Categoría: Regulación

Cada vez que un regulador exige a una plataforma dominante abrir sus sistemas a terceros, la respuesta corporativa es predecible: la interoperabilidad pone en riesgo la seguridad de los usuarios. La Electronic Frontier Foundation (EFF) desmonta ese argumento y explica por qué reguladores que aplican marcos como el Digital Markets Act europeo pueden garantizar competencia y seguridad al mismo tiempo.

La interoperabilidad obligatoria es la herramienta que legisladores de distintas jurisdicciones han comenzado a utilizar para frenar el poder de las grandes plataformas digitales. La lógica es sencilla: si una empresa controla la infraestructura por la que circulan datos, aplicaciones y comunicaciones de millones de personas, obligarla a abrir esos sistemas a desarrolladores independientes reduce el poder de bloqueo y habilita alternativas más competitivas. Lo que no es sencillo —o al menos eso afirman Apple, Meta y sus pares— es hacer eso sin comprometer la seguridad.

El artículo 6(7) del DMA y el argumento Apple

El Digital Markets Act (DMA) de la Unión Europea codificó la interoperabilidad en su artículo 6(7): los “gatekeepers” designados deben permitir, de forma gratuita y efectiva, que proveedores de servicios y hardware interoperen con sus plataformas centrales. El lenguaje no admite ambigüedades: no es una recomendación ni un incentivo voluntario, es una obligación de cumplimiento. Apple respondió argumentando que aplicar esa norma a su tienda de aplicaciones móviles pondría a sus clientes en riesgo y causaría un daño irreparable a la confianza en su marca, según documentación técnica que la empresa publicó. Es un argumento que guarda similitud estructural con el que Apple empleó para resistir legislación sobre el derecho a la reparación en varios estados de Estados Unidos.

El problema con ese razonamiento, señala la EFF, es que confunde dos cosas distintas: el control monopólico sobre un ecosistema y la seguridad de los usuarios dentro de ese ecosistema. Un sistema puede ser abierto a terceros verificados y seguir siendo seguro; la revisión técnica de integridad, los estándares de autenticación y los mecanismos de sandboxing no desaparecen porque un regulador exija interoperabilidad. Lo que sí desaparece es la capacidad de la plataforma dominante de usar la “seguridad” como pretexto para excluir a competidores.

Interoperabilidad y privacidad: evidencia de seis años de análisis

La EFF no llega a esta posición en 2026. Ya en 2020 publicó un análisis extenso sobre la relación entre interoperabilidad y privacidad, con una conclusión que hoy resulta más vigente que nunca: la interoperabilidad bien diseñada ayuda a prevenir el uso indebido de datos personales y permite que existan alternativas que respeten más la privacidad de los usuarios. La concentración, por el contrario, no protege los datos: los centraliza en manos de quien tiene los menores incentivos para no explotarlos. Las grandes plataformas han construido modelos de negocio que dependen precisamente de ese acceso exclusivo.

El argumento de que los datos están más seguros bajo control exclusivo corporativo choca con la evidencia acumulada de filtraciones masivas, prácticas de rastreo agresivas y un historial de incumplimientos que las propias autoridades regulatorias —desde la Comisión Europea hasta la FTC— han documentado con multas y procedimientos sancionatorios. La seguridad real no proviene del monopolio, sino de estándares técnicos verificables y supervisión independiente.

Cuándo aplica / cuándo NO aplica la tensión interoperabilidad-seguridad

El dilema tiene peso legítimo en escenarios muy específicos: sistemas de salud con datos sensibles, infraestructura crítica o entornos de mensajería cifrada de extremo a extremo donde la apertura a terceros podría comprometer la integridad criptográfica del sistema. En esos casos, el diseño técnico del mandato de interoperabilidad importa tanto como la obligación legal en sí. Sin embargo, ese conjunto acotado de excepciones no justifica una oposición genérica a cualquier requisito de apertura. El argumento corporativo tiende a extrapolarlo a contextos donde la tensión no existe: tiendas de aplicaciones, servicios de mensajería no cifrada de extremo a extremo, redes sociales o sistemas de pago.

La diferencia operativa es crítica: una cosa es argumentar que la interoperabilidad en un protocolo de cifrado requiere un diseño cuidadoso, y otra muy distinta es sostener que abrir una API de catálogo de aplicaciones pone en riesgo a los usuarios. Los reguladores con capacidad técnica pueden distinguir entre ambos casos; el problema es que no siempre cuentan con ese expertise dentro de sus equipos.

América Latina ante la misma presión corporativa

La región no está exenta de esta dinámica. Brasil avanza en la regulación de plataformas digitales dentro del marco de la Lei das Plataformas Digitais, cuyo debate legislativo ha estado marcado precisamente por la presión de grandes operadores que alegan riesgos de seguridad ante cualquier obligación de apertura. En México, la Comisión Federal de Competencia Económica (COFECE) ha analizado el poder de mercado de plataformas digitales, aunque sin llegar aún a mandatos de interoperabilidad comparables al DMA. En Argentina, el debate sobre competencia digital sigue en etapa preliminar, sin legislación específica sobre gatekeepers. En todos estos casos, el argumento de “seguridad vs. apertura” ya circula en audiencias, mesas técnicas y documentos de posición empresarial —muchas veces importado directamente desde los equipos de lobby europeos de las mismas compañías.

La LGPD brasileña y la Ley 25.326 argentina tienen algo en común con los marcos de interoperabilidad: ambos apuntan a que las personas recuperen algún grado de control sobre sus datos en un ecosistema donde las plataformas concentran el poder. La interoperabilidad no es un fin en sí mismo, sino un mecanismo para que ese control sea ejercitable en la práctica: de poco sirve el derecho a migrar datos si no hay ningún destino alternativo técnicamente capaz de recibirlos.

El análisis completo de la EFF sobre interoperabilidad y privacidad, disponible en eff.org, desarrolla los mecanismos técnicos y jurídicos que permiten diseñar mandatos de apertura sin sacrificar seguridad — una lectura obligatoria para equipos regulatorios y de política digital en la región.

La Electronic Frontier Foundation publicó una guía práctica de privacidad en línea dirigida a padres y jóvenes, construida sobre la metodología de planificación de seguridad (threat modeling). El lanzamiento llega en un momento en que legislaturas de varios estados de EE.UU. avanzan con leyes de verificación de edad que, según la EFF, comprometen la privacidad de todos los usuarios de internet, no solo de los menores.

La guía, disponible en la plataforma Surveillance Self-Defense de la EFF, propone que tanto padres como jóvenes identifiquen primero cuáles son sus riesgos reales antes de recurrir a herramientas o restricciones técnicas. El argumento central es que ningún software o control parental sustituye el tiempo invertido en enseñar cómo funciona internet, qué amenazas existen y cómo navegarlas. No es un catálogo de aplicaciones: es un marco de preguntas para tomar decisiones informadas.

Threat modeling para menores: qué significa en la práctica

La planificación de seguridad —o threat modeling— es una metodología que la comunidad de ciberseguridad usa desde hace décadas para priorizar riesgos. Aplicada al contexto familiar, implica preguntarse: ¿de qué amenaza concreta queremos protegernos? ¿Quién es el adversario: una plataforma que recopila datos, un acosador, una empresa de publicidad? ¿Qué información está en juego y qué consecuencias tendría su exposición? La EFF señala que este proceso es tan válido para un adolescente como para un activista o un periodista. La diferencia está en que las necesidades de los jóvenes cambian con el tiempo, lo que requiere revisiones periódicas del plan, no una configuración única y permanente.

La guía rechaza explícitamente la idea de las soluciones únicas. Según se informó, la EFF enfatiza que las respuestas rara vez dependen de las herramientas o el software elegido, sino de comprender las amenazas y determinar pasos concretos para mitigar cada riesgo. Esto posiciona la educación por encima del control técnico como primer recurso.

Leyes de verificación de edad en EE.UU. y el efecto derrame sobre la privacidad

El contexto detrás del lanzamiento no es neutral. La EFF publica esta guía mientras legislaturas estaduales en EE.UU. debaten leyes que obligan a plataformas a verificar la edad de sus usuarios antes de permitirles el acceso. La organización califica estas iniciativas de “mal aconsejadas” y advierte que el age gating —el proceso de restringir el acceso según la edad— afecta la privacidad de la totalidad de los usuarios, no solo de los menores. Para verificar que alguien tiene 18 años, las plataformas necesitan recopilar y procesar datos personales de todos quienes quieran acceder. El daño recae además de manera desproporcionada sobre jóvenes vulnerables y grupos marginalizados que dependen de comunidades en línea para acceder a información o redes de apoyo que no tienen disponibles fuera de internet.

Cuándo aplica este enfoque / cuándo no es suficiente

La guía de threat modeling es útil cuando el objetivo es evaluar riesgos específicos y construir hábitos digitales sostenibles en el tiempo. Funciona para familias con acceso a información, tiempo para el diálogo y contextos en los que el menor tiene algún grado de autonomía progresiva. No reemplaza, sin embargo, intervenciones cuando existe acoso activo, grooming o exposición a contenido ilegal: esos casos requieren respuesta inmediata, denuncia ante autoridades y eventual asistencia legal, más allá de cualquier planificación preventiva.

El panorama regulatorio en América Latina: entre la protección y el acceso

En la región, el debate tiene sus propios carriles. Brasil aprobó en 2024 la Ley 14.811, que establece protecciones específicas para niños y adolescentes en entornos digitales, y su Autoridad Nacional de Protección de Datos (ANPD) emitió en 2025 la Resolución CD/ANPD nº 19, que regula el tratamiento de datos de menores bajo la LGPD, con restricciones al uso de datos de niños y adolescentes con fines comerciales. En Argentina, la Ley 25.326 de Protección de Datos Personales no tiene una sección específica para menores —una brecha que el proyecto de reforma actualmente en discusión busca cerrar—, y la Agencia de Acceso a la Información Pública (AAIP) ha señalado la necesidad de estándares diferenciados para este grupo. En México, la LFPDPPP tampoco contempla un régimen especial para menores, aunque el INAI ha emitido recomendaciones sobre el tratamiento de datos de niñas, niños y adolescentes alineadas con los principios de minimización y consentimiento parental. Chile, con su Ley 21.719 ya promulgada, incorpora disposiciones expresas sobre datos de menores, incluyendo la prohibición de tratamiento con fines de marketing directo. Ninguno de estos marcos resuelve, sin embargo, el dilema práctico que señala la EFF: cómo proteger a los menores sin construir sistemas de vigilancia masiva para hacerlo.

La guía completa está disponible en ssd.eff.org/module/online-privacy-for-parents-and-youth; para el contexto regulatorio latinoamericano, las resoluciones de la ANPD brasileña y el texto de la Ley chilena 21.719 son los referentes más actualizados de la región.

Las leyes de verificación de edad se multiplican globalmente con el argumento de proteger a menores en línea, pero la mayoría ignora una consecuencia estructural: millones de personas sin documento de identidad verificable quedan excluidas del acceso a internet. El debate técnico sobre privacidad oculta una pregunta más urgente sobre derechos fundamentales.

La premisa suena razonable: si un usuario no puede acreditar su edad, no accede al servicio. Pero esa lógica tiene un punto ciego. En todo el mundo existen personas que carecen de documentación oficial válida —migrantes irregulares, apátridas, comunidades rurales con registros civiles deficientes, personas trans cuyos documentos no reflejan su identidad real— para quienes la verificación de edad no es un trámite incómodo sino una barrera infranqueable. Cuando el acceso a información depende de presentar un ID, el derecho a informarse deja de ser universal.

Una ola regulatoria que acelera sin coordinación

En menos de dos años, el mapa regulatorio cambió de forma drástica. A finales de 2025, Australia se convirtió en el primer país en prohibir a menores de 16 años crear cuentas en redes sociales, con verificación de edad obligatoria como mecanismo de control. El Reino Unido, mediante la Online Safety Act, extendió la exigencia de verificación a cualquier plataforma que aloje contenidos “potencialmente dañinos” para usuarios menores de 18. Más de la mitad de los estados de los Estados Unidos aprobaron leyes propias —con distinto alcance y sin estándar técnico común—, generando un terreno litigioso que aún no se resuelve. La Comisión Europea, a través de un panel de expertos, recomienda prohibir el acceso a redes sociales para menores de 13 y exigir verificación etaria en plataformas de alcance masivo. India, por su parte, incorporó el consentimiento parental verificable en su Digital Personal Data Protection Act (DPDP Act), con debates abiertos sobre restricciones adicionales a redes sociales.

El patrón común es la velocidad. Los marcos regulatorios avanzan más rápido que la infraestructura técnica capaz de implementarlos sin daños colaterales. Y la pregunta sobre quiénes no pueden cumplir el requisito —no porque no quieran, sino porque no tienen los documentos exigidos— raramente aparece en los considerandos de estas normas.

Cuándo aplica la verificación de edad / cuándo NO resuelve el problema

La verificación de edad funciona razonablemente cuando el universo de usuarios tiene acceso documentado al sistema de identificación oficial y cuando el servicio en cuestión es prescindible. Ninguna de esas dos condiciones se cumple de forma universal. En contextos donde el acceso a plataformas digitales es el principal canal para buscar empleo, acceder a servicios de salud o ejercer libertad de expresión, bloquear el acceso por falta de documento equivale a suspender derechos básicos. La verificación de edad tampoco resuelve el problema que dice resolver: los menores con acceso a documentos ajenos, o con dispositivos compartidos con adultos, pueden eludir los controles con relativa facilidad, mientras que los adultos sin documentación quedan excluidos permanentemente.

El Electronic Frontier Foundation (EFF) ha señalado reiteradamente que los sistemas de verificación basados en documentos de identidad oficial concentran riesgos de privacidad severos —las plataformas o sus intermediarios técnicos acumulan datos de identidad que pueden ser vulnerados o reutilizados— y además generan exclusión estructural. Ambos efectos son predecibles y no requieren especulación técnica avanzada para anticiparlos.

América Latina: alta informalidad documental, regulación en construcción

En América Latina, la tensión entre verificación de edad y acceso a derechos tiene una dimensión adicional: la informalidad documental es significativamente mayor que en los países que lideran esta ola regulatoria. Según datos del Banco Mundial, alrededor del 10% de la población latinoamericana adulta carece de documento de identidad vigente o accesible, con brechas notablemente mayores en zonas rurales de países como Bolivia, Guatemala y Haití. En ese escenario, replicar modelos de verificación de edad basados en ID oficial implica importar un sistema de exclusión ya incorporado al diseño.

A nivel normativo, ningún país de la región ha aprobado aún una ley de verificación de edad para redes sociales con el alcance de la australiana o la británica, pero varios debates legislativos están activos. En Brasil, el marco del Estatuto da Criança e do Adolescente (ECA) y la LGPD establecen obligaciones de protección de datos de menores que las plataformas deben respetar, aunque sin exigir verificación técnica de edad como condición de acceso. En Argentina, la Ley 25.326 de Protección de Datos Personales no contempla ese mecanismo, aunque proyectos de reforma en discusión incorporan referencias al tratamiento de datos de menores. En México, la LFPDPPP tampoco define un régimen específico de verificación etaria para plataformas digitales, y el debate está aún en etapa incipiente en el Congreso.

El riesgo real para la región es que, ante presión de organismos internacionales o por efecto de armonización con mercados como la UE, se adopten marcos importados sin adaptar las condiciones de identidad civil existentes. Una regulación copiada sin ajuste local puede excluir a los sectores más vulnerables precisamente de los servicios diseñados, en apariencia, para protegerlos.

El derecho de acceso a la información como límite a la verificación

Varios instrumentos internacionales reconocen el acceso a la información como derecho fundamental. La Relatoría Especial para la Libertad de Expresión de la CIDH ha advertido en distintos informes que las restricciones al acceso a internet deben cumplir con estándares de necesidad y proporcionalidad. Una norma que bloquea el acceso de adultos no documentados a plataformas de información general —no solo a contenidos para adultos— difícilmente supera ese umbral. El debate sobre verificación de edad no es solo técnico ni solo de privacidad: toca el núcleo de quién tiene derecho a participar en el espacio digital.

El texto completo del análisis de EFF está disponible en eff.org/issues/age-verification; para el marco regional, el Estatuto da Criança e do Adolescente de Brasil (Ley 8.069/1990) y los proyectos de reforma de la Ley 25.326 en Argentina son los instrumentos a seguir de cerca en los próximos meses.

En 2021, Glovo enfrentó la Ley Rider española —que presume relación laboral cuando una plataforma organiza, dirige o controla el trabajo de repartidores mediante gestión algorítmica— y optó por rediseñar su sistema en lugar de cumplir. Según informó MIT Sloan Management Review, lo que pareció una solución ingeniosa terminó convirtiéndose en un problema mayor. El caso es hoy un manual de advertencia sobre los riesgos no calculados de los workarounds regulatorios, con implicancias directas para plataformas digitales que operan en América Latina bajo marcos normativos crecientemente similares.

La Ley Rider de España: presunción de laboralidad y gestión algorítmica

Aprobada en mayo de 2021 y en vigor desde agosto de ese año, la Ley Rider —Real Decreto-ley 9/2021— modificó el Estatuto de los Trabajadores español para incorporar una presunción de laboralidad específica para plataformas de reparto. El elemento disruptivo no fue la presunción en sí, sino su criterio de activación: basta con que la plataforma organice, dirija o controle el trabajo a través de algoritmos para que se presuma la existencia de un contrato de trabajo. Esto convirtió al sistema de despacho y asignación de pedidos —el núcleo operativo de Glovo— en evidencia potencial de control laboral.

La norma obligó a las plataformas a tomar una decisión estratégica concreta: restructurar el modelo de negocio para eliminar ese control algorítmico, asumir la laboralidad e incorporar a los repartidores como empleados, o buscar una tercera vía. Glovo eligió la tercera vía. El resultado, según se informó, fue que los cambios introducidos no solo no neutralizaron la presunción legal, sino que en algunos casos reforzaron ante los tribunales la percepción de que la compañía intentaba ocultar una relación de subordinación que seguía existiendo en los hechos.

Por qué los workarounds generan más riesgo legal que el incumplimiento directo

Existe una diferencia jurídica relevante entre no cumplir una norma y diseñar activamente un mecanismo para eludirla. En el primer caso, la empresa puede alegar interpretación razonable, vacíos normativos o incertidumbre legal. En el segundo, la existencia del rediseño intencional puede ser leída por un tribunal —o una autoridad regulatoria— como prueba de conocimiento previo de la obligación y voluntad deliberada de evitarla. Ese es el riesgo central que el caso Glovo expone: el workaround se convierte en elemento probatorio en contra.

Hay además un efecto de escrutinio amplificado. Las autoridades laborales y los litigantes que impugnan modelos de plataformas buscan precisamente patrones de diseño que sugieran elusión. Un sistema que fue modificado justo después de que entrara en vigencia una ley que penaliza determinadas características de ese sistema genera, casi automáticamente, una hipótesis de mala fe que la empresa deberá refutar con evidencia interna —comunicaciones, minutas de diseño, decisiones de producto— que rara vez conviene exponer en sede judicial.

Argentina, Brasil y México: tres marcos que presionan en la misma dirección

La discusión sobre la laboralidad de trabajadores de plataformas no es exclusiva de Europa. En América Latina, tres jurisdicciones concentran el mayor avance normativo. En Argentina, el debate legislativo sobre una ley de plataformas de reparto se instaló con fuerza durante 2022 y 2023, con proyectos que incorporan criterios de subordinación algorítmica similares a los de la Ley Rider. Aunque aún no existe una norma aprobada a nivel nacional, la jurisprudencia laboral argentina acumula fallos que reconocen relación de dependencia encubierta con repartidores de aplicaciones. El riesgo de litigio existe hoy, con o sin ley expresa.

Brasil avanza sobre un carril diferente pero convergente. La Proposta de Emenda Constitucional 12/2024 —conocida como PEC de los trabajadores de aplicación— y la regulación complementaria aprobada en 2024 establecieron derechos mínimos para repartidores y conductores, incluyendo garantías de remuneración por hora activa y cobertura de accidentes. La ANPT (Autoridade Nacional de Proteção do Trabalho, en proceso de consolidación institucional) y el Ministerio del Trabajo han señalado que la gestión algorítmica será un criterio de análisis en las inspecciones. En México, la reforma a la Ley Federal del Trabajo de 2021 que reguló el outsourcing también instaló una lógica de transparencia sobre las cadenas reales de control, que los tribunales laborales están usando para analizar plataformas de reparto en casos en curso ante la STPS.

Qué evaluar antes de diseñar una respuesta regulatoria en plataformas digitales

El caso Glovo sugiere un checklist mínimo para cualquier equipo legal o de producto que enfrente una nueva obligación regulatoria con impacto en el modelo operativo. Antes de optar por un rediseño orientado a la elusión, conviene responder al menos estas preguntas:

• ¿El cambio propuesto elimina la conducta que la norma busca regular, o solo modifica su presentación superficial?
• ¿Existen documentos internos —correos, presentaciones, tickets de producto— que relacionen el rediseño con la entrada en vigencia de la norma? Esos documentos son descubribles en litigio.
• ¿El workaround resiste el test de sustancia sobre forma que aplican los tribunales laborales y las autoridades regulatorias en la jurisdicción relevante?
• ¿Se consultó a un abogado laboral local con experiencia en plataformas, o solo al equipo de cumplimiento corporativo global?
• ¿Cuál es el costo comparado de cumplimiento directo versus litigio prolongado, incluyendo daño reputacional y multas acumuladas?

La última pregunta suele reencuadrar la decisión. En España, Glovo fue multada con más de 79 millones de euros por la Inspección de Trabajo entre 2021 y 2022, según registros públicos. Ese número, sumado a los costos legales de múltiples litigios simultáneos, difícilmente resulta inferior al costo de haber incorporado a los repartidores como empleados desde el inicio.

Nuestro análisis

La tendencia regulatoria sobre laboralidad algorítmica en América Latina sigue la dirección europea con un rezago de entre dos y cuatro años según la jurisdicción. Eso significa que las plataformas que operan hoy en Argentina, Brasil o México están tomando decisiones de arquitectura de producto que tendrán consecuencias jurídicas cuando las normas locales terminen de consolidarse. El caso Glovo demuestra que el momento más riesgoso para una plataforma no es cuando la ley ya está vigente y clara, sino durante la ventana de ambigüedad en que la norma existe pero su aplicación es todavía inconsistente: es en esa etapa cuando los workarounds se diseñan, y es exactamente esa etapa la que atraviesan hoy varios mercados latinoamericanos.

El error estratégico de fondo no fue técnico-legal: fue creer que un problema regulatorio puede resolverse con ingeniería de producto. Cuando una norma apunta al control real sobre el trabajo —y no a la forma contractual en que ese control se documenta— ningún rediseño de interfaz elimina la sustancia que los tribunales van a buscar. La pregunta que los equipos legales y de producto deberían hacerse no es “¿cómo evitamos que esto parezca control?” sino “¿tenemos o no tenemos control sobre estos trabajadores?”. Si la respuesta honesta es sí, el workaround solo compra tiempo y acumula evidencia.

Las plataformas latinoamericanas que hoy rediseñan flujos algorítmicos con el ojo puesto en regulaciones que “todavía no llegaron” deberían releer el expediente de Glovo: no como historia europea, sino como mapa de sus propios próximos dos años.

El Departamento de Seguridad Nacional de Estados Unidos (DHS) avanza en la adjudicación de un contrato mayor para consolidar servicios de nube, ciberseguridad y redes bajo una única estructura centralizada de gestión de TI, según un aviso publicado en Sam.gov el mes pasado.

El contrato, identificado como Network, Cloud and Cybersecurity —según se informó—, busca centralizar la administración de infraestructura tecnológica en todo el DHS. La publicación del aviso de contratación establece una línea de tiempo tentativa para la adjudicación durante el año en curso, aunque los términos económicos y el alcance técnico completo no han sido divulgados públicamente. El movimiento se enmarca en una tendencia más amplia del gobierno federal estadounidense de consolidar proveedores y reducir la fragmentación de servicios IT entre agencias.

Centralización federal: alcance confirmado y lo que aún no está claro

• El aviso fue publicado en Sam.gov, plataforma oficial de contrataciones del gobierno federal de EE.UU.
• El contrato abarca servicios de nube, ciberseguridad y redes bajo un esquema unificado.
• La adjudicación está prevista para antes del cierre del año fiscal 2026, según se informó.
• El monto del contrato y los proveedores preseleccionados no han sido confirmados oficialmente.

Qué se sabe y qué falta confirmar

Lo confirmado es que DHS publicó formalmente el aviso de contratación y definió una hoja de ruta tentativa para el proceso de adjudicación. Lo que permanece sin verificar es si el contrato contempla cláusulas de soberanía de datos o restricciones de transferencia internacional, un punto crítico dado que DHS procesa información sensible de seguridad nacional. Tampoco se ha precisado qué agencias componentes del DHS —que incluye al Servicio de Inmigración y Control de Aduanas (ICE), la Guardia Costera y FEMA, entre otras— quedarán cubiertas bajo el acuerdo marco desde el inicio. La estrategia de centralización también plantea interrogantes sobre los controles de acceso y la gestión de identidades en un entorno multi-agencia de alta sensibilidad.

Para América Latina, esta clase de movimientos en la arquitectura de contratación federal estadounidense tiene relevancia operativa concreta: los proveedores de servicios cloud y ciberseguridad que participan en licitaciones con DHS suelen ser los mismos actores que operan infraestructura crítica en México, Brasil, Colombia y Argentina. En la región, la tendencia a centralizar servicios IT gubernamentales también gana terreno —Brasil avanza con su Rede Nacional de Dados e IA, y Colombia con el Marco de Interoperabilidad del Estado—, pero sin los mecanismos de auditoría y transparencia en contratación que exige el sistema de Sam.gov. La Ley 25.326 en Argentina y la LGPD en Brasil imponen requisitos de seguridad sobre los encargados del tratamiento que eventualmente podrían verse afectados si proveedores con contratos DHS amplían operaciones locales.

El próximo hito es la adjudicación formal del contrato antes del cierre del año fiscal federal, previsto para el 30 de septiembre de 2027; cualquier actualización en Sam.gov marcará el paso siguiente del proceso.

Un juez federal de Nueva York rechazó el intento del gobierno de Estados Unidos de desestimar una demanda por vigilancia masiva de redes sociales dirigida a no ciudadanos. El fallo del 1° de octubre de 2026 permite que el caso avance y lo reconoce como una amenaza directa a los derechos de libre expresión y asociación protegidos por la Primera Enmienda.

El juez Alvin K. Hellerstein, del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Nueva York, rechazó la moción de desestimación presentada por los Departamentos de Estado y Seguridad Nacional. La demanda fue iniciada en octubre de 2025 por tres sindicatos —United Automobile Workers (UAW), Communications Workers of America (CWA) y American Federation of Teachers (AFT)— con representación de la Electronic Frontier Foundation (EFF), Muslim Advocates y la Media Freedom & Information Access Clinic (MFIA).

El programa de vigilancia: IA sobre titulares de visa y green card

Según se informó en la demanda, la administración Trump construyó un programa de vigilancia masiva que monitorea las cuentas de redes sociales de personas con visa o residencia permanente en Estados Unidos. El sistema emplea inteligencia artificial y tecnologías automatizadas para identificar expresiones de opinión consideradas “desfavorables” por el gobierno, con el objetivo de derivar esas detecciones hacia procesos migratorios adversos. La presión no se limita a los titulares directos: el tribunal reconoció que el efecto disuasivo alcanza también a familiares y comunidades vinculadas.

El juez Hellerstein sostuvo que la amenaza de consecuencias migratorias negativas —en un contexto de enforcement migratorio ampliamente publicitado— es “suficiente para disuadir a una persona de firmeza ordinaria del ejercicio de sus derechos bajo la Primera Enmienda”. El fallo también reconoció que el programa afecta la función representativa de los sindicatos al silenciar a sus miembros y alejarlos de la membresía activa.

Datos confirmados al 1° de octubre de 2026

• Fecha del fallo: 1° de octubre de 2026, Tribunal del Distrito Sur de Nueva York.
• Demandantes: UAW, CWA y AFT, representados por EFF, Muslim Advocates y MFIA.
• Demandados: Departamento de Estado y Departamento de Seguridad Nacional de EE.UU.
• Motivo rechazado: moción de desestimación presentada por el gobierno federal.
• Población bajo vigilancia: titulares de visa y green card en territorio estadounidense.
• Tecnología involucrada: IA y sistemas automatizados de análisis de redes sociales, según se describió en la demanda.

El caso aún no resolvió el fondo: el rechazo a la moción de desestimación solo habilita la continuación del proceso. Las audiencias sobre el mérito de las acusaciones están pendientes de agenda. Lo que el fallo sí establece con firmeza es que las organizaciones demandantes tienen legitimación para litigar tanto el daño a sus miembros como el impacto institucional sobre su capacidad de organización.

El escenario tiene resonancias directas para América Latina. Millones de ciudadanos de la región —mexicanos, centroamericanos, sudamericanos— residen en Estados Unidos bajo distintos estatus migratorios y son, por definición, sujetos potenciales del programa de vigilancia. En países como México, donde la LFPDPPP no tiene alcance extraterritorial efectivo, o en Argentina, cuya Ley 25.326 tampoco proyecta jurisdicción sobre tratamientos realizados íntegramente en suelo estadounidense, estos ciudadanos quedan desprotegidos por sus propios marcos normativos. La demanda no les otorga derechos directos, pero su avance judicial genera un antecedente que organizaciones de la sociedad civil en la región ya monitorean como referencia de litigio estratégico.

El próximo hito será la fijación del calendario procesal para las audiencias de fondo; hasta entonces, el programa de vigilancia continúa operativo.

El representante Darrell Issa (R-CA) introdujo la American Copyright Protection Act (ACPA, H.R. 10364), un proyecto que amplía la doctrina de bloqueo de sitios web en Estados Unidos hasta un punto sin precedentes: por primera vez, los proveedores de VPN quedarían explícitamente obligados a impedir que sus usuarios accedan a sitios extranjeros catalogados como fuentes de piratería. La Electronic Frontier Foundation (EFF) advirtió que el mecanismo puede operar sin que el sitio acusado tenga siquiera la oportunidad de defenderse ante un tribunal.

El núcleo del proyecto es sencillo y, por eso mismo, preocupante: un titular de derechos de autor puede solicitar a un tribunal que catalogue un sitio web extranjero como “foreign piracy site”. Una vez obtenida esa designación, puede exigir órdenes judiciales a proveedores de servicios de internet, proveedores de DNS y, ahora explícitamente, proveedores de VPN para que adopten “medidas comercialmente razonables” que bloqueen el acceso desde territorio estadounidense. El proceso puede completarse sin notificación al sitio afectado, lo que elimina el derecho de defensa como garantía efectiva.

H.R. 10364 va más lejos que la FADPA de 2025 en tres puntos clave

La ACPA tiene un antecedente directo: la Foreign Anti-Digital Piracy Act (FADPA), introducida el año pasado y también cuestionada por la EFF. Pero la nueva propuesta elimina dos salvaguardas que la FADPA al menos incluía: la exclusión de empresas que proveen únicamente servicios VPN, y la exclusión de proveedores que ofrecen resolución DNS exclusivamente a través de protocolos cifrados. Ambas protecciones desaparecen en el texto de la ACPA. Además, la definición de “piracy site” se amplía: la FADPA exigía que el sitio no tuviera “ningún propósito o uso comercialmente significativo” más allá de la infracción; la ACPA lo reformula como “solo un propósito o uso comercialmente significativo limitado”. Con esa redacción, una plataforma con actividad legítima podría igualmente ser bloqueada para todos los usuarios estadounidenses.

Por qué el bloqueo por DNS y VPN compromete infraestructura crítica

El bloqueo a nivel de DNS y VPN no es quirúrgico. Cuando un proveedor de DNS bloquea un dominio, lo hace para todos sus usuarios, incluyendo aquellos que acceden con fines perfectamente lícitos. Los proveedores de VPN, por su parte, construyen su propuesta de valor sobre la promesa de no interferir en el tráfico del usuario. Obligarlos legalmente a filtrar destinos convierte a la herramienta de privacidad en un instrumento de control de contenidos. Investigadores, periodistas y activistas que dependen de VPN para proteger sus comunicaciones quedarían sujetos a las mismas restricciones que cualquier servicio de consumo masivo.

El modelo de bloqueo judicial sin contradictorio y su resonancia en Brasil, Argentina y México

El mecanismo que habilita la ACPA, bloqueo sin audiencia previa del sitio afectado, no es ajeno a América Latina, aunque los contextos son distintos. En Brasil, el Marco Civil da Internet (Ley 12.965/2014) establece que la remoción de contenidos solo puede ordenarse judicialmente, con notificación al proveedor y, en principio, al responsable del contenido. Sin embargo, la práctica de bloqueos por orden judicial sin audiencia plena al afectado ha sido documentada en casos de piratería y juego en línea. En Argentina, la Ley 26.032 protege la difusión de información por internet como ejercicio de la libertad de expresión, y los bloqueos masivos han sido cuestionados judicialmente. México carece de una ley específica de bloqueo de contenidos, pero el artículo 229 de la Ley Federal del Derecho de Autor, reformada en el marco del T-MEC, incorporó mecanismos de retirada de contenido que los operadores de telecomunicaciones deben implementar bajo supervisión del Instituto Federal de Telecomunicaciones (IFT). Si la ACPA se convierte en ley, su extraterritorialidad potencial —al afectar a servicios de VPN que operan con servidores y usuarios en LATAM— podría generar conflictos de jurisdicción con estas normativas locales.

Efecto extraterritorial: qué significa para proveedores de VPN con operaciones en América Latina

Muchos de los proveedores de VPN más utilizados en la región —NordVPN, ExpressVPN, Proton VPN— tienen usuarios y en varios casos infraestructura en América Latina, pero están sujetos a la ley del país donde están incorporados o donde prestan el servicio al usuario estadounidense. Una empresa de VPN que opere bajo jurisdicción de EE.UU. o que preste servicios a usuarios en ese país quedaría directamente alcanzada por la ACPA. Para proveedores con sede fuera de EE.UU., la presión podría llegar de forma indirecta: a través de tiendas de aplicaciones, procesadores de pago o acuerdos comerciales. El precedente normativo que genera la ACPA también podría animar a legisladores de la región a introducir marcos similares bajo el argumento de combatir la piratería digital.

Qué monitorear en el trámite legislativo de H.R. 10364

El proyecto fue introducido en la Cámara de Representantes y deberá atravesar el proceso de comités antes de avanzar. La EFF anunció su oposición al texto actual. Los puntos de mayor tensión en el debate serán la inclusión explícita de VPN, la eliminación del requisito de notificación al sitio acusado, y la nueva definición ampliada de “piracy site”. Organizaciones de libertad de prensa y grupos de privacidad digital —incluyendo la Internet Society y Access Now, con presencia activa en LATAM— podrían sumarse a la presión contra el proyecto. El Congreso también tiene pendiente una discusión más amplia sobre el equilibrio entre derechos de autor y libre acceso a la información, un debate que SOPA y PIPA ya plantearon en 2012 sin resolución duradera.

Nuestro análisis

La ACPA representa una escalada deliberada respecto de todos los proyectos de bloqueo anteriores. Incorporar a los proveedores de VPN no es un detalle técnico: es una declaración sobre qué herramientas de privacidad el legislador está dispuesto a subordinar al interés de los titulares de derechos de autor. La eliminación de la exclusión para VPN y DNS cifrado invierte la carga: en lugar de demostrar que el servicio participa activamente en la infracción, basta con que el tráfico de sus usuarios pueda llegar a un sitio designado. Ese estándar es incompatible con la naturaleza de una red privada virtual. Para América Latina, el riesgo no es solo el efecto de arrastre sobre proveedores con usuarios en la región —que es real—, sino el valor de señal que tiene un marco como este para legisladores locales que buscan modelos exportables de control de contenidos bajo el rótulo de protección de la propiedad intelectual.

Si la ACPA prospera, la pregunta no será si los VPN pueden sobrevivir como herramienta de privacidad bajo ese régimen, sino cuántos otros marcos regionales adoptarán su lógica de bloqueo sin contradictorio como plantilla.

Una orden judicial derivada del litigio de Epic Games contra Google obliga a la compañía a permitir que tiendas de aplicaciones de terceros se distribuyan a través de Google Play y accedan a su catálogo. El cambio redefine la estructura de poder en el ecosistema Android y abre un debate que en América Latina tiene implicancias directas: ¿qué rol cumple la regulación de plataformas cuando el mercado falla por décadas?

Durante años, la distribución de aplicaciones en Android estuvo sujeta a las reglas de un único guardián: Google. Los desarrolladores que querían llegar a la mayoría de los usuarios del sistema operativo móvil más usado del mundo tenían, en la práctica, una sola puerta de entrada. Epic Games, desarrolladora de Fortnite, decidió litigar contra ese modelo alegando violaciones a las leyes antimonopolio de Estados Unidos. El resultado fue una orden judicial que, desde octubre de 2025, ya está produciendo cambios visibles en el ecosistema.

La orden judicial que forzó a Google a abrir el Play Store a competidores

El fallo en el caso Epic Games v. Google impuso modificaciones sustanciales a las prácticas comerciales de la compañía. Entre los cambios más relevantes: las tiendas de aplicaciones rivales ahora pueden acceder al catálogo de Google Play y distribuirse a través de la misma plataforma. Además, los desarrolladores obtuvieron mayor libertad para dirigir a sus usuarios hacia sistemas de pago alternativos y canales de distribución propios, lo que rompe directamente con el modelo de comisiones obligatorias que Google imponía sobre las compras dentro de las aplicaciones. Según se informó, estos cambios comenzaron a ser perceptibles para los usuarios de Android durante el transcurso de 2025.

La Electronic Frontier Foundation (EFF), organización de derechos digitales con sede en San Francisco, calificó el resultado como una victoria para la competencia y la aplicación de las normas antimonopolio, pero también subrayó una dimensión que suele quedar fuera del análisis económico: la posibilidad de que la competencia entre tiendas de apps derive en mejores estándares de privacidad y seguridad para los usuarios. Si Google no protege adecuadamente los datos de sus usuarios, argumenta la EFF, ahora existe la posibilidad real de migrar a una alternativa que sí lo haga.

Antitrust digital en la UE, Brasil y México: tres velocidades distintas

El caso Epic-Google no ocurre en un vacío regulatorio global. En la Unión Europea, la Ley de Mercados Digitales (DMA, por sus siglas en inglés) entró en vigor en 2023 y ya obliga a los guardianes de acceso —entre ellos Google y Apple— a permitir la carga lateral de aplicaciones y la interoperabilidad con tiendas de terceros. La diferencia clave es que en Europa el cambio llegó por vía legislativa, mientras que en Estados Unidos llegó por un litigio privado que duró años y cuyo alcance puede aún ser objeto de apelaciones.

En América Latina, ningún país cuenta todavía con un equivalente al DMA. Brasil avanza en la regulación de plataformas digitales a través del Proyecto de Ley 2768/2022, conocido como el “PL das Plataformas”, pero su tramitación en el Congreso ha sido lenta y su texto actual no aborda de manera específica las condiciones de acceso a las tiendas de aplicaciones móviles. El Conselho Administrativo de Defesa Econômica (CADE), autoridad de competencia brasileña, ha investigado prácticas de grandes plataformas, pero sin resoluciones que hayan forzado cambios estructurales comparables a los del fallo estadounidense.

México presenta una situación similar: la Comisión Federal de Competencia Económica (COFECE) tiene facultades para investigar prácticas monopólicas en mercados digitales, y en años recientes ha publicado estudios sobre la concentración en plataformas, pero sin acciones de remedio equivalentes al caso Epic. Colombia, por su parte, discute reformas a la Ley 1340 de 2009 —el marco de competencia vigente— que incluirían disposiciones para economías de plataforma, aunque sin fecha de aprobación concreta.

Por qué la apertura de las tiendas de apps importa más allá de las comisiones

El debate público suele enmarcarse en términos de comisiones: Google cobraba hasta un 30% sobre las compras dentro de las aplicaciones, lo que encarecía los servicios para desarrolladores y, en última instancia, para los consumidores. Pero la EFF señala una dimensión más profunda: el control monopólico sobre la distribución de aplicaciones equivale a control sobre qué expresión digital llega a los usuarios y en qué condiciones. Una tienda única puede remover aplicaciones, imponer restricciones de contenido o condicionar el acceso a criterios arbitrarios sin que el desarrollador tenga recurso alternativo.

Para los usuarios latinoamericanos —que representan más del 90% de los usuarios de smartphones Android en la región, según datos de StatCounter correspondientes a 2024—, esto no es abstracto. La dependencia de un único canal de distribución afecta desde la disponibilidad de aplicaciones de gobierno abierto hasta la posibilidad de instalar herramientas de privacidad que Google podría tener incentivos para no promover. La apertura a competidores crea, al menos en teoría, un piso mínimo de pluralismo en la capa de distribución digital.

Qué monitorear: apelaciones en EE.UU. y el avance del PL das Plataformas en Brasil

El cambio en Google Play es real pero no necesariamente permanente. Google puede apelar aspectos del fallo o negociar modificaciones en el cumplimiento de la orden. Los equipos regulatorios y legales de empresas con operaciones en Android deben seguir de cerca la evolución del caso ante los tribunales de apelación del Noveno Circuito de Estados Unidos, que es la jurisdicción correspondiente. Mientras tanto, en América Latina, el foco de seguimiento más relevante es Brasil: si el PL das Plataformas avanza con disposiciones sobre interoperabilidad y acceso a marketplaces digitales, podría convertirse en el primer instrumento regional con impacto directo comparable al DMA europeo.

Para las empresas que distribuyen aplicaciones en Android con ingresos en la región, la ventana práctica más inmediata está en revisar sus acuerdos de distribución con Google y explorar si las nuevas condiciones permiten reducir costos de comisión o diversificar canales. Los desarrolladores independientes latinoamericanos, que históricamente han absorbido las comisiones más altas sin poder negociar condiciones, son quienes más pueden ganar si la competencia entre tiendas efectivamente se consolida.

Nuestro análisis

El resultado del litigio Epic v. Google es un recordatorio incómodo para los legisladores latinoamericanos: los cambios estructurales en los mercados digitales concentrados pueden llegar por la vía judicial antes que por la legislativa, y cuando llegan así, son más lentos, más inciertos y tienen alcance jurisdiccional limitado. La Unión Europea eligió anticiparse con el DMA; Estados Unidos llegó al mismo destino por un camino más costoso. América Latina, salvo Brasil con su proyecto en discusión, todavía no eligió ninguno de los dos caminos con claridad.

La pregunta que deben hacerse los reguladores de competencia en la región —CADE, COFECE, la SIC colombiana y sus pares— es si esperarán a que un litigio privado con años de duración produzca el resultado que la regulación proactiva podría generar en plazos más acotados. El modelo europeo ofrece evidencia de que los remedios estructurales anticipados son posibles. La voluntad política es, por ahora, la variable que falta.

La apertura del Play Store a competidores es un hito antimonopolio relevante, pero su impacto en América Latina dependerá de si los reguladores regionales deciden ser actores o espectadores del cambio.

Un juez federal de Utah emitió una medida cautelar que suspende la aplicación de la SB 73, la ley estatal que exigía a sitios web adultos bloquear a usuarios de VPN o identificar su ubicación física. La decisión, que la Electronic Frontier Foundation (EFF) celebró como un triunfo para los derechos digitales, establece que la norma probablemente viola la Constitución estadounidense al imponer una obligación técnicamente imposible de cumplir. El fallo tiene implicancias directas para el debate latinoamericano sobre verificación de edad y regulación de plataformas.

Qué ordenaba la SB 73 de Utah y por qué era inviable

Sancionada a principios de 2026 y firmada por el gobernador de Utah, la SB 73 convirtió a ese estado en el primero del país —según el propio registro de la EFF— en apuntar directamente al uso de VPN como mecanismo para eludir controles de verificación de edad en plataformas de contenido adulto. La ley exigía a los sitios web dos alternativas igualmente problemáticas: bloquear completamente a cualquier usuario que accediera mediante una VPN, o bien identificar la ubicación física real de ese usuario a pesar del enmascaramiento de tráfico que la herramienta provee. Para cerrar el círculo, la norma también prohibía a las plataformas publicar instrucciones sobre cómo usar una VPN para eludir esos controles.

El tribunal federal suspendió la aplicación de las disposiciones sobre VPN con un argumento central: la ley probablemente viola la cláusula constitucional que impide al gobierno imponer cargas significativas sobre actividades comerciales interestatales. Pero el argumento técnico fue igualmente contundente. Detectar con certeza si un usuario está detrás de una VPN —y más aún identificar su ubicación real— no es un problema de recursos o de voluntad regulatoria: es una imposibilidad técnica en el estado actual de la infraestructura de internet, tal como argumentó la EFF en sus comentarios ante el Departamento de Comercio de Utah.

La EFF ante el Departamento de Comercio de Utah: privacidad como argumento técnico y de derechos

Simultáneamente al fallo judicial, la EFF presentó comentarios formales en el proceso de elaboración de reglas del Departamento de Comercio de Utah, donde detalló cómo forzar a las plataformas a detectar y bloquear herramientas de privacidad no solo es técnicamente inviable, sino que compromete la seguridad de usuarios en todo el mundo. Las VPN son utilizadas por periodistas, activistas, trabajadores remotos y ciudadanos en regímenes autoritarios, y cualquier infraestructura diseñada para identificar a sus usuarios crea un vector de vulnerabilidad que va mucho más allá del contexto regulatorio de Utah.

Verificación de edad en plataformas: el mapa regulatorio en Brasil, Argentina y México

El caso de Utah no es un fenómeno aislado. La regulación de contenidos digitales para menores y la verificación de edad en plataformas es un debate activo en América Latina, con distintos niveles de avance según el país. En Brasil, la Lei 14.811/2024 refuerza la protección de niñas, niños y adolescentes en entornos digitales y habilita a la Autoridade Nacional de Proteção de Dados (ANPD) para intervenir en casos de tratamiento indebido de datos de menores, aunque la regulación específica sobre verificación de edad en plataformas de contenido adulto aún está en desarrollo. El Marco Legal da IA, aprobado en 2024, también incorpora principios que impactarán en cómo las plataformas gestionan el acceso diferenciado por edad.

En Argentina, la Ley 25.326 de Protección de Datos Personales no contempla explícitamente mecanismos de verificación de edad en plataformas digitales, y el proyecto de reforma que tramita en el Congreso tampoco ha incorporado ese eje de manera específica. La Agencia de Acceso a la Información Pública (AAIP) tiene competencia sobre el tratamiento de datos de menores, pero carece de un mandato claro sobre verificación de acceso a contenidos. En México, la LFPDPPP tampoco cubre este escenario, aunque el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ha emitido criterios sobre el tratamiento de datos de menores que podrían ser relevantes si una regulación similar a la SB 73 intentara replicarse a nivel federal o estatal.

El patrón regional es claro: ningún país latinoamericano ha legislado todavía sobre la obligación de bloquear VPN como mecanismo de verificación de edad, pero la presión regulatoria sobre plataformas de contenido adulto es creciente en varios congresos. El fallo de Utah provee un antecedente jurisprudencial relevante sobre los límites técnicos y constitucionales de ese enfoque.

Qué cambia para plataformas que operan en la región si este modelo regulatorio avanza

Para una empresa de tecnología o una plataforma de contenidos con usuarios en América Latina, el escenario regulatorio emergente plantea tres desafíos concretos. Primero, cualquier obligación de verificación de edad que implique identificar o bloquear usuarios de VPN requeriría infraestructura de detección de tráfico que, según el argumento técnico validado por el tribunal de Utah, no existe de forma confiable. Segundo, implementar esa infraestructura —aunque fuera posible— crearía riesgos de privacidad para todos los usuarios, no solo para quienes intentan evadir controles, en directa tensión con las obligaciones de las leyes de protección de datos personales vigentes en la región. Tercero, las plataformas que operen en múltiples jurisdicciones se enfrentan a estándares contradictorios: una regulación en un estado o país puede exigir lo que otra prohíbe.

Próximos hitos: el litigio sigue y los congresos de la región observan

La medida cautelar es preliminar: el litigio sobre la SB 73 continuará en los tribunales federales de Utah. Una decisión definitiva sobre la inconstitucionalidad de la norma —o su eventual reformulación— marcará el terreno para regulaciones similares en otros estados de EE.UU. y, por efecto de influencia regulatoria, en países de América Latina que suelen mirar los debates legislativos norteamericanos como referencia. Vale monitorear también la evolución del Marco Legal da IA en Brasil y las discusiones en el Congreso argentino sobre reforma de la ley de datos personales, ambos espacios donde la regulación de acceso por edad podría aparecer como enmienda o artículo separado.

Nuestro análisis

El fallo de Utah pone en evidencia una tensión estructural que los legisladores latinoamericanos deberían leer con atención: la presión política por regular el acceso de menores a contenido adulto es legítima, pero el instrumento técnico importa tanto como la intención normativa. Obligar a las plataformas a detectar VPN no es una exigencia de compliance riguroso, es pedirle al derecho que derogue la criptografía. El mismo error conceptual reaparece en debates regionales sobre retención de datos, acceso gubernamental a comunicaciones cifradas y geolocalización forzada. El antecedente judicial estadounidense no es vinculante para los tribunales de la región, pero sí es un argumento técnico documentado y respaldado por un órgano jurisdiccional, lo que le otorga peso en cualquier proceso de elaboración de normas. Las autoridades de protección de datos de la región —ANPD, AAIP, INAI— tienen aquí una oportunidad concreta de emitir criterios preventivos antes de que algún legislador intente replicar la SB 73 en español.

Cuando una ley exige lo técnicamente imposible, el problema no lo resuelve el cumplimiento: lo resuelve el control judicial. ¿Están las autoridades regulatorias de América Latina equipadas para hacer ese análisis técnico antes de que una norma inviable entre en vigor?