DataTrends LATAM

Categoría: Data Governance

  • India condiciona su expansión financiera digital a mayor gobernanza de datos

    India condiciona su expansión financiera digital a mayor gobernanza de datos

    India está condicionando la expansión de su infraestructura pública digital financiera —conocida como DPI (Digital Public Infrastructure)— a requisitos más exigentes de gobernanza de datos. La decisión convierte a la mayor democracia del mundo en un caso de referencia para economías emergentes que buscan escalar sistemas de pagos e identidad digital sin sacrificar el control sobre los datos que circulan por esos sistemas.

    El movimiento indio no es menor en términos de escala. La pila DPI del país —que incluye Aadhaar (identidad biométrica), UPI (pagos en tiempo real) y el Account Aggregator Framework— procesa miles de millones de transacciones mensuales y está siendo replicada o adaptada por gobiernos de África, Asia del Sur y, progresivamente, América Latina. Que India decida ahora elevar las expectativas de gobernanza de datos sobre esa infraestructura envía una señal clara: la expansión sin marcos de control es políticamente insostenible y operativamente riesgosa.

    Qué implica vincular DPI con gobernanza de datos en la práctica

    La conexión entre infraestructura pública digital y gobernanza de datos no es retórica. Según se informó, las expectativas regulatorias emergentes en India apuntan a que los operadores de DPI financiero deban demostrar capacidades concretas: clasificación de datos por sensibilidad, linaje auditable de los flujos de información entre entidades participantes, y mecanismos de consentimiento verificable para el acceso a datos del usuario. Esto se alinea con el Marco de Protección de Datos Digitales Personales (DPDPA, por sus siglas en inglés), sancionado en 2023, que establece obligaciones para “fiduciarios de datos” —equivalente al concepto de data controller en terminología GDPR— y para los procesadores que operan por delegación.

    Desde una perspectiva de gobierno del dato corporativo, el modelo indio obliga a los participantes del ecosistema DPI a operar con capabilities equivalentes al nivel 5 o superior del CDMC (Cloud Data Management Capabilities) del EDM Council: ownership claro sobre cada conjunto de datos, catálogos activos con metadatos de calidad y controles de acceso basados en roles auditables. En muchos casos, las entidades financieras de mercados emergentes que se integran a DPI no tienen esos controles formalizados —los tienen implícitos en sus sistemas core, pero sin la documentación que un regulador puede auditar.

    El Account Aggregator Framework como modelo de consentimiento estructurado

    Uno de los componentes más relevantes del DPI indio para el debate global es el Account Aggregator (AA) Framework. Este sistema permite que los usuarios autoricen —y revoquen— el flujo de sus datos financieros entre instituciones de manera granular, con registros auditables de cada consentimiento. No es solo privacidad: es gobernanza de datos aplicada a escala de infraestructura nacional. El fiduciario de datos en este modelo no puede invocar un consentimiento genérico; debe demostrar que el dato fue compartido dentro del alcance, el propósito y el período habilitado por el usuario.

    Este diseño responde directamente a la crítica que organismos como el BIS (Bank for International Settlements) han formulado sobre los sistemas DPI de primera generación: que al escalar la conectividad financiera sin arquitecturas de consentimiento, se crean repositorios de datos de comportamiento financiero masivos con escasa rendición de cuentas. India parece haber internalizado esa crítica en su expansión actual.

    Brasil con Open Finance y México con CoDi: dos experiencias LATAM bajo la misma presión

    América Latina no es ajena a esta tensión. Brasil desplegó Open Finance —anteriormente Open Banking— bajo regulación del Banco Central (Resolução Conjunta nº 1/2020 y sus actualizaciones), con un modelo de consentimiento que en varios aspectos espeja el Account Aggregator indio: el usuario autoriza la portabilidad de sus datos y puede revocarla en cualquier momento. Sin embargo, el Banco Central de Brasil y la ANPD (Autoridade Nacional de Proteção de Dados) aún trabajan en delimitar con precisión las obligaciones de linaje de datos para los participantes del ecosistema, una brecha que las auditorías internas de entidades financieras grandes han identificado como riesgo de compliance bajo la LGPD.

    México, por su parte, opera el sistema de pagos CoDi sobre la infraestructura del SPEI del Banco de México. La Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera, 2018) establece bases para el uso compartido de datos financieros, pero el ecosistema de Open Finance mexicano está aún en desarrollo normativo. Las ITF (Instituciones de Tecnología Financiera) que operan bajo supervisión de la CNBV deben cumplir la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), pero los marcos específicos de data stewardship para flujos DPI no están formalizados con el nivel de granularidad que India está empujando. Colombia avanza en una dirección similar: su marco de Open Finance, impulsado por la Superfinanciera, incorpora elementos de consentimiento granular, pero la gobernanza del dato subyacente sigue dependiendo en gran medida de políticas internas de cada entidad.

    Qué monitorear: las decisiones que tomarán ANPD, CNBV y reguladores bancarios en los próximos 18 meses

    El caso indio establece un precedente que los reguladores latinoamericanos van a tener que procesar. Los CDOs y equipos de gobernanza de datos de entidades financieras en la región deben prestar atención a tres hitos concretos: primero, la reglamentación pendiente del DPDPA indio —que definirá el estándar técnico exigible y puede ser citado en foros del G20 como referencia—; segundo, la evolución de las normas del Banco Central de Brasil sobre responsabilidades de datos en el ecosistema Open Finance, donde se esperan actualizaciones en 2025-2026; y tercero, el avance legislativo del Open Finance en México, cuyo rezago normativo puede convertirse en riesgo reputacional para las instituciones que ya operan con datos de usuarios en esquemas de intercambio.

    Desde una perspectiva operativa, un CDO de una entidad financiera latinoamericana que participa —o planea participar— en ecosistemas DPI debería auditar hoy tres capacidades: (1) la existencia de un data catalog con clasificación de sensibilidad para todos los datasets compartidos en APIs de Open Finance; (2) la trazabilidad —data lineage— de cada flujo de datos desde la fuente hasta el receptor, con timestamps auditables; y (3) la arquitectura de consentimiento: ¿el sistema puede demostrar ante un regulador que el dato fue compartido dentro del alcance habilitado por el usuario, sin excederse en propósito ni período? Si alguna de estas tres respuestas es “no documentado” o “dependemos del proveedor”, el riesgo de compliance es real y creciente.

    Nuestro análisis: DPI sin gobernanza es infraestructura con fecha de vencimiento regulatorio

    La decisión india de vincular expansión DPI con gobernanza de datos refleja una madurez regulatoria que los mercados emergentes tienden a postergar bajo el argumento de la inclusión financiera. El razonamiento implícito —”primero conectamos a todos, después regulamos”— es políticamente comprensible pero técnicamente costoso: deshacer arquitecturas de datos sin ownership claro una vez que escalan es exponencialmente más caro que diseñarlas bien desde el inicio. El DAMA-DMBOK lleva dos décadas documentando este ciclo; India acaba de convertirlo en política pública.

    Para América Latina, donde el impulso a la inclusión financiera digital es genuino y urgente, el riesgo es replicar la expansión sin los controles. Brasil está más avanzado que el promedio regional, pero incluso su ecosistema Open Finance tiene brechas documentadas en linaje y en la formalización del rol de data steward entre participantes no bancarios. México y Colombia tienen sistemas con potencial, pero marcos de gobernanza del dato que aún dependen más de buenas prácticas voluntarias que de exigencias regulatorias auditables.

    El estándar que India está construyendo llegará a las mesas de los reguladores latinoamericanos, probablemente vía foros del G20 o recomendaciones del BIS. La pregunta para los CDOs de la región no es si van a tener que cumplirlo, sino cuánto les va a costar hacerlo cuando ya no sea opcional.

  • Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica formalizó una hoja de ruta de 36 meses para implementar gobernanza de datos en su sistema de salud pública, según se informó a principios de septiembre de 2025. La iniciativa posiciona al país como uno de los pocos en América Central con un plan estructurado de data governance sectorial, y su diseño —centrado en calidad del dato, interoperabilidad y roles de ownership— ofrece una referencia concreta para la región.

    El plan costarricense articula tres horizontes temporales: el primero enfocado en diagnóstico de madurez y definición de roles (data stewards, data owners); el segundo en implementación de un catálogo de datos clínico-administrativos y mecanismos de calidad; y el tercero en interoperabilidad con sistemas externos y medición de impacto. La secuencia sigue una lógica reconocible para cualquier practicante del DAMA-DMBOK: primero se establece el who antes del how, evitando el error frecuente de implementar herramientas sin estructuras de accountability previas.

    Qué implica una hoja de ruta sectorial en salud: roles, calidad y catálogo en 36 meses

    El sector salud es, en términos de gobernanza de datos, uno de los más complejos: combina datos clínicos sensibles, sistemas heredados de décadas, múltiples actores (hospitales, clínicas, laboratorios, aseguradoras) y marcos regulatorios de privacidad que restringen el flujo de información. Diseñar un roadmap para ese entorno en solo 36 meses es ambicioso. La clave estará en si Costa Rica logra asignar data stewards con autoridad real sobre dominios específicos —historia clínica electrónica, facturación, epidemiología— o si los roles quedan como títulos formales sin capacidad de decisión sobre el dato.

    Según se informó, el plan contempla también la definición de métricas de calidad del dato aplicadas a los registros hospitalarios, un área donde los sistemas latinoamericanos suelen acumular deuda técnica significativa: duplicación de pacientes, campos vacíos en registros críticos, inconsistencias entre sistemas de admisión y facturación. Sin una baseline de calidad documentada, cualquier iniciativa de analítica o interoperabilidad queda sobre arena.

    Brasil, Colombia y Chile: tres modelos de gobernanza en salud pública con distinto grado de avance

    Costa Rica no parte de cero en el contexto regional. Brasil opera desde 2020 la Rede Nacional de Dados em Saúde (RNDS), impulsada por el Ministerio de Salud, que establece estándares de interoperabilidad basados en HL7 FHIR y exige a los establecimientos adherirse a un modelo de datos federado. La LGPD (Lei 13.709/2018) actúa como piso normativo para el tratamiento de datos sensibles de salud, clasificados en el artículo 11 como categoría especial con restricciones específicas de base legal. Brasil es hoy el caso de mayor escala en la región, aunque la heterogeneidad entre estados federales genera inconsistencias de implementación.

    Colombia avanzó con la Política Nacional de Datos de Salud del Ministerio de Salud y Protección Social, apoyada en la Resolución 866 de 2021, que establece estándares técnicos para la interoperabilidad del sector. La Ley 1581 de 2012 (régimen general de protección de datos) y su decreto reglamentario 1074 de 2015 proveen el marco para el tratamiento de datos sensibles, aunque persisten vacíos en la aplicación sectorial específica para salud. Chile, por su parte, avanza con el proyecto de nueva Ley de Protección de Datos Personales —ya aprobada en el Congreso y en proceso de implementación reglamentaria— que incorpora un régimen reforzado para datos de salud, y con el Plan Nacional de Salud Digital 2030 que contempla componentes de interoperabilidad, sin que se haya formalizado aún un marco de gobernanza de datos con la especificidad del costarricense.

    En ese mapa, el diferencial de Costa Rica no es el tamaño ni el presupuesto —la Caja Costarricense de Seguro Social (CCSS) opera en un país de cinco millones de habitantes— sino la existencia de una hoja de ruta documentada, con fases, entregables y, según se informó, mecanismos de seguimiento. Esa granularidad es exactamente lo que suele faltar en los planes regionales de transformación digital en salud, donde las declaraciones de intención superan ampliamente a los planes de ejecución.

    El modelo CDMC del EDM Council como referencia para medir madurez en salud

    Para los equipos de gobernanza que quieran benchmarkear el plan costarricense —o diseñar uno propio—, el Cloud Data Management Capabilities (CDMC) del EDM Council ofrece una estructura de 14 capabilities distribuidas en seis categorías, varias de ellas directamente aplicables al sector salud: control de acceso a datos sensibles, linaje, calidad y catalogación. El CDMC fue diseñado inicialmente para el sector financiero, pero su adopción en salud crece porque permite demostrar compliance con reguladores sin necesidad de reconstruir el marco desde cero. Alternativamente, el Marco de Referencia de Gobernanza de Datos de DAMA International (DMBOK2, 2017) provee las once áreas de conocimiento que cualquier roadmap sectorial debería mapear antes de fijar cronogramas.

    Un error frecuente en iniciativas similares en la región es saltear el diagnóstico de madurez —usando, por ejemplo, el Data Management Maturity (DMM) del CMMI Institute— y pasar directamente a la adquisición de herramientas de catalogación o calidad. El resultado es predecible: plataformas sin adopción, data stewards sin autoridad y presupuestos consumidos sin baseline medible.

    Qué monitorear en los próximos 12 meses del plan costarricense

    Los primeros 12 meses de cualquier roadmap de gobernanza son el filtro real entre iniciativa y programa sostenible. Para Costa Rica, los hitos críticos que valdría observar son: la formalización de los roles de data ownership en la CCSS con mandatos documentados; la publicación del inventario o catálogo de dominios de datos del sistema de salud; y la definición de métricas de calidad con valores baseline para al menos tres dominios críticos (identidad del paciente, diagnóstico, prestación). Si esos tres entregables existen al término del primer año, el plan tiene sustancia operativa. Si no, el riesgo de que el roadmap quede como documento de política sin implementación es alto, un patrón que la región conoce bien.

    Para organizaciones de salud en otros países que observen este caso, la señal más valiosa no es el cronograma en sí sino la decisión de hacer explícito el modelo de accountability: quién es dueño de cada dominio de datos, con qué autoridad y medido con qué indicadores. Esa claridad conceptual, plasmada en un documento oficial, es más rara en el sector público latinoamericano de lo que debería.

    Nuestro análisis

    El plan costarricense merece atención regional no por su escala, sino por su método. En un sector donde “transformación digital en salud” suele significar comprar un ERP o migrar a la nube, formalizar un roadmap de gobernanza con fases, roles y métricas es una decisión de madurez institucional infrecuente en América Central. La pregunta que determinará si este plan es referencia o anécdota es una sola: ¿la CCSS asignó data stewards con poder de veto sobre decisiones de calidad y acceso, o solo creó un comité asesor? La diferencia entre ambos modelos no es semántica; es la distancia entre gobernanza operativa y gobernanza decorativa. Equipos en Argentina, Colombia o Perú que estén diseñando iniciativas similares en el sector público deberían pedir acceso al marco de roles antes de replicar el cronograma.

    Un roadmap de 36 meses en salud pública es una promesa institucional: su valor real se mide en los primeros 12, cuando los roles pasan de organigramas a decisiones reales sobre el dato.

  • Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz International —fabricante de Oreo, Cadbury y Chips Ahoy— decidió que antes de escalar el uso de inteligencia artificial necesitaba resolver un problema más antiguo y más barato de ignorar: la calidad y la propiedad de sus datos. El resultado fue un rediseño completo de su modelo de gobernanza, con ownership transferido de IT a los equipos de negocio, antes de encender cualquier modelo.

    La secuencia importa. Muchas organizaciones invierten en IA sobre datos que nadie sabe exactamente quién tiene que mantener, con linaje desconocido y calidad sin medir. Mondelēz invirtió ese orden: primero construyó la base, después habilitó los casos de uso. La plataforma elegida fue Ataccama ONE, que integró calidad de datos, catálogo y data lineage —trazabilidad del origen y transformación de cada activo de datos— en un único entorno operativo, según informó la empresa.

    El movimiento clave: del ownership de IT al ownership del negocio

    El cambio estructural más relevante no fue tecnológico sino organizacional. Mondelēz trasladó la responsabilidad formal sobre los datos desde el área de tecnología hacia los equipos de negocio que los crean y consumen. En la terminología del DAMA-DMBOK, esto equivale a formalizar el rol de data steward en las líneas de negocio, reconociendo que el área de IT puede administrar la infraestructura pero no puede ser la última responsable de la semántica ni de la calidad de datos que nunca generó. Bob Seiner, referente de la corriente de Non-Invasive Data Governance, describe este patrón como asignar responsabilidades a quienes ya las ejercen informalmente —la formalización no crea el trabajo, lo hace visible y auditable.

    La consecuencia práctica es que los data stewards de cada unidad de negocio pasan a ser los responsables de definir reglas de calidad, aprobar cambios en definiciones de datos maestros y validar el linaje antes de que un dataset llegue a un modelo de IA. Sin ese mecanismo, la cadena de responsabilidad se rompe y el error de datos se convierte en error de modelo —un problema infinitamente más difícil de diagnosticar.

    Calidad, catálogo y linaje: por qué los tres juntos y no por separado

    La decisión de consolidar calidad de datos, catálogo y linaje en un entorno único en lugar de mantener herramientas separadas responde a un problema de fricción operativa conocido en la industria. Cuando el catálogo vive en un sistema, las reglas de calidad en otro y el linaje en un tercero, los data stewards pasan tiempo reconciliando vistas inconsistentes en lugar de gobernar. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica la integración de estos tres dominios como una capability de nivel avanzado —equivalente aproximadamente al nivel 4 sobre 5 en el modelo de madurez— que habilita la confianza en datos para casos de uso de analytics e IA.

    Para Mondelēz, conectar esos tres dominios significó poder responder preguntas concretas antes de autorizar el uso de un dataset en un modelo: ¿De dónde vienen estos datos? ¿Quién los modificó por última vez y cuándo? ¿Qué porcentaje cumple las reglas de calidad definidas por el steward responsable? Sin esas respuestas, la confianza en el output del modelo es, en el mejor caso, optimismo.

    Cuándo aplica este enfoque y cuándo no es suficiente

    El modelo de Mondelēz es replicable en organizaciones con volumen de datos distribuido entre múltiples unidades de negocio, fuentes heterogéneas y ambición de escalar IA más allá de proyectos piloto. No es la solución adecuada para empresas en etapas tempranas de madurez donde el problema es más básico —inventario de fuentes, definición de dominios de datos, identificación de propietarios— porque implantar un catálogo activo sobre datos sin ownerships claros genera ruido, no gobernanza. El DAMA-DMBOK sugiere evaluar primero la madurez en Data Management antes de seleccionar plataformas: sin un mapa de dominios y stewards asignados, la herramienta no sustituye el trabajo conceptual previo.

    Tampoco es un modelo listo para operar en contextos con datos altamente sensibles sin capas adicionales de control. En sectores regulados —financiero, salud, telecomunicaciones— la gobernanza de datos para IA debe articularse además con marcos de gestión de riesgo como el NIST AI RMF, que exige documentación de la procedencia de los datos de entrenamiento y de las métricas de calidad utilizadas para validar los modelos.

    La lectura desde América Latina: regulación y presión sobre el dato de negocio

    En la región, la presión para formalizar el ownership de datos tiene cada vez más anclaje regulatorio. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que las organizaciones puedan demostrar la trazabilidad de los datos personales utilizados en procesos automatizados de toma de decisiones —exactamente el tipo de linaje que Mondelēz construyó, aunque aplicado aquí a un requerimiento de cumplimiento legal y no solo operativo. En Argentina, la Ley 25.326 y las disposiciones de la AAIP sobre tratamiento automatizado plantean exigencias similares en materia de responsabilidad sobre el dato. En México, el INAI ha comenzado a preguntar por los mecanismos de control sobre datos utilizados en sistemas de IA en el sector privado.

    El punto de convergencia es que los CDOs de empresas de consumo masivo con operaciones en Brasil, Argentina o México no pueden separar la gobernanza de datos para IA de su programa de cumplimiento en protección de datos personales. El ownership de negocio que Mondelēz formalizó no es solo buena práctica de DAMA: en determinados contextos regulatorios regionales, es condición de cumplimiento.

    Lo que un CDO puede hacer a partir de este caso

    El caso de Mondelēz sugiere una secuencia de tres movimientos concretos. Primero, auditar qué porcentaje de los datasets que hoy alimentan o alimentarán modelos de IA tienen un data steward formalmente asignado en el área de negocio —no en IT. Segundo, evaluar si calidad, catálogo y linaje están integrados o son silos que requieren reconciliación manual; si lo segundo, cuantificar el costo operativo de esa fricción antes de la próxima conversación presupuestaria. Tercero, mapear cuáles de esos datasets contienen datos personales y si el linaje documentado es suficiente para responder a una auditoría de la ANPD, la AAIP o el INAI. Los tres pasos son independientes de la plataforma elegida y pueden iniciarse con los recursos de gobernanza ya existentes.

    La referencia técnica de base para este enfoque es el DAMA-DMBOK segunda edición, en particular los capítulos de Data Quality Management y Data Governance; para el marco de madurez en nube, el CDMC del EDM Council ofrece el benchmark más usado actualmente en organizaciones con arquitecturas híbridas.

  • Índice ITD-IA: proveedores mineros de Chile promedian 43 sobre 100

    Índice ITD-IA: proveedores mineros de Chile promedian 43 sobre 100

    Los proveedores del sector minero en Chile obtienen un promedio de 43 sobre 100 en el Índice de Transformación Digital e Inteligencia Artificial (ITD-IA), según se informó en septiembre de 2025. El resultado revela una brecha significativa entre la adopción tecnológica declarada y la madurez real de las empresas que abastecen a una de las industrias más relevantes de América Latina.

    El ITD-IA es un instrumento de medición que evalúa el nivel de preparación digital y de inteligencia artificial de las organizaciones. En el caso del ecosistema proveedor de la minería chilena, el índice considera dimensiones como infraestructura tecnológica, capacidades de datos, adopción de herramientas de automatización y uso de modelos de IA en procesos operativos o de gestión. Un puntaje de 43 sobre 100 ubica al conjunto evaluado por debajo del umbral que suele considerarse de madurez intermedia en marcos de referencia internacionales.

    Qué mide el ITD-IA y por qué 43 es una señal de alerta

    Los marcos de transformación digital —como el Digital Maturity Model del MIT CISR o los niveles de capacidad del EDM Council— distinguen entre organizaciones que usan tecnología para automatizar tareas repetitivas y aquellas que integran datos como activo estratégico. Un puntaje promedio de 43 indica que la mayoría de los proveedores evaluados se encuentran en etapas iniciales: tienen herramientas digitales, pero carecen de procesos formales de gobernanza de datos, pipelines de datos integrados o modelos predictivos en producción. La brecha no es de infraestructura sino de madurez organizacional: saben que deben adoptar IA, pero no tienen los fundamentos de datos para hacerlo de forma sostenible.

    El sector minero chileno es el mayor productor de cobre del mundo y concentra una cadena de valor que involucra a miles de proveedores de servicios, equipamiento y tecnología. Que ese ecosistema proveedor opere con niveles bajos de madurez digital implica riesgos concretos: dependencia de procesos manuales, menor capacidad de respuesta ante disrupciones, y dificultad para integrarse con los sistemas digitales de las mineras que exigen trazabilidad, reportes automatizados y cumplimiento en tiempo real.

    Cuándo aplica este índice — y cuándo no

    El ITD-IA resulta relevante para proveedores que aspiran a mantener o ampliar contratos con grandes operadoras mineras —como Codelco, BHP o Antofagasta Minerals— que ya operan con plataformas de datos integradas y exigen interoperabilidad digital a sus cadenas de suministro. No aplica como diagnóstico suficiente para empresas cuyo modelo de negocio es exclusivamente de servicios físicos sin interfaz digital, aunque incluso en esos casos la automatización de la facturación, el cumplimiento normativo y la gestión de seguridad tienden a digitalizarse de forma acelerada.

    Tampoco es un índice de riesgo de ciberseguridad ni de privacidad de datos en sentido estricto. Mide capacidad de adopción, no exposición a brechas. Sin embargo, una correlación frecuente en la industria es que las organizaciones con baja madurez digital también carecen de políticas formales de clasificación y protección de datos, lo que las expone a incidentes que sí tienen consecuencias regulatorias bajo la Ley 19.628 de Chile —actualmente en proceso de actualización legislativa— y eventualmente bajo los estándares que Chile deberá alinear si avanza en tratados de libre comercio con cláusulas de flujo de datos.

    La brecha de datos en la cadena de suministro minera latinoamericana

    Chile no es un caso aislado. En Perú, la Sociedad Nacional de Minería reportó en años recientes que una fracción menor de sus proveedores tier-2 y tier-3 contaba con sistemas ERP integrados, según se informó en documentos del sector. En México, el clúster minero de Sonora enfrenta desafíos similares de digitalización en proveedores locales. La diferencia es que Chile tiene un ecosistema de medición —el ITD-IA— que al menos cuantifica la brecha, lo que es el primer paso para cerrarla. Sin un índice, no hay línea de base; sin línea de base, no hay programa de mejora medible.

    Para los equipos de gobernanza de datos en las operadoras mineras, el promedio de 43 tiene una implicancia directa: los datos que ingresan desde proveedores a los sistemas de planificación y mantenimiento predictivo son de calidad variable y baja trazabilidad. Eso contamina los modelos de IA que las propias mineras están desplegando para optimizar operaciones. La gobernanza de datos no termina en el perímetro de la organización; se extiende a la cadena de suministro.

    Tres acciones concretas frente a un puntaje de 43

    • Establecer un umbral mínimo de madurez digital —por ejemplo, 55 sobre 100 en el ITD-IA o equivalente— como requisito de calificación para contratos de largo plazo, con un período de transición de 12 a 18 meses para proveedores actuales.
    • Implementar un programa de acompañamiento a proveedores estratégicos con talleres de gobernanza de datos básica: inventario de activos de datos, definición de data owners, y protocolos de intercambio de datos estructurados (APIs o formatos normalizados).
    • Incluir en los contratos de servicio cláusulas de calidad de datos que definan SLAs para la entrega de información operativa, con penalidades por datos incompletos o inconsistentes que afecten los modelos predictivos del operador.

    Un promedio de 43 no describe un problema futuro: describe el estado actual de los datos que ya están alimentando los sistemas de decisión de la minería chilena hoy.

  • Gobernanza de datos: el caso para pelear el presupuesto de TI

    Gobernanza de datos: el caso para pelear el presupuesto de TI

    La gobernanza de datos sigue perdiendo la batalla presupuestaria frente a infraestructura, ciberseguridad e inteligencia artificial en la mayoría de las organizaciones de la región. El argumento ya no puede ser solo técnico: quien conduce datos necesita hablar el idioma del CFO.

    Durante años, la gobernanza de datos fue tratada como un proyecto de cumplimiento o, en el mejor caso, como un habilitador silencioso de otros proyectos más visibles. El resultado es predecible: los presupuestos de TI se asignan a lo que tiene un caso de negocio claro y urgente, y la gobernanza rara vez llega con uno. Eso está cambiando, aunque despacio, y la presión viene de dos frentes simultáneos: los reguladores que exigen trazabilidad sobre datos personales y activos de IA, y los propios equipos de datos que no pueden escalar sin estructuras formales de ownership y calidad.

    Por qué la gobernanza de datos pierde frente a proyectos más visibles

    El problema central es de narrativa, no de relevancia. Un proyecto de migración a la nube tiene un costo visible, un plazo y un entregable. Un programa de gobernanza de datos entrega reducción de riesgo, consistencia en reportes y habilitación de analítica confiable, beneficios que son difíciles de monetizar en una sola línea de presupuesto. Según el marco DAMA-DMBOK, la gobernanza de datos es la función que define autoridad, responsabilidades y toma de decisiones sobre los activos de datos de una organización. Ese mandato abarca desde la definición de data stewards —responsables operativos del dato— hasta los procesos de data lineage (trazabilidad del origen, transformación y consumo de cada dataset), pasando por catálogos, políticas de calidad y gestión del ciclo de vida del dato. Ninguna de esas capacidades aparece sola en un dashboard de KPIs de negocio.

    El EDM Council, a través de su marco DCAM (Data Capability Assessment Model), propone cuantificar la madurez de governance en capabilities medibles y vincularlas a pérdidas económicas concretas: decisiones tomadas sobre datos duplicados, reportes regulatorios con errores que generan observaciones, o proyectos de machine learning que fracasan por falta de datos etiquetados y confiables. Ese lenguaje —pérdida evitable, costo de retrabajo, riesgo regulatorio con multa asociada— es el que abre conversaciones en comités de presupuesto.

    Cuándo aplica / cuándo NO

    Invertir en un programa formal de gobernanza de datos tiene sentido cuando la organización opera con múltiples fuentes de datos que alimentan decisiones críticas, cuando hay obligaciones regulatorias de reportar datos con trazabilidad —como las exigidas por la Comisión Nacional Bancaria y de Valores en México, el Banco Central de la República Argentina bajo la Comunicación A 7724 o la Comisión de Valores de Brasil—, o cuando los proyectos de IA generativa están frenados por falta de confianza en los datos de entrenamiento. No es la solución correcta para organizaciones en etapa temprana con un único sistema de registro y menos de diez personas consumiendo datos: en ese caso, el esfuerzo de governance supera el beneficio. La gobernanza escala con la complejidad; no es una capacidad que se instala de una vez, sino que crece con el volumen de actores, sistemas y decisiones que dependen del dato.

    El argumento regulatorio en América Latina ya es concreto

    En la región, la presión regulatoria está construyendo el caso de negocio que los equipos de datos no lograron construir solos. Brasil exige bajo la Lei Geral de Proteção de Dados (LGPD) que las organizaciones sean capaces de demostrar el ciclo de vida de los datos personales que tratan, lo que requiere capacidades equivalentes a data lineage y catálogo de activos. Argentina, a través de la Agencia de Acceso a la Información Pública (AAIP), ha intensificado la revisión de medidas de seguridad en tratamientos de datos personales amparados por la Ley 25.326. Colombia avanza en la implementación de su régimen de protección de datos bajo la Ley 1581 con inspecciones de la Superintendencia de Industria y Comercio. En todos esos contextos, la gobernanza de datos deja de ser una iniciativa opcional para convertirse en un requisito de operación.

    El CDO o Data Lead que lleva este argumento al comité de presupuesto tiene que presentar tres números: el costo potencial de una multa regulatoria por incapacidad de demostrar tratamiento lícito de datos, el costo de retrabajo en reportes por inconsistencias en datos maestros, y la estimación de proyectos de analítica o IA que no pudieron lanzarse por falta de datos confiables. Con esos tres números sobre la mesa, la conversación cambia. El paso siguiente es mapear cuáles de las diez capabilities del CDMC (Data Management Capability Assessment) ya existen informalmente en la organización y cuáles requieren inversión incremental: frecuentemente el 40% de la capacidad ya está presente, aunque sin formalizar ni medir.

    Governance sin presupuesto propio: el modelo no invasivo como punto de entrada

    Bob Seiner, referente del enfoque Non-Invasive Data Governance, sostiene que la gobernanza más efectiva formaliza lo que la organización ya hace, en lugar de imponer procesos nuevos desde cero. Ese enfoque es especialmente útil en contextos de presupuesto limitado: identificar quiénes ya toman decisiones sobre datos críticos, documentar esas responsabilidades como data stewardship formal, y construir desde ahí hacia políticas y catálogos. Es una entrada de bajo costo que genera evidencia de valor antes de pedir una línea presupuestaria propia. En empresas medianas de Brasil, Argentina o México, ese modelo ha permitido avanzar en madurez de governance sin requerir la creación de un equipo dedicado desde el día uno.

    Para profundizar en los marcos de referencia mencionados, el DAMA-DMBOK está disponible en dama.org y el modelo CDMC del EDM Council puede consultarse en edmcouncil.org; ambos ofrecen guías de autoevaluación que pueden servir como base para el caso de inversión ante la dirección.

  • La renuncia Clifford: cuando el gobierno de datos de salud falla desde adentro

    La renuncia Clifford: cuando el gobierno de datos de salud falla desde adentro

    Una renuncia de alto perfil en el sector salud volvió a poner sobre la mesa una pregunta incómoda: ¿quién responde cuando los datos clínicos se gestionan sin accountability real? El caso, identificado como “la renuncia Clifford” en medios especializados, no es un episodio aislado — es un síntoma de un problema estructural en la gobernanza de datos de salud que la región no puede ignorar.

    Los datos de salud ocupan la categoría más sensible en prácticamente todos los marcos legales de protección de datos personales vigentes. Son inmutables en su núcleo —un diagnóstico no se puede cambiar como una contraseña—, se generan de forma continua a lo largo de la vida de una persona, y su exposición o mal uso tiene consecuencias que van desde la discriminación laboral hasta la denegación de cobertura de seguros. Esa asimetría de riesgo exige un nivel de madurez en gobernanza de datos que pocas organizaciones de salud han alcanzado.

    Qué revela una renuncia sobre el ownership del dato clínico

    Cuando un ejecutivo o funcionario de alto rango abandona una organización de salud citando —implícita o explícitamente— desacuerdos sobre cómo se gestionan los datos, el problema raramente es técnico. Según se informó en relación con el caso Clifford, la tensión de fondo involucra decisiones sobre acceso, uso secundario y control de datos clínicos tomadas sin los controles de gobernanza adecuados. En términos de DAMA-DMBOK, esto apunta a una falla en dos capacidades críticas: data ownership y data stewardship. Sin un data steward designado con autoridad real sobre los datos clínicos —no solo responsabilidad nominal—, las decisiones sobre quién accede, con qué propósito y bajo qué retención quedan en un vacío organizacional que tarde o temprano produce una crisis.

    El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica la trazabilidad del dato sensible como una capability no negociable para organizaciones que procesan información de salud en entornos cloud. La ausencia de data lineage documentado —es decir, el registro auditable de cómo se originó un dato, cómo fue transformado y a dónde fue entregado— es precisamente lo que permite que decisiones cuestionables queden sin registro formal y, por lo tanto, sin consecuencia.

    Cuándo aplica este riesgo de gobernanza — y cuándo NO

    Este tipo de riesgo aplica cuando una organización de salud centraliza datos clínicos de múltiples fuentes (historias clínicas electrónicas, laboratorios, wearables, aseguradoras) sin un marco de gobernanza que defina ownership por dominio, políticas de acceso diferenciadas por sensibilidad, y un proceso de change management que registre quién aprobó qué decisión sobre el dato. No aplica —o aplica con menor urgencia— en organizaciones que operan con datos completamente anonimizados bajo estándares auditables, o en sistemas de salud pública con marcos de acceso restringido y control parlamentario. La distinción importa porque el error más frecuente es aplicar controles de gobernanza uniformes sin distinguir entre datos clínicos identificables, datos pseudonimizados con llave de reidentificación, y datos efectivamente anonimizados.

    El marco legal en LATAM: LGPD, Ley 25.326 y el silencio de los reglamentos sectoriales

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos de salud como datos sensibles en su artículo 11 y establece condiciones de tratamiento más restrictivas, incluyendo la obligación de realizar evaluación de impacto cuando el tratamiento pueda generar riesgo significativo. La Autoridade Nacional de Proteção de Dados (ANPD) ha señalado el sector salud como prioritario en su agenda de fiscalización para 2025-2026. En Argentina, la Ley 25.326 protege los datos de salud como categoría especial desde el año 2000, pero su reglamentación en el sector sanitario sigue fragmentada entre el Ministerio de Salud, las obras sociales reguladas por la Superintendencia de Servicios de Salud, y las clínicas privadas que operan sin auditorías sistemáticas de gobernanza de datos. México, por su parte, cuenta con la LFPDPPP y normas técnicas específicas del sector salud, pero la articulación entre el INAI y la Secretaría de Salud en materia de supervisión de datos clínicos continúa siendo débil en la práctica.

    Lo que el caso Clifford hace visible es la brecha entre el marco legal —que en la mayoría de los países de la región existe y es razonablemente robusto para datos sensibles— y la madurez operativa de las organizaciones de salud para implementarlo. Tener una política de protección de datos no equivale a tener gobernanza de datos. La política dice qué se debe hacer; la gobernanza define quién lo hace, cómo se audita, y qué pasa cuando alguien toma una decisión equivocada.

    Tres acciones concretas para CDOs en organizaciones de salud

    • Mapear el inventario de datos clínicos por nivel de sensibilidad y asignar un data steward con nombre, no con cargo genérico. Si hoy no podés responder en menos de 24 horas “quién aprobó el acceso de este sistema a estos datos”, hay un gap de ownership que necesita resolverse antes de la próxima auditoría.
    • Revisar si el data lineage cubre los flujos desde el sistema de origen clínico hasta cualquier plataforma analítica o de inteligencia artificial que consuma esos datos. El CDMC del EDM Council establece esto como capability de nivel 2; muchas organizaciones de salud en LATAM operan aún en nivel 0 o 1.
    • Establecer un proceso documentado de decisiones de gobernanza —quién puede autorizar un uso secundario de datos clínicos, con qué criterios, y con qué registro auditable. Este proceso debe sobrevivir la salida de cualquier ejecutivo, incluido el CDO.

    Las renuncias de alto perfil en organizaciones de salud no son el problema — son el aviso de que el problema ya existe. Para quienes gestionan datos clínicos en la región, el texto de referencia para construir ese proceso desde la base sigue siendo la Guía de Implementación de la LGPD para el sector salud publicada por la ANPD, disponible en el sitio oficial de la autoridad brasileña.

  • Honeywell paga $2 millones por incumplir ciberseguridad en contrato del Pentágono

    Honeywell paga $2 millones por incumplir ciberseguridad en contrato del Pentágono

    Honeywell Aerospace Inc. acordó pagar 2.042.518 dólares para resolver alegaciones del Departamento de Justicia de Estados Unidos por incumplir requisitos de ciberseguridad en un contrato con el Departamento de Defensa, según anunció el DOJ el 1 de septiembre de 2026.

    El acuerdo se enmarca en la False Claims Act (FCA), la ley federal estadounidense que establece responsabilidad civil para contratistas que presenten declaraciones falsas o fraudulentas al gobierno. Según se informó, Honeywell Aerospace —con sede en Estados Unidos— habría facturado servicios bajo un contrato del Pentágono sin haber cumplido efectivamente con los controles de ciberseguridad exigidos en ese acuerdo. El caso fue revelado públicamente el 1 de septiembre de 2026 mediante un comunicado oficial del DOJ.

    Datos confirmados del acuerdo con el DOJ

    • Monto acordado: 2.042.518 dólares
    • Empresa: Honeywell Aerospace Inc.
    • Marco legal aplicado: False Claims Act (EE. UU.)
    • Contraparte afectada: Departamento de Defensa de Estados Unidos (DoD)
    • Anuncio del DOJ: 1 de septiembre de 2026

    Qué se sabe y qué falta confirmar

    Lo confirmado es que Honeywell Aerospace acordó el pago sin que ello implique necesariamente una admisión de responsabilidad, práctica habitual en este tipo de settlements bajo la FCA. Lo que no ha sido detallado públicamente es cuáles controles de ciberseguridad específicos fueron incumplidos, ni por cuánto tiempo se extendió el incumplimiento, ni si existió una brecha de datos asociada al contrato en cuestión. Tampoco se ha informado si el caso fue iniciado por un denunciante interno —los llamados qui tam relators— o por auditoría directa del DoD.

    El caso suma a una serie de acciones del DOJ bajo la denominada Civil Cyber-Fraud Initiative, lanzada en 2021, que busca precisamente usar la FCA como herramienta de enforcement para contratistas federales que declaren cumplimiento de estándares como el NIST SP 800-171 o el CMMC (Cybersecurity Maturity Model Certification) sin haberlos implementado efectivamente. El mensaje regulatorio es claro: el incumplimiento contractual en materia de ciberseguridad tiene consecuencias patrimoniales directas, no solo reputacionales.

    Para el ecosistema de proveedores del Estado en América Latina, el caso tiene lectura directa. En Brasil, los contratos de tecnología con la administración pública federal están sujetos a la Instrução Normativa SGD/ME nº 1/2019 y a los marcos de seguridad de la información del GSI; en Argentina, el Decreto 1066/2023 establece requisitos de ciberseguridad para organismos del Estado, con impacto en sus proveedores tecnológicos. En México, la Estrategia Nacional de Ciberseguridad carece aún de un mecanismo de enforcement equivalente a la FCA, lo que deja sin sanción patrimonial efectiva a los contratistas que declaren cumplimientos no verificados. La pregunta que este caso instala en la región es cuántos contratos públicos de tecnología se adjudican con declaraciones de cumplimiento de seguridad que nadie audita.

    El próximo indicador a seguir es si el DOJ publica los detalles del incumplimiento específico de Honeywell, lo que permitirá determinar si el caso sienta precedente para contratistas que operan simultáneamente con gobiernos de la región.

  • CEPAL exige estadísticas oficiales más robustas para gobernar datos en LATAM

    CEPAL exige estadísticas oficiales más robustas para gobernar datos en LATAM

    La Comisión Económica para América Latina y el Caribe (CEPAL) emitió un llamado formal a los gobiernos de la región para fortalecer sus sistemas de estadísticas oficiales, argumentando que sin datos públicos confiables es imposible diseñar políticas efectivas ni avanzar hacia una gobernanza de datos sostenible. El planteo, formulado en septiembre de 2025, pone en evidencia una brecha estructural que afecta tanto a los Estados como a las organizaciones privadas que dependen de insumos estadísticos para tomar decisiones.

    El diagnóstico de la CEPAL no es nuevo, pero su urgencia ha escalado. La proliferación de fuentes de datos no oficiales —plataformas privadas, sensores, redes sociales— genera una paradoja: hay más datos que nunca disponibles, pero los marcos institucionales para darles sentido, validarlos y usarlos en políticas públicas siguen siendo débiles. La calidad del dato público es la base sobre la cual se construyen modelos de planificación, distribución de presupuesto y evaluación de impacto. Cuando esa base falla, todo lo que se construye encima es frágil.

    Qué plantea la CEPAL: datos oficiales como infraestructura crítica

    Según se informó, el organismo regional subrayó que los institutos nacionales de estadística de América Latina enfrentan déficits crónicos de financiamiento, recursos humanos especializados y marcos normativos actualizados. La CEPAL vincula directamente la debilidad estadística con la incapacidad de los Estados para medir el avance de los Objetivos de Desarrollo Sostenible (ODS), gestionar crisis y diseñar intervenciones focalizadas en poblaciones vulnerables. En ese sentido, el llamado no es solo técnico: es una advertencia sobre la soberanía de datos de los países frente a actores privados que sí tienen capacidad analítica instalada.

    El argumento central es que los datos estadísticos oficiales son infraestructura pública, comparable a rutas o redes eléctricas. Descuidarlos no solo deteriora la toma de decisiones del Estado; crea un vacío que organizaciones privadas —y a veces actores externos— terminan llenando con sus propios conjuntos de datos, bajo sus propias condiciones de acceso y uso. Eso tiene consecuencias directas sobre quién controla el relato de lo que ocurre en la región.

    Argentina, Brasil y México: tres velocidades distintas en estadística pública

    El panorama regional es heterogéneo. Brasil mantiene el Instituto Brasileiro de Geografia e Estatística (IBGE) como una de las agencias estadísticas más robustas de América Latina, con capacidad censal, encuestas continuas y apertura de microdatos bajo estándares comparables a los de economías avanzadas. Sin embargo, incluso el IBGE enfrenta presiones presupuestarias que, en años recientes, postergaron relevamientos clave. En México, el INEGI opera bajo un esquema de autonomía técnica reconocida, aunque el debate sobre la independencia efectiva del organismo resurge periódicamente en contextos de cambio de administración.

    Argentina presenta una situación más compleja: el INDEC atravesó una crisis de credibilidad severa entre 2007 y 2015, cuando la manipulación de índices de precios afectó la confiabilidad de sus series históricas. La recuperación institucional fue gradual y, según se informó, todavía persisten brechas en la producción de estadísticas subnacionales y en la integración de registros administrativos con encuestas de hogares. Colombia, por su parte, ha avanzado en la construcción del Sistema Estadístico Nacional bajo la coordinación del DANE, con proyectos de interoperabilidad que apuntan a reducir la duplicación de esfuerzos entre entidades públicas.

    Gobernanza de datos públicos: el eslabón que falta entre el dato y la política

    El llamado de la CEPAL toca un nervio específico para quienes trabajan en gobernanza de datos en el sector privado: la calidad del ecosistema estadístico público condiciona la calidad de cualquier análisis que use esos datos como insumo. Un modelo de riesgo crediticio que incorpora datos de desempleo del INDEC, del IBGE o del DANE es tan confiable como la fuente que lo alimenta. En términos del marco DAMA-DMBOK, esto remite directamente a la dimensión de calidad del dato (Data Quality Management) aplicada al nivel de los productores primarios de información.

    La CEPAL no habla de data governance en el sentido corporativo del término, pero su diagnóstico es isomorfo: sin definición clara de ownership sobre los datos, sin estándares de calidad aplicados en origen, sin linaje trazable entre el registro administrativo y el indicador publicado, la estadística oficial pierde valor. Los gobiernos que avanzan en interoperabilidad de registros —como lo está haciendo Chile con su plataforma de datos abiertos y Colombia con el DANE— están, en la práctica, construyendo capacidades equivalentes a las que cualquier organización privada madura busca certificar bajo marcos como el CDMC del EDM Council.

    Qué sigue: los hitos que definen si el llamado de CEPAL tiene efecto

    El impacto real de este tipo de pronunciamientos depende de si los gobiernos los traducen en presupuesto y normativa. Hay señales concretas a monitorear en los próximos meses: la discusión de los presupuestos nacionales 2026, donde el financiamiento a los institutos estadísticos será un indicador directo de voluntad política; el avance de los planes de digitalización de registros administrativos en Argentina y Perú; y la negociación de acuerdos de intercambio de datos entre organismos regionales como la CEPAL, el BID y el Banco Mundial, que pueden inyectar capacidad técnica donde los recursos nacionales son insuficientes.

    También vale observar si el llamado de la CEPAL se articula con las agendas de transformación digital que varios países tienen en marcha. En la práctica, la modernización estadística y la gobernanza de datos del Estado son procesos que deberían avanzar en paralelo, bajo marcos normativos que definan con precisión qué datos deben producirse, con qué frecuencia, bajo qué estándares y con qué mecanismos de auditoría independiente.

    Nuestro análisis: soberanía de datos empieza por estadística pública

    El discurso sobre soberanía de datos en América Latina suele centrarse en regular a las plataformas tecnológicas globales o en proteger datos personales frente a actores externos. La CEPAL pone el foco donde debería estar con más frecuencia: en la capacidad del propio Estado de producir, custodiar y usar datos de calidad. Sin esa base, cualquier estrategia de gobernanza regional es arquitectura sobre arena.

    Para los equipos de datos en el sector privado, el llamado tiene una implicancia práctica que a veces se subestima: la debilidad estadística pública eleva el costo de operar en la región. Cuando los datos oficiales son poco confiables o tienen brechas temporales, las organizaciones invierten recursos propios en construir proxies, contratar datos de terceros o trabajar con márgenes de incertidumbre más amplios. Eso no es solo un problema del Estado; es un costo de transacción que recae sobre cualquier actor que dependa de información contextual para tomar decisiones.

    La pregunta que queda abierta es si los países de la región están dispuestos a tratar sus institutos de estadística como lo que son: infraestructura crítica de datos públicos, no líneas prescindibles del presupuesto.

  • Data mesh e IA: cómo el modelo distribuido enfrenta la demanda de los agentes

    Data mesh e IA: cómo el modelo distribuido enfrenta la demanda de los agentes

    El data mesh no es una moda de arquitectura de datos: es la respuesta estructural al problema que la inteligencia artificial generativa volvió urgente. Cuando los agentes de IA consumen datos de decenas de dominios en tiempo real, el modelo centralizado de data warehouse colapsa. La pregunta ya no es si adoptar data mesh, sino cómo gobernarlo cuando los consumidores son máquinas, no personas.

    Data mesh, el paradigma desarrollado por Zhamak Dehghani y popularizado a partir de 2019, propone descentralizar la propiedad del dato: cada dominio de negocio —finanzas, operaciones, producto, clientes— es dueño de sus propios data products y los expone al resto de la organización con estándares comunes. En vez de un equipo central de ingeniería que mueve y transforma todo, el ownership recae en quien mejor conoce el dato. La infraestructura se comparte; la responsabilidad, no. Este modelo resuelve cuellos de botella clásicos de los data lakes corporativos, pero crea tensiones propias cuando la IA entra en escena.

    Por qué la IA presiona los cuatro principios del data mesh

    El data mesh se apoya en cuatro principios: propiedad del dato por dominio, el dato como producto, infraestructura de autoservicio y gobernanza federada. Los tres primeros escalan razonablemente bien. El cuarto —gobernanza federada— es donde la IA introduce fricciones nuevas. Un agente de IA que razona sobre datos de clientes, inventario y contratos simultáneamente no distingue si está cruzando dominios con distintos niveles de clasificación. Si el data product de clientes tiene etiqueta PII y el de inventario no, el agente puede generar outputs que mezclan ambos sin que ningún steward de dominio lo haya autorizado explícitamente. El DAMA-DMBOK v2 identifica la integración entre dominios como uno de los puntos de mayor riesgo en arquitecturas distribuidas, y los flujos de IA lo amplifican.

    El data lineage —la trazabilidad de origen, transformación y consumo del dato— se vuelve crítico en este escenario. Sin lineage granular, es imposible auditar qué dato alimentó qué decisión del modelo. Herramientas como OpenLineage o los módulos de linaje de catálogos como Apache Atlas, DataHub o Collibra permiten registrar esos flujos, pero solo si el data product fue diseñado desde el inicio para exponer metadata de linaje. En la mayoría de las organizaciones latinoamericanas, ese diseño no existe: los data products se construyeron para consumo humano, no para consumo de agentes.

    El data steward de dominio necesita un nuevo mandato cuando el consumidor es un modelo

    En un data mesh maduro, cada dominio tiene un data steward —en la nomenclatura del Data Governance Institute, el responsable de la calidad, semántica y política de acceso del dato dentro de su área. Cuando el consumidor era un analista, el steward podía gestionar accesos con listas de control y revisiones periódicas. Cuando el consumidor es un agente de IA que consulta el dato miles de veces por día y puede encadenar inferencias no previstas, el mandato cambia: el steward debe definir contratos de datos explícitos que incluyan restricciones de uso por tipo de consumidor, no solo por persona o equipo. Esto implica extender los data products con atributos de política: “este campo puede ser usado para entrenamiento”, “este campo puede alimentar outputs hacia externos”, “este campo requiere enmascaramiento antes de exponerse a modelos no validados”.

    El marco CDMC (Cloud Data Management Capabilities) del EDM Council, que varias instituciones financieras de Brasil y México están adoptando como referencia, incluye la capability 8 de controles de datos sensibles como requisito para entornos de IA. La exigencia no es nueva: el Banco Central de Brasil, a través de la Resolución BCB 4.658/2018 sobre gestión de riesgo tecnológico, ya demandaba trazabilidad de datos críticos en entornos cloud. La novedad es que ahora esa trazabilidad debe extenderse hasta los pipelines de inferencia de los modelos.

    Cuándo el data mesh resuelve el problema y cuándo no

    El data mesh es apropiado cuando la organización tiene dominios de negocio bien definidos, equipos con capacidad técnica suficiente para operar data products, y un plano de gobernanza federada con políticas comunes acordadas. En esas condiciones, la IA se beneficia: encuentra datos clasificados, con linaje, con contratos explícitos, servidos por equipos que conocen su semántica. El riesgo de alucinación por datos incorrectos baja. El riesgo regulatorio —especialmente bajo la LGPD brasileña o la Ley 25.326 argentina, que exigen que el responsable del tratamiento pueda identificar la fuente y el propósito de cada dato personal procesado— se vuelve manejable.

    El data mesh no resuelve el problema cuando la gobernanza federada es nominal: dominios que publican data products sin clasificación, sin steward activo, sin SLA de calidad. En ese escenario, descentralizar el ownership solo descentraliza el caos. Un CDO que quiera aprovechar los agentes de IA sin haber cerrado primero los contratos de datos entre dominios está construyendo sobre arena. El NIST AI RMF (AI Risk Management Framework) es explícito en este punto: la gestión del riesgo de IA requiere trazabilidad del dato de entrada como condición previa, no como mejora iterativa.

    Tres acciones concretas para CDOs en organizaciones con data mesh parcial

    La mayoría de las organizaciones latinoamericanas con arquitecturas de data mesh se encuentran en estadios intermedios: algunos dominios maduros, otros sin steward asignado, y catálogos de datos con cobertura parcial. Ante la presión de incorporar IA generativa, el riesgo es saltear los pasos de gobernanza. Las acciones con mayor retorno inmediato son tres. Primero, auditar qué data products están siendo consumidos —o podrían serlo— por modelos de IA, y verificar si tienen clasificación de sensibilidad y linaje registrado. Segundo, extender los contratos de datos existentes con una dimensión de política de uso por tipo de consumidor, empezando por los dominios de clientes y finanzas, que concentran la mayor densidad de datos personales bajo regulación. Tercero, alinear al data steward de cada dominio con el equipo de IA sobre los límites de uso del dato: sin ese diálogo, el modelo consumirá lo que técnicamente pueda acceder, no lo que la política autoriza.

    El DAMA-DMBOK v2 y el CDMC del EDM Council son los marcos de referencia más utilizados en la región para estructurar esta transición; ambos están disponibles en sus sitios oficiales y son el punto de partida obligado antes de habilitar cualquier agente de IA sobre un data mesh en producción.

  • Río Negro aprueba ley de gobernanza de datos públicos: primer marco provincial en Argentina

    Río Negro aprueba ley de gobernanza de datos públicos: primer marco provincial en Argentina

    La Legislatura de Río Negro aprobó una ley de gobernanza de datos públicos, según se informó a comienzos de septiembre de 2025. El movimiento convierte a esta provincia patagónica en una de las primeras jurisdicciones subnacionales de Argentina en contar con un marco normativo específico para la gestión de datos del sector público, en un país donde el debate sobre gobernanza de datos sigue mayormente concentrado en el nivel nacional.

    La iniciativa, según se informó, fue aprobada por la Legislatura provincial sin detalle público de votación al cierre de esta edición. El texto de la norma no estaba disponible en el boletín oficial provincial al momento de publicación, por lo que los alcances específicos —estructura de roles, obligaciones de los organismos, mecanismos de interoperabilidad— se consignan aquí según lo informado por medios locales. DataTrends LATAM seguirá el proceso reglamentario para una cobertura detallada de sus disposiciones.

    Por qué una ley provincial en Argentina es un hecho institucional relevante

    Argentina opera bajo un esquema federal donde cada provincia tiene competencia para legislar sobre materias no delegadas al gobierno nacional. En materia de datos públicos, eso significa que la ausencia de una ley marco nacional de gobernanza de datos del Estado no impide que las provincias avancen con regulación propia. Río Negro lo hizo. El antecedente más cercano en el país es la Ciudad Autónoma de Buenos Aires, que cuenta con regulación sobre apertura de datos y gobierno abierto, pero no con una ley de gobernanza de datos públicos en sentido estricto. A nivel nacional, el debate sobre un marco integral de gobernanza de datos del sector público —distinto de la Ley 25.326 de Protección de Datos Personales, que regula datos de personas físicas— permanece inconcluso.

    La aprobación rionegrina ocurre además en un contexto de creciente presión institucional sobre el uso de datos públicos en Argentina: la Secretaría de Innovación Pública ha impulsado iniciativas de interoperabilidad entre organismos nacionales, y el ecosistema de datos abiertos del Estado nacional opera bajo el portal datos.gob.ar, sin que exista todavía una norma que establezca responsabilidades formales de data stewardship para el sector público federal.

    Marcos subnacionales en LATAM: Brasil, México y Chile muestran trayectorias distintas

    La experiencia regional muestra que la gobernanza de datos públicos rara vez nace del nivel central. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) establece disposiciones aplicables al sector público, pero es la Estratégia de Governo Digital 2024-2027 del gobierno federal la que define los lineamientos de gestión de datos para organismos federales. Los estados brasileños, sin embargo, avanzan a velocidades distintas: São Paulo y Minas Gerais tienen iniciativas propias de arquitectura de datos, mientras que estados del norte y noreste recién comienzan a digitalizar registros primarios. En México, la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (2017) aplica al sector público, pero no hay un marco equivalente a una ley de gobernanza de datos públicos que regule el ciclo de vida del dato más allá de su dimensión de privacidad. Las entidades federativas mexicanas tampoco cuentan, en su mayoría, con legislación propia en la materia. En Chile, la nueva Ley 21.719 de protección de datos personales —pendiente de entrada en vigencia plena— incluye obligaciones para organismos públicos, pero tampoco configura un marco de gobernanza de datos en sentido amplio (clasificación, calidad, interoperabilidad, roles formales de stewardship).

    Ese vacío regional es precisamente lo que hace que la norma rionegrina, aun siendo provincial y de alcance limitado, represente un modelo a observar: si su texto regula roles formales de responsabilidad sobre datos, mecanismos de calidad e interoperabilidad entre organismos, y establece un catálogo o inventario de activos de datos del Estado provincial, sería uno de los marcos más completos en su tipo en América Latina para el sector público subnacional.

    Qué implica para los equipos de datos en organismos públicos y proveedores tecnológicos

    Una ley de gobernanza de datos públicos en el sector provincial tiene efectos directos sobre al menos tres capas: los organismos del Estado provincial (que deberán adaptar sus procesos internos de gestión de datos), los municipios que dependan de datos provinciales para servicios digitales, y los proveedores de tecnología que operen con el Estado de Río Negro bajo contratos de servicios de datos o plataformas de información. Si la norma establece requisitos de calidad de datos, clasificación por sensibilidad o lineamientos de interoperabilidad, los contratos vigentes podrían requerir renegociación de cláusulas técnicas. Para los equipos internos, el primer paso será identificar qué activos de datos existen, quién los custodia hoy de facto, y si esa realidad operativa se alinea con lo que la nueva ley defina como estructura de roles. En términos del marco DAMA-DMBOK, ese ejercicio equivale a un gap analysis entre el estado actual del data management y las exigencias del nuevo marco legal.

    El proceso reglamentario —que en Argentina suele extenderse entre tres y doce meses después de la sanción legislativa— será el momento clave para que proveedores y organismos definan planes de adecuación. Esperar al decreto reglamentario sin mapear el inventario de datos actual sería perder tiempo útil.

    Nuestro análisis

    La aprobación de una ley de gobernanza de datos públicos a nivel provincial en Argentina es, antes que nada, un acontecimiento institucional: prueba que el debate sobre cómo el Estado gestiona sus datos puede y debe ocurrir también fuera de la Casa Rosada. Río Negro tiene una economía relativamente diversificada (turismo, energía, agroindustria) y una base de datos públicos que incluye registros catastrales, sanitarios y educativos. La pregunta relevante no es si la ley era necesaria —claramente lo era— sino si su texto incluye los elementos mínimos para que la gobernanza sea operativa y no meramente declarativa: roles definidos con responsabilidades exigibles, un mecanismo de auditoría o control, y un horizonte de implementación realista. Las leyes de gobernanza que no establecen consecuencias por incumplimiento tienden a quedar como marcos aspiracionales. Si Río Negro logró evitar ese defecto de diseño, podría convertirse en referencia para otras provincias —y para el propio Estado nacional, que lleva años sin resolver este pendiente.

    El dato que falta —y que DataTrends LATAM buscará cuando el texto oficial esté disponible— es si la ley define un modelo de data ownership con responsabilidades formales o si, como tantas normas de apertura de datos en la región, delega todo en la reglamentación y termina siendo un compromiso diferido.