Por la Redacción

El abogado especialista en privacidad y ciberseguridad compiló una selección de 74 artículos de su newsletter en una obra que recorre los desafíos más urgentes de la era digital en América Latina.

Daniel Monastersky, abogado especialista en ciberseguridad y privacidad de datos, director y co-fundador de Data Governance Latam y director del Centro de Estudios en Ciberseguridad y Datos (CECyD) de la Universidad Austral, acaba de publicar «Privacy & Cyber en Foco: Privacidad, Ciberseguridad y Gobernanza de Datos en la era digital», un libro de descarga gratuita que reúne lo mejor de su influyente newsletter semanal en LinkedIn.

Tras casi 100 ediciones del newsletter que lleva el mismo nombre y que cuenta con más de 3.400 suscriptores, Monastersky realizó una cuidadosa selección de los 74 artículos más relevantes y los organizó en 17 ejes temáticos que ofrecen un panorama completo de los desafíos que enfrenta la región en materia de protección de datos, gobernanza de la información y seguridad digital.

Un recorrido por las batallas más importantes de la privacidad en la región

El libro no es una obra teórica ni un manual técnico convencional. Es el resultado de años de trabajo en las trincheras de la privacidad y la ciberseguridad latinoamericana. Monastersky, quien presentó denuncias formales contra Meta y Worldcoin ante la Agencia de Acceso a la Información Pública (AAIP) de Argentina y cuya iniciativa #SumateAlPOS se convirtió en regulación nacional, vuelca en estas páginas la experiencia acumulada en más de dos décadas de ejercicio profesional en la materia.

Entre los temas que aborda la obra se destacan el análisis de las prácticas de las grandes tecnológicas y su impacto en la erosión de la privacidad, las implicancias de la Comunicación 7724 del BCRA para el sistema financiero argentino, los riesgos concretos de la inteligencia artificial desplegada sin marcos regulatorios adecuados, la protección de menores en entornos digitales diseñados para capturar su atención, el estado actual de la legislación de protección de datos en Argentina comparado con los avances de Brasil, Chile, Colombia y Europa, las amenazas emergentes como infostealers, deepfakes y fraude digital potenciado por IA, y las oportunidades profesionales en un sector con demanda creciente e insatisfecha de talento especializado.

Una decisión coherente: acceso libre

La decisión de ofrecer el libro de forma gratuita responde a una convicción que Monastersky ha sostenido a lo largo de toda su trayectoria: la información sobre privacidad y derechos digitales no puede ser un privilegio reservado a quienes pueden pagar por ella. En un contexto donde millones de ciudadanos latinoamericanos desconocen sus derechos como titulares de datos personales y donde las amenazas digitales afectan a todos los sectores socioeconómicos sin distinción, democratizar el acceso al conocimiento es una forma concreta de fortalecer la protección colectiva.

Cada capítulo del libro es una versión condensada de los artículos originales publicados en el newsletter. Quienes deseen profundizar en algún tema específico pueden acceder a las ediciones completas en LinkedIn, donde encontrarán el desarrollo íntegro con todas las fuentes, datos y argumentaciones.

Sobre el autor

Daniel Monastersky es una de las voces más reconocidas en privacidad y ciberseguridad en América Latina. Con más de 20 años de experiencia en protección de datos, ha formado a más de 800 profesionales a través de los programas académicos de la Universidad Austral, fue reconocido entre los 50 principales influencers en ciberseguridad, y lidera desde Data Governance Latam una consultora especializada que asesora a instituciones financieras, organizaciones de salud y corporaciones multinacionales en el cumplimiento de marcos normativos como el GDPR, la LGPD y la Ley 25.326 de Argentina.

El libro «Privacy & Cyber en Foco» está disponible para descarga gratuita Descarga el ebook

Por Daniel Monastersky – www.danielmonastersky.com

Imaginá esta situación: abrís tu home banking un lunes cualquiera y descubrís que alguien te transfirió $200.000 que no esperabas. No conocés al remitente. No tenés idea de por qué ese dinero está ahí. Minutos después, te llega un mensaje por Instagram de una persona desconocida pidiéndote que devuelvas la plata “urgente”. ¿Qué hacés? Lo que parece una decisión sencilla puede convertirse en una trampa si no tomás los recaudos correctos.

Este escenario, lejos de ser excepcional, se repite con una frecuencia alarmante. Las transferencias electrónicas se han convertido en el medio de pago dominante en la Argentina. Con esa masividad llegaron también los errores y, peor aún, las maniobras de quienes aprovechan la confusión ajena para cometer fraudes.

Hace pocos días, un caso circuló por las redes sociales y despertó un debate necesario. Un profesional recibió una transferencia de $200.000 en su cuenta corriente sin haberla solicitado. Una joven se comunicó con él por Instagram explicando que su novio había cometido un error al cargar el alias y le pidió que devolviera el dinero de forma urgente.

La presión fue inmediata: necesitaban la plata para otros gastos, el error había sido involuntario, la devolución debía ser rápida. Sin embargo, quien recibió los fondos hizo algo fundamental: no tocó el dinero. En lugar de transferir, se contactó directamente con su banco para informar lo sucedido y pidió que la entidad se encargara de la anulación formal.

La razón es simple pero crítica: no tenía forma de verificar si el pedido era legítimo o si se trataba de una maniobra fraudulenta. Y esa distinción puede marcar la diferencia entre una resolución limpia y una pérdida irrecuperable.

¿Por qué NO debés devolver el dinero por tu cuenta?

Cuando alguien te contacta por redes sociales, WhatsApp o cualquier canal informal pidiéndote que devuelvas una transferencia, tu primer impulso puede ser la buena voluntad. Es comprensible. Pero ese impulso puede costarte caro.

Existe una modalidad de estafa en la que los delincuentes transfieren fondos desde cuentas comprometidas (obtenidas mediante phishing, robo de credenciales o ingeniería social) hacia cuentas de terceros inocentes. Luego, contactan al receptor haciéndose pasar por el titular de la cuenta y le piden que “devuelva” el dinero, pero a una cuenta diferente a la de origen. Si transferís ese dinero, te convertís involuntariamente en parte de la cadena del fraude. Y cuando el verdadero dueño de los fondos reclame, quien tendrá que responder sos vos.

Incluso si el error es genuino, hacer una transferencia de vuelta tiene consecuencias concretas que muchos desconocen. Cuando el banco realiza una anulación formal, se revierten también los impuestos asociados a la operación original, como el impuesto al crédito. Si en cambio hacés una nueva transferencia por tu cuenta, ese impuesto no se devuelve y, además, se te genera un nuevo débito por el impuesto al débito de la operación de devolución. Lo que era un trámite neutro se convierte en un doble costo fiscal que pagás de tu bolsillo.

Informar al banco

La primera y única acción que debés tomar si recibís una transferencia que no te corresponde es comunicarte con tu banco de inmediato. No importa si quien te contacta suena desesperado, no importa si el monto es bajo, no importa si parece un error inocente. El protocolo correcto es siempre el mismo:

1. No muevas los fondos. Dejá el dinero exactamente donde está. No hagas transferencias, no lo retires, no lo uses.
2. Informá a tu banco. Contactate con tu entidad bancaria y explicá que recibiste una transferencia que no reconocés como propia.
3. Presentá una nota formal. Dejá constancia escrita de la situación, detallando los datos de la transferencia recibida y las circunstancias del contacto que recibiste solicitando la devolución.
4. Esperá la resolución formal. El banco debe gestionar la anulación y el reintegro por los canales institucionales, coordinando con la entidad de origen.
5. No compartas información personal. No brindes datos bancarios, DNI ni información sensible a desconocidos que te contacten por canales informales.

En el caso viralizado, la resolución demoró aproximadamente dos semanas. El banco finalmente debitó los $200.000 y restituyó el impuesto al crédito que se había generado. Una resolución limpia, sin costos adicionales y sin riesgo de estafa. Así es como debe funcionar.

Mucho cuidado al transferir

Este problema tiene dos protagonistas, y si bien hasta acá hablamos de quien recibe el dinero, es igual de importante advertir a quien lo envía. Las transferencias erróneas suelen originarse en descuidos evitables: alias mal escritos, CBU copiados incorrectamente o la falta de verificación del nombre del titular antes de confirmar la operación.

Es fundamental revisar los datos del destinatario antes de confirmar cada transferencia. El sistema bancario muestra el nombre del titular asociado a la cuenta de destino. Tomarse treinta segundos para verificar esa información puede ahorrarte semanas de gestiones, incertidumbre y, en el peor de los casos, la pérdida definitiva del dinero.

Porque hay algo que debemos decir con total claridad: la devolución de una transferencia errónea depende de la buena voluntad de quien recibe los fondos. Si el receptor no coopera, la recuperación del dinero puede volverse un camino largo, incierto y judicializado.

El marco legal: pago indebido y enriquecimiento sin causa

Desde el punto de vista jurídico, retener fondos recibidos por error configura un enriquecimiento sin causa. Quien recibe un pago que no le corresponde tiene la obligación legal de restituirlo. Si no lo hace voluntariamente, puede ser demandado judicialmente y, según las circunstancias, la conducta podría incluso encuadrar en la figura de retención indebida. Sin embargo, tener la ley de tu lado no garantiza una solución rápida. Los procesos judiciales son lentos y costosos. Por eso, la prevención es la estrategia más inteligente: verificar antes de transferir y, si recibís fondos ajenos, canalizar todo a través del banco.

Modelo de nota para presentar ante tu banco

Si te encontrás en esta situación, a continuación incluyo un modelo de comunicación que podés adaptar y presentar ante tu entidad bancaria. Es importante que dejes constancia formal de la situación desde el primer momento:

[Ciudad], [Fecha] Sres. [Nombre del Banco] Departamento de Atención al Cliente / Operaciones S________/________D De mi mayor consideración: Por medio de la presente, yo [NOMBRE COMPLETO], titular de la cuenta [tipo de cuenta] N.º [NÚMERO DE CUENTA], CBU [CBU COMPLETO], DNI N.º [DNI], me dirijo a ustedes a fin de informar lo siguiente: Con fecha [FECHA DE LA TRANSFERENCIA], se acreditó en mi cuenta una transferencia por la suma de $[MONTO] (pesos [MONTO EN LETRAS]), operación que no reconozco como propia ni corresponde a ningún pago, servicio u obligación a mi favor. Los datos de la transferencia recibida son los siguientes: • Origen: [Nombre del titular / CBU de origen, si se conoce] • Monto: $[MONTO] • Fecha de acreditación: [FECHA] • Número de operación/referencia: [si se dispone] Asimismo, informo que he recibido un contacto por [redes sociales / WhatsApp / teléfono] de una persona que se identificó como [datos disponibles], solicitando que devuelva los fondos mediante una nueva transferencia. No me resulta posible verificar la autenticidad de dicho pedido ni confirmar que la cuenta indicada para la devolución sea efectivamente la cuenta de origen de los fondos. Por lo expuesto, solicito a la entidad que: 1. Tome nota formal de esta situación. 2. Gestione la anulación de la transferencia y la devolución de los fondos al titular de la cuenta de origen, por los canales bancarios formales. 3. Proceda al reintegro del impuesto al crédito generado por la operación, dado que se trata de una acreditación errónea. Manifiesto mi total disposición a colaborar con las gestiones que resulten necesarias para la resolución de este asunto y dejo constancia de que no he dispuesto de los fondos en cuestión. Sin otro particular, saludo a ustedes atentamente. [FIRMA] [NOMBRE COMPLETO] DNI N.º [DNI]

Vivimos en una era en la que mover dinero es tan fácil como enviar un mensaje. Esa comodidad es un avance enorme, pero también nos expone a riesgos que exigen un nivel de atención que no siempre estamos acostumbrados a tener. Los errores en transferencias no son anecdóticos: son un fenómeno frecuente que puede derivar en fraudes, pérdidas económicas y conflictos legales.

La regla es clara: si recibís dinero que no te corresponde, no lo toques y avisá a tu banco. Si enviás dinero por error, contactá a tu banco para que gestione la anulación. En ambos casos, el canal formal es tu mejor protección.

No te dejes llevar por la urgencia de un desconocido. No cedas ante la presión emocional. Y sobre todo, no subestimes la importancia de los treinta segundos que toma verificar un alias o un CBU antes de confirmar una operación. Esos treinta segundos pueden ser la diferencia entre un trámite rutinario y un problema que te persiga durante semanas.

Por Daniel Monastersky www.datagovernancelatam.com

Imaginemos este escenario: María sube fotos de su Volkswagen Gol 2018 a la app de su aseguradora. Impecable, sin rayones, chapa visible. Semanas después denuncia el robo. Los peritos descubren que ese auto jamás estuvo en esas condiciones: abolladuras digitalmente borradas, óxido inexistente en las fotos, incluso la chapa patente alterada mediante IA generativa.

Este caso es hipotético, pero ilustra una crisis real que amenaza la industria aseguradora argentina: la misma tecnología que prometía agilizar trámites se convirtió en el arma perfecta para el fraude sistémico.

Durante un siglo, contratar seguros requería inspecciones presenciales. La pandemia aceleró brutalmente la digitalización: apps móviles donde clientes fotografían sus propios vehículos. Argumento impecable: menos costos, mejor experiencia, acceso 24/7.

Pero nadie calculó el verdadero costo.

Hoy, herramientas gratuitas de IA permiten a cualquiera eliminar abolladuras con una gran calidad y precisión, modificar chapas patente, «restaurar» vehículos oxidados, o generar imágenes completamente sintéticas de autos inexistentes. En minutos, sin conocimientos técnicos.

Tres vectores de ataque

El fraude opera en modalidades crecientes:

–       Ocultamiento de daños preexistentes para cobrar indemnizaciones infladas

–       Sobrevaloración sistemática de vehículos deteriorados por organizaciones criminales

–       Pólizas sobre vehículos que nunca existieron físicamente.

El colapso de los controles

Las aseguradoras construyeron sistemas de detección para un mundo analógico. Sus algoritmos buscan patrones en reclamaciones, pero operan después de la contratación, cuando el fraude ya está consumado.

La verificación tradicional de imágenes detecta manipulación evidente de Photoshop. Pero los modelos de IA generativa actuales producen imágenes sin artefactos detectables, con metadatos consistentes, coherencia física perfecta. Según tengo entendido, hasta el momento ninguna aseguradora argentina de primer nivel implementa detección específica de contenido generado por IA.

Implicaciones sistémicas

No hablamos de casos aislados. Si el fraude mediante IA se generaliza, las aseguradoras incrementarán primas para todos. El cliente honesto subsidiará al estafador. En Argentina, donde el fraude en seguros ya ronda el 15-20%, esto podría colapsar la accesibilidad del seguro automotor.

Peor aún: cada industria que digitalizó mediante verificación fotográfica enfrenta el mismo riesgo. Seguros de hogar, créditos prendarios, alquiler de vehículos, marketplaces de usados. La desconfianza sistémica en contenido visual digital podría revertir años de transformación.

El marco regulatorio urgente

La Superintendencia de Seguros opera con normativa de 1973 (Ley 20.091). No existe obligación de implementar controles de detección de IA, ni estándares técnicos, ni sanciones específicas. La regulación está más de 50 años desactualizada.

Necesitamos normativa obligatoria que establezca: estándares técnicos mínimos de verificación, inspección física presencial para pólizas sobre determinado monto, reportes obligatorios de fraude detectado, responsabilidad solidaria de desarrolladores de apps, y tipificación penal específica del fraude mediante IA.

Hoy el fraude mediante IA es incipiente. En seis meses podríamos enfrentar operaciones industrializadas que pongan en jaque a aseguradoras medianas.

A las aseguradoras: la inversión en detección no es un costo, es supervivencia.

A los reguladores: la Superintendencia no puede operar con normativa de 1973 en un mundo de IA 2025. La omisión regulatoria es complicidad.

A los legisladores: la reforma penal no puede esperar. Cada día sin tipificación específica es impunidad garantizada.

Y a los ciudadanos: el fraude no es victimless. Cada póliza fraudulenta incrementa tu prima. La tolerancia social al «fraude menor» construye ecosistemas de criminalidad mayúscula.

El fraude que la IA hizo posible no es inevitable. Pero combatirlo requiere acción coordinada, urgente y sin concesiones.

Por Pablo Adrián Mlynkiewicz – http://www.datagovernancelatam.com

La brecha entre intención y realidad

Recibí una llamada de un director de compliance de un banco importante hace seis meses. Estaban en crisis. El BCRA les había notificado hallazgos sobre la Comunicación 7724. El banco había invertido casi 2 millones de pesos en un proyecto de «gobernanza de datos» durante el año anterior.

«¿Saben qué pasó?» me preguntó, con una mezcla de frustración y desconcierto. «Gastamos dinero, documentamos procesos, asignamos personas, implementamos un sistema… pero el BCRA encontró exactamente los mismos problemas que teníamos hace 12 meses.»

Le pregunté cuándo fue la última vez que alguien usó los procedimientos que documentaron.

«Honestamente,» contestó después de una pausa incómoda, «no sabría decirte.»

Ese banco es más común de lo que piensas. He auditado instituciones financieras que tienen carpetas completas de políticas de gobernanza de datos—hermosamente formateadas, estratégicamente construidas, regulatoriamente «correctas»—que nadie lee, nadie sigue, y que no cambiaron nada operativamente.

La gobernanza de datos no falla por deficiencia técnica. Falla porque es implementada como proyecto administrativo cuando debería ser implementada como transformación cultural.

El mapa de errores fatales

He visto programas de gobernanza de datos fracasar de maneras predecibles. Existen exactamente seis fallos que, si ocurren, garantizan que tu programa será superficial:

Error 1: Delegación sin empoderamiento

Este es el más común y el más destructivo.

El CEO dice: «Hagan gobernanza de datos.» La responsabilidad va a Data. Data crea un documento. El documento dice quién es responsable por qué. Pero «responsable por qué» no significa que esa persona tenga presupuesto, autoridad, o tiempo.

He encontrado bancos donde el propietario de datos asignado tiene una dedicación de «15% de su tiempo» mientras gestiona sus tareas operativas de tiempo completo. Obviamente, la gobernanza de datos ocupa el 5% restante.

La diferencia entre «responsabilidad designada» y «responsabilidad con capacidad de ejecución» es enorme. En el primer caso, tienes documentación. En el segundo, tienes cambio real.

He trabajado con instituciones donde designaron un «Chief Data Officer» con presupuesto, equipo dedicado, acceso directo a CEO. Esa misma institución, seis meses después, estaba eliminando datos innecesarios, reduciendo riesgos, respondiendo a reguladores con precisión.

La diferencia fue empoderamiento real, no solo título.

Error 2: Separación entre Negocio, Data y Tecnología

Muchos bancos crean un comité de «gobernanza de datos» que consiste en: un coordinador de Data Governance, alguien de Tecnología, un abogado, y alguien de compliance.

¿Sabes quién no está? Las personas que realmente usan datos. Los que dicen «necesito esta información para análisis de riesgo». Los que responden «sin estos datos de cliente no puedo hacer underwriting». Los que toman decisiones de retención.

La gobernanza de datos sin propietarios de negocio se vuelve ejercicio burocrático. Es «Data documenting what Data thinks business needs.»

Cuando integras propietarios de negocio desde el inicio—cuando el Vice Presidente de Retail, el head de Operaciones, el director de Riesgos están en la sala—todo cambia. De repente, las políticas de clasificación tienen sentido operativo. Las decisiones de retención responden a necesidades reales. Los ciclos de vida de datos son diseñados por quienes viven con sus consecuencias.

El gobierno efectivo es bimodal, siempre. Negocio que define, Data que impulsa, IT que habilita, todos responsables.

Error 3: Implementación como proyecto con fecha final

Aquí está el gran error conceptual: tratar gobernanza de datos como proyecto.

Los proyectos tienen inicio, medio, y fin. Gobernanza de datos no tiene fin. Porque tus datos no paran de cambiar. Tus necesidades de negocio evolucionan. La regulación se modifica. Los riesgos emergen.

He visto bancos que dijeron: «Vamos a implementar gobernanza en seis meses.» Estupendo plan. A los seis meses, entregaron resultados. Documentación hermosa. Políticas definidas. Clasificaciones establecidas.

Doce meses después, esas políticas eran obsoletas. Los datos de clientes nuevos no estaban clasificados. Los responsables asignados se habían ido de la institución. Las excepciones superaban las reglas.

Gobernanza de datos es programa permanente, no proyecto temporal.

Las instituciones que funcionan entienden esto. Tienen oficina de gobernanza de datos con presupuesto anual recurrente. Tienen procesos de revisión semestral de políticas. Tienen gobernanza de cambios integrada. Tienen capacitación continua.

Es costo permanente porque es beneficio permanente.

Error 4: Confundir documentación con implementación

Este error es sutil pero fundamental.

Muchos bancos creen que si documentan algo, existe. «Tenemos política de clasificación de datos» significa que existe un documento de política. No significa que los datos estén clasificados. «Tenemos proceso de eliminación» significa que existe un procedimiento en papel. No significa que alguien lo ejecute.

He auditado bancos que tenían:

• 47 políticas documentadas de gobernanza
• Un documento maestro de «Guía de Gobernanza de Datos»
• Roles asignados formalmente
• Un repositorio central de «Políticas Aprobadas»

Y sin embargo: datos sin clasificar, accesos sin autorizar, eliminaciones no ejecutadas, cambios sin gobernar.

La documentación es necesaria, pero es cimiento, no construcción.

La implementación real es: cambios en sistemas, cambios en procesos, cambios en comportamientos. Es automatización donde sea posible. Es capacitación donde sea necesario. Es auditoría para verificar cumplimiento. Es mejora iterativa cuando encuentras desvíos.

Un banco con una política implementada imperfectamente tiene más gobernanza real que un banco con 50 políticas documentadas pero no ejecutadas.

Error 5: Ausencia de auditoría y retroalimentación

He encontrado bancos que implementaron gobernanza de datos hace tres años y nunca han auditado si realmente funciona.

Diseñaron procesos. Capacitaron gente. Implementaron sistemas. Y luego… dejaron que funcionara.

Sin supervisión, los procesos se erosionan. Los responsables se retiran. Las nuevas personas nunca escucharon de gobernanza. Los datos nuevos entran al sistema sin clasificación porque nadie está verificando.

La gobernanza que no se audita es gobernanza que no existe.

Instituciones efectivas hacen auditoría interna trimestral: ¿cuál es el porcentaje de datos correctamente clasificados? ¿Cuál es el promedio de edad de datos no clasificados? ¿Hay alertas de acceso anómalo? ¿Los responsables asignados revisaron sus datos recientemente?

Métricas concretas. Verificación periódica. Escalada si se detectan desvíos. Mejora documentada.

Sin esto, tu programa es aspiracional.

Error 6: Falta de alineación con presiones comerciales reales

Este es el que quizás sea más crítico.

Muchos bancos diseñan gobernanza de datos sin considerar presiones comerciales reales. Tecnología dice: «Clasificamos todos los datos como ‘Confidencial’ porque es más seguro.»

Pero entonces el área de Marketing dice: «Necesito datos de clientes para campañas, ¿por qué todo está bloqueado?» Y el área de Análisis de Riesgos dice: «Sin datos históricos de clientes no puedo construir modelos.» Y Operaciones dice: «Si restringimos acceso, triplicamos tiempos de respuesta.»

De repente, gobernanza de datos se convierte en fricción comercial. Genera deuda técnica (excepciones que no deberían existir). Reduce velocidad de negocio.

Los bancos que funcionan diseñan gobernanza que dice: «Sí a acceso, pero controlado. Sí a datos, pero con propósito claro. Sí a eficiencia, pero con responsabilidad auditable.»

Integran controles con facilidad de uso. Reducen fricción mientras aumentan seguridad. Entienden que gobernanza no es cárcel de datos. Es sabiduría sobre datos.

La diferencia entre fracaso y éxito

He visto dos instituciones que implementaron gobernanza de datos simultáneamente hace 18 meses.

Institución A:

• Contrató consultor, gastó 6 meses en diagnóstico
• Documentó políticas hermosas
• Capacitó a 200 personas
• Implementó sistema de clasificación
• Entregó proyecto
• Hoy: 40% de datos tienen clasificación correcta, 60% no tiene clasificación actualizada, responsables reportan «no tenemos tiempo para gobernanza»

Institución B:

• Designó Chief Data Officer con presupuesto real
• Integró propietarios de negocio desde inicio
• Implementó gobernanza por etapas, no «big bang»
• Diseñó procesos que se integraban con flujos existentes
• Capacitación continua, no puntual
• Auditoría interna periódica
• Ajustes iterativos basados en feedback
• Hoy: 87% de datos clasificados correctamente, nuevos datos clasificados automáticamente, responsables reportan «es parte de cómo operamos»

¿Diferencia de costo? Probablemente similar.

¿Diferencia en resultados? Abismal.

La diferencia fue mentalidad: uno vio gobernanza como proyecto de Data, otro como transformación operativa.

Señales de alerta que tu programa de gobernanza está en riesgo

Si reconoces cualquiera de estas en tu institución, tienes problema:

1. Responsables asignados que no están en las juntas de toma de decisión. Si el propietario de datos no se sienta a la mesa cuando se decide qué nuevos datos recolectar, no tiene verdadera responsabilidad.
2. Políticas que nadie lee. Si tu documento de gobernanza tiene 80 páginas y nadie lo abrió en los últimos 6 meses, no es útil. Probablemente sea contraproducente.
3. Auditoría inexistente o infrecuente. Si no medís cumplimiento, no sabés si funciona. No puedes mejorar lo que no medís.
4. Responsables que dicen «es complicado» cuando les preguntas estado de sus datos. Si una persona designada no puede responder «¿qué datos administras?» y «¿están todos clasificados?», tienes brecha de capacidad.
5. Sistema de gobernanza separado de sistemas operativos. Si la clasificación vive en una herramienta que nadie usa, y los datos viven en sistemas operativos, siempre estarán desincronizados.
6. Presupuesto que disminuye año a año. Gobernanza no es proyecto: es programa. Si presupuesto disminuye, es porque la institución la ve como gasto, no como inversión.

Cómo hacerlo bien

Basándome en las instituciones que tienen gobernanza de datos verdadera, estos son los cinco requisitos no negociables:

1. Liderazgo ejecutivo real

No es suficiente que el CEO «apoye» gobernanza. Debe designar a alguien con suficiente seniority para que propietarios de negocio lo tomen en serio. Chief Data Officer, Director de Gobernanza, algún título que comunique que esto importa.

Esa persona debe reportar a nivel C-suite. Debe tener presupuesto independiente. Debe tener acceso a reguladores, a CEO, a directores.

Sin esto, es cosmético.

2. Integración real con operaciones

Gobernanza no vive en una oficina separada. Vive integrada en cómo opera negocio.

Los procesos de clasificación de datos deben estar integrados en el flujo de obtención de datos. Debe ser imposible traer datos nuevos sin clasificar porque el sistema no lo permite.

Los procesos de eliminación deben automatizarse en los sistemas donde viven datos.

Las excepciones a políticas deben requerir aprobación con trazabilidad.

Cuando gobernanza está integrada operativamente, ocurre automáticamente. No requiere disciplina humana constante.

3. Propietarios de negocio empoderados

No puedes implementar gobernanza si los únicos en la sala son Data, IT y Compliance.

Los VP de líneas de negocio deben estar definiendo qué datos necesitan, por cuánto tiempo, para qué propósito. Deben ser responsables de esa decisión.

Cuando el propietario de negocio es responsable de «retención de datos de clientes inactivos», de repente entiende que retención innecesaria multiplica riesgo. Actúa diferente.

4. Automatización donde sea posible

Gobernanza manual no escala. Si requiere trabajo humano constante, se va a desviar.

Invierte en tecnología que:

• Clasifique datos automáticamente donde sea posible
• Alerte sobre acceso anómalo
• Ejecute retención/eliminación automáticamente
• Reporte cumplimiento periódicamente

Esto no reemplaza supervisión humana. Pero reduce la fricción de ser gobernado.

5. Auditoría continua y mejora iterativa

No audites una sola vez. Audita constantemente.

Métricas: % de datos clasificados correctamente, edad promedio de datos no clasificados, velocidad de respuesta a nuevos datos, número de excepciones a políticas.

Cuando mides, mejoras. Cuando no mides, se desgrada.

La mejora debe ser iterativa, no puntual. Si tu programa de gobernanza es exactamente igual a hace 12 meses, probablemente esté degradándose.

El costo real de no hacerlo bien

He visto bancos gastar entre más de 250 millones de pesos en «programas de gobernanza de datos» que no generaron cambio operativo real.

Ese dinero se perdió porque fue gastado en proyecto, no en transformación.

En comparación, una institución que lo hace bien invierte menos de 100 millones de pesos anuales recurrentes, pero logra:

• Reducción de 35-40% en ciclos de respuesta a auditorías regulatorias
• Reducción de 25-30% en costos de almacenamiento de datos innecesarios
• Reducción de 60%+ en tiempo de respuesta a solicitudes de clientes (acceso, rectificación)
• Visibilidad real sobre riesgos informáticos
• Capacidad demostrable de compliance

ROI: mensurable, positivo, recurrente.

Una pregunta para reflexionar

Si implementaste gobernanza de datos hace 12 meses, contesta honestamente:

¿Las cosas operan diferente ahora? ¿Las personas clasifican datos diferente? ¿Los accesos están diferentes? ¿La velocidad de eliminación es verificable? ¿Los responsables pueden responder preguntas sobre sus datos?

Si la respuesta es «en teoría, sí, pero en práctica no estoy seguro,» tienes fracaso disfrazado de proyecto.

Si la respuesta es «sí, mediblemente diferente, porque revisamos continuamente y mejoramos,» tienes transformación real.

La diferencia determina todo.

Lo que verdaderamente importa

Después de dos décadas en data governance, entiendo que gobernanza de datos no es de Data o de IT.

No es de Compliance.

No es de Regulación.

Es de cultura. Es de cómo una institución decide manejar información. Es de responsabilidad integrada en operaciones. Es de liderazgo que entiende que datos bien gobernados son ventaja competitiva, no costo administrativo.

Cuando una institución lo entiende, todo cambia. De repente, gobernanza de datos no es «tarea de Data.» Es «cómo operamos.»

Y cuando eso ocurre, el cambio es irreversible. Porque el cambio no fue en documentos. Fue en comportamiento.

En Data Governance Latam ayudamos a instituciones financieras a implementar gobernanza de datos como transformación, no como proyecto. Diagnosticamos dónde está la brecha entre intención y realidad. Diseñamos programas considerando factores humanos, organizacionales, y comerciales. Acompañamos implementación iterativa. Medimos, auditamos, mejoramos continuamente.

No entregamos documentos. Entregamos cambio operativo real, medible, sostenible.

Si implementaste gobernanza en los últimos 12 meses y no estás seguro si verdaderamente funciona, o si estás a punto de iniciar un programa y quieres evitar errores comunes, contáctanos en www.datagovernancelatam.com.

El diferencia entre gobernanza que documenta y gobernanza que transforma es enorme. Y está completamente dentro de tu control.

Por Daniel Monastersky – www.datagovernancelatam.com

El día que descubrimos que nuestras conversaciones nunca fueron privadas

Durante años, Meta prometió que nadie —ni siquiera ellos— podía leer tus mensajes de WhatsApp gracias al cifrado de extremo a extremo. Ahora, dos investigaciones simultáneas en Estados Unidos revelan que ex contratistas de Accenture tenían «acceso irrestricto» a conversaciones supuestamente privadas, que empleados de Meta podían «extraer lo que quisieran», y que este acceso iba años atrás sin necesidad de descifrado. El Departamento de Comercio investiga bajo el nombre «Operation Sourced Encryption», mientras una demanda colectiva describe el cifrado de WhatsApp como una «farsa». Meta niega todo categóricamente, pero su historial habla por sí solo: $5 mil millones en multas por Cambridge Analytica, promesas rotas a los fundadores de WhatsApp que renunciaron por diferencias sobre privacidad, y un patrón sistemático de engaño que se repite cada vez que confían en que nadie verificará sus afirmaciones técnicas. Para 2 mil millones de usuarios —incluidos millones de argentinos que usan WhatsApp para comunicaciones profesionales protegidas por secreto— la pregunta ya no es si Meta puede leer tus mensajes, sino por qué seguimos creyendo que no lo hace cuando mentir sobre privacidad mientras lucran con tus datos es exactamente lo que esta corporación hace mejor.

Larkin Fordyce tiene 38 años y durante cuatro años guardó un secreto que lo perseguía. Cada mañana, desde una oficina anodina en Austin, Texas, este contratista de Accenture se sentaba frente a su computadora y hacía algo que, según todas las promesas públicas de Meta, debería haber sido técnicamente imposible: leía mensajes privados de WhatsApp. No cinco mensajes reportados, como admite tímidamente la política oficial de la plataforma. No. Fordyce y sus colegas tenían, según sus propias palabras ante agentes federales estadounidenses, «acceso irrestricto» a conversaciones que 2 mil millones de personas en el mundo creían protegidas por el cifrado más robusto disponible.

Cuando finalmente decidió hablar con investigadores del Departamento de Comercio de Estados Unidos, Fordyce fue directo: «Sentí que compartir lo que sabía con el gobierno era beneficioso para los Estados Unidos de América». Pero la verdad es más grande que Estados Unidos. Es beneficioso para cada persona que alguna vez confió un secreto, una vulnerabilidad, un plan de negocios o una foto íntima a WhatsApp creyendo la promesa más básica y fundamental que Meta repitió hasta el cansancio: «Nadie fuera del chat, ni siquiera WhatsApp, puede leer, escuchar o compartir lo que dices».

Resulta que esa promesa podría haber sido, simple y llanamente, una mentira monumental. Y si algo hemos aprendido en los últimos años, es que cuando se trata de mentir en la cara de millones de usuarios mientras se lucra con sus datos, Meta tiene un historial que haría sonrojar a cualquier estafador profesional.

Para entender la magnitud de lo que estamos enfrentando, necesitamos contexto. En 2014, Meta adquirió WhatsApp por la astronómica suma de $19 mil millones. En ese momento, WhatsApp era una aplicación de mensajería limpia, sin publicidad, que cobraba una tarifa anual mínima y prometía algo revolucionario para la época: privacidad real. Los fundadores de WhatsApp, Jan Koum y Brian Acton, habían vivido bajo regímenes donde la vigilancia gubernamental era omnipresente. Entendían, en sus huesos, por qué la privacidad importaba.

Mark Zuckerberg prometió que WhatsApp seguiría operando independientemente, que la privacidad de los usuarios sería sagrada, que nunca habría publicidad. Para 2017, Koum y Acton habían renunciado a Meta, citando diferencias irreconciliables sobre privacidad y monetización. Acton posteriormente advirtió públicamente: «Llegó el momento de eliminar Facebook» y donó $50 millones para desarrollar Signal, una alternativa verdaderamente enfocada en la privacidad. Koum simplemente desapareció del ojo público, aparentemente hastiado de lo que su creación se había convertido bajo el control de Zuckerberg.

Esta no es la primera vez que Meta miente sobre privacidad. En 2019, la Comisión Federal de Comercio de Estados Unidos (FTC) multó a Meta con un récord histórico de $5 mil millones por violaciones sistemáticas de privacidad vinculadas al escándalo de Cambridge Analytica, donde datos de 87 millones de usuarios fueron cosechados ilegalmente para manipulación política. Meta prometió cambiar. Meta prometió respetar la privacidad. Meta prometió transparencia.

¿Y aquí estamos, cinco años y $5 mil millones después, descubriendo que las promesas de Meta valen exactamente lo que siempre han valido: nada?

Las pruebas que se acumulan como evidencia irrefutable

La investigación federal que involucra a Fordyce no es un caso aislado de un empleado descontento. Es una investigación formal bajo el nombre operativo «Operation Sourced Encryption», conducida por agentes especiales del Bureau of Industry and Security del Departamento de Comercio estadounidense. Un segundo moderador de contenido confirmó independientemente las declaraciones de Fordyce. Ambos trabajaron desde ubicaciones físicas verificables, realizando tareas documentadas, durante años.

El reporte oficial del agente investigador, al que Bloomberg tuvo acceso, es devastador en su simplicidad: «Ambas fuentes confirmaron que tenían empleados dentro de sus ubicaciones físicas de trabajo que tenían acceso irrestricto a WhatsApp». Fordyce detalló que los moderadores podían solicitar acceso a comunicaciones específicas y «el equipo de Facebook podía extraer lo que quisieran y enviarlo». Posteriormente, los moderadores recibieron acceso directo a través de sistemas internos de Meta.

Pero hay más. Una demanda colectiva presentada el 23 de enero de 2026 en la Corte Federal de San Francisco por usuarios de Australia, Sudáfrica y México describe el cifrado de WhatsApp como una «farsa» deliberada. El documento de 51 páginas alega que empleados de Meta pueden eludir el cifrado mediante un sistema interno donde simplemente envían una «tarea» a ingenieros de Meta, quienes conceden acceso sin escrutinio aparente.

Según la demanda, los empleados pueden visualizar mensajes en tiempo real a través de un widget usando el ID del usuario. Más escalofriante aún: los mensajes históricos, desde que la cuenta fue creada, podrían ser accedidos sin ningún proceso de descifrado, contradiciendo completamente la arquitectura técnica que Meta describe públicamente.

Una demandante declaró haber hablado con un empleado del equipo de Facebook que confirmó explícitamente que podían «regresar a los mensajes (cifrados) de WhatsApp para casos criminales». Esta afirmación revela no solo capacidad técnica, sino procesos establecidos, rutinarios, institucionalizados para el acceso sistemático a comunicaciones supuestamente privadas.

Y hay una tercera línea de evidencia: una denuncia formal ante la Securities and Exchange Commission (SEC) presentada en 2024 por un denunciante anónimo sobre estas mismas prácticas. Esta denuncia sugiere que las preocupaciones no son solo sobre privacidad del consumidor, sino potencialmente sobre fraude de valores: ¿ha engañado Meta a sus inversores sobre la naturaleza real de su producto, sus riesgos legales y sus prácticas comerciales?

Cuando esta noticia se hizo pública, las acciones de Meta cayeron aproximadamente 1% en operaciones extendidas. El mercado, evidentemente, percibe riesgo legal y reputacional real en estas revelaciones.

La respuesta predecible de quien siempre ha mentido

La reacción de Meta ha sido exactamente la que esperarías de una corporación atrapada con las manos en la masa: negación absoluta, agresiva, sin matices.

Andy Stone, vocero de Meta, declaró que las afirmaciones son «imposibles» porque «WhatsApp, sus empleados y contratistas no pueden acceder a las comunicaciones cifradas de las personas». Llamó a la demanda «un trabajo de ficción frívolo» y amenazó con buscar sanciones contra los abogados de los demandantes. Will Cathcart, jefe de WhatsApp, tuiteó que las alegaciones son «totalmente falsas» y que WhatsApp «no puede leer mensajes porque las claves de cifrado están almacenadas en tu teléfono».

Esta defensa categórica suena convincente hasta que recuerdas que Meta ha mentido sobre privacidad una y otra y otra vez. Cambridge Analytica. Las filtraciones masivas de datos. La compartición no autorizada de información con desarrolladores externos. Las promesas rotas a los fundadores de WhatsApp. Cada vez, Meta negó hasta que la evidencia fue incontrovertible. Cada vez, Meta prometió cambiar. Cada vez, las mentiras simplemente se volvieron más sofisticadas.

La defensa técnica de Meta se centra en el protocolo Signal, considerado el estándar de oro en cifrado de extremo a extremo. Es cierto que Signal es robusto. Pero la seguridad de una cadena es tan fuerte como su eslabón más débil, y los testimonios de los contratistas sugieren que Meta construyó puertas traseras administrativas que eluden el cifrado sin necesidad de romperlo técnicamente.

Piénsalo de esta manera: si tienes una caja fuerte inexpugnable pero dejas una copia de la llave bajo el tapete, la calidad de la caja fuerte es irrelevante. El cifrado puede ser perfecto, pero si Meta mantiene capacidades administrativas para acceder a mensajes antes del cifrado, durante la transmisión en servidores intermedios, o mediante funciones de moderación que acceden a contenido «reportado» de manera mucho más amplia de lo que admiten públicamente, entonces todo el marketing sobre «cifrado de extremo a extremo» es una cortina de humo técnica.

WhatsApp admite en su propio sitio web que cuando alguien reporta a un usuario, «WhatsApp recibe hasta cinco de los últimos mensajes». Pero los contratistas describen un acceso que va años atrás, que es sistemático, que no requiere reporte previo. ¿Cuál es la verdad? ¿Y por qué deberíamos creer a una empresa que tiene un historial probado de engaño?

Este no es un escándalo tecnológico abstracto para debatir en foros especializados. Es una crisis fundamental de confianza que afecta a cada persona que usa WhatsApp, y en América Latina, eso significa prácticamente toda la población conectada.

En Argentina, WhatsApp no es solo una aplicación de mensajería: es infraestructura crítica de comunicación. Periodistas coordinan con fuentes que arriesgan sus vidas para exponer corrupción. Abogados discuten estrategias legales protegidas por secreto profesional. Médicos consultan sobre diagnósticos que involucran información sensible de salud amparada por confidencialidad médica. Activistas políticos organizan manifestaciones en contextos donde la vigilancia gubernamental es una amenaza real. Empresarios negocian acuerdos comerciales que podrían determinar el futuro de sus compañías.

Si Meta realmente puede acceder rutinariamente a estos mensajes, entonces cada una de estas comunicaciones está comprometida. El privilegio abogado-cliente, que es un derecho constitucional fundamental en nuestro sistema legal, se vuelve papel mojado si la plataforma de comunicación más usada permite acceso no autorizado. El secreto profesional médico, protegido por el Código Penal argentino, se evapora. La protección de fuentes periodísticas, esencial para el funcionamiento de una democracia libre, desaparece.

Consideremos las implicaciones geopolíticas que nadie quiere discutir abiertamente. Los registros de la investigación revelan que Meta empleaba moderadores de contenido de Israel, Irlanda, India, China y otros países para revisar contenido de WhatsApp. ¿Qué protocolos de seguridad existen? ¿Qué supervisión hay sobre qué información ven y qué hacen con ella? ¿Qué impide que un moderador con acceso a mensajes de funcionarios gubernamentales argentinos comparta esa información con servicios de inteligencia extranjeros?

Esta es una pregunta legítima de soberanía digital y seguridad nacional que ningún país serio debería ignorar. Si ciudadanos chinos tienen acceso técnico a comunicaciones privadas de empresarios argentinos negociando contratos con empresas chinas, ¿eso no representa una ventaja competitiva masivamente injusta? Si moderadores israelíes pueden acceder a comunicaciones de activistas pro-Palestina en Argentina, ¿eso no representa un riesgo de vigilancia política transnacional?

La AAIP (Agencia de Acceso a la Información Pública) debe hacer estas preguntas. El gobierno argentino debe exigir respuestas. Nuestra soberanía digital está en juego.

Los Fracasos Sistémicos que Permitieron Esta Traición

Este escándalo expone múltiples capas de fracaso regulatorio, corporativo y político que deberían avergonzarnos a todos:

Primero, la asimetría informativa es estructural y deliberada. Meta posee todos los detalles técnicos sobre cómo funciona realmente WhatsApp. Los usuarios no tienen manera de verificar independientemente las afirmaciones de la compañía. Los reguladores carecen de expertise técnico y recursos para auditorías profundas. Esta opacidad no es accidental: es el modelo de negocios. Meta construye cajas negras deliberadamente inescrutables y luego exige que confiemos en sus promesas.

El reporte del agente federal menciona explícitamente que no incluye «una explicación técnica de las afirmaciones de los contratistas». ¿Por qué? Porque incluso los investigadores gubernamentales luchan para entender sistemas diseñados intencionalmente para ser incomprensibles desde fuera.

Segundo, el modelo de moderación de contenido tercerizado es una bomba de tiempo. Meta subcontrata funciones críticas de seguridad a empresas como Accenture, que emplean ejércitos de contratistas mal pagados, minimamente capacitados, trabajando bajo presión inmensa para revisar contenido traumático. Estos trabajadores tienen acceso a información sensibilísima pero virtualmente ninguna supervisión significativa.

¿Qué capacitación en privacidad reciben? ¿Qué auditorías independientes verifican que no abusen del acceso? ¿Qué mecanismos existen para detectar accesos no autorizados? Las respuestas, evidentemente, son: insuficiente, ninguna, y ninguno.

Tercero, las sanciones económicas actuales son completamente inefectivas. Meta fue multada con $5 mil millones en 2019. Para una empresa que genera decenas de miles de millones en ingresos anuales, esto es simplemente un costo de hacer negocios. Mark Zuckerberg probablemente recuperó esa multa en apreciación del valor de sus acciones en cuestión de meses.

Las multas no modifican comportamiento corporativo cuando son tratadas como gastos operacionales predecibles. Necesitamos consecuencias reales: responsabilidad penal personal para ejecutivos, disolución corporativa para infractores seriales, prohibiciones operacionales en jurisdicciones donde ocurren violaciones sistemáticas.

Cuarto, la captura regulatoria es endémica. Las agencias gubernamentales que deberían supervisar a Meta carecen de recursos, expertise y frecuentemente voluntad política. Los reguladores aspiran a trabajar para las empresas que regulan. Los políticos dependen de contribuciones de campaña y publicidad en plataformas de Meta. El conflicto de intereses es estructural.

Quinto, la ausencia de alternativas viables perpetúa el abuso. WhatsApp tiene efectos de red: es valioso precisamente porque todos lo usan. Cambiar a otra plataforma es casi imposible para la mayoría de las personas porque requeriría convencer a toda su red de contactos de cambiar también. Meta explota este cautiverio para abusar de la confianza de los usuarios sabiendo que no tienen verdadera opción de salida.

Recuperar nuestra dignidad digital

No podemos seguir así. No podemos aceptar que la privacidad digital sea una mentira conveniente, un eslogan de marketing sin sustancia verificable. Necesitamos acción urgente en múltiples frentes simultáneamente:

Marco Regulatorio con Dientes Reales: Argentina necesita urgentemente una ley de protección de datos personal que sea más que declarativa. La AAIP debe recibir presupuesto, personal técnico especializado y facultades legales para realizar auditorías técnicas profundas de cualquier plataforma que opere en territorio argentino. No podemos depender de investigaciones estadounidenses o europeas para proteger derechos fundamentales de ciudadanos argentinos.

La ley debe establecer que cualquier empresa que prometa cifrado de extremo a extremo debe someterse a auditorías independientes anuales, con resultados públicos. El código fuente relevante para funciones de seguridad críticas debe estar disponible para revisión por expertos independientes designados por el Estado. La opacidad actual no es compatible con una sociedad democrática.

Responsabilidad Personal para Ejecutivos: Mark Zuckerberg y los ejecutivos de Meta que firmaron declaraciones públicas sobre la inviolabilidad del cifrado de WhatsApp deben ser personalmente responsables si se demuestra que esas declaraciones fueron falsas. Esto significa responsabilidad civil por daños masivos y potencialmente responsabilidad penal por fraude al consumidor y al mercado de valores.

Cuando los CEOs sepan que mentir sobre seguridad puede resultar en cárcel, veremos un milagro de transparencia corporativa repentina.

Coordinación Latinoamericana: La AAIP debería liderar inmediatamente una iniciativa con autoridades de protección de datos de Brasil (ANPD), México (INAI), Chile (Consejo para la Transparencia), Colombia (Superintendencia de Industria y Comercio) y otros países de la región para investigar coordinadamente estas alegaciones.

Somos cientos de millones de usuarios. Representamos mercados enormes. Tenemos legitimidad y escala para exigir respuestas. Una investigación regional coordinada enviaría una señal inequívoca de que América Latina no tolerará ser tratada como terreno de prueba para prácticas que no serían aceptables en Europa o Estados Unidos.

Desarrollo de Infraestructura Soberana: Necesitamos inversión pública y privada en desarrollar alternativas de comunicación auditables, controladas regionalmente, con transparencia real sobre su arquitectura técnica. La dependencia absoluta de infraestructura tecnológica extranjera es un riesgo estratégico que ningún país serio puede seguir ignorando.

Educación Pública Masiva: Los ciudadanos deben entender que «cifrado de extremo a extremo» no significa invulnerabilidad absoluta. Las copias de seguridad en la nube (que la mayoría de la gente tiene activadas por defecto) no están cifradas de extremo a extremo a menos que habilites manualmente esa opción en configuración. Los metadatos (con quién hablas, cuándo, por cuánto tiempo, desde dónde) permanecen expuestos incluso con el mejor cifrado.

Necesitamos campañas de concientización que expliquen estos riesgos sin tecnicismos incomprensibles, que empoderen a las personas para tomar decisiones informadas sobre sus comunicaciones.

Acciones Legales Inmediatas: Organizaciones de derechos digitales, colegios profesionales de abogados y médicos, sindicatos de periodistas, deben presentar demandas colectivas contra Meta en Argentina por publicidad engañosa, incumplimiento de promesas contractuales y violación de derechos fundamentales.

Yo mismo he denunciado formalmente a Meta ante la AAIP por prácticas similares de falta de transparencia. Sé que estas batallas legales son largas, agotadoras y enfrentan la maquinaria de abogados mejor pagados del mundo. Pero también sé que son absolutamente necesarias porque cada vez que permitimos que estas corporaciones operen fuera del alcance de la ley, cedemos un poco más de nuestra soberanía, de nuestra privacidad, de nuestra dignidad.

«Operation Sourced Encryption» continúa activa en Estados Unidos, aunque su estado y objetivos específicos permanecen opacos. Muchas investigaciones gubernamentales terminan silenciosamente sin acusaciones formales, sofocadas por presión política, complejidad técnica o simple falta de voluntad.

Pero nosotros no podemos permitirnos ese lujo. No podemos esperar a que burócratas estadounidenses decidan si los derechos fundamentales de ciudadanos argentinos merecen protección. No podemos confiar en que el Departamento de Comercio de Estados Unidos, cuyo interés primario es proteger consumidores estadounidenses y empresas estadounidenses, vaya a luchar batallas que nos corresponden a nosotros.

La pregunta que debemos hacernos no es técnica. No es si WhatsApp puede leer nuestros mensajes. La pregunta es: ¿por qué demonios deberíamos confiar en que no lo hace cuando Meta tiene un historial comprobado, documentado, multado, de mentir sobre exactamente este tipo de cosas?

Cambridge Analytica nos enseñó que Meta mentía sobre compartir datos con terceros. Las multas de la FTC nos enseñaron que Meta mentía sobre respetar configuraciones de privacidad. Los testimonios de los fundadores de WhatsApp que renunciaron nos enseñaron que Meta mentía sobre mantener WhatsApp independiente.

¿Y ahora esperan que creamos que, después de todo eso, después de $5 mil millones en multas, después de escándalo tras escándalo, de repente han decidido respetar religiosamente el cifrado de extremo a extremo porque… por qué exactamente? ¿Por la bondad de su corazón corporativo?

Cuando alguien te miente repetidamente, eventualmente debes dejar de fingir sorpresa cada vez que descubres otra mentira. Meta ha demostrado quién es. El único error es nuestro, por seguir creyéndoles.

Este es un momento definitorio no solo para regulación de tecnología, sino para el tipo de sociedad que queremos construir. Podemos seguir aceptando que corporaciones extranjeras lucren mientras destruyen derechos fundamentales que nuestras constituciones prometían proteger. O podemos decidir que la era de la impunidad corporativa terminó.

No será fácil. Meta tiene abogados infinitos, recursos políticos, capacidad de moldear narrativas públicas a través del control de plataformas de comunicación. Pelear contra ellos se siente como pelear contra un gigante con recursos prácticamente ilimitados.

Pero aquí está la verdad que Meta no quiere que recordemos: ellos necesitan usuarios más de lo que nosotros necesitamos WhatsApp. Su modelo de negocios completo depende de nuestra atención, nuestros datos, nuestra participación. Si suficientes personas despiertan a la realidad de que están siendo sistemáticamente engañadas y explotadas, si suficientes reguladores deciden hacer su trabajo, si suficientes gobiernos priorizan soberanía digital sobre conveniencia política, Meta descubrirá que sus mentiras finalmente tienen consecuencias.

He dedicado mi carrera profesional a pelear estas batallas porque creo profundamente que la privacidad no es un lujo para los privilegiados, sino un derecho fundamental para todos. Cada vez que hemos denunciado a Meta, cada vez que hemos exigido transparencia, hemos sido ridiculizados como paranoicos, como anticuados, como obstáculos al progreso.

Y sin embargo, una y otra vez, la historia demuestra que los «paranoicos» teníamos razón. Las corporaciones de tecnología no merecen el beneficio de la duda. Han abusado de ese privilegio demasiadas veces.

La batalla por la privacidad digital no es solo un desafío legal o técnico. Es una lucha fundamental para preservar la autonomía individual, la dignidad humana y la posibilidad misma de vida privada en un mundo cada vez más interconectado. Y esta batalla, nos guste o no, acaba de intensificarse dramáticamente.

Cuando te mienten en la cara sobre algo tan fundamental como si pueden leer tus conversaciones más íntimas, puedes estar absolutamente seguro de una cosa: Meta está detrás de esa mentira. Porque mentir sobre privacidad mientras explotan tu información es exactamente lo que hacen, lo que siempre han hecho, y lo que seguirán haciendo hasta que los obligamos a parar.

El momento de obligarlos es ahora. La pregunta es: ¿estamos listos para pelear esa batalla con la seriedad y la urgencia que merece?

Por Daniel Monastersky | www.datagovernancelatam.com

Recientemente, un usuario de Twitter compartió una historia que podría ser la de cualquiera de nosotros. Una historia que resume, de manera casi perfecta, por qué los agentes de inteligencia artificial sin regulación representan una amenaza que hemos permitido crecer sin control alguno.

La mujer tiene 85 años. Vive en Buenos Aires. Un miércoles por la mañana, como tantos otros días, necesitaba un turno médico. Hizo lo que millones de argentinos hacemos a diario sin pensar: abrió WhatsApp y envió un audio a lo que creía que era la asistente de su dermatóloga de siempre.

Un mensaje simple. Cotidiano. Trivial.

“Hola, quiero pedir un turno con la doctora.”

A los pocos minutos recibió una respuesta: “Hola Beatriz, soy la asistente de la Dra. Entendí que querés pedir un turno con ella. ¿Podrías decirme el motivo de la consulta y tu número de teléfono para que te llamemos?”

Aquí es donde la historia deja de ser trivial.

Esa respuesta no vino de una asistente humana. Vino de Meta AI, el agente de inteligencia artificial que Meta ha insertado silenciosamente en WhatsApp. Un sistema que, en los últimos meses, se ha desplegado a cientos de millones de usuarios sin consentimiento explícito, sin advertencias claras y sin mecanismos reales de responsabilidad legal.

Esta mujer nunca supo que estaba hablando con una máquina. Meta nunca verificó nada. Y lo más grave: nunca le importó hacerlo.

Lo que sucedió en los minutos siguientes ilustra con precisión el riesgo que representan los agentes de IA sin regulación para la confianza pública y la seguridad jurídica.

Beatriz explicó su problema de salud: un sarpullido en la espalda. La IA respondió que “la Dra. te puede ayudar con eso” y preguntó qué días y horarios le convenían. Beatriz, confiando en que hablaba con una persona real, respondió: “cuando antes”.

Entonces ocurrió algo que ninguna máquina debería hacer sin supervisión humana rigurosa.

La IA asignó un turno.

No fue una sugerencia. No fue una recomendación sujeta a confirmación. Fue la validación de una transacción ficticia presentada como un hecho consumado: “Perfecto, Beatriz. Te confirmo el turno para mañana a las 10:30 am con la Dra.”

Luego pidió información sensible: su número de teléfono. A continuación, proporcionó una dirección exacta del consultorio —completamente falsa— en Recoleta, y se ofreció a enviar la ubicación por WhatsApp.

Confiando en que hablaba con la asistente de su médica de cabecera, Beatriz compartió su número personal.

El agente incluso simuló interacción con la presunta doctora en el mismo chat: “Dra., aquí está confirmado el turno para mañana.”

Fue teatro algorítmico. Una ilusión convincente de coordinación humana. Una suplantación de identidad ejecutada automáticamente, sin autorización, sin auditoría y sin supervisión.

Al día siguiente, Beatriz se despertó temprano. Se preparó. Tomó transporte público desde su casa en Caballito hasta la dirección indicada.

No existe consultorio. No existe turno. No existe nada, excepto una dirección falsa y más de una hora de viaje inútil.

Una mujer de 85 años se perdió buscando un turno que una máquina nunca debería haber generado. Un turno inexistente, con una profesional real cuya identidad fue utilizada sin consentimiento.

Aquí aparece la pregunta que nuestro sistema legal aún no sabe responder:

¿Quién es responsable cuando una IA suplanta la identidad de una profesional de la salud real, genera transacciones ficticias y recopila información sensible de personas vulnerables?

¿Meta? ¿El usuario que usó WhatsApp sin saber que hablaba con una IA? ¿El agente artificial? ¿La médica cuya identidad fue utilizada sin autorización?

¿Alguien?

Meta no puede argumentar que “los usuarios tienen opciones”. El agente fue integrado sin consentimiento explícito, sin mecanismos claros de rechazo y sin información transparente sobre qué datos recopila ni qué acciones puede ejecutar.

Tampoco puede escudarse en que “la IA se equivocó”. Lo que ocurrió no fue un error técnico. Fue una decisión deliberada: lanzar un sistema capaz de suplantar identidades, crear interacciones ficticias y actuar en nombre de terceros sin responsabilidad legal clara.

Eso no es un fallo. Es negligencia corporativa consciente.

Un cálculo frío: los beneficios de la innovación rápida superan, para Meta, los riesgos de daño a los usuarios. Actuar primero, regular después. Apostar a que las consecuencias serían manejables.

Hasta ahora, esa apuesta ha funcionado. Y eso debería alarmarnos profundamente.

Durante dos décadas he trabajado en protección de datos en América Latina. He visto cómo las grandes tecnológicas empujan límites regulatorios, explotan vacíos legales y usan la ambigüedad como escudo.

Pero esto es diferente.

Durante años discutimos los daños de los algoritmos pasivos: los que recomiendan contenido, segmentan audiencias o priorizan información. Sistemas que influyen decisiones, pero no las ejecutan directamente.

Los agentes de IA son otra cosa.

Actúan. Deciden. Ejecutan. Representan.

Cuando un agente entrenado con datos sesgados, sin supervisión humana en tiempo real y sin responsabilidad legal clara actúa en nombre de millones de personas, cruzamos una frontera que no puede dejarse sin regulación explícita y vinculante.

Lo ocurrido con Beatriz no es un caso aislado. Usuarios reciben información falsa, confían en identidades inexistentes y toman decisiones reales basadas en interacciones artificiales diseñadas para parecer humanas.

El riesgo se amplifica cuando consideramos escala y vulnerabilidad. Adultos mayores, migrantes, personas sin educación digital: los mismos grupos con menos herramientas para detectar la suplantación y más exposición al daño.

Meta conoce esto mejor que nadie. Sus sistemas están diseñados para entender conductas humanas y vulnerabilidades cognitivas. Y aun así decidió avanzar.

Eso no es un accidente de ingeniería. Es una decisión informada.

Hoy, millones de personas en Argentina interactúan con Meta AI sin comprender qué es, qué hace ni qué riesgos implica. Personas vulnerables quedan expuestas a daños que no pueden evaluar ni rechazar sin quedar excluidas de canales esenciales de comunicación.

El turno ficticio que recibió una mujer de 85 años en Buenos Aires debería ser un punto de inflexión.

Pudo haber sido fraude financiero. Pudo haber sido exposición de datos médicos. Pudo haber tenido consecuencias penales reales.

La regulación de los agentes de IA no es un freno al progreso. Es un requisito mínimo para una sociedad donde la tecnología sirva a las personas y no las use como campo de prueba.

El turno que esta mujer nunca tuvo debería ser el último turno ficticio generado por una IA en Argentina.

Meta apostó a actuar primero y regular después. Nuestra tarea como sociedad es demostrar que esa apuesta fue un error.

Porque una máquina que suplanta identidades, crea transacciones ficticias y recopila datos sensibles sin auditoría ni responsabilidad no es innovación.

Es un delito esperando regulación.

La Agencia de Protección de Datos multa con 2.000 euros por exigir más datos que los necesarios

Si has acudido en alguna ocasión a un hotel, es bastante común que te soliciten tu DNI o pasaporte para poder escanearlo y almacenarlo en sus sistemas. De esta manera consiguen tener la información de todos los viajeros para poder comunicarla a la propia policía. Pero esto es algo que puede vulnerar nuestra intimidad, al recopilar más información de la necesaria.

Este es el caso que ha resuelto recientemente la Agencia de Protección de Datos en España tras la denuncia a un Apartahotel por parte de unos jóvenes a los que se les rechazó el check-in porque «había un registro antes que ellos con sus datos personales». Ante este hecho, la Policía Nacional hizo un análisis exhaustivo del Libro de Registro de Cliente, comprobando que no cumplía con la legislación en protección de datos y remitiendo un informe a la AEPD.

Un gesto muy común que no termina de convencer a la AEPD

Según se recoge en la resolución, la policía comprobó en el libro que «no existía anotación de los registros tratándose de hojas sueltas y con los DNI escaneados. También se constató que el establecimiento no realizaba la comunicación de tales registros a las fuerzas de seguridad, tal y como mandaba la legislación vigente». De esta manera se pudo ver que el apartahotel estaba recopilando una información excesiva de sus clientes, y sobre todo si no comunicaba su presencia a las FSE. Todo esto incumpliendo el artículo 5.1 c) del RGPD.

Y es que este artículo nos marca una regla fundamental en el tratamiento de datos personales: se deben recopilar únicamente los necesarios para los fines para los que son tratados, minimizando la cantidad de información que se recopila. Esto hace que para comunicar de la presencia de los clientes no hace falta recopilar por ejemplos los códigos de control que tenemos en el DNI físico.

La AEPD hace referencia a que si no comunican los datos a la FSE, no tienen por qué recopilar una gran cantidad de información personal. Pero además, la Orden INT/1922/2003 del 3 de julio sobre libro-registro y partes de entrada recoge la información que se debe recopilar por parte de los establecimientos hoteleros. Aquí detalla únicamente que se debe recoger el «número de DNI, tipo, fecha de expedición, nombre y apellidos, sexo, fecha de nacimiento, nacionalidad y fecha de entrada».

Esto hace que al recopilar el DNI en su conjunto con un escaneo, al que ya nos hemos acostumbrado sin tener que preguntar, se esté infringiendo la normativa en protección de datos al tratar en exceso datos personales que no son necesarios para la finalidad a la que se deben destinar. En concreto, este apartahotel va a tener que abonar una multa de 2.000 euros y también a tener que aplicar medidas correctoras para adecuar la gestión de datos personales de los clientes.