Blog

  • Lectores de patentes automáticos: vigilancia masiva sin control regulatorio

    Lectores de patentes automáticos: vigilancia masiva sin control regulatorio

    Los sistemas de lectura automática de patentes (ALPR, por sus siglas en inglés) no son una herramienta de seguridad vial: son infraestructura de vigilancia masiva que registra los movimientos de todos los conductores, independientemente de que exista una sospecha concreta. La Electronic Frontier Foundation (EFF) adoptó una posición formal que va más allá del uso responsable: exige su eliminación.

    Un sistema ALPR funciona mediante cámaras instaladas en vías públicas, vehículos policiales o infraestructura privada que capturan las patentes de todos los autos que pasan. Esos datos se almacenan en bases consultables —a veces durante años— y pueden ser accedidos por policías, agencias de inmigración y proveedores privados sin necesidad de orden judicial en la mayoría de las jurisdicciones que los despliegan. El resultado no es un registro de infractores: es un mapa histórico y georreferenciado de hacia dónde va cada conductor.

    Por qué la EFF dice que los ALPR son “irreparablemente dañinos”

    La posición de la EFF, publicada en agosto de 2026, no plantea que los ALPR estén mal configurados ni que deban regularse mejor. Sostiene algo más radical: que la recolección indiscriminada y continua de datos de ubicación sobre todos los conductores, sin sospecha previa, no debería existir en ninguna forma. El argumento central es que el riesgo no proviene del mal uso del sistema, sino de su diseño mismo. No hay política de retención ni actualización de software que elimine el potencial de que esa base de datos sea usada para perseguir inmigrantes, disidentes políticos o cualquier grupo en la mira de una administración de turno.

    La EFF también documenta daños concretos y recurrentes: conductores inocentes detenidos por errores de lectura óptica, y casos de agentes policiales que utilizaron los sistemas para rastrear a ex parejas o personas de interés personal. Estos no son fallos excepcionales: son consecuencias predecibles de construir y conectar en red una base de datos masiva de ubicación personal.

    La distinción que los fabricantes prefieren ignorar: ALPR vs. cámaras de tráfico convencionales

    Existe una diferencia técnica y jurídica fundamental entre un ALPR y una cámara de semáforo en rojo. Una cámara de control de velocidad o de infracciones registra una violación específica y emite una multa: no retiene datos de conductores que no cometieron ninguna infracción ni conecta esa información con otras bases de datos. Un ALPR, en cambio, registra a todos, sin excepción, y agrega esa información a un historial consultable. La EFF advierte que los fabricantes aprovechan contratos de control de tráfico convencional para introducir sistemas ALPR como complemento, diluyendo la distinción en la práctica contractual.

    Cuándo aplica la restricción / cuándo NO

    La posición de la EFF apunta específicamente a la vigilancia masiva mediante ALPR: la recolección continua y sin causa de datos de ubicación sobre toda la población que usa vías públicas. No cuestiona la identificación de un vehículo específico bajo una orden judicial válida, ni los sistemas de control de tráfico que no retienen datos de terceros no involucrados. La línea divisoria es la recolección indiscriminada y la retención prolongada: si el sistema guarda datos de quienes no infringieron ninguna ley, el problema es estructural, no operativo.

    América Latina: el vacío regulatorio que convierte a la región en terreno fértil

    En América Latina, el despliegue de sistemas ALPR avanza con escasa regulación específica. Argentina, Brasil, México y Colombia tienen marcos de protección de datos personales —la Ley 25.326, la LGPD, la LFPDPPP y la Ley 1581 de 2012, respectivamente— que reconocen el principio de finalidad: los datos personales solo pueden recolectarse para fines determinados, explícitos y legítimos. Un sistema que captura la ubicación de todos los conductores sin sospecha previa difícilmente supera ese estándar. Sin embargo, ninguna de esas leyes contiene disposiciones específicas sobre vigilancia vehicular masiva, y las autoridades de control —la AAIP en Argentina, la ANPD en Brasil, el INAI en México— no han emitido lineamientos sectoriales sobre el tema.

    La brecha es relevante porque varios municipios latinoamericanos han adquirido o licitado sistemas de lectura de patentes bajo el paraguas de “ciudad inteligente” o “seguridad vial”, sin que medie un análisis de impacto en privacidad ni una definición de plazos de retención. En Brasil, la ANPD tiene competencia para exigir ese análisis en tratamientos de alto riesgo; en Argentina, la resolución AAIP 47/2018 establece criterios para evaluaciones de impacto que podrían aplicarse, pero la autoridad no ha actuado de oficio en este ámbito.

    Lo que la EFF propone mientras los sistemas siguen operando

    Dado que los sistemas ALPR ya están desplegados en múltiples jurisdicciones, la EFF articula una posición de reducción de daños paralela a su objetivo de eliminación. Las medidas que impulsa ante tribunales y legislaturas incluyen: exigencia de orden judicial para acceder a los datos recopilados, plazos máximos de retención breves y aplicables, prohibición de acceso a agencias federales sin proceso judicial, y transparencia obligatoria sobre qué entidades consultan las bases de datos y con qué frecuencia. Ninguna de estas medidas resuelve el problema de fondo, según la propia EFF, pero limitan el daño mientras el debate político madura.

    Para quienes trabajan en privacidad en la región, el punto de partida es la normativa vigente: los marcos de protección de datos de Argentina, Brasil y México ya ofrecen herramientas —principio de finalidad, evaluaciones de impacto, notificación a la autoridad— que podrían aplicarse a estos sistemas hoy, sin esperar legislación específica. La referencia completa de la posición de la EFF está disponible en eff.org/deeplinks/2026/08/effs-policy-position-alpr-surveillance-eliminate-it-and-reduce-its-harms.

  • El acuerdo de Meta con estados de EE.UU. que podría rediseñar la privacidad digital

    El acuerdo de Meta con estados de EE.UU. que podría rediseñar la privacidad digital

    Un acuerdo judicial entre Meta y una coalición de fiscales generales de Estados Unidos obliga a la empresa a implementar verificación de edad en todos sus productos, con consecuencias que van mucho más allá de proteger a menores: la Electronic Frontier Foundation (EFF) advierte que el mecanismo institucionaliza la recolección masiva de datos personales de todos los usuarios, crea nuevos vectores de brecha y podría poner información sensible a disposición de investigaciones penales estatales.

    El convenio, conocido como MDL Consent Judgment, fue firmado por múltiples estados y obliga a Meta a restringir el acceso de usuarios jóvenes a sus plataformas, así como a incorporar sistemas de verificación de edad en cada uno de sus productos. A primera vista, la medida parece un avance en protección infantil digital. Pero la EFF señala que la arquitectura que se construye para cumplir ese objetivo tiene un costo sistémico que recae sobre la privacidad de todos los usuarios, independientemente de su edad.

    Verificación de edad universal: el precio de la protección infantil según la EFF

    El problema central que identifica la EFF es estructural: cualquier sistema de verificación de edad a escala de plataforma requiere recolectar más datos personales, no menos. Al quedar embebido en cada producto de Meta por mandato judicial, ese mecanismo deja de ser una opción de diseño y se convierte en una obligación legal permanente. La EFF describe esto como “enshrining Meta’s harmful surveillance into law” —es decir, elevar a rango de derecho positivo prácticas de vigilancia que hasta ahora eran cuestionables bajo estándares de privacidad y minimización de datos.

    El acuerdo también incorpora medidas de minimización de datos y requisitos de seguridad. Sin embargo, según la EFF, esas salvaguardas no impiden que los estados utilicen los datos recolectados bajo el convenio para otros fines de aplicación de la ley. Entre los ejemplos mencionados explícitamente por la organización figuran investigaciones penales sobre abortos o atención de salud afirmativa de género —materias en las que varios estados de EE.UU. han criminalizado conductas en los últimos años.

    Derechos digitales en juego: expresión, asociación y anonimato bajo el nuevo marco

    Más allá del debate sobre datos, la EFF apunta a un efecto práctico sobre derechos de los usuarios más jóvenes: el acuerdo reduce su acceso a productos de Meta y, con eso, su capacidad de ejercer libertad de expresión, acceso a información, cultura y comunidad. El argumento es que la respuesta regulatoria a los riesgos de las redes sociales para menores termina siendo, paradójicamente, una restricción de sus derechos digitales en lugar de una expansión de su protección. El anonimato —históricamente clave para que personas vulnerables accedan a información sobre salud sexual, identidad o derechos— también queda comprometido por la obligatoriedad de la verificación.

    Qué implica este modelo para Argentina, Brasil y México

    El acuerdo Meta-fiscales de EE.UU. no tiene efecto jurídico directo en América Latina, pero establece un precedente de modelo regulatorio que ya está siendo debatido en la región. Brasil avanza en la regulación de redes sociales para menores a través del Marco Legal para la Internet y proyectos de ley específicos que actualmente se tramitan en el Congreso Nacional; la ANPD (Autoridade Nacional de Proteção de Dados) tiene competencia para evaluar si las prácticas de plataformas extranjeras en el país son compatibles con la LGPD, incluyendo los mecanismos de verificación de edad. En México, la LFPDPPP no contempla expresamente la verificación de edad, pero el INAI ha señalado que los tratamientos de datos de menores requieren consentimiento parental válido y medidas reforzadas de seguridad —un estándar que sistemas de verificación universal podrían tanto satisfacer como vulnerar, dependiendo del diseño.

    En Argentina, la Ley 25.326 de Protección de Datos Personales y su autoridad de aplicación, la AAIP, enfrentan el mismo dilema: la verificación de edad como herramienta técnica puede requerir la recolección de datos sensibles —documentos de identidad, biometría, datos de menores— que la propia ley protege con estándares más altos. El proyecto de modernización de la norma, que lleva años en discusión legislativa, no ha resuelto de manera explícita cómo tratar los sistemas de verificación de edad a escala de plataforma. Colombia, bajo la Ley 1581 de 2012 y el control de la SIC (Superintendencia de Industria y Comercio), enfrenta una tensión similar cuando se trata de plataformas que operan bajo jurisdicción extranjera pero tratan datos de ciudadanos colombianos.

    El riesgo de datos usados para fines de seguridad del Estado

    El punto más delicado del análisis de la EFF es el que conecta la recolección de datos por verificación de edad con el acceso estatal a esos datos para investigaciones penales. En el contexto latinoamericano, este riesgo no es hipotético: varios países de la región tienen marcos legales que permiten a autoridades solicitar datos a plataformas sin orden judicial previa en ciertos supuestos de seguridad pública. Una base de datos que contiene documentos de identidad o información biométrica de millones de usuarios, construida por mandato de un acuerdo judicial entre Meta y estados de EE.UU., amplía la superficie de exposición a ese tipo de solicitudes. La LGPD en Brasil y la Ley 25.326 en Argentina contemplan excepciones para requerimientos del Estado, lo que hace que el diseño del sistema de verificación —quién guarda los datos, por cuánto tiempo, bajo qué cifrado— sea una variable crítica que el acuerdo en cuestión no parece resolver de forma definitiva.

    Nuestro análisis

    El acuerdo Meta-fiscales de EE.UU. es un caso de manual sobre las consecuencias no deseadas de la regulación por litigio. Cuando el instrumento para proteger a menores es un sistema de verificación de edad universal, la solución se convierte en un nuevo problema de privacidad de escala mayor. No hay evidencia en el texto del acuerdo de que los estados signatarios hayan evaluado sistemáticamente el riesgo de uso secundario de los datos —incluyendo su acceso para investigaciones penales de conductas que en algunos estados son legales y en otros no. Para los reguladores latinoamericanos que observan este modelo con intención de replicarlo, la pregunta no es si proteger a los menores, sino cómo hacerlo sin construir infraestructura de vigilancia que, una vez instalada, sirva a fines muy distintos del objetivo original.

    Cuando la protección de los más vulnerables se financia con los datos de todos, vale preguntarse si el costo es proporcional —y quién decide qué investigaciones merecen acceder a esa factura.

  • Robo de datos en organización de autismo en Canadá: 2.000 afectados

    Robo de datos en organización de autismo en Canadá: 2.000 afectados

    Más de 2.000 personas vieron comprometida su información personal tras un ataque a Autism Services of Saskatoon, organización canadiense de la provincia de Saskatchewan. La comisionada de Información y Privacidad provincial, Grace Hession, emitió un informe con recomendaciones luego de investigar el incidente.

    El caso se hizo público a través de un informe de la Saskatchewan Information and Privacy Commissioner, la autoridad de control de privacidad de esa provincia canadiense. Según se informó, el robo de datos ocurrió el año anterior a la publicación del reporte y afectó a más de 2.000 individuos vinculados a la organización. La entidad provee servicios a personas con trastorno del espectro autista, lo que implica que entre los datos expuestos podría figurar información de salud y condición de vulnerabilidad —categorías de especial sensibilidad en cualquier marco de protección de datos.

    Respuesta confirmada: notificación e infraestructura reforzada

    • Más de 2.000 personas afectadas por el incidente.
    • Autism Services of Saskatoon notificó a los individuos afectados dentro de los plazos establecidos, según el informe de la comisionada Hession.
    • La organización reforzó su seguridad informática tras el evento, de acuerdo con el mismo reporte.
    • La Saskatchewan Information and Privacy Commissioner emitió recomendaciones formales como parte del proceso de investigación.

    Qué se sabe y qué falta confirmar

    El informe confirma que la organización cumplió con los dos pasos fundamentales exigidos post-incidente: notificación a afectados y mejora de controles técnicos. Sin embargo, la fuente disponible no detalla el vector de ataque, el tipo exacto de datos sustraídos ni si hubo notificación a terceros o autoridades federales bajo la PIPEDA —la ley federal canadiense de protección de datos del sector privado—. Tampoco se precisa si la comisionada recomendó sanciones económicas o si el informe derivará en una auditoría adicional. El contenido exacto de las recomendaciones de Hession no fue reproducido en su totalidad en la información disponible.

    El caso ilustra una dinámica relevante para la región: una organización del tercer sector —sin fines de lucro, con recursos IT habitualmente acotados— como blanco de un robo de datos que involucra información de poblaciones vulnerables. En América Latina, este perfil de víctima es frecuente y rara vez cuenta con los planes de respuesta a incidentes que sí exigen marcos como la LGPD brasileña (artículo 48, que establece plazos de notificación a la ANPD y a los titulares) o la Ley 25.326 argentina, cuya autoridad de control —la AAIP— puede iniciar actuaciones de oficio ante brechas de datos sensibles. En México, el INAI ha emitido criterios específicos para entidades que tratan datos de menores o personas con discapacidad bajo la LFPDPPP.

    El próximo hito a seguir es la publicación completa del informe de Grace Hession, que determinará si las recomendaciones tienen carácter vinculante y si Autism Services of Saskatoon deberá someterse a revisiones periódicas de sus controles de seguridad.

  • Francia: el Consejo Constitucional tumbó la ley que vetaba redes sociales a menores de 15

    Francia: el Consejo Constitucional tumbó la ley que vetaba redes sociales a menores de 15

    El Consejo Constitucional de Francia anuló el 14 de agosto de 2026 la legislación que prohibía el acceso a redes sociales para menores de 15 años, prevista para entrar en vigor en enero de 2027. El tribunal determinó que la medida vulneraba la libertad de expresión de forma desproporcionada e inadecuada, en una decisión que reverbera directamente sobre el debate legislativo que viven varios países de América Latina.

    La norma, que había generado amplio respaldo político en el Parlamento francés como respuesta a las preocupaciones sobre el bienestar digital de adolescentes, cayó en su primer control de constitucionalidad. El Consejo, máximo intérprete de la Constitución francesa, fundamentó su decisión en el Artículo 34 de ese texto, que exige que cualquier restricción a la libertad de expresión y comunicación sea apropiada, necesaria y proporcional al objetivo que persigue. La ley no superó ninguno de esos tres filtros.

    Dos fallas fatales: generalidad del veto y ausencia de graduación individual

    El tribunal identificó dos problemas estructurales en el diseño de la ley. Primero, la prohibición no distinguía entre tipos de plataformas: trataba de manera idéntica a una red orientada al entretenimiento viral que a un foro educativo o una comunidad de salud. Segundo, ignoraba por completo las circunstancias individuales de cada usuario: su edad exacta dentro del rango, su nivel de madurez y su contexto familiar. Un instrumento legal que opera con una única variable binaria —mayor o menor de 15— sobre una realidad tan heterogénea difícilmente puede superar un test de proporcionalidad serio.

    La Electronic Frontier Foundation, que ha documentado esta oleada legislativa en múltiples jurisdicciones, señala que este tipo de prohibiciones afectan a todos los usuarios —no solo a los menores— al imponer obstáculos de verificación que enfrían el ejercicio de la libre expresión en línea. Además, el aislamiento digital forzado corta el acceso a recursos de salud, noticias y redes de apoyo que resultan especialmente críticos para jóvenes LGBTQ+ y poblaciones en situación de vulnerabilidad, según datos de Pew Research Center y otras organizaciones citadas en el análisis de la decisión.

    El ciclo legislativo en LATAM: Argentina, Brasil y Chile ya debaten restricciones similares

    La decisión francesa no es un dato lejano para la región. En Brasil, el Marco Civil da Internet (Ley 12.965/2014) establece protecciones para menores en línea, pero el Congreso discute desde 2024 proyectos que impondrían restricciones de acceso por edad a plataformas digitales, en paralelo al proceso de reglamentación de la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) aplicada a datos de niños y adolescentes. En Argentina, la Ley 25.326 de Protección de Datos Personales contempla protecciones específicas para menores, y la Agencia de Acceso a la Información Pública (AAIP) ha emitido lineamientos sobre consentimiento parental, pero no existe aún una prohibición de acceso equivalente a la francesa. En Chile, la Ley 21.719 de Protección de Datos Personales —promulgada en 2024 y en proceso de implementación— incluye disposiciones reforzadas para datos de menores, aunque tampoco llega al nivel de un veto de acceso por plataforma.

    En Colombia, la Ley 1581 de 2012 y sus decretos reglamentarios establecen restricciones al tratamiento de datos de menores, con control de la Superintendencia de Industria y Comercio (SIC). En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) aplica en términos generales, y el INAI ha abordado la protección de menores mediante criterios interpretativos, aunque el marco carece de una regulación sectorial específica para plataformas digitales. Lo común a todos estos esquemas es que ninguno ha avanzado hacia una prohibición de acceso total comparable a la francesa, pero los proyectos legislativos en trámite van en esa dirección.

    Por qué el estándar de proporcionalidad europeo importa fuera de Europa

    El razonamiento del Consejo Constitucional francés —exigir que la restricción sea apropiada, necesaria y proporcional— es metodológicamente afín al test de proporcionalidad que aplican tribunales constitucionales en Brasil, Colombia y Argentina cuando evalúan limitaciones a derechos fundamentales. Esto significa que un legislador latinoamericano que impulse una prohibición calcada de la francesa enfrentaría un argumento jurídico sólido ante su propio tribunal constitucional. La sentencia del 14 de agosto no es jurídicamente vinculante fuera de Francia, pero ofrece un precedente persuasivo de alto valor para la defensa de derechos digitales en la región.

    El problema adicional que señala la decisión —la ausencia de graduación según tipo de servicio— es particularmente relevante para reguladores latinoamericanos que buscan redactar normas equilibradas. Una plataforma de comunicación entre pares no puede equipararse legalmente a una red de contenido algorítmico masivo, aunque ambas reciban el mismo nombre genérico de “red social”. Las categorías importan, y los legisladores que ignoren esa distinción redactan normas destinadas a ser impugnadas.

    Qué monitorear: el rediseño legislativo en Francia y los proyectos regionales con estado parlamentario activo

    La anulación no cierra el debate en Francia: el Parlamento puede redactar una nueva norma que supere los defectos identificados —diferenciación por tipo de plataforma, mecanismos de graduación individual, evidencia de proporcionalidad— y someterla a un nuevo control. Ese proceso de rediseño es, en sí mismo, un insumo valioso para legisladores de la región. En Brasil, los proyectos en comisión deberían incorporar este análisis antes de avanzar a plenario. En Chile, la autoridad de datos —el Consejo para la Transparencia hasta que entre en funciones el nuevo órgano previsto por la Ley 21.719— tendrá que emitir criterios sobre menores que enfrenten la misma tensión entre protección y proporcionalidad.

    Nuestro análisis

    La decisión del Consejo Constitucional francés vale menos por lo que prohíbe que por lo que exige: rigor técnico y graduación. Las prohibiciones blunt-instrument —una sola regla para toda plataforma y todo menor— son jurídicamente frágiles y, según la evidencia citada, también producen daño real en los grupos más vulnerables. América Latina está en una posición favorable para aprender antes de legislar: ningún país de la región ha promulgado aún una norma equivalente a la francesa, y el fallo de agosto de 2026 llega justo cuando varios parlamentos tienen proyectos en estado activo. El riesgo no es no regular; el riesgo es copiar un modelo que ya fue declarado inconstitucional en su país de origen.

    La pregunta que deberían responder los promotores de estas leyes en la región no es si los menores necesitan protección en línea —eso nadie lo discute— sino si una prohibición genérica es el instrumento capaz de brindarla sin sacrificar derechos fundamentales que también les pertenecen a ellos.

  • IA generativa sin base terminada: qué implica construir sobre cimientos incompletos

    IA generativa sin base terminada: qué implica construir sobre cimientos incompletos

    La inteligencia artificial generativa se desplegó a escala comercial antes de que sus fundamentos técnicos, jurídicos y de gobernanza estuvieran consolidados. Según estimaciones citadas por MIT Sloan Management Review, alrededor de 2.400 millones de personas utilizan plataformas de IA generativa cada mes, una adopción que superó con creces la velocidad a la que maduran los marcos de responsabilidad que deberían acompañarla.

    Construir sobre una base inacabada no es metáfora: es la descripción técnica de lo que ocurre cuando organizaciones —y reguladores— adoptan sistemas cuyas propiedades de comportamiento, trazabilidad de decisiones y límites de responsabilidad civil aún no están definidos con precisión suficiente. Los agentes de codificación ya cambiaron el modo en que se escribe software; las plataformas de IA generativa se comercializaron a velocidad industrial. Pero la arquitectura jurídica que debería contener ese despliegue todavía está en construcción —en algunos casos, ni siquiera ha comenzado.

    Qué significa “base inacabada” para los sistemas de IA en producción

    Una base inacabada implica, en términos operativos, al menos tres brechas simultáneas. Primera, la brecha técnica: los modelos de lenguaje de gran escala exhiben comportamientos emergentes que sus propios desarrolladores no anticiparon, y la explicabilidad de sus decisiones sigue siendo insuficiente para entornos regulados como banca, salud o justicia. Segunda, la brecha de gobernanza: la mayoría de las organizaciones que despliegan IA generativa no tienen políticas internas consolidadas sobre uso aceptable, propiedad de los outputs ni gestión del riesgo reputacional derivado de alucinaciones o sesgos. Tercera, la brecha regulatoria: los marcos legales aplicables —cuando existen— fueron diseñados para tecnologías anteriores y se aplican por analogía, con interpretaciones que varían según la jurisdicción.

    Esta combinación crea un escenario en el que la velocidad de adopción supera con creces la capacidad de las organizaciones —y de los estados— para gestionar las consecuencias. El problema no es abstracto: es el mismo patrón que produjo los escándalos de privacidad de la primera generación de redes sociales, con la diferencia de que la IA generativa opera a mayor escala y con menor visibilidad sobre sus mecanismos internos.

    El AI Act europeo y la ausencia de equivalentes en América Latina

    En la Unión Europea, el Reglamento de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) entró en vigor en agosto de 2024 y establece una clasificación de sistemas por niveles de riesgo, con prohibiciones para usos considerados inaceptables y requisitos de transparencia, evaluación de conformidad y supervisión humana para los de alto riesgo. Es, hasta ahora, el único instrumento jurídico vinculante de alcance amplio específicamente diseñado para IA. Para los modelos de uso general —los mismos que alimentan las plataformas de IA generativa masiva— el AI Act impone obligaciones de documentación técnica y cumplimiento de derechos de autor que todavía están en fase de implementación práctica.

    América Latina no tiene un equivalente. Brasil avanza en la tramitación de un proyecto de ley de IA que recupera principios del AI Act, aunque sin fecha de sanción definitiva a la fecha de publicación de esta nota. Colombia publicó en 2023 una política nacional de inteligencia artificial que orienta pero no vincula. México, Argentina, Chile y Perú tienen iniciativas en distintos estados de madurez legislativa, ninguna convertida aún en ley. Esta fragmentación no es solo un problema de política pública: es una ventaja competitiva para los proveedores de IA que operan en la región con menores exigencias de transparencia y responsabilidad que las que enfrentarían en Europa.

    Responsabilidad civil sobre sistemas cuyo comportamiento no es predecible

    Uno de los problemas jurídicos más complejos que surge de desplegar IA sobre una base inacabada es la atribución de responsabilidad cuando el sistema produce un daño. Los regímenes de responsabilidad civil tradicionales —tanto en el modelo continental latinoamericano como en el anglosajón— fueron construidos sobre la premisa de que existe un agente identificable cuya conducta puede evaluarse. Con sistemas de IA generativa, esa cadena causal se fragmenta entre el desarrollador del modelo base, el proveedor de la plataforma, el integrador empresarial y el usuario final. La Directiva europea de Responsabilidad por IA (2022/0303), aún en proceso de adopción definitiva, intenta resolver parte de esta brecha con presunciones de causalidad, pero ningún país de América Latina tiene un instrumento equivalente en tramitación avanzada.

    Para las organizaciones que ya tienen IA generativa en producción, esto significa que operan en un vacío de responsabilidad que tarde o temprano se cerrará por vía judicial o regulatoria, probablemente bajo condiciones menos favorables que las que hubieran podido negociar con un marco preventivo. Las empresas que hoy documentan sus sistemas, definen políticas de uso aceptable y establecen mecanismos de supervisión humana estarán en mejor posición cuando ese momento llegue.

    Cuándo aplica la cautela regulatoria y cuándo no alcanza

    La cautela regulatoria tiene sentido en entornos de alto riesgo: decisiones automatizadas en crédito, salud, empleo o justicia penal, donde un error del sistema puede causar daño irreversible a personas físicas. En esos contextos, esperar a que la base esté terminada antes de desplegar sin controles es la única postura jurídicamente defensible. Donde la cautela no alcanza es en la ilusión de que los entornos de bajo riesgo están exentos: incluso un chatbot de atención al cliente puede generar responsabilidad contractual, infringir derechos de propiedad intelectual en sus respuestas o procesar datos personales sin base legal suficiente bajo regímenes como la LGPD brasileña o la Ley 25.326 argentina. La categoría de “bajo riesgo” no equivale a “sin riesgo jurídico”.

    La adopción masiva de IA generativa no esperó a que los fundamentos estuvieran listos, y eso ya es un hecho consumado. Lo que todavía puede decidirse es cuánto de ese riesgo residual asumen conscientemente las organizaciones y cuánto acumulan sin saberlo. Para las que operan en América Latina, ese inventario empieza por mapear qué sistemas están en producción, bajo qué contratos de servicio, con qué obligaciones de transparencia hacia usuarios y reguladores —y con qué respuesta preparada para cuando llegue la primera demanda o la primera inspección.

    El texto completo del AI Act europeo (Reglamento UE 2024/1689) está disponible en el Diario Oficial de la Unión Europea; el proyecto de ley de IA de Brasil puede seguirse en el portal del Senado Federal en senado.leg.br.

  • Notificaciones de brechas “suficientemente buenas” generan exposición legal

    Notificaciones de brechas “suficientemente buenas” generan exposición legal

    Un fallo de sentencia sumaria a favor de un estado de EE.UU. contra una empresa de telecomunicaciones dejó en evidencia un riesgo que muchos equipos legales y de gobernanza subestiman: notificar una brecha de datos de forma técnicamente incompleta puede ser tan costoso como no notificar. El caso, analizado por abogados de BakerHostetler, ilustra cómo el estándar “close enough” —notificaciones que se aproximan al cumplimiento pero no lo alcanzan— se convierte en pasivo legal concreto.

    La premisa parece simple: ocurre una brecha, la empresa notifica a los reguladores y a los afectados, y el expediente se cierra. Lo que el fallo en cuestión demuestra es que el contenido, el alcance y la precisión técnica de esa notificación son auditables y accionables. El estado demandante logró una sentencia sumaria argumentando que la notificación enviada por la telecom no cumplió con los requisitos legales vigentes, pese a que la empresa sí había comunicado el incidente. El matiz, en este contexto, tiene consecuencias millonarias.

    Qué falló: el gap entre notificar y cumplir con los requisitos técnicos de notificación

    Según se informó a partir del análisis de BakerHostetler, el problema central no fue la omisión de la notificación sino su insuficiencia técnica. Las leyes de notificación de brechas —tanto en EE.UU. como en la mayoría de las jurisdicciones de América Latina— exigen elementos específicos: descripción del incidente, categorías de datos comprometidos, número de afectados, medidas adoptadas y, en muchos casos, plazos estrictos de comunicación. Omitir uno de esos elementos, o describirlo de manera vaga, puede equivaler, a ojos de un regulador, a no haber notificado en absoluto.

    El caso involucra a una empresa de telecomunicaciones —sector de alto perfil regulatorio en toda la región— y subraya que los grandes incidentes atraen un escrutinio diferencial. Cuando el volumen de afectados es significativo, las autoridades tienen mayor incentivo para revisar la calidad de la notificación, no solo su existencia. Un informe que llega en plazo pero que describe los datos comprometidos en términos genéricos, o que subestima el universo de afectados, puede transformar un procedimiento de cumplimiento en un litigio.

    Argentina, Brasil y México: tres regímenes de notificación con distinto nivel de exigencia

    En América Latina, el estándar de notificación varía significativamente entre jurisdicciones, lo que crea un mapa de riesgo asimétrico para empresas que operan en múltiples países. En Argentina, la Ley 25.326 de Protección de Datos Personales establece la obligación de notificar incidentes, y la Agencia de Acceso a la Información Pública (AAIP) ha ido precisando vía disposiciones los contenidos mínimos esperados. Sin embargo, la norma original —de 2000— no fue diseñada para el entorno de brechas masivas actuales, y el proyecto de reforma que lleva años en discusión parlamentaria busca, entre otras cosas, incorporar plazos explícitos y requisitos de contenido más detallados.

    Brasil presenta el régimen más maduro de la región en este aspecto. La Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de comunicar incidentes de seguridad a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un “prazo razoável”, que la ANPD ha ido precisando mediante resoluciones —actualmente orientadas hacia las 72 horas para incidentes de alto riesgo. La resolución CD/ANPD nº 15/2024 detalló los elementos mínimos que debe contener esa comunicación, acercando el estándar brasileño al europeo del GDPR. Una notificación que omita la descripción de las categorías de datos o el número estimado de afectados puede ser considerada incompleta, con las consecuencias sancionatorias que eso implica.

    En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a notificar a los titulares cuando ocurra una vulneración que afecte “de manera significativa” sus derechos patrimoniales o morales, pero la regulación no establece un plazo explícito ni un formulario estandarizado para la notificación al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Esa ambigüedad, paradójicamente, puede generar mayor exposición: sin un estándar claro, la autoridad tiene amplio margen interpretativo para determinar si una notificación fue suficiente.

    Por qué las empresas de telecomunicaciones concentran mayor riesgo en la región

    El sector de telecomunicaciones maneja datos de alta sensibilidad —geolocalización, comunicaciones, datos financieros asociados a facturación— y opera bajo doble regulación: la sectorial de las agencias de telecomunicaciones y la de protección de datos personales. En varios países de la región, esa superposición normativa implica que una brecha puede disparar procedimientos en dos frentes regulatorios simultáneos. Las empresas que operen en Colombia bajo la Ley 1581 de 2012 y la supervisión de la Superintendencia de Industria y Comercio (SIC), o en Chile bajo la nueva Ley 21.719 —que entró en vigor en 2026 y endureció significativamente el régimen de notificación—, enfrentan un escenario donde la calidad documental de la notificación puede ser determinante en el resultado de una investigación.

    Qué monitorear: Chile 2026, la reforma argentina y la evolución del estándar ANPD

    Tres hitos regulatorios definen la agenda inmediata en la región. Primero, la aplicación plena de la Ley 21.719 en Chile, que introduce requisitos de notificación con plazos de 72 horas para incidentes de alto riesgo y establece por primera vez un catálogo de elementos mínimos obligatorios en la comunicación a la Agencia de Protección de Datos Personales (APDP). Segundo, el estado de la reforma a la Ley 25.326 en Argentina, donde la AAIP ha impulsado un proyecto que, de aprobarse, elevaría el estándar de notificación al nivel de la LGPD brasileña. Tercero, las resoluciones complementarias de la ANPD de Brasil, que continúan precisando los criterios de suficiencia técnica de las notificaciones, generando jurisprudencia administrativa que el resto de la región observa de cerca.

    Las empresas con operaciones regionales deberían revisar sus plantillas de notificación de incidentes contra los requisitos específicos de cada jurisdicción —no contra un estándar genérico— y documentar el proceso de decisión que llevó al contenido final de cada notificación. Esa documentación puede ser determinante si un regulador cuestiona, meses después, si la comunicación fue técnicamente suficiente.

    Nuestro análisis

    El fallo estadounidense sintetiza un problema estructural que la región está comenzando a enfrentar con mayor frecuencia: la notificación de brechas dejó de ser un trámite administrativo para convertirse en un acto jurídico con consecuencias propias. En América Latina, la tendencia regulatoria es clara —Brasil ya opera con un estándar cercano al GDPR, Chile acaba de adoptarlo, y Argentina busca actualizarse— pero la implementación corporativa no siempre acompañó ese endurecimiento. Muchas organizaciones tienen procesos de respuesta a incidentes razonablemente maduros en su dimensión técnica (contención, forensics, remediación) pero notablemente débiles en su dimensión legal-documental: quién decide qué se informa, con qué nivel de detalle, en qué plazo y con qué evidencia de respaldo. Ese gap es exactamente el que explotó el estado demandante en el caso analizado por BakerHostetler. El riesgo no es nuevo, pero la disposición de los reguladores a litigarlo sí parece estarlo.

    Cuando un regulador puede ganar una sentencia sumaria por la calidad —no la ausencia— de una notificación, el estándar de cumplimiento cambió: la pregunta ya no es si se notificó, sino si la notificación hubiera resistido un interrogatorio judicial.

  • IA agéntica y biometría: lo que el Singapore Data Festival 2026 anticipa para el mundo

    IA agéntica y biometría: lo que el Singapore Data Festival 2026 anticipa para el mundo

    El Singapore Data Festival 2026 reunió a reguladores, industria y academia bajo dos ejes que definirán la próxima década de la gobernanza digital: los sistemas de IA agéntica y el uso de datos biométricos. Lo que se debatió en Singapur no es ajeno a América Latina, donde legislaciones como la LGPD brasileña, la Ley 25.326 argentina y la LFPDPPP mexicana aún carecen de reglas específicas para ambos fenómenos.

    El evento, que tuvo lugar del 20 al 24 de julio de 2026, fue organizado por la Personal Data Protection Commission (PDPC) y la Infocomm Media Development Authority (IMDA) de Singapur. Sucesor del Personal Data Protection Week que la PDPC celebraba anualmente, el Singapore Data Festival (SDF) marcó su edición inaugural con una agenda más amplia y una convocatoria internacional que incluyó la participación del Future of Privacy Forum (FPF). La señal es clara: la regulación de datos ya no puede pensarse por silos temáticos.

    IA agéntica: cuando el sistema actúa sin intervención humana continua

    La IA agéntica —sistemas de inteligencia artificial capaces de planificar, ejecutar tareas y tomar decisiones de forma autónoma durante períodos prolongados sin supervisión humana constante— fue el concepto técnico-jurídico más debatido del festival. A diferencia de los modelos de lenguaje conversacionales, los agentes de IA pueden encadenar acciones: consultar bases de datos, enviar correos, modificar registros o interactuar con otros sistemas de forma secuencial. Esa autonomía amplifica el riesgo de tratamiento de datos personales sin base legal explícita, sin intervención humana y, en muchos casos, sin posibilidad de auditoría posterior.

    El problema jurídico central es la asignación de responsabilidad. Si un agente de IA toma una decisión que afecta derechos de una persona —niega un crédito, filtra un candidato en un proceso de selección, o activa una alerta de fraude— los marcos de responsabilidad clásicos basados en el “responsable del tratamiento” (controller, en terminología GDPR; responsable, en LGPD o Ley 25.326) no mapean con facilidad sobre una cadena de acciones autónomas ejecutadas por múltiples componentes de software. El SDF planteó esta brecha como uno de los desafíos regulatorios más urgentes a nivel global.

    Biometría: el dato que no se puede cambiar

    El segundo eje del festival fue la regulación de datos biométricos. A diferencia de una contraseña o un número de documento, los datos biométricos —huella dactilar, reconocimiento facial, iris, voz— son permanentes e irrevocables. Una brecha que exponga esos datos genera un daño irreparable que ningún procedimiento de remediación puede revertir completamente. En la región Asia-Pacífico, el despliegue acelerado de sistemas de reconocimiento facial en espacios públicos, transporte y servicios financieros ha puesto a los reguladores ante un dilema sin respuesta sencilla: cómo habilitar la innovación sin crear infraestructuras de vigilancia masiva.

    En América Latina, el tratamiento de datos biométricos ya está cubierto —al menos nominalmente— por categorías de datos sensibles en la mayoría de los marcos vigentes. Brasil clasifica los datos biométricos como datos sensibles bajo el artículo 11 de la LGPD, exigiendo base legal reforzada para su tratamiento. Argentina hace lo propio bajo la Ley 25.326 y sus resoluciones complementarias. México, a través de la LFPDPPP, requiere consentimiento expreso. Sin embargo, ninguno de estos marcos contiene reglas específicas sobre reconocimiento facial en tiempo real, umbrales de precisión mínima, o prohibiciones sectoriales explícitas —vacíos que el debate en Singapur vuelve a poner en evidencia.

    Cuándo aplica este marco / cuándo NO

    El enfoque del Singapore Data Festival es pertinente para organizaciones que despliegan o evalúan desplegar agentes de IA con acceso a datos personales, o que utilizan tecnologías biométricas en procesos de autenticación, control de acceso o análisis de comportamiento. No aplica directamente a modelos de lenguaje de uso conversacional sin capacidad de acción autónoma, ni a sistemas biométricos puramente locales sin transmisión ni almacenamiento externo. Tampoco reemplaza el análisis jurisdiccional específico: lo que es permisible bajo la PDPA de Singapur puede no serlo bajo la LGPD o la normativa chilena de protección de datos personales (Ley 21.719, promulgada en 2024).

    Confianza digital como infraestructura, no como promesa de marketing

    El concepto de “confianza digital” que estructuró el SDF va más allá de una declaración de principios. En el contexto del festival, refiere a condiciones técnicas y jurídicas verificables: interoperabilidad de marcos regulatorios, mecanismos de rendición de cuentas para sistemas autónomos, y estándares de precisión y no discriminación para sistemas biométricos. Para América Latina, construir esa confianza implica cerrar brechas concretas: reglamentar el uso de IA en decisiones automatizadas con impacto individual, establecer requisitos de evaluación de impacto en privacidad (PIA/DPIA) para sistemas biométricos, y alinear las autoridades de protección de datos —ANPD en Brasil, AAIP en Argentina, INAI en México— en posiciones comunes sobre IA agéntica antes de que el despliegue masivo supere la capacidad regulatoria.

    La participación del FPF en el SDF incluyó a las investigadoras Lauren Koek y Valentina Curatella, según se informó en el reporte del propio foro. La producción académica y los marcos de análisis que surjan de este evento estarán disponibles a través de los canales del FPF y la PDPC de Singapur.

    Para profundizar en el marco regulatorio de Singapur, la Personal Data Protection Act (PDPA) y las guías sectoriales de la PDPC están disponibles en pdpc.gov.sg; para el contexto latinoamericano, la ANPD brasileña publica sus resoluciones y guías sobre IA en gov.br/anpd.

  • Hospital de Seúl omitió divulgación de brecha por años: 830.000 registros expuestos

    Hospital de Seúl omitió divulgación de brecha por años: 830.000 registros expuestos

    El Hospital Nacional Universitario de Seúl no presentó sus declaraciones obligatorias de ciberseguridad durante varios años, pese a haber sufrido una brecha que comprometió datos de al menos 830.000 personas, según informó una investigación publicada el 25 de agosto de 2026. El caso combina dos alertas simultáneas: la magnitud del incidente y la ausencia sistemática de reporte ante las autoridades.

    De acuerdo con la información difundida, el hospital habría operado bajo una exención que lo exceptuaba de la obligación de presentar las declaraciones de ciberseguridad que sí rigen para el resto de los hospitales terciarios del sistema de salud surcoreano. La investigación, firmada por Ko Jae-woo y publicada por DataBreaches.net, no confirma si esa exención era legítima o si fue aplicada de manera incorrecta. Lo que sí quedó documentado es el resultado: años sin divulgación, y un incidente con alcance masivo sin notificación oportuna.

    Datos confirmados del incidente

    • Afectados: al menos 830.000 personas, según se informó.
    • Organización: Hospital Nacional Universitario de Seúl (Seoul National University Hospital).
    • Tipo de institución: hospital terciario de referencia, sector salud público.
    • Omisión documentada: ausencia de declaraciones obligatorias de ciberseguridad durante múltiples años.
    • Causal declarada: condición de exención respecto de las obligaciones de reporte que aplican al resto del sector.
    • Fecha de revelación pública: 25 de agosto de 2026.

    Qué se sabe y qué falta confirmar

    Hasta el momento no se ha confirmado qué tipo de datos fueron comprometidos, si hubo exfiltración efectiva o acceso no autorizado sin extracción, ni qué actor estuvo detrás del incidente. Tampoco está claro si la exención que invocaba el hospital tenía respaldo normativo vigente o si se trató de un vacío de control administrativo. Lo que la investigación sí deja en evidencia es que el mecanismo de reporte falló —por diseño o por omisión— durante un período prolongado, sin que ninguna autoridad activara una alerta de seguimiento.

    El patrón no es exclusivo de Corea del Sur. En América Latina, los marcos de notificación de incidentes en el sector salud presentan brechas similares. En Argentina, la Ley 25.326 de Protección de Datos Personales no establece plazos específicos de notificación de brechas, una carencia que el proyecto de reforma impulsado por la AAIP busca corregir —aunque sin sanción legislativa al cierre de esta nota. En Brasil, la LGPD (Lei 13.709/2018) fija un plazo de notificación a la ANPD en un término “razonable” desde el conocimiento del incidente, pero los registros del sector salud siguen siendo un punto débil en la cadena de cumplimiento. México, bajo la LFPDPPP, tampoco establece un plazo expreso para el sector público, donde quedan comprendidos los hospitales estatales.

    El próximo hito a monitorear es si las autoridades surcoreanas abren una investigación formal sobre la validez de la exención y si imponen alguna sanción; ese resultado será referencia directa para los debates de reforma de notificación de brechas que avanzan en Argentina y Brasil durante 2026.

  • Gobernanza de datos de salud: del control operativo al rol estratégico

    Gobernanza de datos de salud: del control operativo al rol estratégico

    La gobernanza de datos en el sector salud está dejando de ser una función de cumplimiento para convertirse en un activo estratégico dentro de las organizaciones sanitarias, según un análisis de la consultora Roland Berger. El cambio no es cosmético: implica rediseñar estructuras de ownership, ampliar el alcance del dato clínico y alinear las decisiones de datos con los objetivos de negocio y atención al paciente.

    Durante años, los hospitales, aseguradoras y sistemas de salud trataron la gobernanza de datos como una obligación regulatoria —mantener historias clínicas en orden, cumplir con auditorías, evitar multas. Ese modelo reactivo está quedando obsoleto. La presión combinada de la interoperabilidad, los sistemas de inteligencia artificial aplicados al diagnóstico y la gestión poblacional de salud obliga a repensar quién es dueño del dato, con qué calidad circula y cómo se convierte en decisión clínica o administrativa.

    De la función de soporte a la mesa de dirección

    El informe de Roland Berger identifica una transición de fase: la gobernanza de datos de salud pasa de estar bajo la órbita de TI o compliance a reportar directamente a la dirección ejecutiva. Esto significa que los roles de data steward y Chief Data Officer en organizaciones sanitarias asumen responsabilidades que antes pertenecían a los equipos médicos o financieros: definir qué datos son críticos para la operación, establecer políticas de acceso diferenciado entre clínicos y administrativos, y garantizar que los datos sean interpretables fuera del sistema donde se originaron.

    Según se informó, el cambio estratégico incluye la incorporación de marcos formales de gestión del ciclo de vida del dato clínico —desde su captura en el punto de atención hasta su uso en modelos predictivos o reportes regulatorios. Frameworks como DAMA-DMBOK y el CDMC del EDM Council, aunque diseñados para industrias financieras, están siendo adaptados por organizaciones de salud para cubrir necesidades específicas como el linaje del dato diagnóstico o la trazabilidad de consentimientos informados.

    Por qué el dato clínico es más difícil de gobernar que el dato financiero

    El dato de salud presenta desafíos de governance que no tienen equivalente directo en otros sectores. En primer lugar, es altamente sensible y está regulado por múltiples capas normativas simultáneas: confidencialidad clínica, leyes de datos personales y —en algunos países— regulaciones sectoriales específicas para registros de salud. En segundo lugar, es frecuentemente no estructurado: notas de médico, imágenes, señales de dispositivos. En tercer lugar, el ownership es difuso: ¿el dato de un paciente atendido en un hospital público pertenece a la institución, al sistema nacional de salud o al propio paciente?

    Esa ambigüedad en el ownership es precisamente donde los modelos de governance estratégica intentan intervenir. Definir data stewards por dominio clínico —no solo por sistema de información— es una de las recomendaciones que emergen de este tipo de análisis. Un steward de datos oncológicos, por ejemplo, tiene un perfil distinto al de un steward de facturación, aunque ambos operen sobre el mismo EHR (Electronic Health Record).

    Cuándo aplica este modelo estratégico / cuándo no

    El enfoque estratégico de gobernanza de datos tiene sentido en organizaciones sanitarias que ya tienen una madurez mínima en gestión de datos: algún catálogo de datos en funcionamiento, políticas de clasificación establecidas, o experiencia con proyectos de analítica clínica. Para instituciones que aún luchan con la digitalización básica de registros —realidad de buena parte del sistema de salud público en América Latina—, saltar a governance estratégica sin infraestructura de datos confiable genera estructuras de papel. El modelo no aplica como primera capa; aplica como siguiente capa.

    Tampoco aplica de forma homogénea entre subsectores: una red de clínicas privadas con sistema de EHR unificado tiene condiciones muy distintas a un hospital público con múltiples sistemas heredados y conectividad variable. La governance estratégica requiere que el dato exista, sea accesible y tenga calidad mínima antes de asignarle valor estratégico.

    El escenario regulatorio en América Latina complica y también habilita el cambio

    En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica los datos de salud como datos sensibles y exige que su tratamiento cuente con bases legales específicas —consentimiento explícito o tutela de la salud, entre otras. Eso obliga a los sistemas de salud a tener trazabilidad de consentimientos, lo que es exactamente la clase de capacidad que una governance estratégica debe proveer. La LGPD, en este sentido, actúa como catalizador involuntario de madurez en gestión de datos de salud.

    En Argentina, la Ley 25.326 de Protección de los Datos Personales —actualmente en proceso de reforma legislativa— contempla protección específica para datos de salud como categoría sensible. La autoridad de control, la AAIP, ha emitido criterios sobre el tratamiento de este tipo de datos, aunque la aplicación sectorial en salud sigue siendo dispar. En México, la LFPDPPP y sus lineamientos del INAI también colocan los datos médicos en categoría de datos sensibles, con restricciones adicionales de tratamiento. Estos marcos regulatorios no eliminan la complejidad, pero establecen un piso normativo que da urgencia al salto estratégico.

    Colombia, con la Ley 1581 de 2012 y los desarrollos de la Superintendencia de Industria y Comercio (SIC), sigue una lógica similar. En todos estos casos, el riesgo regulatorio de no tener governance de datos de salud formalizada es concreto: multas, órdenes de cese de tratamiento y —en contextos de salud— consecuencias que van más allá de lo financiero.

    Para los CDO de organizaciones sanitarias en la región, la pregunta operativa no es si adoptar un modelo estratégico de gobernanza de datos, sino qué capacidades de data quality, linaje y ownership hay que construir primero para que ese modelo no sea solo un organigrama. El punto de partida más concreto es el catálogo de datos clínicos: sin inventario, no hay estrategia.

  • GDPR e IA elevan el estándar de cumplimiento en protección de datos

    GDPR e IA elevan el estándar de cumplimiento en protección de datos

    La convergencia entre el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y la expansión acelerada de sistemas de inteligencia artificial está redefiniendo lo que significa cumplir con la normativa de protección de datos. Las organizaciones que operan con datos personales —especialmente aquellas con presencia o vínculos comerciales con Europa— enfrentan una carga de cumplimiento que ya no puede gestionarse con los marcos tradicionales.

    El GDPR, vigente desde 2018, nunca fue un requisito estático. Sus principios de minimización de datos, limitación de finalidad y responsabilidad proactiva (accountability) imponen revisiones continuas a medida que cambian las tecnologías de tratamiento. La irrupción de los modelos de lenguaje grande (LLMs) y los sistemas de IA generativa añade una nueva capa de complejidad: ¿cómo se aplica el GDPR cuando el propio sistema de inteligencia artificial puede haber sido entrenado con datos personales, o cuando su output revela información sobre personas identificables?

    Por qué la IA desafía los principios clásicos del GDPR

    El GDPR fue diseñado bajo una lógica de tratamiento determinístico: un responsable identifica una finalidad, define una base legal, recoge datos y los trata de manera predecible. Los sistemas de IA generativa rompen esa lógica en al menos tres puntos críticos. Primero, la finalidad del tratamiento puede ser difusa o emergente: un modelo entrenado para una tarea puede ser reutilizado en contextos no previstos en el consentimiento original. Segundo, la minimización de datos entra en tensión directa con la lógica de los modelos de gran escala, que requieren volúmenes masivos para su entrenamiento. Tercero, el derecho de supresión —el llamado “derecho al olvido”— resulta técnicamente complejo cuando los datos de una persona ya están incorporados en los pesos de un modelo.

    A esto se suma el AI Act de la Unión Europea, en vigor desde agosto de 2024, que establece obligaciones específicas para sistemas de IA de alto riesgo y sistemas de propósito general (GPAI). El cruce entre el AI Act y el GDPR no es meramente burocrático: ambos marcos comparten conceptos —como la evaluación de impacto— pero no están perfectamente alineados en definiciones ni en autoridades competentes, lo que genera zonas grises que las organizaciones deben navegar de forma proactiva.

    Cuándo aplica / cuándo NO

    El GDPR aplica a cualquier organización que trate datos de residentes en la Unión Europea, independientemente de dónde esté establecida. Esto incluye empresas latinoamericanas que vendan productos o servicios a usuarios europeos, o que monitoreen su comportamiento. Una startup de Buenos Aires con clientes en España, o una plataforma de e-commerce mexicana con operaciones en Alemania, están dentro del ámbito de aplicación. No aplica, en cambio, cuando el tratamiento involucra exclusivamente datos de personas fuera del Espacio Económico Europeo y sin vínculo con el mercado europeo. Sin embargo, esa distinción es cada vez más delgada en entornos de IA donde los datos de entrenamiento pueden provenir de múltiples geografías sin trazabilidad clara.

    El espejo latinoamericano: LGPD, Ley 25.326 y LFPDPPP ante la IA

    América Latina no está ajena a esta presión dual. Brasil enfrenta el mismo desafío desde la Ley General de Protección de Datos Personales (LGPD, Lei nº 13.709/2018): la Autoridade Nacional de Proteção de Dados (ANPD) ha comenzado a desarrollar orientaciones sobre inteligencia artificial, y en 2024 publicó un documento de referencia sobre IA y protección de datos que reconoce explícitamente la tensión entre el ciclo de vida de los modelos y los derechos de los titulares. En Argentina, la Ley 25.326 de Protección de los Datos Personales —con más de dos décadas de vigencia— muestra sus límites ante tratamientos automatizados sofisticados; el proyecto de actualización que circula en el Congreso Nacional busca incorporar disposiciones sobre decisiones automatizadas y perfilado, siguiendo la huella del artículo 22 del GDPR. México, por su parte, opera bajo la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) y su reglamento, un marco que tampoco previó los desafíos de los sistemas de IA generativa.

    La señal que emite Europa no es solo regulatoria: es de mercado. Las empresas latinoamericanas que aspiren a exportar servicios digitales o datos hacia la Unión Europea necesitan demostrar niveles de protección adecuados. Eso implica adoptar prácticas alineadas con el GDPR —Evaluaciones de Impacto de Protección de Datos (DPIA), registros de actividades de tratamiento, designación de Delegado de Protección de Datos cuando corresponde— independientemente de lo que exija la regulación local.

    Las tres presiones concretas que escalan en 2025 y 2026

    • Evaluaciones de impacto para sistemas de IA: las DPIAs ya no son opcionales para herramientas de IA que traten datos personales a escala o que tomen decisiones con efectos significativos sobre personas.
    • Gestión del consentimiento en entornos de IA generativa: las plataformas deben acreditar que los datos usados en entrenamiento contaban con base legal válida, lo que impulsa auditorías retroactivas de datasets.
    • Portabilidad y supresión técnica: los equipos de ingeniería deben diseñar mecanismos para responder solicitudes de derechos ARCO/DSAR en sistemas donde los datos no están almacenados de forma discreta sino distribuidos en parámetros del modelo.

    La respuesta organizacional más común hasta ahora ha sido incorporar al DPO (Data Protection Officer) en los procesos de adopción de IA desde etapas tempranas, antes de que el sistema entre en producción. El principio de privacy by design, establecido en el artículo 25 del GDPR, cobra una dimensión nueva cuando el objeto de diseño es un sistema de aprendizaje automático.

    Para organizaciones latinoamericanas con exposición al mercado europeo o en proceso de actualizar sus marcos locales, el texto del GDPR y las guías del Comité Europeo de Protección de Datos (EDPB) sobre inteligencia artificial —disponibles en edpb.europa.eu— siguen siendo la referencia técnica más completa disponible.