DataTrends LATAM

Blog

  • Meta nombra a su primer Chief Data Officer: qué implica el rol

    Meta nombra a su primer Chief Data Officer: qué implica el rol

    Meta designó a Alex Schultz como su primer Chief Data Officer, según se informó en agosto de 2025. La creación formal del rol en una compañía de esa escala no es un movimiento cosmético: indica que la función de gobernanza de datos dejó de ser absorbible por el liderazgo de ingeniería o privacidad y exige representación propia en el C-suite.

    El cargo de CDO —Chief Data Officer— existe formalmente en el sector financiero y regulado desde principios de los 2010, impulsado en parte por la exigencia de marcos como Basel III y, más tarde, por las disposiciones del BCBS 239 para bancos sistémicamente importantes. Que una empresa de tecnología de consumo masivo como Meta lo cree recién ahora revela una brecha estructural: durante años, la gobernanza de datos fue disuelta entre equipos de producto, ingeniería y legal, sin un propietario ejecutivo único con mandato transversal.

    Qué hace un CDO que no hace un CTO ni un DPO

    La confusión entre roles es frecuente. El Chief Technology Officer (CTO) gobierna la arquitectura y la infraestructura; el Data Protection Officer (DPO) —exigido por el RGPD europeo y sus equivalentes latinoamericanos— responde específicamente por el tratamiento de datos personales y actúa como interlocutor ante las autoridades de control. El CDO, en cambio, tiene mandato sobre el dato como activo corporativo: su calidad, su ciclo de vida, su linaje (data lineage), los dominios y los data stewards que los gestionan, y la capacidad de la organización de monetizarlos o utilizarlos para decisiones confiables. Según el marco DAMA-DMBOK, estas funciones se agrupan en once áreas de conocimiento —desde arquitectura de datos hasta gestión de documentos y contenido— que raramente tienen un responsable único a nivel ejecutivo.

    El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), describe doce capabilities que una organización madura debe demostrar. La ausencia de un CDO formal suele correlacionar con brechas en las capabilities 4 (Data Ownership) y 7 (Data Quality), precisamente porque sin un ejecutivo con mandato explícito, la asignación de ownership recae en acuerdos informales entre equipos.

    Por qué 2025 y no 2015: presión regulatoria como catalizador

    El timing no es casual. Meta opera bajo el escrutinio de la Comisión Europea tras las multas históricas impuestas por la Autoridad de Protección de Datos de Irlanda (DPC) en aplicación del RGPD —incluyendo la sanción de 1.200 millones de euros de mayo de 2023 por transferencias de datos a Estados Unidos—. A eso se suma la presión del AI Act europeo, vigente desde agosto de 2024, que para los sistemas de IA de alto riesgo exige trazabilidad de los datos de entrenamiento y mecanismos de gobernanza documentados. Un CDO con mandato formal es, en ese contexto, también una respuesta de arquitectura organizacional ante reguladores que preguntan quién responde por el dato.

    En América Latina, el mismo patrón se reproduce con menor visibilidad pública. La Lei Geral de Proteção de Dados de Brasil (LGPD, Lei 13.709/2018) exige la figura del Encarregado —equivalente funcional al DPO— pero no menciona al CDO. Sin embargo, la Autoridade Nacional de Proteção de Dados (ANPD) ha comenzado a fiscalizar la existencia de programas de gobernanza de datos como parte de la evaluación de accountability. En Argentina, la AAIP (Agencia de Acceso a la Información Pública) y el proyecto de modernización de la Ley 25.326 apuntan en la misma dirección: las empresas que procesan datos a escala ya no pueden invocar “responsabilidad difusa” ante un incidente.

    Cuándo aplica el rol de CDO / cuándo NO

    El CDO tiene sentido operativo cuando la organización supera ciertos umbrales de complejidad: múltiples dominios de datos con owners distintos, pipelines de analítica que cruzan unidades de negocio, o exigencias regulatorias que requieren demostrar linaje y calidad ante un auditor externo. No es una figura necesaria en organizaciones pequeñas con un único dominio de datos o en empresas donde el CTO puede absorber esa responsabilidad sin conflicto de mandatos. Bob Seiner, referente de Non-Invasive Data Governance, argumenta que el rol ejecutivo sólo funciona si hay data stewards operativos debajo: sin esa red, el CDO se convierte en un cargo de nombre sin palancas reales de cambio.

    En el sector financiero latinoamericano, bancos que reportan al Banco Central de Brasil o al BCRA bajo marcos de riesgo operacional ya operan con capabilities equivalentes a las del CDMC, aunque en muchos casos sin la certificación formal ni el título ejecutivo. La designación de Meta puede funcionar como señal de mercado que acelere la formalización de esos roles en empresas de tecnología y retail de la región.

    Lo que hace un CDO en las primeras semanas del mandato

    Más allá del anuncio, la efectividad del rol depende de decisiones tempranas. Schultz —quien, según se informó, ya ocupaba el cargo de Chief Marketing Officer en Meta— deberá establecer en qué dominios de datos no existe ownership formal asignado, cuál es el estado del catálogo de datos corporativo y si hay una definición acordada de calidad mínima aceptable por dominio. La primera entrega concreta suele ser un mapa de dominios con stewards nombrados, un inventario de activos críticos y una propuesta de estructura de gobierno que separe las decisiones que toma el CDO de las que delega. Sin esos productos en las primeras doce semanas, el cargo pierde tracción ejecutiva rápidamente.

    Para organizaciones de la región que aún debaten si crear el rol, el marco DAMA-DMBOK (segunda edición, disponible en dama.org) y el CDMC del EDM Council ofrecen los criterios más precisos para evaluar si la complejidad de su portafolio de datos justifica —o exige— un CDO con mandato propio.

  • Contratos de datos: el acuerdo que la IA obliga a formalizar

    Contratos de datos: el acuerdo que la IA obliga a formalizar

    Los data contracts —acuerdos formales sobre cómo se produce, entrega y consume un dato entre equipos— dejaron de ser una práctica de vanguardia para convertirse en un requisito operativo. La presión llega desde la capa de inteligencia artificial: cuando un modelo falla, la causa más frecuente no es el algoritmo sino el dato que lo alimenta, y sin un contrato que defina responsabilidades, nadie sabe a quién corresponde resolver el problema.

    Un data contract es, en su definición operativa, un acuerdo explícito y versionado entre el equipo productor de un dato y los equipos que lo consumen. Especifica el esquema, la frecuencia de actualización, los SLAs de calidad, el propietario (data owner) y las condiciones bajo las cuales el contrato puede modificarse. La analogía con los contratos de API es útil: así como una API define qué esperar de un servicio, el data contract define qué esperar de un dataset. La diferencia es que los contratos de datos incluyen semántica de negocio, no solo estructura técnica.

    Por qué la IA accelera la adopción de data contracts en 2025

    Los pipelines de machine learning e inteligencia artificial generativa son especialmente frágiles frente a cambios silenciosos en los datos de entrada: un campo que pasa de texto libre a codificado, una frecuencia que se reduce de diario a semanal, un valor nulo que antes era cero. Sin data contracts, estos cambios se propagan sin aviso hasta el modelo, que comienza a producir outputs degradados o directamente incorrectos. El costo de detectar esa degradación aguas abajo —en producción, en una decisión de negocio— es ordenes de magnitud mayor que haberlo detectado en la fuente. Los equipos de datos que operan sin data contracts en un entorno de IA están, en la práctica, gestionando riesgo operativo sin instrumentos formales.

    El marco DAMA-DMBOK v2 no usa el término “data contract” de forma explícita, pero el concepto es la instancia operativa de lo que el estándar llama Data Architecture y Data Quality agreements: acuerdos documentados sobre expectativas y responsabilidades entre productores y consumidores. El EDM Council, en su CDMC (Cloud Data Management Capabilities), lo incorpora en las capabilities de control de acceso y linaje (data lineage) como prerequisito para auditar el flujo de datos sensibles. Autores como Andrew Jones —quien popularizó el término en su forma moderna— argumentan que el data contract es la unidad mínima de gobernanza en arquitecturas orientadas a datos.

    Qué contiene un data contract útil: cinco elementos que no pueden faltar

    • Esquema versionado: nombre, tipo y descripción de cada campo, con historial de cambios.
    • SLA de calidad: completitud mínima, tasa de nulos aceptable, latencia máxima de entrega.
    • Data owner identificable: persona o equipo con nombre, no un área genérica.
    • Política de cambios: notificación mínima ante modificaciones de esquema o frecuencia (generalmente 5 a 15 días hábiles).
    • Clasificación del dato: etiqueta de sensibilidad (público, interno, confidencial, restringido) alineada con la política de data governance corporativa.

    Cuándo aplica / cuándo NO

    Los data contracts son pertinentes cuando hay al menos dos equipos distintos que producen y consumen el mismo dato, cuando ese dato alimenta un modelo de IA, un reporte regulatorio o una decisión de negocio crítica, y cuando los cambios en el dato pueden propagarse sin visibilidad hacia consumidores. No aplican —o no es prioritario formalizarlos— en datasets experimentales de uso único, en exploraciones de ciencia de datos sin destino productivo, o en equipos de menos de cinco personas donde la coordinación informal todavía funciona. El error más común es intentar contratar todos los datos al mismo tiempo: la recomendación práctica es comenzar por los datasets que alimentan modelos en producción o que son fuente de reportes regulatorios.

    En LATAM: bancos, telcos y el reporte regulatorio como driver de adopción

    En América Latina, el driver de adopción más concreto no es la IA sino el reporte regulatorio. Los bancos que reportan al Banco Central de Brasil (BACEN) bajo las exigencias de Open Finance, o los que reportan al BCRA argentino bajo la Comunicación A 7724 y sus actualizaciones, ya operan con acuerdos tácitos de calidad de datos entre áreas. La diferencia es que esos acuerdos raramente están documentados como data contracts formales: viven en correos electrónicos, en reuniones de comité de datos, o en la memoria de un data steward que lleva cinco años en la organización. Cuando esa persona se va, el conocimiento se va con ella. Las telcos en México y Colombia enfrentan el mismo problema con los datos que alimentan sus modelos de churn prediction y scoring crediticio alternativo: la informalidad del acuerdo se vuelve riesgo operativo en cuanto el modelo entra en producción.

    Un CDO que quiera dar el primer paso concreto puede empezar auditando los cinco datasets más críticos de su organización —los que alimentan modelos productivos o reportes regulatorios— y verificar si existe documentación explícita del esquema, el owner y el SLA de calidad. Si la respuesta es no para dos o más de esos cinco, la formalización de data contracts es la prioridad de gobernanza del trimestre, antes que cualquier inversión en catálogo o linaje. Un catálogo sin contracts es un inventario sin compromisos: describe lo que existe, pero no garantiza lo que se puede usar.

    La especificación abierta de data contracts impulsada por la comunidad está disponible en datacontract.com, con plantillas en YAML compatibles con las principales plataformas de datos; es el punto de partida más directo para equipos que quieren adoptar el estándar sin construir desde cero.

  • Gobernanza de datos deficiente pone en riesgo las inversiones en gemelos digitales

    Gobernanza de datos deficiente pone en riesgo las inversiones en gemelos digitales

    Un gemelo digital sin gobernanza de datos sólida no es un activo estratégico: es un modelo de simulación alimentado con basura. Expertos de la industria advierten que las organizaciones que invierten en digital twins sin madurar primero sus capacidades de gobierno del dato están comprando deuda técnica cara.

    La promesa de los gemelos digitales —réplicas virtuales de activos físicos, procesos o sistemas que permiten simulación, monitoreo y optimización en tiempo real— depende de una condición que pocas organizaciones discuten en las presentaciones de venta: la calidad, consistencia y trazabilidad de los datos que los alimentan. Sin esas tres propiedades garantizadas por un marco formal de gobernanza, el gemelo diverge del mundo real y sus predicciones dejan de ser útiles. En el peor caso, generan decisiones equivocadas con la ilusión de respaldo técnico.

    Por qué el gemelo digital amplifica los problemas de datos existentes

    Un gemelo digital no corrige datos defectuosos: los escala. Si los sensores de una planta industrial reportan lecturas inconsistentes, si los metadatos de los activos están incompletos, o si no existe un data steward —responsable formal del dato dentro de la organización— que valide las fuentes de ingesta, el modelo virtual incorpora esas fallas y las proyecta hacia adelante. Lo que parece un problema de IoT o de ingeniería es, en el fondo, un problema de ownership del dato mal definido.

    El marco DAMA-DMBOK identifica la calidad del dato y el linaje —data lineage, es decir, la trazabilidad completa del origen, transformación y destino de cada dato— como capabilities centrales de cualquier programa de gobernanza. Ambas son precondiciones, no complementos, para un gemelo digital operativo. Sin linaje verificable, es imposible auditar por qué el gemelo generó un determinado output ni corregirlo de manera reproducible.

    Cuándo aplica y cuándo NO la gobernanza como requisito previo

    La gobernanza de datos es condición necesaria cuando el gemelo digital opera sobre activos críticos —infraestructura energética, plantas de manufactura, redes de transporte, edificios hospitalarios— donde una simulación incorrecta puede derivar en decisiones de mantenimiento o inversión con consecuencias físicas o financieras significativas. También aplica cuando el gemelo integra fuentes heterogéneas: datos de sensores, ERP, sistemas SCADA y registros históricos que pertenecen a diferentes dominios con diferentes propietarios. En esos escenarios, la ausencia de un modelo de dominio de datos acordado y un catálogo actualizado hace que la integración sea, en la práctica, manual y frágil.

    La exigencia de gobernanza completa puede ser menos urgente en proyectos piloto acotados, con una única fuente de datos controlada y sin impacto en decisiones operativas críticas. Aun así, el EDM Council —a través de su marco DCAM (Data Management Capability Assessment Model)— recomienda establecer desde el piloto los roles de stewardship y los criterios de calidad, porque retrofitear gobernanza sobre un gemelo digital ya en producción es exponencialmente más costoso.

    Tres fallas de gobernanza que destruyen valor en implementaciones reales

    • Ownership difuso del dato de ingesta: cuando ningún equipo tiene responsabilidad formal sobre la calidad de los datos que entran al gemelo, los errores se descubren tarde y se escalan sin resolverse.
    • Ausencia de catálogo de datos: sin un inventario centralizado de qué datos alimentan el modelo, con qué frecuencia y desde qué sistemas, el mantenimiento del gemelo se convierte en arqueología técnica cada vez que hay un cambio en la infraestructura fuente.
    • Métricas de calidad ausentes o decorativas: definir umbrales de completitud, consistencia y latencia para cada fuente de ingesta, y monitorearlos activamente, es la diferencia entre un gemelo que se usa para tomar decisiones y uno que se usa para hacer presentaciones.

    El escenario en América Latina: inversión en gemelos digitales sin infraestructura de gobierno

    En la región, los sectores de minería, petróleo y gas, y manufactura automotriz han sido los primeros adoptantes de digital twins, con proyectos activos en Brasil, Chile, México y Colombia. Sin embargo, según conversaciones con practitioners de la industria, la mayoría de estas implementaciones se inician desde áreas de tecnología u operaciones sin involucrar a equipos de gobernanza de datos —cuando estos existen formalmente, lo que no siempre ocurre. El resultado habitual es un gemelo funcional en el corto plazo que se vuelve inmanejable cuando escala o cuando el proveedor tecnológico original no está disponible para hacer ajustes.

    En Brasil, la LGPD (Lei Geral de Proteção de Dados) agrega una capa adicional de complejidad: los gemelos digitales que integran datos de empleados, clientes o ciudadanos deben mapear el tratamiento de datos personales dentro del modelo, lo que exige linaje y clasificación desde el diseño. En Chile, con la Ley 21.719 de datos personales promulgada en 2024, el requisito de accountability obliga a documentar las decisiones automatizadas que se apoyen en sistemas de simulación cuando afecten a personas identificables.

    Lo que un CDO debe resolver antes de aprobar el presupuesto del gemelo digital

    Antes de que una organización comprometa inversión en una plataforma de digital twin, el Chief Data Officer o quien ejerza esa función debe responder cuatro preguntas operativas: ¿Están definidos los data stewards para cada dominio de datos que alimentará el modelo? ¿Existe un catálogo de datos con cobertura suficiente sobre esas fuentes? ¿Se han establecido y se monitorean SLAs de calidad del dato para esas fuentes? ¿El proveedor del gemelo soporta integración con la capa de linaje existente o requiere construir una paralela? Si alguna respuesta es negativa, el proyecto de gemelo digital debería esperar —o el presupuesto debería incluir la maduración previa de esas capacidades. Bob Seiner, autor de Non-Invasive Data Governance, señala consistentemente que la gobernanza más efectiva es la que formaliza lo que ya está ocurriendo informalmente: en el contexto de un digital twin, eso significa documentar y acordar desde el inicio quién es responsable de cada dato que entra al modelo.

    Para profundizar en los frameworks de referencia, el DAMA-DMBOK 2.0 y el DCAM del EDM Council están disponibles en sus sitios oficiales; ambos incluyen secciones específicas sobre calidad del dato y linaje aplicables directamente a arquitecturas de ingesta para gemelos digitales.

  • Bailment e inteligencia artificial: una doctrina del siglo XIX ante las brechas de datos de IA

    Bailment e inteligencia artificial: una doctrina del siglo XIX ante las brechas de datos de IA

    Cuando dos ingenieros de OpenAI presentaron en Black Hat los detalles del incidente de Hugging Face, no esperaban que la respuesta más resonante viniera de una doctrina jurídica que precede a la computadora por más de un siglo: el bailment, o depósito legal anglosajón. La tesis, desarrollada por Jake L. Ramsey del estudio Offit Kurman, propone que la responsabilidad por brechas de datos en sistemas de inteligencia artificial puede —y debería— analizarse bajo la misma lógica con que el derecho común regula la entrega de bienes en custodia.

    El bailment es una figura del common law que describe la relación jurídica que surge cuando una persona entrega un bien a otra para un fin específico, con obligación de devolución o uso conforme a lo pactado. El depositario —quien recibe el bien— asume deberes de cuidado proporcionales al beneficio que obtiene de esa custodia. Si el bien resulta dañado o perdido, la carga de la prueba se invierte: es el depositario quien debe demostrar que actuó diligentemente. Aplicado a datos: quien recibe información de terceros para entrenar o ejecutar un modelo de inteligencia artificial puede quedar, bajo esta lógica, en la posición del depositario.

    El incidente de Hugging Face como caso de prueba para la doctrina

    La presentación en Black Hat que sirvió de detonante fue protagonizada por dos ingenieros de OpenAI, quienes describieron el incidente de Hugging Face —plataforma central en el ecosistema de modelos abiertos— como un escenario con implicancias que van más allá del análisis técnico de vulnerabilidades. Según se informó, sus declaraciones subrayaron tanto la naturaleza del acceso no autorizado como la exposición de datos de terceros almacenados o procesados en la infraestructura de la plataforma. El artículo de Ramsey toma esas afirmaciones como punto de partida para argumentar que la relación entre quienes suben datasets o modelos a plataformas como Hugging Face y la propia plataforma encaja con los elementos constitutivos del bailment: entrega voluntaria, custodia ajena, finalidad determinada y deber de restitución o uso conforme.

    El argumento tiene relevancia práctica inmediata: si un tribunal acepta el encuadre del bailment, la víctima de una brecha de datos no necesita probar negligencia específica. Basta con acreditar que entregó datos al custodio y que esos datos fueron comprometidos. La carga probatoria pasa entonces al proveedor de la plataforma, que debe demostrar haber ejercido el nivel de cuidado exigido por la relación de depósito.

    Por qué la figura del depósito legal presiona a los proveedores de IA más que los marcos actuales

    Los marcos regulatorios vigentes —desde el Reglamento General de Protección de Datos europeo hasta el AI Act— operan sobre la distinción entre responsable y encargado del tratamiento, con obligaciones contractuales y técnicas relativamente bien delimitadas. El bailment, en cambio, no requiere que los datos sean “personales” en sentido legal: aplica sobre cualquier bien entregado en custodia. Eso amplía potencialmente el universo de activos protegidos: modelos propietarios, conjuntos de datos no personales, embeddings, pesos de modelos finetuneados por terceros. Para los proveedores de infraestructura de IA —plataformas de hosting de modelos, entornos de entrenamiento en nube, repositorios colaborativos— la implicancia es que su exposición legal podría ser mayor que la derivada exclusivamente de la normativa de privacidad.

    El debate también tiene consecuencias contractuales directas. Si los términos de servicio de una plataforma no contemplan explícitamente el estándar de cuidado aplicable a los datos y modelos depositados, un tribunal de tradición anglosajona podría inferirlo desde la doctrina del bailment, sin necesidad de que las partes lo hayan pactado. Eso convierte la redacción de cláusulas de responsabilidad en los contratos de servicios de IA en un ejercicio jurídico más complejo de lo que muchos equipos legales anticipan.

    Cuándo aplica la doctrina del bailment sobre datos — y cuándo no

    La doctrina, tal como existe en jurisdicciones de common law (Estados Unidos, Reino Unido, Australia, Canadá), no tiene equivalente directo en los sistemas de derecho civil continental que predominan en América Latina. En Argentina, Brasil, México, Colombia y Chile, la figura más próxima es el contrato de depósito o custodia regulado en los códigos civiles y comerciales, aunque sin la inversión automática de la carga probatoria que caracteriza al bailment. La analogía, sin embargo, no es irrelevante: los principios subyacentes —responsabilidad proporcional al control efectivo sobre el bien ajeno— informan el análisis de responsabilidad civil en cualquier sistema jurídico.

    La doctrina no aplica cuando el proveedor de IA no actúa como custodio sino como mero procesador técnico sin acceso real a los datos, o cuando los datos nunca abandonan el entorno del propio titular. Tampoco aplica, en principio, sobre outputs del modelo —las respuestas generadas— sino sobre los inputs y parámetros entregados al sistema. Esa distinción es importante porque delimita qué tipo de activos quedan potencialmente bajo el estándar de cuidado del depositario.

    La perspectiva desde América Latina: depósito civil, responsabilidad por riesgo y regulación de IA

    En la región, el encuadre jurídico más cercano combina tres fuentes: el contrato de depósito del derecho civil, la responsabilidad objetiva por actividad riesgosa —reconocida en los códigos civiles de Argentina, Brasil y México— y, de forma incipiente, los marcos de gobernanza de inteligencia artificial que varios países están desarrollando. Brasil avanza con el Projeto de Lei 2.338/2023 de regulación de IA, que contempla responsabilidad diferenciada para sistemas de alto riesgo. Colombia publicó en 2023 su marco de ética e IA con lineamientos sobre gestión de riesgos para proveedores. Argentina, por su parte, trabaja en una propuesta de regulación de IA cuya discusión aún no tiene fecha de resolución legislativa confirmada.

    Para los equipos legales y de gobernanza de datos en empresas latinoamericanas que utilizan plataformas internacionales de IA —ya sea para alojar modelos propios o para acceder a modelos de terceros— el argumento del bailment ofrece una señal de alerta concreta: los contratos con proveedores de infraestructura de IA deberían explicitar quién responde, con qué estándar de cuidado y bajo qué ley aplicable, antes de que un incidente lo defina un juez. La brecha entre lo que dicen los términos de servicio estándar y lo que una corte podría imponer bajo doctrinas como el bailment o la responsabilidad por actividad riesgosa es, hoy, sustancial.

    El análisis completo de Jake L. Ramsey está disponible en el blog de Offit Kurman; la presentación de Black Hat sobre el incidente de Hugging Face constituye el punto de partida técnico para quienes quieran evaluar la cadena de hechos que motivó la discusión legal.

  • Marco de gobernanza de datos GEI para la industria Ro-Ro: qué implica el estándar

    Marco de gobernanza de datos GEI para la industria Ro-Ro: qué implica el estándar

    La industria Ro-Ro —transporte marítimo de vehículos y carga rodante— acaba de recibir su primer marco sectorial de gobernanza de datos de emisiones de gases de efecto invernadero (GEI). El estándar, lanzado según se informó en agosto de 2025, llega en un momento en que la presión regulatoria sobre el reporte de emisiones del sector marítimo escala tanto en Europa como en América Latina, y pone sobre la mesa una pregunta que los operadores portuarios de la región no pueden ignorar por más tiempo: ¿tienen sus datos de GEI bajo un ownership claro y auditabe?

    El sector Ro-Ro opera con una particularidad estructural que lo hace especialmente vulnerable a la fragmentación de datos: una sola travesía involucra múltiples actores —armadores, operadores de terminal, agentes de carga y fabricantes de vehículos— cada uno con sus propios sistemas de registro. Hasta ahora, no existía un lenguaje común para consolidar los datos de emisiones a lo largo de esa cadena. El nuevo marco apunta precisamente a resolver ese vacío, estableciendo definiciones, métricas y responsabilidades compartidas para el reporte de GEI en este subsegmento del shipping.

    Qué establece el marco y qué actores quedan obligados

    Según se informó, el marco define estándares para la recopilación, validación y reporte de datos de emisiones a lo largo del ciclo operativo de los buques Ro-Ro. Esto incluye consumo de combustible por viaje, factor de carga, rutas y tonelaje transportado —variables que, combinadas, permiten calcular la intensidad de carbono por unidad de transporte. El estándar busca alinearse con los requisitos del sistema de monitoreo, reporte y verificación (MRV) de la Organización Marítima Internacional (OMI) y con el reglamento MRV de la Unión Europea, que desde 2024 obliga a los buques que hacen escala en puertos europeos a reportar sus emisiones de CO₂.

    La distinción relevante para los profesionales de gobernanza de datos es que el marco no se limita a definir qué datos recopilar, sino que establece quién es responsable de cada dato en cada etapa —lo que en la terminología DAMA-DMBOK se conoce como data stewardship distribuido. En una cadena Ro-Ro típica, eso significa asignar roles de data steward tanto en el armador como en el operador de terminal y, potencialmente, en el fabricante automotriz embarcador.

    Argentina, Brasil y Chile ante el reporte de emisiones marítimas en 2025

    América Latina concentra algunos de los puertos Ro-Ro más activos del Atlántico Sur y el Pacífico: Zárate y Buenos Aires en Argentina, Santos y Itajaí en Brasil, y San Antonio en Chile son puntos de entrada y salida críticos para la exportación automotriz regional. Sin embargo, ninguno de los tres países cuenta aún con un régimen de reporte de emisiones marítimas equivalente al MRV europeo. Brasil avanza en la implementación de su Sistema de Estimativas de Emissões e Remoções de Gases de Efeito Estufa (SEEG), pero su alcance sobre el transporte marítimo internacional sigue siendo limitado. Argentina, bajo la Ley 27.520 de Presupuestos Mínimos de Adaptación y Mitigación al Cambio Climático Global, habilita marcos de reporte pero no establece obligaciones específicas para el sector naviero. Chile es quien más ha avanzado, con su Ley Marco de Cambio Climático (Ley 21.455 de 2022), que incorpora mecanismos de monitoreo sectorial, aunque la reglamentación marítima específica aún está pendiente.

    Este vacío regulatorio local tiene una consecuencia práctica inmediata: los operadores portuarios latinoamericanos que prestan servicios a líneas navieras con destino a Europa ya están sujetos al MRV europeo de facto, porque sus contrapartes armadoras deben reportar las emisiones de toda la travesía, incluidos los segmentos en aguas latinoamericanas. Dicho de otro modo, la demanda de datos de GEI con calidad certificable ya llegó a la región, aunque la obligación legal local todavía no.

    Data lineage de emisiones: el desafío técnico que el marco expone

    Implementar este tipo de estándar exige algo que muchos operadores portuarios latinoamericanos aún no tienen resuelto: un data lineage —trazabilidad de datos desde su origen hasta el reporte final— que permita auditar de dónde viene cada dato de consumo de combustible, quién lo validó y con qué metodología se convirtió en una cifra de CO₂. Sin ese linaje documentado, cualquier reporte de GEI es potencialmente impugnable ante una auditoría de la OMI o de un cliente europeo.

    El marco sectorial Ro-Ro, al definir responsabilidades por actor y por etapa, sienta las bases para construir ese linaje. Pero la implementación real requiere que los operadores mapeen sus fuentes de datos actuales —sensores de flujo de combustible, registros de despacho, sistemas ERP portuarios— y determinen qué gaps existen entre lo que hoy capturan y lo que el estándar exige. Los equipos de gobernanza de datos que ya operan bajo CDMC del EDM Council tienen una ventaja: las capabilities de data quality y data lineage del modelo son directamente transferibles a este caso de uso.

    Qué monitorear: OMI 2027 y la ventana de preparación para puertos latinoamericanos

    El próximo hito regulatorio relevante es la entrada en vigor de la estrategia revisada de reducción de emisiones de la OMI, con metas intermedias hacia 2030 que requerirán reportes verificados por terceros. Los puertos latinoamericanos que hoy no tienen estructurada su gobernanza de datos de GEI enfrentarán esa exigencia sin infraestructura de datos adecuada. Los pasos concretos para los equipos de gobernanza incluyen: inventariar las fuentes de datos de consumo energético en operaciones portuarias, identificar al data steward responsable de cada fuente, evaluar si los sistemas actuales permiten exportar datos en formatos compatibles con el estándar MRV, y revisar los contratos con armadores para entender qué datos se les está proveyendo hoy y bajo qué formato.

    Nuestro análisis

    El lanzamiento de este marco sectorial es, ante todo, una señal de madurez industrial: el sector Ro-Ro reconoce que la fragmentación de datos de emisiones es un riesgo reputacional y regulatorio, no solo un problema técnico. Lo relevante para la región es que este estándar llegará a los puertos latinoamericanos no por mandato de sus propios gobiernos, sino por presión de las cadenas de valor globales. Eso es, en términos de gobernanza de datos, una demanda de capabilities que ya existe aunque la regulación local no la haya formalizado todavía.

    La experiencia de otros sectores —banca bajo Basilea III, automotriz bajo WLTP— muestra que los operadores que esperan al mandato local para construir sus capacidades de datos llegan tarde y con costos más altos. Los CDOs de puertos y navieras en la región tienen hoy una oportunidad concreta: adoptar el marco sectorial Ro-Ro como caso piloto para desarrollar una práctica de gobernanza de datos de sostenibilidad que después podrá escalarse a otras obligaciones de reporte ESG.

    La gobernanza de datos de emisiones no es un problema ambiental que espera solución técnica: es un problema de ownership, linaje y calidad de datos que los equipos de gobernanza de la región ya saben resolver. La pregunta es si lo harán antes o después de que el regulador los obligue.

  • Gobernanza de datos con IA en minería: qué significa construir bases confiables

    Gobernanza de datos con IA en minería: qué significa construir bases confiables

    La industria minera genera volúmenes masivos de datos operacionales, geológicos y ambientales, y la incorporación de inteligencia artificial a esos flujos no simplifica el problema de gobernanza: lo amplifica. Para que los modelos de IA sean confiables en este sector, los cimientos de datos tienen que estarlo primero.

    La minería es uno de los sectores donde la calidad del dato tiene consecuencias físicas directas: una estimación de reservas mal modelada, un sensor de tolva con datos duplicados o una lectura ambiental sin linaje verificable pueden derivar en decisiones operativas de alto riesgo. Cuando se agrega IA encima de esa infraestructura —modelos predictivos de mantenimiento, optimización de procesos, análisis de variabilidad geológica— la deuda técnica de gobernanza se convierte en deuda de confiabilidad de negocio.

    Qué entiende la industria minera por “datos confiables”

    En el marco del DAMA-DMBOK, la confiabilidad del dato se sostiene sobre al menos cuatro dimensiones: exactitud, completitud, consistencia y linaje (data lineage). En minería, el linaje es especialmente crítico porque los datos recorren un camino largo —sensores IoT en campo, sistemas SCADA, plataformas MES, ERP y finalmente capas analíticas— y cada transformación representa un punto de pérdida de trazabilidad. Un dato que llega limpio a un dashboard puede haberse degradado en tres integraciones previas sin que ningún data steward lo haya detectado.

    El problema se agudiza cuando los modelos de IA consumen esos datos sin que exista un catálogo de datos (data catalog) actualizado que describa origen, frecuencia de actualización, propietario y nivel de calidad de cada dataset. Sin ese inventario, el modelo aprende patrones sobre información cuya confiabilidad nadie puede garantizar formalmente.

    Cuándo aplica un marco de gobernanza de IA / cuándo NO

    Un marco de gobernanza de IA en minería aplica cuando los modelos toman decisiones que afectan operaciones, seguridad o reportes regulatorios —por ejemplo, sistemas de detección de fallas en equipos críticos o modelos de predicción de calidad de mineral que alimentan contratos comerciales. No aplica —o aplica con menor urgencia— cuando la IA se usa en análisis exploratorios internos sin impacto en decisiones formales, aunque incluso allí el riesgo de acostumbrarse a datos de baja calidad es real.

    Tampoco es suficiente aplicar gobernanza de datos genérica. Las normativas ambientales y de seguridad minera en América Latina —como las exigencias de reporte del Servicio Nacional de Geología y Minería (SERNAGEOMIN) en Chile o los estándares de la Agencia Nacional de Minería (ANM) en Brasil— requieren que los datos reportados sean auditables. Si esos datos son generados o transformados por modelos de IA, la cadena de custodia debe estar documentada con precisión.

    Los tres pilares operativos que fallan con más frecuencia en minería

    • Ownership sin autoridad real: Es común que las compañías mineras designen data stewards por área (geología, operaciones, medio ambiente) pero sin mandato formal para rechazar datos de baja calidad que provienen de sistemas legados. El steward documenta el problema; nadie lo resuelve.
    • Linaje roto en integraciones campo-nube: Los sensores IoT en mina raramente cuentan con metadata estructurada desde origen. Cuando esos streams llegan a una plataforma cloud para entrenar modelos, el linaje ya es incompleto. El EDM Council (DCAM) identifica el linaje automatizado como una capability de nivel intermedio que pocas organizaciones industriales han alcanzado.
    • Ausencia de controles de calidad previos al entrenamiento: No existe, en la mayoría de operaciones mineras de la región, un proceso formal de data quality gate antes de que un dataset ingrese a un pipeline de entrenamiento de modelos. El dato llega, el modelo entrena, y los sesgos o errores se heredan silenciosamente.

    Minería en LATAM: regulación ambiental como driver de gobernanza

    En América Latina, la presión regulatoria ambiental está actuando —quizás antes que cualquier marco de IA— como catalizador involuntario de gobernanza de datos. En Chile, las empresas mineras que operan bajo resoluciones de calificación ambiental (RCA) deben reportar periódicamente indicadores de consumo hídrico, emisiones y relaves. Si esos indicadores son calculados mediante modelos automatizados, la auditabilidad del cálculo depende directamente de que exista linaje de datos verificable. En Perú, el Organismo de Evaluación y Fiscalización Ambiental (OEFA) tiene facultades de fiscalización que pueden alcanzar los sistemas de monitoreo digital. En ese contexto, la gobernanza de datos no es una práctica de madurez organizacional: es un requisito implícito de cumplimiento.

    Un CDO o Data Governance Manager en una operación minera latinoamericana debería revisar esta semana si los datasets que alimentan modelos de IA están incluidos en el catálogo corporativo, si tienen un data owner formalmente asignado con nombre y área, y si existe algún registro de las transformaciones aplicadas antes del entrenamiento. Si alguna de esas tres respuestas es negativa, el modelo que corre sobre esos datos no tiene bases confiables, independientemente de su performance técnica.

    Para profundizar en el marco de capacidades de gobernanza aplicable a este sector, el DCAM Assessment del EDM Council (edmcouncil.org) ofrece un punto de partida estructurado; en la región, SERNAGEOMIN y la ANM publican sus estándares de reporte en sus sitios oficiales y pueden usarse como ancla regulatoria para definir qué datos son auditables por obligación.

  • Robo de datos vinculado a un Estado: lo que exige la gobernanza de identidades

    Robo de datos vinculado a un Estado: lo que exige la gobernanza de identidades

    Un caso de robo cibernético con presunta vinculación estatal vuelve a poner sobre la mesa una brecha estructural que persiste en universidades, laboratorios y organismos públicos: los controles de identidad y la gobernanza de datos de investigación siguen siendo puntos débiles críticos frente a amenazas avanzadas. La firma Continuum GRC advirtió, según se informó el 20 de agosto de 2025, que este tipo de incidentes eleva el nivel de exigencia para los equipos de gobierno del dato.

    El caso, referenciado por Continuum GRC —proveedor especializado en cumplimiento normativo y gestión de riesgo—, ilustra cómo actores con recursos de nivel estatal explotan debilidades en la gestión de accesos privilegiados y en la clasificación de datos sensibles de investigación. Aunque los detalles forenses del incidente específico no fueron divulgados públicamente, la firma utilizó el caso como evidencia de que los marcos de gobernanza actuales en entidades de investigación no están diseñados para enfrentar adversarios sofisticados.

    Dos fallas de gobernanza que habilitan el robo: identidades y clasificación

    El patrón de ataque en incidentes de esta naturaleza combina, según se informó, dos vectores que son responsabilidad directa del gobierno del dato: la ausencia de controles robustos sobre identidades con acceso a activos de alto valor, y la falta de clasificación formal de los datos de investigación. Sin un catálogo actualizado que distinga qué datos son sensibles, quién es el data owner y qué permisos mínimos requiere cada rol, la detección de exfiltración resulta tardía o directamente imposible. En términos del DAMA-DMBOK, las capabilities de Data Security y Data Asset Management son las que fallan primero en estos escenarios, no la ciberseguridad perimetral.

    La gestión de identidades —en inglés, Identity and Access Management (IAM)— es un componente que suele quedar fuera del scope del CDO y recaer exclusivamente en TI o ciberseguridad. Este caso refuerza el argumento contrario: si el CDO no define las políticas de acceso basadas en la sensibilidad del dato, el equipo de IAM no tiene criterios precisos para implementarlas. El ownership del dato y el ownership del acceso deben estar alineados desde el modelo de gobernanza, no gestionarse en silos.

    En LATAM, universidades y organismos públicos concentran el riesgo sin marco formal

    En América Latina, la exposición es particularmente alta en el sector de investigación científica pública. Universidades nacionales de Argentina, Brasil y México manejan datos de proyectos financiados por organismos como CONICET, FAPESP o CONACYT, pero en su mayoría operan sin un programa formal de gobernanza de datos de investigación ni roles de data steward designados. En Argentina, la Ley 25.326 de Protección de Datos Personales exige medidas de seguridad para datos sensibles, pero no establece requisitos específicos de clasificación o linaje para datos de investigación no personal. En Brasil, la LGPD aplica cuando los datos de investigación contienen información personal, aunque la implementación en el sector académico es heterogénea. Esta brecha regulatoria deja un amplio margen de exposición que los actores externos —estatales o no— pueden aprovechar.

    • Definir o revisar la política de clasificación de datos de investigación, con categorías de sensibilidad explícitas (confidencial, restringido, público).
    • Mapear qué datos de investigación tienen un data owner asignado y cuáles quedan sin custodia formal — esto es el primer insumo para el CDO el lunes.
    • Coordinar con el equipo de IAM para que los permisos de acceso reflejen la clasificación del dato, no solo el rol organizacional del usuario.
    • Incorporar data lineage básico para activos de investigación críticos: saber quién accedió, desde dónde y cuándo es el mínimo de trazabilidad exigible.
    • Revisar si el marco de gobernanza vigente cubre datos de investigación o si están fuera de scope — en la mayoría de las organizaciones de la región, lo están.

    El EDM Council, a través del CDMC (Cloud Data Management Capabilities), incluye controles de acceso basados en sensibilidad como parte de las capabilities del nivel 2. Organizaciones latinoamericanas que trabajan con datos de investigación de alto valor deberían tomar ese marco como referencia mínima, incluso antes de apuntar a una certificación formal.

    El próximo incidente de este tipo no va a esperar a que la clasificación de datos esté terminada: las organizaciones de investigación en la región tienen que definir en las próximas semanas cuáles son sus activos de mayor exposición y quién responde por ellos.

  • Gobernanza de datos de emisiones GHG: el sector naviero crea un organismo internacional

    Gobernanza de datos de emisiones GHG: el sector naviero crea un organismo internacional

    La industria de transporte marítimo ro-ro lanzó un organismo internacional de gobernanza y un nuevo marco para gestionar datos de emisiones de gases de efecto invernadero (GHG), con la participación de ClassNK, una de las principales sociedades de clasificación naval del mundo. La iniciativa apunta a estandarizar la recolección, calidad y uso de datos de emisiones en una industria que enfrenta presión regulatoria creciente a nivel global.

    El transporte ro-ro (roll-on/roll-off), especializado en vehículos, maquinaria y carga rodante, representa una porción significativa del comercio marítimo internacional. Durante años, la falta de un estándar común para reportar emisiones de carbono dentro del sector generó inconsistencias que complicaban tanto la toma de decisiones operativas como el cumplimiento regulatorio ante organismos como la Organización Marítima Internacional (OMI). El nuevo marco de gobernanza de datos GHG busca resolver exactamente esa brecha.

    Qué hace el nuevo organismo y por qué ClassNK es clave

    El organismo recién establecido tiene como función central definir reglas comunes para la captura, validación, almacenamiento y uso de datos de emisiones de GHG dentro del sector ro-ro. ClassNK —sociedad de clasificación con sede en Japón que certifica embarcaciones de todo el mundo— participa activamente en la iniciativa, según se informó. Su rol es especialmente relevante porque las sociedades de clasificación ya operan como intermediarios de confianza en la verificación técnica de buques, lo que las posiciona como actores naturales en esquemas de gobernanza de datos sectoriales. Sin una entidad de este tipo, cada operador podía calcular y reportar emisiones con metodologías distintas, haciendo imposible la comparación entre flotas o rutas.

    El marco GHG: qué estandariza y qué mecanismos define

    El framework de gobernanza de datos GHG establece, según se informó, lineamientos sobre cómo deben recolectarse los datos de emisiones a bordo, qué métricas son válidas para el cálculo de intensidad de carbono, y cómo debe documentarse el linaje de esos datos —es decir, su origen, transformaciones y responsables— a lo largo de la cadena de reporte. En términos de DAMA-DMBOK, el sector estaba operando sin definición formal de data stewardship ni de data quality rules aplicadas a métricas ambientales. Este organismo introduce, en la práctica, una capa de gobierno que asigna roles y responsabilidades sobre los datos antes de que lleguen a los reportes regulatorios.

    Cuándo aplica este marco y cuándo NO

    El marco aplica específicamente al segmento ro-ro dentro de la industria naviera: buques diseñados para el transporte de vehículos y carga rodante. No cubre, al menos en esta etapa según se informó, otros tipos de embarcaciones como portacontenedores, graneleros o buques tanque, aunque la arquitectura del sistema podría ser replicable en esos segmentos. Tampoco reemplaza los esquemas de reporte obligatorio existentes ante la OMI o bajo regulaciones regionales como el sistema EU ETS (mercado de carbono europeo), al que el transporte marítimo fue incorporado en 2024; más bien, busca mejorar la calidad de los datos que alimentan esos reportes.

    Relevancia para puertos y operadores en América Latina

    Para la región, la iniciativa tiene implicancias concretas. Los puertos latinoamericanos con operaciones ro-ro relevantes —como Buenos Aires, Santos, Callao y Veracruz— reciben y despachan flotas que operan bajo banderas sujetas a regulación de la OMI. Los operadores navieros que toquen puertos de la Unión Europea ya están obligados a reportar emisiones bajo el EU ETS y el sistema MRV (Monitoreo, Reporte y Verificación) marítimo europeo. Un marco sectorial que estandarice los datos de origen mejora la trazabilidad de esas declaraciones y reduce el riesgo de discrepancias que pueden derivar en sanciones o en la pérdida de acceso a ciertos mercados. Además, países como Brasil y Chile avanzan en regulaciones de carbono propias: Brasil trabaja en su sistema de comercio de emisiones (SBCE) y Chile ya tiene impuesto al carbono vigente, lo que anticipa que la calidad de datos de emisiones marítimas tendrá consecuencias directas también en el ámbito local.

    El dato de gobernanza que más importa aquí

    Lo que distingue a este organismo de una iniciativa de reporte ambiental convencional es su enfoque explícito en gobernanza del dato —no en la política ambiental en sí. Crear un cuerpo que defina quién es el data owner de un registro de emisión a bordo, qué transformaciones son válidas, y cómo se audita el linaje de ese dato antes de que llegue al regulador, es exactamente lo que marcos como el CDMC del EDM Council o el estándar ISO/IEC 38505 proponen para cualquier dominio crítico de datos. El sector naviero ro-ro está aplicando, en contexto ambiental, principios que la industria financiera y la farmacéutica llevan más de una década desarrollando.

    Para referencia sobre los estándares de reporte de emisiones marítimas vigentes, el marco MRV de la Unión Europea y las directrices de la OMI sobre intensidad de carbono están disponibles en sus respectivos sitios oficiales. El texto del framework GHG sectorial no había sido publicado en forma completa al momento de esta nota.

  • OpenAI promete retención cero de datos para empresas: ¿qué garantiza realmente?

    OpenAI promete retención cero de datos para empresas: ¿qué garantiza realmente?

    OpenAI anunció una política de retención cero de datos para clientes corporativos, en un movimiento que apunta directamente a reducir la ventaja competitiva de Anthropic en el segmento enterprise. La promesa central: los prompts y las respuestas no se almacenan una vez que la sesión termina. Pero el anuncio viene con una capa que merece atención: la compañía también presentó “Private Safety Processing”, un mecanismo de vigilancia automatizada de los inputs que, según informó la empresa, operaría de forma discreta.

    La retención cero de datos —conocida en contratos de servicios cloud como zero data retention o ZDR— es una condición que los equipos legales y de privacidad de grandes organizaciones vienen exigiendo cada vez con más frecuencia al contratar modelos de lenguaje como servicio. Bajo este esquema, el proveedor se compromete a no guardar ningún dato transmitido durante la inferencia: ni el prompt del usuario, ni la respuesta del modelo, ni metadatos asociados a la consulta. Para sectores como salud, banca o servicios jurídicos, donde los prompts pueden contener datos sensibles de clientes o información protegida por secreto profesional, esta condición suele ser el umbral mínimo de negociación.

    Qué significa “retención cero” y qué no cubre

    Una política ZDR no equivale a ausencia total de procesamiento. Los datos aún transitan por la infraestructura del proveedor, son procesados por el modelo y pueden quedar expuestos a mecanismos intermedios de seguridad. Precisamente ahí entra en escena Private Safety Processing: según se informó, OpenAI incorpora un sistema automatizado que analiza los prompts con fines de moderación y seguridad, incluso bajo el esquema de retención cero. La empresa describe este procesamiento como discreto, lo que plantea una pregunta técnica y jurídica inmediata: ¿qué datos se procesan, por cuánto tiempo, con qué base legal y quién los controla?

    Esta distinción importa porque en la mayoría de los marcos de protección de datos vigentes, el procesamiento sin almacenamiento permanente sigue siendo tratamiento de datos personales. La LGPD de Brasil, la Ley 25.326 de Argentina y la LFPDPPP de México exigen que cualquier operación sobre datos personales —incluyendo la simple lectura en memoria— cuente con una base legal habilitante, un propósito declarado y, en muchos casos, un contrato de encargado de tratamiento debidamente suscrito. Que los datos no se “guarden” en un disco no los saca del ámbito regulatorio.

    Cuándo aplica la política ZDR y cuándo no

    La retención cero es relevante cuando los prompts contienen datos personales de terceros, información confidencial protegida por ley o datos sujetos a regulación sectorial —expedientes médicos, datos financieros, información de menores. No aplica, o aplica con matices, cuando el modelo se usa para tareas internas sin datos sensibles, cuando el proveedor opera bajo un acuerdo de procesamiento de datos (DPA) que ya regula la retención, o cuando la organización despliega el modelo en infraestructura propia. En esos casos, la política ZDR es un plus comercial, no una salvaguarda regulatoria crítica.

    También conviene distinguir entre retención cero en inferencia y retención cero en fine-tuning o entrenamiento. Los modelos personalizados con datos del cliente abren una categoría diferente de riesgos: los pesos del modelo podrían codificar, de forma difusa pero real, información presente en los datos de entrenamiento. Una política ZDR sobre inferencia no cubre ese vector.

    El contexto competitivo: Anthropic lleva ventaja en el segmento legal y de salud

    Anthropic construyó parte de su posicionamiento enterprise precisamente sobre compromisos de privacidad más estrictos que los de OpenAI, al menos en la percepción del mercado. Sectores como el legal, el financiero y el sanitario en Estados Unidos —y sus equivalentes en América Latina— eligieron Claude en parte por ese diferencial. El movimiento de OpenAI busca cerrar esa brecha, pero la credibilidad de un compromiso de privacidad no se establece solo con un anuncio: requiere cláusulas contractuales auditables, mecanismos de verificación independiente y, en jurisdicciones con autoridades de control activas, la posibilidad de que esas autoridades revisen el cumplimiento efectivo.

    En América Latina, ese último punto es relevante. La Autoridad Nacional de Protección de Datos de Brasil (ANPD) ha avanzado en lineamientos sobre uso de inteligencia artificial con datos personales, y la Agencia de Acceso a la Información Pública de Argentina (AAIP) ha publicado criterios sobre tratamiento de datos en entornos de IA. Cualquier empresa de la región que evalúe adoptar OpenAI bajo política ZDR debería revisar si el DPA ofrecido por el proveedor es compatible con las exigencias locales de subencargados de tratamiento y transferencias internacionales.

    El problema específico del “safety processing” discreto

    El punto más delicado del anuncio no es la retención cero sino el procesamiento de seguridad que coexiste con ella. Si Private Safety Processing implica que un sistema automatizado analiza el contenido de los prompts —aunque sea para detectar usos prohibidos— esa operación debe estar declarada en la política de privacidad, en el DPA y, si los datos son personales, debe contar con base legal. “Seguridad del servicio” puede constituir un interés legítimo bajo GDPR o LGPD, pero no es automático: requiere un test de proporcionalidad y, en algunos casos, una evaluación de impacto (DPIA). Las empresas que asumen que retención cero equivale a privacidad total asumen demasiado.

    Para los equipos jurídicos y de privacidad en LATAM que evalúan proveedores de IA, la pregunta correcta no es “¿ofrecen retención cero?” sino “¿qué datos procesan, durante cuánto tiempo, bajo qué base legal, y pueden acreditarlo ante una autoridad de control?”. Los documentos contractuales —no los anuncios de producto— son donde esa respuesta debe aparecer.

  • LATAM Airlines confirma intrusión y posible exposición de datos de pasajeros

    LATAM Airlines confirma intrusión y posible exposición de datos de pasajeros

    LATAM Airlines confirmó una intrusión en sus sistemas informáticos y advirtió sobre la posible exposición de datos de pasajeros, según se informó el 20 de agosto de 2026. La aerolínea, con operaciones en Argentina, Brasil, Chile, Colombia, Ecuador y Perú, es uno de los transportistas aéreos más grandes de América Latina.

    La compañía informó públicamente sobre el incidente sin precisar, hasta el momento del anuncio, el volumen exacto de registros potencialmente comprometidos ni los tipos de datos personales afectados. Tampoco se confirmó si la intrusión derivó en una exfiltración efectiva de información o si el acceso no autorizado fue contenido antes de que los datos salieran de los sistemas internos. La notificación fue divulgada por medios uruguayos y regionales, lo que sugiere que el aviso alcanzó a pasajeros de múltiples países del cono sur.

    Datos confirmados al momento del cierre

    • Actor afectado: LATAM Airlines, aerolínea con presencia en al menos seis países de América del Sur.
    • Tipo de incidente: intrusión confirmada en sistemas internos, según comunicación de la propia empresa.
    • Datos en riesgo: información de pasajeros, naturaleza específica no confirmada al momento de la publicación.
    • Fecha del anuncio público: 20 de agosto de 2026.
    • Exfiltración: no confirmada al cierre de esta edición.

    Qué se sabe y qué falta confirmar sobre la brecha

    Lo que está confirmado es la intrusión y la comunicación pública de LATAM sobre el riesgo de exposición. Lo que aún no está verificado es el alcance real del compromiso: cuántos pasajeros se vieron afectados, en qué países, qué campos de datos estuvieron expuestos —si incluyen documentos de identidad, datos de pago, historial de vuelos o datos de contacto— y si existe un actor de amenaza identificado. Tampoco trascendió si las autoridades de protección de datos de los países donde LATAM opera fueron notificadas de forma formal.

    En términos regulatorios, el incidente activa obligaciones distintas según la jurisdicción. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada en un plazo razonable cuando existe riesgo relevante para los titulares. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) puede requerir reporte bajo la Ley 25.326 y la Disposición AAIP 4/2019. Chile avanza en la aplicación de su nueva Ley 21.719 de protección de datos personales, vigente desde 2024, que también contempla notificación a la autoridad ante incidentes. En Colombia, la Superintendencia de Industria y Comercio (SIC) tiene competencia sobre el tratamiento de datos de clientes de aerolíneas que operen en el país.

    El próximo hito crítico es la notificación formal a las autoridades de control en cada jurisdicción: los plazos —que van de 72 horas en marcos más estrictos a términos más amplios en legislaciones nacionales— ya están corriendo desde el momento en que LATAM tomó conocimiento de la intrusión.