Autor: Rmonas

Por Daniel Monastersky

La Superintendencia de Industria y Comercio de Colombia acaba de ordenar el cierre inmediato y definitivo de WorldCoin. No fue una multa. No fue una advertencia. Fue un cierre total, acompañado de la orden de eliminar todos los datos biométricos recolectados. La razón es tan simple como devastadora: WorldCoin recolectaba información biométrica sin consentimiento informado válido, violando sistemáticamente la Ley 1581 de protección de datos personales colombiana.

Esta decisión debería mantener despiertos a los reguladores argentinos. No porque WorldCoin sea un problema específico de Colombia, sino porque expone algo mucho más grave: la existencia de un estándar regulatorio en nuestra región que Argentina sistemáticamente no está cumpliendo.

Colombia identificó exactamente lo que hemos estado documentando en Argentina durante un año: fallas sistemáticas en los mecanismos de consentimiento informado, ausencia de autorización válida, y deficiencias fundamentales en la información suministrada a los titulares de datos. La SIC no dudó. Actuó con autoridad regulatoria clara, estableciendo un límite infranqueable.

Mientras tanto, en Argentina, Meta continúa recopilando datos personales de millones de usuarios sin consentimiento informado real. La compañía utiliza esos datos para entrenar sistemas de inteligencia artificial, modifica sus políticas unilateralmente, y responde a los requerimientos formales de la AAIP con evasivas corporativas que simplemente no responden preguntas sustanciales. Un año completo de incumplimiento. Un año completo de violaciones. Un año completo sin que se haya tomado una medida equivalente a la que Colombia acaba de implementar.

La pregunta que surge es incómoda pero inevitable: ¿por qué Meta cerró en Colombia pero continúa operando sin consecuencias en Argentina?

La acción de la SIC no es un caso aislado de firmeza regulatoria. Es la demostración de que existen marcos legales suficientes para proteger a los ciudadanos. Es la prueba de que cuando un regulador actúa con autoridad, incluso las corporaciones tecnológicas más poderosas del planeta se rinden. Porque eso es lo que hizo Meta: se rindió. No negoció extensiones. No pidió plazos adicionales. Cerró operaciones.

Esto establece un precedente regional crucial. Si Meta cedió ante Colombia, es porque entendió que enfrentaba un regulador serio. Que el juego había terminado. Que la protección de datos personales no era negociable en ese país.

Entonces surge la pregunta complementaria: ¿qué comunica al mercado la falta de una respuesta equivalente en Argentina? Comunica exactamente lo opuesto. Comunica que en Argentina, las corporaciones pueden violar sistemáticamente las leyes de protección de datos. Que los requerimientos regulatorios son sugerencias, no mandatos. Que existen diferentes estándares según la compañía y según el regulador.

Argentina cuenta con la Ley 25.326 de Protección de Datos Personales, una normativa sólida que establece principios claros: consentimiento previo e informado, limitación de uso, transparencia, y garantías especiales para datos sensibles. Estos principios no son menos rigurosos que los de Colombia. La diferencia no radica en lo que dice la ley. Radica en la disposición institucional de hacerla cumplir.

La decisión de la SIC colombiana identificó específicamente qué violaciones cometió WorldCoin: ausencia de autorización válida, fallas en los mecanismos de consentimiento, información insuficiente a los titulares de datos. Ahora bien, Meta comete exactamente las mismas violaciones en Argentina. Recopila datos sin consentimiento informado real. Modifica los términos de servicio unilateralmente. No proporciona información clara sobre cómo serán utilizados los datos. No facilita mecanismos accesibles para que los usuarios rechacen nuevos usos de sus datos.

La normativa argentina permite sancionar exactamente estos incumplimientos. Entonces la pregunta no es si existe base legal para actuar. Es si existe voluntad política de hacerlo.

Lo que expone la acción colombiana es un patrón que se extiende más allá de Meta o WorldCoin. Es un patrón donde Argentina se ha convertido en un territorio permisivo para corporaciones que buscan operar con estándares más bajos de protección de datos. Otras jurisdicciones actúan. Otros reguladores cierran operaciones. Otros países establecen límites claros. Argentina emite requerimientos que son ignorados sin consecuencias reales.

Esta vulnerabilidad no es accidental. Es el resultado de decisiones institucionales. Es el resultado de priorizar el desarrollo tecnológico y la inversión extranjera por sobre la protección de derechos fundamentales. Es el resultado de tratar a las corporaciones tecnológicas con una deferencia que nunca se extiende a otros actores económicos.

Cuando una empresa de servicios financieros viola leyes de protección al consumidor, enfrenta sanciones inmediatas. Cuando una compañía de telecomunicaciones incumple regulaciones, el regulador actúa. Pero cuando Meta o WorldCoin violan derechos fundamentales relacionados con datos personales, la respuesta institucional es proporcionalmente tibia, extendida en el tiempo, y frecuentemente sin efectos disuasivos.

La acción de Colombia establece un estándar que Argentina debe replicar urgentemente. No se trata simplemente de imponer multas o exigir cambios de política. Se trata de establecer líneas rojas claras que, cuando son cruzadas, resultan en cierre de operaciones. Se trata de demostrar que un país tiene la disposición institucional de defender los derechos de sus ciudadanos incluso a costa de perder inversión extranjera o acceso a tecnología.

Esto requiere varias cosas. Primero, que los reguladores argentinos, particularmente la AAIP, utilicen plenamente las herramientas que la ley les confiere. Segundo, que las instancias de apelación y revisión judicial sostengan esas decisiones regulatorias. Tercero, que el poder ejecutivo y legislativo respalden públicamente estas acciones, enviando señales claras de que la protección de datos personales no es negociable.

Colombia lo hizo. Cerró operaciones. Ordenó la eliminación de datos. Prohibió expresamente que vuelvan a operar puntos de recolección. No fue ambiguo. No fue gradual. Fue definitivo.

La ventana de oportunidad para Argentina no permanecerá abierta indefinidamente. Cada día que pasa sin una respuesta regulatoria equivalente a la de Colombia, más datos son procesados sin autorización real. Más usuarios son vulnerados. Más precedentes se establecen en la dirección equivocada. Se refuerza la creencia de que en Argentina, la protección de datos personales es una aspiración legal, no una realidad institucional.

La noticia de WorldCoin debe funcionar como un catalizador. Como una demostración de que es posible actuar. Como una prueba de que existen reguladores en nuestra región dispuestos a priorizar los derechos fundamentales por sobre las conveniencias corporativas. Como un llamado urgente a que Argentina alinee su acción regulatoria con su normativa legal.

No se trata de ser hostil con la inversión tecnológica. Se trata de establecer que toda inversión, sin excepción, debe cumplir con las leyes que protegen los derechos fundamentales. Se trata de crear un mercado donde la competencia se desarrolla sobre bases equitativas, donde todas las empresas están sujetas a los mismos estándares de protección.

Colombia ha mostrado que eso es posible. Que es viable. Que es políticamente factible. Ahora Argentina debe decidir si está dispuesta a seguir ese camino, o si prefiere continuar siendo un país donde las corporaciones tecnológicas operan en un espacio de menor accountability. Donde existe una brecha entre lo que la ley dice y lo que las instituciones están dispuestas a hacer cumplir.

Ese tiempo de decisión es ahora. Porque mientras Argentina delibera, Meta continúa procesando datos. Y cada día que pasa es un día en el que los derechos de millones de ciudadanos no están siendo protegidos de la manera que la ley requiere, y que nuestras instituciones deberían garantizar.

Por Daniel Monastersky

Hace apenas un mes, una pequeña cava de vinos en Palermo descubrió algo inquietante: cuando los clientes preguntaban a ChatGPT o Claude sobre bodegas locales para comprar vinos premium, su negocio jamás aparecía en las recomendaciones. Mientras tanto, competidores con historiales cuestionables de protección al consumidor dominaban las respuestas de estos asistentes de inteligencia artificial. La dueña me contactó alarmada: “Si no existo para los LLMs, ¿todavía existo para mis clientes?”

Esta pregunta, aparentemente simple, revela una transformación silenciosa pero radical en la forma en que accedemos a información, tomamos decisiones y, fundamentalmente, en cómo nuestros datos personales y comerciales circulan en el ecosistema digital.

Un territorio inexplorado en el mapa digital

Durante décadas, entendimos las reglas del juego digital. Google y otros buscadores operaban con algoritmos que, aunque complejos, seguían principios relativamente transparentes: palabras clave, enlaces, autoridad de dominio. Surgió toda una industria —el SEO— dedicada a optimizar la visibilidad en estos buscadores. Las empresas podían medir su tráfico, entender de dónde venían sus visitantes, y ajustar estrategias en consecuencia.

Pero los Modelos de Lenguaje de Gran Escala —esos LLMs que hoy consultamos como si fueran oráculos digitales— operan bajo reglas completamente diferentes. No indexan páginas web de manera tradicional. No muestran diez enlaces azules. En su lugar, generan respuestas conversacionales que sintetizan información de múltiples fuentes, a menudo sin citar explícitamente de dónde proviene cada dato.

Y aquí comienza el verdadero problema: ¿cómo sabe una empresa si está siendo mencionada por un LLM? ¿Cómo puede influir en esas menciones? Y, más importante aún, ¿qué información sobre esa empresa —y potencialmente sobre sus clientes— están utilizando estos sistemas para generar sus respuestas?

La emergencia de una nueva industria: Midiendo lo invisible

Ya han comenzado a aparecer empresas especializadas en medir el “tráfico LLM” —una métrica que hasta hace poco ni siquiera existía en nuestro vocabulario. Estas compañías prometen rastrear cuántas veces tu negocio aparece en respuestas de ChatGPT, Claude, Gemini u otros asistentes de IA. Otras ofrecen consultoría en “GEO” (Generative Engine Optimization), el equivalente moderno del SEO, pero adaptado a esta nueva realidad.

En principio, suena razonable. Las empresas necesitan adaptarse a cómo las personas buscan información hoy. Pero esta nueva industria trae consigo preguntas inquietantes que deberíamos hacernos antes de subir al tren sin frenos:

Primera pregunta crítica: ¿Qué datos están recopilando estas empresas para “medir” tu presencia en LLMs? Si una consultora te promete optimizar tu visibilidad en respuestas de IA, necesitará acceder a información sobre tu negocio, tus clientes, tus estrategias. ¿Bajo qué marco de protección de datos operan? ¿Dónde almacenan esa información? ¿Con quién la comparten?

Segunda pregunta esencial: Los LLMs se entrenan con vastas cantidades de datos extraídos de internet. Muchos de esos datos incluyen información personal: reseñas de clientes con nombres reales, comentarios en redes sociales, artículos de prensa que mencionan individuos específicos. Cuando una empresa busca “rankear mejor” en LLMs, está efectivamente pidiendo que su información —y potencialmente la de sus clientes— tenga mayor prominencia en estos sistemas. ¿Hemos analizado las implicancias de privacidad de esto?

Los riesgos ocultos en la optimización para LLMs

Permíteme ilustrar con un caso concreto. Un estudio jurídico boutique contrató servicios de optimización GEO. La consultora recomendó publicar masivamente “casos de éxito” en diversas plataformas para que los LLMs tuvieran más material para “aprender” sobre el estudio. El problema: varios de esos casos involucraban información sensible de clientes que, aunque pública en expedientes judiciales, nunca había sido difundida activamente. Al hacerlo, el estudio amplificó inadvertidamente la exposición de datos personales de sus propios clientes en el ecosistema de entrenamiento de IA.

Este no es un caso aislado. Es una demostración de cómo la búsqueda de visibilidad digital puede colisionar frontalmente con principios fundamentales de protección de datos:

Principio de minimización de datos: La Ley de Protección de Datos Personales en Argentina (Ley 25.326) establece que solo deben recopilarse datos adecuados, pertinentes y no excesivos. ¿Cómo reconciliamos esto con estrategias que buscan maximizar la presencia de información en internet para alimentar LLMs?

Consentimiento informado: ¿Tus clientes consintieron que su información fuera utilizada para entrenar modelos de IA? ¿Entendían que sus reseñas o comentarios podrían terminar siendo sintetizados en respuestas a consultas de terceros? Probablemente no.

Derecho al olvido: Si un cliente solicita la eliminación de sus datos personales, ¿cómo se ejecuta ese derecho cuando esa información ya forma parte del “conocimiento” de un LLM? Los modelos actuales no pueden simplemente “desaprender” información específica sin ser reentrenados completamente.

Ciberseguridad: El nuevo vector de ataque

Pero los riesgos van más allá de la privacidad. La carrera por rankear en LLMs abre vectores de ciberseguridad que apenas estamos comenzando a comprender.

Considerá este escenario: un atacante crea cientos de sitios web falsos con información fraudulenta sobre tu empresa, diseñados específicamente para ser indexados por LLMs. Estos sitios publican “reseñas” negativas, datos de contacto incorrectos, o peor aún, vínculos a sitios de phishing que se hacen pasar por tu negocio. Cuando usuarios consultan a un LLM sobre tu empresa, el modelo sintetiza esta información contaminada junto con datos legítimos, generando respuestas que dañan tu reputación o ponen en riesgo a tus clientes.

Esto ya está ocurriendo. Se llama “prompt injection” o “contaminación de datos de entrenamiento”, y es exponencialmente más difícil de detectar y combatir que el tradicional SEO negativo, porque opera en la opacidad de cómo los LLMs procesan y sintetizan información.

Las empresas de consultoría GEO, en su afán de “posicionar” a sus clientes, pueden inadvertidamente amplificar estos riesgos al publicar información en múltiples plataformas sin verificación rigurosa, creando más superficie de ataque para actores maliciosos.

La falla sistémica: Regulación en el vacío

Aquí llegamos al núcleo del problema: estamos aplicando estrategias de marketing digital del siglo XXI a tecnologías del siglo XXI avanzado, pero con marcos regulatorios y de seguridad del siglo XX.

La Ley de Protección de Datos Personales argentina fue sancionada en el año 2000. Veinticinco años después, operamos en un ecosistema donde la inteligencia artificial procesa datos de formas que ni siquiera eran concebibles cuando se redactó esa legislación. La Agencia de Acceso a la Información Pública, si bien ha emitido algunas disposiciones relacionadas con tratamiento automatizado de datos, todavía no ha desarrollado un marco específico para el uso de datos personales en entrenamiento y operación de LLMs.

A nivel internacional, la situación no es mucho mejor. El RGPD europeo al menos contempla el concepto de “decisiones automatizadas”, pero incluso Europa está luchando por adaptar su marco legal a la velocidad de innovación en IA. Estados Unidos opera con un mosaico fragmentado de regulaciones estatales. Y empresas de consultoría GEO están operando globalmente, moviendo datos a través de fronteras sin marcos claros de responsabilidad.

Esta es una falla sistémica que nos expone a todos: empresas, consumidores, ciudadanos.

Lo que necesitamos: Un marco integral de protección

No podemos detener el progreso tecnológico, ni deberíamos intentarlo. Los LLMs ofrecen beneficios genuinos: democratizan el acceso a información, facilitan la educación, automatizan tareas complejas. Pero necesitamos urgentemente establecer barreras de protección que equilibren innovación con derechos fundamentales.

Propongo cinco pilares esenciales:

1. Transparencia obligatoria en consultoría GEO: Las empresas que ofrecen servicios de optimización para LLMs deben estar obligadas a revelar qué datos recopilan, cómo los procesan, dónde los almacenan, y con qué terceros los comparten. Debería requerirse una evaluación de impacto en protección de datos antes de implementar cualquier estrategia GEO

2. Certificación en ciberseguridad para proveedores: Así como certificamos a profesionales en protección de datos, necesitamos certificaciones específicas para consultores GEO que demuestren competencia no solo en optimización, sino en gestión de riesgos de ciberseguridad y privacidad.

3. Derecho a auditoría de LLMs: Las empresas deberían tener derecho a auditar qué información sobre ellas utilizan los LLMs, de dónde proviene esa información, y solicitar correcciones cuando sea inexacta o haya sido obtenida ilegítimamente. Los desarrolladores de LLMs deben implementar mecanismos técnicos que permitan esto sin comprometer la propiedad intelectual de sus modelos.

4. Responsabilidad solidaria: Si una consultora GEO implementa estrategias que resultan en violaciones de protección de datos o incidentes de ciberseguridad, debe existir responsabilidad solidaria entre la consultora y la empresa cliente. Esto incentivará prácticas responsables.

5. Actualización legislativa urgente: La Agencia de Acceso a la Información Pública debe emitir disposiciones específicas sobre el tratamiento de datos personales en el contexto de LLMs, y el Congreso debe considerar reformas a la Ley 25.326 que contemplen explícitamente estas tecnologías emergentes.

Volvamos a la dueña de la boutique de vinos de Palermo. Su pregunta —”¿Si no existo para los LLMs, todavía existo para mis clientes?”— no es solo sobre marketing. Es sobre poder, control y derechos fundamentales en la era digital.

Cada día que pasa sin un marco regulatorio adecuado, más empresas están tomando decisiones sobre optimización GEO sin entender completamente los riesgos. Más consultoras están operando en un vacío legal. Más datos personales están siendo procesados de formas que sus titulares nunca imaginaron ni consintieron. Más vectores de ciberseguridad están siendo abiertos sin defensas apropiadas.

No podemos darnos el lujo de “esperar y ver” cómo evoluciona esta industria. La historia nos enseña que cuando la tecnología avanza más rápido que la regulación, los derechos de las personas son las primeras víctimas. Ya hemos cometido ese error con redes sociales, con economía de plataformas, con publicidad comportamental. No podemos repetirlo con los LLMs.

Si sos empresario, preguntá a cualquier consultora GEO que te contacte: ¿Dónde están sus políticas de protección de datos? ¿Cómo gestionan riesgos de ciberseguridad? ¿Qué certificaciones poseen? Si no pueden responder satisfactoriamente, alejate.

Si sos consumidor, ejercé tu derecho a saber cómo se están usando tus datos personales. Preguntá a las empresas que frecuentás si están implementando estrategias GEO y qué protecciones tienen en lugar.

Si sos legislador o regulador, reconocé que este no es un problema del futuro. Es un problema del presente que requiere acción inmediata. La credibilidad de nuestras instituciones de protección de datos depende de nuestra capacidad de adaptarnos a realidades tecnológicas emergentes.

La batalla por nuestros derechos digitales en la era de la inteligencia artificial no se ganará con pasividad. Se ganará con información, con exigencias, con marcos regulatorios sólidos, y con la determinación colectiva de no sacrificar privacidad y seguridad en el altar del progreso tecnológico desregulado.

En el mundo de los LLMs, lo que no se protege hoy, se pierde mañana. Y lo que se pierde en el ecosistema digital, rara vez se recupera.

Por Daniel Monastersky y Facundo Malaureille Peltzer

Las herramientas de inteligencia artificial para generar minutas de reuniones han experimentado una adopción masiva sin precedentes. Plataformas como Gemini, Otter.ai, Rev, Fireflies, Grain, y decenas de otras soluciones similares han revolucionado la productividad empresarial, prometiendo liberar a los profesionales de la tediosa tarea de tomar notas manualmente.

La promesa es seductora: únete a una videollamada, activa la grabación, y al finalizar recibirás un resumen perfecto con puntos de acción, decisiones tomadas y hasta análisis de sentimientos de los participantes. La eficiencia aumenta exponencialmente, pero también lo hace la exposición de datos sensibles.

Estas herramientas no solo transcriben palabras; procesan contexto, interpretan emociones, identifican patrones de comportamiento y, crucialmente, utilizan esta información para entrenar y mejorar sus modelos de inteligencia artificial. Cada conversación profesional se convierte en combustible para el desarrollo algorítmico de empresas privadas, sin consentimiento explícito de los participantes y frecuentemente sin su conocimiento.

Lo que resulta particularmente preocupante es que este entrenamiento ocurre sin ningún tipo de consentimiento informado. Los términos de servicio de estas plataformas, redactados en lenguaje jurídico complejo y extenso, efectivamente otorgan a las empresas derechos amplios sobre el contenido capturado. Los usuarios, al hacer clic en «acepto», inadvertidamente ceden el control sobre conversaciones que pueden contener información estratégicamente sensible o personalmente íntima.

El problema del entrenamiento no autorizado de modelos de IA

Una de las prácticas más problemáticas y menos transparentes de estas plataformas es el uso sistemático de conversaciones capturadas para entrenar sus modelos de inteligencia artificial. Lo que los usuarios perciben como un simple servicio de transcripción es, en realidad, una operación masiva de recolección de datos conversacionales para el desarrollo de tecnología propietaria.

Este proceso ocurre sin consentimiento informado específico para el entrenamiento de IA. Aunque los términos de servicio pueden incluir cláusulas generales sobre «mejora del servicio», raramente especifican que las conversaciones profesionales más sensibles serán utilizadas como material de entrenamiento para algoritmos que posteriormente podrían ser comercializados o licenciados a terceros.

Los riesgos ocultos en cada conversación profesional

En el ambiente profesional contemporáneo, las reuniones frecuentemente incluyen referencias a información personal sensible: situaciones familiares de empleados, condiciones de salud, conflictos interpersonales, y datos financieros personales. Estos elementos, mencionados de manera informal o contextual, son capturados y procesados por sistemas de IA sin discriminación sobre su sensibilidad.

Información comercial estratégica expuesta

Las discusiones empresariales rutinariamente incluyen secretos comerciales, estrategias de negocio confidenciales, información de clientes protegida, y planes de expansión competitivamente sensibles. Las herramientas de IA procesan esta información como parte de su funcionamiento normal, potencialmente creando vulnerabilidades estratégicas significativas.

El problema de la jurisdicción y el control de datos

La mayoría de estas plataformas operan desde jurisdicciones extranjeras, lo que significa que conversaciones profesionales argentinas son procesadas bajo marcos legales extranjeros. Esto crea una desconexión fundamental entre nuestras expectativas de protección legal y la realidad del procesamiento de datos.

Análisis sistémico: Fallas estructurales en múltiples niveles

Vacíos regulatorios críticos

La legislación actual no contempla adecuadamente la realidad de las herramientas de IA conversacional. Mientras que tenemos marcos robustos para proteger datos en reposo y en tránsito, existe un vacío legal significativo respecto a los datos en procesamiento por inteligencia artificial.

La Ley de Protección de Datos Personales argentina (Ley 25.326) y el GDPR europeo establecen principios claros sobre consentimiento y finalidad, pero fueron diseñados en una era pre-IA. No anticiparon escenarios donde una conversación espontánea se convertiría automáticamente en datos de entrenamiento para sistemas de aprendizaje automático.

Opacidad empresarial sistemática

Las empresas tecnológicas han creado términos de servicio deliberadamente complejos que ofuscan el verdadero alcance del procesamiento de datos. Frases como «mejora de servicios» y «optimización de experiencia de usuario» ocultan realidades donde las conversaciones privadas se convierten en activos comerciales.

Un análisis de los términos de servicio de las principales plataformas revela que prácticamente todas se reservan derechos amplios para procesar, almacenar, y utilizar contenido de conversaciones para propósitos que van mucho más allá de la simple transcripción.

Desconexión entre percepción y realidad

Existe una brecha fundamental entre la percepción del usuario sobre lo que hace una herramienta de minutas y la realidad de su funcionamiento. Los profesionales ven transcripción; las plataformas ven oportunidades de datos.

Esta brecha de conocimiento se amplifica por la naturaleza intuitiva y útil de estas herramientas. La conveniencia inmediata oscurece las implicaciones a largo plazo de la exposición de datos.

Estrategias de protección: Un marco integral de controles

Controles preventivos fundamentales

Evaluación rigurosa de proveedores

Implementar un proceso de due diligence que vaya más allá de las características técnicas:

• Análisis detallado de términos de servicio y políticas de privacidad
• Verificación de certificaciones de seguridad (SOC 2, ISO 27001, etc.)
• Investigación sobre la jurisdicción legal donde se procesan y almacenan los datos
• Evaluación de la estabilidad financiera y reputación del proveedor
• Análisis de antecedentes públicos de violaciones de seguridad o privacidad

Clasificación de información

Desarrollar un sistema claro de clasificación que determine qué tipos de reuniones pueden utilizar herramientas de IA:

• Reuniones públicas: Sin restricciones de contenido
• Reuniones internas: Información comercial sensible pero no confidencial
• Reuniones confidenciales: Información protegida legalmente o estratégicamente crítica
• Reuniones prohibidas: Cualquier discusión que involucre datos personales sensibles, información médica, o secretos comerciales críticos

Controles técnicos avanzados

Implementación de soluciones on-premise

Para organizaciones que manejan información altamente sensible, considerar herramientas de IA que funcionen completamente en infraestructura propia:

• Modelos de transcripción que no requieren conectividad externa
• Sistemas de procesamiento de lenguaje natural entrenados en datos propios
• Arquitecturas que garanticen que ningún dato salga del perímetro organizacional

Configuración de controles de acceso granulares

• Implementar sistemas de roles que limiten quién puede activar grabaciones
• Establecer controles que requieran autorización explícita de todos los participantes
• Configurar sistemas que automáticamente excluyan discusiones pre y post-reunión

Monitoreo y auditoría continua

• Implementar sistemas que rastreen qué información se está capturando y procesando
• Establecer alertas automáticas cuando se detecten patrones de datos sensibles
• Crear dashboards que permitan visualizar el flujo de información hacia terceros

Controles administrativos críticos

Desarrollo de políticas comprehensivas

Crear documentación clara que establezca:

• Cuándo es apropiado usar herramientas de IA para minutas
• Qué tipo de información nunca debe ser procesada por estas herramientas
• Procedimientos para obtener consentimiento explícito de todos los participantes
• Protocolos de respuesta ante incidentes de exposición de datos

Programas de capacitación obligatorios

• Entrenar a todos los empleados sobre los riesgos específicos de las herramientas de IA
• Desarrollar simulaciones que demuestren cómo información aparentemente inocua puede ser correlacionada y utilizada
• Establecer certificaciones internas que aseguren comprensión de las políticas

Gestión de consentimiento dinámico

Implementar sistemas que:

• Soliciten consentimiento explícito antes de cada reunión
• Permitan a los participantes retirar el consentimiento en cualquier momento
• Documenten de manera auditable todos los consentimientos otorgados y retirados

Consejos prácticos para la protección inmediata

Para profesionales individuales

Antes de cada reunión

• Verificar explícitamente si se utilizarán herramientas de grabación o transcripción
• Solicitar información sobre dónde se almacenarán y procesarán los datos
• Establecer un protocolo claro sobre qué temas no deben discutirse si hay grabación activa

Durante las reuniones

• Desarrollar el hábito de pausar la grabación durante discusiones sensibles
• Utilizar códigos o referencias indirectas para información confidencial
• Ser consciente de que las conversaciones informales también pueden ser capturadas

Después de las reuniones

• Revisar las minutas generadas para identificar información sensible inadvertidamente capturada
• Solicitar la eliminación de segmentos específicos si es necesario
• Verificar que las minutas no contengan más información de la que se pretendía compartir

Para organizaciones

Implementación gradual y controlada

• Comenzar con reuniones de bajo riesgo para evaluar el comportamiento de las herramientas
• Establecer grupos piloto con empleados capacitados en privacidad de datos
• Desarrollar métricas que midan tanto la productividad como la exposición de riesgos

Negociación de contratos específicos

• Incluir cláusulas específicas sobre retención y eliminación de datos
• Establecer derechos de auditoría sobre el procesamiento de información
• Negociar garantías contractuales explícitas sobre la no utilización de datos conversacionales para entrenamiento de IA sin consentimiento específico y separado
• Exigir cláusulas de transparencia que detallen exactamente qué información será utilizada para qué propósitos específicos
• Incluir penalizaciones significativas por violaciones de privacidad y uso no autorizado para entrenamiento de modelos

Recomendaciones específicas por tipo de organización

Bufetes de abogados y consultorías

• Prohibición absoluta de herramientas de IA en nube para discusiones con clientes
• Implementación de soluciones on-premise exclusivamente
• Desarrollo de protocolos específicos para el manejo de información protegida por secreto profesional
• Creación de acuerdos de confidencialidad específicos que cubran el uso de IA

Instituciones médicas y de salud

• Verificación de cumplimiento HIPAA/equivalentes locales antes de implementación
• Prohibición de procesamiento de cualquier información que pueda correlacionarse con pacientes específicos
• Implementación de sistemas de anonimización antes del procesamiento
• Desarrollo de protocolos de consentimiento informado para pacientes

Empresas tecnológicas y de innovación

• Clasificación estricta de reuniones según nivel de innovación discutida
• Implementación de herramientas de detección automática de secretos comerciales
• Desarrollo de políticas específicas para discusiones de propiedad intelectual
• Creación de entornos aislados para discusiones de I+D

Instituciones financieras

• Cumplimiento estricto con regulaciones de privacidad financiera
• Implementación de controles específicos para información de clientes
• Desarrollo de sistemas de monitoreo para detectar discusiones de información regulada
• Establecimiento de protocolos de reporte ante organismos reguladores

El futuro regulatorio: Hacia un marco legal adaptado

La realidad actual exige una evolución urgente del marco regulatorio. Necesitamos leyes que específicamente aborden:

Derechos de consentimiento dinámico: Los usuarios deben tener control granular sobre qué partes de sus conversaciones pueden ser procesadas por IA, con la capacidad de modificar estos permisos en tiempo real.

Transparencia algorítmica obligatoria: Las empresas que desarrollan herramientas de IA conversacional deben divulgar exactamente cómo procesan, almacenan, y utilizan los datos capturados, incluyendo cualquier uso para entrenamiento de modelos.

Derecho al olvido extendido: Los usuarios deben tener garantías técnicas y legales de que pueden eliminar completamente su información de sistemas de IA, incluyendo cualquier influencia que sus datos hayan tenido en el entrenamiento de modelos.

Responsabilidad algorítmica: Establecer marcos de responsabilidad clara cuando los sistemas de IA causan daños a través del mal uso de información capturada en conversaciones.

Un llamado urgente a la acción

La transformación digital no puede ocurrir a expensas de nuestros derechos fundamentales a la privacidad y la confidencialidad. Cada día que permitimos que herramientas de IA procesen nuestras conversaciones más íntimas sin controles adecuados, estamos cediendo control sobre aspectos fundamentales de nuestras vidas profesionales y personales.

Para los profesionales: No podemos permitir que la conveniencia nos ciegue ante los riesgos. Cada conversación que permitimos sea procesada por IA sin controles adecuados es una oportunidad perdida de proteger nuestra información y la de nuestros colegas, clientes, y organizaciones.

Para las organizaciones: La responsabilidad de implementar controles robustos no es opcional; es una obligación ética y, crecientemente, legal. Las organizaciones que no actúen proactivamente no solo exponen a sus empleados y clientes a riesgos significativos, sino que se posicionan para enfrentar consecuencias regulatorias y reputacionales devastadoras.

Para los reguladores: La ventana de oportunidad para establecer marcos legales efectivos se está cerrando rápidamente. Cada mes de inacción permite que se establezcan precedentes y prácticas que serán exponencialmente más difíciles de regular retroactivamente.

La batalla por el control de nuestras conversaciones no es solo un desafío técnico o legal; es una lucha fundamental por mantener espacios de privacidad y confidencialidad en un mundo donde la inteligencia artificial está redefiniendo los límites de lo público y lo privado.

El momento de actuar es ahora. El costo de la inacción no se mide solo en datos expuestos, sino en la erosión gradual de nuestra capacidad de tener conversaciones verdaderamente privadas en el ámbito profesional. Esta no es una preocupación futura; es una realidad presente que demanda respuestas inmediatas, comprehensivas, y decididas.

La protección de nuestras conversaciones profesionales es, en última instancia, la protección de nuestra humanidad en un mundo cada vez más mediado por algoritmos.

Por Facundo Malaureille

Un momento histórico para la inclusión financiera en la era digital

El cambio que nadie vio venir

Cada día, millones de argentinos realizan transacciones financieras sin imaginar que están participando de una revolución silenciosa que transformará para siempre el acceso al crédito, los seguros y los servicios bancarios en nuestro país. El Sistema de Finanzas Abiertas —conocido internacionalmente como Open Finance— no es una innovación más en el paisaje tecnológico: es la democratización del sistema financiero más profunda desde la creación de la banca moderna.

Esta transformación promete algo que parecía imposible hasta hace pocos años: que un trabajador independiente, un pequeño comerciante o un empleado informal puedan acceder a créditos justos y productos financieros de calidad, evaluados no por su patrimonio o su relación histórica con bancos tradicionales, sino por su comportamiento financiero real y su capacidad de pago demostrada.

La arquitectura de la revolución financiera

El Open Finance opera mediante un sistema elegante en su simplicidad pero revolucionario en sus implicancias. Permite que los usuarios autoricen el intercambio de sus datos bancarios y financieros entre diferentes entidades —bancos tradicionales, fintech, billeteras digitales— a través de interfaces de programación de aplicaciones (APIs) seguras y estandarizadas.

El Banco Central de la República Argentina ha iniciado la implementación de este sistema, siguiendo el modelo exitoso desarrollado en Reino Unido, donde ha demostrado su capacidad para transformar el acceso a servicios financieros. Las primeras manifestaciones ya son visibles en nuestro ecosistema: las transferencias pull que permiten recibir fondos desde múltiples aplicaciones con una simple autorización, y plataformas como MODO que integran la gestión de múltiples cuentas bancarias desde una interfaz unificada.

La revolución del scoring crediticio

La transformación más profunda ocurrirá en la evaluación crediticia. Por primera vez en la historia argentina, el perfil financiero de una persona se construirá con información completa y real: consumos habituales, patrones de gasto, comportamiento con servicios, estabilidad laboral y uso responsable de billeteras digitales. Este enfoque integral permitirá que quienes antes quedaban excluidos por carecer de historial bancario tradicional accedan finalmente al crédito, mientras que quienes ya tenían acceso obtendrán condiciones más justas y tasas más competitivas.

Los algoritmos de evaluación crediticia incorporarán datos que reflejen la capacidad de pago real de cada individuo, creando scorings alternativos más precisos que los sistemas tradicionales alimentados exclusivamente por instituciones bancarias. Esta evolución generará un círculo virtuoso donde más información confiable produce mejores decisiones crediticias, reduciendo la morosidad y ampliando el acceso responsable al financiamiento.

Mercado pago: catalizador de la democratización financiera

Servicios financieros integrales al alcance de todos

Mercado Pago emerge como el protagonista principal de esta transformación democratizadora. La plataforma está posicionada para ofrecer servicios financieros integrales que antes eran exclusivos de grandes patrimonios: créditos instantáneos personalizados basados en comportamiento real, seguros adaptativos que se ajusten a perfiles específicos de riesgo, mecanismos de inversión automática calibrados según hábitos de ahorro, y herramientas de gestión financiera personal basadas en patrones de consumo auténticos.

La integración con el ecosistema Mercado Libre proporcionará acceso a información invaluable sobre patrones de consumo e ingresos de sectores tradicionalmente marginados del sistema financiero formal: trabajadores independientes, comerciantes digitales, y toda la economía informal que representa una porción significativa de la actividad económica argentina.

El agregador financiero definitivo

La plataforma se convertirá en un agregador financiero integral donde los usuarios podrán visualizar todas sus cuentas, ingresos, gastos y deudas desde una interfaz unificada, recibiendo recomendaciones de gestión personalizadas basadas en inteligencia artificial y análisis de comportamiento financiero real.

Inclusión de sectores marginados

Esta expansión significa que millones de argentinos que trabajan en la economía informal finalmente tendrán acceso a servicios financieros de calidad, evaluados por su comportamiento económico real y no por su relación con instituciones tradicionales.

La portabilidad financiera: libertad de elección

El fin de la cautividad bancaria

Una de las innovaciones más revolucionarias será la portabilidad financiera efectiva. Similar a la portabilidad numérica que transformó las telecomunicaciones, los usuarios podrán migrar sus productos financieros entre entidades buscando mejores condiciones, tasas más competitivas y servicios más innovadores.

Competencia real por el cliente

Esta portabilidad comenzará con productos estandarizados como préstamos personales, tarjetas de crédito y cuentas de ahorro, pero se expandirá hacia líneas de crédito sofisticadas, créditos embebidos en aplicaciones de compra y servicios de financiamiento integrados en plataformas digitales. El resultado será una competencia genuina donde las entidades financieras deberán innovar constantemente para retener y atraer clientes.

La hiperpersonalización: servicios financieros a medida

Del marketing masivo al servicio individual

La tecnología del Open Finance habilitará la personalización completa de servicios financieros. Cada producto —desde un préstamo hasta un seguro— podrá calibrarse exactamente según las necesidades, capacidades y comportamientos específicos de cada usuario. Las condiciones de financiamiento reflejarán la situación real de cada persona, eliminando la discriminación basada en perfiles generales y promoviendo evaluaciones más justas del riesgo crediticio.

Ofertas perfectamente calibradas

Esta evolución representa el fin del marketing masivo en servicios financieros y el nacimiento de productos únicos, diseñados algorítmicamente para cada usuario individual. La cantidad y calidad de información disponible permitirá ofertas precisas en el momento exacto, optimizando tanto la experiencia del usuario como la gestión de riesgo de las entidades.

Las finanzas embebidas: integración total

Integración total de servicios

El futuro inmediato incluirá la inserción de servicios financieros en experiencias de consumo completamente ajenas a la banca tradicional: aplicaciones de comercio electrónico, plataformas de salud, servicios de movilidad, y ecosistemas digitales diversos. Esta integración eliminará las barreras entre el consumo y el financiamiento, creando experiencias fluidas donde los usuarios accederán a crédito, seguros e inversiones en el contexto natural de sus actividades cotidianas.

MODO: la plataforma de interoperabilidad

MODO cumplirá un papel fundamental como facilitador de la interoperabilidad real entre bancos, comercios y billeteras digitales. Su contribución será crear una plataforma neutral que permita competencia equitativa entre todos los actores del ecosistema financiero, integrando pagos entre entidades y facilitando la portabilidad efectiva de medios de pago.

El marco regulatorio necesario: protección e innovación

Esta revolución democratizadora demanda un marco regulatorio proactivo que proteja a los usuarios sin obstaculizar la innovación. La implementación exitosa del Open Finance requiere cinco pilares fundamentales:

Estándares de seguridad inquebrantables: Protocolos de cifrado de última generación, auditorías constantes de seguridad, y sistemas de monitoreo que garanticen la integridad absoluta de los datos compartidos.

Consentimiento verdaderamente informado: Interfaces claras y comprensibles que aseguren que cada usuario comprenda completamente qué información comparte, con quién, para qué propósitos específicos, y durante qué período de tiempo.

Portabilidad efectiva y derecho al olvido: Mecanismos técnicos y legales que garanticen la capacidad real de los usuarios para revocar permisos, migrar datos entre plataformas, y ejercer control absoluto sobre su información financiera.

Competencia equitativa y prevención de monopolios: Regulaciones que eviten la concentración excesiva de poder informacional en pocas empresas, manteniendo un ecosistema diverso, competitivo e innovador.

Inclusión digital universal: Programas educativos y técnicos que aseguren que todos los sectores de la población, independientemente de su nivel de educación digital o ubicación geográfica, puedan beneficiarse equitativamente de estas innovaciones.

La oportunidad histórica: liderando la inclusión financiera regional

Argentina tiene ante sí la oportunidad única de liderar la inclusión financiera en América Latina. Por primera vez en décadas, podemos construir un sistema financiero verdaderamente democrático donde el acceso a servicios de calidad dependa del comportamiento financiero responsable y la capacidad de pago real, no del patrimonio heredado o las conexiones institucionales tradicionales.

El sistema financiero argentino está a punto de adaptarse finalmente a la economía real del siglo XXI, donde el trabajo independiente, la economía digital, los emprendimientos tecnológicos y los nuevos modelos de generación de ingresos son la norma, no la excepción. Millones de argentinos que durante décadas permanecieron excluidos del crédito formal podrán demostrar su solvencia a través de su comportamiento financiero cotidiano.

El llamado a la acción: construir el futuro hoy

Esta transformación no es inevitable: es una elección consciente que estamos tomando como sociedad. Cada regulación que aprobamos, cada estándar que implementamos, cada decisión que privilegia la inclusión sobre la exclusión, determina si esta revolución tecnológica servirá a todos los argentinos o beneficiará únicamente a unos pocos.

El momento de actuar es ahora, antes de que las estructuras se consoliden y las oportunidades se pierdan. Necesitamos legisladores que comprendan la magnitud de esta transformación, reguladores que equilibren innovación con protección ciudadana, y una sociedad civil informada que exija que los beneficios del Open Finance lleguen a cada rincón de nuestro país.

El futuro financiero de Argentina se decide en estos meses cruciales. Un futuro donde cada argentino, sin importar su origen socioeconómico, su tipo de trabajo o su historial bancario tradicional, tendrá acceso garantizado a servicios financieros justos, personalizados y transparentes.

Esta no es solamente una innovación tecnológica: es la promesa más audaz de democratización económica de nuestra generación. Una promesa que debemos cumplir con la urgencia que merece y la responsabilidad que exige. La historia juzgará si supimos estar a la altura de este momento transformador o si permitimos que una oportunidad única se desvaneciera entre debates estériles y demoras burocráticas.

La revolución ha comenzado. El desafío es asegurar que sus frutos pertenezcan a todos los argentinos, sin excepción.

Una nueva campaña de phishing ha sido descubierta por investigadores de Check Point, dirigida a empresas del sector manufacturero y otras que son críticas en cadenas de suministro. A diferencia de los ataques convencionales por correo electrónico, los atacantes inician el contacto a través de formularios “Contáctenos” en los sitios web de las organizaciones, lo que les permite evadir los filtros tradicionales de reputación del correo electrónico.

El modus operandi emplea archivos ZIP maliciosos que contienen un script en PowerShell ejecutado directamente en memoria, diseñado para desplegar un implante tipo backdoor denominado MixShell. Este malware utiliza túneles DNS TXT con respaldo HTTP para las comunicaciones con los servidores de comando y control (C2), y permite a los atacantes ejecutar comandos y manipular archivos remotamente.

El ataque incluye un elaborado periodo de construcción de confianza: tras el contacto inicial, los ofensores llevan adelante intercambios durante días o incluso semanas, tras lo cual solicitan a la víctima firmar un acuerdo de confidencialidad (NDA). El archivo enviado incluye documentos aparentes legítimos, junto con el fichero malicioso oculto. Además, los dominios utilizados para iniciar estos correos aparentan credibilidad, ya que coinciden con nombres de empresas registradas en EE.UU. y en ocasiones resultan de empresas legítimas que ya no están activas.

La mayoría de las víctimas identificadas se encuentran en Estados Unidos (más del 80 %), aunque también se reportaron incidentes en Singapur, Japón y Suiza. El enfoque geográfico y contextualmente empresarial indica que los atacantes persiguen infiltraciones estratégicas en sectores industriales diversos, sin limitarse a un tipo específico de industria o empresa.

La campaña “0ktapus” afectó a más de 130 organizaciones, con cerca de 9 931 cuentas comprometidas, incluyendo empleados de Twilio y Cloudflare. Los atacantes suplantaron páginas de inicio de sesión de Okta a través de mensajes de texto con enlaces que redirigían a sitios falsos, con el objetivo de capturar credenciales de identidad y códigos de autenticación multifactor (MFA). El reporte señala que 114 empresas afectadas estaban en EE.UU., mientras que otras se encontraban distribuidas en más de 68 países.

El inicio de la campaña parece haberse enfocado en empresas de telecomunicaciones, con la probable intención de obtener números de teléfono utilizados para MFA. Luego, los atacantes enviaban mensajes de texto conteniendo enlaces que redirigían a páginas que imitaban la interfaz de autentificación de Okta de la organización a la que pertenecía la víctima. En una fase posterior, buscaban acceder a bases de datos internas, listas de correos y sistemas orientados al cliente, lo que podría facilitar ataques en la cadena de suministro.

En un incidente vinculado, DoorDash reportó haber sido víctima de un ataque con las mismas características: después de acceder a herramientas internas, los atacantes robaron información personal de clientes y repartidores, incluyendo nombres, teléfono, correos y direcciones de entrega. En total, los atacantes lograron comprometer 5 441 códigos MFA, lo que resalta la vulnerabilidad de los mecanismos de autenticación multifactor cuando son objeto de phishing sofisticado.

Aunque el MFA es una capa de defensa valiosa, este tipo de campañas demuestra que también puede ser vulnerado con herramientas simples si los usuarios son engañados. Expertos como Roger Grimes subrayan que el MFA por sí solo no basta si los usuarios no están entrenados para reconocer ataques dirigidos contra él. Los investigadores recomiendan mantener buenas prácticas con URLs y contraseñas, y adoptar claves de seguridad FIDO2 para MFA, junto con concientización sobre los vectores comunes de phishing.

Más de 2,5 millones de prestatarios de préstamos estudiantiles fueron afectados por una brecha de datos que expuso su información personal. La filtración se originó en Nelnet Servicing, proveedor del sistema y portal web utilizado por la Oklahoma Student Loan Authority (OSLA) y EdFinancial. Ambas instituciones están notificando a los usuarios afectados, luego de que Nelnet enviara una carta informativa el 21 de julio de 2022.

Tras detectar una actividad sospechosa, el equipo de ciberseguridad de Nelnet tomó medidas para asegurar sus sistemas, bloqueó el acceso no autorizado y lanzó una investigación con expertos forenses externos. Para el 17 de agosto, se confirmó que un actor no autorizado accedió a datos personales como nombres, direcciones, correos electrónicos, números de teléfono y números de Seguro Social, aunque no se comprometió información financiera.

Según la declaración oficial, la brecha ocurrió entre el 1 de junio y el 22 de julio de 2022, aunque el punto exacto del incidente parece haber sido el 21 de julio. Aún no se ha revelado cuál fue la vulnerabilidad explotada. Esta filtración plantea riesgos potenciales a largo plazo, dado que los datos robados podrían ser utilizados en fraudes o suplantaciones de identidad en el futuro.

Por Ignacio Arevalo – Data Protection Legal Counsel | DPO | CIPP/E | LGPD

En Argentina, muchas organizaciones —tanto grandes empresas como pymes— aún perciben que cumplir con la Ley de Protección de Datos Personales no es una prioridad inmediata o incluso consideran que puede prescindirse de ello, amparadas en la falta de sanciones efectivas.

Si bien es cierto que la norma —sancionada en el año 2000— la norma está desactualizada y necesita con urgencia una reforma para alinearse con los estándares internacionales (o mediante la entrada en vigor del Convenio 108+). Sin embargo, para las empresas, el problema no se limita al plano jurídico: el verdadero costo que enfrentan hoy es económico.

Bajo la lógica de que “no hay sanciones” o “nadie fiscaliza”, muchas organizaciones postergan indefinidamente la implementación de programas de privacidad.

Pero el mercado actual ya no espera: las empresas que no cuentan con políticas adecuadas de protección de datos están siendo excluidas de licitaciones, alianzas estratégicas y oportunidades de negocio, simplemente por no cumplir con estándares mínimos que sus competidores sí adoptan.

Lo que es más problemático aún es que, tras ser rechazadas por no cumplir con los requisitos básicos de privacidad en la región, muchas compañías intentan “ponerse al día” de manera acelerada, pretendiendo resolver en un mes lo que exige planificación y coordinación transversal.

En este sentido, es fundamental destacar que la implementación efectiva de un programa de privacidad requiere la participación de múltiples áreas: marketing, recursos humanos, sistemas, compliance, comercial, atención al cliente, etc.

En otras palabras: no se trata solo de “actualizar uno o más documentos”. Se trata de adoptar un enfoque integral, estratégico y proactivo. Porque cuando la privacidad se aborda a las apuradas, lo más probable es que el resultado sea superficial, ineficaz… y que a la empresa en cuestión, se le vuelvan a cerrar puertas.

1. El falso confort de la no fiscalización

Hoy por hoy, la Agencia de Acceso a la Información Pública (AAIP) no cuenta con un régimen activo de sanciones como sí ocurre con el RGPD en Europa o la LGPD en Brasil. Este contexto conlleva a  sensación errónea de seguridad jurídica, lo que lleva a muchas empresas a ignorar completamente la implementación de políticas de privacidad, registros de tratamiento, cláusulas contractuales o análisis de impacto.

2. Donde sí duele: el negocio

Aunque no haya multas millonarias, cada vez más empresas argentinas se topan con una barrera silenciosa pero contundente: no pueden crecer, exportar, licitar, ni cerrar alianzas internacionales. Esto ocurre porque no cuentan con los requisitos mínimos que exigen gobiernos, multinacionales o fondos de inversión:

• Documentación clara sobre el tratamiento de datos personales.
• Implementación operativa del consentimiento.
• Medidas de seguridad de la información (ISO 27001, políticas internas, protocolos de continuidad de empresa, etc.).
• Políticas de privacidad accesibles y completas.
• Procedimientos para responder a usuarios (titulares de  sus datos personales).
• Cláusulas Contractuales.
• Designación de un responsable de protección de datos, aunque no sea legalmente obligatorio.
• Auditorías o evaluaciones de cumplimiento con estándares internacionales (RGPD, LGPD, HIPAA, etc.).

3. Casos o ejemplos recurrentes que ilustran el ecosistema local

Caso 1

Una empresa argentina de desarrollo de software perdió una licitación con una multinacional europea. ¿El motivo? No pudo demostrar medidas técnicas y organizativas mínimas para proteger los datos personales que procesaba. Aunque su producto era competitivo, falló en compliance.

Caso 2

Otra empresa local declaró en la documentación preliminar que contaba con certificación ISO 27001, lo que le permitió avanzar en una licitación internacional. Sin embargo, el contrato contenía una cláusula que facultaba a la empresa contratante a auditar al proveedor durante la ejecución del vínculo. Al ejercerse ese derecho, se detectó que la certificación no existía.

El contrato fue rescindido de forma inmediata, y la empresa contratante exigió el pago de daños y perjuicios. Además del perjuicio económico directo, el incidente dañó la reputación de la compañía frente a otros potenciales clientes.

Caso 3

Una startup tecnológica del sector educativo fue rechazada por un programa de aceleración en Brasil. No tenía publicada su política de privacidad, ni contaba con cláusulas adecuadas en sus contratos con proveedores de servicios en la nube.

Caso 4

Una consultora de recursos humanos quedó fuera de un acuerdo con una ONG internacional que requería evidencia mínima de cumplimiento en protección de datos personales. No hubo multa, pero tampoco hubo negocio.

4. ¿Qué debería tener una empresa hoy?

Estos son los mínimos requeridos para competir en mercados exigentes:

✅ Registro de actividades de tratamiento de datos (RAT).

✅ Política de privacidad interna y externa.

✅ Procedimiento de respuesta ante incidentes de seguridad.

✅ Rol de responsable de protección de datos, con nombre y funciones claras.

✅ Contratos con cláusulas adecuadas sobre tratamiento de datos con proveedores y terceros.

✅ Canal para el ejercicio de derechos por parte de los titulares.

Una vez cumplida esta primera etapa de adecuación documental y organizativa, siempre es recomendable realizar una evaluación más profunda del riesgo.

Deberá realizarse una Evaluación de Impacto en la Protección de Datos (DPIA) o la implementación de un plan de mitigación, según el tipo de actividad, el volumen de datos tratados y la sensibilidad de la información involucrada.

Estas instancias no solo permiten detectar vulnerabilidades y brechas de cumplimiento, sino que también sirven como evidencia proactiva frente a potenciales socios, autoridades o clientes que valoran la transparencia y la gestión responsable de los datos.

5. Conclusión: el costo de no cumplir

Sentado lo expuesto, y como bien podemos inferir, la falta de cumplimiento en privacidad ya no es un «riesgo legal futuro».

Es un obstáculo económico presente. No contar con un programa de privacidad profesional significa quedar automáticamente excluido de licitaciones, alianzas estratégicas, procesos de inversión y oportunidades comerciales en mercados regulados.

Como bien señala Ann Cavoukian: “La privacidad no debe ser vista como un obstáculo al negocio, sino como su diferenciador más estratégico.”

En mi opinión, tener un programa de privacidad no es una obligación formal. Es una puerta de entrada a los negocios de hoy. Las empresas argentinas que entiendan esto a tiempo estarán mejor preparadas para competir. Las que no, quedarán afuera. Sin sanciones. Pero también sin contratos.

Por Daniel Monastersky

La Administración de Recaudación y Control Aduanero, ARCA (ex AFIP) se encuentra en una encrucijada histórica. Sus actuales regulaciones sobre documentación de huéspedes en hoteles, diseñadas para combatir la evasión fiscal y facilitar el reintegro de IVA a turistas extranjeros, inadvertidamente han creado un sistema que expone a millones de ciudadanos a riesgos de seguridad digital que no existían cuando estas normas fueron concebidas.

ARCA frente al desafío digital: la urgencia de modernizar las normativas de documentación hotelera

La Administración de Recaudación y Control Aduanero (ARCA) se encuentra en una encrucijada histórica. Sus actuales regulaciones sobre documentación de huéspedes en hoteles, diseñadas para combatir la evasión fiscal y facilitar el reintegro de IVA a turistas extranjeros, inadvertidamente han creado un sistema que expone a millones de ciudadanos a riesgos de seguridad digital que no existían cuando estas normas fueron concebidas.

El marco actual: entre el control fiscal y la vulnerabilidad digital

La Resolución General 3971/16 de ARCA establece que los hoteles participantes en el régimen de reintegro de IVA deben «guardar copia de la documentación» de identidad junto con el duplicado de la factura emitida. Esta obligación, aunque comprensible desde la perspectiva del control fiscal, genera una acumulación masiva de información personal sensible en establecimientos que no necesariamente cuentan con protocolos de ciberseguridad adecuados.

Consideremos un ejemplo concreto: un hotel de categoría internacional en Puerto Madero que atiende 200 huéspedes extranjeros mensualmente. En un año, habrá acumulado 2.400 copias completas de documentos de identidad, cada una conteniendo códigos de barras con datos biométricos, números de trámite y información personal completa. Estos archivos, según la normativa actual, deben conservarse «a disposición de ARCA y la Secretaría de Turismo cuando se requiera», pero sin especificaciones claras sobre medidas de protección digital.

La experiencia europea: España prohíbe las copias de documentos en hospedajes

Mientras Argentina mantiene estas prácticas, España ha dado un paso decisivo hacia la protección de datos personales. La Agencia Española de Protección de Datos (AEPD) publicó en junio de 2025 una nota informativa estableciendo que «esta recogida de información no autoriza a solicitar una copia del documento de identidad del cliente, ya que esto vulneraría el principio de minimización de datos y supondría un tratamiento excesivo».

La posición española es categórica: documentos como el DNI incluyen información adicional a la requerida por la norma (como la fotografía, la fecha de caducidad, el CAN o nombres de los padres), cuyo tratamiento incrementa el riesgo de suplantación de identidad. Esta declaración oficial confirma los riesgos que venimos señalando sobre la práctica argentina de conservar copias completas.

La AEPD española va más allá al explicar que el envío de una copia del documento no permite verificar con certeza la identidad de la persona que lo remite, cuestionando incluso la efectividad del procedimiento actual para los fines de control que pretende cumplir.

Los riesgos sistémicos: cuando la norma genera vulnerabilidad

La conservación de copias completas de documentos de identidad en el sector hotelero presenta riesgos que trascienden el ámbito individual:

Riesgo de filtración masiva: Los hoteles manejan grandes volúmenes de información personal sin la infraestructura de seguridad de una entidad bancaria. Una sola brecha de seguridad puede comprometer miles de identidades simultáneamente.

Uso indebido del código de barras: Este elemento contiene información biométrica codificada que, en manos incorrectas, permite la creación de documentos falsificados prácticamente indetectables. Los delincuentes especializados utilizan estos códigos para generar identidades sintéticas que burlan los sistemas de verificación automatizados.

Explotación del número de trámite: Esta secuencia permite acceder a bases de datos gubernamentales y realizar consultas no autorizadas. Su combinación con otros datos del documento facilita el robo de identidad a gran escala.

Almacenamiento inadecuado: Muchos establecimientos conservan estas copias en archivos físicos sin medidas de seguridad o las digitalizan sin cifrado, multiplicando los puntos de vulnerabilidad.

La oportunidad de liderazgo: Arca como pionera regional en protección digital

ARCA tiene la oportunidad histórica de convertirse en referente regional en la armonización entre control fiscal y protección de datos personales, incluso superando los estándares europeos. Mientras España prohíbe completamente las copias, Argentina puede liderar con una solución innovadora que mantenga la funcionalidad fiscal eliminando los riesgos de seguridad.

La modificación de sus normativas para permitir la ofuscación de elementos sensibles en las copias de documentos representaría un modelo equilibrado que otras administraciones tributarias podrían adoptar, especialmente en América Latina donde los regímenes de reintegro fiscal son comunes.

Propuesta técnica: ofuscación inteligente como solución

La implementación de una normativa que requiera la ofuscación de elementos sensibles en las copias archivadas presenta múltiples ventajas sobre el modelo español de prohibición total:

Para documentos de identidad nacionales (DNI):

Elementos a ofuscar:

• Código de barras bidimensional completo
• Número de trámite
• Códigos de seguridad adicionales

Elementos a mantener visibles:

• Nombre y apellido completos
• Fotografía
• Fecha de nacimiento
• Sexo
• Domicilio
• Número de DNI

Para pasaportes extranjeros – una protección aún más crítica:

Los pasaportes requieren una propuesta de ofuscación más específica debido a la mayor cantidad y sensibilidad de información que contienen:

Elementos a ofuscar:

• Código de barras bidimensional (si presente)
• Zona de lectura mecánica (MRZ) en la parte inferior
• Número de pasaporte completo (mantener solo los últimos 4 dígitos)
• Código de autoridad emisora
• Fecha de emisión específica
• Lugar de emisión específico
• Códigos de seguridad impresos
• Información sobre chip RFID

Elementos a mantener visibles:

• Nombre y apellido completos
• Fotografía
• Fecha de nacimiento
• Nacionalidad
• Sexo
• Últimos 4 dígitos del número de pasaporte
• Año de vencimiento

Justificación específica para pasaportes: Los pasaportes contienen información diplomática y consular sensible que va más allá del control fiscal. La zona de lectura mecánica (MRZ) permite acceso a bases de datos internacionales de seguridad y migración que no son necesarias para el control de ARCA. Además, muchos pasaportes incluyen visas y sellos de otros países que revelan patrones de viaje y información geopolítica sensible que debe protegerse.

Beneficios del sistema propuesto:

Para ARCA: Mantiene la capacidad de verificación e identificación de huéspedes mientras reduce significativamente los riesgos de responsabilidad por filtración de datos. Los elementos visibles del documento siguen siendo suficientes para todos los controles fiscales necesarios.

Para los hoteles: Reduce su exposición legal ante posibles brechas de seguridad y simplifica el cumplimiento de normativas de protección de datos personales. La implementación es técnicamente sencilla: utilizar un marcador negro para cubrir completamente estos elementos antes del archivo.

Para los ciudadanos: Protege sus datos biométricos y reduce drásticamente el riesgo de suplantación de identidad sin afectar su capacidad de acceder a los beneficios del régimen de reintegro de IVA.

Ejemplos prácticos de implementación

Caso 1: Turista brasileño en Bariloche

Un establecimiento hotelero recibe a un turista brasileño que solicita factura para reintegro de IVA:

1. El hotel solicita y verifica el pasaporte brasileño según el procedimiento actual
2. Realiza una copia del documento
3. Antes de archivarla, ofusca completamente la zona MRZ, códigos de barras y el número completo de pasaporte (dejando solo los últimos 4 dígitos)
4. Conserva la copia ofuscada junto con el duplicado de la factura
5. ARCA mantiene plena capacidad de verificación mediante los datos visibles restantes

Caso 2: Turista alemán en Mendoza

Para un huésped alemán, la ofuscación es aún más crítica debido a la información consular europea:

1. Verificación visual del pasaporte alemán completo
2. Copia del documento
3. Ofuscación específica de MRZ, códigos diplomáticos, número completo (salvo últimos 4 dígitos) y códigos de seguridad
4. Archivo de copia protegida
5. ARCA mantiene capacidad de identificación y control sin comprometer información diplomática

Estos procesos preservan integralmente la funcionalidad fiscal mientras eliminan aproximadamente el 80% del riesgo de fraude derivado del documento, superando incluso la protección que ofrece el modelo español de prohibición total.

El imperativo de modernización: Argentina puede liderar el cambio

La digitalización acelerada de los últimos años ha transformado radicalmente el panorama de riesgos asociados a la información personal. Las normativas fiscales deben evolucionar al mismo ritmo para evitar convertirse en vectores de vulnerabilidad ciudadana.

Mientras España optó por la prohibición total de copias, Argentina tiene la oportunidad de desarrollar un modelo más sofisticado que equilibre protección y funcionalidad. La experiencia europea demuestra que el cambio no solo es necesario, sino inevitable.

El compromiso de pasaportes extranjeros puede afectar la seguridad nacional y las relaciones diplomáticas, no solo la privacidad individual. Esta dimensión geopolítica hace aún más urgente la implementación de medidas de protección adecuadas.

ARCA, como organismo rector en materia fiscal, tiene la responsabilidad y la oportunidad de liderar esta transformación en América Latina. La modificación de la Resolución General 3971/16 para incorporar requisitos de ofuscación diferenciada según el tipo de documento representaría un paso pionero hacia un modelo de administración tributaria del siglo XXI.

La industria hotelera, las organizaciones de protección de datos y la ciudadanía en general esperan que ARCA tome la iniciativa en esta modernización normativa. La experiencia española demuestra que el statu quo ya no es sostenible en el contexto internacional.

No se trata de debilitar los controles fiscales, sino de fortalecerlos mediante la adopción de prácticas que protejan tanto los intereses del Estado como los derechos fundamentales de los ciudadanos. Argentina puede convertirse en referente regional desarrollando un modelo que supere incluso los estándares europeos.

La propuesta es técnicamente viable, económicamente eficiente y socialmente necesaria. ARCA tiene en sus manos la oportunidad de demostrar que el control fiscal y la protección de la privacidad no son objetivos antagónicos, sino complementarios en la construcción de un Estado moderno y responsable.

El futuro de la protección de datos personales en Argentina puede comenzar con una simple pero fundamental modificación normativa. ARCA puede ser la protagonista de este cambio histórico y convertir a Argentina en líder regional en protección digital.

Por Daniel Monastersky, Director del CECyD (Centro de Estudios en Ciberseguridad y Datos de la Universidad Austral)

La Ley 25.326 de Protección de Datos Personales de Argentina es categórica: cualquier grabación de imágenes que permita identificar a una persona constituye un tratamiento de datos personales. Esto significa que cada vez que una cámara de seguridad captura su rostro, su figura o cualquier elemento que permita su identificación, se está procesando información que la ley considera sensible y que requiere protección especial.

Esta no es una interpretación técnica reservada para abogados. Es una realidad que impacta directamente en su vida cotidiana: cuando ingresa a su edificio, cuando camina por la calle, cuando visita un comercio, cuando trabaja en su oficina. Cada una de estas situaciones puede implicar el tratamiento de sus datos personales a través de sistemas de grabación.

Los aspectos críticos que nadie explica

Almacenamiento de imágenes: ¿dónde están sus datos?

El primer interrogante fundamental es dónde se almacenan las imágenes grabadas. La legislación argentina exige que los datos personales de ciudadanos argentinos sean tratados conforme a estándares específicos de seguridad. Sin embargo, muchos sistemas de videovigilancia utilizan servidores en el extranjero, particularmente en países que no ofrecen niveles adequados de protección de datos.

Cuando sus imágenes se almacenan en servidores ubicados en jurisdicciones con marcos legales más laxos, usted pierde las protecciones que le otorga la ley argentina. Sus datos quedan expuestos a legislaciones extranjeras que pueden permitir el acceso gubernamental sin orden judicial, la comercialización sin consentimiento, o la retención indefinida sin justificación legal.

Control de acceso: ¿quién puede ver sus imágenes?

La Ley 25.326 establece el principio de finalidad: los datos personales solo pueden ser utilizados para los fines específicos para los cuales fueron recolectados. En el contexto de la videovigilancia, esto significa que únicamente las personas autorizadas y para propósitos legítimos de seguridad deberían tener acceso a las grabaciones.

Sin embargo, la realidad es frecuentemente diferente. Muchos sistemas de videovigilancia carecen de controles adecuados de acceso. Empleados de empresas de seguridad, personal de mantenimiento, administradores de edificios, e incluso terceros contratistas pueden tener acceso a imágenes que contienen datos personales sin que exista una justificación legal clara o un sistema de autorización apropiado.

Registros de acceso: la transparencia ausente

Un aspecto crítico y frecuentemente ignorado es la obligación de mantener registros detallados de quién accede a las imágenes, cuándo lo hace, y con qué propósito. La Ley 25.326 exige que los responsables del tratamiento de datos mantengan registros que permitan la trazabilidad del acceso a la información personal.

Estos registros no son un mero formalismo burocrático; son un mecanismo fundamental para garantizar que sus datos personales no sean utilizados de manera incorrecta. Sin estos registros, es imposible determinar si ha habido accesos no autorizados, si la información ha sido utilizada para fines diferentes a los declarados, o si ha habido filtraciones de datos.

Período de retención: ¿por cuánto tiempo conservan sus datos?

La legislación argentina establece que los datos personales deben ser conservados únicamente por el tiempo necesario para cumplir con la finalidad para la cual fueron recolectados. En el contexto de la videovigilancia, esto significa que las imágenes deben ser eliminadas una vez que ya no sean necesarias para garantizar la seguridad.

Sin embargo, muchos sistemas de grabación conservan las imágenes por períodos indefinidos, sin criterios claros para su eliminación. Esto viola el principio de proporcionalidad y expone a las personas a riesgos innecesarios de uso indebido de sus datos personales.

Las implicaciones sistémicas de la desprotección

La falta de cumplimiento de estas obligaciones no es un problema menor. Cuando los sistemas de videovigilancia operan sin las protecciones adecuadas, se crean vulnerabilidades que pueden ser explotadas por actores maliciosos. Las imágenes pueden ser utilizadas para extorsión, acoso, discriminación, o incluso para la construcción de perfiles de comportamiento sin el consentimiento de las personas.

Además, la ausencia de controles apropiados puede llevar a que las imágenes sean utilizadas por autoridades gubernamentales sin las garantías constitucionales necesarias, o que sean comercializadas por terceros sin el conocimiento de las personas afectadas.

El marco sancionatorio: consecuencias reales

La Ley 25.326 no es una norma declarativa sin consecuencias prácticas. El incumplimiento de las obligaciones relacionadas con el tratamiento de datos personales puede resultar en sanciones significativas:

Sanciones Administrativas: La Agencia de Acceso a la Información Pública (AAIP) puede imponer multas que van desde $1.000 hasta $100.000, dependiendo de la gravedad de la infracción. En casos de reincidencia o infracciones particularmente graves, estas multas pueden multiplicarse significativamente.

Sanciones Penales: El tratamiento ilícito de datos personales puede constituir un delito. El artículo 157 bis del Código Penal argentino establece penas de prisión de un mes a dos años para quien revele, difunda o ceda datos personales sin autorización. En casos donde se afecte la intimidad sexual, la pena puede extenderse hasta tres años.

Responsabilidad Civil: Los responsables del tratamiento inadecuado de datos personales pueden ser obligados a indemnizar los daños causados. Esto incluye no solo el daño material, sino también el daño moral derivado de la violación de la privacidad.

Clausura de Sistemas: En casos graves, la AAIP puede ordenar la suspensión o clausura de los sistemas de tratamiento de datos que no cumplan con la legislación.

Soluciones prácticas y cecesarias

Para consorcios y administradores

Los consorcios deben implementar políticas claras de videovigilancia que incluyan: notificación apropiada sobre la existencia de cámaras, definición clara de los fines del tratamiento, implementación de controles de acceso, establecimiento de períodos de retención apropiados, y mantenimiento de registros de acceso.

Para ciudadanos

Los ciudadanos tienen derechos que pueden y deben ejercer: derecho a la información sobre el tratamiento de sus datos, derecho de acceso a las imágenes que los involucren, derecho de rectificación en caso de datos incorrectos, derecho de supresión cuando el tratamiento no sea necesario, y derecho a presentar denuncias ante la AAIP.

Para el sistema legal

Es necesario desarrollar reglamentaciones específicas para la videovigilancia que establezcan estándares técnicos mínimos, procedimientos de certificación para sistemas de grabación, y mecanismos de supervisión más efectivos.

La urgencia de la acción

La protección de datos personales en el contexto de la videovigilancia no es un lujo legal reservado para expertos en tecnología. Es un derecho fundamental que afecta la dignidad, la privacidad, y la seguridad de todos los ciudadanos argentinos.

Cada día que pasa sin que se implementen las protecciones adecuadas, miles de argentinos quedan expuestos a riesgos innecesarios. Sus imágenes, sus movimientos, sus rutinas diarias quedan registradas en sistemas que pueden no cumplir con los estándares legales mínimos.

La batalla por la protección de datos personales en la era digital no es solo una cuestión técnica o legal; es una lucha fundamental por preservar la autonomía individual en un mundo cada vez más vigilado. No podemos permitir que la comodidad de la seguridad se convierta en una excusa para la erosión de nuestros derechos fundamentales.

Es hora de que consorcios, empresas, y autoridades asuman su responsabilidad. Es hora de que los ciudadanos conozcan y ejerzan sus derechos. Es hora de que la protección de datos personales deje de ser una promesa legal para convertirse en una realidad práctica y efectiva.