DataTrends LATAM

Etiqueta: Normativa

  • HHS sanciona a Ambry Genetics por violar la Security Rule de HIPAA

    HHS sanciona a Ambry Genetics por violar la Security Rule de HIPAA

    La Oficina de Derechos Civiles del Departamento de Salud de Estados Unidos (OCR/HHS) cerró un acuerdo de resolución con Ambry Genetics Corporation por presuntas violaciones a la Security Rule de HIPAA. El caso pone en foco los estándares de seguridad para datos de salud genética —un tipo de dato cuya sensibilidad y consecuencias para terceros no tiene equivalente en ningún otro sector— y llega en un momento en que varios países de América Latina están revisando sus marcos de protección para datos biométricos y de salud.

    Ambry Genetics, con sede en Aliso Viejo, California, es una empresa dedicada a pruebas genéticas diagnósticas y está clasificada como “covered entity” bajo HIPAA. La Security Rule de esa ley establece salvaguardas administrativas, físicas y técnicas que las entidades cubiertas deben implementar para proteger la información de salud electrónica protegida (ePHI). Según informó OCR, la investigación detectó incumplimientos en esas salvaguardas, aunque al cierre de esta nota el monto del acuerdo y el detalle técnico de las fallas no habían sido publicados en su totalidad por HHS.

    La Security Rule de HIPAA: qué exige y dónde suelen fallar las empresas de genómica

    La Security Rule de HIPAA no es una norma de ciberseguridad genérica: exige análisis de riesgo documentado, gestión de riesgos continua, controles de acceso, auditoría de sistemas y planes de contingencia, entre otros requerimientos. Las empresas de pruebas genéticas son un blanco de escrutinio particular porque manejan datos que identifican no solo al paciente sino también a sus familiares biológicos, lo que amplifica el potencial de daño en caso de brecha. OCR ha incrementado su actividad de enforcement en los últimos años, con énfasis en organizaciones de salud que procesan datos genómicos y de laboratorio clínico.

    El patrón de falla más frecuente en casos resueltos por OCR incluye análisis de riesgo incompletos o no actualizados, ausencia de procedimientos de revisión de actividad en sistemas críticos y controles de acceso insuficientes para usuarios con privilegios elevados. Aunque el expediente de Ambry no detalla públicamente cuál de esas fallas fue determinante, el solo hecho de que OCR haya iniciado investigación y llegado a un acuerdo indica que al menos uno de esos pilares estuvo comprometido.

    Datos genéticos en LATAM: Argentina, Brasil y México ante un vacío regulatorio específico

    El caso Ambry Genetics es relevante para la región porque ningún país de América Latina cuenta aún con un régimen de seguridad técnica tan detallado como HIPAA para datos de salud genética, aunque los tres marcos principales de la región los clasifican como datos sensibles con protección reforzada. En Argentina, la Ley 25.326 de Protección de Datos Personales los incluye en la categoría de datos sensibles cuyo tratamiento está sujeto a requisitos de consentimiento expreso y medidas de seguridad adicionales; sin embargo, la normativa no especifica controles técnicos mínimos equivalentes a la Security Rule. La Autoridad de Aplicación (AAIP) tiene facultades de investigación, pero el enforcement en el sector salud ha sido históricamente reactivo.

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos genéticos como datos sensibles en su artículo 5, inciso II, y exige que su tratamiento tenga base legal específica. La Autoridade Nacional de Proteção de Dados (ANPD) publicó en 2023 su regulación de seguridad de la información (Resolução CD/ANPD nº 2/2022), que establece obligaciones de gestión de incidentes y medidas de seguridad proporcionales al riesgo, pero aún sin la granularidad sectorial que tiene HIPAA para salud. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y sus Lineamientos del Aviso de Privacidad también reconocen los datos de salud como sensibles, pero el INAI no ha emitido estándares técnicos sectoriales específicos para laboratorios genéticos o empresas de genomics.

    Chile presenta un caso distinto: la nueva Ley 21.719 de Protección de Datos Personales, publicada en 2024 y con plazo de adecuación en curso, eleva significativamente el estándar de protección para datos sensibles e incorpora obligaciones de evaluación de impacto (EIPD) para tratamientos de alto riesgo. Los datos genéticos quedan comprendidos en esa categoría, lo que en la práctica obliga a clínicas, laboratorios y empresas de biotecnología con operación en Chile a hacer análisis de riesgo documentados, el mismo punto donde HIPAA exige más y donde Ambry Genetics aparentemente falló.

    Por qué el modelo de enforcement de OCR importa más allá de EE.UU.

    Los acuerdos de OCR funcionan como señales de precio para el mercado: fijan el costo esperado del incumplimiento y —cuando incluyen planes de acción correctiva— establecen un estándar de facto para el sector. Las empresas latinoamericanas de biotecnología o salud digital que operan en EE.UU. o procesan datos de ciudadanos estadounidenses están directamente alcanzadas por HIPAA. Pero más allá de la jurisdicción directa, el patrón de enforcement de OCR alimenta las decisiones de autoridades locales sobre qué controles exigir y cómo graduarlos por sector. La ANPD brasileña, que ya citó al GDPR europeo como referencia para su regulación de seguridad, tiene incentivos para mirar también el modelo HIPAA cuando diseñe guías sectoriales para datos de salud.

    Qué monitorear: adecuación chilena, guías sectoriales de ANPD y reforma argentina en 2026

    Tres hitos regulatorios de corto plazo merecen seguimiento directo a partir de este caso. Primero, el proceso de adecuación a la Ley 21.719 en Chile, cuyo plazo vence en 2026 para la mayoría de los obligados: los laboratorios y empresas de diagnóstico genético deberían estar cerrando sus EIPD ahora. Segundo, cualquier guía sectorial que emita la ANPD para el sector salud en Brasil —un documento esperado pero aún no publicado— podría incorporar exigencias de análisis de riesgo similares a las que activaron el caso Ambry. Tercero, Argentina tiene en trámite legislativo un proyecto de reforma a la Ley 25.326; si ese proyecto avanza hacia estándares técnicos más específicos para datos sensibles, el precedente de OCR será una referencia útil para los redactores del reglamento.

    Nuestro análisis

    El enforcement de HIPAA sobre empresas de genómica no es una curiosidad del sistema de salud estadounidense: es el anticipo de dónde van a terminar los reguladores latinoamericanos cuando el sector de biotecnología y diagnóstico genético escale en la región. La combinación de datos de altísima sensibilidad, cadena de custodia compleja y empresas con estructuras de compliance todavía débiles es exactamente el escenario que activa investigaciones como la de Ambry Genetics. Las autoridades de la región tienen las herramientas legales —datos sensibles con protección reforzada— pero les falta el complemento: estándares técnicos sectoriales con dientes. Mientras ese complemento no llegue, las empresas que operen en ambos mercados estarán respondiendo a HIPAA con más detalle del que exigen sus reguladores locales. Esa asimetría es una ventaja temporal, no una situación sostenible.

    La pregunta que deberían hacerse los laboratorios y empresas de salud digital en Argentina, Brasil, Chile y México no es si sus datos genéticos están protegidos por ley —lo están— sino si sus controles técnicos documentados resistirían el escrutinio de un regulador que, como OCR, pide ver el análisis de riesgo actualizado antes de cualquier otra cosa.

  • Gobernanza de datos y confianza digital como ejes de competitividad empresarial en Mozambique

    Gobernanza de datos y confianza digital como ejes de competitividad empresarial en Mozambique

    Mozambique se suma a la lista de economías africanas que identifican la gobernanza de datos y la confianza digital como palancas directas de competitividad empresarial, no como cumplimiento periférico. El debate ya no es si gestionar los datos con rigor importa, sino qué capacidades concretas necesitan las organizaciones para que ese rigor se traduzca en ventaja de mercado.

    Según se informó, el sector empresarial y el ecosistema tecnológico de Mozambique han comenzado a articular gobernanza de datos y confianza digital como factores diferenciadores en la atracción de inversión y en la sostenibilidad operativa. El movimiento refleja una tendencia que en América Latina lleva varios años de recorrido: la gobernanza de datos dejó de ser un proyecto de TI para convertirse en una conversación de directorio.

    Qué significa “confianza digital” en términos operativos para una organización

    La confianza digital no es una declaración de intenciones: es el resultado medible de procesos de gobernanza que garantizan que los datos son precisos, están protegidos y son utilizados de forma transparente. En el marco CDMC (Cloud Data Management Capabilities) del EDM Council, la confianza digital se construye sobre capabilities verificables —clasificación, linaje, calidad, control de acceso— y no sobre promesas de política. Una organización que no puede demostrar quién modificó un dato, cuándo y con qué propósito, no tiene confianza digital: tiene aspiración.

    El DAMA-DMBOK v2 ubica la calidad del dato y el linaje (data lineage) como habilitadores transversales de todas las demás áreas de conocimiento. Sin ellos, iniciativas de analítica avanzada, apertura de datos a socios comerciales o integración con plataformas externas quedan expuestas a errores de decisión que erosionan la reputación institucional —y con ella, la competitividad.

    Por qué la competitividad empresarial depende cada vez más de los datos bien gobernados

    El argumento competitivo de la gobernanza de datos opera en al menos tres dimensiones. Primero, la eficiencia operativa: organizaciones con catálogos de datos activos y data stewards asignados reducen el tiempo de búsqueda y validación de información para la toma de decisiones. Segundo, la confiabilidad ante socios e inversores: en contextos de due diligence, la capacidad de demostrar trazabilidad y control sobre los activos de datos es un diferenciador concreto. Tercero, el acceso a mercados regulados: cada vez más licitaciones públicas y contratos internacionales exigen evidencia de prácticas de gobernanza como condición de elegibilidad.

    John Ladley, en su trabajo sobre estrategia de información, señala que las organizaciones que tratan los datos como activos estratégicos —con propietarios definidos, políticas claras y métricas de calidad— obtienen retornos medibles en reducción de riesgo operativo y en velocidad de lanzamiento de productos basados en datos. El caso de Mozambique ilustra que este razonamiento ya cruzó el Atlántico y el Índico: no es patrimonio de economías del G7.

    Cuándo aplica este enfoque y cuándo no basta con declararlo

    La gobernanza de datos como driver de competitividad aplica cuando existe una estructura mínima de ownership: al menos un data steward por dominio crítico de negocio, un registro activo de activos de datos (aunque sea en una hoja de cálculo versionada), y un proceso documentado de resolución de problemas de calidad. Sin esa base, hablar de “confianza digital” es marketing interno. No aplica como ventaja competitiva real en organizaciones donde los datos viven en silos sin propietario asignado, donde no existe un proceso de clasificación por criticidad, o donde el equipo de gobernanza reporta exclusivamente a TI sin interlocución con el negocio.

    El recorrido de América Latina: lecciones que Mozambique puede tomar prestadas

    En América Latina, la gobernanza de datos como argumento competitivo encontró un acelerador inesperado en los marcos regulatorios. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y la Autoridade Nacional de Proteção de Dados (ANPD) activa desde 2021, empujó a las organizaciones a inventariar sus datos personales —y muchas descubrieron en ese proceso que no sabían qué datos tenían, dónde estaban ni quién era responsable. Argentina, con la Ley 25.326 y su autoridad de control (AAIP), atravesó una dinámica similar. En Colombia, la Ley 1581 de 2012 generó el mismo efecto: el cumplimiento de privacidad fue la puerta de entrada a programas de gobernanza más amplios. Mozambique parte de un contexto regulatorio diferente, pero el vector es el mismo: la presión externa —regulatoria o de mercado— acelera la madurez interna.

    Los CDOs de la región que lograron posicionar la gobernanza de datos como argumento de negocio no lo hicieron con frameworks abstractos: lo hicieron mostrando el costo de no gobernar. Incidentes de calidad que derivaron en decisiones erróneas con impacto financiero medible, auditorías fallidas por falta de linaje documentado, contratos perdidos por no poder demostrar controles de acceso. Esos casos concretos —no los decálogos de mejores prácticas— son los que mueven presupuesto.

    Tres movimientos concretos para un CDO que quiere traducir este debate en acción

    • Mapear los dominios de datos críticos del negocio e identificar si existe un data steward designado para cada uno. Si no existe, ese es el primer gap a cerrar antes de cualquier conversación sobre confianza digital.
    • Construir un caso de negocio basado en el costo de los problemas de calidad actuales: decisiones revertidas, reportes rehechos, integraciones fallidas. Ese número, expresado en horas/hombre o en impacto en revenue, es el argumento que llega a CFO y CEO.
    • Vincular el programa de gobernanza al cumplimiento regulatorio vigente —LGPD, Ley 25.326, Ley 1581 o la norma local aplicable— para obtener respaldo institucional y presupuesto con urgencia justificada.

    Para profundizar en los frameworks de referencia, el DAMA-DMBOK v2 y el CDMC del EDM Council son los puntos de partida obligados; ambos están disponibles en sus respectivos sitios oficiales con documentación técnica descargable.

  • IA en mensajería cifrada: por qué los TEEs no resuelven el problema de privacidad

    IA en mensajería cifrada: por qué los TEEs no resuelven el problema de privacidad

    Signal, WhatsApp y otros servicios de mensajería cifrada de extremo a extremo garantizan que nadie en el camino puede leer tus mensajes. Pero cuando la inteligencia artificial entra en escena y procesa esas conversaciones en servidores de la nube, esa garantía empieza a resquebrajarse, aunque las empresas prometan lo contrario con una tecnología llamada entorno de ejecución confiable.

    El cifrado de extremo a extremo (E2EE) ofrece garantías matemáticas: ni el operador de la plataforma ni un tercero pueden acceder al contenido de los mensajes mientras viajan por la red. El problema es que esa protección termina cuando el mensaje llega al dispositivo. A partir de ahí, lo que ocurre con el contenido depende de cómo estén diseñadas las funciones del sistema operativo y las aplicaciones. Y hoy, cada vez más, depende de la inteligencia artificial.

    El nudo técnico: procesamiento en la nube versus privacidad

    Las funciones de IA que más interesan a las grandes plataformas —resumen de conversaciones, respuestas automáticas, análisis de contexto— requieren una capacidad de cómputo que la mayoría de los dispositivos de consumo no tiene. La solución adoptada por la industria es enviar los datos al servidor, procesarlos allí y devolver el resultado al teléfono. El problema es evidente: el contenido del mensaje sale del dispositivo. Ese momento de tránsito o procesamiento en la nube rompe la cadena de privacidad que el cifrado E2EE había construido.

    Para responder a esa tensión, Apple, Google y Meta desarrollaron implementaciones propias de lo que se conoce como Trusted Execution Environments o TEEs. Apple los llama Private Cloud Compute; Google, Private AI Compute; Meta los utiliza bajo el nombre Private Processing para WhatsApp. La idea es crear un enclave aislado dentro del servidor donde el dato se procesa sin que nadie —ni siquiera el proveedor— pueda acceder a él en texto claro.

    Qué son los TEEs y por qué no equivalen al cifrado real

    Un entorno de ejecución confiable es una zona protegida dentro de un procesador que aísla el código y los datos que se ejecutan en ella del resto del sistema, incluido el sistema operativo del servidor. En teoría, ni el proveedor cloud ni un atacante externo debería poder leer lo que ocurre dentro del enclave. Los TEEs tienen usos legítimos y maduros: desde la gestión de derechos digitales (DRM) hasta las billeteras móviles. Pero aplicarlos al procesamiento de IA en servidores de terceros introduce una diferencia fundamental respecto al cifrado.

    El cifrado matemático —como el que protege el E2EE— no requiere confiar en nadie: la protección es verificable por cualquier persona con acceso al código y a las claves correctas. Los TEEs, en cambio, requieren confiar en el hardware del fabricante, en el firmware, en la cadena de suministro y en los procedimientos de auditoría del proveedor. Si cualquiera de esos eslabones falla, la protección se rompe. Según señaló la Electronic Frontier Foundation al analizar estas implementaciones, los TEEs ofrecen más seguridad que el procesamiento en claro, pero son fundamentalmente distintos al cifrado real o a la ejecución local.

    Cuándo aplica la protección de un TEE y cuándo no

    Los TEEs reducen el riesgo de que los datos sean accedidos por el operador del servidor durante el procesamiento, pero no eliminan otros vectores de exposición. No protegen contra vulnerabilidades en el propio enclave —y los enclaves han sido objeto de ataques exitosos de canal lateral en el pasado. No garantizan que los datos no sean retenidos antes o después del procesamiento. Y su verificabilidad depende de que el proveedor permita auditorías independientes del código que corre dentro del enclave, algo que rara vez ocurre de forma completa. En síntesis: un TEE bien implementado protege el dato mientras se procesa, pero no es un sustituto del cifrado ni de la ejecución local.

    La brecha regulatoria en América Latina: LGPD, Ley 25.326 y el vacío del procesamiento en la nube

    Ninguno de los marcos de protección de datos personales vigentes en la región —la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley 25.326 de Argentina, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México, ni la Ley 1581 de Colombia— establece estándares técnicos específicos para el uso de TEEs como medida de seguridad suficiente en el procesamiento de datos personales en la nube. Eso significa que una empresa que use Private Cloud Compute o Private Processing para procesar mensajes con contenido personal puede argumentar cumplimiento con el principio de seguridad técnica sin que ninguna autoridad de control —la ANPD en Brasil, la AAIP en Argentina, el INAI en México— tenga criterios claros para auditar si ese enclave realmente funciona como se promete.

    El problema se amplifica porque estas funciones de IA están activas por defecto en varios servicios, lo que desplaza al usuario la carga de comprender y gestionar una tecnología que ni los reguladores comprenden del todo. La ANPD brasileña tiene en agenda la regulación del uso de IA en el tratamiento de datos personales, y la AAIP argentina avanzó en 2024 con lineamientos sobre IA y datos, pero ninguno de esos documentos aborda los TEEs como categoría técnica específica.

    El punto de quiebre: consentimiento informado sin información suficiente

    El principio de consentimiento informado —piedra angular de todas las leyes de privacidad de la región— exige que el titular del dato comprenda para qué se usan sus datos. Pero ¿cómo puede un usuario dar un consentimiento genuinamente informado sobre si sus mensajes se procesan dentro de un enclave TEE certificado o no? La asimetría técnica entre el proveedor y el usuario es total. Las políticas de privacidad de estas plataformas describen los TEEs en lenguaje accesible, pero sin permitir la verificación independiente de las garantías que proclaman. Eso convierte al consentimiento en una formalidad, no en un acto informado.

    Para reguladores de la región que trabajan en marcos de IA y privacidad, el desafío concreto es definir qué nivel de auditoría técnica independiente deben acreditar los proveedores que procesen datos personales dentro de enclaves TEE, antes de que esa arquitectura se convierta en el estándar de facto de toda la industria.

  • El argumento del “fin del mundo” por IA y el problema de la falsabilidad

    El argumento del “fin del mundo” por IA y el problema de la falsabilidad

    Las advertencias apocalípticas sobre inteligencia artificial —que los sistemas de IA podrían exterminar a la humanidad— carecen de un elemento científico básico: la posibilidad de ser refutadas. Esa es la crítica central que articula Heidy Khlaaf, científica jefa de IA en el AI Now Institute y ex ingeniera de seguridad de OpenAI, en un debate que tiene consecuencias directas sobre cómo se diseñan las regulaciones de IA en todo el mundo, incluyendo América Latina.

    El núcleo del argumento es metodológico. Las afirmaciones científicas válidas deben poder ser falsadas: si no existe ningún experimento, dato o escenario que permita demostrar que una hipótesis es incorrecta, entonces esa hipótesis opera más como artículo de fe que como ciencia. Según Khlaaf, muchas de las narrativas dominantes sobre riesgo existencial de la IA —popularizadas por figuras del movimiento de seguridad de IA conocido como “AI safety”— no superan ese umbral mínimo. “Las afirmaciones científicas requieren falsabilidad precisamente para evitar la naturaleza de los argumentos religiosos”, señaló. “Necesitás poder probarlas o refutarlas.”

    Qué es la falsabilidad y por qué importa en el debate de IA

    El principio de falsabilidad fue formulado por el filósofo Karl Popper como criterio de demarcación entre ciencia y pseudociencia. Una teoría es científica si, en principio, puede ser contradicha por evidencia empírica. Aplicado al campo de la IA, el problema es concreto: afirmaciones como “un sistema de IA superinteligente podría decidir eliminar a los humanos para cumplir sus objetivos” no describen un mecanismo verificable ni un umbral medible. No tienen fecha, no tienen condición de activación, no tienen indicadores que permitan decir “si esto no ocurre en X circunstancia, la hipótesis queda descartada”. Eso las convierte, desde una perspectiva epistemológica, en argumentos irrefutables —y por eso mismo, no científicos.

    La distinción no es trivial. El tipo de riesgo que se prioriza en el debate público moldea directamente la agenda regulatoria. Si los legisladores y autoridades concentran su atención en escenarios hipotéticos de extinción, pueden desviar recursos y normas de los daños actuales y documentados que los sistemas de IA ya producen: discriminación algorítmica, vigilancia masiva, erosión de derechos laborales, opacidad en decisiones que afectan a personas reales.

    Dos tradiciones de riesgo que compiten por la agenda regulatoria global

    En el campo de la seguridad de IA conviven dos corrientes que tienen poco en común salvo el nombre. La primera, asociada a organizaciones como el AI Now Institute, el Algorithmic Justice League o la AI Policy Foundation, se enfoca en daños concretos, verificables y presentes: sesgos en modelos de reconocimiento facial, fallos en sistemas de toma de decisiones judiciales, impacto en trabajadores de plataformas. La segunda —representada por figuras como Eliezer Yudkowsky o centros como el Machine Intelligence Research Institute— proyecta el riesgo hacia sistemas hipotéticos de inteligencia artificial general (AGI) con capacidad de agencia autónoma y objetivos potencialmente hostiles a la humanidad. Esta segunda corriente es la que Khlaaf interpela con el argumento de la falsabilidad.

    La tensión no es meramente académica. En la negociación del AI Act de la Unión Europea, uno de los debates más ásperos giró precisamente en torno a si los modelos de propósito general (GPAI) con capacidades “sistémicas” debían regularse por sus riesgos actuales o por proyecciones de riesgo futuro. El texto final incorporó ambas lógicas, pero con pesos y procedimientos distintos, lo que refleja cuánto incide esta disputa epistemológica en el derecho duro.

    Cuándo el argumento apocalíptico aplica y cuándo no —para el análisis regulatorio

    La crítica de Khlaaf no descarta que los sistemas de IA puedan causar daños graves o incluso catastróficos en contextos específicos: infraestructura crítica, armas autónomas, toma de decisiones médicas sin supervisión. Lo que impugna es el salto argumental que va de “puede causar daño grave en contexto X” a “podría exterminar a la humanidad sin condición falsable”. El primer tipo de afirmación es científicamente tratable: tiene mecanismos identificables, umbrales medibles y puede ser objeto de regulación técnicamente fundada. El segundo no. Para los equipos jurídicos y de política pública que trabajan en marcos regulatorios de IA, esa distinción define qué argumentos son admisibles como base para normas de obligado cumplimiento.

    América Latina, entre el AI Act y sus propios marcos incipientes

    El debate tiene implicancias directas para la región. Brasil avanza en la tramitación de su Proyecto de Ley 2.338/2023, conocido como el “AI Act brasileño”, que toma como referencia explícita el modelo europeo. En Argentina, la Secretaría de Innovación Pública publicó en 2024 lineamientos de uso responsable de IA para el sector público, sin fuerza normativa vinculante aún. En ambos casos, los equipos técnicos que alimentan esas iniciativas deben resolver la misma pregunta que plantea Khlaaf: ¿qué tipo de evidencia de riesgo es suficiente para justificar una restricción legal? Si la respuesta es “proyecciones no falsables”, el riesgo es que se sobrerregulen capacidades inexistentes mientras se subrregulan daños ya documentados. Si la respuesta es “solo daños probados”, el riesgo es llegar tarde a tecnologías que evolucionan más rápido que los ciclos legislativos.

    México, a través del INAI y en el marco de las discusiones sobre actualización de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), también enfrenta la presión de incorporar disposiciones sobre sistemas automatizados de decisión. El criterio de falsabilidad que plantea el AI Now Institute ofrece una herramienta metodológica útil para ese proceso: antes de legislar sobre un riesgo de IA, preguntarse si ese riesgo puede ser operacionalizado en indicadores medibles y condiciones de verificación.

    Las regulaciones de IA que se están construyendo hoy en América Latina dependerán, en parte, de qué argumentos sobre riesgo consideran legítimos sus autores. El criterio de falsabilidad no resuelve esa disputa, pero al menos la coloca en un terreno donde puede discutirse con evidencia. Para profundizar en el debate sobre los marcos de evaluación de riesgo en IA, el AI Now Institute publica sus análisis en ainowinstitute.org.

  • Bioarmas con IA: por qué el sector biotecnológico no puede esperar más

    Bioarmas con IA: por qué el sector biotecnológico no puede esperar más

    Los CEOs de las principales compañías de inteligencia artificial están advirtiendo públicamente que sus propias tecnologías representan riesgos existenciales, y el sector biotecnológico es el terreno donde esa advertencia se vuelve más concreta: la posibilidad de que modelos de lenguaje avanzados reduzcan drásticamente las barreras técnicas para el diseño de agentes biológicos peligrosos es hoy un debate regulatorio urgente en múltiples jurisdicciones.

    El cruce entre inteligencia artificial y biología sintética lleva años siendo señalado por investigadores de bioseguridad como uno de los vectores de riesgo más subestimados del desarrollo tecnológico actual. Lo que cambió en las últimas semanas es la visibilidad del debate: líderes de Anthropic y OpenAI reconocieron abiertamente, en declaraciones públicas, que los sistemas que están construyendo podrían acelerar capacidades que hoy requieren años de formación especializada. Dario Amodei, CEO de Anthropic, argumentó que el ritmo de avance debería moderarse precisamente por estos riesgos. Sam Altman, CEO de OpenAI, coincidió en la necesidad de calibrar el ritmo, según se informó.

    Qué convierte a la IA en un multiplicador de riesgo biológico

    El problema central no es que la inteligencia artificial “sepa” cómo fabricar un agente patógeno. El problema es que puede reducir dramáticamente el tiempo y la expertise requeridos para que un actor malicioso llegue a una capacidad operativa. Los modelos de lenguaje de gran escala entrenados con literatura científica pueden responder preguntas de síntesis, sugerir rutas metabólicas alternativas o ayudar a optimizar procesos que antes requerían equipos especializados durante meses. En bioseguridad, esa compresión temporal es crítica. Investigadores del área denominan este fenómeno “uplift”: la capacidad de un sistema de IA de elevar el nivel técnico efectivo de un usuario sin formación avanzada.

    El marco regulatorio existente tiene vacíos que ninguna ley de IA cubre todavía

    La Unión Europea avanzó con el AI Act, que clasifica ciertos usos de IA como de riesgo inaceptable, pero su articulación con normativas de bioseguridad existentes —como la Convención sobre Armas Biológicas de 1972— es prácticamente nula. En Estados Unidos, el Decreto Ejecutivo sobre IA de 2023 incluyó una sección específica sobre riesgos biológicos y ordenó evaluaciones de bioseguridad para modelos de gran escala, pero la administración posterior no consolidó ese mandato en regulación duradera. El resultado es un vacío: las leyes de bioseguridad existentes regulan laboratorios y agentes patógenos físicos, no modelos de lenguaje que pueden asistir en el diseño de esos agentes desde cualquier dispositivo conectado.

    En América Latina, el panorama es aún más fragmentado. Brasil cuenta con la Lei de Biossegurança (Ley 11.105/2005) y organismos como la CTNBio para la regulación de organismos genéticamente modificados, pero ningún instrumento contempla explícitamente el rol de sistemas de IA en el acceso a información de doble uso. México, Argentina y Colombia aún no han producido marcos normativos que crucen inteligencia artificial con riesgo biológico. En la medida en que los modelos de IA se vuelven más accesibles en la región —con despliegues locales de herramientas como Copilot, Gemini y Claude—, esa brecha regulatoria se amplía.

    Cuándo aplica la preocupación y cuándo no

    Es importante delimitar el alcance del riesgo para evitar tanto la minimización como el pánico regulatorio contraproducente. El riesgo de “uplift” biológico aplica cuando un modelo tiene acceso a literatura científica sin filtros de uso dual, cuando puede responder preguntas técnicas específicas sobre síntesis o modificación de organismos, y cuando opera sin mecanismos de auditoría sobre las consultas realizadas. No aplica de manera equivalente a modelos con restricciones de dominio, sistemas con capas de supervisión humana en tiempo real, o usos de IA en biología orientados al diagnóstico clínico o la investigación de vacunas, donde el beneficio supera ampliamente el riesgo. La distinción es técnica y requiere evaluación caso por caso, no prohibiciones genéricas.

    Lo que el sector biotecnológico debe hacer antes de que lo regule otro

    La advertencia más relevante del debate que protagonizaron Amodei y Altman no es que la IA sea intrínsecamente peligrosa: es que la autorregulación del sector tecnológico ya llegó a sus límites visibles. Para las empresas biotecnológicas —laboratorios de investigación, CROs, startups de biología sintética—, eso significa que el tiempo de esperar una regulación externa antes de implementar controles internos se está agotando. Algunas acciones concretas que organizaciones del sector ya están discutiendo incluyen: políticas de uso aceptable de herramientas de IA generativa en investigación, protocolos de revisión para consultas a modelos externos sobre compuestos de doble uso, y participación activa en iniciativas como el Centro de Bioseguridad Johns Hopkins o el Nuclear Threat Initiative (NTI) Bio, que trabajan marcos de gobernanza específicos para este cruce tecnológico.

    Para quienes diseñan políticas de inteligencia artificial en América Latina, la pregunta ya no es si este riesgo es real: es qué instrumentos concretos —y en qué plazo— pueden articular los marcos de IA con los de bioseguridad antes de que ocurra un incidente que fuerce la agenda.

  • Evaluación de IA en América Latina: gobernanza de datos, el eslabón más débil

    Evaluación de IA en América Latina: gobernanza de datos, el eslabón más débil

    Las evaluaciones de sistemas de inteligencia artificial en la región revelan un patrón consistente: la gobernanza de datos es la capacidad con mayor brecha de madurez, y su debilidad socava cualquier iniciativa de IA antes de que llegue a producción. Sin datos bien catalogados, con linaje trazable y ownership definido, los modelos operan sobre cimientos inestables.

    Cuando una organización decide evaluar su preparación para implementar inteligencia artificial, el diagnóstico casi siempre apunta al mismo cuello de botella: no es la ausencia de talento técnico ni la falta de infraestructura computacional. Es la incapacidad de responder preguntas básicas sobre sus propios datos — quién los posee, qué significan, de dónde vienen y si son confiables. Ese conjunto de capacidades es lo que el marco DAMA-DMBOK agrupa bajo gobernanza de datos, y es precisamente donde los diagnósticos regionales muestran las brechas más pronunciadas.

    Por qué la IA expone lo que la gobernanza de datos no resolvió

    Un sistema de machine learning o un modelo de lenguaje grande (LLM) desplegado en producción necesita datos de entrenamiento documentados, pipelines auditables y metadata que permita rastrear el origen de cada conjunto de datos. Sin eso, el modelo puede producir resultados correctos en un entorno controlado y fallar de forma impredecible en producción. La IA no crea el problema de gobernanza — lo vuelve visible y costoso. Lo que antes era una deuda técnica tolerada se convierte, en un contexto de IA, en riesgo operativo y regulatorio concreto.

    El EDM Council, organismo que administra el marco CDMC (Cloud Data Management Capabilities), identifica 14 capacidades de gestión de datos organizadas en niveles de madurez del 1 al 5. Según evaluaciones publicadas por el mismo consejo, la mayoría de las organizaciones globales opera entre nivel 1 y 2 en las capacidades de data quality, data lineage y data ownership — las tres directamente críticas para proyectos de IA. La región latinoamericana no es la excepción, y en sectores como gobierno, salud y retail, el punto de partida suele ser más bajo que el promedio global.

    Qué significa “brecha de gobernanza” en términos operativos

    Una brecha de gobernanza en contexto de IA se manifiesta en al menos cuatro formas concretas: primero, datos sin propietario definido (data steward ausente o rol no formalizado); segundo, ausencia de catálogo de datos que permita descubrir qué conjuntos existen y cuál es su calidad; tercero, linaje de datos (data lineage) no documentado, lo que impide saber cómo se transformaron los datos de origen a los datos de entrenamiento; y cuarto, ausencia de políticas de clasificación que distingan datos sensibles, regulados o de uso restringido. Cualquiera de estas cuatro condiciones es suficiente para frenar o invalidar una iniciativa de IA.

    Cuándo aplica esta evaluación y cuándo no

    Este análisis aplica a organizaciones que están en proceso de adoptar IA con datos propios — sea mediante modelos propietarios, fine-tuning de modelos base, o integración de APIs de modelos externos con datos internos. No aplica en la misma medida a organizaciones que usan IA exclusivamente a través de interfaces de usuario externas sin conectar datos internos, aunque incluso en ese caso la gobernanza de los datos exportados hacia esos sistemas sigue siendo un riesgo que debe gestionarse.

    El marco regulatorio en LATAM presiona desde afuera

    La presión para mejorar la gobernanza de datos no viene solo del imperativo técnico de la IA. En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) exige que las organizaciones puedan responder solicitudes de titulares sobre el tratamiento de sus datos, lo que requiere exactamente el tipo de catálogo y linaje que las brechas de gobernanza impiden. En México, la LFPDPPP establece obligaciones equivalentes gestionadas por el INAI. En Argentina, la Ley 25.326 y su autoridad de control, la AAIP, han intensificado la supervisión sobre tratamientos automatizados. Una organización que no puede mapear sus flujos de datos para responder a un DSAR (Data Subject Access Request) tampoco puede documentar el entrenamiento de un modelo de IA ante un regulador. La brecha de gobernanza es simultáneamente un problema técnico, un problema de IA y un problema de cumplimiento normativo.

    Costa Rica, que en los últimos años ha posicionado su sector tecnológico como uno de los más activos de Centroamérica, enfrenta esta misma tensión: la adopción de IA en sectores como servicios financieros y gobierno digital avanza más rápido que la madurez de gobernanza de datos en las organizaciones que la implementan. La Agencia de Protección de Datos de los Habitantes (PRODHAB) supervisa el cumplimiento de la Ley 8968, que incluye obligaciones sobre tratamientos automatizados relevantes para sistemas de IA.

    Tres capacidades para priorizar antes de cualquier proyecto de IA

    Con base en los marcos de referencia disponibles — DAMA-DMBOK, CDMC y las recomendaciones del MIT CISR sobre gobierno de datos para IA — hay tres capacidades que deben establecerse antes de escalar cualquier iniciativa de IA con datos propios. Primero, asignar data stewards para los dominios de datos que alimentarán los modelos, con responsabilidades documentadas y formalizadas. Segundo, implementar un catálogo de datos mínimo viable que registre al menos origen, clasificación de sensibilidad y calidad básica de los conjuntos de datos candidatos. Tercero, documentar el data lineage de extremo a extremo para los pipelines de entrenamiento, de modo que cualquier auditoría interna o regulatoria pueda reconstruir cómo se produjo el modelo. Estas tres capacidades no requieren herramientas sofisticadas para comenzar — pueden iniciarse con procesos documentados antes de que exista una plataforma tecnológica dedicada.

    Para profundizar en los marcos de referencia, el DAMA-DMBOK 2.0 y la documentación pública del EDM Council sobre CDMC están disponibles en sus respectivos sitios oficiales; la Ley 8968 de Costa Rica y las resoluciones de PRODHAB se encuentran en el Sistema Costarricense de Información Jurídica (SCIJ).

  • Río Negro legisla gobernanza de datos públicos: qué plantea el proyecto

    Río Negro legisla gobernanza de datos públicos: qué plantea el proyecto

    La Legislatura de Río Negro avanza en un proyecto de ley de gobernanza de datos públicos, según se informó a mediados de septiembre de 2025. Si prospera, la provincia patagónica se convertiría en una de las primeras jurisdicciones subnacionales de Argentina en contar con un marco normativo específico para la gestión del dato público —un terreno donde la regulación nacional lleva años de retraso.

    La iniciativa, cuyo texto completo no fue publicado oficialmente al cierre de esta edición, apunta a establecer criterios para la apertura, clasificación y uso de datos que produce y custodia el Estado provincial. El movimiento legislativo llega en un momento en que varias provincias argentinas están revisando sus marcos de modernización del Estado, pero sin traducirlos aún en reglas concretas de gobernanza del dato.

    Argentina: vacío federal y avances provinciales en 2025

    A nivel nacional, Argentina carece de una ley de gobernanza de datos públicos como instrumento específico. La Ley 27.275 de Acceso a la Información Pública, sancionada en 2016 y reglamentada por el Decreto 206/2017, establece el derecho de acceso y obliga a publicar información en formatos abiertos, pero no define un marco de gestión, calidad ni ciclo de vida del dato dentro del Estado. El Plan Nacional de Gobierno Abierto y los decretos de datos abiertos del Ejecutivo nacional (entre ellos el Decreto 117/2016) avanzaron en apertura, pero sin arquitectura de gobernanza: no hay roles de data steward en el sector público, ni un catálogo central con linaje definido, ni políticas de calidad del dato vinculantes para organismos nacionales.

    En ese vacío, las provincias empiezan a moverse. Río Negro no sería la primera en intentarlo: la Ciudad Autónoma de Buenos Aires tiene regulaciones de datos abiertos (Ley 4.013 y normas complementarias) y Santa Fe avanzó con el programa Datos Abiertos SF, aunque ninguna de las dos alcanzó aún una ley integral de gobernanza con responsabilidades, estándares y mecanismos de enforcement explícitos. Si el proyecto rionegrino llega a sancionarse con esas características, marcaría un precedente legislativo relevante para el federalismo argentino en materia de dato público.

    Brasil, Chile y Colombia: tres modelos de referencia para el sector público

    En el resto de la región, el avance es dispar pero hay referencias concretas que un equipo legislativo debería tener sobre la mesa. Brasil sancionó en 2021 la Lei nº 14.129 (Lei do Governo Digital), que define principios de gobernanza de datos para el sector público federal e impulsa la interoperabilidad entre organismos, complementando la LGPD (Lei nº 13.709/2018) en el tratamiento de datos personales por el Estado. Chile, por su parte, incorporó en su nueva Ley 21.719 de Protección de Datos Personales —promulgada en 2024— disposiciones específicas sobre el tratamiento de datos por órganos públicos, con estándares de calidad y finalidad definidos. Colombia opera con la Política de Gobierno Digital (antes GEL) y la Resolución MinTIC que regula los datos abiertos, aunque aún no tiene una ley de gobernanza de dato público como tal.

    El marco de referencia conceptual más robusto para iniciativas de este tipo sigue siendo el DAMA-DMBOK (Data Management Body of Knowledge), que en su segunda edición distingue entre apertura del dato (open data) y gobernanza del dato (data governance): la primera es una política de acceso; la segunda es un sistema de gestión con ownership, calidad, ciclo de vida y controles. Un proyecto legislativo que solo regule apertura sin abordar las otras dimensiones reproduce el error que ya cometieron varios gobiernos en la región.

    Qué debería contener una ley provincial de gobernanza de datos para ser efectiva

    Basándonos en los marcos internacionales y en la experiencia regulatoria regional, un instrumento de gobernanza de datos públicos que aspire a ser operativo debería contemplar al menos los siguientes elementos:

    • Definición de roles formales: quién es el data owner y quién el data steward en cada organismo, con responsabilidades explícitas y no meramente declarativas.
    • Catálogo de datos públicos con metadatos estandarizados y linaje documentado, de modo que sea posible rastrear el origen, transformación y uso de cada conjunto de datos.
    • Estándares de calidad del dato: completitud, exactitud, actualidad y consistencia como requisitos mínimos medibles, no principios generales.
    • Clasificación de datos según sensibilidad, con criterios que distingan datos abiertos, datos reservados y datos de acceso restringido por razones de privacidad o seguridad.
    • Mecanismo de supervisión y enforcement: un órgano o autoridad con capacidad de auditar el cumplimiento, no solo de emitir recomendaciones.

    Sin estos componentes, la ley corre el riesgo de convertirse en una declaración de principios sin efecto práctico en la operación del Estado provincial.

    Qué monitorear: texto definitivo, comisiones y articulación con la Ley 25.326

    El siguiente paso crítico es la publicación del texto del proyecto y su tratamiento en comisiones. Hay dos puntos de tensión técnica que merecen seguimiento. El primero es la articulación con la Ley 25.326 de Protección de Datos Personales: cualquier régimen de gobernanza de datos públicos en Argentina debe ser coherente con las obligaciones de esa ley —y, eventualmente, con las reformas que el Ejecutivo nacional viene evaluando desde 2023—, especialmente en lo que refiere al tratamiento de datos personales que obran en registros estatales. El segundo es la capacidad institucional de implementación: la provincia deberá definir si crea una unidad específica de gobernanza de datos, si recae en la Secretaría de Modernización o si designa un responsable transversal con autoridad real sobre los organismos.

    Nuestro análisis

    El valor de la iniciativa rionegrina no está en ser la primera —porque la Ciudad de Buenos Aires lleva ventaja en apertura de datos—, sino en el nivel de ambición que tenga el texto. En Argentina, el federalismo produce un mosaico regulatorio donde una provincia puede legislar mejor que la nación en materias técnicas como esta. Si Río Negro aprueba una ley con roles definidos, catálogo obligatorio y enforcement real, generará una presión normativa ascendente que otras provincias y eventualmente el Congreso nacional difícilmente podrán ignorar. El riesgo opuesto, igualmente real, es que el proyecto se diluya en una ley de apertura de datos rebautizada como “gobernanza”, que es exactamente lo que la región ya tiene en abundancia y no le alcanza.

    La diferencia entre una ley de datos abiertos y una ley de gobernanza de datos es la diferencia entre publicar información y gestionarla: Río Negro tiene la oportunidad de legislar la segunda, pero el texto dirá si eso es lo que realmente ocurrió.

  • Monopolio de IA: por qué la concentración de Big Tech importa en LATAM

    Monopolio de IA: por qué la concentración de Big Tech importa en LATAM

    El 17 de septiembre de 2026, Amba Kak, co-directora ejecutiva del AI Now Institute, testificó ante el Monopoly Busters Caucus del Congreso de Estados Unidos en una audiencia informal titulada “AI Crossroads: Stopping Big Tech’s Race to Monopolize AI through Surveillance on Big Tech”. La convocatoria llegó en un momento de tensión entre quienes advierten sobre riesgos existenciales de la inteligencia artificial y quienes señalan un riesgo distinto, más silencioso y estructural: que un puñado de corporaciones controle la infraestructura, los datos y los modelos que definen cómo funciona la IA global.

    La audiencia —calificada como “shadow hearing”, es decir, una sesión paralela sin poder legislativo formal pero con peso político real— apuntó específicamente a la vigilancia que Big Tech ejerce sobre el ecosistema de IA. El argumento central que rodea la comparecencia de Kak no es nuevo en los círculos de política tecnológica: empresas como Google, Microsoft, Amazon y Meta no solo compiten en IA, sino que controlan las capas fundamentales sobre las que cualquier otro actor —startups, gobiernos, instituciones académicas— debe construir. Computación en la nube, datos de entrenamiento, talento especializado y acceso a chips de alta performance son recursos concentrados en pocas manos.

    Qué significa “monopolio de IA” más allá del debate en Washington

    La concentración de la IA no es un problema exclusivamente estadounidense. Para América Latina, la dependencia de infraestructura y modelos desarrollados por corporaciones con sede en Estados Unidos representa una vulnerabilidad regulatoria concreta. Los gobiernos de la región carecen, en general, de capacidad de auditoría sobre los sistemas que adquieren o despliegan, y los marcos de contratación pública no contemplan aún cláusulas de portabilidad de modelos ni obligaciones de transparencia algorítmica frente a proveedores dominantes. En este escenario, si un país latinoamericano digitaliza su sistema de salud, su infraestructura fiscal o su aparato judicial apoyándose en modelos de un solo proveedor hiperscaler, la dependencia tecnológica se convierte en dependencia política.

    El AI Act europeo y la asimetría regulatoria que LATAM no puede ignorar

    La Unión Europea avanzó con el AI Act —en vigor desde agosto de 2024 en sus disposiciones principales— que contempla obligaciones específicas para modelos de propósito general con impacto sistémico, apuntando directamente a los grandes jugadores. La lógica regulatoria europea reconoce que ciertos modelos, por su escala, requieren un tratamiento diferencial que va más allá de la evaluación de riesgos por caso de uso. América Latina no tiene un instrumento equivalente. Brasil está avanzando en su proyecto de ley de inteligencia artificial (PL 2.338/2023), que contempla disposiciones sobre sistemas de alto riesgo y transparencia, pero aún no aborda de manera explícita la concentración de mercado como riesgo sistémico. México cuenta con lineamientos del IFT sobre IA aplicada a telecomunicaciones, y Colombia publicó su política de IA en 2019 actualizada en 2022, aunque ninguno de estos marcos regula el poder de mercado en IA de forma directa.

    Por qué la vigilancia corporativa es el eje del debate, no solo el poder de mercado

    El título de la audiencia incluye explícitamente la palabra “surveillance” —vigilancia— como dimensión del monopolio. Esto no es accidental. La lógica de negocio de las plataformas dominantes en IA se apoya en la acumulación de datos a escala masiva: datos de comportamiento, de contenido generado por usuarios, de transacciones y, cada vez más, de interacciones con sistemas de IA conversacional. Esa acumulación crea una ventaja competitiva autorreinforciante que ningún actor regional puede replicar. Para reguladores de países como Argentina —cuya Agencia de Acceso a la Información Pública (AAIP) tiene competencia sobre datos personales bajo la Ley 25.326— o Colombia —con la Superintendencia de Industria y Comercio como autoridad de protección de datos—, la pregunta relevante es si las herramientas de privacidad son suficientes para abordar un problema que también es de competencia económica.

    PL 2.338/2023 de Brasil y la oportunidad de incorporar cláusulas anticoncentración

    Brasil tiene la ventana legislativa más concreta de la región para actuar. El PL 2.338/2023, que define un marco de riesgos para sistemas de IA, sigue en proceso parlamentario y ha recibido múltiples enmiendas. Organizaciones de sociedad civil brasileña han impulsado incorporar lenguaje sobre poder de mercado y acceso equitativo a infraestructura de IA, pero según se informó, estas propuestas no han logrado aún consenso suficiente en el Senado. La experiencia del Monopoly Busters Caucus en Estados Unidos —aunque sin fuerza legislativa directa— ofrece un argumento político adicional para quienes dentro del Congreso brasileño buscan blindar la ley contra la captura regulatoria por parte de los mismos actores que se pretende regular.

    Nuestro análisis

    La comparecencia de Kak ante el Monopoly Busters Caucus es relevante para LATAM no por lo que diga el Congreso de Estados Unidos, sino por el marco conceptual que instala: la concentración de IA es un problema de poder, no solo de tecnología. Mientras el debate regional sigue anclado en categorías de riesgo por caso de uso —modelos que discriminan en crédito, sistemas de reconocimiento facial en seguridad pública—, la capa de infraestructura permanece fuera del escrutinio regulatorio. Un país que aprueba una ley de IA sin abordar quién controla los modelos fundacionales y los datos de entrenamiento habrá legislado sobre la capa visible mientras deja intacta la capa de poder real. La región necesita reguladores con competencias cruzadas entre privacidad, competencia económica y IA —algo que hoy ningún país latinoamericano tiene de manera integrada. La pregunta que deberían hacerse los legisladores en Brasilia, Ciudad de México y Buenos Aires no es solo “¿cómo regulamos la IA?” sino “¿a quién protege esa regulación si no toca la concentración de mercado?”

    Legislar la IA sin tocar la concentración de infraestructura no es regulación: es decoración normativa sobre un poder que ya está consolidado.

  • California SB 976: la ley de feeds adictivos que también viola derechos de adolescentes

    California SB 976: la ley de feeds adictivos que también viola derechos de adolescentes

    Una ley californiana que prohíbe a adolescentes recibir contenido recomendado por otros usuarios de redes sociales sin el permiso previo de sus padres enfrenta una nueva línea de impugnación constitucional: la Electronic Frontier Foundation (EFF) argumentó ante el Noveno Circuito de Apelaciones que la SB 976 no solo restringe los derechos de las plataformas, sino también los de los propios jóvenes usuarios. Si el tribunal acoge el argumento, el fallo podría redefinir cómo los estados diseñan regulaciones de protección de menores en internet sin colisionar con la Primera Enmienda.

    El caso Meta v. Bonta venía siendo discutido principalmente desde el ángulo de los servicios digitales: si California puede obligar a las plataformas a modificar sus algoritmos de recomendación cuando el usuario es menor de edad. La SB 976, promulgada en 2024, exige que los adolescentes cuenten con autorización parental antes de que sus feeds muestren contenido sugerido por otros usuarios. La discusión jurídica inicial se centró en si esa restricción viola el derecho de las plataformas a curar y presentar contenido generado por terceros según su criterio editorial.

    La EFF, CDT y Wikimedia: el brief que invierte el eje del debate

    El amicus curiae presentado por la EFF junto al Center for Democracy & Technology y la Wikimedia Foundation desplazó el centro de gravedad del litigio. El argumento central es que los sistemas de recomendación tienen una función dual en redes sociales: ayudan a los usuarios a descubrir el discurso de otros y, al mismo tiempo, permiten que su propio contenido llegue a una audiencia más amplia. Restringir esa función sin consentimiento parental equivale, según el brief, a imponer cargas sustanciales sobre la capacidad de los jóvenes de leer, comentar, distribuir y recibir discurso protegido constitucionalmente. El documento menciona expresamente el impacto sobre actividades como seguir noticias, debatir política, compartir arte, expresar creencias religiosas o conectar con comunidades de fe.

    El argumento no es menor: si el Noveno Circuito acepta que los menores de edad son titulares plenos de derechos de expresión afectados por SB 976, el estándar de escrutinio aplicable sube. Una ley que impone cargas amplias sobre el discurso debe superar un test de proporcionalidad estricto, lo que hace mucho más difícil su supervivencia constitucional.

    Qué propone la EFF como alternativa regulatoria viable

    La EFF no objeta que California legisle para proteger a los menores en internet; objeta que lo haga de esta forma. En su brief, la organización esboza un camino alternativo: leyes que exijan a los servicios minimizar la recolección de datos, limitar prácticas de análisis invasivo —rastreo entre plataformas, análisis de pulsaciones de teclas, vigilancia intensiva de comportamiento— y restringir el uso de esos datos para construir perfiles de usuarios. Ese tipo de norma apuntaría directamente al modelo de negocio basado en vigilancia que, según la EFF, es la causa real del daño, y sería más estrecha en su alcance que una prohibición general de contenido recomendado.

    El mapa regulatorio en LATAM: menores, algoritmos y escasez de precedentes

    América Latina observa el caso con interés propio. Brasil aprobó en 2024 restricciones al uso de redes sociales por menores de 14 años mediante la Ley 14.811, que también toca la responsabilidad de las plataformas por contenidos algorítmicos dañinos; su reglamentación sigue en construcción y enfrenta tensiones similares sobre libertad de expresión digital. En Colombia, la Ley 2300 de 2023 limitó el uso de dispositivos en entornos escolares pero no reguló algoritmos de recomendación. Argentina no cuenta con legislación específica sobre feeds algorítmicos para menores: la Ley 26.061 de protección integral de niñas, niños y adolescentes no contempla el entorno digital, y los intentos legislativos de actualización no han prosperado. México, por su parte, no tiene aún una norma equivalente a SB 976, aunque la discusión sobre redes sociales y menores se ha activado en el Congreso desde 2023.

    El patrón regional es claro: los legisladores latinoamericanos están siguiendo de cerca el modelo californiano como referencia, pero el litigio Meta v. Bonta podría mostrar que copiar ese modelo sin adaptarlo acarrea riesgos constitucionales propios. Las constituciones de Brasil (artículo 5), Argentina (artículos 14 y 32) y México (artículo 6) protegen la libertad de expresión con un alcance que, si bien no es idéntico al de la Primera Enmienda estadounidense, ha sido interpretado por sus tribunales como aplicable al entorno digital.

    Qué monitorear: el fallo del Noveno Circuito y su efecto de irradiación

    El Noveno Circuito aún no tiene fecha de fallo. Lo que se resuelva en Meta v. Bonta tendrá consecuencias que van más allá de California: al menos doce estados estadounidenses tienen normas similares o en trámite legislativo, y todas podrían verse afectadas por el precedente. Para los equipos legales de plataformas con operaciones en América Latina, el resultado marcará si la estrategia regulatoria global puede seguir apoyándose en controles de feeds algorítmicos o si deben migrar hacia arquitecturas de privacidad por diseño centradas en la recolección de datos.

    Nuestro análisis: la SB 976 equivocó el instrumento, no el objetivo

    El argumento de la EFF es técnicamente sólido y políticamente incómodo para los impulsores de la ley. SB 976 partió de un diagnóstico correcto —los algoritmos de recomendación pueden ser dañinos para adolescentes— pero eligió un instrumento regulatorio que interviene en el flujo del discurso en lugar de atacar la infraestructura de datos que lo hace posible. Esa distinción importa: una ley que restringe qué contenido ves es mucho más vulnerable constitucionalmente que una ley que restringe cuánto saben de ti. La alternativa que propone la EFF —minimización de datos, restricción de rastreo entre servicios, limitación de análisis de comportamiento— es, además, más alineada con el marco conceptual del GDPR europeo y con la dirección que toman las reformas de privacidad en América Latina bajo influencia del modelo de Bruselas. Si el Noveno Circuito invalida SB 976, la señal para la región debería leerse no como “no regulen algoritmos” sino como “regulen los datos que los alimentan”.

    La pregunta que queda abierta para legisladores en Buenos Aires, Bogotá, Ciudad de México y Brasilia es cuál de los dos caminos están dispuestos a recorrer: el que es políticamente visible a corto plazo o el que tiene mayor probabilidad de sobrevivir un control judicial riguroso.

  • Congreso de EE.UU. presiona por regulación de IA: qué significa para LATAM

    Congreso de EE.UU. presiona por regulación de IA: qué significa para LATAM

    El Congreso de Estados Unidos está canalizando un creciente rechazo bipartidista hacia la ausencia de controles federales sobre inteligencia artificial, en una tensión directa con la postura desregulatoria de la administración Trump. Para América Latina, donde varios países tienen marcos de IA en etapa de borrador o consulta pública, el desenlace de ese debate importa más de lo que parece: los estándares que se consoliden en Washington tienden a convertirse en referencia obligada para reguladores de la región.

    Según se informó, Amba Kak, co-directora ejecutiva del AI Now Institute, describió el momento actual como “una oportunidad política realmente importante y una ventana de política” —una apertura que los defensores de la regulación buscan aprovechar antes de que el impulso legislativo se diluya. El contexto es el siguiente: la administración Trump impulsó desde el inicio de su gestión una agenda de desregulación en IA, revocando directivas del gobierno anterior y apostando por la competencia tecnológica como principio rector. Pero esa estrategia está chocando con resistencia dentro del propio sistema político estadounidense.

    La fractura en el Congreso y la ausencia de una ley federal de IA en EE.UU.

    Estados Unidos carece hasta hoy de una ley federal integral de inteligencia artificial. A diferencia de la Unión Europea, que promulgó el AI Act con un esquema de riesgos escalonados, Washington opera con un patchwork de regulaciones sectoriales —en salud, finanzas, derechos civiles— sin un paraguas normativo unificado. El creciente malestar legislativo que describe el AI Now Institute refleja una frustración acumulada: los congresistas reciben presión de sus distritos por casos concretos de daño algorítmico —discriminación en crédito, sesgos en sistemas penales, deepfakes electorales— y no tienen un instrumento federal para responder. Esa brecha es la que los impulsores de guardarraíles quieren cerrar.

    El AI Act europeo como espejo: qué adoptó y qué rechazó América Latina

    Mientras el debate estadounidense se traba entre el ejecutivo y el legislativo, América Latina avanza —con distinta velocidad— en sus propios marcos. Brasil es el caso más avanzado: el Proyecto de Ley 2338/2023, aprobado por el Senado y en revisión en la Cámara de Diputados, adopta explícitamente el enfoque de riesgo del AI Act europeo y contempla obligaciones de transparencia, evaluaciones de impacto y un rol activo de la Autoridade Nacional de Proteção de Dados (ANPD) como autoridad competente en los cruces entre IA y datos personales. La ANPD ya publicó notas técnicas sobre IA generativa en el marco de la LGPD.

    En Colombia, el MinTIC presentó en 2023 una política nacional de IA y existe un proyecto de ley en discusión, aunque sin fechas de aprobación firmes. Chile, por su parte, trabaja en un proyecto de ley de IA que complementa su reforma constitucional de protección de datos, aún en trámite parlamentario. México no cuenta con legislación específica de IA a nivel federal, aunque el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) —hoy en proceso de reestructuración bajo la reforma al Poder Judicial— emitió recomendaciones no vinculantes sobre uso de IA en tratamiento de datos personales bajo la LFPDPPP.

    Por qué el resultado del debate en Washington afecta a reguladores en Buenos Aires, Bogotá y Ciudad de México

    La influencia de EE.UU. sobre la regulación tecnológica en LATAM opera por dos vías. La primera es directa: las empresas de tecnología con mayor presencia en la región —Google, Meta, Microsoft, Amazon— son de origen estadounidense y adaptan sus productos y políticas de cumplimiento según el marco regulatorio de su país de origen. Si Washington adopta guardarraíles concretos —obligaciones de auditoría, requisitos de etiquetado de contenido generado por IA, mecanismos de rendición de cuentas—, esas exigencias se trasladan operativamente a sus subsidiarias y proveedores en la región. La segunda vía es normativa: los organismos internacionales donde participan países latinoamericanos —OCDE, UNESCO, OEA— toman nota de los movimientos regulatorios de las potencias y los incorporan a sus recomendaciones. La Recomendación de la OCDE sobre IA, que varios países de la región han suscripto, ya establece principios que convergen con el debate actual en el Congreso estadounidense.

    Qué monitorear en los próximos 90 días: hitos legislativos y señales de Brasilia y Bogotá

    Para equipos de compliance y asuntos regulatorios con operaciones en América Latina, los próximos meses presentan varios hitos concretos a seguir:

    • Avance del PL 2338/2023 en la Cámara de Diputados de Brasil: cualquier modificación al artículo sobre sistemas de alto riesgo y al rol de la ANPD redefinirá las obligaciones de los principales proveedores de IA en el mercado más grande de la región.
    • Presentación o archivo de proyectos de ley de IA en Colombia y Chile antes del cierre de los períodos legislativos de 2025, que marcarán si la región acelera o frena su convergencia con el modelo europeo.
    • Posición del Comité de Ciencia, Espacio y Tecnología del Congreso de EE.UU. frente a posibles audiencias sobre daños de IA: si se producen, generarán jurisprudencia política con efecto irradiador.
    • Resoluciones de la ANPD de Brasil sobre IA generativa y datos de entrenamiento, que podrían anticipar criterios de enforcement aplicables a modelos de lenguaje operando bajo la LGPD.

    Nuestro análisis

    La narrativa de que la regulación de IA es un asunto exclusivamente europeo —y que Washington y LATAM simplemente observan— está quedando obsoleta. El malestar legislativo en el Congreso de EE.UU. muestra que incluso en el ecosistema más favorable a la desregulación existen límites políticos a la ausencia total de controles. Para la región, eso es relevante por una razón operativa: las empresas que ya están implementando sistemas de gestión de riesgos de IA compatibles con el AI Act europeo o con el borrador brasileño no necesitarán reinventar su arquitectura de cumplimiento si Washington eventualmente converge hacia estándares similares. Las que apostaron por la inacción podrían enfrentar una doble adaptación simultánea —regulación local más estándar de EE.UU.— en un plazo más corto del que anticipaban.

    La ventana regulatoria que el AI Now Institute identifica en Washington no es solo un fenómeno político estadounidense: es el momento en que los equipos de regulación corporativa en LATAM deberían estar revisando sus mapas de riesgo de IA, no esperando a que el texto definitivo llegue firmado.