DataTrends LATAM

Blog

  • Veradigm: banda criminal reclama 3,5 millones de registros de salud

    Veradigm: banda criminal reclama 3,5 millones de registros de salud

    Un grupo criminal afirma haber exfiltrado 3,5 millones de registros de Veradigm, empresa estadounidense de tecnología para el sector salud, en un incidente reportado el 10 de septiembre de 2026. La compañía aún no ha confirmado oficialmente la magnitud ni el origen del compromiso.

    Veradigm —antes conocida como Allscripts Healthcare Solutions— provee plataformas de datos clínicos, registros médicos electrónicos y servicios de analítica para hospitales, consultorios y aseguradoras en Estados Unidos y mercados internacionales. Según se informó, un grupo de ciberdelincuentes publicó la reivindicación del ataque y asegura tener en su poder 3,5 millones de registros con información de pacientes y proveedores de salud. La divulgación fue detectada por investigadores de seguridad que monitorearon foros de filtración en la dark web.

    Datos confirmados al momento del reporte

    • Volumen reclamado por el grupo criminal: 3,5 millones de registros
    • Empresa afectada: Veradigm (ex-Allscripts), sector healthtech, EE.UU.
    • Fecha de la divulgación pública: 10 de septiembre de 2026
    • Confirmación oficial de Veradigm: pendiente al cierre de esta nota
    • Tipo de datos potencialmente comprometidos: no especificado con precisión en la reivindicación

    Qué se sabe y qué falta confirmar

    Lo que está confirmado es la existencia de la reivindicación pública del grupo criminal y el número de registros que alegan haber obtenido. Lo que permanece sin verificar es si la exfiltración efectivamente ocurrió, qué campos específicos contienen los registros —nombres, diagnósticos, números de seguro, datos de facturación— y si el incidente corresponde a un ataque reciente o a datos acumulados de brechas anteriores. Veradigm ya protagonizó incidentes de seguridad en años previos, incluyendo un ataque de ransomware en 2023 que afectó la operación de farmacias en EE.UU., lo que añade contexto pero no confirma la vinculación con este nuevo reclamo.

    Para los equipos de privacidad y gobernanza de datos en América Latina que operen con proveedores de tecnología sanitaria de origen estadounidense, el incidente es una señal de alerta directa. Bajo la LGPD brasileña (Lei 13.709/2018), los datos de salud son clasificados como datos sensibles y su tratamiento exige salvaguardas reforzadas; lo mismo ocurre bajo el artículo 9 del GDPR europeo y, en el plano local, bajo las leyes de protección de datos de Argentina (Ley 25.326), México (LFPDPPP) y Colombia (Ley 1581/2012). Cualquier organización latinoamericana que haya compartido registros clínicos con Veradigm o sus plataformas integradas debe activar ya una revisión de los contratos de encargado de tratamiento y verificar si existe obligación de notificación ante la autoridad de control local.

    El próximo hito crítico es la notificación regulatoria que Veradigm deberá realizar ante el Departamento de Salud de EE.UU. (HHS/OCR) bajo la HIPAA Breach Notification Rule, cuyo plazo estándar es de 60 días desde que la organización toma conocimiento del incidente.

  • Gobernanza de datos agéntica: qué es y cuándo tiene sentido adoptarla

    Gobernanza de datos agéntica: qué es y cuándo tiene sentido adoptarla

    La gobernanza de datos agéntica propone reemplazar flujos de aprobación manuales por agentes de inteligencia artificial que detectan, clasifican y aplican políticas de datos en tiempo real. No es una evolución incremental del modelo tradicional: implica redistribuir la autoridad sobre los datos entre humanos y sistemas automatizados, con consecuencias directas sobre roles como el data steward y el Chief Data Officer.

    Durante décadas, la gobernanza de datos funcionó como un proceso secuencial: alguien detecta un problema de calidad o clasificación, lo escala al steward correspondiente, el steward lo revisa, y una política se actualiza semanas después. Ese ciclo, razonable cuando los volúmenes de datos eran manejables, colapsa frente a arquitecturas modernas donde un pipeline de datos en la nube puede generar miles de activos nuevos por día. La gobernanza agéntica surge precisamente para cerrar esa brecha operativa.

    Qué significa “agéntico” en la práctica de gobernanza

    Un sistema agéntico no es un dashboard más sofisticado ni un motor de reglas tradicional. Es un agente de IA —generalmente construido sobre modelos de lenguaje grande o modelos especializados— que puede percibir el estado del entorno de datos, razonar sobre él y ejecutar acciones sin instrucción humana explícita en cada paso. En gobernanza, eso se traduce en capacidades concretas: el agente puede escanear un data lake, inferir que una columna nueva contiene información de salud basándose en el contenido y el contexto, aplicar automáticamente la política de retención correspondiente, y registrar la acción en el catálogo de datos con su linaje completo. El ciclo que antes tomaba días ocurre en minutos, sin intervención humana directa.

    La diferencia clave respecto a la automatización tradicional es la capacidad de razonamiento bajo ambigüedad. Un motor de reglas clásico aplica lógica determinista: si el campo se llama “DNI”, aplica la política de datos personales. Un agente puede inferir que un campo llamado “identificador_cliente_legado” contiene, de hecho, números de documento, aunque el nombre no lo indique. Esa capacidad de inferencia es lo que hace al modelo agéntico cualitativamente distinto —y también lo que exige controles más rigurosos.

    Los cuatro componentes que definen una arquitectura agéntica de gobernanza

    • Percepción continua: el agente monitorea fuentes de datos, catálogos y pipelines en tiempo real, no en ciclos de auditoría periódica.
    • Razonamiento contextual: evalúa el contenido, el esquema, el origen y el uso histórico de cada activo para inferir clasificaciones y riesgos.
    • Ejecución autónoma con guardrails: aplica políticas dentro de umbrales predefinidos; acciones de mayor impacto (borrado permanente, cambio de propietario) siguen requiriendo aprobación humana.
    • Trazabilidad nativa: cada decisión del agente queda registrada con su justificación, habilitando auditoría y rollback. Sin esto, el modelo colapsa ante cualquier regulador.

    Cuándo aplica — y cuándo todavía no

    La gobernanza agéntica tiene sentido en organizaciones con volúmenes de datos que hacen inviable la revisión manual: plataformas de datos en la nube con cientos de dominios, empresas que operan con arquitecturas data mesh donde cada dominio produce y consume datos de forma descentralizada, o equipos de datos que ya superaron la capacidad operativa de sus stewards humanos. El DAMA-DMBOK v2 define la función de administración de datos (Data Stewardship) como responsabilidad formal sobre activos de datos; la gobernanza agéntica no elimina esa responsabilidad, la eleva: el steward deja de ejecutar tareas repetitivas y pasa a diseñar las políticas que el agente aplica, supervisar su comportamiento y gestionar las excepciones.

    Donde todavía no aplica —o aplica con riesgo alto— es en organizaciones sin un catálogo de datos maduro, sin políticas formalizadas y sin linaje documentado. Un agente agéntico sin esos insumos tomará decisiones sobre bases frágiles y producirá clasificaciones incorrectas que se propagarán a escala. El EDM Council, en su marco DCAM (Data Management Capability Assessment Model), ubica la automatización avanzada en los niveles 4 y 5 de madurez; intentarla en el nivel 2 es contraproducente.

    El riesgo de accountability cuando el agente decide

    El nudo regulatorio más complejo de la gobernanza agéntica es la cadena de responsabilidad. Si un agente clasifica erróneamente un dato personal como no sensible y ese dato termina en un reporte público, ¿quién responde? La respuesta no está en el agente: está en el CDO que aprobó el despliegue, en el data steward del dominio y en el marco de políticas que habilitó esa decisión. Esto no es un problema futuro: es un problema presente. El AI Act de la Unión Europea, aplicable desde 2025, clasifica como sistemas de alto riesgo aquellos que toman decisiones automatizadas sobre datos personales en contextos sensibles. Aunque el AI Act no es vinculante en América Latina, marca la dirección hacia la que se mueve la regulación global y ya influye en las políticas de proveedores que operan en la región.

    En la región, el marco regulatorio agrega capas adicionales. La Ley General de Protección de Datos de Brasil (LGPD) exige en su artículo 20 que el titular pueda solicitar revisión humana de decisiones tomadas exclusivamente por medios automatizados. La Ley 25.326 de Argentina —actualmente en proceso de modernización— contiene disposiciones equivalentes en su artículo 16. La LFPDPPP de México establece obligaciones similares en su reglamento. Esto significa que cualquier arquitectura agéntica que tome decisiones con efecto sobre datos personales de titulares latinoamericanos debe mantener, por diseño, un circuito de revisión humana accesible. No es opcional: es un requisito legal vigente.

    Lo que un CDO necesita resolver antes de desplegar agentes de gobernanza

    El punto de partida no es elegir la herramienta, sino mapear las decisiones que el agente tomará y su nivel de impacto. Una decisión de bajo impacto —etiquetar automáticamente un campo nuevo como “interno”— puede delegarse con guardrails simples. Una decisión de alto impacto —restringir el acceso a un activo de datos usado en producción— requiere aprobación humana en el flujo. Ese mapeo debe traducirse en una política de autonomía del agente, documentada y versionada, que el equipo de gobernanza pueda auditar. Sin ese documento, el despliegue es un experimento sin control, no una capacidad de gobernanza.

    Adicionalmente, el CDO debe resolver la cuestión del linaje de decisiones del propio agente: ¿dónde se registra qué clasificó, por qué, y con qué confianza? Herramientas como Apache Atlas, Collibra o Alation —presentes en stacks de gobernanza de organizaciones líderes en Brasil, México y Colombia— ofrecen APIs donde estos registros pueden integrarse. Sin esa trazabilidad, el agente es una caja negra que invalida cualquier argumento de compliance ante la ANPD, el INAI o la AAIP.

    Para profundizar en los marcos de madurez que condicionan la viabilidad de estas arquitecturas, el punto de referencia más completo sigue siendo el DCAM del EDM Council, disponible en edmcouncil.org, y el DAMA-DMBOK v2, cuyo capítulo 17 sobre gestión de metadatos es lectura obligatoria antes de cualquier decisión de despliegue agéntico.

  • India condiciona su expansión financiera digital a mayor gobernanza de datos

    India condiciona su expansión financiera digital a mayor gobernanza de datos

    India está condicionando la expansión de su infraestructura pública digital financiera —conocida como DPI (Digital Public Infrastructure)— a requisitos más exigentes de gobernanza de datos. La decisión convierte a la mayor democracia del mundo en un caso de referencia para economías emergentes que buscan escalar sistemas de pagos e identidad digital sin sacrificar el control sobre los datos que circulan por esos sistemas.

    El movimiento indio no es menor en términos de escala. La pila DPI del país —que incluye Aadhaar (identidad biométrica), UPI (pagos en tiempo real) y el Account Aggregator Framework— procesa miles de millones de transacciones mensuales y está siendo replicada o adaptada por gobiernos de África, Asia del Sur y, progresivamente, América Latina. Que India decida ahora elevar las expectativas de gobernanza de datos sobre esa infraestructura envía una señal clara: la expansión sin marcos de control es políticamente insostenible y operativamente riesgosa.

    Qué implica vincular DPI con gobernanza de datos en la práctica

    La conexión entre infraestructura pública digital y gobernanza de datos no es retórica. Según se informó, las expectativas regulatorias emergentes en India apuntan a que los operadores de DPI financiero deban demostrar capacidades concretas: clasificación de datos por sensibilidad, linaje auditable de los flujos de información entre entidades participantes, y mecanismos de consentimiento verificable para el acceso a datos del usuario. Esto se alinea con el Marco de Protección de Datos Digitales Personales (DPDPA, por sus siglas en inglés), sancionado en 2023, que establece obligaciones para “fiduciarios de datos” —equivalente al concepto de data controller en terminología GDPR— y para los procesadores que operan por delegación.

    Desde una perspectiva de gobierno del dato corporativo, el modelo indio obliga a los participantes del ecosistema DPI a operar con capabilities equivalentes al nivel 5 o superior del CDMC (Cloud Data Management Capabilities) del EDM Council: ownership claro sobre cada conjunto de datos, catálogos activos con metadatos de calidad y controles de acceso basados en roles auditables. En muchos casos, las entidades financieras de mercados emergentes que se integran a DPI no tienen esos controles formalizados —los tienen implícitos en sus sistemas core, pero sin la documentación que un regulador puede auditar.

    El Account Aggregator Framework como modelo de consentimiento estructurado

    Uno de los componentes más relevantes del DPI indio para el debate global es el Account Aggregator (AA) Framework. Este sistema permite que los usuarios autoricen —y revoquen— el flujo de sus datos financieros entre instituciones de manera granular, con registros auditables de cada consentimiento. No es solo privacidad: es gobernanza de datos aplicada a escala de infraestructura nacional. El fiduciario de datos en este modelo no puede invocar un consentimiento genérico; debe demostrar que el dato fue compartido dentro del alcance, el propósito y el período habilitado por el usuario.

    Este diseño responde directamente a la crítica que organismos como el BIS (Bank for International Settlements) han formulado sobre los sistemas DPI de primera generación: que al escalar la conectividad financiera sin arquitecturas de consentimiento, se crean repositorios de datos de comportamiento financiero masivos con escasa rendición de cuentas. India parece haber internalizado esa crítica en su expansión actual.

    Brasil con Open Finance y México con CoDi: dos experiencias LATAM bajo la misma presión

    América Latina no es ajena a esta tensión. Brasil desplegó Open Finance —anteriormente Open Banking— bajo regulación del Banco Central (Resolução Conjunta nº 1/2020 y sus actualizaciones), con un modelo de consentimiento que en varios aspectos espeja el Account Aggregator indio: el usuario autoriza la portabilidad de sus datos y puede revocarla en cualquier momento. Sin embargo, el Banco Central de Brasil y la ANPD (Autoridade Nacional de Proteção de Dados) aún trabajan en delimitar con precisión las obligaciones de linaje de datos para los participantes del ecosistema, una brecha que las auditorías internas de entidades financieras grandes han identificado como riesgo de compliance bajo la LGPD.

    México, por su parte, opera el sistema de pagos CoDi sobre la infraestructura del SPEI del Banco de México. La Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera, 2018) establece bases para el uso compartido de datos financieros, pero el ecosistema de Open Finance mexicano está aún en desarrollo normativo. Las ITF (Instituciones de Tecnología Financiera) que operan bajo supervisión de la CNBV deben cumplir la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), pero los marcos específicos de data stewardship para flujos DPI no están formalizados con el nivel de granularidad que India está empujando. Colombia avanza en una dirección similar: su marco de Open Finance, impulsado por la Superfinanciera, incorpora elementos de consentimiento granular, pero la gobernanza del dato subyacente sigue dependiendo en gran medida de políticas internas de cada entidad.

    Qué monitorear: las decisiones que tomarán ANPD, CNBV y reguladores bancarios en los próximos 18 meses

    El caso indio establece un precedente que los reguladores latinoamericanos van a tener que procesar. Los CDOs y equipos de gobernanza de datos de entidades financieras en la región deben prestar atención a tres hitos concretos: primero, la reglamentación pendiente del DPDPA indio —que definirá el estándar técnico exigible y puede ser citado en foros del G20 como referencia—; segundo, la evolución de las normas del Banco Central de Brasil sobre responsabilidades de datos en el ecosistema Open Finance, donde se esperan actualizaciones en 2025-2026; y tercero, el avance legislativo del Open Finance en México, cuyo rezago normativo puede convertirse en riesgo reputacional para las instituciones que ya operan con datos de usuarios en esquemas de intercambio.

    Desde una perspectiva operativa, un CDO de una entidad financiera latinoamericana que participa —o planea participar— en ecosistemas DPI debería auditar hoy tres capacidades: (1) la existencia de un data catalog con clasificación de sensibilidad para todos los datasets compartidos en APIs de Open Finance; (2) la trazabilidad —data lineage— de cada flujo de datos desde la fuente hasta el receptor, con timestamps auditables; y (3) la arquitectura de consentimiento: ¿el sistema puede demostrar ante un regulador que el dato fue compartido dentro del alcance habilitado por el usuario, sin excederse en propósito ni período? Si alguna de estas tres respuestas es “no documentado” o “dependemos del proveedor”, el riesgo de compliance es real y creciente.

    Nuestro análisis: DPI sin gobernanza es infraestructura con fecha de vencimiento regulatorio

    La decisión india de vincular expansión DPI con gobernanza de datos refleja una madurez regulatoria que los mercados emergentes tienden a postergar bajo el argumento de la inclusión financiera. El razonamiento implícito —”primero conectamos a todos, después regulamos”— es políticamente comprensible pero técnicamente costoso: deshacer arquitecturas de datos sin ownership claro una vez que escalan es exponencialmente más caro que diseñarlas bien desde el inicio. El DAMA-DMBOK lleva dos décadas documentando este ciclo; India acaba de convertirlo en política pública.

    Para América Latina, donde el impulso a la inclusión financiera digital es genuino y urgente, el riesgo es replicar la expansión sin los controles. Brasil está más avanzado que el promedio regional, pero incluso su ecosistema Open Finance tiene brechas documentadas en linaje y en la formalización del rol de data steward entre participantes no bancarios. México y Colombia tienen sistemas con potencial, pero marcos de gobernanza del dato que aún dependen más de buenas prácticas voluntarias que de exigencias regulatorias auditables.

    El estándar que India está construyendo llegará a las mesas de los reguladores latinoamericanos, probablemente vía foros del G20 o recomendaciones del BIS. La pregunta para los CDOs de la región no es si van a tener que cumplirlo, sino cuánto les va a costar hacerlo cuando ya no sea opcional.

  • Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware promulgó la House Bill 380, una reforma sustantiva a su Delaware Personal Data Privacy Act (DPDPA) que ajusta obligaciones para controladores de datos, amplía derechos de los consumidores y endurece requisitos de transparencia. La movida convierte a Delaware en uno de los estados estadounidenses con la legislación de privacidad más actualizada del país, y el impacto se extiende a cualquier empresa latinoamericana que opere o comercialice servicios en ese mercado.

    Delaware no es un actor menor en el ecosistema corporativo de América: es el estado de constitución de más del 65% de las empresas Fortune 500, según datos de la División de Corporaciones de Delaware. Eso significa que la reforma no es solo una cuestión local. Cualquier entidad constituida allí —y muchas con sede en Brasil, México o Argentina lo están— queda alcanzada por las nuevas obligaciones, independientemente de dónde procese los datos.

    Qué modifica HB 380 en la DPDPA original

    La HB 380 introduce ajustes en al menos tres ejes centrales de la DPDPA vigente desde 2023. Primero, refuerza las obligaciones de evaluación de impacto de protección de datos (DPIA) para tratamientos de alto riesgo, incluyendo publicidad dirigida, venta de datos personales y elaboración de perfiles con efectos jurídicos. Segundo, amplía la definición de “datos sensibles” para incorporar categorías que la ley original dejaba en zona gris, entre ellas datos de salud mental y datos derivados de inferencias sobre características protegidas. Tercero, establece mecanismos más precisos de opt-out universales para los consumidores, alineándose con el Global Privacy Control (GPC), señal técnica que varios estados ya reconocen como método válido de ejercicio de derechos.

    El régimen de cumplimiento también se toca: la reforma ajusta los plazos para responder solicitudes de derechos —equivalentes a los DSAR del GDPR— y precisa qué información debe incluirse en las políticas de privacidad para que se consideren suficientes ante una eventual acción del Attorney General, que retiene la facultad exclusiva de aplicación de la ley.

    LGPD, Ley 25.326 y LFPDPPP frente al estándar Delaware

    El ejercicio comparativo revela tanto convergencias como brechas relevantes para equipos de compliance en la región. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ya reconoce la evaluación de impacto —llamada Relatório de Impacto à Proteção de Dados Pessoais (RIPD)— como obligación para tratamientos de alto riesgo, lo que la acerca conceptualmente a la DPIA reforzada por HB 380. Sin embargo, la ANPD aún no ha publicado criterios definitivos sobre qué tratamientos activan ese umbral, lo que deja margen de incertidumbre operativa que Delaware, en cambio, empieza a cerrar con texto más preciso.

    Argentina opera bajo la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000 y objeto de un proceso de reforma que lleva años pendiente en el Congreso. La AAIP ha impulsado un proyecto de actualización que incorporaría, entre otras cosas, evaluaciones de impacto y mecanismos de opt-out más modernos —exactamente lo que HB 380 consolida en Delaware—. Mientras Argentina espera, las empresas argentinas con presencia en Estados Unidos enfrentan la paradoja de cumplir estándares más exigentes en el norte que los que rigen en su propio mercado doméstico.

    México presenta una dinámica distinta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) incluye derechos ARCO robustos y avisos de privacidad detallados, pero carece de un mecanismo equivalente al opt-out universal vía señal técnica. El INAI ha dado señales de modernización regulatoria, aunque sin cronograma firme. Para empresas mexicanas que operan en ambos mercados, la HB 380 de Delaware anticipa un nivel de granularidad técnica que el marco mexicano todavía no exige.

    Impacto operativo para empresas con vínculos en Delaware

    Las obligaciones concretas que HB 380 activa para controladores de datos incluyen revisar si los mecanismos de opt-out actuales son compatibles con el GPC, actualizar las DPIA para reflejar las nuevas categorías de datos sensibles y auditar las políticas de privacidad públicas para verificar que cumplen los requisitos de contenido mínimo que la reforma especifica. Las empresas latinoamericanas con subsidiarias, fondos de capital o estructuras holding constituidas en Delaware deben evaluar si esas entidades califican como controladores bajo la DPDPA reformada —el umbral aplica a quienes realizan negocios en Delaware o dirigen productos a residentes del estado.

    El riesgo de no actuar no es inmediato en términos de multa automática, ya que la DPDPA mantiene el modelo de aplicación exclusiva por el Attorney General, sin causa de acción privada. Pero la ausencia de cumplimiento documentado puede transformarse en pasivo legal en el momento en que ese órgano inicie una investigación, especialmente si el incumplimiento involucra datos sensibles de la nueva categoría.

    Qué monitorear en los próximos seis meses

    Delaware no especificó en la HB 380 una fecha de entrada en vigor diferida larga, por lo que los equipos de compliance deben asumir que los cambios son exigibles en el corto plazo. Los hitos a seguir incluyen:

    • Publicación de guías interpretativas del Attorney General de Delaware sobre los nuevos requisitos de DPIA y opt-out.
    • Avance del proyecto de reforma de la Ley 25.326 en el Congreso argentino, que podría incorporar estándares similares.
    • Resolución de la ANPD brasileña sobre criterios de activación del RIPD para tratamientos de alto riesgo.
    • Posibles lineamientos del INAI mexicano sobre reconocimiento de señales técnicas de opt-out en el contexto de la LFPDPPP.

    Nuestro análisis

    La HB 380 es relevante para LATAM no porque Delaware sea un referente regulatorio directo de la región, sino porque actúa como laboratorio de estándares corporativos globales. Cuando la mayoría de las grandes empresas latinoamericanas se constituyen o financian a través de Delaware, los requisitos de ese estado se convierten de facto en el piso de compliance que esas estructuras deben sostener. El movimiento de Delaware hacia el opt-out técnico universal y la expansión de datos sensibles es consistente con una tendencia global que LGPD, GDPR y el futuro marco argentino ya anticipan. Los equipos de privacidad en la región que esperan a que “su” regulador local se actualice están gestionando el riesgo por el lado equivocado: el riesgo Delaware ya está activo hoy.

    ¿Tiene su organización mapeadas las entidades constituidas en Delaware y evaluado si califican como controladores bajo la DPDPA reformada? Esa pregunta debería estar en la agenda del próximo comité de privacidad.

  • California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California acaba de convertirse en el estado más poblado de Estados Unidos en prohibir el acceso de menores de 16 años a redes sociales, con la promulgación de AB 1709 por el gobernador Gavin Newsom. La Electronic Frontier Foundation rechazó la norma de forma inmediata, argumentando que la ley no resuelve los problemas estructurales de la industria y, en cambio, introduce nuevos riesgos para la privacidad de todos los usuarios.

    AB 1709 establece una restricción funcional de acceso a plataformas de redes sociales para personas menores de 16 años. Para cumplir con la norma, las plataformas deberán implementar sistemas de verificación de edad, lo que implica —en la práctica— recolectar más datos personales de sus usuarios. La EFF señala que este mecanismo concentra aún más poder en manos de las empresas tecnológicas, en lugar de desmantelar los modelos de negocio basados en vigilancia que son, según la organización, el problema central.

    AB 1709: qué prohíbe la ley californiana y cómo funciona la verificación de edad

    La ley no solo impide el registro de menores de 16 años: también elimina herramientas básicas de navegación para quienes no puedan verificar su edad. Según la EFF, esta arquitectura de cumplimiento obliga a todos los usuarios —no solo a los menores— a entregar información personal adicional para franquear los controles de acceso. La verificación de edad, lejos de proteger a los jóvenes, expande la superficie de recolección de datos de las plataformas. Rindala Alajaji, directora asociada de Asuntos Estatales de la EFF, sostuvo que “prohibir el acceso de menores a foros digitales —o eliminar las herramientas básicas necesarias para navegarlos— no va a ayudar a que los jóvenes sean más seguros o saludables en la era de la IA”.

    La organización también anticipó litigios: califican la norma como inconsistente con los derechos de libre expresión garantizados constitucionalmente, y advierten que California destinará recursos a defender una ley que enfrentará impugnaciones judiciales, en lugar de avanzar hacia marcos de privacidad más sólidos.

    El argumento de fondo: leyes de privacidad contra modelos de vigilancia, no contra usuarios

    La posición de la EFF no es de defensa irrestricta de las plataformas. Al contrario: la organización argumenta que la regulación debe apuntar a los modelos de negocio que monetizan la atención y los datos de los usuarios, no a la restricción de acceso a internet. La investigación disponible, según señala la EFF, indica que las prohibiciones de este tipo resultan ineficaces para mejorar la salud o seguridad de los jóvenes, mientras que sí les recortan oportunidades de expresión, participación política, práctica religiosa y construcción de comunidad, especialmente para quienes no encuentran esos espacios en el mundo físico.

    El debate sobre la verificación de edad en plataformas no es nuevo ni exclusivo de California. En el Reino Unido, el Online Safety Act 2023 introdujo obligaciones similares para plataformas con audiencias infantiles. En la Unión Europea, el Digital Services Act establece requisitos de protección para menores, aunque sin prohibiciones de acceso absolutas. La diferencia de enfoque es relevante: mientras las normativas europeas tienden a exigir salvaguardas en el diseño de los servicios, la ley californiana opta por una restricción de acceso que traslada la carga de cumplimiento hacia la verificación de identidad masiva.

    Brasil, Argentina y México ante el mismo dilema regulatorio para menores en redes

    América Latina observa el debate californiano con atención, porque varios países de la región tienen proyectos similares en distintos estadios de avance. Brasil sancionó en septiembre de 2024 la Ley 14.811, que prohíbe el uso de redes sociales a menores de 14 años sin autorización parental y obliga a las plataformas a implementar medidas de protección; la reglamentación de sus mecanismos de verificación todavía está en proceso y genera tensiones análogas a las que describe la EFF para California. En Argentina, la Ley 26.061 de Protección Integral de Niños, Niñas y Adolescentes es el paraguas vigente, pero no regula específicamente el acceso a plataformas digitales; el Ministerio de Capital Humano y el Ente Nacional de Comunicaciones (ENACOM) han explorado lineamientos sin traducirlos en una norma específica. En México, la Ley Federal de Telecomunicaciones y Radiodifusión incluye obligaciones generales de protección de menores en medios audiovisuales, pero la regulación de redes sociales en este segmento sigue fragmentada y sin un proyecto de ley consolidado.

    El patrón común en los tres países es el mismo que señala la EFF para California: cuando la regulación se centra en el control de acceso etario, la verificación de edad se convierte en un nuevo vector de recolección de datos personales, sin que existan —en paralelo— marcos robustos que limiten qué pueden hacer las plataformas con esa información. En Brasil, la ANPD (Autoridade Nacional de Proteção de Dados) tiene competencia sobre el tratamiento de datos de menores bajo la LGPD, pero la articulación entre esa autoridad y los mecanismos de verificación que exige la Ley 14.811 todavía no está resuelta. En Argentina, la AAIP (Agencia de Acceso a la Información Pública) enfrenta una situación equivalente bajo la Ley 25.326, cuya actualización lleva años pendiente en el Congreso.

    Verificación de edad y expansión de la recolección de datos: el efecto colateral que los legisladores subestiman

    El punto técnico que la EFF pone sobre la mesa merece atención particular para los equipos de privacidad de la región. Cada vez que una norma exige verificar la edad de un usuario, las plataformas necesitan un vector de autenticación: documento de identidad, número de teléfono, datos biométricos o combinaciones de los anteriores. Esa recolección adicional amplía el perímetro de datos bajo custodia de la plataforma. Si la normativa de privacidad aplicable no regula con precisión qué puede hacerse con esos datos de verificación, cuánto tiempo pueden retenerse y qué mecanismos de auditoría existen, el resultado neto puede ser un aumento del riesgo para todos los usuarios, no solo para los menores que se pretende proteger. Es exactamente la crítica que articula la EFF, y es un problema de diseño regulatorio que los países de América Latina deberían resolver antes de replicar el modelo californiano.

    Nuestro análisis

    La crítica de la EFF a AB 1709 es técnicamente sólida y políticamente incómoda. Es incómoda porque señala que proteger a los menores en entornos digitales requiere algo más difícil que una prohibición: requiere regular los modelos de negocio que hacen de la atención y los datos un producto. Eso implica confrontar a las plataformas en su arquitectura de monetización, no solo en su política de registro de usuarios. Para América Latina, la lección es concreta: si Brasil, Argentina o México avanzan en leyes de restricción etaria sin acompañarlas de marcos que limiten el uso de los datos de verificación, el resultado será más recolección de datos personales de la población general con menos garantías de privacidad. La ANPD y la AAIP tienen aquí una oportunidad de intervenir en la discusión antes de que las leyes de protección de menores se conviertan en nuevas fuentes de riesgo para los datos de toda la ciudadanía.

    Prohibir el acceso no es lo mismo que garantizar la protección: mientras los países de la región debaten quién puede entrar a internet, la pregunta que nadie responde es qué pueden hacer las plataformas con los datos que recolectan para decidirlo.

  • ShinyHunters expone 6,4 millones de registros de McKesson

    ShinyHunters expone 6,4 millones de registros de McKesson

    El grupo de extorsionistas seriales ShinyHunters expuso datos de aproximadamente 6,4 millones de personas en un ataque contra McKesson, uno de los mayores proveedores de insumos médicos y farmacéuticos del mundo. La escala del incidente se conoció recién el 10 de septiembre de 2026, cuando el servicio Have I Been Pwned (HIBP) incorporó los datos filtrados a su base de consulta pública.

    El ataque ocurrió el mes anterior a la divulgación, aunque McKesson no había informado públicamente la magnitud del compromiso hasta que HIBP lo reveló de forma indirecta al indexar los registros. Según se informó, ShinyHunters habría reclamado la extracción de 284 millones de documentos de los sistemas de la compañía — una cifra que excede en varios órdenes de magnitud el número de individuos afectados confirmado hasta ahora, lo que sugiere duplicación de registros o extracción masiva de transacciones y documentos internos.

    Datos confirmados al cierre de esta edición

    • 6,4 millones de individuos afectados, según HIBP.
    • 284 millones de documentos reclamados por ShinyHunters como volumen total extraído.
    • McKesson identificada como empresa del sector médico-farmacéutico.
    • Fecha del ataque: agosto de 2026, según se informó.
    • La incorporación a HIBP el 10 de septiembre fue la primera confirmación pública de escala.

    Qué se sabe y qué falta confirmar

    HIBP confirmó el número de individuos afectados al añadir los datos a su sistema de notificación. No obstante, la naturaleza exacta de los datos expuestos — si incluye información clínica, financiera o únicamente datos de contacto — no había sido detallada de forma oficial por McKesson al momento de esta publicación. Tampoco se había confirmado si la compañía cumplió con los plazos de notificación obligatoria exigidos por las regulaciones aplicables en Estados Unidos (HIPAA) ni si se notificó a autoridades de otros países donde opera. ShinyHunters es un grupo con antecedentes documentados de ataques de alto perfil, incluyendo el caso Snowflake en 2024, lo que le otorga credibilidad técnica a la magnitud del reclamo, aunque los 284 millones de documentos no han sido verificados de forma independiente.

    Para los equipos de cumplimiento en América Latina, la nota de alerta es doble. McKesson opera en mercados de la región a través de subsidiarias y redes de distribución farmacéutica. Si datos de pacientes o clientes latinoamericanos fueron comprometidos, las empresas locales que mantienen relaciones comerciales con el proveedor quedan expuestas a obligaciones de notificación propias: en Brasil bajo la LGPD (artículo 48, plazo de dos días hábiles al titular y a la ANPD en casos de riesgo relevante), en México bajo la LFPDPPP, y en Argentina bajo la Ley 25.326 y las disposiciones de la AAIP. La cadena de responsabilidad no termina en el proveedor extranjero si hay transferencia internacional de datos involucrada.

    El próximo hito clave es la notificación formal de McKesson a los reguladores de salud en Estados Unidos, cuyo plazo bajo HIPAA es de 60 días desde la detección del incidente: si el ataque ocurrió en agosto, ese plazo vence en octubre de 2026.

  • Microsoft corrige casi mil vulnerabilidades en Patch Tuesday de septiembre 2026

    Microsoft corrige casi mil vulnerabilidades en Patch Tuesday de septiembre 2026

    Microsoft lanzó su ciclo de actualizaciones de seguridad de septiembre de 2026 —conocido como Patch Tuesday— con casi mil fallas corregidas, según se informó. El volumen es uno de los más altos registrados en un solo ciclo mensual por la compañía.

    El paquete de actualizaciones fue publicado el segundo martes de septiembre, en línea con el calendario mensual fijo que Microsoft mantiene desde 2003. Según se informó desde el portal especializado Nivel4 Ciberseguridad, el total de vulnerabilidades parcheadas se aproxima a las mil, aunque el desglose por severidad —crítica, importante, moderada— no fue detallado en la información disponible al cierre de esta nota.

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen inusualmente alto de correcciones en un único ciclo mensual. No se ha informado si alguna de las vulnerabilidades parcheadas se encontraba siendo explotada activamente en el momento de la publicación —dato crítico para priorizar el despliegue de parches en entornos corporativos—. Tampoco se han identificado públicamente CVEs específicos con puntaje CVSS 9.0 o superior que requieran atención inmediata, según la información disponible.

    • Ciclo: Patch Tuesday, septiembre de 2026
    • Total de fallas corregidas: aproximadamente 1.000, según se informó
    • Productos afectados: no especificados en la información disponible
    • Explotación activa confirmada: sin datos al cierre de esta nota

    Relevancia para organizaciones en Argentina, México y Brasil

    En América Latina, el Patch Tuesday tiene implicancias directas sobre el cumplimiento normativo de protección de datos. En Argentina, la Ley 25.326 y las directrices de la AAIP exigen medidas de seguridad adecuadas para el tratamiento de datos personales; un sistema sin parchear que luego sufre una brecha puede comprometer esa adecuación. En Brasil, la LGPD (Lei 13.709/2018) establece en su artículo 46 la obligación del controlador de adoptar medidas técnicas capaces de proteger los datos personales de accesos no autorizados, lo que incluye la gestión oportuna de vulnerabilidades. En México, la LFPDPPP y su reglamento contemplan el principio de seguridad con estándares equivalentes.

    El próximo Patch Tuesday está programado para el segundo martes de octubre de 2026: los equipos de seguridad y compliance tienen hasta esa fecha para evaluar y priorizar el despliegue de las actualizaciones de septiembre en sus entornos de producción.

  • Corea del Sur eleva multas por brechas de datos al 10% de los ingresos

    Corea del Sur eleva multas por brechas de datos al 10% de los ingresos

    Corea del Sur acaba de reescribir la ecuación costo-beneficio de la protección de datos para las empresas que operan en su territorio. Desde el 12 de septiembre de 2025, las compañías que filtren información personal de 10 millones de personas o más —por dolo o negligencia grave— quedan expuestas a multas de hasta el 10% de sus ingresos globales anuales. El mensaje del regulador es explícito: la protección de datos debe ser una inversión preventiva, no un costo operativo que se absorbe después del incidente.

    La reforma fue impulsada por la Comisión de Protección de Información Personal de Corea (PIPC, por sus siglas en inglés), la autoridad de control equivalente a lo que en la región son la ANPD brasileña, la AAIP argentina o el INAI mexicano. La PIPC viene acumulando experiencia sancionatoria desde que se consolidó como ente autónomo en 2020, pero el techo anterior de multas era considerado insuficiente para disuadir a grandes corporaciones con facturación multimillonaria. El nuevo umbral del 10% sobre ingresos —no sobre utilidades— cambia radicalmente esa aritmética.

    La reforma coreana: 10 millones de registros como umbral de responsabilidad agravada

    La modificación introduce una distinción crítica: el régimen agravado del 10% aplica cuando la brecha involucra al menos 10 millones de titulares de datos y existe dolo o negligencia grave demostrable. Para incidentes de menor escala o negligencia ordinaria, el régimen general de la Ley de Protección de Información Personal (PIPA) coreana continúa vigente con sanciones menores. Este esquema escalonado no es una novedad conceptual —el RGPD europeo ya diferencia entre infracciones “graves” y “muy graves” con topes del 2% y 4% del volumen de negocio global, respectivamente—, pero la escala del 10% supera cualquier régimen vigente en economías desarrolladas.

    El criterio de “ingresos globales” es el detalle más significativo para empresas multinacionales. Una plataforma digital con operaciones en Corea del Sur pero con matriz en Estados Unidos, Japón o Europa enfrentaría una multa calculada sobre su facturación consolidada, no solo sobre los ingresos generados en territorio coreano. Eso convierte a la PIPC en un regulador con alcance extraterritorial comparable al de la Autoridad de Protección de Datos irlandesa dentro del ecosistema del RGPD.

    LGPD, Ley 25.326 y LFPDPPP: los techos sancionatorios que Corea dejó atrás

    El contraste con América Latina es revelador. Brasil cuenta con el marco más cercano al estándar internacional: la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) habilita multas de hasta el 2% de los ingresos en Brasil —no globales— de la persona jurídica en su último ejercicio fiscal, con tope absoluto de 50 millones de reales por infracción. La Autoridade Nacional de Proteção de Dados (ANPD) comenzó a aplicar sanciones pecuniarias en 2023 y acumula resoluciones, pero el volumen de multas efectivas todavía es bajo en comparación con autoridades europeas de similar madurez institucional.

    En Argentina, la Ley 25.326 de Protección de Datos Personales —que data del año 2000 y es objeto de un proceso de reforma legislativa que lleva varios años sin resolución definitiva— establece sanciones que van de una advertencia a la inhabilitación del registro de base de datos, con multas que en la práctica han resultado simbólicas frente al tamaño de los actores infractores. La Agencia de Acceso a la Información Pública (AAIP) carece del régimen porcentual sobre ingresos que hoy tienen tanto la ANPD como la PIPC coreana. México, por su parte, mantiene el esquema de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010), con multas expresadas en días de salario mínimo —un mecanismo que erosiona el poder disuasorio frente a grandes corporaciones—, aunque el INAI ha impulsado reformas para modernizarlo.

    Colombia (Ley 1581/2012, reglamentada por la Superintendencia de Industria y Comercio) y Chile (nueva Ley 21.719, en proceso de implementación con autoridad de control en formación) completan un mapa regional donde ningún país supera el umbral del 4% sobre ingresos como sanción máxima aplicable, y donde la mayoría aún opera con techos nominales muy por debajo de esa cifra.

    Por qué el modelo coreano presiona a los directorios, no solo a los equipos de compliance

    Una multa calculada sobre el 10% de ingresos globales deja de ser un problema del departamento legal para convertirse en un riesgo de balance que requiere atención del directorio y del CFO. Esa es, precisamente, la intención declarada del regulador coreano: que la protección de datos compita con otras inversiones estratégicas dentro de la asignación de capital corporativo. La lógica es la misma que llevó al RGPD a adoptar multas porcentuales en lugar de montos fijos: cuando el techo sancionatorio es proporcional al tamaño del infractor, deja de existir el incentivo para que una empresa grande simplemente “pague y siga”.

    Para empresas latinoamericanas con operaciones en Corea del Sur —o que procesen datos de ciudadanos coreanos— la reforma es directamente aplicable. Para quienes no tienen presencia en Asia, el movimiento coreano funciona como señal de hacia dónde se dirigen los regímenes de privacidad que buscan credibilidad sancionatoria real. Brasil está en ese camino; Argentina y México tienen reformas pendientes que podrían incorporar esta lógica si los proyectos legislativos prosperan.

    Qué monitorear: la ANPD brasileña y el proyecto de reforma argentina en 2025-2026

    Dos hitos merecen seguimiento inmediato en la región. En Brasil, la ANPD avanza en la revisión de su regulación de seguridad y notificación de incidentes (Resolución CD/ANPD nº 2/2022), y cualquier actualización del régimen sancionatorio deberá pasar por el Congreso para modificar la LGPD, algo que el ecosistema de privacidad brasileño ya discute abiertamente. En Argentina, el Poder Ejecutivo presentó en 2023 un proyecto de modernización de la Ley 25.326 que contempla un esquema de multas graduadas; su suerte legislativa sigue siendo incierta, pero la reforma coreana agrega presión internacional al debate local. Las organizaciones con operaciones en múltiples jurisdicciones deberían documentar ya cuál es su exposición máxima bajo cada régimen vigente, y comparar ese número contra el presupuesto que hoy destinan a prevención.

    Nuestro análisis: el 10% como nueva referencia de credibilidad regulatoria

    La reforma coreana no es solo una decisión de política doméstica: es una declaración sobre qué nivel de sanción se necesita para cambiar el comportamiento corporativo en materia de protección de datos. El RGPD demostró que los porcentajes sobre ingresos —y no los montos fijos— son el único mecanismo que genera incentivos reales para empresas de escala global. Corea del Sur va más lejos que Europa en ese mismo eje. América Latina, con la excepción parcial de Brasil, todavía opera con regímenes diseñados para otro tamaño de mercado y otro tipo de infractor. El riesgo de esa brecha no es solo reputacional: es que las empresas que operan en múltiples jurisdicciones optimicen su inversión en privacidad hacia donde el regulador tiene mayor capacidad de daño económico, dejando a los titulares latinoamericanos con menor protección efectiva. Eso no es un problema de texto legal; es un problema de arquitectura de incentivos que los reguladores de la región tienen pendiente resolver.

    ¿Cuándo un regulador latinoamericano tendrá los dientes suficientes para que el cálculo costo-beneficio de una brecha masiva deje de favorecer a quien la provoca?

  • Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica lanza hoja de ruta de 36 meses para gobernanza de datos en salud pública

    Costa Rica formalizó una hoja de ruta de 36 meses para implementar gobernanza de datos en su sistema de salud pública, según se informó a principios de septiembre de 2025. La iniciativa posiciona al país como uno de los pocos en América Central con un plan estructurado de data governance sectorial, y su diseño —centrado en calidad del dato, interoperabilidad y roles de ownership— ofrece una referencia concreta para la región.

    El plan costarricense articula tres horizontes temporales: el primero enfocado en diagnóstico de madurez y definición de roles (data stewards, data owners); el segundo en implementación de un catálogo de datos clínico-administrativos y mecanismos de calidad; y el tercero en interoperabilidad con sistemas externos y medición de impacto. La secuencia sigue una lógica reconocible para cualquier practicante del DAMA-DMBOK: primero se establece el who antes del how, evitando el error frecuente de implementar herramientas sin estructuras de accountability previas.

    Qué implica una hoja de ruta sectorial en salud: roles, calidad y catálogo en 36 meses

    El sector salud es, en términos de gobernanza de datos, uno de los más complejos: combina datos clínicos sensibles, sistemas heredados de décadas, múltiples actores (hospitales, clínicas, laboratorios, aseguradoras) y marcos regulatorios de privacidad que restringen el flujo de información. Diseñar un roadmap para ese entorno en solo 36 meses es ambicioso. La clave estará en si Costa Rica logra asignar data stewards con autoridad real sobre dominios específicos —historia clínica electrónica, facturación, epidemiología— o si los roles quedan como títulos formales sin capacidad de decisión sobre el dato.

    Según se informó, el plan contempla también la definición de métricas de calidad del dato aplicadas a los registros hospitalarios, un área donde los sistemas latinoamericanos suelen acumular deuda técnica significativa: duplicación de pacientes, campos vacíos en registros críticos, inconsistencias entre sistemas de admisión y facturación. Sin una baseline de calidad documentada, cualquier iniciativa de analítica o interoperabilidad queda sobre arena.

    Brasil, Colombia y Chile: tres modelos de gobernanza en salud pública con distinto grado de avance

    Costa Rica no parte de cero en el contexto regional. Brasil opera desde 2020 la Rede Nacional de Dados em Saúde (RNDS), impulsada por el Ministerio de Salud, que establece estándares de interoperabilidad basados en HL7 FHIR y exige a los establecimientos adherirse a un modelo de datos federado. La LGPD (Lei 13.709/2018) actúa como piso normativo para el tratamiento de datos sensibles de salud, clasificados en el artículo 11 como categoría especial con restricciones específicas de base legal. Brasil es hoy el caso de mayor escala en la región, aunque la heterogeneidad entre estados federales genera inconsistencias de implementación.

    Colombia avanzó con la Política Nacional de Datos de Salud del Ministerio de Salud y Protección Social, apoyada en la Resolución 866 de 2021, que establece estándares técnicos para la interoperabilidad del sector. La Ley 1581 de 2012 (régimen general de protección de datos) y su decreto reglamentario 1074 de 2015 proveen el marco para el tratamiento de datos sensibles, aunque persisten vacíos en la aplicación sectorial específica para salud. Chile, por su parte, avanza con el proyecto de nueva Ley de Protección de Datos Personales —ya aprobada en el Congreso y en proceso de implementación reglamentaria— que incorpora un régimen reforzado para datos de salud, y con el Plan Nacional de Salud Digital 2030 que contempla componentes de interoperabilidad, sin que se haya formalizado aún un marco de gobernanza de datos con la especificidad del costarricense.

    En ese mapa, el diferencial de Costa Rica no es el tamaño ni el presupuesto —la Caja Costarricense de Seguro Social (CCSS) opera en un país de cinco millones de habitantes— sino la existencia de una hoja de ruta documentada, con fases, entregables y, según se informó, mecanismos de seguimiento. Esa granularidad es exactamente lo que suele faltar en los planes regionales de transformación digital en salud, donde las declaraciones de intención superan ampliamente a los planes de ejecución.

    El modelo CDMC del EDM Council como referencia para medir madurez en salud

    Para los equipos de gobernanza que quieran benchmarkear el plan costarricense —o diseñar uno propio—, el Cloud Data Management Capabilities (CDMC) del EDM Council ofrece una estructura de 14 capabilities distribuidas en seis categorías, varias de ellas directamente aplicables al sector salud: control de acceso a datos sensibles, linaje, calidad y catalogación. El CDMC fue diseñado inicialmente para el sector financiero, pero su adopción en salud crece porque permite demostrar compliance con reguladores sin necesidad de reconstruir el marco desde cero. Alternativamente, el Marco de Referencia de Gobernanza de Datos de DAMA International (DMBOK2, 2017) provee las once áreas de conocimiento que cualquier roadmap sectorial debería mapear antes de fijar cronogramas.

    Un error frecuente en iniciativas similares en la región es saltear el diagnóstico de madurez —usando, por ejemplo, el Data Management Maturity (DMM) del CMMI Institute— y pasar directamente a la adquisición de herramientas de catalogación o calidad. El resultado es predecible: plataformas sin adopción, data stewards sin autoridad y presupuestos consumidos sin baseline medible.

    Qué monitorear en los próximos 12 meses del plan costarricense

    Los primeros 12 meses de cualquier roadmap de gobernanza son el filtro real entre iniciativa y programa sostenible. Para Costa Rica, los hitos críticos que valdría observar son: la formalización de los roles de data ownership en la CCSS con mandatos documentados; la publicación del inventario o catálogo de dominios de datos del sistema de salud; y la definición de métricas de calidad con valores baseline para al menos tres dominios críticos (identidad del paciente, diagnóstico, prestación). Si esos tres entregables existen al término del primer año, el plan tiene sustancia operativa. Si no, el riesgo de que el roadmap quede como documento de política sin implementación es alto, un patrón que la región conoce bien.

    Para organizaciones de salud en otros países que observen este caso, la señal más valiosa no es el cronograma en sí sino la decisión de hacer explícito el modelo de accountability: quién es dueño de cada dominio de datos, con qué autoridad y medido con qué indicadores. Esa claridad conceptual, plasmada en un documento oficial, es más rara en el sector público latinoamericano de lo que debería.

    Nuestro análisis

    El plan costarricense merece atención regional no por su escala, sino por su método. En un sector donde “transformación digital en salud” suele significar comprar un ERP o migrar a la nube, formalizar un roadmap de gobernanza con fases, roles y métricas es una decisión de madurez institucional infrecuente en América Central. La pregunta que determinará si este plan es referencia o anécdota es una sola: ¿la CCSS asignó data stewards con poder de veto sobre decisiones de calidad y acceso, o solo creó un comité asesor? La diferencia entre ambos modelos no es semántica; es la distancia entre gobernanza operativa y gobernanza decorativa. Equipos en Argentina, Colombia o Perú que estén diseñando iniciativas similares en el sector público deberían pedir acceso al marco de roles antes de replicar el cronograma.

    Un roadmap de 36 meses en salud pública es una promesa institucional: su valor real se mide en los primeros 12, cuando los roles pasan de organigramas a decisiones reales sobre el dato.

  • Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz y la gobernanza de datos como condición previa para la IA

    Mondelēz International —fabricante de Oreo, Cadbury y Chips Ahoy— decidió que antes de escalar el uso de inteligencia artificial necesitaba resolver un problema más antiguo y más barato de ignorar: la calidad y la propiedad de sus datos. El resultado fue un rediseño completo de su modelo de gobernanza, con ownership transferido de IT a los equipos de negocio, antes de encender cualquier modelo.

    La secuencia importa. Muchas organizaciones invierten en IA sobre datos que nadie sabe exactamente quién tiene que mantener, con linaje desconocido y calidad sin medir. Mondelēz invirtió ese orden: primero construyó la base, después habilitó los casos de uso. La plataforma elegida fue Ataccama ONE, que integró calidad de datos, catálogo y data lineage —trazabilidad del origen y transformación de cada activo de datos— en un único entorno operativo, según informó la empresa.

    El movimiento clave: del ownership de IT al ownership del negocio

    El cambio estructural más relevante no fue tecnológico sino organizacional. Mondelēz trasladó la responsabilidad formal sobre los datos desde el área de tecnología hacia los equipos de negocio que los crean y consumen. En la terminología del DAMA-DMBOK, esto equivale a formalizar el rol de data steward en las líneas de negocio, reconociendo que el área de IT puede administrar la infraestructura pero no puede ser la última responsable de la semántica ni de la calidad de datos que nunca generó. Bob Seiner, referente de la corriente de Non-Invasive Data Governance, describe este patrón como asignar responsabilidades a quienes ya las ejercen informalmente —la formalización no crea el trabajo, lo hace visible y auditable.

    La consecuencia práctica es que los data stewards de cada unidad de negocio pasan a ser los responsables de definir reglas de calidad, aprobar cambios en definiciones de datos maestros y validar el linaje antes de que un dataset llegue a un modelo de IA. Sin ese mecanismo, la cadena de responsabilidad se rompe y el error de datos se convierte en error de modelo —un problema infinitamente más difícil de diagnosticar.

    Calidad, catálogo y linaje: por qué los tres juntos y no por separado

    La decisión de consolidar calidad de datos, catálogo y linaje en un entorno único en lugar de mantener herramientas separadas responde a un problema de fricción operativa conocido en la industria. Cuando el catálogo vive en un sistema, las reglas de calidad en otro y el linaje en un tercero, los data stewards pasan tiempo reconciliando vistas inconsistentes en lugar de gobernar. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica la integración de estos tres dominios como una capability de nivel avanzado —equivalente aproximadamente al nivel 4 sobre 5 en el modelo de madurez— que habilita la confianza en datos para casos de uso de analytics e IA.

    Para Mondelēz, conectar esos tres dominios significó poder responder preguntas concretas antes de autorizar el uso de un dataset en un modelo: ¿De dónde vienen estos datos? ¿Quién los modificó por última vez y cuándo? ¿Qué porcentaje cumple las reglas de calidad definidas por el steward responsable? Sin esas respuestas, la confianza en el output del modelo es, en el mejor caso, optimismo.

    Cuándo aplica este enfoque y cuándo no es suficiente

    El modelo de Mondelēz es replicable en organizaciones con volumen de datos distribuido entre múltiples unidades de negocio, fuentes heterogéneas y ambición de escalar IA más allá de proyectos piloto. No es la solución adecuada para empresas en etapas tempranas de madurez donde el problema es más básico —inventario de fuentes, definición de dominios de datos, identificación de propietarios— porque implantar un catálogo activo sobre datos sin ownerships claros genera ruido, no gobernanza. El DAMA-DMBOK sugiere evaluar primero la madurez en Data Management antes de seleccionar plataformas: sin un mapa de dominios y stewards asignados, la herramienta no sustituye el trabajo conceptual previo.

    Tampoco es un modelo listo para operar en contextos con datos altamente sensibles sin capas adicionales de control. En sectores regulados —financiero, salud, telecomunicaciones— la gobernanza de datos para IA debe articularse además con marcos de gestión de riesgo como el NIST AI RMF, que exige documentación de la procedencia de los datos de entrenamiento y de las métricas de calidad utilizadas para validar los modelos.

    La lectura desde América Latina: regulación y presión sobre el dato de negocio

    En la región, la presión para formalizar el ownership de datos tiene cada vez más anclaje regulatorio. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que las organizaciones puedan demostrar la trazabilidad de los datos personales utilizados en procesos automatizados de toma de decisiones —exactamente el tipo de linaje que Mondelēz construyó, aunque aplicado aquí a un requerimiento de cumplimiento legal y no solo operativo. En Argentina, la Ley 25.326 y las disposiciones de la AAIP sobre tratamiento automatizado plantean exigencias similares en materia de responsabilidad sobre el dato. En México, el INAI ha comenzado a preguntar por los mecanismos de control sobre datos utilizados en sistemas de IA en el sector privado.

    El punto de convergencia es que los CDOs de empresas de consumo masivo con operaciones en Brasil, Argentina o México no pueden separar la gobernanza de datos para IA de su programa de cumplimiento en protección de datos personales. El ownership de negocio que Mondelēz formalizó no es solo buena práctica de DAMA: en determinados contextos regulatorios regionales, es condición de cumplimiento.

    Lo que un CDO puede hacer a partir de este caso

    El caso de Mondelēz sugiere una secuencia de tres movimientos concretos. Primero, auditar qué porcentaje de los datasets que hoy alimentan o alimentarán modelos de IA tienen un data steward formalmente asignado en el área de negocio —no en IT. Segundo, evaluar si calidad, catálogo y linaje están integrados o son silos que requieren reconciliación manual; si lo segundo, cuantificar el costo operativo de esa fricción antes de la próxima conversación presupuestaria. Tercero, mapear cuáles de esos datasets contienen datos personales y si el linaje documentado es suficiente para responder a una auditoría de la ANPD, la AAIP o el INAI. Los tres pasos son independientes de la plataforma elegida y pueden iniciarse con los recursos de gobernanza ya existentes.

    La referencia técnica de base para este enfoque es el DAMA-DMBOK segunda edición, en particular los capítulos de Data Quality Management y Data Governance; para el marco de madurez en nube, el CDMC del EDM Council ofrece el benchmark más usado actualmente en organizaciones con arquitecturas híbridas.