Categoría: Data Governance

La provincia de Buenos Aires formalizó un nuevo marco de gobernanza de datos impulsado por la gestión del gobernador Axel Kicillof, que incluye también la actualización de su infraestructura tecnológica base. La iniciativa posiciona a la provincia más poblada de Argentina como la primera jurisdicción subnacional del país en adoptar un esquema estructurado de gestión de datos públicos, según se informó en medios locales el 16 de septiembre de 2025.

El anuncio combina dos planos distintos pero complementarios: la modernización de sistemas operativos en dependencias provinciales —con migración hacia versiones actualizadas de Windows— y la creación de un marco normativo-institucional para ordenar cómo el Estado bonaerense recolecta, procesa, comparte y resguarda sus datos. La coexistencia de ambas medidas no es casual: sin una capa de infraestructura actualizada, cualquier política de gobernanza de datos corre el riesgo de quedar en papel.

Qué contiene el marco bonaerense y qué organismos involucra

Según se informó, el esquema abarca criterios de clasificación de datos, definición de roles de custodia y reglas de interoperabilidad entre organismos provinciales. La arquitectura propuesta establece responsabilidades diferenciadas por tipo de dato —con énfasis en datos sensibles de ciudadanos— y prevé mecanismos de auditoría interna. No se han publicado hasta el momento los textos técnicos completos ni los decretos específicos que le dan fuerza normativa al marco, por lo que el alcance preciso de las obligaciones que impone a cada organismo aún no puede verificarse de fuentes oficiales directas.

Lo que sí resulta significativo es el nivel de gobierno que lidera la iniciativa: al emanar directamente del Ejecutivo provincial, el marco tiene potencial de impactar a más de 600 organismos y reparticiones del Estado bonaerense, incluyendo ministerios, entes autárquicos y organismos de recaudación como ARBA, que ya opera con grandes volúmenes de datos fiscales de personas físicas y jurídicas.

Argentina en 2025: el vacío de gobernanza subnacional que esta medida empieza a cubrir

A nivel nacional, Argentina no cuenta con una ley específica de gobernanza de datos públicos. La Ley 25.326 de Protección de Datos Personales regula el tratamiento de datos de personas físicas, pero no establece un esquema de gobierno del dato para el Estado como actor institucional. El Poder Ejecutivo Nacional avanzó con el Decreto 558/2022, que creó la Agencia de Acceso a la Información Pública (AAIP) como autoridad de aplicación, pero sin un marco de data governance que defina roles tipo data owner o data steward dentro de los organismos públicos. La iniciativa bonaerense cubre, al menos parcialmente, ese vacío a escala provincial.

En paralelo, la Ciudad Autónoma de Buenos Aires viene desarrollando su propia arquitectura de datos a través de la Secretaría de Innovación y Transformación Digital, aunque sin un marco formal publicado con ese nombre. La provincia de Córdoba también tiene experiencia en interoperabilidad entre organismos, pero igualmente carece de un esquema codificado de gobernanza. Buenos Aires provincia se adelanta, al menos en términos de denominación institucional explícita.

Marco comparado LATAM: Brasil, Chile y Colombia ya cuentan con referencia normativa nacional

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) obliga a los organismos públicos a designar un Encarregado de Dados —equivalente funcional del Data Protection Officer europeo— y establece bases legales específicas para el tratamiento de datos por parte del Estado. La Autoridade Nacional de Proteção de Dados (ANPD) viene desarrollando resoluciones que profundizan los requisitos de governance para el sector público federal, con un roadmap que incluye guías de gestión del ciclo de vida del dato. Lo que Buenos Aires anuncia como marco propio, Brasil lo viene construyendo con respaldo normativo federal desde 2020.

En Chile, la Ley 21.663 de Protección de Datos Personales —promulgada en 2024 y en proceso de implementación gradual— incorpora obligaciones diferenciadas para organismos públicos, incluyendo la figura del Delegado de Protección de Datos. Colombia, por su parte, opera bajo la Ley 1581/2012 complementada por el Decreto 1377/2013, y su Autoridad Nacional de Protección de Datos (SIC) ha emitido instrucciones específicas para entidades del Estado. Ninguno de estos países, sin embargo, cuenta con un marco de gobernanza de datos públicos separado de la legislación de privacidad —lo que muestra que la iniciativa bonaerense, si logra esa distinción, abre un camino relativamente inédito en la región.

Qué implica para equipos de datos en organismos provinciales y empresas que contratan con el Estado

Para los equipos técnicos que operan dentro de la administración bonaerense, la creación de un marco de gobernanza implica la definición formal de data stewards por área temática, la elaboración o actualización de un catálogo de datos con clasificación por sensibilidad, y el establecimiento de acuerdos de intercambio de datos (data sharing agreements) entre organismos. Siguiendo la metodología DAMA-DMBOK, estas son las áreas de conocimiento de Knowledge Area 1 (Data Governance) y Knowledge Area 2 (Data Architecture) que cualquier organismo público debería tener documentadas antes de poder reportar cumplimiento con un marco de este tipo.

Para empresas que prestan servicios tecnológicos o de datos a la provincia —desde consultoras hasta proveedores de cloud—, el nuevo marco puede traducirse en requisitos contractuales más estrictos: cláusulas de tratamiento de datos, restricciones de transferencia internacional y obligaciones de auditoría. Los pliegos de licitación podrían incorporar, en los próximos meses, exigencias de certificación o declaración de cumplimiento con el marco provincial.

Qué monitorear en las próximas semanas

Los puntos críticos a seguir son tres. Primero, la publicación del texto completo del marco en el Boletín Oficial de la provincia, que determinará si tiene fuerza de decreto, resolución o instrucción administrativa, con implicancias directas sobre su obligatoriedad y jerarquía normativa. Segundo, la designación del organismo rector o unidad de gobierno del dato que supervisará el cumplimiento —si ese rol recae en la Subsecretaría de Tecnología e Innovación o en un nuevo ente, cambia la estructura de accountability. Tercero, el cronograma de implementación por tipo de organismo: los marcos que carecen de fases graduales suelen diluirse en la práctica dentro de las burocracias estatales.

Nuestro análisis

La iniciativa bonaerense es políticamente significativa, pero su valor real depende de un detalle que todavía no está disponible públicamente: el texto normativo. Anunciar un “marco de gobernanza de datos” sin publicar los instrumentos legales que lo sostienen es una práctica frecuente en la región —y también la razón por la que muchos de esos marcos quedan como ejercicios de comunicación en lugar de transformaciones operativas. Si la provincia de Buenos Aires logra publicar roles formalizados (data owner, data steward), un registro de activos de datos y mecanismos de auditoría con periodicidad definida, habrá dado un paso que ninguna otra jurisdicción subnacional argentina ha dado de forma documentada. Si el marco queda en una declaración de principios, se sumará a una larga lista de iniciativas de modernización estatal que no sobreviven al ciclo político. La diferencia entre ambos escenarios se verá en el Boletín Oficial, no en el comunicado de prensa.

La gobernanza de datos pública en Argentina no se construye con anuncios: se construye con textos normativos, roles con nombre y apellido institucional, y presupuesto asignado. Eso es lo que hay que pedir en el Boletín Oficial.

Un estudio conjunto de Integrate y Demand Metric revela que la preparación para la inteligencia artificial en equipos de marketing no depende principalmente de la tecnología adoptada, sino del nivel de madurez en gobernanza de datos. Las organizaciones con prácticas sólidas de gobierno del dato reportan mayor crecimiento de ingresos y mayor efectividad en sus iniciativas de IA.

El hallazgo central del estudio es operativo, no aspiracional: la variable que mejor predice si una organización puede capitalizar la IA en marketing no es el presupuesto tecnológico ni el tamaño del equipo, sino la calidad de sus datos y los procesos que los gobiernan. En términos del marco DAMA-DMBOK, se trata de las capabilities de Data Quality Management y Metadata Management —las mismas que determinan si un modelo de IA recibe insumos confiables o ruido estructurado.

Qué mide el estudio y qué encontró

Según se informó, la investigación relevó el estado de preparación para IA (AI readiness) en organizaciones de marketing, cruzando ese indicador con variables de gobernanza de datos y resultados de negocio. El patrón emergente fue consistente: las empresas que califican alto en gobernanza —con datos unificados, ownership definido y procesos de calidad activos— también reportan mayor crecimiento de ingresos vinculado a iniciativas de IA. Las que muestran gobernanza débil describen proyectos de IA que no escalan o que generan resultados inconsistentes.

Este patrón no es nuevo en la literatura de gobierno del dato. Bob Seiner, referente de Non-Invasive Data Governance, ha argumentado que los programas de IA fallan cuando los datos subyacentes no tienen un accountability claro. El estudio aporta evidencia cuantitativa desde el dominio de marketing, un área donde la fragmentación de datos —leads de múltiples canales, identidades duplicadas, atribución opaca— es endémica.

Tres brechas de gobernanza que bloquean la IA en marketing

Del análisis surge que las organizaciones con baja AI readiness comparten al menos una de estas tres brechas estructurales:

• Ausencia de data stewardship en el dominio de datos de clientes: nadie es accountable de la definición canónica de “lead calificado” ni de su actualización.
• Falta de data lineage documentado entre fuentes de captura (formularios, CRM, plataformas de demanda) y los modelos de scoring o segmentación que alimentan la IA.
• Datos de contacto sin política de calidad activa: duplicados, campos vacíos y registros desactualizados que degradan la precisión de cualquier modelo predictivo.

Cada una de estas brechas tiene un correlato directo en el EDM Council CDMC (Cloud Data Management Capabilities): las capabilities de Data Quality (nivel 6), Data Catalog & Discovery (nivel 5) y Data Ownership (nivel 3) son exactamente las que el estudio identifica como diferenciadoras entre organizaciones que escalan IA y las que no lo logran.

Cuándo aplica / cuándo NO este vínculo entre gobernanza y AI readiness

El vínculo es directo cuando la IA opera sobre datos propios de la organización: bases de clientes, historiales de interacción, datos de CRM. En esos casos, la calidad del dato de entrada determina la utilidad del output. El vínculo es menos determinante cuando la IA se aplica a datos sintéticos o modelos preentrenados que no dependen de los datos internos de la organización. Para equipos de marketing en LATAM que usan IA principalmente para generación de contenido o automatización de copy —sin scoring predictivo ni segmentación sobre base propia—, la gobernanza de datos no es el cuello de botella inmediato, aunque sí lo será en cuanto escalen hacia personalización o atribución multicanal.

El punto ciego en equipos de marketing de Argentina, México y Brasil

En América Latina, la fragmentación del dato de marketing tiene una dimensión adicional: la coexistencia de regulaciones de datos personales con distinto grado de madurez. En Brasil, la LGPD (Lei Geral de Proteção de Dados) exige bases legales para el tratamiento de datos de contacto y habilita derechos de acceso y supresión (DSAR) que impactan directamente en la calidad de las bases de marketing. En Argentina, la Ley 25.326 y las resoluciones de la AAIP establecen requisitos similares. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) regula el consentimiento para usos secundarios como el scoring automatizado.

Un equipo de marketing que alimenta modelos de IA con datos recolectados sin base legal adecuada no solo tiene un problema de gobernanza técnica: tiene un pasivo regulatorio. El dato que alimenta el modelo puede ser el mismo que genera una sanción del INAI, la ANPD o la AAIP. La gobernanza de datos de marketing en LATAM no puede disociarse de la capa de privacidad.

Lo que un CDO puede hacer esta semana con este hallazgo

El estudio ofrece un argumento de negocio concreto para priorizar inversión en gobernanza: la AI readiness tiene correlación directa con crecimiento de ingresos, y esa readiness depende de governance. Para un CDO que necesita justificar el programa ante el CFO o el CMO, este es el tipo de evidencia que convierte gobernanza en prioridad presupuestaria y no en overhead. Los pasos inmediatos son tres: mapear el data lineage entre las fuentes de captura de leads y los modelos de IA o scoring en uso; identificar quién es el data steward del dominio de cliente en marketing (si la respuesta es “nadie”, ese es el primer gap); y auditar si los datos que alimentan IA tienen base legal documentada bajo la regulación local aplicable.

Para profundizar en el marco de capacidades de gobierno del dato aplicado a IA, el EDM Council CDMC y el DAMA-DMBOK 2 ofrecen los estándares de referencia que permiten medir y cerrar estas brechas con criterio formal, no con intuición.

El Departamento de Servicios Financieros de Nueva York (DFS) emitió el 10 de septiembre de 2026 una nueva guía de ciberseguridad que precisa qué espera el regulador de las entidades bajo su supervisión al momento de conducir evaluaciones de riesgo. La directiva no es optativa: define alcance, frecuencia y responsabilidades internas, y en un sector donde la exposición a riesgo sistémico cruza fronteras, su impacto llega hasta los equipos de gobierno de datos de bancos y aseguradoras que operan en América Latina con filiales o corresponsalías reguladas en ese Estado.

La guía fue firmada por Kaitlin Asrow, Superintendente en funciones del DFS, y complementa el marco de ciberseguridad ya vigente bajo 23 NYCRR Part 500, el reglamento que desde 2017 obliga a las entidades financieras licenciadas en Nueva York a mantener programas de ciberseguridad formales. Lo que agrega la nueva orientación es granularidad operativa: no basta con tener una evaluación de riesgo; debe estar calibrada para informar —y justificar— las decisiones del programa de ciberseguridad de cada entidad.

Qué exige la guía DFS: alcance, periodicidad y ownership interno

Según se informó, el documento articula tres ejes principales. El primero es el alcance de la evaluación, que debe cubrir todos los activos de información relevantes, incluidos los sistemas de terceros que procesen datos en nombre de la entidad. El segundo eje es la frecuencia: las evaluaciones no pueden ser un ejercicio anual de cumplimiento formal; deben actualizarse ante cambios materiales en el entorno de amenazas o en la arquitectura tecnológica. El tercero —y el más relevante para la función de data governance— es el rol que cumple la evaluación dentro del programa de ciberseguridad: debe traducirse en controles concretos, con responsables identificados y seguimiento documentado.

Este tercer eje conecta directamente con conceptos que DAMA-DMBOK categoriza bajo Data Security y que el EDM Council (CDMC) incluye en su capability 9: la gestión de riesgo sobre activos de datos requiere ownership claro, clasificación previa y linaje documentado. Una evaluación de riesgo que no sabe qué datos toca, quién los posee y cómo fluyen es, en la práctica, una declaración de intenciones sin sustento.

Por qué 23 NYCRR 500 sigue siendo referencia para reguladores latinoamericanos

El reglamento DFS es uno de los marcos sectoriales más imitados fuera de Estados Unidos. En América Latina, varios bancos centrales y superintendencias financieras han tomado elementos de su arquitectura al diseñar sus propias normas de ciberseguridad. El Banco Central de la República Argentina (BCRA), con la Comunicación A 7724 y sus actualizaciones posteriores, impone requisitos de gestión de riesgo tecnológico a entidades financieras locales que guardan similitud estructural con los pilares de 23 NYCRR 500: identificación de activos críticos, evaluación periódica y reporte a la alta gerencia. Colombia, a través de la Superintendencia Financiera y su Circular Externa 007 de 2018 sobre riesgo de seguridad y ciberseguridad, recorre un camino análogo.

Lo que la guía del DFS introduce —y que aún no está formalizado con igual nivel de detalle en la mayoría de los marcos latinoamericanos— es la exigencia de que la evaluación de riesgo sea el documento rector del programa de ciberseguridad, no un anexo del mismo. Esa distinción tiene consecuencias prácticas: si el regulador local adopta una lógica similar en una revisión futura, los equipos que hoy tratan la evaluación de riesgo como un checklist anual tendrán que reestructurar su enfoque.

Para bancos con doble regulación, la carga de compliance se multiplica

Las entidades latinoamericanas con operaciones o corresponsalías en Nueva York ya están bajo 23 NYCRR 500 y ahora deben incorporar esta guía adicional. Para ellas, el desafío no es solo técnico: es de gobernanza. Mantener evaluaciones de riesgo coherentes entre jurisdicciones —donde los inventarios de activos, la clasificación de datos y los umbrales de riesgo aceptable pueden diferir— exige un modelo de gobierno de datos que trascienda la entidad local y funcione a nivel de grupo. Esto es precisamente lo que el concepto de data mesh organizacional, bien implementado, debería facilitar: dominios de datos con ownership claro, capaces de reportar al regulador de su jurisdicción sin depender de un proceso centralizado que no conoce los activos locales.

En la práctica, muchos bancos regionales aún operan con catálogos de datos incompletos y sin data stewards formalmente designados para activos críticos. Una evaluación de riesgo que el DFS juzgaría insuficiente en Nueva York probablemente también sería insuficiente ante el BCRA o la Superintendencia Financiera de Colombia si esos reguladores aplicaran el mismo nivel de escrutinio.

Qué monitorear: revisiones de 23 NYCRR 500 y movimientos regulatorios en Brasil y México

Los próximos hitos a seguir son dos. Primero, cualquier actualización formal a 23 NYCRR 500 que incorpore los estándares de esta guía al texto regulatorio vinculante, lo que elevaría el nivel de exigencia para entidades supervisadas. Segundo, la evolución de los marcos de ciberseguridad financiera en Brasil —donde el Banco Central (BCB) ya tiene resoluciones específicas sobre riesgo operacional y cibernético bajo la Resolução BCB 85/2021— y en México, donde la CNBV ha avanzado en requisitos de gestión de riesgo tecnológico para instituciones de crédito. Si el DFS formaliza esta guía como enmienda reglamentaria, la presión comparativa sobre otros reguladores de la región crecerá.

Nuestro análisis

La guía del DFS es, ante todo, un mensaje sobre madurez de gobierno de datos: no alcanza con tener controles si no podés demostrar que esos controles derivan de una comprensión documentada del riesgo sobre activos de datos identificados. Esa lógica —evaluación como documento rector, no como ejercicio de cumplimiento— es exactamente lo que diferencia a un programa de data governance maduro de uno que existe solo en el organigrama. Para los CDO y líderes de riesgo de entidades financieras en la región, esta guía es una señal anticipada: el estándar de “evaluación suficiente” se está moviendo hacia arriba, y los reguladores locales eventualmente seguirán esa dirección. La pregunta no es si adaptar el modelo; es cuánto tiempo queda antes de que el regulador propio lo exija formalmente.

Las entidades financieras latinoamericanas con exposición regulatoria en Nueva York tienen hoy una ventaja táctica: pueden usar esta guía del DFS para fortalecer su modelo de gobierno de datos antes de que el equivalente local sea mandatorio. Ignorarla equivale a dejar que el regulador marque el ritmo.

La inteligencia artificial no falla por falta de algoritmos ni de poder de cómputo: falla porque los datos que la alimentan están mal catalogados, sin dueño claro y sin linaje trazable. La gobernanza de datos no es el paso previo a la transformación digital; es la condición de posibilidad de cualquier iniciativa de IA que aspire a escalar.

Cuando una organización lanza un proyecto de machine learning o un agente de IA generativa, el 60% a 80% del esfuerzo real termina siendo de preparación y limpieza de datos, según estimaciones recurrentes en la industria. Ese número no refleja un problema técnico: refleja la ausencia de un programa de gobernanza de datos maduro. Sin definiciones claras de qué dato es autoritativo, quién es su data steward —el responsable operativo de su calidad e integridad— y cómo se transformó desde el origen hasta el modelo, el output de la IA es, en el mejor caso, impredecible.

Qué es concretamente un cuello de botella de gobernanza

Un cuello de botella de gobernanza no es que “los datos son sucios”. Es un conjunto específico de carencias estructurales: ausencia de un glosario de negocio (business glossary) con definiciones únicas y acordadas entre áreas; falta de un catálogo de datos activo que indique dónde vive cada activo, quién lo consume y con qué frecuencia se actualiza; data lineage inexistente o fragmentado, que impide saber si el campo “ingreso mensual” en el modelo de crédito viene del CRM, del ERP o de una planilla de Excel mantenida por alguien que ya no trabaja en la empresa. Cualquiera de esos tres puntos, por separado, basta para que un proyecto de IA no pase de piloto.

El marco DAMA-DMBOK v2 identifica once áreas de conocimiento en gobernanza de datos; la mayoría de las organizaciones latinoamericanas operan con cobertura parcial en no más de tres o cuatro. El EDM Council, a través de su CDMC (Cloud Data Management Capabilities), ofrece una escala de madurez de doce niveles que permite medir exactamente dónde está la brecha. En la práctica, las empresas que intentan implementar IA sin haber alcanzado al menos el nivel 4 del CDMC —que implica políticas de clasificación de datos documentadas y roles de data steward formalmente asignados— enfrentan retrabajo sistemático en cada sprint.

El rol del CDO y la confusión frecuente con el CIO

Una de las fricciones organizacionales más comunes es la ausencia de un Chief Data Officer con mandato explícito sobre gobernanza, o la delegación de esa función al CIO, cuya prioridad natural es la disponibilidad de sistemas y la infraestructura. La gobernanza de datos requiere decisiones de negocio —qué definición de “cliente activo” es la correcta para el área de riesgo versus la de marketing— que no son decisiones tecnológicas. Bob Seiner, referente en Non-Invasive Data Governance, sostiene que la gobernanza más efectiva es aquella que formaliza las responsabilidades que ya existen informalmente en la organización, en lugar de crear estructuras paralelas que generan resistencia.

En empresas que sí tienen un CDO, el foco operativo debería estar hoy en dos frentes simultáneos: primero, identificar qué dominios de datos alimentan los modelos de IA en producción o en piloto, y auditar si esos dominios tienen ownership definido y SLAs de calidad medibles; segundo, negociar con el área de tecnología la incorporación de metadata de gobernanza —clasificación, linaje, restricciones de uso— en los pipelines de datos desde el diseño, no como capa retroactiva.

Cuándo aplica este diagnóstico y cuándo NO

Este análisis aplica a organizaciones que ya tienen o planean tener modelos de IA consumiendo datos internos: bancos, aseguradoras, retailers con motores de recomendación, utilities con mantenimiento predictivo. No aplica —o aplica con menor urgencia— a organizaciones que usan IA exclusivamente a través de APIs de terceros con datos propios del proveedor, donde el problema de gobernanza de datos internos es secundario al contrato de uso y las cláusulas de procesamiento. Tampoco sustituye a los controles de ciberseguridad: una buena gobernanza no es un control de acceso, aunque una buena clasificación de datos sí informa qué activos requieren controles de acceso más estrictos.

El escenario regulatorio en América Latina agrega urgencia

En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que las organizaciones puedan demostrar la base legal del tratamiento de datos personales y respondan solicitudes de titulares en plazos definidos. Eso requiere saber exactamente dónde está cada dato personal, con qué propósito fue recolectado y qué sistemas lo procesan: en otras palabras, requiere gobernanza de datos funcional. La ANPD ha comenzado a intensificar su actividad fiscalizadora desde 2024, y las empresas que no pueden responder un DSAR —Data Subject Access Request— en tiempo y forma exponen su falta de catálogo y linaje ante el regulador. En Argentina, la Ley 25.326 y su autoridad de control, la AAIP, plantean obligaciones equivalentes, aunque con menor capacidad sancionatoria histórica. En México, el INAI fiscaliza bajo la LFPDPPP con criterios similares. En todos los casos, la gobernanza de datos no es solo una ventaja competitiva para la IA: es un requisito de cumplimiento regulatorio.

Colombia avanza hacia una reforma de su régimen de datos personales con la SIC como autoridad activa, y Chile opera bajo la Ley 19.628 con un proyecto de modernización que fortalecería las obligaciones de accountability. Para los CDOs de la región, el argumento regulatorio suele ser más eficaz que el argumento de productividad a la hora de conseguir presupuesto para un programa de gobernanza.

Para profundizar en los estándares de madurez aplicables, el CDMC del EDM Council y el DAMA-DMBOK v2 son los marcos de referencia con mayor adopción regional; ambos están disponibles en sus sitios oficiales y tienen comunidades activas en América Latina.