DataTrends LATAM

Blog

  • Brecha en proveedor C-Track afecta tribunales de decenas de estados de EE.UU.

    Brecha en proveedor C-Track afecta tribunales de decenas de estados de EE.UU.

    Un incidente de seguridad en C-Track, proveedor de software de gestión judicial, comprometió datos del Tribunal Supremo de Dakota del Norte y habría impactado a sistemas judiciales de decenas de estados de EE.UU. La brecha fue notificada al tribunal en julio de 2026 y una investigación criminal se encuentra en curso.

    El Sistema de Tribunales de Dakota del Norte confirmó que fue informado a fines de julio de que C-Track —plataforma de gestión de casos utilizada por cortes estatales— sufrió una brecha de datos que pudo haber involucrado información vinculada a ese tribunal. La divulgación fue realizada mediante un comunicado oficial, según reportó DataBreaches.net el 3 de septiembre de 2026. Las autoridades iniciaron una investigación criminal en respuesta al incidente.

    Datos confirmados sobre el incidente de C-Track

    • Proveedor afectado: C-Track, software de gestión de casos judiciales.
    • Notificación al tribunal: fines de julio de 2026.
    • Alcance reportado: decenas de estados de EE.UU. utilizan C-Track como proveedor.
    • Estado de la investigación: investigación criminal en curso al momento de la publicación.
    • Entidad confirmada afectada: Tribunal Supremo de Dakota del Norte.

    Qué se sabe y qué falta confirmar sobre el alcance real

    Hasta la fecha de publicación no se había confirmado públicamente qué tipo de datos fueron comprometidos ni el número exacto de registros afectados. Tampoco se había identificado públicamente al actor responsable del ataque, ni se habían difundido detalles técnicos sobre el vector de acceso. Según se informó, la brecha habría impactado a tribunales de “decenas de estados”, pero la lista completa de jurisdicciones afectadas no estaba disponible al cierre de esta nota. La naturaleza de los datos judiciales —que pueden incluir información de víctimas, testigos, menores e imputados— eleva el nivel de riesgo si la exfiltración se confirma en toda su extensión.

    El caso recuerda un patrón que se repite con creciente frecuencia en el sector público: la concentración de riesgo en proveedores tecnológicos transversales, cuya brecha compromete en cascada a múltiples organismos sin que estos tengan visibilidad directa sobre sus propios datos. En América Latina, este vector de ataque a terceros es igualmente crítico. Países como Brasil, bajo la Lei Geral de Proteção de Dados (LGPD), y Argentina, bajo la Ley 25.326 y la Disposición AAIP 7/2022, establecen que el responsable del tratamiento —en este caso, el tribunal— mantiene obligaciones frente a los titulares de datos incluso cuando la brecha se origina en un operador externo. La cláusula contractual con proveedores y la auditoría de terceros son requisitos que muchos organismos judiciales de la región aún no formalizan.

    El próximo hito a seguir es la notificación formal a las personas afectadas, cuyo plazo y alcance dependerán del resultado de la investigación criminal y de la identificación completa de los estados comprometidos.

  • Texas y Florida frenan redes de lectores de patentes por vigilancia masiva

    Texas y Florida frenan redes de lectores de patentes por vigilancia masiva

    En el lapso de tres días, Texas y Florida adoptaron medidas de emergencia para desmantelar sus redes de lectores automáticos de patentes (ALPR, por sus siglas en inglés). Texas prohibió el gasto de fondos públicos en cámaras Flock Safety el 28 de agosto; Florida ordenó retirar todos los dispositivos instalados en rutas estatales antes del 1° de octubre.

    La decisión del gobernador Greg Abbott llegó horas antes de que el medio The Texas Tribune publicara una investigación que reveló cómo una agencia estatal había canalizado al menos 30 millones de dólares hacia la construcción de una red de vigilancia vehicular sin autorización legislativa explícita. El decreto prohíbe a las agencias estatales contratar o renovar acuerdos con Flock Safety, la empresa más extendida en el mercado de ALPR municipal en Estados Unidos.

    Florida: 30 días para retirar cámaras de rutas estatales

    El 31 de agosto, el Departamento de Transporte de Florida (FDOT) emitió un memorándum respaldado por el gobernador Ron DeSantis que revoca todos los permisos de instalación aprobados previamente y prohíbe la emisión de nuevos permisos. Funcionarios del FDOT justificaron la medida citando “el aumento exponencial de despliegues a lo largo de nuestras rutas, acompañado de reportes preocupantes de mal uso, riesgos de privacidad de datos y esquemas de vigilancia que ameritan acción inmediata para preservar la soberanía y calidad de vida de los floridanos”, según se informó en medios locales. La orden desencadenó una ola de respuestas de sheriffs y autoridades municipales que comenzaron a retirar los dispositivos de sus jurisdicciones.

    Qué se confirma y qué falta precisar

    Está confirmado que ambas órdenes tienen carácter ejecutivo y efecto inmediato sobre el ámbito estatal, aunque su alcance sobre contratos municipales ya vigentes es aún objeto de debate legal en Florida. No está confirmado si Texas extenderá la prohibición a fondos federales canalizados por agencias estatales, ni si Florida contempla legislación permanente o la orden puede ser revertida por una administración futura. Tampoco se ha informado sobre auditorías formales a los datos de patentes ya recolectados ni sobre plazos de retención o eliminación de esa información.

    El movimiento bipartidista que impulsó estos cambios lleva años activo: decenas de municipios en distintos estados habían rescindido contratos con Flock Safety antes de las órdenes estatales, según registros de agosto de 2026 citados por Ars Technica. La EFF documentó que agosto de 2026 marcó un récord en cancelaciones de contratos a nivel municipal.

    En América Latina, el debate sobre ALPR tiene un marco legal distinto pero igualmente urgente. Argentina carece de regulación específica sobre sistemas de reconocimiento de patentes, aunque la Ley 25.326 de Protección de Datos Personales y las resoluciones de la AAIP obligan a encuadrar cualquier tratamiento masivo de datos de movilidad como dato personal cuando permite identificar a una persona. Brasil, por su parte, aplica la LGPD a sistemas similares desplegados por estados y municipios, y la ANPD ha señalado que el tratamiento de datos vehiculares con fines de seguridad pública requiere base legal expresa. México, bajo la LFPDPPP y la Ley General de Protección de Datos para el Sector Público, enfrenta un escenario similar: múltiples alcaldías y estados operan redes de ALPR sin marcos de retención ni auditoría formalmente establecidos.

    El próximo hito es el 1° de octubre de 2026, fecha límite para el retiro físico de las cámaras en rutas estatales de Florida; cualquier incumplimiento municipal activará el primer conflicto jurisdiccional derivado de la orden del FDOT.

  • Cuando el catálogo de datos es la brecha: por qué rotar credenciales no alcanza

    Cuando el catálogo de datos es la brecha: por qué rotar credenciales no alcanza

    Si un atacante compromete el catálogo de datos corporativo, no roba registros: roba el mapa completo de todo lo que la organización sabe sobre sus propios datos. Esa diferencia convierte a este tipo de incidente en una categoría aparte, y hace que la respuesta estándar —rotar credenciales, parchear el vector, cerrar el ticket— sea radicalmente insuficiente.

    Un catálogo de datos centraliza la metadata técnica y de negocio de una organización: qué tablas existen, qué contienen, quién las accede, cómo se relacionan entre sí, qué tan sensibles son y bajo qué política de retención operan. Herramientas como Apache Atlas, Alation, Collibra, DataHub o Amundsen acumulan esa inteligencia en un único punto. Según el marco DAMA-DMBOK, el catálogo es la columna vertebral del capability de Metadata Management, sin el cual el resto de las disciplinas de gobernanza de datos no puede operar. Eso lo convierte también en el activo de mayor valor estratégico para un adversario que quiera planificar ataques futuros o entender la arquitectura de datos de su objetivo.

    El catálogo no guarda datos: guarda el conocimiento sobre los datos

    La diferencia de impacto frente a una brecha convencional es estructural. En un incidente típico, el atacante extrae un conjunto de registros —números de tarjeta, correos, datos de salud— y el daño está acotado a esos registros. En una brecha de catálogo, el adversario obtiene el inventario completo: sabe qué base de datos contiene los datos de clientes premium, qué pipeline los mueve, quién tiene acceso privilegiado y qué controles (o ausencia de ellos) los protegen. Es, en términos prácticos, un reconocimiento total del entorno de datos. Los equipos de seguridad ofensiva llaman a esto “living off the land” aplicado a la capa de metadata.

    El data lineage —la trazabilidad de cómo un dato se mueve desde su origen hasta su destino final— amplifica el daño. Un catálogo moderno que almacena linaje completo le entrega al atacante el grafo de dependencias de toda la infraestructura de datos: desde los sistemas fuente hasta los data marts que alimentan los reportes ejecutivos. Con esa información, un atacante paciente puede planificar intrusiones quirúrgicas en sistemas downstream sin necesidad de escanear la red.

    Por qué rotar credenciales no resuelve la exposición del catálogo

    La rotación de credenciales corta el acceso activo, pero no borra el conocimiento ya adquirido. Si el catálogo estuvo expuesto durante horas o días, el atacante ya tiene una copia del inventario de metadata. Cambiar contraseñas o revocar tokens resuelve el vector de entrada, no el daño informacional. Es equivalente a cambiar la cerradura de una caja fuerte después de que alguien fotografió el contenido. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica explícitamente la protección de metadata sensible como un control de nivel 2 bajo el capability de Data Control, diferenciado del control de acceso a los datos en sí. Muchas organizaciones aplican controles de clase A a sus bases de datos productivas y dejan el catálogo con controles de clase C, sin clasificación de sensibilidad propia ni auditoría de acceso detallada.

    El problema se agrava porque los catálogos modernos tienden a integrarse con sistemas de identidad corporativa (LDAP, Azure AD), orquestadores (Airflow, Dagster), plataformas de transformación (dbt) y herramientas de observabilidad. Un catálogo comprometido puede ser el punto de pivote hacia toda esa cadena. El data steward responsable de ese dominio raramente tiene visibilidad sobre los logs de acceso al catálogo con el mismo nivel de detalle con el que el equipo de seguridad audita los sistemas productivos.

    Cuándo aplica este riesgo / cuándo NO

    Este vector de riesgo aplica a organizaciones que operan un catálogo de datos centralizado con metadata enriquecida: clasificación de sensibilidad, linaje automatizado, integración con pipelines activos y perfiles de datos. Si el catálogo es una planilla Excel o un repositorio estático sin conexión a sistemas productivos, el riesgo es considerablemente menor, aunque no nulo. No aplica —al menos no con esta criticidad— en entornos donde el catálogo está aislado de la red, opera sin autenticación federada y no contiene metadata operativa actualizada. En arquitecturas de data mesh, donde cada dominio puede operar su propio catálogo local, el riesgo se distribuye pero no desaparece: un catálogo de dominio financiero sigue siendo un activo de alto valor.

    El ángulo en América Latina: cumplimiento normativo post-brecha

    En la región, una brecha de catálogo tiene implicancias regulatorias que van más allá de lo técnico. En Brasil, la LGPD (Lei 13.709/2018) obliga a notificar a la ANPD cuando el incidente puede acarrear riesgo relevante a los titulares. Si el catálogo expuesto documenta el tratamiento de datos sensibles —salud, biometría, datos financieros— la organización debe evaluar si la exposición de esa metadata activa la obligación de notificación, incluso si los datos en sí no fueron exfiltrados. En Argentina, la Ley 25.326 y las disposiciones de la AAIP siguen una lógica similar. En México, el INAI ha comenzado a interpretar el concepto de “tratamiento” de datos de forma más amplia, lo que podría incluir la exposición de metadata que revela el alcance de ese tratamiento. Esta ambigüedad regulatoria es un riesgo legal no trivial que los equipos jurídicos de muchas organizaciones de la región aún no tienen mapeado.

    Para un CDO que quiere evaluar la exposición real de su organización, el punto de partida es concreto: auditar los logs de acceso al catálogo con la misma rigurosidad que se auditan los sistemas productivos; clasificar el catálogo como activo de datos sensible con su propio data owner y política de acceso; revisar si el data steward de cada dominio tiene visibilidad sobre quién accede a la metadata de su dominio y cuándo; y documentar el proceso de respuesta a incidentes específico para el catálogo, separado del playbook genérico de seguridad.

    Para profundizar en los controles de metadata bajo el framework CDMC del EDM Council, el punto de partida es el capability 8 (Data Control) disponible en edmcouncil.org; para el marco regulatorio de notificación en la región, la Guía de Medidas de Seguridad de la AAIP y las Resoluções de la ANPD ofrecen los criterios de evaluación más actualizados.

  • Juez falla que el Pentágono retalió ilegalmente contra Anthropic por negarse a la vigilancia masiva

    Juez falla que el Pentágono retalió ilegalmente contra Anthropic por negarse a la vigilancia masiva

    Un juez federal dictaminó que el Departamento de Defensa de Estados Unidos violó la Primera Enmienda al declarar a Anthropic un “riesgo en la cadena de suministro” como represalia por negarse a permitir que su tecnología fuera usada para la vigilancia masiva de ciudadanos estadounidenses. La designación, que impedía al gobierno y a sus contratistas utilizar los productos de la compañía, fue calificada por el tribunal como “retaliación ilegal e inconstitucional”.

    El conflicto se originó en febrero de 2026, cuando el Pentágono comenzó a presionar a Anthropic para que abandonara su postura de no permitir que su modelo de lenguaje Claude fuera utilizado en programas de vigilancia masiva de personas en suelo estadounidense ni en sistemas de armas autónomas. Ante la negativa de la empresa, el Departamento de Defensa —argumentando que no toleraría que contratistas privados limitaran el uso de sus propias herramientas— activó la designación de “riesgo en cadena de suministro”, con consecuencias comerciales inmediatas para Anthropic. El tribunal concluyó que esa maniobra constituyó una represalia ilegal en violación de la Primera Enmienda.

    Lo que el fallo confirma y lo que deja sin resolver

    • Confirmado: la designación de “supply chain risk” del DoD fue retaliación inconstitucional contra el discurso protegido de Anthropic.
    • Confirmado: la Electronic Frontier Foundation (EFF) presentó amicus briefs en apoyo de Anthropic en dos instancias del proceso.
    • Sin resolver: el tribunal no se pronunció sobre si las decisiones de una empresa respecto al uso de su tecnología constituyen, en sí mismas, discurso protegido.
    • Sin resolver: el Congreso de EE.UU. no ha adoptado salvaguardas estatutarias que regulen cuándo el gobierno puede usar IA privada para vigilancia.

    El vacío legal que el fallo no tapa: vigilancia, contratos y sin ley del Congreso

    La EFF celebró el fallo pero advirtió que el problema estructural persiste: la decisión de si los ciudadanos son o no susceptibles a la vigilancia estatal queda en manos de negociaciones a puertas cerradas entre funcionarios militares y ejecutivos de empresas de IA. El Congreso, según la organización, ha abandonado su responsabilidad de legislar protecciones de privacidad concretas, dejando a la ciudadanía dependiente de la voluntad de compañías privadas para delimitar el alcance del estado de vigilancia.

    Este escenario tiene resonancias directas para América Latina. En la región, el uso de sistemas de inteligencia artificial por fuerzas de seguridad y agencias estatales avanza con marcos legales fragmentarios. Brasil cuenta con la Lei Geral de Proteção de Dados (LGPD) y, desde 2024, con el marco regulatorio de IA en discusión parlamentaria, pero no existe aún una prohibición expresa del uso de IA para vigilancia masiva. Argentina, cuya Ley 25.326 de Protección de Datos Personales es anterior a la era de los modelos generativos, tampoco contempla restricciones específicas al uso gubernamental de IA en este contexto. México enfrenta un escenario similar bajo la LFPDPPP, orientada al sector privado. El caso Anthropic ilustra que incluso en jurisdicciones con mayor desarrollo institucional, la protección depende hoy más de la ética corporativa de un proveedor que de una ley.

    La próxima batalla en este expediente —Anthropic v. Department of War et al.— será definir si las políticas de uso aceptable de una empresa de IA son discurso constitucionalmente protegido: una pregunta cuya respuesta podría reconfigurar la relación entre proveedores de IA y estados en todo el hemisferio.

  • El apagón de DonWeb y la pregunta que nadie te puede responder

    El apagón de DonWeb y la pregunta que nadie te puede responder

    Imaginate que tu empresa depende de un proveedor de hosting. Un día, sin aviso previo, todos tus servicios dejan de andar. No podés facturar, no podés atender a tus clientes, ni siquiera podés entrar a bajar tus propios datos para mudarte a otro lado. Pasan las horas, pasan los días, y lo único que recibís es un comunicado de manual que habla de “reemplazo de un componente de conexión” y de trabajos para “normalizar el entorno”. Nada más. Ni una cifra, ni un plazo, ni una explicación real.

    Eso es lo que vivieron esta semana miles de usuarios de DonWeb, después de que una falla dejara caído el 100% de los Cloud Servers del nodo NOVA. Coaches, pymes, estudios profesionales: negocios enteros con la persiana bajada durante días, mientras la empresa administraba el silencio como si fuera parte del servicio.

    El problema no es la caída. Es lo que vino después

    Los sistemas se caen. Eso, lamentablemente, es parte de operar infraestructura crítica y ninguna empresa está exenta. Lo que no debería tener excusa es la respuesta: un comunicado que suena más a parte de prensa redactado para no decir nada que a una rendición de cuentas real. “No existe riesgo de pérdida de datos”, dijeron. Sin métricas, sin cronología, sin una sola precisión sobre el alcance real del incidente. La confianza no se recupera con una frase tranquilizadora; se recupera con información verificable.

    Lo planteé en el hilo que disparó la conversación: la magnitud de lo que pasó ameritaba mucho más que eso. Y la respuesta de la comunidad en Twitter/X lo confirmó de sobra. No fue una queja aislada, fue una catarata de usuarios frustrados, algunos de ellos con su negocio literalmente parado, otros directamente imposibilitados de entrar a exportar sus propios datos para irse a otro proveedor. Eso no es un detalle técnico menor: es quedar secuestrado por la misma empresa que te falló.

    Lo grave: nada de esto es ilegal

    Y acá está el verdadero problema, el que me interesa remarcar: hoy en Argentina, una empresa puede tener un incidente que afecte al 100% de su infraestructura, decidir contar lo mínimo indispensable, tardar días en dar señales de vida, y no violar una sola norma. La Ley 25.326 no establece ninguna obligación de notificar incidentes de seguridad, ni a los titulares de los datos ni a la AAIP. La autoridad de aplicación lo recomienda dentro de las obligaciones generales de seguridad, pero una recomendación no obliga a nadie a nada. Es una sugerencia con la que cualquier empresa puede quedar bien parada haciendo lo mínimo.

    Esa laxitud no es neutral. Termina premiando el silencio. Mientras comunicar con transparencia implica exponerse a la crítica pública, no comunicar no tiene ningún costo legal. Así de simple, así de desalentador.

    Un sistema pensado para proteger a la empresa, no al usuario

    La Ley 25.326 tiene más de dos décadas y sigue vigente prácticamente intacta en este punto, mientras el país entero se mudó a la nube, tercerizó su infraestructura crítica y depende por completo de proveedores tecnológicos para sostener cualquier actividad económica. No es un desfasaje menor: es una ley diseñada para un mundo que ya no existe, aplicada sobre un ecosistema digital completamente distinto.

    El resultado es previsible: los usuarios no tienen ninguna herramienta legal para exigir una explicación completa y oportuna. No pueden tomar decisiones informadas sobre sus propios datos porque no cuentan con la información necesaria para hacerlo. Y la autoridad de aplicación pierde cualquier posibilidad de intervenir a tiempo, porque se entera de los incidentes -si se entera- por Twitter, no por una notificación formal. La reputación quedó como único mecanismo de control. Y la reputación no repone datos perdidos, no compensa a una pyme que estuvo días sin facturar, ni le devuelve a nadie la posibilidad de haber tomado una decisión distinta a tiempo.

    La buena voluntad no escala

    Comunicar con transparencia el alcance, el impacto, las medidas adoptadas y el estado de recuperación de un incidente debería ser lo mínimo esperable de cualquier proveedor serio, sin que haga falta una ley que lo obligue. Pero seamos honestos: si dependemos de la buena voluntad corporativa para garantizar derechos básicos, ya sabemos cómo termina esa historia. La buena voluntad no escala, y mucho menos cuando lo que está en juego es la reputación de la propia empresa que tiene que dar la cara.

    Por eso la discusión no puede quedar en el plano de las buenas prácticas. Argentina necesita, ya, una reforma de su ley de protección de datos personales que incorpore la obligación expresa de notificar incidentes de seguridad -tanto a los titulares de los datos como a la AAIP- dentro de plazos concretos y con contenido mínimo obligatorio. No es una idea exótica ni una imposición burocrática: es el estándar que rige hace años en buena parte del mundo. El RGPD europeo exige notificar a la autoridad dentro de las 72 horas de conocido el incidente, con multas severas para quien no lo haga. Argentina, que supo tener uno de los regímenes de protección de datos más avanzados de la región, hoy quedó rezagada frente a una exigencia que en otros lugares ya es moneda corriente.

    ¿Cuántos incidentes como el de DonWeb están pasando ahora mismo, en otras empresas, sin que nadie se entere porque no hubo un hilo de Twitter que los visibilizara? Esa es la parte más inquietante de todo esto: lo de DonWeb se supo porque generó ruido público, no porque el sistema esté diseñado para que se sepa.

    Mientras la reforma de la Ley 25.326 siga cajoneada, cada incidente de seguridad va a seguir resolviéndose de la misma manera: puertas para adentro, con la empresa decidiendo unilateralmente cuánto le cuenta al usuario sobre lo que pasó con su propia información. Eso no es un problema de comunicación corporativa. Es un problema de derechos, y ya es hora de tratarlo como tal.

  • Gobernanza de datos en minería: decisiones críticas bajo datos confiables

    Gobernanza de datos en minería: decisiones críticas bajo datos confiables

    La industria minera opera con decisiones de miles de millones de dólares que dependen de datos geológicos, operativos y financieros. Sin una gobernanza de datos sólida, esos datos son ruido —y los errores se miden en pozos secos, paradas de planta o accidentes evitables.

    El concepto de gobernanza de datos en minería no se reduce a proteger información sensible: abarca definir quién es propietario de cada dato, qué versión del dato es la oficial, cómo se trazó desde su origen y con qué calidad llega a la sala de decisiones. En términos del marco DAMA-DMBOK —el estándar de referencia para la disciplina—, hablamos de las capabilities de data quality, data lineage y data ownership aplicadas a un entorno industrial de alta criticidad.

    Qué datos mueven la aguja en una operación minera

    Una mina activa genera volúmenes masivos de datos heterogéneos: telemetría de equipos pesados, modelos de bloques geológicos, registros de perforación, datos de ley del mineral, consumo energético, variables de planta y métricas de seguridad operacional. El problema no es la cantidad —es la fragmentación. Cada área suele operar con sus propias fuentes, sus propias definiciones y, con frecuencia, sus propias hojas de cálculo paralelas. Cuando la dirección consolida esa información para decidir si avanzar con una nueva fase de extracción, puede estar trabajando con versiones distintas del mismo dato sin saberlo.

    El data lineage —la trazabilidad que permite saber de dónde viene un dato, qué transformaciones sufrió y quién lo modificó— es la herramienta que permite detectar esas inconsistencias antes de que lleguen al tablero ejecutivo. Sin ese linaje documentado, la auditoría de decisiones pasadas es prácticamente imposible, y la mejora continua queda reducida a intuición.

    Ciberseguridad como extensión del gobierno del dato, no como disciplina separada

    La ciberseguridad en entornos mineros ha ganado visibilidad tras incidentes en operaciones de países productores como Chile, Perú y Australia, donde ataques a sistemas SCADA o de gestión de flota comprometieron tanto la continuidad operativa como la integridad de los datos de producción. Este punto es clave: cuando un sistema de control es comprometido, el daño no es solo operativo —los datos que ese sistema registró durante el ataque pierden confiabilidad. Si no hay controles de calidad ni mecanismos de detección de anomalías en el flujo de datos, esos registros corruptos pueden alimentar modelos de decisión sin que nadie lo advierta.

    El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), establece que la seguridad del dato no es una capa externa sino una dimensión intrínseca del gobierno del dato. Esto implica que los equipos de data governance y los equipos de ciberseguridad deben trabajar con taxonomías compartidas: qué datos son críticos, qué nivel de sensibilidad tienen, quién puede acceder a ellos y bajo qué condiciones. En minería, eso se traduce en clasificar, por ejemplo, los modelos de recursos como activos de información de máxima criticidad —con controles equivalentes a los que se aplican a información financiera material.

    Cuándo aplica una arquitectura de gobierno del dato en minería — y cuándo no

    Una arquitectura formal de gobierno del dato tiene sentido en operaciones con múltiples fuentes de datos integradas, equipos multidisciplinarios que comparten información para decidir, y regulaciones sectoriales que exigen trazabilidad —como los reportes de recursos y reservas bajo el Código JORC o el Código NI 43-101 en América del Norte, que obligan a documentar la metodología y los datos subyacentes usados para estimar recursos minerales. En esos contextos, un catálogo de datos con data stewards asignados por dominio (geología, producción, mantenimiento, finanzas) no es un lujo: es un requisito de cumplimiento.

    Por otro lado, en operaciones pequeñas o de una sola fase, un programa formal de gobierno puede ser desproporcionado. Allí, la prioridad es establecer definiciones mínimas acordadas, identificar las fuentes únicas de verdad para las métricas críticas y documentar los procesos de transformación de datos antes de que escalen. El marco Non-Invasive Data Governance de Bob Seiner ofrece una alternativa pragmática: formalizar lo que ya existe en los procesos sin imponer burocracia nueva.

    El ángulo regulatorio en América Latina: minería, datos y obligaciones emergentes

    En la región, la gobernanza de datos en minería empieza a cruzarse con marcos regulatorios más amplios. En Chile, donde el sector representa cerca del 15% del PBI según datos del Banco Central, la Comisión para el Mercado Financiero (CMF) ya exige estándares de divulgación de información que incluyen datos operativos materiales —lo que obliga a las mineras listadas a tener trazabilidad sobre cómo se construyen esas cifras. En Perú, la Superintendencia del Mercado de Valores (SMV) avanza en línea similar. En Brasil, las empresas mineras de escala están alcanzadas por la Lei Geral de Proteção de Dados (LGPD) cuando procesan datos de empleados, contratistas y comunidades impactadas —lo que exige identificar y clasificar esos datos dentro del mismo ecosistema de gobierno que gestiona los datos operativos. Tratar ambos mundos como silos separados es uno de los errores más frecuentes en la madurez de gobierno del dato del sector.

    Para profundizar en los estándares de clasificación y trazabilidad aplicables a datos de recursos minerales, el Código JORC (Joint Ore Reserves Committee) y el marco CDMC del EDM Council son los puntos de partida obligados para cualquier equipo de gobierno del dato en el sector.

  • Irlanda multa al sistema de salud con €645.000 por registros médicos mal gestionados

    Irlanda multa al sistema de salud con €645.000 por registros médicos mal gestionados

    La Comisión de Protección de Datos de Irlanda (DPC) multó al Ejecutivo de Servicios de Salud (HSE) con €645.000 por el manejo deficiente de registros históricos en papel en dos hospitales públicos: St. Loman’s de Mullingar, en el condado de Westmeath, y St. Conal’s de Letterkenny. La sanción cierra una investigación formal sobre cómo ambas instituciones gestionaron —o dejaron de gestionar— archivos físicos con datos de pacientes.

    Según se informó, la DPC concluyó su indagación determinando que el HSE incumplió obligaciones de protección de datos en relación con registros históricos almacenados en esos dos centros. El organismo regulador irlandés no detalló públicamente la cantidad de personas afectadas ni el período exacto al que corresponden los documentos comprometidos, pero la investigación habría abarcado archivos de carácter sensible por tratarse de historial clínico. La multa de €645.000 fue comunicada el 1 de septiembre de 2026.

    Datos confirmados sobre la sanción al HSE

    • Autoridad sancionadora: Data Protection Commission (DPC) de Irlanda
    • Monto de la multa: €645.000
    • Entidad sancionada: Health Service Executive (HSE), sistema público de salud irlandés
    • Instalaciones involucradas: St. Loman’s Hospital (Mullingar, Westmeath) y St. Conal’s Hospital (Letterkenny)
    • Tipo de registros: archivos históricos en papel con datos de pacientes
    • Origen del caso: investigación formal de la DPC sobre manejo de registros físicos

    Qué se sabe y qué falta confirmar

    Lo confirmado es que la infracción se vincula a la gestión de registros físicos —no a un ciberataque— lo que ubica el caso en el terreno del cumplimiento documental y los procedimientos internos de custodia. Lo que no surge de la información disponible es si hubo acceso no autorizado por terceros, cuántos titulares de datos resultaron afectados, ni si el HSE había notificado previamente a los pacientes. Tampoco se conoce si la entidad impugnará la resolución ante los tribunales, una vía que el GDPR habilita. No hay información pública sobre medidas correctivas exigidas en paralelo a la multa.

    El caso es relevante más allá de Europa porque pone de relieve un vector de riesgo frecuentemente subestimado en hospitales públicos de América Latina: los archivos en papel. En Argentina, la Ley 25.326 obliga a cualquier responsable de base de datos —incluyendo organismos de salud— a garantizar condiciones de seguridad adecuadas para la información, independientemente del soporte. El Ministerio de Salud y la Agencia de Acceso a la Información Pública (AAIP) han avanzado en digitalización, pero los acervos físicos de larga data siguen sin protocolos uniformes de custodia, acceso y destrucción segura. En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica los datos de salud como sensibles y exige tratamiento diferenciado; la Autoridade Nacional de Proteção de Dados (ANPD) aún no ha publicado un marco específico para archivos hospitalarios históricos en soporte físico.

    La próxima referencia temporal a monitorear es la posible resolución del HSE sobre si apelará la sanción, lo que determinaría si los €645.000 quedan firmes o ingresan a un proceso judicial que podría extenderse meses.

  • Ghana expande su modelo de protección de datos a nivel regional africano

    Ghana expande su modelo de protección de datos a nivel regional africano

    La Comisión de Protección de Datos de Ghana (DPC) está profundizando su compromiso regional para exportar servicios y estándares de privacidad a otros países africanos. El movimiento posiciona a Ghana como un hub normativo en un continente donde la mayoría de los marcos de protección de datos aún están en construcción, y ofrece un espejo para América Latina, donde ocurre una dinámica similar.

    Ghana fue uno de los primeros países africanos en adoptar una ley específica de protección de datos: la Data Protection Act de 2012 (Ley 843). Más de una década después, la DPC no solo aplica ese marco internamente sino que según se informó está impulsando activamente su modelo hacia vecinos regionales que carecen de autoridades de control consolidadas o de legislación equivalente. La estrategia combina asistencia técnica, intercambio de capacidades y articulación con redes de autoridades de privacidad del continente.

    Qué hace concretamente la DPC de Ghana y por qué importa fuera de África

    La expansión de servicios de privacidad entre autoridades de control es una práctica que la Unión Europea lleva décadas desarrollando a través del Comité Europeo de Protección de Datos (EDPB), y que en América Latina todavía es incipiente. Según se informó, la DPC busca consolidar acuerdos de cooperación con pares regionales, compartir metodologías de fiscalización y homologar criterios de evaluación de tratamientos de datos transfronterizos. En términos prácticos, esto equivale a construir una red funcional de autoridades en un contexto donde la fragmentación normativa genera asimetrías de protección para los titulares de datos.

    El modelo ghanés es relevante porque operó durante años sin grandes recursos institucionales y aun así logró construir una autoridad de control reconocible. Ese trayecto —de ley aprobada a institución operativa con proyección regional— es exactamente el desafío que enfrentan varias autoridades latinoamericanas hoy.

    Cuándo aplica este tipo de cooperación / cuándo no

    La cooperación entre autoridades de control es eficaz cuando existen marcos legales de base en los países involucrados, aunque sean heterogéneos. Lo que se intercambia son metodologías, criterios de adecuación y protocolos de respuesta ante incidentes transfronterizos. No reemplaza la legislación nacional ni crea obligaciones directas para empresas privadas: el efecto sobre el sector privado es indirecto, a través de la armonización de criterios que luego se vuelcan en guías o resoluciones locales. Tampoco es aplicable cuando un país carece de cualquier marco legal de base: la cooperación técnica sin norma habilitante tiene alcance muy limitado.

    El paralelo con América Latina: autoridades jóvenes, mismos problemas de escala

    La situación africana tiene un correlato directo en la región. Brasil cuenta con la ANPD, que desde 2020 viene construyendo músculo regulatorio bajo la LGPD (Ley 13.709/2018) y ya participó en instancias multilaterales como el Global Privacy Assembly. Argentina tiene la AAIP, cuya Ley 25.326 data del año 2000 y está en proceso de actualización legislativa. México opera con el INAI bajo la LFPDPPP. Pero la mayoría de estos organismos trabaja en silos, con escasa coordinación formal entre sí, y ninguno tiene un mandato explícito de asistencia técnica a países vecinos con marcos más débiles, como Paraguay, Bolivia o Venezuela, donde la protección de datos personales carece de ley específica o de autoridad operativa.

    La Red Iberoamericana de Protección de Datos (RIPD) es el espacio de articulación disponible, pero su actividad concreta en términos de transferencia de capacidades ha sido históricamente más declarativa que operativa. Lo que Ghana está intentando en África —construir liderazgo regional desde una autoridad con experiencia acumulada— es exactamente lo que Brasil o Argentina podrían hacer en América del Sur con más sistematicidad.

    Tres elementos del modelo ghanés que otras autoridades pueden replicar

    • Registro de responsables de tratamiento como mecanismo de visibilidad del ecosistema: la DPC mantiene un sistema de registro que permite mapear qué actores tratan datos en el país, una capacidad que autoridades como la AAIP argentina aún no tienen completamente desplegada.
    • Cooperación sur-sur sin dependencia de marcos europeos: Ghana articula con pares africanos sin asumir que el GDPR es la única referencia válida, lo que le permite construir estándares adaptados a su contexto económico e institucional.
    • Proyección proactiva, no reactiva: en lugar de esperar que otros países la consulten, la DPC sale a construir relaciones antes de que ocurran incidentes transfronterizos que obliguen a la cooperación de emergencia.

    Ese tercer punto es quizás el más difícil de replicar en América Latina, donde las autoridades de control suelen operar en modo reactivo por restricciones presupuestarias y de personal. La ANPD brasileña tiene la masa crítica para asumir ese rol en la región; la pregunta es si tiene el mandato político y los recursos para hacerlo.

    Para quienes trabajan en privacidad y gobernanza de datos en América Latina, el caso ghanés plantea una pregunta incómoda: ¿quién lidera la arquitectura regional de protección de datos en la región, o seguimos construyendo autoridades nacionales que se ignoran entre sí?

  • California aprueba AB 1709: veto pendiente a la ley que prohíbe redes a menores de 16

    California aprueba AB 1709: veto pendiente a la ley que prohíbe redes a menores de 16

    La legislatura de California aprobó la Assembly Bill 1709 (AB 1709), una ley que prohíbe a las plataformas de redes sociales ofrecer algoritmos de recomendación y otras funciones básicas de personalización a usuarios menores de 16 años. La Electronic Frontier Foundation (EFF) calificó la norma como “una pesadilla masiva de privacidad y libre expresión” y solicitó formalmente al gobernador Gavin Newsom que la vete antes de su entrada en vigor, prevista para enero de 2027.

    La ley cataloga como “funciones adictivas” a herramientas que en la práctica son los cimientos del funcionamiento de cualquier servicio digital: desde los feeds ordenados por relevancia hasta el registro de a quién sigue un usuario o qué publicaciones marca con “me gusta”. La EFF sostiene que esa clasificación se apoya en evidencia científica todavía debatida sobre el impacto de las redes sociales en la salud mental juvenil, y que la consecuencia práctica es que los menores de 16 años quedarán excluidos de la mayoría de los servicios digitales tal como existen hoy.

    Qué prohíbe AB 1709 y por qué la EFF pide el veto

    Bajo AB 1709, las plataformas no podrán ofrecer a menores de 16 años prácticamente ningún algoritmo de recomendación automatizado ni funciones básicas de personalización. Dado que casi todos los servicios mayoritarios operan sobre feeds automatizados, la EFF advierte que el resultado no es una restricción acotada sino una exclusión funcional total. La organización argumenta, además, que la ley daña especialmente a grupos vulnerables y comunidades marginadas que utilizan los espacios digitales para acceder a redes de apoyo que no encuentran fuera de línea.

    La solicitud de veto presentada por la EFF ante el gobernador Newsom señala que investigaciones disponibles indican que las prohibiciones de redes sociales son ineficaces y pueden ser contraproducentes: privan a los jóvenes de entornos donde desarrollan voz propia, practican su fe, comparten arte o participan en debates políticos. La organización cita, entre otras fuentes, un análisis de Brookings Institution sobre el impacto de estas prohibiciones en la infancia.

    El debate sobre evidencia científica detrás de las restricciones a menores

    Un punto central del cuestionamiento a AB 1709 es que la ciencia sobre el efecto de las redes sociales en menores dista de estar resuelta. La EFF ha documentado en análisis previos que el consenso académico es más débil de lo que suelen presentar los promotores de estas leyes: los estudios muestran correlaciones, pero la causalidad entre uso de redes y daño psicológico sigue siendo objeto de disputa metodológica. Legislar con restricciones tan amplias sobre una base empírica incierta genera un riesgo regulatorio concreto: los efectos secundarios sobre derechos fundamentales pueden superar los beneficios previstos.

    El caso de AB 1709 se inscribe en una tendencia que atraviesa varios estados de EE. UU. desde 2023, con distintos grados de ambición normativa, y que comparte argumentación con propuestas similares en otros países anglosajones, como la ley australiana que desde 2025 prohíbe el acceso a redes sociales para menores de 16 años. En todos los casos, el debate central es el mismo: cómo proteger a la infancia sin sacrificar derechos de acceso a la información y libertad de expresión.

    Argentina, Brasil y México ante la regulación de menores en plataformas digitales

    En América Latina, el tema avanza con ritmos distintos. Brasil sancionó en 2024 la Ley 14.811, que regula el uso de plataformas digitales por menores y obliga a los servicios a adoptar configuraciones de privacidad reforzadas para usuarios de hasta 18 años; su implementación sigue siendo monitoreada por la Autoridade Nacional de Proteção de Dados (ANPD). En México, el Congreso debatió durante 2024 iniciativas para regular el acceso de menores a redes sociales, pero sin alcanzar un texto consensuado; el marco vigente sigue siendo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que no contempla restricciones etarias específicas para plataformas. Argentina, por su parte, carece de legislación específica sobre acceso de menores a redes sociales más allá de las disposiciones generales de la Ley 25.326 y las resoluciones de la Agencia de Acceso a la Información Pública (AAIP), que no abordan algoritmos de recomendación.

    Lo que muestra el caso californiano es que incluso las jurisdicciones con mayor capacidad técnica y legal para regular enfrentan dificultades para diseñar normas que no colisionen con otros derechos. Para los reguladores latinoamericanos que observan estas experiencias como modelos, la lección es que el diseño importa tanto como la intención: una prohibición amplia de algoritmos puede resultar más costosa en términos de derechos que el problema que busca resolver.

    Qué cambia para plataformas con operaciones en LATAM si AB 1709 entra en vigor

    Si el gobernador Newsom no veta la ley, las plataformas globales con usuarios en California deberán rediseñar sus sistemas de recomendación para segmentar por edad antes de enero de 2027. Eso implica verificación de edad funcional, arquitecturas técnicas separadas para menores y adultos, y políticas de datos diferenciadas. Cualquier plataforma que opere también en Brasil, México o Argentina deberá gestionar esas obligaciones en paralelo con los marcos locales —a menudo menos específicos pero igualmente exigentes en materia de consentimiento y datos de menores—, lo que incrementa la complejidad de cumplimiento para equipos legales y de producto que ya operan en múltiples jurisdicciones.

    Nuestro análisis

    AB 1709 pone en evidencia una tensión que las legislaturas de la región deberán resolver antes o después: la protección de la infancia en entornos digitales no puede construirse únicamente sobre restricciones de acceso sin evaluar el costo en derechos. La crítica de la EFF no niega que los algoritmos de recomendación puedan diseñarse mejor; lo que objeta es que una prohibición funcional total —sostenida en evidencia científica contestada— es un instrumento desproporcionado. Para LATAM, donde el debate regulatorio sobre menores y plataformas está en etapa temprana, el proceso californiano ofrece una advertencia de primera mano: la velocidad legislativa sin testeo de impacto produce normas que los tribunales o los propios ejecutivos terminan frenando.

    Si Newsom firma AB 1709, los reguladores latinoamericanos verán en California tanto un precedente como un experimento cuyo resultado todavía no está escrito.

  • EFF a los tribunales: no reescriban el copyright por el hype de la IA

    EFF a los tribunales: no reescriban el copyright por el hype de la IA

    La Electronic Frontier Foundation advierte a los tribunales de EE.UU. que no expandan los derechos de autor para frenar la inteligencia artificial generativa. El argumento central: hacerlo traicionaría el propósito original del copyright y repite el mismo error que casi ocurrió con el VCR en los años ochenta.

    En al menos dos casos federales —Concord Music Group, Inc. v. Anthropic PBC e In re Mosaic LLM Litigation— grupos de titulares de derechos están pidiendo a los jueces que reconozcan una nueva teoría jurídica: que entrenar modelos de lenguaje con obras protegidas no puede considerarse uso justo (fair use) porque los sistemas resultantes podrían generar obras que compitan con las originales. La EFF presentó escritos de amicus curiae en ambos expedientes rechazando esa posición.

    La teoría de “dilución de mercado” y por qué la EFF la impugna

    La teoría de dilución de mercado sostiene que, si una herramienta de IA generativa puede producir contenido que compite con obras protegidas, su entrenamiento no califica como uso justo. Para los titulares de derechos, eso equivale a otorgarles control sobre obras que técnicamente no infringen el copyright —creadas por terceros usando IA—, lo que la EFF considera una distorsión sin precedentes del marco legal vigente. Según la organización, aceptar ese razonamiento implicaría abandonar principios de 300 años de derecho de autor y concentrar poder en grandes intermediarios, no en los creadores individuales que el copyright supuestamente protege.

    El VCR, el piano mecánico y el patrón histórico que se repite desde 1906

    La EFF traza una genealogía de pánicos tecnológicos que acompaña cada innovación disruptiva. En 1906, el compositor John Philip Sousa declaró que el piano mecánico y el gramófono destruirían la composición musical. Los retratistas temieron que la fotografía eliminara la pintura de retratos. En 1982, la Motion Picture Association describió a los reproductores de video como un peligro equivalente, según se informó en testimonios ante el Congreso de EE.UU., al “estrangulador de Boston” para el público femenino. En ninguno de esos casos la tecnología eliminó la industria creativa; en varios la expandió. La Corte Suprema, en el caso Sony Corp. of America v. Universal City Studios (1984), rechazó precisamente el argumento de que una tecnología con usos no infractores debe ser prohibida por sus posibles usos infractores —doctrina conocida como staple article of commerce. La EFF invoca ese precedente para pedirle a los tribunales actuales la misma cautela.

    Cuándo aplica el argumento de la EFF y cuándo no

    La posición de la EFF no equivale a sostener que los modelos de IA nunca pueden infringir derechos de autor. El argumento aplica específicamente a la etapa de entrenamiento —el proceso por el cual un modelo procesa texto o imágenes con fines de aprendizaje estadístico— y a la pregunta de si ese proceso, por sí mismo, constituye reproducción ilícita. No aplica cuando un sistema de IA reproduce fragmentos sustanciales de obras en sus salidas (outputs), ni cuando el operador del sistema comercializa deliberadamente la similitud con obras protegidas como rasgo del producto. Esos escenarios involucran otras doctrinas legales y permanecen abiertos al litigio.

    El debate llega a América Latina con marcos regulatorios incompletos

    Ningún país de la región cuenta hoy con legislación específica sobre copyright e IA generativa. En Argentina, la Ley 11.723 de propiedad intelectual no contempla obras generadas por sistemas automatizados ni el tratamiento del entrenamiento de modelos como acto sujeto a autorización previa. En Brasil, el Marco Civil da Internet y la Lei de Direitos Autorais (Lei 9.610/1998) tampoco ofrecen respuesta clara; el debate avanza en el Congreso pero sin plazos definidos. En México, la Ley Federal del Derecho de Autor enfrenta la misma laguna. Esto significa que, en la práctica, los precedentes que establezcan los tribunales de EE.UU. —especialmente si la Corte Suprema vuelve a intervenir— funcionarán como referencia de facto para los jueces latinoamericanos que enfrenten casos similares, en ausencia de norma propia.

    Ese vacío no es neutral. Las empresas de IA que operan en LATAM —incluyendo subsidiarias de OpenAI, Anthropic y Google DeepMind— modelan sus términos de servicio y sus prácticas de licenciamiento según el marco jurídico de EE.UU. Si los tribunales estadounidenses adoptan la teoría de dilución de mercado, el impacto regulatorio se exportará a la región antes de que los legisladores locales hayan tenido oportunidad de debatirlo.

    Lo que los tribunales decidan en Concord v. Anthropic y en Mosaic LLM no es solo un asunto de derecho estadounidense: es, por defecto, política de IA para América Latina.