Blog

La gobernanza de datos sigue perdiendo la batalla presupuestaria frente a infraestructura, ciberseguridad e inteligencia artificial en la mayoría de las organizaciones de la región. El argumento ya no puede ser solo técnico: quien conduce datos necesita hablar el idioma del CFO.

Durante años, la gobernanza de datos fue tratada como un proyecto de cumplimiento o, en el mejor caso, como un habilitador silencioso de otros proyectos más visibles. El resultado es predecible: los presupuestos de TI se asignan a lo que tiene un caso de negocio claro y urgente, y la gobernanza rara vez llega con uno. Eso está cambiando, aunque despacio, y la presión viene de dos frentes simultáneos: los reguladores que exigen trazabilidad sobre datos personales y activos de IA, y los propios equipos de datos que no pueden escalar sin estructuras formales de ownership y calidad.

Por qué la gobernanza de datos pierde frente a proyectos más visibles

El problema central es de narrativa, no de relevancia. Un proyecto de migración a la nube tiene un costo visible, un plazo y un entregable. Un programa de gobernanza de datos entrega reducción de riesgo, consistencia en reportes y habilitación de analítica confiable, beneficios que son difíciles de monetizar en una sola línea de presupuesto. Según el marco DAMA-DMBOK, la gobernanza de datos es la función que define autoridad, responsabilidades y toma de decisiones sobre los activos de datos de una organización. Ese mandato abarca desde la definición de data stewards —responsables operativos del dato— hasta los procesos de data lineage (trazabilidad del origen, transformación y consumo de cada dataset), pasando por catálogos, políticas de calidad y gestión del ciclo de vida del dato. Ninguna de esas capacidades aparece sola en un dashboard de KPIs de negocio.

El EDM Council, a través de su marco DCAM (Data Capability Assessment Model), propone cuantificar la madurez de governance en capabilities medibles y vincularlas a pérdidas económicas concretas: decisiones tomadas sobre datos duplicados, reportes regulatorios con errores que generan observaciones, o proyectos de machine learning que fracasan por falta de datos etiquetados y confiables. Ese lenguaje —pérdida evitable, costo de retrabajo, riesgo regulatorio con multa asociada— es el que abre conversaciones en comités de presupuesto.

Cuándo aplica / cuándo NO

Invertir en un programa formal de gobernanza de datos tiene sentido cuando la organización opera con múltiples fuentes de datos que alimentan decisiones críticas, cuando hay obligaciones regulatorias de reportar datos con trazabilidad —como las exigidas por la Comisión Nacional Bancaria y de Valores en México, el Banco Central de la República Argentina bajo la Comunicación A 7724 o la Comisión de Valores de Brasil—, o cuando los proyectos de IA generativa están frenados por falta de confianza en los datos de entrenamiento. No es la solución correcta para organizaciones en etapa temprana con un único sistema de registro y menos de diez personas consumiendo datos: en ese caso, el esfuerzo de governance supera el beneficio. La gobernanza escala con la complejidad; no es una capacidad que se instala de una vez, sino que crece con el volumen de actores, sistemas y decisiones que dependen del dato.

El argumento regulatorio en América Latina ya es concreto

En la región, la presión regulatoria está construyendo el caso de negocio que los equipos de datos no lograron construir solos. Brasil exige bajo la Lei Geral de Proteção de Dados (LGPD) que las organizaciones sean capaces de demostrar el ciclo de vida de los datos personales que tratan, lo que requiere capacidades equivalentes a data lineage y catálogo de activos. Argentina, a través de la Agencia de Acceso a la Información Pública (AAIP), ha intensificado la revisión de medidas de seguridad en tratamientos de datos personales amparados por la Ley 25.326. Colombia avanza en la implementación de su régimen de protección de datos bajo la Ley 1581 con inspecciones de la Superintendencia de Industria y Comercio. En todos esos contextos, la gobernanza de datos deja de ser una iniciativa opcional para convertirse en un requisito de operación.

El CDO o Data Lead que lleva este argumento al comité de presupuesto tiene que presentar tres números: el costo potencial de una multa regulatoria por incapacidad de demostrar tratamiento lícito de datos, el costo de retrabajo en reportes por inconsistencias en datos maestros, y la estimación de proyectos de analítica o IA que no pudieron lanzarse por falta de datos confiables. Con esos tres números sobre la mesa, la conversación cambia. El paso siguiente es mapear cuáles de las diez capabilities del CDMC (Data Management Capability Assessment) ya existen informalmente en la organización y cuáles requieren inversión incremental: frecuentemente el 40% de la capacidad ya está presente, aunque sin formalizar ni medir.

Governance sin presupuesto propio: el modelo no invasivo como punto de entrada

Bob Seiner, referente del enfoque Non-Invasive Data Governance, sostiene que la gobernanza más efectiva formaliza lo que la organización ya hace, en lugar de imponer procesos nuevos desde cero. Ese enfoque es especialmente útil en contextos de presupuesto limitado: identificar quiénes ya toman decisiones sobre datos críticos, documentar esas responsabilidades como data stewardship formal, y construir desde ahí hacia políticas y catálogos. Es una entrada de bajo costo que genera evidencia de valor antes de pedir una línea presupuestaria propia. En empresas medianas de Brasil, Argentina o México, ese modelo ha permitido avanzar en madurez de governance sin requerir la creación de un equipo dedicado desde el día uno.

Para profundizar en los marcos de referencia mencionados, el DAMA-DMBOK está disponible en dama.org y el modelo CDMC del EDM Council puede consultarse en edmcouncil.org; ambos ofrecen guías de autoevaluación que pueden servir como base para el caso de inversión ante la dirección.

Una renuncia de alto perfil en el sector salud volvió a poner sobre la mesa una pregunta incómoda: ¿quién responde cuando los datos clínicos se gestionan sin accountability real? El caso, identificado como “la renuncia Clifford” en medios especializados, no es un episodio aislado — es un síntoma de un problema estructural en la gobernanza de datos de salud que la región no puede ignorar.

Los datos de salud ocupan la categoría más sensible en prácticamente todos los marcos legales de protección de datos personales vigentes. Son inmutables en su núcleo —un diagnóstico no se puede cambiar como una contraseña—, se generan de forma continua a lo largo de la vida de una persona, y su exposición o mal uso tiene consecuencias que van desde la discriminación laboral hasta la denegación de cobertura de seguros. Esa asimetría de riesgo exige un nivel de madurez en gobernanza de datos que pocas organizaciones de salud han alcanzado.

Qué revela una renuncia sobre el ownership del dato clínico

Cuando un ejecutivo o funcionario de alto rango abandona una organización de salud citando —implícita o explícitamente— desacuerdos sobre cómo se gestionan los datos, el problema raramente es técnico. Según se informó en relación con el caso Clifford, la tensión de fondo involucra decisiones sobre acceso, uso secundario y control de datos clínicos tomadas sin los controles de gobernanza adecuados. En términos de DAMA-DMBOK, esto apunta a una falla en dos capacidades críticas: data ownership y data stewardship. Sin un data steward designado con autoridad real sobre los datos clínicos —no solo responsabilidad nominal—, las decisiones sobre quién accede, con qué propósito y bajo qué retención quedan en un vacío organizacional que tarde o temprano produce una crisis.

El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica la trazabilidad del dato sensible como una capability no negociable para organizaciones que procesan información de salud en entornos cloud. La ausencia de data lineage documentado —es decir, el registro auditable de cómo se originó un dato, cómo fue transformado y a dónde fue entregado— es precisamente lo que permite que decisiones cuestionables queden sin registro formal y, por lo tanto, sin consecuencia.

Cuándo aplica este riesgo de gobernanza — y cuándo NO

Este tipo de riesgo aplica cuando una organización de salud centraliza datos clínicos de múltiples fuentes (historias clínicas electrónicas, laboratorios, wearables, aseguradoras) sin un marco de gobernanza que defina ownership por dominio, políticas de acceso diferenciadas por sensibilidad, y un proceso de change management que registre quién aprobó qué decisión sobre el dato. No aplica —o aplica con menor urgencia— en organizaciones que operan con datos completamente anonimizados bajo estándares auditables, o en sistemas de salud pública con marcos de acceso restringido y control parlamentario. La distinción importa porque el error más frecuente es aplicar controles de gobernanza uniformes sin distinguir entre datos clínicos identificables, datos pseudonimizados con llave de reidentificación, y datos efectivamente anonimizados.

El marco legal en LATAM: LGPD, Ley 25.326 y el silencio de los reglamentos sectoriales

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos de salud como datos sensibles en su artículo 11 y establece condiciones de tratamiento más restrictivas, incluyendo la obligación de realizar evaluación de impacto cuando el tratamiento pueda generar riesgo significativo. La Autoridade Nacional de Proteção de Dados (ANPD) ha señalado el sector salud como prioritario en su agenda de fiscalización para 2025-2026. En Argentina, la Ley 25.326 protege los datos de salud como categoría especial desde el año 2000, pero su reglamentación en el sector sanitario sigue fragmentada entre el Ministerio de Salud, las obras sociales reguladas por la Superintendencia de Servicios de Salud, y las clínicas privadas que operan sin auditorías sistemáticas de gobernanza de datos. México, por su parte, cuenta con la LFPDPPP y normas técnicas específicas del sector salud, pero la articulación entre el INAI y la Secretaría de Salud en materia de supervisión de datos clínicos continúa siendo débil en la práctica.

Lo que el caso Clifford hace visible es la brecha entre el marco legal —que en la mayoría de los países de la región existe y es razonablemente robusto para datos sensibles— y la madurez operativa de las organizaciones de salud para implementarlo. Tener una política de protección de datos no equivale a tener gobernanza de datos. La política dice qué se debe hacer; la gobernanza define quién lo hace, cómo se audita, y qué pasa cuando alguien toma una decisión equivocada.

Tres acciones concretas para CDOs en organizaciones de salud

• Mapear el inventario de datos clínicos por nivel de sensibilidad y asignar un data steward con nombre, no con cargo genérico. Si hoy no podés responder en menos de 24 horas “quién aprobó el acceso de este sistema a estos datos”, hay un gap de ownership que necesita resolverse antes de la próxima auditoría.
• Revisar si el data lineage cubre los flujos desde el sistema de origen clínico hasta cualquier plataforma analítica o de inteligencia artificial que consuma esos datos. El CDMC del EDM Council establece esto como capability de nivel 2; muchas organizaciones de salud en LATAM operan aún en nivel 0 o 1.
• Establecer un proceso documentado de decisiones de gobernanza —quién puede autorizar un uso secundario de datos clínicos, con qué criterios, y con qué registro auditable. Este proceso debe sobrevivir la salida de cualquier ejecutivo, incluido el CDO.

Las renuncias de alto perfil en organizaciones de salud no son el problema — son el aviso de que el problema ya existe. Para quienes gestionan datos clínicos en la región, el texto de referencia para construir ese proceso desde la base sigue siendo la Guía de Implementación de la LGPD para el sector salud publicada por la ANPD, disponible en el sitio oficial de la autoridad brasileña.

Honeywell Aerospace Inc. acordó pagar 2.042.518 dólares para resolver alegaciones del Departamento de Justicia de Estados Unidos por incumplir requisitos de ciberseguridad en un contrato con el Departamento de Defensa, según anunció el DOJ el 1 de septiembre de 2026.

El acuerdo se enmarca en la False Claims Act (FCA), la ley federal estadounidense que establece responsabilidad civil para contratistas que presenten declaraciones falsas o fraudulentas al gobierno. Según se informó, Honeywell Aerospace —con sede en Estados Unidos— habría facturado servicios bajo un contrato del Pentágono sin haber cumplido efectivamente con los controles de ciberseguridad exigidos en ese acuerdo. El caso fue revelado públicamente el 1 de septiembre de 2026 mediante un comunicado oficial del DOJ.

Datos confirmados del acuerdo con el DOJ

• Monto acordado: 2.042.518 dólares
• Empresa: Honeywell Aerospace Inc.
• Marco legal aplicado: False Claims Act (EE. UU.)
• Contraparte afectada: Departamento de Defensa de Estados Unidos (DoD)
• Anuncio del DOJ: 1 de septiembre de 2026

Qué se sabe y qué falta confirmar

Lo confirmado es que Honeywell Aerospace acordó el pago sin que ello implique necesariamente una admisión de responsabilidad, práctica habitual en este tipo de settlements bajo la FCA. Lo que no ha sido detallado públicamente es cuáles controles de ciberseguridad específicos fueron incumplidos, ni por cuánto tiempo se extendió el incumplimiento, ni si existió una brecha de datos asociada al contrato en cuestión. Tampoco se ha informado si el caso fue iniciado por un denunciante interno —los llamados qui tam relators— o por auditoría directa del DoD.

El caso suma a una serie de acciones del DOJ bajo la denominada Civil Cyber-Fraud Initiative, lanzada en 2021, que busca precisamente usar la FCA como herramienta de enforcement para contratistas federales que declaren cumplimiento de estándares como el NIST SP 800-171 o el CMMC (Cybersecurity Maturity Model Certification) sin haberlos implementado efectivamente. El mensaje regulatorio es claro: el incumplimiento contractual en materia de ciberseguridad tiene consecuencias patrimoniales directas, no solo reputacionales.

Para el ecosistema de proveedores del Estado en América Latina, el caso tiene lectura directa. En Brasil, los contratos de tecnología con la administración pública federal están sujetos a la Instrução Normativa SGD/ME nº 1/2019 y a los marcos de seguridad de la información del GSI; en Argentina, el Decreto 1066/2023 establece requisitos de ciberseguridad para organismos del Estado, con impacto en sus proveedores tecnológicos. En México, la Estrategia Nacional de Ciberseguridad carece aún de un mecanismo de enforcement equivalente a la FCA, lo que deja sin sanción patrimonial efectiva a los contratistas que declaren cumplimientos no verificados. La pregunta que este caso instala en la región es cuántos contratos públicos de tecnología se adjudican con declaraciones de cumplimiento de seguridad que nadie audita.

El próximo indicador a seguir es si el DOJ publica los detalles del incumplimiento específico de Honeywell, lo que permitirá determinar si el caso sienta precedente para contratistas que operan simultáneamente con gobiernos de la región.

La Comisión Económica para América Latina y el Caribe (CEPAL) emitió un llamado formal a los gobiernos de la región para fortalecer sus sistemas de estadísticas oficiales, argumentando que sin datos públicos confiables es imposible diseñar políticas efectivas ni avanzar hacia una gobernanza de datos sostenible. El planteo, formulado en septiembre de 2025, pone en evidencia una brecha estructural que afecta tanto a los Estados como a las organizaciones privadas que dependen de insumos estadísticos para tomar decisiones.

El diagnóstico de la CEPAL no es nuevo, pero su urgencia ha escalado. La proliferación de fuentes de datos no oficiales —plataformas privadas, sensores, redes sociales— genera una paradoja: hay más datos que nunca disponibles, pero los marcos institucionales para darles sentido, validarlos y usarlos en políticas públicas siguen siendo débiles. La calidad del dato público es la base sobre la cual se construyen modelos de planificación, distribución de presupuesto y evaluación de impacto. Cuando esa base falla, todo lo que se construye encima es frágil.

Qué plantea la CEPAL: datos oficiales como infraestructura crítica

Según se informó, el organismo regional subrayó que los institutos nacionales de estadística de América Latina enfrentan déficits crónicos de financiamiento, recursos humanos especializados y marcos normativos actualizados. La CEPAL vincula directamente la debilidad estadística con la incapacidad de los Estados para medir el avance de los Objetivos de Desarrollo Sostenible (ODS), gestionar crisis y diseñar intervenciones focalizadas en poblaciones vulnerables. En ese sentido, el llamado no es solo técnico: es una advertencia sobre la soberanía de datos de los países frente a actores privados que sí tienen capacidad analítica instalada.

El argumento central es que los datos estadísticos oficiales son infraestructura pública, comparable a rutas o redes eléctricas. Descuidarlos no solo deteriora la toma de decisiones del Estado; crea un vacío que organizaciones privadas —y a veces actores externos— terminan llenando con sus propios conjuntos de datos, bajo sus propias condiciones de acceso y uso. Eso tiene consecuencias directas sobre quién controla el relato de lo que ocurre en la región.

Argentina, Brasil y México: tres velocidades distintas en estadística pública

El panorama regional es heterogéneo. Brasil mantiene el Instituto Brasileiro de Geografia e Estatística (IBGE) como una de las agencias estadísticas más robustas de América Latina, con capacidad censal, encuestas continuas y apertura de microdatos bajo estándares comparables a los de economías avanzadas. Sin embargo, incluso el IBGE enfrenta presiones presupuestarias que, en años recientes, postergaron relevamientos clave. En México, el INEGI opera bajo un esquema de autonomía técnica reconocida, aunque el debate sobre la independencia efectiva del organismo resurge periódicamente en contextos de cambio de administración.

Argentina presenta una situación más compleja: el INDEC atravesó una crisis de credibilidad severa entre 2007 y 2015, cuando la manipulación de índices de precios afectó la confiabilidad de sus series históricas. La recuperación institucional fue gradual y, según se informó, todavía persisten brechas en la producción de estadísticas subnacionales y en la integración de registros administrativos con encuestas de hogares. Colombia, por su parte, ha avanzado en la construcción del Sistema Estadístico Nacional bajo la coordinación del DANE, con proyectos de interoperabilidad que apuntan a reducir la duplicación de esfuerzos entre entidades públicas.

Gobernanza de datos públicos: el eslabón que falta entre el dato y la política

El llamado de la CEPAL toca un nervio específico para quienes trabajan en gobernanza de datos en el sector privado: la calidad del ecosistema estadístico público condiciona la calidad de cualquier análisis que use esos datos como insumo. Un modelo de riesgo crediticio que incorpora datos de desempleo del INDEC, del IBGE o del DANE es tan confiable como la fuente que lo alimenta. En términos del marco DAMA-DMBOK, esto remite directamente a la dimensión de calidad del dato (Data Quality Management) aplicada al nivel de los productores primarios de información.

La CEPAL no habla de data governance en el sentido corporativo del término, pero su diagnóstico es isomorfo: sin definición clara de ownership sobre los datos, sin estándares de calidad aplicados en origen, sin linaje trazable entre el registro administrativo y el indicador publicado, la estadística oficial pierde valor. Los gobiernos que avanzan en interoperabilidad de registros —como lo está haciendo Chile con su plataforma de datos abiertos y Colombia con el DANE— están, en la práctica, construyendo capacidades equivalentes a las que cualquier organización privada madura busca certificar bajo marcos como el CDMC del EDM Council.

Qué sigue: los hitos que definen si el llamado de CEPAL tiene efecto

El impacto real de este tipo de pronunciamientos depende de si los gobiernos los traducen en presupuesto y normativa. Hay señales concretas a monitorear en los próximos meses: la discusión de los presupuestos nacionales 2026, donde el financiamiento a los institutos estadísticos será un indicador directo de voluntad política; el avance de los planes de digitalización de registros administrativos en Argentina y Perú; y la negociación de acuerdos de intercambio de datos entre organismos regionales como la CEPAL, el BID y el Banco Mundial, que pueden inyectar capacidad técnica donde los recursos nacionales son insuficientes.

También vale observar si el llamado de la CEPAL se articula con las agendas de transformación digital que varios países tienen en marcha. En la práctica, la modernización estadística y la gobernanza de datos del Estado son procesos que deberían avanzar en paralelo, bajo marcos normativos que definan con precisión qué datos deben producirse, con qué frecuencia, bajo qué estándares y con qué mecanismos de auditoría independiente.

Nuestro análisis: soberanía de datos empieza por estadística pública

El discurso sobre soberanía de datos en América Latina suele centrarse en regular a las plataformas tecnológicas globales o en proteger datos personales frente a actores externos. La CEPAL pone el foco donde debería estar con más frecuencia: en la capacidad del propio Estado de producir, custodiar y usar datos de calidad. Sin esa base, cualquier estrategia de gobernanza regional es arquitectura sobre arena.

Para los equipos de datos en el sector privado, el llamado tiene una implicancia práctica que a veces se subestima: la debilidad estadística pública eleva el costo de operar en la región. Cuando los datos oficiales son poco confiables o tienen brechas temporales, las organizaciones invierten recursos propios en construir proxies, contratar datos de terceros o trabajar con márgenes de incertidumbre más amplios. Eso no es solo un problema del Estado; es un costo de transacción que recae sobre cualquier actor que dependa de información contextual para tomar decisiones.

La pregunta que queda abierta es si los países de la región están dispuestos a tratar sus institutos de estadística como lo que son: infraestructura crítica de datos públicos, no líneas prescindibles del presupuesto.