Categoría: Privacidad

Por Daniel Monastersky y Facundo Malaureille | Socios en Data Governance Latam

El día de ayer la Casa Blanca publicó un comunicado sobre un Marco de Acuerdo en negociación entre Argentina y Estados Unidos sobre comercio e inversión recíprocos. 

Para nosotros—especialistas en protección de datos—ese comunicado contiene algo que requiere una lectura más profunda. Escondida entre párrafos sobre mercados abiertos y reducción de barreras arancelarias, se encuentra esta frase:

«Argentina se ha comprometido a facilitar el comercio digital con Estados Unidos reconociendo a Estados Unidos como una jurisdicción adecuada bajo la ley argentina para la transferencia internacional de datos, incluyendo datos personales.»

Lo importante aquí no es lo que dice. Es lo que no dice. Es lo que aún puede decirse. Porque esto no es un acuerdo firmado. Es un Marco. Un proyecto. Una negociación en curso donde las palabras exactas, las condiciones específicas, y los mecanismos de protección aún pueden ser modificados.

Y esa es nuestra oportunidad.

Es una oportunidad que existe en este preciso momento, y que desaparecerá cuando se cierre la negociación. Sabemos cómo funciona esto. Hemos visto cómo los acuerdos internacionales evolucionan desde marcos genéricos a texto normativo final. 

Por eso escribimos esto ahora. No para criticar lo que existe. Para mejorar lo que aún está siendo construido.

Cualquier especialista en derecho internacional nota algo inmediatamente cuando lee el comunicado de la Casa Blanca dice que Argentina reconocerá a Estados Unidos como jurisdicción adecuada, pero no especifica qué organismos estadounidense, bajo qué legislación, con qué garantías.

Esta vaguedad no es accidental. Es estratégica. Los marcos de negociación son deliberadamente amplios, permitiendo que cada lado declare «victoria» interpretándolos de maneras diferentes. Pero precisamente por eso, es donde debemos actuar. Mientras la negociación está abierta, podemos presionar por precisión. Una vez que el marco se convierte en acuerdo final, esa precisión debería estar fijada en texto normativo vinculante.

Entonces: ¿qué debería significar «adecuado»?

Durante años, la comunidad de especialistas en protección de datos ha argumentado—correctamente—que Estados Unidos carece de una ley federal integral de protección de datos personales equivalente a nuestra Ley 25.326 o al GDPR europeo. Esos argumentos siguen siendo válidos. Pero mientras nos enfocábamos en lo que falta a nivel federal, sucedió algo sin precedentes en Estados Unidos: una revolución regulatoria a nivel estatal que cambió fundamentalmente el panorama.

En los últimos cinco años, seis estados estadounidenses—California, Colorado, Connecticut, Utah, Virginia y Montana—han aprobado leyes de protección de datos de carácter integral que, aunque diferentes a nuestro modelo, generan en ciertos aspectos niveles de protección tan robustos como los que Argentina ofrece a sus ciudadanos.

Esto no es opinión. Es verificable. Es documentable. Y mientras el Marco está siendo negociado, es precisamente el tipo de información que debería estar informando las decisiones de los negociadores argentinos.

Consideremos California. Cuando la California Consumer Privacy Act (CCPA) entró en vigor en enero de 2020, fue el primer intento estadounidense serio de crear un marco integral de protección de datos a nivel estatal. Pero California no se detuvo allí. En noviembre de 2020, los votantes aprobaron la California Privacy Rights Act (CPRA), expandiendo la protección inicial y creando una agencia dedicada exclusivamente a la privacidad: la California Privacy Protection Agency (CPPA).

¿Qué significa esto para un ciudadano argentino cuyos datos podrían fluir hacia California bajo este Marco? Significa acceso, rectificación, eliminación y portabilidad de datos. Significa supervisión activa por una autoridad independiente. Significa multas significativas por incumplimiento: hasta $2.500 por violación, o $7.500 si es intencional.

Pero California no es un caso aislado. Virginia aprobó su Consumer Data Protection Act en 2021. Colorado hizo lo propio en 2023. Connecticut, Utah, Montana también. Cada ley refleja los mismos principios fundamentales: transparencia, consentimiento, derechos de titulares, supervisión independiente, sanciones reales.

Aquí está el verdadero problema. El Marco actual, tal como está redactado, permitiría que Argentina reconozca como «adecuada» toda transferencia de datos a Estados Unidos sin distinción. Lo que significa que datos de ciudadanos argentinos transferidos a California—donde existe supervisión regulatoria robusta—serían equivalentes, en términos legales, a datos transferidos a Mississippi, donde no existe ley estatal de protección de datos y donde los ciudadanos están sujetos únicamente a regulaciones sectoriales fragmentadas.

Eso es impreciso. Eso es injusto. Y, lo más importante: ese es el tipo de error que se comete en marcos de negociación y luego se cristaliza en acuerdos finales que generan problemas durante años.

Estamos ante una oportunidad única: mientras el Marco aún está siendo negociado, podemos presionar por inclusión de lenguaje que refleje esta realidad. Que reconozca que Estados Unidos tiene heterogeneidad regulatoria. Que especifique qué jurisdicciones estadounidenses cumplen criterios de equivalencia. Que requiera garantías adicionales para transferencias a jurisdicciones sin protecciones equivalentes.

Una vez que se firme el acuerdo, sin esa precisión, habrá sido perdida la oportunidad.

Nuestra propuesta para la negociación

Lo que proponemos no es retrasar la negociación. Es mejorarla. Lo que proponemos es que los negociadores argentinos insistan en que el acuerdo final incluya disposiciones sobre cómo se operacionalizará ese reconocimiento de «adecuación.»

Específicamente:

1. Reconocimiento selectivo de jurisdicciones

El acuerdo debería especificar que Argentina reconoce como jurisdicciones adecuadas únicamente aquellos estados estadounidenses que cuentan con legislación integral de protección de datos personales. El listado inicial incluiría: California, Colorado, Connecticut, Utah, Virginia y Montana.

Esto no es restrictivo. Es verificable. Cada una de estas leyes está sancionada. Vigente. Supervisada por autoridades independientes. Son hechos objetivos, no opiniones.

2. Criterios de equivalencia claros

El acuerdo debería establecer criterios explícitos que cualquier ley estatal debe cumplir para ser reconocida. Estos criterios podrían reflejar exactamente lo que Argentina ya exige en su propia Ley 25.326:

• Reconocimiento de derechos fundamentales de titulares (acceso, rectificación, eliminación, portabilidad)
• Mecanismos de consentimiento previo para datos sensibles
• Supervisión por autoridades independientes
• Sanciones significativas por incumplimiento

3. Cláusula de revisión periódica

El acuerdo debería incluir un mecanismo mediante el cual, periódicamente (por ejemplo, cada dos años), se revise qué estados estadounidenses cumplen los criterios y, consecuentemente, sean reconocidos como adecuados. Esto crea incentivos para que estados sin protecciones las desarrollen.

4. Garantías para transferencias no adecuadas

Para transferencias a jurisdicciones estadounidenses sin marcos integrales de protección, el acuerdo debería requerir garantías adicionales verificadas por la autoridad argentina de datos: Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), o mecanismos equivalentes.

Esto no bloquea comercio. Lo hace más seguro. Crea un incentivo para que empresas estadounidenses con operaciones en estados sin protecciones busquen certificaciones o trasladen datos a estados con protecciones.

El precedente europeo: Cómo se hace esto correctamente

Para quienes dudan que esto es posible, existe un precedente cercano: la Unión Europea.

Cuando la Corte de Justicia de la Unión Europea dictaminó en Schrems II que el anterior marco de transferencias de datos con Estados Unidos era inadecuado, la UE no suspendió el comercio digital con EE.UU. Lo que hizo fue especificar: transferencias a ciertos estados, bajo ciertas garantías, con ciertos mecanismos de supervisión, son permitidas. Transferencias a otros lugares requieren protecciones adicionales.

¿Resultado? Comercio digital continuó. De hecho, se aceleró. Porque las empresas sabían exactamente qué podían hacer.

Argentina puede hacer exactamente lo mismo, ahora, mientras el Marco está siendo negociado.

Esta propuesta genera beneficios concretos para cuatro sectores:

Para los ciudadanos argentinos

Es lo más importante. Cuando un ciudadano argentino transfiere datos a una plataforma estadounidense, sabe exactamente qué nivel de protección legal los ampara. No es esperanza. Es precisión regulatoria verificable.

Para las empresas argentinas

Las empresas que exportan datos o servicios digitales a Estados Unidos hoy enfrentan incertidumbre legal absoluta. ¿Puedo transferir datos de clientes argentinos a California? ¿Y si es Texas? Bajo esta propuesta, las respuestas serían claras. Eso reduce costos legales. Eso acelera decisiones comerciales. Eso facilita negocio.

Para Argentina como jurisdicción

Argentina tiene reputación internacional como país que toma en serio la protección de datos. Hemos legislado desde 2000. Hemos desarrollado jurisprudencia. Hemos presentado denuncias formales contra corporaciones multinacionales. Esa reputación es un activo. Protegerla es estrategia de Estado.

Para la relación bilateral

Y hay un mensaje positivo para Estados Unidos: Argentina dice, reconocemos tus avances. Reconocemos a California, Colorado, Connecticut, Utah, Virginia, Montana. Reconocemos lo que realmente merece reconocimiento, no ficción regulatoria. Ese mensaje es maduro. Es profesional. Es la posición que toma una nación que respeta a su socio lo suficiente como para ser honesta.

Tenemos ahora la oportunidad de proponer que ese texto final incluya precisión sobre protección de datos. Una vez que se firma sin esa precisión, probablemente será demasiado tarde.

Esto requiere acción. No de nosotros como autores, sino de legisladores argentinos, de la AAIP, de legisladores que entienden que la protección de datos no es un obstáculo al comercio, sino su precondición.

Argentina está en posición de negociar un acuerdo que sea ambos: que abra mercados y proteja privacidad. Que sea comercialmente viable y legalmente riguroso. Que reconozca los avances en protección de datos en ciertos estados estadounidenses mientras requiere garantías adicionales en otros.

Eso no es un obstáculo al comercio.

Eso es comercio responsable. Y debería ser política de Estado.

---

Anexo: Marcos normativos de Protección de Datos en Estados Unidos

La propuesta de reconocimiento selectivo de jurisdicciones estadounidenses en el Marco se fundamenta en la existencia verificada de marcos legales robustos en seis estados. A continuación detallamos cada una de estas leyes con referencias a sus textos oficiales.

Estados con legislación integral de Protección de Datos

1. California – California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA)

• Vigencia: 1 de Enero, 2020 (CCPA); 1 de Enero, 2023 (CPRA)
• Autoridad de Aplicación: California Privacy Protection Agency (CPPA)
• Referencia Legal: Cal. Civ. Code §§ 1798.100 et seq.
• Sitio Oficial: https://cppa.ca.gov/
• Texto de Ley: https://oag.ca.gov/privacy/ccpa

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos; derecho a no ser discriminado por ejercer derechos de privacidad.

Mecanismos de supervisión: Agencia dedicada exclusivamente a privacidad con poder de investigación, auditoría y sanción. Sanciones de hasta $2.500 por violación o $7.500 por violación intencional.

2. Colorado – Colorado Privacy Act (CPA)

• Vigencia: 1 de Julio, 2023
• Autoridad de Aplicación: Colorado Attorney General
• Referencia Legal: C.R.S. § 6-1-1301 et seq.
• Sitio Oficial: https://coag.gov/resources/colorado-privacy-act/
• Texto de Ley: https://leg.colorado.gov/bills/sb21-190

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida; derecho a limitar uso de información sensible.

Mecanismos de supervisión: Supervisión por Attorney General con autoridad exclusiva de cumplimiento. Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $20.000 por violación.

3. Connecticut – Connecticut Data Privacy Act (CTDPA)

• Vigencia: 1 de Julio, 2023
• Autoridad de Aplicación: Connecticut Attorney General
• Referencia Legal: Conn. Gen. Stat. § 4-179a et seq.
• Sitio Oficial: https://portal.ct.gov/ag/sections/privacy/the-connecticut-data-privacy-act
• Texto de Ley: https://www.cga.ct.gov/2022/BA/2022SB-00006-R00HB-05511-BA.htm

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida. Protecciones especiales para datos de menores y datos de salud del consumidor.

Mecanismos de supervisión: Aplicación exclusiva por Attorney General. Período de gracia de 60 días para corrección de violaciones (hasta diciembre 31, 2024). Multas de hasta $5,000 por violación intencional.

4. Utah – Utah Consumer Privacy Act (UCPA)

• Vigencia: 31 de Diciembre, 2023
• Autoridad de Aplicación: Utah Attorney General / Division of Consumer Protection
• Referencia Legal: Utah Code § 13-61-101 et seq.
• Sitio Oficial: https://dcp.utah.gov/ucpa/
• Texto de Ley: https://le.utah.gov/~2022/bills/static/SB0227.html

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida. Consentimiento requerido para datos sensibles.

Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 30 días para corrección. Sanciones de hasta $7.500 por violación más daños reales al consumidor.

5. Virginia – Virginia Consumer Data Protection Act (VCDPA)

• Vigencia: Enero 1, 2023
• Autoridad de Aplicación: Virginia Attorney General
• Referencia Legal: Va. Code §§ 59.1-575—59.1-585
• Sitio Oficial: https://www.oag.state.va.us/consumer-protection
• Texto de Ley: https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos, publicidad dirigida, o profiling. Consentimiento requerido para datos sensibles.

Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 30 días para corrección. Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $7.500 por violación.

6. Montana – Montana Consumer Data Privacy Act (MTCDPA)

• Vigencia: Octubre 1, 2024
• Autoridad de Aplicación: Montana Attorney General
• Referencia Legal: Mont. Code Ann. § 30-14-1701 et seq.
• Sitio Oficial: https://doj.mt.gov/
• Texto de Ley: https://archive.legmt.gov/bills/2023/billpdf/SB0384.pdf

Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o publicidad dirigida; derecho a revocar consentimiento. Consentimiento requerido para datos sensibles y datos de menores.

Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 60 días para corrección (hasta el 1ero de abril, 2026). Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $7.500 por violación. Mecanismo universal de opt-out obligatorio.

Qué debería Incluir el marco negociado

Para que el acuerdo final sea legalmente riguroso y protector de derechos fundamentales, debería incluir:

1. Listado específico de jurisdicciones estadounidenses reconocidas como adecuadas, identificando la legislación específica vigente en cada una.
2. Criterios de equivalencia que cualquier nueva legislación estatal debe cumplir para ser reconocida.
3. Mecanismo de revisión periódica (ej. cada dos años) para actualizar el listado de jurisdicciones adecuadas conforme nuevos estados legislen protecciones equivalentes.
4. Requisitos para transferencias no adecuadas especificando qué garantías adicionales (SCC, BCR, etc.) se requieren para transferencias a jurisdicciones estadounidenses sin marcos integrales.
5. Disposición sobre autoridad regulatoria indicando que la AAIP de Argentina tendrá capacidad de verificar y certificar cumplimiento.

---

Nota de los autores

Este artículo ha sido escrito específicamente para contribuir al debate sobre la negociación del Marco del Acuerdo entre Argentina y EE.UU., con el objetivo de que consideraciones sobre protección de datos se incluyan en la redacción final del acuerdo.

Por Facundo Malaureille – Socio en www.datagovernancelatam.com

La acelerada expansión de la inteligencia artificial (IA) en todos los ámbitos de la vida social, económica y estatal plantea desafíos sin precedentes para la protección de los derechos fundamentales. Entre ellos, el derecho a la privacidad y a la protección de los datos personales ocupa un lugar central. En este contexto, resulta indispensable contar con un marco normativo actualizado, sólido y coherente en materia de datos personales, como condición previa para avanzar hacia una regulación específica de la IA.

La experiencia europea ofrece una referencia clara en este sentido. La Unión Europea consolidó primero un régimen integral de protección de datos a través del Reglamento General de Protección de Datos (RGPD), que estableció principios, derechos y obligaciones aplicables tanto al sector público como al privado. Este marco no solo fortaleció la confianza de los ciudadanos en el tratamiento de sus datos, sino que también generó seguridad jurídica para las empresas e instituciones que desarrollan o utilizan tecnologías digitales.

Sobre esa base, la Unión Europea pudo avanzar en una regulación específica de la inteligencia artificial —el Reglamento de IA (AI Act)—, que reconoce distintos niveles de riesgo y establece obligaciones proporcionadas según el impacto de cada sistema. La existencia previa de un régimen robusto de protección de datos personales fue clave para definir las garantías, responsabilidades y mecanismos de control del uso de la IA, evitando contradicciones normativas y asegurando coherencia en la protección de derechos.

En Argentina, la Ley 25.326 de Protección de los Datos Personales, sancionada en el año 2000, fue pionera en la región, pero hoy muestra signos claros de desactualización frente al nuevo ecosistema digital. Conceptos como la toma de decisiones automatizadas, la portabilidad de datos, el tratamiento masivo en entornos de IA o la supervisión algorítmica no cuentan con una regulación específica ni con salvaguardas suficientes.

Por ello, actualizar la legislación de protección de datos personales debe ser un paso prioritario y urgente, no solo para alinearnos con estándares internacionales como el RGPD, sino también para sentar las bases jurídicas y éticas que permitan luego abordar, con rigor y legitimidad, una ley específica sobre inteligencia artificial.

Un marco moderno de protección de datos permitirá:
• Asegurar la transparencia, explicabilidad y rendición de cuentas en los sistemas de IA.
• Proteger los derechos de los ciudadanos frente a decisiones automatizadas o perfiles algorítmicos.
• Fomentar la innovación responsable, garantizando un entorno de confianza.
• Fortalecer el rol de la autoridad de control, dotándola de herramientas efectivas de supervisión.

La inteligencia artificial ofrece oportunidades extraordinarias, pero también exige un andamiaje normativo progresivo y coherente. Primero, debemos garantizar que los datos sobre los cuales se entrena y opera la IA sean tratados bajo estándares actualizados de protección y ética. Solo así podremos avanzar hacia una regulación de la IA que sea eficaz, legítima y centrada en las personas.

Por Daniel Monastersky – www.danielmonastersky.com

Argentina ha legalizado, sin proponérselo deliberadamente pero con plena conciencia de las consecuencias, un sistema de explotación masiva de datos personales. No es teoría conspirativa. Es hecho documentado que sucede en escala industrial todos los días, y tenemos pruebas concretas de esto en acciones legales que hemos tenido que interponer contra corporaciones que operan exactamente bajo este vacío normativo.

Empresas de data brokerage recopilan información sobre vos de cientos de fuentes: tus registros de transacciones, tus movimientos bancarios, tus búsquedas en línea, tu historial de compras, tus movimientos físicos registrados a través de geolocalización. Luego venden esos datos a quien pague. Reclutadores que quieren saber si eres empleable. Instituciones financieras que quieren calcular si eres «riesgoso». Aseguradoras que quieren predecir cuánto pagarás en servicios. Políticos que quieren saber cómo influenciarte.

Y vos no tenés derecho legal a saber que esto está sucediendo. No tenés derecho a acceder a ese perfil. No tenés derecho a corregir información falsa. No tenés derecho a decir que no.

Esa ausencia de derechos no es accidental. Es producto directo de una ley que fue redactada cuando esto era imposible de imaginar.

Argentina no solo tolera este sistema: lo facilita activamente mientras nosotros presentamos denuncias contra corporaciones que operan en la penumbra regulatoria.

Tomá Worldcoin como ejemplo. Una empresa que llegó a Argentina con un modelo de negocio basado en recopilar datos biométricos extremadamente sensibles: tu iris. Tu identidad retiniana. Información que es más única que tu huella dactilar, más inmutable que cualquier documento. ¿Y sabe qué? Bajo nuestra ley, lo hacen sin que vos tengas derecho explícito a saber la dimensión completa de lo que está siendo recopilado, sin mecanismos para decir que no, sin protecciones claras si esa información es mal utilizada.

Worldcoin fue prohibida en Alemania. Prohibida en Colombia. País tras país está diciendo no. Porque otros gobiernos reconocieron lo que Argentina tardó en entender: que recopilar datos biométricos de la población sin protecciones claras es violación sistemática de derechos fundamentales. Fui yo mismo quien presenté la denuncia ante el regulador argentino en agosto de 2024, quien documentó el funcionamiento de esta empresa, quien expuso públicamente lo que estaba sucediendo bajo cobertura de legislación obsoleta.

Mientras Alemania y Colombia protegen a sus ciudadanos, Argentina sigue permitiendo que máquinas de escaneo de iris operen en nuestras calles.

Meta es otro caso. Facebook, Instagram, WhatsApp. Plataformas que construyeron imperios multimillonarios sobre tu información personal. Saben dónde vivís, a quién conocés, qué comprás, qué te asusta, qué te atrae, qué crees políticamente. Y bajo nuestra ley, lo hacen sin que vos tengas derecho explícito a saber la dimensión completa de lo que está siendo recopilado, sin mecanismos para decir que no, sin protecciones claras si esa información es mal utilizada. Nuevamente: tuvimos que presentar denuncias contra prácticas que nuestro propio ordenamiento jurídico permitía.

Ese derecho—el derecho a ser informado cuando tu información es comprometida—no podemos hacerlo valer en Argentina. No existe en nuestra normativa. No está protegido. No hay mecanismo que obligue al Estado o a las corporaciones a decirte: tu información fue expuesta. Tenés que saberlo. Tenés que poder actuar.

En Europa, es obligatorio. Tienen hasta 72 hs. Eso es lo máximo que pueden guardar silencio. Setenta y dos horas y después deben notificar. En Brasil, es obligatorio. En prácticamente cualquier democracia seria, es obligatorio. Pero en Argentina, Las organizaciones y empresas pueden guardar silencio mientras millones de ciudadanos permanecen ignorantes de que fueron víctimas de violación de privacidad masiva.

Estos no son casos aislados. Son síntomas del mismo tumor: una legislación que permite que corporaciones extranjeras y entidades estatales operen sobre datos de ciudadanos argentinos sin restricciones claras, sin sanciones reales, sin mecanismos de reclamo efectivos. Mientras el mundo avanza, nosotros permanecemos atrapados en el pasado legal permitiendo que suceda lo que otros países ya prohibieron hace años.

Nos dicen que esto es inevitable. Que es «el precio de internet». Que si querés servicios digitales, tenés que aceptar que te monitoreen. Que si no te gusta, no uses redes sociales.

Es una gran mentira que dicen por ahí para justificar lo injustificable.

Otros países rechazaron ese argumento hace años. Europa dijo: no. Los datos son de la persona. Si querés usarlos, necesitas permiso expreso. Brasil dijo: no. Tenés que ser claro sobre qué recopila, por qué lo recopila, y quién tiene acceso y como. Tenés que notificar si hay brechas. Chile, Uruguay, Colombia: todos dijeron no a la explotación sistemática.

Argentina, en cambio, sigue diciendo sí. Sigue permitiendo que corporaciones construyan perfiles económicamente valiosos sobre ciudadanos sin que esos ciudadanos tengan poder de veto, poder de acceso, poder de corrección.

Todos sabemos a esta altura que nuestra privacidad está protegida constitucionalmente. Pero la ley específica que debería hacerla efectiva en contexto digital fue escrita hace un cuarto de siglo.

Las empresas saben esto. Lo explotan deliberadamente. ¿Por qué? Porque el costo de violar tus derechos es prácticamente nulo. No hay sanciones significativas. No hay autoridad que las investigue sistemáticamente porque no tiene el enforcement para hacerlo, no tienen presupuesto, están casi atados de brazos. No hay mecanismos para que vos reclames. El resultado: actúan con impunidad calculada.

Una empresa recopila tus datos ilegalmente—en términos de lo que debería ser ilegal, pero que bajo nuestra ley es perfectamente legal. Vos descubrís. Presentás reclamo ante la autoridad regulatoria. La autoridad, con recursos limitados, tarda meses en responder. Mientras tanto, tus datos ya fueron vendidos a docenas de terceros y nunca sabrás a quién, para qué, con qué consecuencias.

Eso es el sistema que permitimos que funcione.

¿Quién se beneficia de que Argentina permanezca regulatoriamente ciega frente a esto?

No es misterio. Son empresas que construyeron modelos de negocios basados en la venta y explotación de nuestros datos. Lucran vendiendo acceso a datos sobre vos. Son sistemas publicitarios que dependen de perfiles detallados. Todos tienen interés financiero en que Argentina no actualice esta ley. Hoy estamos en la era de la hiper-personalizacion.

¿Y quién pierde? Vos. Todos nosotros.

Perdés oportunidades laborales porque un algoritmo alimentado por datos incompletos o incorrectos sobre vos—datos que ni siquiera sabías que existían—decidió que no eres candidato. Perdés acceso a servicios financieros porque una puntuación de riesgo basada en vigilancia de tus movimientos decidió que eres demasiado riesgoso. Perdés libertad política porque algoritmos construidos a partir de datos sobre vos pueden predecirte, manipularte, dirigirse a vos con precisión quirúrgica.

Y lo más grave: perdés la capacidad de elegir quién tenés derecho a ser, porque esa elección está siendo hecha por máquinas que analizan información sobre vos que ni siquiera sabés que existe. Información que circula en bases de datos sin que tengas derecho a saber qué dicen, sin que tengas poder para corregirla si es falsa, sin que tengas opción de rechazar su recopilación.

En una democracia genuina, los datos sobre ciudadanos no son commodity para ser vendidos al mejor postor. Son información sobre personas que poseen derechos fundamentales sobre esa información.

Una verdadera reforma significaría: vos tenés derecho absoluto a saber. No «en diez días si presentás un derecho de acceso». Significa acceso real, completo, comprensible. Todas las empresas que recopilan datos sobre vos deben poder identificarse y explicar qué tienen, por qué lo tienen, a quién se lo vendieron.

Cuando una empresa viola estos derechos—como Worldcoin hizo, como Meta hace, no es una «multa administrativa menor». Multas proporcionales al ingreso global de la empresa infractora. Responsabilidad personal para ejecutivos que autorizan violaciones. Autoridad regulatoria con poder real de investigar, sancionar, y ordenar cambios operacionales.

Eso es lo que otros países implementaron. Eso es lo que Argentina rechaza deliberadamente seguir permitiendo.

Se te dirá que la reforma está «en proceso». Que hay «debate multisectorial». Que los «expertos están trabajando en ello». Todo verdadero. Todo también completamente insuficiente.

Porque mientras «debatimos», millones de argentinos están siendo perfilados sin consentimiento. Mientras «trabajamos en propuestas», datos sobre vos se venden a terceros desconocidos. Mientras «construimos consenso», sistemas automatizados toman decisiones sobre tu acceso a oportunidades basadas en vigilancia que vos ni autorizaste.

Tuvimos que presentar denuncias contra Worldcoin porque el «debate» no detuvo la recopilación de datos biométricos. Tuvimos que presentar denuncias contra Meta porque el «consenso» no frenó la explotación de información personal.

El debate es escudo para la inacción. El «consenso» es excusa para no decidir. Los «expertos trabajando» es distracción mientras el daño continúa exponencialmente.

Lo que falta es voluntad política. Voluntad de decidir que los derechos de ciudadanos importan más que conveniencia de corporaciones. Eso es lo único que realmente falta. Y la evidencia de esa falta de voluntad está en cada denunciación que presentamos que permanece sin resolver, en cada corporación que continúa operando mientras nosotros litigamos, en cada dato tuyo que se vende, en cada brecha que sucede y es negada mientras millones de argentinos permanecen en la ignorancia.

Argentina está apostando que vos no vas a entender lo que sucede hasta que sea demasiado tarde. Que vas a seguir usando servicios digitales sin darte cuenta de quién más te está usando a vos. Que no vas a presionar para cambiar las cosas porque la violación es invisible.

Es apuesta que probablemente ganen si continuamos permitiendo que esto suceda en la oscuridad legal.

Pero hay alternativa. Existe. Otros países la eligieron. Argentina puede elegirla. Requiere que ciudadanos entiendan qué está siendo negado. Que empresas entiendan que operan en zona gris insostenible. Que legisladores entiendan que modernizar protección de datos no es favor a corporaciones sino obligación con ciudadanos.

La pregunta no es si Argentina puede modernizar su ley de protección de datos. Puede. La pregunta es si va a permitir que eso suceda antes de que toda una generación crezca creyendo que la explotación de datos biométricos y la venta de perfiles es cómo funciona el mundo.

Porque va a llegar el momento en que descubramos que fuimos nosotros mismos quienes permitimos que normalizaran nuestra explotación. Que fuimos nosotros quienes nos quedamos callados mientras Worldcoin recopilaba el iris en nuestras calles mientras otros países ya decían no y mientras Meta construía imperios sobre información que nos pertenece.

Y entonces será demasiado tarde para reclamar el derecho que nunca defendimos.

La batalla ya está ocurriendo. Nosotros la estamos librando denunciando corporaciones, presentando casos. Pero no es suficiente que la batalla la libremos abogados y activistas digitales. La tenés que librar vos también.

Solo que vos no sabés todavía que estás en ella.

Por Daniel Monastersky y Facundo Malaureille 

DGL | Data Governance Latam

La Autoridad Nacional de Protección de Datos de Brasil (ANPD) y la Agencia de Acceso a la Información Pública de Argentina (AAIP) firmaron un Memorando de Entendimiento (MOU) que marca un punto de inflexión en la cooperación regional en materia de privacidad. Este acuerdo, suscrito por Waldemar Gonçalves y Beatriz Anchorena respectivamente, representa mucho más que un documento diplomático: es una declaración de principios sobre cómo Sudamérica abordará los desafíos de la era digital.

La aproximación entre Brasil y Argentina no es casual. Los lazos económicos, políticos, históricos y culturales, sumados a la proximidad geográfica y al hecho de que Argentina es el tercer principal socio comercial de Brasil, convierten esta alianza en una necesidad estratégica . En un continente donde las fronteras digitales se difuminan constantemente, la protección coordinada de datos personales deja de ser una opción para convertirse en un imperativo.

La fragmentación regulatoria solo beneficia a quienes buscan explotar las brechas legales entre jurisdicciones.

El Memorando establece mecanismos de asistencia mutua y cooperación técnica, regulatoria y fiscalizatoria en materia de privacidad y protección de datos personales . Aunque se trata de un instrumento no vinculante —es decir, no crea obligaciones legales directas— su valor radica en construir una base institucional sólida para la colaboración sistemática.

Las áreas de cooperación son particularmente relevantes para los desafíos contemporáneos: transferencias internacionales de datos, consultas públicas y el sandbox regulatorio en inteligencia artificial . Estos no son temas abstractos. Hablamos de proteger la información de millones de ciudadanos que utilizan servicios digitales binacionales, de garantizar que las empresas que operan en ambos países cumplan estándares consistentes, y de regular proactivamente tecnologías emergentes como la inteligencia artificial antes de que los daños sean irreversibles.

El acuerdo contempla el intercambio de experiencias en reglamentación y fiscalización, el compartir información sobre investigaciones en curso, la realización de fiscalizaciones conjuntas, el apoyo mutuo en investigaciones, y el desarrollo de programas de educación, capacitación e investigación conjuntos. Cada uno de estos componentes representa una pieza fundamental para construir un ecosistema digital más seguro y transparente.

Este acuerdo trasciende la relación bilateral entre Brasil y Argentina. Según Waldemar Gonçalves, la formalización de esta alianza refuerza la actuación de la ANPD en el escenario internacional y fortalece la credibilidad de la Ley General de Protección de Datos (LGPD) brasileña tanto en Brasil como en otros países donde existe entendimiento o armonización legal .

Lo que estamos presenciando es el nacimiento de un bloque regional de protección de datos que puede servir como modelo para el resto de Sudamérica. En un continente históricamente fragmentado en materia regulatoria, la convergencia entre las dos mayores economías de la región envía una señal poderosa: la protección de datos no es un lujo del primer mundo, sino un derecho fundamental que debe defenderse colectivamente.

La armonización regulatoria entre Brasil y Argentina puede catalizar efectos en cascada. Otros países de la región enfrentan presiones similares: flujos de datos transfronterizos, empresas tecnológicas multinacionales que operan con impunidad relativa, y ciudadanos cada vez más conscientes de sus derechos digitales. Un marco cooperativo exitoso entre Brasil y Argentina puede convertirse en el estándar regional, facilitando la integración económica digital y protegiendo simultáneamente a los ciudadanos.

La naturaleza no vinculante del Memorando plantea interrogantes legítimos sobre su efectividad. Sin obligaciones legales directas, la implementación dependerá de la voluntad política sostenida, los recursos institucionales disponibles, y la capacidad de ambas agencias para traducir intenciones en acciones concretas.

Las fiscalizaciones conjuntas, por ejemplo, requieren protocolos operativos detallados, coordinación interinstitucional compleja, y posiblemente marcos legales adicionales para el intercambio de información sensible. La capacitación conjunta debe superar no solo diferencias idiomáticas menores, sino también tradiciones jurídicas y culturas regulatorias distintas.

Sin embargo, estos desafíos no deben minimizar el valor del acuerdo. Los instrumentos no vinculantes frecuentemente son el primer paso hacia compromisos más profundos. Establecen canales de comunicación, construyen confianza institucional, y permiten experimentar con mecanismos de cooperación antes de formalizarlos en tratados vinculantes.

Para que este acuerdo cumpla su potencial transformador, se requieren varios elementos:

Institucionalización de la cooperación: Los mecanismos de coordinación deben trascender las buenas intenciones para convertirse en procedimientos operativos estándares. Reuniones regulares, puntos de contacto designados, y protocolos claros de intercambio de información son esenciales.

Expansión progresiva: Brasil y Argentina deben invitar activamente a otros países sudamericanos a sumarse a este marco cooperativo. Uruguay, Chile, Colombia y Perú tienen marcos de protección de datos cada vez más sofisticados y se beneficiarían enormemente de la coordinación regional.

Recursos adecuados: La cooperación internacional requiere inversión. Ambas agencias necesitan presupuestos suficientes para personal especializado, sistemas tecnológicos compatibles, y programas de capacitación continua.

Transparencia y participación ciudadana: Los ciudadanos de ambos países deben poder monitorear el progreso de esta cooperación y participar en su diseño. La protección de datos no es un asunto exclusivamente técnico o burocrático; es fundamentalmente democrático.

Adaptabilidad tecnológica: Las tecnologías emergentes —inteligencia artificial generativa, blockchain, computación cuántica— plantearán desafíos regulatorios que no podemos anticipar completamente. El marco cooperativo debe ser lo suficientemente flexible para evolucionar con el paisaje tecnológico.

Este acuerdo entre Brasil y Argentina no es el punto final, sino el punto de partida. Representa el reconocimiento de que en la era digital, la soberanía nacional en materia de datos es una ficción peligrosa. La información fluye sin respetar fronteras, y nuestra protección legal debe ser igualmente fluida y coordinada.

Como profesionales del derecho, tecnólogos, legisladores y ciudadanos, tenemos la responsabilidad de exigir que este MOU se traduzca en protecciones concretas. Debemos monitorear su implementación, demandar transparencia en su ejecución, y presionar para su expansión a otros países de la región.

Podemos continuar con enfoques fragmentados que dejan a nuestros ciudadanos vulnerables ante corporaciones transnacionales y actores maliciosos, o podemos construir colectivamente un ecosistema digital que ponga los derechos fundamentales en el centro. Brasil y Argentina han dado el primer paso. Ahora corresponde a toda la región sostener y amplificar este impulso.

Este acuerdo es una oportunidad qu e no podemos desperdiciar.

Fuente: https://www.gov.br/anpd/pt-br/assuntos/noticias/aaip-da-argentina-e-ponte-estrategica-para-anpd-consolidar-atuacao-na-america-do-sul

Por Daniel Monastersky

La Superintendencia de Industria y Comercio de Colombia acaba de ordenar el cierre inmediato y definitivo de WorldCoin. No fue una multa. No fue una advertencia. Fue un cierre total, acompañado de la orden de eliminar todos los datos biométricos recolectados. La razón es tan simple como devastadora: WorldCoin recolectaba información biométrica sin consentimiento informado válido, violando sistemáticamente la Ley 1581 de protección de datos personales colombiana.

Esta decisión debería mantener despiertos a los reguladores argentinos. No porque WorldCoin sea un problema específico de Colombia, sino porque expone algo mucho más grave: la existencia de un estándar regulatorio en nuestra región que Argentina sistemáticamente no está cumpliendo.

Colombia identificó exactamente lo que hemos estado documentando en Argentina durante un año: fallas sistemáticas en los mecanismos de consentimiento informado, ausencia de autorización válida, y deficiencias fundamentales en la información suministrada a los titulares de datos. La SIC no dudó. Actuó con autoridad regulatoria clara, estableciendo un límite infranqueable.

Mientras tanto, en Argentina, Meta continúa recopilando datos personales de millones de usuarios sin consentimiento informado real. La compañía utiliza esos datos para entrenar sistemas de inteligencia artificial, modifica sus políticas unilateralmente, y responde a los requerimientos formales de la AAIP con evasivas corporativas que simplemente no responden preguntas sustanciales. Un año completo de incumplimiento. Un año completo de violaciones. Un año completo sin que se haya tomado una medida equivalente a la que Colombia acaba de implementar.

La pregunta que surge es incómoda pero inevitable: ¿por qué Meta cerró en Colombia pero continúa operando sin consecuencias en Argentina?

La acción de la SIC no es un caso aislado de firmeza regulatoria. Es la demostración de que existen marcos legales suficientes para proteger a los ciudadanos. Es la prueba de que cuando un regulador actúa con autoridad, incluso las corporaciones tecnológicas más poderosas del planeta se rinden. Porque eso es lo que hizo Meta: se rindió. No negoció extensiones. No pidió plazos adicionales. Cerró operaciones.

Esto establece un precedente regional crucial. Si Meta cedió ante Colombia, es porque entendió que enfrentaba un regulador serio. Que el juego había terminado. Que la protección de datos personales no era negociable en ese país.

Entonces surge la pregunta complementaria: ¿qué comunica al mercado la falta de una respuesta equivalente en Argentina? Comunica exactamente lo opuesto. Comunica que en Argentina, las corporaciones pueden violar sistemáticamente las leyes de protección de datos. Que los requerimientos regulatorios son sugerencias, no mandatos. Que existen diferentes estándares según la compañía y según el regulador.

Argentina cuenta con la Ley 25.326 de Protección de Datos Personales, una normativa sólida que establece principios claros: consentimiento previo e informado, limitación de uso, transparencia, y garantías especiales para datos sensibles. Estos principios no son menos rigurosos que los de Colombia. La diferencia no radica en lo que dice la ley. Radica en la disposición institucional de hacerla cumplir.

La decisión de la SIC colombiana identificó específicamente qué violaciones cometió WorldCoin: ausencia de autorización válida, fallas en los mecanismos de consentimiento, información insuficiente a los titulares de datos. Ahora bien, Meta comete exactamente las mismas violaciones en Argentina. Recopila datos sin consentimiento informado real. Modifica los términos de servicio unilateralmente. No proporciona información clara sobre cómo serán utilizados los datos. No facilita mecanismos accesibles para que los usuarios rechacen nuevos usos de sus datos.

La normativa argentina permite sancionar exactamente estos incumplimientos. Entonces la pregunta no es si existe base legal para actuar. Es si existe voluntad política de hacerlo.

Lo que expone la acción colombiana es un patrón que se extiende más allá de Meta o WorldCoin. Es un patrón donde Argentina se ha convertido en un territorio permisivo para corporaciones que buscan operar con estándares más bajos de protección de datos. Otras jurisdicciones actúan. Otros reguladores cierran operaciones. Otros países establecen límites claros. Argentina emite requerimientos que son ignorados sin consecuencias reales.

Esta vulnerabilidad no es accidental. Es el resultado de decisiones institucionales. Es el resultado de priorizar el desarrollo tecnológico y la inversión extranjera por sobre la protección de derechos fundamentales. Es el resultado de tratar a las corporaciones tecnológicas con una deferencia que nunca se extiende a otros actores económicos.

Cuando una empresa de servicios financieros viola leyes de protección al consumidor, enfrenta sanciones inmediatas. Cuando una compañía de telecomunicaciones incumple regulaciones, el regulador actúa. Pero cuando Meta o WorldCoin violan derechos fundamentales relacionados con datos personales, la respuesta institucional es proporcionalmente tibia, extendida en el tiempo, y frecuentemente sin efectos disuasivos.

La acción de Colombia establece un estándar que Argentina debe replicar urgentemente. No se trata simplemente de imponer multas o exigir cambios de política. Se trata de establecer líneas rojas claras que, cuando son cruzadas, resultan en cierre de operaciones. Se trata de demostrar que un país tiene la disposición institucional de defender los derechos de sus ciudadanos incluso a costa de perder inversión extranjera o acceso a tecnología.

Esto requiere varias cosas. Primero, que los reguladores argentinos, particularmente la AAIP, utilicen plenamente las herramientas que la ley les confiere. Segundo, que las instancias de apelación y revisión judicial sostengan esas decisiones regulatorias. Tercero, que el poder ejecutivo y legislativo respalden públicamente estas acciones, enviando señales claras de que la protección de datos personales no es negociable.

Colombia lo hizo. Cerró operaciones. Ordenó la eliminación de datos. Prohibió expresamente que vuelvan a operar puntos de recolección. No fue ambiguo. No fue gradual. Fue definitivo.

La ventana de oportunidad para Argentina no permanecerá abierta indefinidamente. Cada día que pasa sin una respuesta regulatoria equivalente a la de Colombia, más datos son procesados sin autorización real. Más usuarios son vulnerados. Más precedentes se establecen en la dirección equivocada. Se refuerza la creencia de que en Argentina, la protección de datos personales es una aspiración legal, no una realidad institucional.

La noticia de WorldCoin debe funcionar como un catalizador. Como una demostración de que es posible actuar. Como una prueba de que existen reguladores en nuestra región dispuestos a priorizar los derechos fundamentales por sobre las conveniencias corporativas. Como un llamado urgente a que Argentina alinee su acción regulatoria con su normativa legal.

No se trata de ser hostil con la inversión tecnológica. Se trata de establecer que toda inversión, sin excepción, debe cumplir con las leyes que protegen los derechos fundamentales. Se trata de crear un mercado donde la competencia se desarrolla sobre bases equitativas, donde todas las empresas están sujetas a los mismos estándares de protección.

Colombia ha mostrado que eso es posible. Que es viable. Que es políticamente factible. Ahora Argentina debe decidir si está dispuesta a seguir ese camino, o si prefiere continuar siendo un país donde las corporaciones tecnológicas operan en un espacio de menor accountability. Donde existe una brecha entre lo que la ley dice y lo que las instituciones están dispuestas a hacer cumplir.

Ese tiempo de decisión es ahora. Porque mientras Argentina delibera, Meta continúa procesando datos. Y cada día que pasa es un día en el que los derechos de millones de ciudadanos no están siendo protegidos de la manera que la ley requiere, y que nuestras instituciones deberían garantizar.

Por Daniel Monastersky

Hace apenas un mes, una pequeña cava de vinos en Palermo descubrió algo inquietante: cuando los clientes preguntaban a ChatGPT o Claude sobre bodegas locales para comprar vinos premium, su negocio jamás aparecía en las recomendaciones. Mientras tanto, competidores con historiales cuestionables de protección al consumidor dominaban las respuestas de estos asistentes de inteligencia artificial. La dueña me contactó alarmada: “Si no existo para los LLMs, ¿todavía existo para mis clientes?”

Esta pregunta, aparentemente simple, revela una transformación silenciosa pero radical en la forma en que accedemos a información, tomamos decisiones y, fundamentalmente, en cómo nuestros datos personales y comerciales circulan en el ecosistema digital.

Un territorio inexplorado en el mapa digital

Durante décadas, entendimos las reglas del juego digital. Google y otros buscadores operaban con algoritmos que, aunque complejos, seguían principios relativamente transparentes: palabras clave, enlaces, autoridad de dominio. Surgió toda una industria —el SEO— dedicada a optimizar la visibilidad en estos buscadores. Las empresas podían medir su tráfico, entender de dónde venían sus visitantes, y ajustar estrategias en consecuencia.

Pero los Modelos de Lenguaje de Gran Escala —esos LLMs que hoy consultamos como si fueran oráculos digitales— operan bajo reglas completamente diferentes. No indexan páginas web de manera tradicional. No muestran diez enlaces azules. En su lugar, generan respuestas conversacionales que sintetizan información de múltiples fuentes, a menudo sin citar explícitamente de dónde proviene cada dato.

Y aquí comienza el verdadero problema: ¿cómo sabe una empresa si está siendo mencionada por un LLM? ¿Cómo puede influir en esas menciones? Y, más importante aún, ¿qué información sobre esa empresa —y potencialmente sobre sus clientes— están utilizando estos sistemas para generar sus respuestas?

La emergencia de una nueva industria: Midiendo lo invisible

Ya han comenzado a aparecer empresas especializadas en medir el “tráfico LLM” —una métrica que hasta hace poco ni siquiera existía en nuestro vocabulario. Estas compañías prometen rastrear cuántas veces tu negocio aparece en respuestas de ChatGPT, Claude, Gemini u otros asistentes de IA. Otras ofrecen consultoría en “GEO” (Generative Engine Optimization), el equivalente moderno del SEO, pero adaptado a esta nueva realidad.

En principio, suena razonable. Las empresas necesitan adaptarse a cómo las personas buscan información hoy. Pero esta nueva industria trae consigo preguntas inquietantes que deberíamos hacernos antes de subir al tren sin frenos:

Primera pregunta crítica: ¿Qué datos están recopilando estas empresas para “medir” tu presencia en LLMs? Si una consultora te promete optimizar tu visibilidad en respuestas de IA, necesitará acceder a información sobre tu negocio, tus clientes, tus estrategias. ¿Bajo qué marco de protección de datos operan? ¿Dónde almacenan esa información? ¿Con quién la comparten?

Segunda pregunta esencial: Los LLMs se entrenan con vastas cantidades de datos extraídos de internet. Muchos de esos datos incluyen información personal: reseñas de clientes con nombres reales, comentarios en redes sociales, artículos de prensa que mencionan individuos específicos. Cuando una empresa busca “rankear mejor” en LLMs, está efectivamente pidiendo que su información —y potencialmente la de sus clientes— tenga mayor prominencia en estos sistemas. ¿Hemos analizado las implicancias de privacidad de esto?

Los riesgos ocultos en la optimización para LLMs

Permíteme ilustrar con un caso concreto. Un estudio jurídico boutique contrató servicios de optimización GEO. La consultora recomendó publicar masivamente “casos de éxito” en diversas plataformas para que los LLMs tuvieran más material para “aprender” sobre el estudio. El problema: varios de esos casos involucraban información sensible de clientes que, aunque pública en expedientes judiciales, nunca había sido difundida activamente. Al hacerlo, el estudio amplificó inadvertidamente la exposición de datos personales de sus propios clientes en el ecosistema de entrenamiento de IA.

Este no es un caso aislado. Es una demostración de cómo la búsqueda de visibilidad digital puede colisionar frontalmente con principios fundamentales de protección de datos:

Principio de minimización de datos: La Ley de Protección de Datos Personales en Argentina (Ley 25.326) establece que solo deben recopilarse datos adecuados, pertinentes y no excesivos. ¿Cómo reconciliamos esto con estrategias que buscan maximizar la presencia de información en internet para alimentar LLMs?

Consentimiento informado: ¿Tus clientes consintieron que su información fuera utilizada para entrenar modelos de IA? ¿Entendían que sus reseñas o comentarios podrían terminar siendo sintetizados en respuestas a consultas de terceros? Probablemente no.

Derecho al olvido: Si un cliente solicita la eliminación de sus datos personales, ¿cómo se ejecuta ese derecho cuando esa información ya forma parte del “conocimiento” de un LLM? Los modelos actuales no pueden simplemente “desaprender” información específica sin ser reentrenados completamente.

Ciberseguridad: El nuevo vector de ataque

Pero los riesgos van más allá de la privacidad. La carrera por rankear en LLMs abre vectores de ciberseguridad que apenas estamos comenzando a comprender.

Considerá este escenario: un atacante crea cientos de sitios web falsos con información fraudulenta sobre tu empresa, diseñados específicamente para ser indexados por LLMs. Estos sitios publican “reseñas” negativas, datos de contacto incorrectos, o peor aún, vínculos a sitios de phishing que se hacen pasar por tu negocio. Cuando usuarios consultan a un LLM sobre tu empresa, el modelo sintetiza esta información contaminada junto con datos legítimos, generando respuestas que dañan tu reputación o ponen en riesgo a tus clientes.

Esto ya está ocurriendo. Se llama “prompt injection” o “contaminación de datos de entrenamiento”, y es exponencialmente más difícil de detectar y combatir que el tradicional SEO negativo, porque opera en la opacidad de cómo los LLMs procesan y sintetizan información.

Las empresas de consultoría GEO, en su afán de “posicionar” a sus clientes, pueden inadvertidamente amplificar estos riesgos al publicar información en múltiples plataformas sin verificación rigurosa, creando más superficie de ataque para actores maliciosos.

La falla sistémica: Regulación en el vacío

Aquí llegamos al núcleo del problema: estamos aplicando estrategias de marketing digital del siglo XXI a tecnologías del siglo XXI avanzado, pero con marcos regulatorios y de seguridad del siglo XX.

La Ley de Protección de Datos Personales argentina fue sancionada en el año 2000. Veinticinco años después, operamos en un ecosistema donde la inteligencia artificial procesa datos de formas que ni siquiera eran concebibles cuando se redactó esa legislación. La Agencia de Acceso a la Información Pública, si bien ha emitido algunas disposiciones relacionadas con tratamiento automatizado de datos, todavía no ha desarrollado un marco específico para el uso de datos personales en entrenamiento y operación de LLMs.

A nivel internacional, la situación no es mucho mejor. El RGPD europeo al menos contempla el concepto de “decisiones automatizadas”, pero incluso Europa está luchando por adaptar su marco legal a la velocidad de innovación en IA. Estados Unidos opera con un mosaico fragmentado de regulaciones estatales. Y empresas de consultoría GEO están operando globalmente, moviendo datos a través de fronteras sin marcos claros de responsabilidad.

Esta es una falla sistémica que nos expone a todos: empresas, consumidores, ciudadanos.

Lo que necesitamos: Un marco integral de protección

No podemos detener el progreso tecnológico, ni deberíamos intentarlo. Los LLMs ofrecen beneficios genuinos: democratizan el acceso a información, facilitan la educación, automatizan tareas complejas. Pero necesitamos urgentemente establecer barreras de protección que equilibren innovación con derechos fundamentales.

Propongo cinco pilares esenciales:

1. Transparencia obligatoria en consultoría GEO: Las empresas que ofrecen servicios de optimización para LLMs deben estar obligadas a revelar qué datos recopilan, cómo los procesan, dónde los almacenan, y con qué terceros los comparten. Debería requerirse una evaluación de impacto en protección de datos antes de implementar cualquier estrategia GEO

2. Certificación en ciberseguridad para proveedores: Así como certificamos a profesionales en protección de datos, necesitamos certificaciones específicas para consultores GEO que demuestren competencia no solo en optimización, sino en gestión de riesgos de ciberseguridad y privacidad.

3. Derecho a auditoría de LLMs: Las empresas deberían tener derecho a auditar qué información sobre ellas utilizan los LLMs, de dónde proviene esa información, y solicitar correcciones cuando sea inexacta o haya sido obtenida ilegítimamente. Los desarrolladores de LLMs deben implementar mecanismos técnicos que permitan esto sin comprometer la propiedad intelectual de sus modelos.

4. Responsabilidad solidaria: Si una consultora GEO implementa estrategias que resultan en violaciones de protección de datos o incidentes de ciberseguridad, debe existir responsabilidad solidaria entre la consultora y la empresa cliente. Esto incentivará prácticas responsables.

5. Actualización legislativa urgente: La Agencia de Acceso a la Información Pública debe emitir disposiciones específicas sobre el tratamiento de datos personales en el contexto de LLMs, y el Congreso debe considerar reformas a la Ley 25.326 que contemplen explícitamente estas tecnologías emergentes.

Volvamos a la dueña de la boutique de vinos de Palermo. Su pregunta —”¿Si no existo para los LLMs, todavía existo para mis clientes?”— no es solo sobre marketing. Es sobre poder, control y derechos fundamentales en la era digital.

Cada día que pasa sin un marco regulatorio adecuado, más empresas están tomando decisiones sobre optimización GEO sin entender completamente los riesgos. Más consultoras están operando en un vacío legal. Más datos personales están siendo procesados de formas que sus titulares nunca imaginaron ni consintieron. Más vectores de ciberseguridad están siendo abiertos sin defensas apropiadas.

No podemos darnos el lujo de “esperar y ver” cómo evoluciona esta industria. La historia nos enseña que cuando la tecnología avanza más rápido que la regulación, los derechos de las personas son las primeras víctimas. Ya hemos cometido ese error con redes sociales, con economía de plataformas, con publicidad comportamental. No podemos repetirlo con los LLMs.

Si sos empresario, preguntá a cualquier consultora GEO que te contacte: ¿Dónde están sus políticas de protección de datos? ¿Cómo gestionan riesgos de ciberseguridad? ¿Qué certificaciones poseen? Si no pueden responder satisfactoriamente, alejate.

Si sos consumidor, ejercé tu derecho a saber cómo se están usando tus datos personales. Preguntá a las empresas que frecuentás si están implementando estrategias GEO y qué protecciones tienen en lugar.

Si sos legislador o regulador, reconocé que este no es un problema del futuro. Es un problema del presente que requiere acción inmediata. La credibilidad de nuestras instituciones de protección de datos depende de nuestra capacidad de adaptarnos a realidades tecnológicas emergentes.

La batalla por nuestros derechos digitales en la era de la inteligencia artificial no se ganará con pasividad. Se ganará con información, con exigencias, con marcos regulatorios sólidos, y con la determinación colectiva de no sacrificar privacidad y seguridad en el altar del progreso tecnológico desregulado.

En el mundo de los LLMs, lo que no se protege hoy, se pierde mañana. Y lo que se pierde en el ecosistema digital, rara vez se recupera.

Por Daniel Monastersky y Facundo Malaureille Peltzer

Las herramientas de inteligencia artificial para generar minutas de reuniones han experimentado una adopción masiva sin precedentes. Plataformas como Gemini, Otter.ai, Rev, Fireflies, Grain, y decenas de otras soluciones similares han revolucionado la productividad empresarial, prometiendo liberar a los profesionales de la tediosa tarea de tomar notas manualmente.

La promesa es seductora: únete a una videollamada, activa la grabación, y al finalizar recibirás un resumen perfecto con puntos de acción, decisiones tomadas y hasta análisis de sentimientos de los participantes. La eficiencia aumenta exponencialmente, pero también lo hace la exposición de datos sensibles.

Estas herramientas no solo transcriben palabras; procesan contexto, interpretan emociones, identifican patrones de comportamiento y, crucialmente, utilizan esta información para entrenar y mejorar sus modelos de inteligencia artificial. Cada conversación profesional se convierte en combustible para el desarrollo algorítmico de empresas privadas, sin consentimiento explícito de los participantes y frecuentemente sin su conocimiento.

Lo que resulta particularmente preocupante es que este entrenamiento ocurre sin ningún tipo de consentimiento informado. Los términos de servicio de estas plataformas, redactados en lenguaje jurídico complejo y extenso, efectivamente otorgan a las empresas derechos amplios sobre el contenido capturado. Los usuarios, al hacer clic en «acepto», inadvertidamente ceden el control sobre conversaciones que pueden contener información estratégicamente sensible o personalmente íntima.

El problema del entrenamiento no autorizado de modelos de IA

Una de las prácticas más problemáticas y menos transparentes de estas plataformas es el uso sistemático de conversaciones capturadas para entrenar sus modelos de inteligencia artificial. Lo que los usuarios perciben como un simple servicio de transcripción es, en realidad, una operación masiva de recolección de datos conversacionales para el desarrollo de tecnología propietaria.

Este proceso ocurre sin consentimiento informado específico para el entrenamiento de IA. Aunque los términos de servicio pueden incluir cláusulas generales sobre «mejora del servicio», raramente especifican que las conversaciones profesionales más sensibles serán utilizadas como material de entrenamiento para algoritmos que posteriormente podrían ser comercializados o licenciados a terceros.

Los riesgos ocultos en cada conversación profesional

En el ambiente profesional contemporáneo, las reuniones frecuentemente incluyen referencias a información personal sensible: situaciones familiares de empleados, condiciones de salud, conflictos interpersonales, y datos financieros personales. Estos elementos, mencionados de manera informal o contextual, son capturados y procesados por sistemas de IA sin discriminación sobre su sensibilidad.

Información comercial estratégica expuesta

Las discusiones empresariales rutinariamente incluyen secretos comerciales, estrategias de negocio confidenciales, información de clientes protegida, y planes de expansión competitivamente sensibles. Las herramientas de IA procesan esta información como parte de su funcionamiento normal, potencialmente creando vulnerabilidades estratégicas significativas.

El problema de la jurisdicción y el control de datos

La mayoría de estas plataformas operan desde jurisdicciones extranjeras, lo que significa que conversaciones profesionales argentinas son procesadas bajo marcos legales extranjeros. Esto crea una desconexión fundamental entre nuestras expectativas de protección legal y la realidad del procesamiento de datos.

Análisis sistémico: Fallas estructurales en múltiples niveles

Vacíos regulatorios críticos

La legislación actual no contempla adecuadamente la realidad de las herramientas de IA conversacional. Mientras que tenemos marcos robustos para proteger datos en reposo y en tránsito, existe un vacío legal significativo respecto a los datos en procesamiento por inteligencia artificial.

La Ley de Protección de Datos Personales argentina (Ley 25.326) y el GDPR europeo establecen principios claros sobre consentimiento y finalidad, pero fueron diseñados en una era pre-IA. No anticiparon escenarios donde una conversación espontánea se convertiría automáticamente en datos de entrenamiento para sistemas de aprendizaje automático.

Opacidad empresarial sistemática

Las empresas tecnológicas han creado términos de servicio deliberadamente complejos que ofuscan el verdadero alcance del procesamiento de datos. Frases como «mejora de servicios» y «optimización de experiencia de usuario» ocultan realidades donde las conversaciones privadas se convierten en activos comerciales.

Un análisis de los términos de servicio de las principales plataformas revela que prácticamente todas se reservan derechos amplios para procesar, almacenar, y utilizar contenido de conversaciones para propósitos que van mucho más allá de la simple transcripción.

Desconexión entre percepción y realidad

Existe una brecha fundamental entre la percepción del usuario sobre lo que hace una herramienta de minutas y la realidad de su funcionamiento. Los profesionales ven transcripción; las plataformas ven oportunidades de datos.

Esta brecha de conocimiento se amplifica por la naturaleza intuitiva y útil de estas herramientas. La conveniencia inmediata oscurece las implicaciones a largo plazo de la exposición de datos.

Estrategias de protección: Un marco integral de controles

Controles preventivos fundamentales

Evaluación rigurosa de proveedores

Implementar un proceso de due diligence que vaya más allá de las características técnicas:

• Análisis detallado de términos de servicio y políticas de privacidad
• Verificación de certificaciones de seguridad (SOC 2, ISO 27001, etc.)
• Investigación sobre la jurisdicción legal donde se procesan y almacenan los datos
• Evaluación de la estabilidad financiera y reputación del proveedor
• Análisis de antecedentes públicos de violaciones de seguridad o privacidad

Clasificación de información

Desarrollar un sistema claro de clasificación que determine qué tipos de reuniones pueden utilizar herramientas de IA:

• Reuniones públicas: Sin restricciones de contenido
• Reuniones internas: Información comercial sensible pero no confidencial
• Reuniones confidenciales: Información protegida legalmente o estratégicamente crítica
• Reuniones prohibidas: Cualquier discusión que involucre datos personales sensibles, información médica, o secretos comerciales críticos

Controles técnicos avanzados

Implementación de soluciones on-premise

Para organizaciones que manejan información altamente sensible, considerar herramientas de IA que funcionen completamente en infraestructura propia:

• Modelos de transcripción que no requieren conectividad externa
• Sistemas de procesamiento de lenguaje natural entrenados en datos propios
• Arquitecturas que garanticen que ningún dato salga del perímetro organizacional

Configuración de controles de acceso granulares

• Implementar sistemas de roles que limiten quién puede activar grabaciones
• Establecer controles que requieran autorización explícita de todos los participantes
• Configurar sistemas que automáticamente excluyan discusiones pre y post-reunión

Monitoreo y auditoría continua

• Implementar sistemas que rastreen qué información se está capturando y procesando
• Establecer alertas automáticas cuando se detecten patrones de datos sensibles
• Crear dashboards que permitan visualizar el flujo de información hacia terceros

Controles administrativos críticos

Desarrollo de políticas comprehensivas

Crear documentación clara que establezca:

• Cuándo es apropiado usar herramientas de IA para minutas
• Qué tipo de información nunca debe ser procesada por estas herramientas
• Procedimientos para obtener consentimiento explícito de todos los participantes
• Protocolos de respuesta ante incidentes de exposición de datos

Programas de capacitación obligatorios

• Entrenar a todos los empleados sobre los riesgos específicos de las herramientas de IA
• Desarrollar simulaciones que demuestren cómo información aparentemente inocua puede ser correlacionada y utilizada
• Establecer certificaciones internas que aseguren comprensión de las políticas

Gestión de consentimiento dinámico

Implementar sistemas que:

• Soliciten consentimiento explícito antes de cada reunión
• Permitan a los participantes retirar el consentimiento en cualquier momento
• Documenten de manera auditable todos los consentimientos otorgados y retirados

Consejos prácticos para la protección inmediata

Para profesionales individuales

Antes de cada reunión

• Verificar explícitamente si se utilizarán herramientas de grabación o transcripción
• Solicitar información sobre dónde se almacenarán y procesarán los datos
• Establecer un protocolo claro sobre qué temas no deben discutirse si hay grabación activa

Durante las reuniones

• Desarrollar el hábito de pausar la grabación durante discusiones sensibles
• Utilizar códigos o referencias indirectas para información confidencial
• Ser consciente de que las conversaciones informales también pueden ser capturadas

Después de las reuniones

• Revisar las minutas generadas para identificar información sensible inadvertidamente capturada
• Solicitar la eliminación de segmentos específicos si es necesario
• Verificar que las minutas no contengan más información de la que se pretendía compartir

Para organizaciones

Implementación gradual y controlada

• Comenzar con reuniones de bajo riesgo para evaluar el comportamiento de las herramientas
• Establecer grupos piloto con empleados capacitados en privacidad de datos
• Desarrollar métricas que midan tanto la productividad como la exposición de riesgos

Negociación de contratos específicos

• Incluir cláusulas específicas sobre retención y eliminación de datos
• Establecer derechos de auditoría sobre el procesamiento de información
• Negociar garantías contractuales explícitas sobre la no utilización de datos conversacionales para entrenamiento de IA sin consentimiento específico y separado
• Exigir cláusulas de transparencia que detallen exactamente qué información será utilizada para qué propósitos específicos
• Incluir penalizaciones significativas por violaciones de privacidad y uso no autorizado para entrenamiento de modelos

Recomendaciones específicas por tipo de organización

Bufetes de abogados y consultorías

• Prohibición absoluta de herramientas de IA en nube para discusiones con clientes
• Implementación de soluciones on-premise exclusivamente
• Desarrollo de protocolos específicos para el manejo de información protegida por secreto profesional
• Creación de acuerdos de confidencialidad específicos que cubran el uso de IA

Instituciones médicas y de salud

• Verificación de cumplimiento HIPAA/equivalentes locales antes de implementación
• Prohibición de procesamiento de cualquier información que pueda correlacionarse con pacientes específicos
• Implementación de sistemas de anonimización antes del procesamiento
• Desarrollo de protocolos de consentimiento informado para pacientes

Empresas tecnológicas y de innovación

• Clasificación estricta de reuniones según nivel de innovación discutida
• Implementación de herramientas de detección automática de secretos comerciales
• Desarrollo de políticas específicas para discusiones de propiedad intelectual
• Creación de entornos aislados para discusiones de I+D

Instituciones financieras

• Cumplimiento estricto con regulaciones de privacidad financiera
• Implementación de controles específicos para información de clientes
• Desarrollo de sistemas de monitoreo para detectar discusiones de información regulada
• Establecimiento de protocolos de reporte ante organismos reguladores

El futuro regulatorio: Hacia un marco legal adaptado

La realidad actual exige una evolución urgente del marco regulatorio. Necesitamos leyes que específicamente aborden:

Derechos de consentimiento dinámico: Los usuarios deben tener control granular sobre qué partes de sus conversaciones pueden ser procesadas por IA, con la capacidad de modificar estos permisos en tiempo real.

Transparencia algorítmica obligatoria: Las empresas que desarrollan herramientas de IA conversacional deben divulgar exactamente cómo procesan, almacenan, y utilizan los datos capturados, incluyendo cualquier uso para entrenamiento de modelos.

Derecho al olvido extendido: Los usuarios deben tener garantías técnicas y legales de que pueden eliminar completamente su información de sistemas de IA, incluyendo cualquier influencia que sus datos hayan tenido en el entrenamiento de modelos.

Responsabilidad algorítmica: Establecer marcos de responsabilidad clara cuando los sistemas de IA causan daños a través del mal uso de información capturada en conversaciones.

Un llamado urgente a la acción

La transformación digital no puede ocurrir a expensas de nuestros derechos fundamentales a la privacidad y la confidencialidad. Cada día que permitimos que herramientas de IA procesen nuestras conversaciones más íntimas sin controles adecuados, estamos cediendo control sobre aspectos fundamentales de nuestras vidas profesionales y personales.

Para los profesionales: No podemos permitir que la conveniencia nos ciegue ante los riesgos. Cada conversación que permitimos sea procesada por IA sin controles adecuados es una oportunidad perdida de proteger nuestra información y la de nuestros colegas, clientes, y organizaciones.

Para las organizaciones: La responsabilidad de implementar controles robustos no es opcional; es una obligación ética y, crecientemente, legal. Las organizaciones que no actúen proactivamente no solo exponen a sus empleados y clientes a riesgos significativos, sino que se posicionan para enfrentar consecuencias regulatorias y reputacionales devastadoras.

Para los reguladores: La ventana de oportunidad para establecer marcos legales efectivos se está cerrando rápidamente. Cada mes de inacción permite que se establezcan precedentes y prácticas que serán exponencialmente más difíciles de regular retroactivamente.

La batalla por el control de nuestras conversaciones no es solo un desafío técnico o legal; es una lucha fundamental por mantener espacios de privacidad y confidencialidad en un mundo donde la inteligencia artificial está redefiniendo los límites de lo público y lo privado.

El momento de actuar es ahora. El costo de la inacción no se mide solo en datos expuestos, sino en la erosión gradual de nuestra capacidad de tener conversaciones verdaderamente privadas en el ámbito profesional. Esta no es una preocupación futura; es una realidad presente que demanda respuestas inmediatas, comprehensivas, y decididas.

La protección de nuestras conversaciones profesionales es, en última instancia, la protección de nuestra humanidad en un mundo cada vez más mediado por algoritmos.

Por Facundo Malaureille

Un momento histórico para la inclusión financiera en la era digital

El cambio que nadie vio venir

Cada día, millones de argentinos realizan transacciones financieras sin imaginar que están participando de una revolución silenciosa que transformará para siempre el acceso al crédito, los seguros y los servicios bancarios en nuestro país. El Sistema de Finanzas Abiertas —conocido internacionalmente como Open Finance— no es una innovación más en el paisaje tecnológico: es la democratización del sistema financiero más profunda desde la creación de la banca moderna.

Esta transformación promete algo que parecía imposible hasta hace pocos años: que un trabajador independiente, un pequeño comerciante o un empleado informal puedan acceder a créditos justos y productos financieros de calidad, evaluados no por su patrimonio o su relación histórica con bancos tradicionales, sino por su comportamiento financiero real y su capacidad de pago demostrada.

La arquitectura de la revolución financiera

El Open Finance opera mediante un sistema elegante en su simplicidad pero revolucionario en sus implicancias. Permite que los usuarios autoricen el intercambio de sus datos bancarios y financieros entre diferentes entidades —bancos tradicionales, fintech, billeteras digitales— a través de interfaces de programación de aplicaciones (APIs) seguras y estandarizadas.

El Banco Central de la República Argentina ha iniciado la implementación de este sistema, siguiendo el modelo exitoso desarrollado en Reino Unido, donde ha demostrado su capacidad para transformar el acceso a servicios financieros. Las primeras manifestaciones ya son visibles en nuestro ecosistema: las transferencias pull que permiten recibir fondos desde múltiples aplicaciones con una simple autorización, y plataformas como MODO que integran la gestión de múltiples cuentas bancarias desde una interfaz unificada.

La revolución del scoring crediticio

La transformación más profunda ocurrirá en la evaluación crediticia. Por primera vez en la historia argentina, el perfil financiero de una persona se construirá con información completa y real: consumos habituales, patrones de gasto, comportamiento con servicios, estabilidad laboral y uso responsable de billeteras digitales. Este enfoque integral permitirá que quienes antes quedaban excluidos por carecer de historial bancario tradicional accedan finalmente al crédito, mientras que quienes ya tenían acceso obtendrán condiciones más justas y tasas más competitivas.

Los algoritmos de evaluación crediticia incorporarán datos que reflejen la capacidad de pago real de cada individuo, creando scorings alternativos más precisos que los sistemas tradicionales alimentados exclusivamente por instituciones bancarias. Esta evolución generará un círculo virtuoso donde más información confiable produce mejores decisiones crediticias, reduciendo la morosidad y ampliando el acceso responsable al financiamiento.

Mercado pago: catalizador de la democratización financiera

Servicios financieros integrales al alcance de todos

Mercado Pago emerge como el protagonista principal de esta transformación democratizadora. La plataforma está posicionada para ofrecer servicios financieros integrales que antes eran exclusivos de grandes patrimonios: créditos instantáneos personalizados basados en comportamiento real, seguros adaptativos que se ajusten a perfiles específicos de riesgo, mecanismos de inversión automática calibrados según hábitos de ahorro, y herramientas de gestión financiera personal basadas en patrones de consumo auténticos.

La integración con el ecosistema Mercado Libre proporcionará acceso a información invaluable sobre patrones de consumo e ingresos de sectores tradicionalmente marginados del sistema financiero formal: trabajadores independientes, comerciantes digitales, y toda la economía informal que representa una porción significativa de la actividad económica argentina.

El agregador financiero definitivo

La plataforma se convertirá en un agregador financiero integral donde los usuarios podrán visualizar todas sus cuentas, ingresos, gastos y deudas desde una interfaz unificada, recibiendo recomendaciones de gestión personalizadas basadas en inteligencia artificial y análisis de comportamiento financiero real.

Inclusión de sectores marginados

Esta expansión significa que millones de argentinos que trabajan en la economía informal finalmente tendrán acceso a servicios financieros de calidad, evaluados por su comportamiento económico real y no por su relación con instituciones tradicionales.

La portabilidad financiera: libertad de elección

El fin de la cautividad bancaria

Una de las innovaciones más revolucionarias será la portabilidad financiera efectiva. Similar a la portabilidad numérica que transformó las telecomunicaciones, los usuarios podrán migrar sus productos financieros entre entidades buscando mejores condiciones, tasas más competitivas y servicios más innovadores.

Competencia real por el cliente

Esta portabilidad comenzará con productos estandarizados como préstamos personales, tarjetas de crédito y cuentas de ahorro, pero se expandirá hacia líneas de crédito sofisticadas, créditos embebidos en aplicaciones de compra y servicios de financiamiento integrados en plataformas digitales. El resultado será una competencia genuina donde las entidades financieras deberán innovar constantemente para retener y atraer clientes.

La hiperpersonalización: servicios financieros a medida

Del marketing masivo al servicio individual

La tecnología del Open Finance habilitará la personalización completa de servicios financieros. Cada producto —desde un préstamo hasta un seguro— podrá calibrarse exactamente según las necesidades, capacidades y comportamientos específicos de cada usuario. Las condiciones de financiamiento reflejarán la situación real de cada persona, eliminando la discriminación basada en perfiles generales y promoviendo evaluaciones más justas del riesgo crediticio.

Ofertas perfectamente calibradas

Esta evolución representa el fin del marketing masivo en servicios financieros y el nacimiento de productos únicos, diseñados algorítmicamente para cada usuario individual. La cantidad y calidad de información disponible permitirá ofertas precisas en el momento exacto, optimizando tanto la experiencia del usuario como la gestión de riesgo de las entidades.

Las finanzas embebidas: integración total

Integración total de servicios

El futuro inmediato incluirá la inserción de servicios financieros en experiencias de consumo completamente ajenas a la banca tradicional: aplicaciones de comercio electrónico, plataformas de salud, servicios de movilidad, y ecosistemas digitales diversos. Esta integración eliminará las barreras entre el consumo y el financiamiento, creando experiencias fluidas donde los usuarios accederán a crédito, seguros e inversiones en el contexto natural de sus actividades cotidianas.

MODO: la plataforma de interoperabilidad

MODO cumplirá un papel fundamental como facilitador de la interoperabilidad real entre bancos, comercios y billeteras digitales. Su contribución será crear una plataforma neutral que permita competencia equitativa entre todos los actores del ecosistema financiero, integrando pagos entre entidades y facilitando la portabilidad efectiva de medios de pago.

El marco regulatorio necesario: protección e innovación

Esta revolución democratizadora demanda un marco regulatorio proactivo que proteja a los usuarios sin obstaculizar la innovación. La implementación exitosa del Open Finance requiere cinco pilares fundamentales:

Estándares de seguridad inquebrantables: Protocolos de cifrado de última generación, auditorías constantes de seguridad, y sistemas de monitoreo que garanticen la integridad absoluta de los datos compartidos.

Consentimiento verdaderamente informado: Interfaces claras y comprensibles que aseguren que cada usuario comprenda completamente qué información comparte, con quién, para qué propósitos específicos, y durante qué período de tiempo.

Portabilidad efectiva y derecho al olvido: Mecanismos técnicos y legales que garanticen la capacidad real de los usuarios para revocar permisos, migrar datos entre plataformas, y ejercer control absoluto sobre su información financiera.

Competencia equitativa y prevención de monopolios: Regulaciones que eviten la concentración excesiva de poder informacional en pocas empresas, manteniendo un ecosistema diverso, competitivo e innovador.

Inclusión digital universal: Programas educativos y técnicos que aseguren que todos los sectores de la población, independientemente de su nivel de educación digital o ubicación geográfica, puedan beneficiarse equitativamente de estas innovaciones.

La oportunidad histórica: liderando la inclusión financiera regional

Argentina tiene ante sí la oportunidad única de liderar la inclusión financiera en América Latina. Por primera vez en décadas, podemos construir un sistema financiero verdaderamente democrático donde el acceso a servicios de calidad dependa del comportamiento financiero responsable y la capacidad de pago real, no del patrimonio heredado o las conexiones institucionales tradicionales.

El sistema financiero argentino está a punto de adaptarse finalmente a la economía real del siglo XXI, donde el trabajo independiente, la economía digital, los emprendimientos tecnológicos y los nuevos modelos de generación de ingresos son la norma, no la excepción. Millones de argentinos que durante décadas permanecieron excluidos del crédito formal podrán demostrar su solvencia a través de su comportamiento financiero cotidiano.

El llamado a la acción: construir el futuro hoy

Esta transformación no es inevitable: es una elección consciente que estamos tomando como sociedad. Cada regulación que aprobamos, cada estándar que implementamos, cada decisión que privilegia la inclusión sobre la exclusión, determina si esta revolución tecnológica servirá a todos los argentinos o beneficiará únicamente a unos pocos.

El momento de actuar es ahora, antes de que las estructuras se consoliden y las oportunidades se pierdan. Necesitamos legisladores que comprendan la magnitud de esta transformación, reguladores que equilibren innovación con protección ciudadana, y una sociedad civil informada que exija que los beneficios del Open Finance lleguen a cada rincón de nuestro país.

El futuro financiero de Argentina se decide en estos meses cruciales. Un futuro donde cada argentino, sin importar su origen socioeconómico, su tipo de trabajo o su historial bancario tradicional, tendrá acceso garantizado a servicios financieros justos, personalizados y transparentes.

Esta no es solamente una innovación tecnológica: es la promesa más audaz de democratización económica de nuestra generación. Una promesa que debemos cumplir con la urgencia que merece y la responsabilidad que exige. La historia juzgará si supimos estar a la altura de este momento transformador o si permitimos que una oportunidad única se desvaneciera entre debates estériles y demoras burocráticas.

La revolución ha comenzado. El desafío es asegurar que sus frutos pertenezcan a todos los argentinos, sin excepción.

Una nueva campaña de phishing ha sido descubierta por investigadores de Check Point, dirigida a empresas del sector manufacturero y otras que son críticas en cadenas de suministro. A diferencia de los ataques convencionales por correo electrónico, los atacantes inician el contacto a través de formularios “Contáctenos” en los sitios web de las organizaciones, lo que les permite evadir los filtros tradicionales de reputación del correo electrónico.

El modus operandi emplea archivos ZIP maliciosos que contienen un script en PowerShell ejecutado directamente en memoria, diseñado para desplegar un implante tipo backdoor denominado MixShell. Este malware utiliza túneles DNS TXT con respaldo HTTP para las comunicaciones con los servidores de comando y control (C2), y permite a los atacantes ejecutar comandos y manipular archivos remotamente.

El ataque incluye un elaborado periodo de construcción de confianza: tras el contacto inicial, los ofensores llevan adelante intercambios durante días o incluso semanas, tras lo cual solicitan a la víctima firmar un acuerdo de confidencialidad (NDA). El archivo enviado incluye documentos aparentes legítimos, junto con el fichero malicioso oculto. Además, los dominios utilizados para iniciar estos correos aparentan credibilidad, ya que coinciden con nombres de empresas registradas en EE.UU. y en ocasiones resultan de empresas legítimas que ya no están activas.

La mayoría de las víctimas identificadas se encuentran en Estados Unidos (más del 80 %), aunque también se reportaron incidentes en Singapur, Japón y Suiza. El enfoque geográfico y contextualmente empresarial indica que los atacantes persiguen infiltraciones estratégicas en sectores industriales diversos, sin limitarse a un tipo específico de industria o empresa.

La campaña “0ktapus” afectó a más de 130 organizaciones, con cerca de 9 931 cuentas comprometidas, incluyendo empleados de Twilio y Cloudflare. Los atacantes suplantaron páginas de inicio de sesión de Okta a través de mensajes de texto con enlaces que redirigían a sitios falsos, con el objetivo de capturar credenciales de identidad y códigos de autenticación multifactor (MFA). El reporte señala que 114 empresas afectadas estaban en EE.UU., mientras que otras se encontraban distribuidas en más de 68 países.

El inicio de la campaña parece haberse enfocado en empresas de telecomunicaciones, con la probable intención de obtener números de teléfono utilizados para MFA. Luego, los atacantes enviaban mensajes de texto conteniendo enlaces que redirigían a páginas que imitaban la interfaz de autentificación de Okta de la organización a la que pertenecía la víctima. En una fase posterior, buscaban acceder a bases de datos internas, listas de correos y sistemas orientados al cliente, lo que podría facilitar ataques en la cadena de suministro.

En un incidente vinculado, DoorDash reportó haber sido víctima de un ataque con las mismas características: después de acceder a herramientas internas, los atacantes robaron información personal de clientes y repartidores, incluyendo nombres, teléfono, correos y direcciones de entrega. En total, los atacantes lograron comprometer 5 441 códigos MFA, lo que resalta la vulnerabilidad de los mecanismos de autenticación multifactor cuando son objeto de phishing sofisticado.

Aunque el MFA es una capa de defensa valiosa, este tipo de campañas demuestra que también puede ser vulnerado con herramientas simples si los usuarios son engañados. Expertos como Roger Grimes subrayan que el MFA por sí solo no basta si los usuarios no están entrenados para reconocer ataques dirigidos contra él. Los investigadores recomiendan mantener buenas prácticas con URLs y contraseñas, y adoptar claves de seguridad FIDO2 para MFA, junto con concientización sobre los vectores comunes de phishing.