Categoría: Data Governance

Ecuador atraviesa una transición concreta en la forma en que sus organizaciones tratan los datos: ya no como carga regulatoria sino como activo con valor de negocio. Entender qué implica ese cambio —y qué capacidades exige— es el punto de partida para cualquier equipo que opere en la región.

La gobernanza de datos, en términos operativos, es el conjunto de políticas, roles, procesos y estándares que determinan quién puede hacer qué con los datos de una organización, bajo qué condiciones y con qué nivel de calidad. No es un proyecto de tecnología. Es un modelo de responsabilidad sobre el dato como recurso organizacional. La distinción importa porque en Ecuador —como en buena parte de América Latina— las iniciativas de gobernanza todavía se originan, con frecuencia, en el área de TI en lugar de nacer de una decisión de negocio respaldada por la dirección.

Ecuador y la Ley Orgánica de Protección de Datos Personales como punto de inflexión

La Ley Orgánica de Protección de Datos Personales (LOPDP), vigente desde 2021 y con período de adecuación que venció en mayo de 2023, le impuso a las organizaciones ecuatorianas —públicas y privadas— la obligación de documentar tratamientos, designar responsables y garantizar derechos de titulares. La autoridad de control, la Superintendencia de Protección de Datos Personales, comenzó a operar formalmente en 2023. Ese marco normativo funciona, en la práctica, como el empujón externo que obliga a las organizaciones a construir los primeros cimientos de un programa de gobernanza: inventarios de datos, clasificación por sensibilidad, asignación de ownership.

Pero cumplir con la LOPDP no equivale a tener gobernanza de datos madura. Un inventario levantado para satisfacer un requerimiento regulatorio puede ser exactamente eso: un documento que envejece en un repositorio sin conexión con los pipelines de producción, sin un data steward que lo actualice, sin integración al catálogo de datos corporativo. La diferencia entre cumplimiento y madurez es operacional, no declarativa.

Del inventario regulatorio al catálogo activo: qué cambia en la práctica

Un programa de gobernanza orientado al valor estratégico requiere, al menos, cuatro capacidades que el cumplimiento regulatorio básico no garantiza. Primero, un catálogo de datos activo —no estático— donde los data stewards mantienen definiciones, clasificaciones y linaje (data lineage) en tiempo cercano al real. Segundo, métricas de calidad del dato integradas a los procesos de negocio: un campo con tasa de completitud inferior al umbral acordado dispara un flujo de corrección, no una nota de auditoría. Tercero, políticas de acceso basadas en roles y en clasificación del dato, no en acuerdos informales entre áreas. Cuarto, un modelo de stewardship —siguiendo la taxonomía del DAMA-DMBOK— que distingue entre el data owner (responsable de negocio del dato), el data steward (custodio operativo) y el data custodian (quien gestiona la infraestructura).

En Ecuador, el sector financiero regulado por la Superintendencia de Bancos lleva ventaja relativa: las exigencias de reporte y trazabilidad de datos crediticios y de riesgo generaron, en muchas instituciones, capacidades de linaje y calidad que se pueden reutilizar como base de un programa formal. El sector público, en cambio, enfrenta el desafío adicional de la fragmentación: múltiples sistemas legados, escasa interoperabilidad y una cultura organizacional donde el dato es propiedad del área, no del estado.

Cuándo aplica gobernanza de datos / cuándo NO es suficiente con compliance

La gobernanza de datos como disciplina aplica cuando una organización necesita tomar decisiones repetibles y auditables sobre sus datos —independientemente de qué regulación esté vigente. No aplica como sinónimo de “tener un DPO” o “mapear tratamientos para la LOPDP”: esas son condiciones necesarias pero no suficientes. Una empresa puede estar en pleno cumplimiento regulatorio y seguir tomando decisiones de negocio con datos inconsistentes, duplicados o sin propietario claro. Gobernanza de datos resuelve ese problema estructural; el compliance regulatorio, por sí solo, no.

Tampoco es un programa para organizaciones de cualquier tamaño indistintamente. Una pyme con veinte empleados no necesita un Council de Gobernanza de Datos con representantes de cada dominio. Sí necesita, al menos, saber qué datos tiene, quién es responsable de su calidad y cómo se mueven entre sistemas. El enfoque Non-Invasive Data Governance de Bob Seiner —que formaliza responsabilidades ya existentes sin crear estructuras paralelas— es particularmente útil en contextos con recursos limitados, algo frecuente en el ecosistema empresarial ecuatoriano fuera de banca y telecomunicaciones.

La brecha de talento y el rol del CDO en mercados intermedios como Ecuador

El cargo de Chief Data Officer existe todavía de forma marginal en Ecuador fuera del sector financiero y de algunas empresas de telecomunicaciones. En la mayoría de organizaciones medianas, las funciones de gobernanza recaen en el CIO o en líderes de datos sin jerarquía ejecutiva formal. Eso genera un problema de patrocinio: los programas de gobernanza que no tienen sponsor en el C-level rara vez sobreviven al primer ciclo de recorte presupuestario. Comparativamente, Brasil —donde el Banco Central empujó la madurez de datos a través del Open Finance y la ANPD consolidó su autoridad regulatoria— ya cuenta con una masa crítica de CDOs con mandato explícito sobre calidad, linaje y arquitectura de datos. Ecuador está, en ese mapa regional, en una etapa anterior pero con regulación ya activa que puede actuar como acelerador si las organizaciones deciden construir sobre ella.

Para profundizar en el marco normativo, la Ley Orgánica de Protección de Datos Personales de Ecuador está disponible en el Registro Oficial y la Superintendencia de Protección de Datos Personales publica sus resoluciones y guías de adecuación en su sitio oficial; para el marco técnico de referencia, el DAMA-DMBOK (segunda edición) sigue siendo el estándar más citado por programas de gobernanza en la región.

Mozambique se suma a la lista de economías africanas que identifican la gobernanza de datos y la confianza digital como palancas directas de competitividad empresarial, no como cumplimiento periférico. El debate ya no es si gestionar los datos con rigor importa, sino qué capacidades concretas necesitan las organizaciones para que ese rigor se traduzca en ventaja de mercado.

Según se informó, el sector empresarial y el ecosistema tecnológico de Mozambique han comenzado a articular gobernanza de datos y confianza digital como factores diferenciadores en la atracción de inversión y en la sostenibilidad operativa. El movimiento refleja una tendencia que en América Latina lleva varios años de recorrido: la gobernanza de datos dejó de ser un proyecto de TI para convertirse en una conversación de directorio.

Qué significa “confianza digital” en términos operativos para una organización

La confianza digital no es una declaración de intenciones: es el resultado medible de procesos de gobernanza que garantizan que los datos son precisos, están protegidos y son utilizados de forma transparente. En el marco CDMC (Cloud Data Management Capabilities) del EDM Council, la confianza digital se construye sobre capabilities verificables —clasificación, linaje, calidad, control de acceso— y no sobre promesas de política. Una organización que no puede demostrar quién modificó un dato, cuándo y con qué propósito, no tiene confianza digital: tiene aspiración.

El DAMA-DMBOK v2 ubica la calidad del dato y el linaje (data lineage) como habilitadores transversales de todas las demás áreas de conocimiento. Sin ellos, iniciativas de analítica avanzada, apertura de datos a socios comerciales o integración con plataformas externas quedan expuestas a errores de decisión que erosionan la reputación institucional —y con ella, la competitividad.

Por qué la competitividad empresarial depende cada vez más de los datos bien gobernados

El argumento competitivo de la gobernanza de datos opera en al menos tres dimensiones. Primero, la eficiencia operativa: organizaciones con catálogos de datos activos y data stewards asignados reducen el tiempo de búsqueda y validación de información para la toma de decisiones. Segundo, la confiabilidad ante socios e inversores: en contextos de due diligence, la capacidad de demostrar trazabilidad y control sobre los activos de datos es un diferenciador concreto. Tercero, el acceso a mercados regulados: cada vez más licitaciones públicas y contratos internacionales exigen evidencia de prácticas de gobernanza como condición de elegibilidad.

John Ladley, en su trabajo sobre estrategia de información, señala que las organizaciones que tratan los datos como activos estratégicos —con propietarios definidos, políticas claras y métricas de calidad— obtienen retornos medibles en reducción de riesgo operativo y en velocidad de lanzamiento de productos basados en datos. El caso de Mozambique ilustra que este razonamiento ya cruzó el Atlántico y el Índico: no es patrimonio de economías del G7.

Cuándo aplica este enfoque y cuándo no basta con declararlo

La gobernanza de datos como driver de competitividad aplica cuando existe una estructura mínima de ownership: al menos un data steward por dominio crítico de negocio, un registro activo de activos de datos (aunque sea en una hoja de cálculo versionada), y un proceso documentado de resolución de problemas de calidad. Sin esa base, hablar de “confianza digital” es marketing interno. No aplica como ventaja competitiva real en organizaciones donde los datos viven en silos sin propietario asignado, donde no existe un proceso de clasificación por criticidad, o donde el equipo de gobernanza reporta exclusivamente a TI sin interlocución con el negocio.

El recorrido de América Latina: lecciones que Mozambique puede tomar prestadas

En América Latina, la gobernanza de datos como argumento competitivo encontró un acelerador inesperado en los marcos regulatorios. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y la Autoridade Nacional de Proteção de Dados (ANPD) activa desde 2021, empujó a las organizaciones a inventariar sus datos personales —y muchas descubrieron en ese proceso que no sabían qué datos tenían, dónde estaban ni quién era responsable. Argentina, con la Ley 25.326 y su autoridad de control (AAIP), atravesó una dinámica similar. En Colombia, la Ley 1581 de 2012 generó el mismo efecto: el cumplimiento de privacidad fue la puerta de entrada a programas de gobernanza más amplios. Mozambique parte de un contexto regulatorio diferente, pero el vector es el mismo: la presión externa —regulatoria o de mercado— acelera la madurez interna.

Los CDOs de la región que lograron posicionar la gobernanza de datos como argumento de negocio no lo hicieron con frameworks abstractos: lo hicieron mostrando el costo de no gobernar. Incidentes de calidad que derivaron en decisiones erróneas con impacto financiero medible, auditorías fallidas por falta de linaje documentado, contratos perdidos por no poder demostrar controles de acceso. Esos casos concretos —no los decálogos de mejores prácticas— son los que mueven presupuesto.

Tres movimientos concretos para un CDO que quiere traducir este debate en acción

• Mapear los dominios de datos críticos del negocio e identificar si existe un data steward designado para cada uno. Si no existe, ese es el primer gap a cerrar antes de cualquier conversación sobre confianza digital.
• Construir un caso de negocio basado en el costo de los problemas de calidad actuales: decisiones revertidas, reportes rehechos, integraciones fallidas. Ese número, expresado en horas/hombre o en impacto en revenue, es el argumento que llega a CFO y CEO.
• Vincular el programa de gobernanza al cumplimiento regulatorio vigente —LGPD, Ley 25.326, Ley 1581 o la norma local aplicable— para obtener respaldo institucional y presupuesto con urgencia justificada.

Para profundizar en los frameworks de referencia, el DAMA-DMBOK v2 y el CDMC del EDM Council son los puntos de partida obligados; ambos están disponibles en sus respectivos sitios oficiales con documentación técnica descargable.

Las evaluaciones de sistemas de inteligencia artificial en la región revelan un patrón consistente: la gobernanza de datos es la capacidad con mayor brecha de madurez, y su debilidad socava cualquier iniciativa de IA antes de que llegue a producción. Sin datos bien catalogados, con linaje trazable y ownership definido, los modelos operan sobre cimientos inestables.

Cuando una organización decide evaluar su preparación para implementar inteligencia artificial, el diagnóstico casi siempre apunta al mismo cuello de botella: no es la ausencia de talento técnico ni la falta de infraestructura computacional. Es la incapacidad de responder preguntas básicas sobre sus propios datos — quién los posee, qué significan, de dónde vienen y si son confiables. Ese conjunto de capacidades es lo que el marco DAMA-DMBOK agrupa bajo gobernanza de datos, y es precisamente donde los diagnósticos regionales muestran las brechas más pronunciadas.

Por qué la IA expone lo que la gobernanza de datos no resolvió

Un sistema de machine learning o un modelo de lenguaje grande (LLM) desplegado en producción necesita datos de entrenamiento documentados, pipelines auditables y metadata que permita rastrear el origen de cada conjunto de datos. Sin eso, el modelo puede producir resultados correctos en un entorno controlado y fallar de forma impredecible en producción. La IA no crea el problema de gobernanza — lo vuelve visible y costoso. Lo que antes era una deuda técnica tolerada se convierte, en un contexto de IA, en riesgo operativo y regulatorio concreto.

El EDM Council, organismo que administra el marco CDMC (Cloud Data Management Capabilities), identifica 14 capacidades de gestión de datos organizadas en niveles de madurez del 1 al 5. Según evaluaciones publicadas por el mismo consejo, la mayoría de las organizaciones globales opera entre nivel 1 y 2 en las capacidades de data quality, data lineage y data ownership — las tres directamente críticas para proyectos de IA. La región latinoamericana no es la excepción, y en sectores como gobierno, salud y retail, el punto de partida suele ser más bajo que el promedio global.

Qué significa “brecha de gobernanza” en términos operativos

Una brecha de gobernanza en contexto de IA se manifiesta en al menos cuatro formas concretas: primero, datos sin propietario definido (data steward ausente o rol no formalizado); segundo, ausencia de catálogo de datos que permita descubrir qué conjuntos existen y cuál es su calidad; tercero, linaje de datos (data lineage) no documentado, lo que impide saber cómo se transformaron los datos de origen a los datos de entrenamiento; y cuarto, ausencia de políticas de clasificación que distingan datos sensibles, regulados o de uso restringido. Cualquiera de estas cuatro condiciones es suficiente para frenar o invalidar una iniciativa de IA.

Cuándo aplica esta evaluación y cuándo no

Este análisis aplica a organizaciones que están en proceso de adoptar IA con datos propios — sea mediante modelos propietarios, fine-tuning de modelos base, o integración de APIs de modelos externos con datos internos. No aplica en la misma medida a organizaciones que usan IA exclusivamente a través de interfaces de usuario externas sin conectar datos internos, aunque incluso en ese caso la gobernanza de los datos exportados hacia esos sistemas sigue siendo un riesgo que debe gestionarse.

El marco regulatorio en LATAM presiona desde afuera

La presión para mejorar la gobernanza de datos no viene solo del imperativo técnico de la IA. En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) exige que las organizaciones puedan responder solicitudes de titulares sobre el tratamiento de sus datos, lo que requiere exactamente el tipo de catálogo y linaje que las brechas de gobernanza impiden. En México, la LFPDPPP establece obligaciones equivalentes gestionadas por el INAI. En Argentina, la Ley 25.326 y su autoridad de control, la AAIP, han intensificado la supervisión sobre tratamientos automatizados. Una organización que no puede mapear sus flujos de datos para responder a un DSAR (Data Subject Access Request) tampoco puede documentar el entrenamiento de un modelo de IA ante un regulador. La brecha de gobernanza es simultáneamente un problema técnico, un problema de IA y un problema de cumplimiento normativo.

Costa Rica, que en los últimos años ha posicionado su sector tecnológico como uno de los más activos de Centroamérica, enfrenta esta misma tensión: la adopción de IA en sectores como servicios financieros y gobierno digital avanza más rápido que la madurez de gobernanza de datos en las organizaciones que la implementan. La Agencia de Protección de Datos de los Habitantes (PRODHAB) supervisa el cumplimiento de la Ley 8968, que incluye obligaciones sobre tratamientos automatizados relevantes para sistemas de IA.

Tres capacidades para priorizar antes de cualquier proyecto de IA

Con base en los marcos de referencia disponibles — DAMA-DMBOK, CDMC y las recomendaciones del MIT CISR sobre gobierno de datos para IA — hay tres capacidades que deben establecerse antes de escalar cualquier iniciativa de IA con datos propios. Primero, asignar data stewards para los dominios de datos que alimentarán los modelos, con responsabilidades documentadas y formalizadas. Segundo, implementar un catálogo de datos mínimo viable que registre al menos origen, clasificación de sensibilidad y calidad básica de los conjuntos de datos candidatos. Tercero, documentar el data lineage de extremo a extremo para los pipelines de entrenamiento, de modo que cualquier auditoría interna o regulatoria pueda reconstruir cómo se produjo el modelo. Estas tres capacidades no requieren herramientas sofisticadas para comenzar — pueden iniciarse con procesos documentados antes de que exista una plataforma tecnológica dedicada.

Para profundizar en los marcos de referencia, el DAMA-DMBOK 2.0 y la documentación pública del EDM Council sobre CDMC están disponibles en sus respectivos sitios oficiales; la Ley 8968 de Costa Rica y las resoluciones de PRODHAB se encuentran en el Sistema Costarricense de Información Jurídica (SCIJ).

La Legislatura de Río Negro avanza en un proyecto de ley de gobernanza de datos públicos, según se informó a mediados de septiembre de 2025. Si prospera, la provincia patagónica se convertiría en una de las primeras jurisdicciones subnacionales de Argentina en contar con un marco normativo específico para la gestión del dato público —un terreno donde la regulación nacional lleva años de retraso.

La iniciativa, cuyo texto completo no fue publicado oficialmente al cierre de esta edición, apunta a establecer criterios para la apertura, clasificación y uso de datos que produce y custodia el Estado provincial. El movimiento legislativo llega en un momento en que varias provincias argentinas están revisando sus marcos de modernización del Estado, pero sin traducirlos aún en reglas concretas de gobernanza del dato.

Argentina: vacío federal y avances provinciales en 2025

A nivel nacional, Argentina carece de una ley de gobernanza de datos públicos como instrumento específico. La Ley 27.275 de Acceso a la Información Pública, sancionada en 2016 y reglamentada por el Decreto 206/2017, establece el derecho de acceso y obliga a publicar información en formatos abiertos, pero no define un marco de gestión, calidad ni ciclo de vida del dato dentro del Estado. El Plan Nacional de Gobierno Abierto y los decretos de datos abiertos del Ejecutivo nacional (entre ellos el Decreto 117/2016) avanzaron en apertura, pero sin arquitectura de gobernanza: no hay roles de data steward en el sector público, ni un catálogo central con linaje definido, ni políticas de calidad del dato vinculantes para organismos nacionales.

En ese vacío, las provincias empiezan a moverse. Río Negro no sería la primera en intentarlo: la Ciudad Autónoma de Buenos Aires tiene regulaciones de datos abiertos (Ley 4.013 y normas complementarias) y Santa Fe avanzó con el programa Datos Abiertos SF, aunque ninguna de las dos alcanzó aún una ley integral de gobernanza con responsabilidades, estándares y mecanismos de enforcement explícitos. Si el proyecto rionegrino llega a sancionarse con esas características, marcaría un precedente legislativo relevante para el federalismo argentino en materia de dato público.

Brasil, Chile y Colombia: tres modelos de referencia para el sector público

En el resto de la región, el avance es dispar pero hay referencias concretas que un equipo legislativo debería tener sobre la mesa. Brasil sancionó en 2021 la Lei nº 14.129 (Lei do Governo Digital), que define principios de gobernanza de datos para el sector público federal e impulsa la interoperabilidad entre organismos, complementando la LGPD (Lei nº 13.709/2018) en el tratamiento de datos personales por el Estado. Chile, por su parte, incorporó en su nueva Ley 21.719 de Protección de Datos Personales —promulgada en 2024— disposiciones específicas sobre el tratamiento de datos por órganos públicos, con estándares de calidad y finalidad definidos. Colombia opera con la Política de Gobierno Digital (antes GEL) y la Resolución MinTIC que regula los datos abiertos, aunque aún no tiene una ley de gobernanza de dato público como tal.

El marco de referencia conceptual más robusto para iniciativas de este tipo sigue siendo el DAMA-DMBOK (Data Management Body of Knowledge), que en su segunda edición distingue entre apertura del dato (open data) y gobernanza del dato (data governance): la primera es una política de acceso; la segunda es un sistema de gestión con ownership, calidad, ciclo de vida y controles. Un proyecto legislativo que solo regule apertura sin abordar las otras dimensiones reproduce el error que ya cometieron varios gobiernos en la región.

Qué debería contener una ley provincial de gobernanza de datos para ser efectiva

Basándonos en los marcos internacionales y en la experiencia regulatoria regional, un instrumento de gobernanza de datos públicos que aspire a ser operativo debería contemplar al menos los siguientes elementos:

• Definición de roles formales: quién es el data owner y quién el data steward en cada organismo, con responsabilidades explícitas y no meramente declarativas.
• Catálogo de datos públicos con metadatos estandarizados y linaje documentado, de modo que sea posible rastrear el origen, transformación y uso de cada conjunto de datos.
• Estándares de calidad del dato: completitud, exactitud, actualidad y consistencia como requisitos mínimos medibles, no principios generales.
• Clasificación de datos según sensibilidad, con criterios que distingan datos abiertos, datos reservados y datos de acceso restringido por razones de privacidad o seguridad.
• Mecanismo de supervisión y enforcement: un órgano o autoridad con capacidad de auditar el cumplimiento, no solo de emitir recomendaciones.

Sin estos componentes, la ley corre el riesgo de convertirse en una declaración de principios sin efecto práctico en la operación del Estado provincial.

Qué monitorear: texto definitivo, comisiones y articulación con la Ley 25.326

El siguiente paso crítico es la publicación del texto del proyecto y su tratamiento en comisiones. Hay dos puntos de tensión técnica que merecen seguimiento. El primero es la articulación con la Ley 25.326 de Protección de Datos Personales: cualquier régimen de gobernanza de datos públicos en Argentina debe ser coherente con las obligaciones de esa ley —y, eventualmente, con las reformas que el Ejecutivo nacional viene evaluando desde 2023—, especialmente en lo que refiere al tratamiento de datos personales que obran en registros estatales. El segundo es la capacidad institucional de implementación: la provincia deberá definir si crea una unidad específica de gobernanza de datos, si recae en la Secretaría de Modernización o si designa un responsable transversal con autoridad real sobre los organismos.

Nuestro análisis

El valor de la iniciativa rionegrina no está en ser la primera —porque la Ciudad de Buenos Aires lleva ventaja en apertura de datos—, sino en el nivel de ambición que tenga el texto. En Argentina, el federalismo produce un mosaico regulatorio donde una provincia puede legislar mejor que la nación en materias técnicas como esta. Si Río Negro aprueba una ley con roles definidos, catálogo obligatorio y enforcement real, generará una presión normativa ascendente que otras provincias y eventualmente el Congreso nacional difícilmente podrán ignorar. El riesgo opuesto, igualmente real, es que el proyecto se diluya en una ley de apertura de datos rebautizada como “gobernanza”, que es exactamente lo que la región ya tiene en abundancia y no le alcanza.

La diferencia entre una ley de datos abiertos y una ley de gobernanza de datos es la diferencia entre publicar información y gestionarla: Río Negro tiene la oportunidad de legislar la segunda, pero el texto dirá si eso es lo que realmente ocurrió.