qué el tribunal admitió la demanda

    El tribunal rechazó el argumento del gobierno de que los demandantes carecían de legitimación procesal (standing) para demandar, al no poder demostrar un daño concreto e individualizado. El juez consideró que el efecto disuasorio sobre la libertad de expresión —es decir, la modificación del comportamiento en línea por temor a consecuencias legales o migratorias— es suficiente para constituir un perjuicio real y justiciable. Esta interpretación es relevante porque amplía la doctrina del standing en casos de vigilancia digital, una categoría donde históricamente los demandantes enfrentan la paradoja de no poder probar que fueron vigilados precisamente porque la vigilancia es secreta.

    El caso avanza ahora hacia la fase de descubrimiento (discovery), donde la EFF podrá solicitar documentación interna sobre cómo funciona el sistema, qué criterios usa el modelo de IA para clasificar expresiones, y cuántas personas han sido afectadas. Ese proceso podría revelar por primera vez detalles técnicos del programa que el gobierno ha mantenido bajo reserva.

    Vigilancia estatal digital en LATAM: marcos legales ausentes o insuficientes

    América Latina carece, en términos generales, de un marco regulatorio específico que limite el uso estatal de inteligencia artificial para monitorear expresiones en línea. La región enfrenta una brecha normativa significativa en este campo. Brasil cuenta con la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), que establece bases legales para el tratamiento de datos personales, incluidos los realizados por el Estado, pero sus disposiciones sobre seguridad pública (artículo 4º) tienen excepciones amplias que han sido objeto de crítica por organizaciones civiles como el Instituto Brasileiro de Defesa do Consumidor (IDEC). Argentina, bajo la Ley 25.326 de Protección de Datos Personales, tampoco regula específicamente la vigilancia algorítmica estatal de redes sociales; el proyecto de reforma de esa ley, que lleva años en discusión parlamentaria, no ha incorporado aún disposiciones explícitas sobre el uso de IA en inteligencia estatal.

    México presenta un panorama similar: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) excluye expresamente al sector público de su ámbito de aplicación, y aunque existe la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, su aplicación en materia de vigilancia estatal digital es escasa y su enforcement por parte del INAI ha sido limitado. Colombia, con la Ley Estatutaria 1581 de 2012 y la Ley 1712 sobre transparencia, tiene un marco más robusto, pero tampoco regula el uso de sistemas automatizados para el monitoreo de expresiones públicas en redes.

    En este vacío opera, además, la adopción creciente de herramientas de vigilancia digital por parte de gobiernos de la región —muchas veces adquiridas a proveedores internacionales— sin que exista un debate público equivalente al que la demanda de la EFF ha generado en Estados Unidos.

    La ley de VPN de Utah y sus ecos regionales

    En paralelo, la EFF reporta una victoria judicial separada contra una ley del estado de Utah que imponía obligaciones técnicas a los proveedores de VPN consideradas técnicamente imposibles de cumplir. Un tribunal le dio la razón a los demandantes. Este caso tiene resonancia en LATAM porque varios países de la región han introducido o discutido regulaciones que afectan el uso de redes privadas virtuales —herramientas clave para la privacidad de periodistas, activistas y poblaciones en contextos de vigilancia estatal—. La doctrina que emerge de ese fallo, centrada en que una ley no puede exigir lo técnicamente inviable, podría ser invocada en futuros litigios locales.

    Nuestro análisis

    La decisión judicial sobre “Catch and Revoke” importa más allá de Estados Unidos por una razón concreta: establece que el efecto disuasorio sobre la expresión en línea causado por la vigilancia algorítmica estatal es un daño justiciable. Esa doctrina es exactamente lo que falta en los marcos jurídicos latinoamericanos, donde los afectados por programas equivalentes no tienen un mecanismo claro para demandar al Estado por modificar su comportamiento digital bajo temor de consecuencias. La discusión sobre qué puede hacer el Estado con IA y datos de redes sociales no está siendo abordada con la urgencia que merece en ninguna de las reformas legislativas activas en la región —ni en Argentina, ni en Brasil, ni en México. La pregunta que deja abierta este litigio es si habrá que esperar un programa de vigilancia masiva regional expuesto públicamente para que los parlamentos latinoamericanos reaccionen.

    Cuando la IA clasifica discurso y los criterios son opacos, la regulación no es opcional: es el único contrapeso disponible. ¿Qué gobierno latinoamericano está dispuesto a someter sus sistemas de vigilancia digital a un estándar de transparencia algorítmica?

  • Brecha en Daiichi Kosho expone datos de 8,7 millones de usuarios

    Brecha en Daiichi Kosho expone datos de 8,7 millones de usuarios

    Daiichi Kosho, empresa japonesa fabricante de sistemas de karaoke, sufrió una brecha de seguridad que expuso información de 8,7 millones de usuarios, según se informó el 12 de octubre de 2026. El incidente representa uno de los compromisos masivos de datos de consumidores más significativos reportados en lo que va del año en el sector del entretenimiento digital.

    La exposición fue divulgada por el portal especializado Shattered.io, que documentó el alcance del incidente sin precisar, hasta el momento de la publicación, la fecha exacta en que ocurrió la exfiltración ni el vector de ataque utilizado. La compañía opera plataformas de karaoke tanto en Japón como en mercados de Asia-Pacífico, lo que amplía el perfil geográfico de los afectados más allá del territorio japonés. Hasta el cierre de esta edición, Daiichi Kosho no había emitido una declaración pública oficial sobre el incidente, según se informó.

    Datos confirmados al 12 de octubre de 2026

    • Registros expuestos: 8,7 millones de usuarios
    • Empresa afectada: Daiichi Kosho Co., Ltd. (Japón)
    • Sector: entretenimiento digital / sistemas de karaoke
    • Fuente de divulgación: Shattered.io, 12 de octubre de 2026
    • Vector de ataque: no confirmado públicamente
    • Declaración oficial de la empresa: no disponible al cierre de esta nota

    Qué se sabe y qué falta confirmar

    Se confirma el volumen de registros comprometidos y la identidad de la empresa afectada. Lo que permanece sin verificación incluye el tipo específico de datos expuestos —si se trata de credenciales, información de pago, datos de geolocalización u otros atributos sensibles—, la fecha precisa de la brecha, y si ya se activaron los protocolos de notificación a la Agencia de Protección de Información Personal de Japón (PPC), autoridad de control equivalente bajo la ley japonesa de protección de datos (Act on the Protection of Personal Information, APPI). Tampoco se ha informado si los datos aparecieron en foros de compraventa en la dark web ni si existe un actor de amenaza identificado detrás del incidente.

    Para organizaciones con operaciones en América Latina, el caso tiene resonancia directa: las empresas de entretenimiento digital que operan en la región y recopilan datos de usuarios quedan sujetas a marcos como la Ley General de Protección de Datos de Brasil (LGPD), que establece en su artículo 48 la obligación de notificar a la ANPD y a los titulares afectados en un plazo razonable —interpretado por la autoridad como máximo 72 horas para los casos de alto riesgo—. En Argentina, la Ley 25.326 y las disposiciones de la AAIP imponen obligaciones similares. Un universo de 8,7 millones de registros, si incluye ciudadanos brasileños o argentinos, activaría esos mecanismos de forma inmediata.

    El próximo hito crítico es la confirmación oficial de Daiichi Kosho sobre el tipo de datos comprometidos y la apertura —o no— de un proceso de notificación ante la PPC japonesa, dato que determinará si otras autoridades de protección de datos en Asia-Pacífico y potencialmente en LATAM deben intervenir.

  • Nippon Columbia expone 8,7 millones de registros tras infección de malware

    Nippon Columbia expone 8,7 millones de registros tras infección de malware

    La discográfica y distribuidora japonesa Nippon Columbia confirmó una brecha de datos que habría expuesto información de aproximadamente 8,7 millones de usuarios de sus plataformas de karaoke. La compañía atribuyó el incidente a una infección de malware en sus sistemas, según se informó el 13 de octubre de 2025.

    Nippon Columbia —conocida por su sello Denon y sus servicios de karaoke en Japón— reveló que el malware comprometió registros de usuarios registrados en sus plataformas digitales. La empresa no precisó en su comunicación inicial qué categorías de datos personales fueron afectadas ni el período exacto durante el cual el malware habría operado en sus sistemas, según se informó. La divulgación pública se produjo en octubre de 2025.

    Datos confirmados al cierre de esta edición

    • Registros potencialmente expuestos: 8,7 millones de usuarios
    • Vector declarado: infección de malware en infraestructura interna
    • Empresa afectada: Nippon Columbia Co., Ltd. (Japón)
    • Fecha de divulgación pública: 13 de octubre de 2025
    • Tipos de datos comprometidos: no especificados en la comunicación inicial, según se informó

    Qué se sabe y qué falta confirmar

    Por el momento no hay confirmación oficial sobre si los datos exfiltrados incluyen credenciales de acceso, información de pago o datos de identificación personal más allá del registro básico de usuario. Tampoco se informó si el incidente fue notificado a la Comisión de Protección de Información Personal de Japón (PPC), organismo equivalente a las autoridades de control latinoamericanas. Aún se desconoce si algún actor de amenaza reclamó responsabilidad o si los registros están en circulación en foros de acceso clandestino.

    El incidente tiene relevancia para equipos de protección de datos en América Latina por al menos dos razones operativas. Primero, servicios de karaoke y entretenimiento digital japoneses tienen presencia o licencias en mercados como Brasil, México y Argentina, donde los usuarios pueden haber creado cuentas bajo jurisdicciones que activan obligaciones de notificación locales. Bajo la Ley General de Protección de Datos de Brasil (LGPD), la Autoridade Nacional de Proteção de Dados (ANPD) exige notificación de incidentes que puedan causar riesgo o daño relevante a los titulares en un plazo de 72 horas desde que el controlador toma conocimiento. Una brecha de esta escala —8,7 millones de registros— difícilmente quedaría por debajo de ese umbral. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) aplica criterios similares bajo la Ley 25.326 y su reglamentación. Segundo, el vector de malware subraya una falla en controles preventivos básicos: detección de endpoints, segmentación de bases de datos y monitoreo de exfiltración, todos dentro del alcance del data steward y del equipo de gobernanza de datos.

    El próximo hito crítico es la respuesta formal de Nippon Columbia ante la PPC japonesa y la confirmación de qué categorías de datos fueron efectivamente exfiltradas, información que determinará el alcance de las obligaciones de notificación en cada jurisdicción donde la compañía opere o preste servicios.

  • Atacantes reclaman 80 millones de registros de pacientes sudafricanos en brecha a Ampath Laboratories

    Atacantes reclaman 80 millones de registros de pacientes sudafricanos en brecha a Ampath Laboratories

    Un actor de amenazas identificado como ByteToBreach reclama haber exfiltrado más de 80 millones de registros de pacientes de Ampath Laboratories, uno de los principales proveedores de servicios de patología de Sudáfrica. La empresa no ha emitido confirmación pública del incidente al momento de esta publicación.

    El ataque fue reportado el 13 de octubre de 2026. ByteToBreach asumió la responsabilidad del incidente y afirmó haber obtenido datos de pacientes a gran escala desde los sistemas de Ampath. Este mismo actor ha sido vinculado, según se informó, a ataques previos contra organizaciones de alto perfil en el continente africano, incluyendo objetivos en Nigeria. El alcance exacto de los datos comprometidos —tipos de registros, campos incluidos, período temporal— no había sido verificado de forma independiente al cierre de esta nota.

    Datos confirmados y versiones sin verificar sobre el incidente

    • Actor reclamante: ByteToBreach, con antecedentes reportados en ataques a entidades en Nigeria y otros países africanos.
    • Volumen reclamado: más de 80 millones de registros de pacientes.
    • Organización afectada: Ampath Laboratories, uno de los mayores proveedores de patología de Sudáfrica.
    • Fecha del reporte público: 13 de octubre de 2026.
    • Confirmación de Ampath: no registrada al momento de publicación.

    Qué se sabe y qué falta confirmar sobre los registros expuestos

    Lo confirmado es que ByteToBreach realizó el reclamo público. Lo que permanece sin verificación independiente incluye: si la exfiltración efectivamente ocurrió, si los 80 millones de registros corresponden a individuos únicos o incluyen duplicados, qué categorías de datos clínicos o personales están involucradas, y si Ampath ya notificó a la autoridad regulatoria competente. Sudáfrica cuenta con el Protection of Personal Information Act (POPIA), vigente desde 2021, que obliga a los responsables de tratamiento a notificar brechas al Information Regulator y a los titulares afectados “tan pronto como sea razonablemente posible”. Si la exfiltración se confirma, la magnitud del volumen reclamado —equivalente a 1,3 veces la población total del país— convertiría este incidente en uno de los mayores registrados en el continente africano y pondría a Ampath bajo escrutinio inmediato del regulador sudafricano.

    El caso tiene resonancia directa para América Latina, donde legislaciones como la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley 25.326 de Argentina y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México imponen obligaciones de notificación ante brechas que involucran datos sensibles —categoría que incluye explícitamente los datos de salud en los tres marcos normativos. Proveedores de servicios médicos y laboratorios clínicos de la región operan con volúmenes de registros de pacientes comparables al caso Ampath y, en muchos casos, con controles de seguridad sin auditoría formal.

    El próximo hito crítico es la respuesta formal de Ampath al Information Regulator sudafricano: bajo POPIA, el reloj de notificación ya corre desde el momento en que la organización tomó o debió haber tomado conocimiento del incidente.

  • UE y América Latina profundizan diálogo sobre gobernanza de datos en segunda cumbre

    UE y América Latina profundizan diálogo sobre gobernanza de datos en segunda cumbre

    La Unión Europea y América Latina celebraron en octubre de 2025 la segunda edición del Diálogo de Alto Nivel UE-LAC sobre Gobernanza de Datos, un foro que busca tender puentes regulatorios entre dos regiones con marcos legales en distintos estadios de madurez. La iniciativa, articulada desde el Consejo de Europa, señala que la conversación ya no es técnica sino política: quién define los estándares globales de cómo se gestionan, comparten y protegen los datos.

    El encuentro, según se informó desde el sitio oficial del Consejo de Europa (coe.int), reunió a representantes de alto nivel de ambas regiones para discutir marcos de interoperabilidad, flujos transfronterizos de datos y principios comunes de gobernanza. No es un evento aislado: su carácter de “segunda edición” implica que existe una agenda de largo plazo, con continuidad institucional y compromisos que se acumulan de un encuentro al siguiente.

    Qué está en juego: flujos de datos transfronterizos entre la UE y 6 economías clave de LAC

    El comercio digital entre Europa y América Latina depende, en medida creciente, de la capacidad de transferir datos de manera legal y predecible. La UE tiene una posición clara: sus ciudadanos solo pueden exportar datos personales a países que garanticen un nivel de protección “adecuado” según el RGPD (Reglamento General de Protección de Datos). En América Latina, solo Uruguay cuenta con una decisión de adecuación vigente ante la Comisión Europea. Argentina la tuvo, pero su marco —la Ley 25.326, con más de dos décadas de antigüedad— está bajo revisión y el proceso de reconfirmación es incierto.

    Brasil, con su Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y la Autoridade Nacional de Proteção de Dados (ANPD) ya activa, es el candidato más visible para aspirar a una decisión de adecuación en el mediano plazo, aunque ese proceso aún no está formalmente iniciado. México, Colombia, Chile y Perú operan bajo marcos propios —la LFPDPPP, la Ley 1581, la Ley 19.628 en revisión, y la Ley 29.733, respectivamente— que varían enormemente en cobertura, enforcement y alineación con los estándares europeos. Este mosaico regulatorio es exactamente el problema que el diálogo UE-LAC intenta abordar.

    El Convenio 108+ del Consejo de Europa como denominador común posible

    El marco de referencia que el Consejo de Europa promueve en este tipo de foros es el Convenio 108+, la versión modernizada del tratado internacional sobre protección de datos, abierto a países no europeos. Argentina, Uruguay y Cabo Verde ya son partes. México firmó el protocolo de adhesión. El Convenio 108+ funciona como un puente: adoptar sus principios —consentimiento informado, minimización, proporcionalidad, derechos del titular, supervisión independiente— no equivale a copiar el RGPD, pero sí acerca los marcos nacionales a un estándar internacionalmente reconocido. En la práctica, un país que adhiere al 108+ tiene argumentos mucho más sólidos para negociar flujos de datos con la UE.

    Lo que el segundo diálogo UE-LAC sugiere es que esta conversación escaló del nivel técnico-jurídico al político. Que ministros o sus representantes directos se sienten a discutir gobernanza de datos indica que los gobiernos de la región empiezan a entender los datos como un activo estratégico en la negociación internacional, no solo como un tema de compliance sectorial.

    Argentina, Brasil y Chile: tres velocidades distintas ante el mismo interlocutor europeo

    Argentina atraviesa un momento peculiar: su autoridad de protección de datos, la Agencia de Acceso a la Información Pública (AAIP), sigue operativa, pero el proyecto de reforma de la Ley 25.326 —impulsado en distintas versiones durante los últimos cinco años— no ha alcanzado sanción legislativa. Esa brecha debilita la posición argentina en un diálogo donde la UE mira con atención la solidez institucional del interlocutor. Brasil, por el contrario, consolidó su autoridad regulatoria y avanza en regulaciones secundarias. Chile está en proceso de implementación de su nueva Ley 21.719, que reemplaza la Ley 19.628, con un plazo de entrada en vigor fijado para 2026, y que incorpora elementos del RGPD como el delegado de protección de datos y los principios de privacidad por diseño.

    Esta asimetría regional no es menor: si el diálogo UE-LAC produce algún tipo de acuerdo marco —de interoperabilidad, de reconocimiento mutuo, o de adhesión coordinada al 108+— los países con marcos más robustos estarán en mejores condiciones para beneficiarse de él. Los que lleguen tarde, o con reformas inconclusas, negociarán en desventaja.

    Impacto para empresas con operaciones en ambas regiones: el costo de la fragmentación

    Para una empresa latinoamericana con clientes o proveedores en Europa, la fragmentación regulatoria actual implica costos concretos: cláusulas contractuales tipo, evaluaciones de impacto cruzadas, y en algunos casos la imposibilidad de transferir ciertos datos sin mecanismos adicionales. El DAMA-DMBOK y los marcos del EDM Council identifican la gestión de datos regulados transfronterizos como uno de los dominios de mayor complejidad en gobernanza corporativa. Sin marcos de adecuación o equivalencia, las empresas deben construir soluciones ad hoc que son costosas, difíciles de auditar y poco escalables.

    Un CDO que opera en una empresa con presencia en ambas regiones debería monitorear los resultados de este diálogo con la misma atención que le dedica a una actualización regulatoria doméstica. Si el diálogo UE-LAC avanza hacia un memorándum de entendimiento o una hoja de ruta para decisiones de adecuación, el impacto sobre la arquitectura de datos y los contratos de transferencia puede ser significativo.

    Qué monitorear en los próximos 12 meses: Chile 2026, ANPD y el proceso de adecuación de Argentina

    Tres hitos merecen seguimiento cercano. Primero, la entrada en vigor de la Ley 21.719 de Chile en 2026 y el funcionamiento de su nueva autoridad de control: será la señal más clara de si la región puede producir marcos operativos alineados con estándares internacionales. Segundo, el avance de la ANPD en regulaciones sobre transferencias internacionales y el inicio —o no— de conversaciones formales con la Comisión Europea sobre adecuación. Tercero, el destino del proyecto de reforma de la Ley 25.326 en Argentina: sin una ley moderna, la AAIP tiene margen limitado para participar como par en estos diálogos.

    Nuestro análisis

    El segundo diálogo UE-LAC es relevante no tanto por lo que produce de inmediato —según se informó, no hay acuerdos vinculantes anunciados— sino por lo que institucionaliza: una mesa de conversación política sobre gobernanza de datos con continuidad. Eso es nuevo. Durante años, los intercambios entre reguladores europeos y latinoamericanos fueron esporádicos y técnicos. Que ahora ocurran en formato “alto nivel” con periodicidad indica que la UE tiene interés estratégico en la región y que algunos países de LAC empiezan a responder con seriedad institucional.

    El riesgo es que el diálogo se convierta en un foro de declaraciones sin consecuencias regulatorias concretas. La historia de los foros multilaterales de datos —desde el G7 Data Free Flow with Trust hasta el Osaka Track— muestra que las buenas intenciones se evaporan sin mecanismos de seguimiento, plazos y recursos. La región necesita traducir este diálogo en agendas legislativas concretas. Quienes lo hagan primero negociarán mejor.

    La pregunta que este diálogo deja abierta no es si América Latina adoptará estándares europeos de gobernanza de datos, sino cuáles países de la región llegarán a tiempo para influir en cómo se definen esos estándares, y cuáles los recibirán ya hechos.

  • Cámaras ALPR como vigilancia masiva: qué implica el fallo de Oklahoma para LATAM

    Cámaras ALPR como vigilancia masiva: qué implica el fallo de Oklahoma para LATAM

    Un tribunal federal de Oklahoma declaró que los sistemas de lectura automatizada de patentes vehiculares (ALPR) constituyen “un tipo de vigilancia masiva indiscriminada” y que su consulta sin orden judicial viola la Cuarta Enmienda de la Constitución de Estados Unidos. El fallo, emitido el 12 de octubre de 2026, llega un día antes de que un tribunal californiano desestimara una demanda de la EFF contra la ciudad de San José, generando una tensión jurídica que anticipa litigios de largo aliento. Para América Latina, donde las redes de cámaras con lectura de patentes se expanden sin marcos legales claros, la discusión ya no puede postergarse.

    El caso de Oklahoma comenzó con un hecho simple: un agente de policía observaba el tráfico en una autopista cuando detectó un vehículo con placas de California. Según la resolución judicial, el oficial comenzó a seguir a la conductora “sin motivo aparente” más allá del origen foráneo de sus placas, y luego consultó el sistema ALPR de la empresa Flock Safety —también sin causa justificada— obteniendo al menos 30 días de historial de localización del vehículo. El tribunal consideró que esa búsqueda retroactiva de datos de ubicación, sin orden judicial previa, violaba la protección constitucional contra registros irrazonables.

    El sistema ALPR de San José: 500 cámaras, un mes de retención, cero orden judicial

    En paralelo, la Electronic Frontier Foundation (EFF) y la ACLU de California argumentaron ante un tribunal de ese estado que el sistema de San José —cerca de 500 cámaras distribuidas por la ciudad, con retención de datos por al menos 30 días— constituye una búsqueda irrazonable bajo la Constitución de California, que incluye una garantía explícita de privacidad. El tribunal rechazó el argumento apoyándose en un precedente de cámara de apelaciones que equipara las redes ALPR a cámaras de semáforo individuales. La EFF anunció que apelará, señalando que el fallo ignora doctrina reciente de la Corte Suprema federal sobre el impacto de la agregación de datos de localización en el tiempo.

    Esa doctrina —conocida en su núcleo como el estándar de “mosaic theory”— sostiene que la acumulación sistemática de datos que individualmente son inocuos puede revelar patrones de vida, relaciones personales y comportamientos íntimos que el ciudadano razonablemente esperaría mantener fuera del alcance estatal. La Corte Suprema de EE.UU. reforzó esta línea interpretativa en un fallo emitido apenas meses antes del caso de San José, según informó la propia EFF, aunque el tribunal californiano no lo consideró aplicable.

    Argentina, Brasil y México: tres marcos legales, el mismo vacío sobre cámaras de reconocimiento vehicular

    En América Latina, los sistemas ALPR operan en varias ciudades sin que ningún país haya sancionado regulación específica para su uso por parte de fuerzas de seguridad. El vacío no es exclusivo de un estado pequeño: afecta a las tres economías más grandes de la región. En Argentina, la Ley 25.326 de Protección de Datos Personales establece que los datos de personas físicas identificables —incluyendo datos de localización— requieren consentimiento o habilitación legal expresa para ser recopilados y tratados. Sin embargo, la norma data de 2000 y no contempla expresamente el tratamiento masivo y automatizado de datos vehiculares en tiempo real. La Agencia de Acceso a la Información Pública (AAIP) no ha emitido lineamientos específicos sobre ALPR, pese a que sistemas de este tipo operan en municipios del conurbano bonaerense y en la Ciudad Autónoma de Buenos Aires.

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) incluye una base legal de “legítimo interés” que las fuerzas de seguridad han interpretado de forma expansiva, pero la Autoridade Nacional de Proteção de Dados (ANPD) aún no ha fijado posición sobre la retención de imágenes vehiculares masivas. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) cubre al sector privado, mientras que el tratamiento estatal queda bajo la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados —aplicable a autoridades—, que exige finalidad específica y proporcionalidad. Aun así, no existe resolución del INAI que haya evaluado la proporcionalidad de un sistema ALPR municipal de escala comparable al de San José.

    Flock Safety y los proveedores privados: el dato viaja aunque el marco legal no llegue

    Un elemento crítico del caso de Oklahoma es el rol de Flock Safety, empresa privada que comercializa sistemas ALPR a cuerpos policiales en EE.UU. y que según reportes del sector está expandiendo operaciones en América Latina. Cuando una fuerza de seguridad contrata a un tercero para gestionar la infraestructura de captura y almacenamiento de datos vehiculares, la cadena de responsabilidad sobre el tratamiento de datos personales se vuelve opaca. En términos de la LGPD brasileña, ese proveedor califica como “operador” de datos; en la Ley 25.326 argentina, como “encargado del tratamiento”. Pero ninguna de esas categorías resuelve por sí sola la pregunta de fondo: ¿bajo qué base legal se captura, retiene y consulta ese historial de movimientos?

    La diferencia con el contexto estadounidense —donde al menos existe un debate judicial activo— es que en la región el control judicial ex post sobre estas búsquedas es prácticamente inexistente. No hay equivalente latinoamericano a una moción de supresión de evidencia obtenida mediante ALPR sin orden judicial. Los datos recopilados pueden usarse en investigaciones penales sin que ningún juez haya evaluado previamente si la retención misma era proporcional.

    Lo que viene: apelación de la EFF y presión regulatoria sobre retención de datos de localización

    La EFF anticipó que apelará el fallo de San José y que buscará que un tribunal superior aplique la doctrina de la Corte Suprema federal sobre agregación de datos de localización. Si esa apelación prospera, el estándar emergente —que un sistema de cámaras interconectadas produce información cualitativamente distinta a una cámara individual— tendrá relevancia directa para debates regulatorios en la región. En Colombia, la Superintendencia de Industria y Comercio (SIC) ha comenzado a examinar el tratamiento de datos biométricos en espacios públicos bajo la Ley 1581 de 2012; la extensión de ese análisis a datos vehiculares masivos sería un paso lógico. En Chile, la nueva Ley 21.719 de Protección de Datos Personales, que entrará en vigor en forma plena en 2026, introduce el principio de minimización y limitación de finalidad que podría aplicarse a sistemas de retención prolongada de imágenes de patentes.

    Nuestro análisis

    La tensión entre los dos fallos del 12 y 13 de octubre de 2026 ilustra algo que suele perderse en el debate regional: la definición de vigilancia masiva no depende de la intención del sistema, sino de su arquitectura. Una red de 500 cámaras que retiene datos por 30 días no es funcionalmente equivalente a un agente parado en una esquina tomando nota de matrículas. La diferencia es de escala, permanencia y capacidad de retroalimentación cruzada —exactamente lo que la doctrina del mosaico intenta capturar. En América Latina, ninguna autoridad de protección de datos ha articulado ese argumento en términos vinculantes. La AAIP argentina, la ANPD brasileña y el INAI mexicano tienen bases legales suficientes para emitir lineamientos sobre proporcionalidad en el uso de ALPR estatal: la pregunta es si lo harán antes de que el parque de cámaras crezca otro orden de magnitud. Los municipios no esperan a los reguladores para desplegar la infraestructura; los reguladores, en cambio, parecen esperar que alguien más tome la iniciativa.

    Mientras las autoridades de la región no definan qué constituye una búsqueda proporcional en una base de datos de localización vehicular, cada consulta policial sin orden judicial es un experimento sin control sobre los derechos de miles de personas que simplemente manejaron por una calle pública.