DataTrends LATAM

Etiqueta: Normativa

  • Sin árbitro: por qué la IA avanza sin freno regulatorio en EE.UU.

    Sin árbitro: por qué la IA avanza sin freno regulatorio en EE.UU.

    La administración Trump ha descartado activamente cualquier marco federal de regulación para la inteligencia artificial, y esa postura tiene una consecuencia directa: los llamados de la propia industria a “desacelerar” quedan sin ningún mecanismo institucional que los haga cumplir. El resultado es un vacío donde la autorregulación voluntaria sustituye a la ley, y América Latina observa desde afuera un experimento que puede marcar el estándar global por defecto.

    Cuando las grandes compañías de tecnología piden cautela en el desarrollo de sistemas de inteligencia artificial avanzados, lo hacen generalmente bajo la premisa de que existe —o existirá— un regulador dispuesto a imponer esa cautela de forma vinculante. En Estados Unidos, esa premisa ya no se sostiene. La posición de la administración Trump es contraria a establecer reglas federales para la IA, lo que deja sin respaldo institucional los propios pedidos de freno que circulan dentro del sector. El AI Now Institute, organización de investigación con sede en Nueva York, describió esta situación como una contradicción estructural que debilita cualquier esfuerzo serio de gobernanza.

    Autorregulación sin marco: el problema que señala AI Now Institute

    Amba Kak, co-directora ejecutiva del AI Now Institute, sintetizó el problema con precisión: “Necesitamos una estructura que no dependa del permiso de esta industria para hacer su trabajo”, según se informó en la publicación del instituto. La frase apunta a algo técnicamente relevante para cualquier debate sobre gobernanza de IA: un sistema donde el regulado define los límites de la regulación no es un sistema de control, es una ficción de control. Las señales de advertencia sobre seguridad en IA —provenientes tanto de investigadores independientes como de ejecutivos de las propias compañías— se acumulan en un contexto donde el gobierno federal estadounidense no tiene ni la voluntad política ni la arquitectura normativa para actuar sobre ellas.

    Esta dinámica no es nueva, pero se vuelve más aguda a medida que los sistemas de IA se despliegan en infraestructura crítica, decisiones judiciales, selección de crédito y diagnósticos médicos. La ausencia de una agencia federal con mandato claro sobre IA en EE.UU. contrasta con la Unión Europea, donde el AI Act —el Reglamento (UE) 2024/1689, en vigor desde agosto de 2024— establece categorías de riesgo, obligaciones de transparencia y sanciones de hasta 35 millones de euros o el 7% de la facturación global anual para los sistemas de mayor riesgo.

    Cuándo aplica este vacío / cuándo NO

    El vacío regulatorio estadounidense aplica de forma directa a los sistemas de IA desarrollados y comercializados desde EE.UU. sin presencia operativa relevante en jurisdicciones con regulación propia. No aplica, en cambio, cuando esos mismos sistemas se despliegan en la Unión Europea —donde el AI Act rige por el principio de efecto territorial— ni cuando se usan en el tratamiento de datos personales de ciudadanos europeos, caso en que el RGPD impone restricciones adicionales sobre el uso de decisiones automatizadas. Para América Latina, el margen de maniobra depende del país: Brasil tiene la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) y avanza en un proyecto de ley específico de IA; México cuenta con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), aunque sin un marco sectorial de IA; Argentina tramita en el Congreso un proyecto de regulación de sistemas de inteligencia artificial que no ha alcanzado sanción legislativa.

    El riesgo del estándar por defecto: cómo EE.UU. exporta sus ausencias

    Cuando la economía más grande del mundo no regula una tecnología, no produce un vacío local: produce un estándar exportable. Las empresas de IA con sede en EE.UU. que operan en América Latina traen consigo las prácticas —y las ausencias de control— que son toleradas en su jurisdicción de origen. Esto es especialmente relevante para sectores como el financiero y el de recursos humanos, donde herramientas de scoring algorítmico y selección automatizada de candidatos ya están en uso en la región sin que existan marcos nacionales que obliguen a auditorías de sesgo, explicabilidad de decisiones o registros de impacto. El AI Act europeo, por contraste, exige evaluaciones de conformidad previas al despliegue para sistemas de alto riesgo en esas mismas categorías.

    La posición de AI Now y su relevancia para el debate regulatorio regional

    El AI Now Institute es una de las organizaciones de referencia en investigación crítica sobre políticas de inteligencia artificial. Su postura —que los mecanismos de control de la IA no pueden depender del consentimiento de la industria para funcionar— tiene implicancias directas para los legisladores latinoamericanos que hoy discuten sus propios marcos normativos. El argumento técnico es simple: la autorregulación puede ser un complemento de la regulación estatal, pero no su sustituto. Sin un organismo con capacidad sancionatoria, mandato legal y autonomía presupuestaria respecto de la industria regulada, los compromisos voluntarios de las compañías tienen el peso de una declaración de intenciones. En Brasil, la Autoridade Nacional de Proteção de Dados (ANPD) ya emitió orientaciones sobre el uso de IA en el tratamiento de datos personales; en Argentina, la Agencia de Acceso a la Información Pública (AAIP) tiene competencia sobre decisiones automatizadas bajo el marco de la Ley 25.326, aunque su alcance es limitado frente a sistemas de IA complejos.

    Para los países de la región que aún tienen sus marcos de IA en etapa de diseño, la pregunta no es si regular o no: es si el organismo que resulte del proceso tendrá dientes propios o necesitará el permiso de la industria para usarlos. La publicación completa del AI Now Institute está disponible en ainowinstitute.org.

  • La apuesta billonaria de la IA: qué dicen los modelos económicos sobre el riesgo

    La apuesta billonaria de la IA: qué dicen los modelos económicos sobre el riesgo

    Economistas y analistas debaten si la inversión de billones de dólares en infraestructura de inteligencia artificial se traducirá en productividad real o en la mayor destrucción de capital de la historia tecnológica reciente. La pregunta no es académica: los flujos de inversión ya están comprometidos, y los marcos jurídicos que regulan esa apuesta apenas empiezan a tomar forma.

    Cuando Jessica Wachter, profesora de finanzas de la Universidad de Pensilvania, intentó modelar el impacto económico de la inteligencia artificial en los próximos años, según se informó, encontró que los escenarios divergen de forma radical según un único supuesto: si los sistemas de IA efectivamente aumentan la productividad total de los factores de producción o si simplemente reemplazan tareas sin generar valor agregado neto. Ese condicional —todavía sin respuesta empírica sólida— es el corazón de lo que analistas llaman “la apuesta billonaria”.

    Dónde se concentra el riesgo: infraestructura, energía y deuda corporativa

    Las grandes plataformas tecnológicas han comprometido inversiones que, sumadas, superan el billón de dólares en centros de datos, chips de alta performance y redes eléctricas dedicadas. Ese capital no es líquido: una vez construida la infraestructura, el costo hundido es casi total. Si la demanda de servicios de IA no alcanza las proyecciones —o si tecnologías alternativas desplazan los modelos de lenguaje de gran escala antes de que la inversión madure— el resultado sería una burbuja de activos físicos con muy baja posibilidad de reconversión. El paralelo histórico más cercano es el sobredimensionamiento de fibra óptica durante la burbuja punto-com de finales de los noventa, aunque la escala actual es considerablemente mayor.

    OpenAI y los datos biológicos: un frente regulatorio distinto

    En paralelo al debate macroeconómico, OpenAI habría expresado interés en acceder a grandes volúmenes de datos biológicos para entrenar modelos especializados en ciencias de la vida, según se informó. Este movimiento abre un frente regulatorio que va mucho más allá de la propiedad intelectual o la competencia de mercado: los datos biológicos son, en múltiples jurisdicciones, datos sensibles de primer orden. En la Unión Europea, el Reglamento General de Protección de Datos (RGPD) los clasifica como categoría especial; en Brasil, la Lei Geral de Proteção de Dados (LGPD) los incluye explícitamente en su artículo 11 como datos sensibles con restricciones de tratamiento reforzadas. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) también establece un régimen diferenciado para datos de salud.

    El cruce entre modelos de lenguaje y datos biológicos activa, además, el debate sobre la aplicación del AI Act europeo a sistemas de IA de alto riesgo en el ámbito médico y científico. Bajo esa regulación, cualquier sistema que tome decisiones con impacto en la salud humana queda sujeto a requisitos de transparencia, auditoría y evaluación de conformidad que hoy ningún modelo de propósito general cumple de forma nativa.

    Cuándo aplica el marco legal de IA y cuándo no

    El AI Act europeo —vigente desde agosto de 2024 con plazos de implementación escalonados— clasifica como “alto riesgo” los sistemas que intervienen en diagnóstico médico, gestión de infraestructura crítica o decisiones con efecto jurídico sobre personas. Un modelo entrenado con datos biológicos para descubrimiento de fármacos podría no caer automáticamente en esa categoría si sus outputs no se usan directamente en decisiones clínicas. Sin embargo, la cadena de uso —del laboratorio al ensayo clínico, del ensayo a la aprobación regulatoria— hace que la frontera sea más difusa de lo que sugiere la letra de la ley. En América Latina, ningún país cuenta aún con una ley de IA equivalente al AI Act, aunque Colombia, Brasil y Chile tienen marcos de referencia no vinculantes o en proceso legislativo.

    El problema de valorar lo que aún no existe como mercado

    La dificultad de los modelos económicos para capturar el impacto de la IA radica en que buena parte del valor proyectado depende de externalidades de red y efectos de plataforma que solo se materializan cuando la adopción alcanza masa crítica. Wachter, según se informó, señaló que los modelos estándar de valoración de activos no están diseñados para capturar tecnologías con rendimientos potencialmente exponenciales pero con distribuciones de probabilidad altamente asimétricas. En términos prácticos: el escenario de alto retorno es posible, pero el escenario de pérdida masiva de capital también lo es, y ambos se parecen mucho en sus etapas tempranas.

    Para los reguladores latinoamericanos, este contexto plantea una tensión concreta: atraer inversión en infraestructura de IA —que varios países de la región están buscando activamente— mientras se construyen marcos de supervisión que no generen incertidumbre jurídica para los inversores. Brasil, con su Autoridade Nacional de Proteção de Dados (ANPD) ya operativa y un proyecto de ley de IA en el Congreso, está más cerca de resolver esa tensión que el resto de la región.

    Si la apuesta billonaria sale mal, la pregunta que enfrentarán los reguladores no será cómo frenar la IA, sino quién asume el pasivo de una infraestructura que nadie quiere y que pocos supieron supervisar a tiempo.

  • Noveno Circuito frena intento de expandir la DMCA al entrenamiento de IA

    Noveno Circuito frena intento de expandir la DMCA al entrenamiento de IA

    El Tribunal de Apelaciones del Noveno Circuito de Estados Unidos rechazó en septiembre de 2026 un intento de ampliar la Sección 1202 de la Digital Millennium Copyright Act (DMCA) para crear nueva responsabilidad legal sobre el entrenamiento de modelos de lenguaje. El fallo protege a programadores, artistas y desarrolladores independientes de una teoría que, de haber prosperado, habría convertido usos perfectamente legítimos en fuente de litigios millonarios.

    El caso giró en torno a un grupo de contribuyentes anónimos de GitHub que demandaron a OpenAI y Microsoft. Su argumento: el código generado por los LLMs de ambas compañías —entrenados con repositorios públicos de GitHub, entre miles de millones de otras obras— era similar al suyo, pero sin la información de gestión de derechos de autor (CMI, por sus siglas en inglés), es decir, sin atribución de autoría ni avisos de copyright. Los demandantes invocaron la Sección 1202 de la DMCA, que prohíbe remover intencionalmente ese tipo de información de una obra protegida.

    Qué dice la Sección 1202 de la DMCA y por qué el Noveno Circuito la leyó en sentido estricto

    La Sección 1202 fue diseñada como un mecanismo de respaldo para los derechos de autor en el entorno digital: impide que alguien tome una obra y le arranque los metadatos de identificación antes de redistribuirla. Lo que el tribunal rechazó fue extender esa lógica a un escenario distinto: el de un sistema de IA que genera código nuevo que se parece a obras preexistentes pero que, al ser una creación diferente, nunca tuvo CMI propio. El Noveno Circuito precisó que remover información de gestión de derechos de una obra existente es conceptualmente diferente de producir una obra nueva que simplemente no lleva esa información.

    La Electronic Frontier Foundation (EFF) y la organización Public Knowledge presentaron un amicus brief en el caso, argumentando exactamente esa distinción. El tribunal acogió esa posición. Según EFF, si la teoría de los demandantes hubiera prosperado, habría creado un régimen de responsabilidad que se superponía al derecho de autor tradicional pero sin sus equilibrios: sin fair use, sin umbrales claros, con daños estatutarios potencialmente devastadores para actores pequeños.

    Quiénes habrían quedado expuestos: remix, ingeniería inversa y motores de búsqueda

    EFF advirtió en su brief que la interpretación expansiva habría afectado mucho más allá de la industria de IA. Entre los casos concretos que mencionó la organización:

    • Artistas que crean remixes basados en obras anteriores.
    • Docentes que adaptan materiales para presentaciones en el aula.
    • Ingenieros que realizan ingeniería inversa de código para comprenderlo mejor.
    • Motores de búsqueda que indexan y muestran fragmentos de contenido.

    En todos esos escenarios, la obra resultante no “quita” CMI de un original: simplemente no lo replica. Pero bajo la lectura que proponían los demandantes, cualquier similitud con una obra preexistente sin atribución idéntica podría haberse convertido en un disparador de demandas con daños estatutarios cuantiosos. Las grandes corporaciones pueden litigar esos casos durante años; un desarrollador independiente, en la práctica, se ve obligado a transar aunque su uso sea completamente legal.

    Copyright de IA en América Latina: Argentina, México y Brasil frente a un vacío normativo equivalente

    El fallo del Noveno Circuito no tiene efecto directo en América Latina, pero sí marca un precedente interpretativo relevante para jurisdicciones que aún no han legislado sobre entrenamiento de IA y propiedad intelectual. Argentina, cuya Ley 11.723 de Propiedad Intelectual data de 1933 y no contempla escenarios de machine learning, carece de una respuesta clara sobre si el uso de obras protegidas como datos de entrenamiento configura infracción. México enfrenta el mismo vacío: la Ley Federal del Derecho de Autor (LFDA) no incluye excepciones específicas para minería de datos o entrenamiento de modelos, a diferencia del Text and Data Mining (TDM) exception que incorporó la Unión Europea en su Directiva de Copyright de 2019.

    Brasil es la jurisdicción más avanzada del bloque en este debate. El Projeto de Lei 2338/2023, que regula la IA en el Senado federal, incluye disposiciones sobre el uso de datos para entrenamiento, aunque sin resolver en detalle la interacción con la Lei de Direitos Autorais (Lei 9.610/1998). La ANPD, por su parte, ha comenzado a tratar el entrenamiento con datos personales desde el ángulo de la LGPD, lo que agrega una capa regulatoria que en el caso de GitHub no estuvo en juego —el código, en principio, no es dato personal— pero que en otros corpus de entrenamiento sí lo es.

    Colombia y Chile, con sus respectivos marcos de propiedad intelectual igualmente anteriores a la era de IA generativa, tampoco ofrecen una respuesta legislativa clara. En ausencia de norma específica, los tribunales locales deberán interpretarlo caso a caso, con el riesgo de resoluciones divergentes que generen incertidumbre para empresas que entrenan modelos en la región.

    Qué monitorear: el AI Act de la UE como referencia y los proyectos legislativos regionales

    La resolución del Noveno Circuito llega en un momento en que la Unión Europea ya tiene en vigor el AI Act (Reglamento 2024/1689), cuyo Artículo 53 establece obligaciones de transparencia para proveedores de modelos de propósito general: deben documentar el corpus de entrenamiento y respetar las reservas de derechos que los titulares de obras hayan declarado bajo el mecanismo opt-out del TDM. Esa arquitectura —excepción general con opt-out explícito— es el modelo más articulado disponible hoy, y varios legisladores latinoamericanos lo están mirando de cerca.

    En paralelo, OpenAI y Microsoft aún enfrentan otras demandas vinculadas al uso de contenidos de GitHub y de otras plataformas, incluyendo litigios de medios de comunicación en Estados Unidos. El fallo del Noveno Circuito cierra una puerta —la vía DMCA Sección 1202 como nuevo derecho de atribución— pero no clausura el debate sobre si el entrenamiento con obras protegidas constituye fair use bajo el derecho de autor tradicional. Ese frente sigue abierto.

    Nuestro análisis

    El Noveno Circuito tomó la decisión técnicamente correcta: la Sección 1202 de la DMCA no es, ni fue diseñada para ser, un derecho de atribución autónomo. Pero el fondo del debate no desaparece con este fallo. La pregunta de si un modelo de IA puede entrenarse con obras protegidas sin licencia ni compensación a sus autores es una de las más importantes que enfrentan los sistemas de propiedad intelectual de todo el mundo. Para América Latina, donde los marcos legales son más precarios y los ecosistemas de desarrolladores independientes más vulnerables, la ausencia de una excepción TDM clara —como la que tiene la UE— deja a los actores locales en una posición de desventaja estructural frente a las grandes plataformas globales que ya operan bajo reglas más definidas.

    Mientras los congresos de la región no legiferen sobre minería de datos y entrenamiento de IA, serán los tribunales —con criterios heterogéneos y marcos normativos del siglo pasado— quienes decidan qué es legal construir en América Latina.

  • El Quinto Circuito de EE.UU. confirma que enlazar contenido ajeno no viola el copyright

    El Quinto Circuito de EE.UU. confirma que enlazar contenido ajeno no viola el copyright

    El Tribunal de Apelaciones del Quinto Circuito de Estados Unidos estableció que insertar enlaces a contenido protegido por derechos de autor no constituye infracción directa, porque el sitio que enlaza no transmite ni controla el material. El fallo, dictado en el caso Emmerich Newspapers v. Particle Media, preserva una práctica que sostiene la arquitectura funcional de la web.

    El razonamiento de fondo es simple pero con consecuencias amplias: quien apunta el navegador de un usuario hacia un archivo que reside en un servidor externo no es quien transmite ese contenido. La transmisión la ejecuta el servidor de origen. Por lo tanto, la responsabilidad directa por infracción de copyright recae sobre quien controla ese servidor, no sobre quien publica el enlace o lo incrusta. El tribunal formuló un nuevo criterio para llegar a esa conclusión, aunque el resultado práctico coincide con la doctrina anterior conocida como server test.

    El caso Emmerich: un diario regional que quiso redefinir el embedding

    Emmerich Newspapers, un grupo de publicaciones regionales de Mississippi, demandó a Particle Media, un agregador de noticias que publicaba enlaces a sus artículos. El argumento de Emmerich era que al mostrar esos vínculos —posiblemente con fragmentos o previsualizaciones— el agregador estaba “exhibiendo” obras protegidas y debía responder como infractor directo. La Electronic Frontier Foundation (EFF), junto con otras organizaciones de interés público y asociaciones comerciales, presentó un amicus brief ante el tribunal pidiendo que rechazara esa teoría, en línea con lo resuelto por otros circuitos federales.

    El Quinto Circuito descartó el argumento de Emmerich. Si bien el tribunal no adoptó formalmente el server test —la regla que por dos décadas determinó que la responsabilidad recae en quien aloja el contenido—, formuló su propio criterio centrado en quién realiza la transmisión. Bajo ese análisis, dirigir el navegador de un usuario para que solicite y reciba una copia del material desde los servidores del propio titular del copyright no equivale a transmitir ni comunicar ese contenido.

    “Although we take different routes to get there, both the server test and the test we announce end up in a similar place: a website cannot transmit a work that it does not have.”

    — Tribunal de Apelaciones del Quinto Circuito de EE.UU., fallo en Emmerich Newspapers v. Particle Media, septiembre de 2026

    Qué habría pasado si el tribunal adoptaba la tesis de Emmerich

    Si el Quinto Circuito hubiera aceptado que enlazar equivale a “exhibir” una obra protegida, el impacto sobre la web habría sido inmediato y profundo. Cualquier sitio que incruste una imagen, un video o un artículo periodístico habría quedado expuesto a demandas por infracción directa, sin importar que el contenido siguiera alojado en servidores del titular original. La EFF advirtió al tribunal que esa interpretación convertiría el embedding en una actividad legalmente riesgosa que muchos operadores de plataformas simplemente evitarían, con el consiguiente daño a la circulación de información en internet. Agencias de noticias, blogs, medios regionales y redes académicas dependen de esa capacidad de enlazar para funcionar.

    Emmerich también argumentó que los URLs de sus artículos constituían información de gestión de derechos de autor (copyright management information, CMI) bajo la Ley de Derechos de Autor del Milenio Digital (DMCA), y que el agregador había violado esa norma al mostrar los enlaces sin autorización. El tribunal rechazó también esa lectura, según se informó en el fallo.

    Cuándo aplica este criterio y cuándo NO

    El nuevo test del Quinto Circuito protege la práctica de enlazar e incrustar contenido cuando el material sigue residiendo en el servidor del titular del copyright y es ese servidor quien lo entrega al usuario final. El criterio no protege a quien copia y aloja el contenido en sus propios servidores sin autorización: en ese caso sí existe transmisión directa y la responsabilidad por infracción se activa. Tampoco cubre situaciones donde el embedding se usa para eludir sistemas de pago o acceso restringido, ni los casos donde la incrustación implica alguna forma de reproducción o almacenamiento intermedio. El fallo resuelve la disputa para jurisdicciones bajo el Quinto Circuito, pero la doctrina es coherente con lo que otros circuitos federales han sostenido durante años.

    Relevancia para plataformas y medios en América Latina

    Aunque el fallo es vinculante solo en Estados Unidos, tiene peso persuasivo para jurisdicciones latinoamericanas que aún no tienen jurisprudencia consolidada sobre embedding y derechos de autor digitales. En México, la Ley Federal del Derecho de Autor no contempla expresamente el embedding; en Brasil, la Lei de Direito Autoral (Lei n.º 9.610/1998) tampoco lo define con precisión, y el marco regulatorio de la IA generativa —aún en debate en el Congreso— podría incorporar discusiones similares sobre reproducción técnica y transmisión. En Argentina, la Ley 11.723 de Propiedad Intelectual data de 1933 y sus adaptaciones al entorno digital son escasas. Para medios, agregadores de noticias y plataformas de contenido con operaciones en la región, el razonamiento del Quinto Circuito ofrece un argumento técnico útil: el acto de enlazar no implica posesión ni control del contenido enlazado, y esa distinción debería replicarse en cualquier análisis de responsabilidad bajo derecho local.

    La distinción entre “transmitir” y “dirigir” también es relevante para el sector de medios digitales latinoamericano, que ha visto surgir tensiones entre publicaciones tradicionales y agregadores o motores de búsqueda —un conflicto que en España derivó en la llamada tasa Google y en Brasil está siendo monitoreado de cerca por la Agência Nacional de Telecomunicações (Anatel) y el debate en torno a la regulación de plataformas.

    El texto completo del fallo está disponible en el sitio del Quinto Circuito de Apelaciones (ca5.uscourts.gov, caso 25-60550); quienes diseñen políticas de contenido o términos de uso para plataformas con presencia en la región deberían revisarlo junto con el amicus brief de la EFF, que sistematiza los argumentos técnicos y jurídicos con mayor detalle.

  • Flock Safety y el fin de la rendición de cuentas en la vigilancia vehicular

    Flock Safety y el fin de la rendición de cuentas en la vigilancia vehicular

    Un informe de la Electronic Frontier Foundation revela que policías en Estados Unidos registran justificaciones como “LOL”, “LMAO” o “Sexy” al consultar la red de lectores automáticos de patentes de Flock Safety. El hallazgo expone una falla sistémica de accountability en el uso de tecnología de vigilancia masiva —y tiene implicancias directas para los debates legislativos sobre ALPR que se están abriendo en América Latina.

    Los lectores automáticos de patentes —conocidos como ALPR, por sus siglas en inglés— son cámaras fijas o móviles que capturan, registran y cruzan matrículas vehiculares en tiempo real con bases de datos policiales. Flock Safety es la empresa que opera la red privada más extendida de este tipo en Estados Unidos, con contratos activos en miles de jurisdicciones. El sistema exige que los agentes ingresen un motivo antes de consultar el historial de movimiento de un vehículo. Según el reporte de la EFF, ese requisito se está cumpliendo en la forma pero no en el fondo: las justificaciones ingresadas carecen de sentido operativo y, en muchos casos, son abiertamente burlonas.

    El problema del log vacío: cuando el dato existe pero el control no

    La arquitectura de Flock registra cada consulta. En teoría, eso debería garantizar trazabilidad y rendición de cuentas. En la práctica, un campo de texto libre sin validación ni supervisión posterior convierte el log en papel mojado. La EFF documentó registros con entradas como “LOL”, “LMAO” y términos que no tienen ningún vínculo con una investigación legítima. El sistema técnico funciona; el marco de control humano, no. Esta distinción es central: la vigilancia masiva no se vuelve legítima por el solo hecho de dejar un rastro si ese rastro no es revisado por nadie con autoridad para sancionarlo.

    Texas y Florida intentan poner límites a los ALPR —con resultados dispares

    El mismo número del boletín EFFector reporta que Texas y Florida están revisando sus marcos normativos sobre ALPR, según se informó. Ambos estados ilustran la tensión típica del ciclo regulatorio en tecnología de vigilancia: la adopción policial precede a la regulación por años, y cuando el legislador reacciona, lo hace ante hechos consumados y contratos vigentes difíciles de deshacer. Este patrón —adopción acelerada, regulación tardía y fragmentada— es exactamente el que están replicando varios países de América Latina.

    ALPR en LATAM: Brasil, Argentina y Colombia frente al vacío normativo

    En Brasil, el uso de ALPR por fuerzas de seguridad estaduales no tiene regulación federal específica. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) aplica en principio al tratamiento de datos personales —y la matrícula vinculada a un conductor es dato personal bajo ese marco—, pero la exención para actividades de seguridad pública del artículo 4° genera una zona gris amplia. En Argentina, la Ley 25.326 de Protección de los Datos Personales tampoco contempla explícitamente los sistemas ALPR; la Agencia de Acceso a la Información Pública (AAIP) no ha emitido lineamientos específicos sobre este tipo de tecnología. Colombia cuenta con la Ley 1581 de 2012 y sus decretos reglamentarios, pero la Superintendencia de Industria y Comercio tampoco ha abordado el uso policial de ALPR de manera directa. En los tres casos, la ausencia de regulación sectorial significa que no existe obligación formal de registrar el motivo de cada consulta, ni mecanismo de auditoría independiente.

    Cuándo aplica el principio de finalidad —y cuándo no alcanza

    El principio de finalidad —presente en la LGPD, la Ley 25.326 y los marcos inspirados en el Convenio 108 del Consejo de Europa— establece que los datos solo pueden usarse para el propósito que justificó su recolección. En teoría, ese principio debería prohibir que un agente consulte el historial de movimiento de un vehículo sin una causa investigativa concreta. En la práctica, el principio de finalidad es difícil de hacer cumplir sin tres elementos que suelen faltar: un log auditado, una autoridad con capacidad de inspección técnica, y sanciones disuasivas para el uso indebido. El caso Flock demuestra que el log existe pero no se audita. Los marcos latinoamericanos, en la mayoría de los casos, ni siquiera tienen el log.

    El acuerdo con Meta y la vigilancia corporativa como telón de fondo

    El mismo boletín de la EFF cubre un acuerdo de Meta que, según la organización, institucionaliza prácticas de vigilancia en lugar de corregirlas, según se informó. El dato importa porque sitúa el caso Flock en un contexto más amplio: la vigilancia masiva —sea estatal vía ALPR o corporativa vía plataformas— comparte una lógica común. Los datos se recopilan a escala, los controles son débiles o simbólicos, y cuando hay consecuencias legales, suelen llegar demasiado tarde para los afectados.

    Para quien diseña política pública o audita el uso de tecnología en seguridad, la pregunta que deja el informe de la EFF no es si los agentes deben justificar sus consultas —deben hacerlo—, sino quién verifica que esa justificación sea real y qué ocurre cuando no lo es. En América Latina, ningún país tiene hoy una respuesta clara a esa pregunta para los sistemas ALPR. El texto completo del informe de la EFF está disponible en eff.org.

  • El acuerdo de Meta con 52 estados puede silenciar el activismo juvenil en redes

    El acuerdo de Meta con 52 estados puede silenciar el activismo juvenil en redes

    Meta llegó a un acuerdo con 52 estados y territorios de Estados Unidos que impondrá límites diarios de dos horas, restricciones de contenido y verificación de edad para menores de 18 años en Instagram y Facebook. La Electronic Frontier Foundation advierte que estas medidas, presentadas como protección infantil, pueden desmantelar décadas de activismo juvenil digital — y su alcance normativo ya presiona a plataformas como TikTok y YouTube.

    El acuerdo, sellado mediante un fallo de consentimiento judicial, es uno de los movimientos regulatorios más amplios sobre redes sociales y menores en la historia reciente de Estados Unidos. Más allá de la retórica del bienestar infantil, el texto del acuerdo —ejecutado con la participación de fiscales generales de todo el país— instala una arquitectura de control que afecta directamente la capacidad de jóvenes menores de edad de organizarse, publicar y comunicarse en tiempo real.

    Dos décadas de organización juvenil en redes: de Parkland a Fridays for Future

    Jóvenes de entre 14 y 17 años han utilizado Instagram, Facebook, TikTok y YouTube como infraestructura política durante más de una década. Las movilizaciones estudiantiles tras el tiroteo en Parkland en 2018, las huelgas climáticas de Fridays for Future coordinadas globalmente y las protestas contra la brutalidad policial —documentadas en tiempo real— son ejemplos concretos de ese uso. En 2021, Darnella Frazier tenía 17 años cuando publicó en Facebook el video del asesinato de George Floyd, material que resultó decisivo en el juicio posterior. Esa capacidad de transmitir evidencia en tiempo real, desde un teléfono, por una menor de edad, quedaría severamente limitada bajo el nuevo esquema.

    El acuerdo con Meta fija un límite diario de dos horas de uso para cuentas de menores, junto con restricciones de contenido no especificadas en la fuente pero incluidas en el texto del fallo de consentimiento. Además, obliga a Meta a incorporar mecanismos de verificación de edad —age gating— en cada producto, y genera presión indirecta sobre plataformas que no son parte del acuerdo, como TikTok y YouTube, para adoptar medidas equivalentes.

    Age gating: qué significa en la práctica para un menor en Argentina, Brasil o México

    La verificación de edad no es un debate nuevo en América Latina. Argentina, Brasil y México cuentan con marcos normativos que abordan el tratamiento de datos de menores, aunque desde ángulos distintos. En Argentina, la Ley 25.326 y su decreto reglamentario exigen consentimiento parental para el tratamiento de datos de menores, y la Agencia de Acceso a la Información Pública (AAIP) ha emitido disposiciones sobre el punto. En Brasil, la Lei Geral de Proteção de Dados (LGPD) y la Lei 14.811 —promulgada en 2024— refuerzan la protección de niñas, niños y adolescentes en entornos digitales, incluyendo requisitos de verificación de edad para plataformas. En México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) no tiene aún una regulación específica equivalente, aunque el proyecto de reforma a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) contempla capítulos sobre menores.

    El problema práctico del age gating es que requiere verificar identidad. Para hacerlo de forma efectiva, las plataformas deben recopilar más datos personales —documentos, datos biométricos, información de los tutores— no menos. Esa paradoja no es menor: el instrumento diseñado para proteger la privacidad de los menores puede terminar incrementando la superficie de exposición de sus datos.

    Cuándo aplica el acuerdo y cuándo no

    El acuerdo Meta-estados aplica directamente a Instagram y Facebook bajo jurisdicción estadounidense. No tiene efecto jurídico directo en plataformas que operan bajo otras jurisdicciones, ni vincula automáticamente a TikTok o YouTube. Sin embargo, el efecto de arrastre es real: cuando Meta implementa verificación de edad a escala global —como parte de su infraestructura de producto— el cambio impacta a usuarios de toda la región. Plataformas que buscan evitar litigios similares en otros mercados tienden a adoptar estándares similares de forma preventiva, lo que convierte decisiones judiciales de un solo país en normas de facto para el ecosistema global.

    El acuerdo no aplica a plataformas fuera del perímetro de Meta ni a usos profesionales o periodísticos, aunque la frontera entre un menor que documenta un hecho de interés público y un “usuario menor de 18 años” sujeto a restricciones es exactamente el punto que la EFF señala como problemático: la regulación no distingue.

    La tensión entre protección y participación política: el argumento que los reguladores no resuelven

    La EFF sostiene que el acuerdo, aunque presentado bajo el objetivo de proteger a jóvenes de contenido dañino y de diseños adictivos, tiene como consecuencia no declarada restringir el acceso de menores a herramientas de organización política. Esa tensión —protección versus participación— no es nueva en el derecho de menores, pero adquiere una dimensión distinta cuando la plataforma que se regula es también el espacio público donde ocurre la movilización social contemporánea. En América Latina, donde las protestas juveniles han sido protagonistas en Chile (2019), Colombia (2021) y Brasil (2022-2023), esa tensión tiene consecuencias concretas.

    El texto completo del acuerdo está disponible en el sitio de la Fiscalía General de California; el análisis de la EFF puede consultarse en eff.org. La pregunta que ningún regulador respondió todavía es cómo una menor de 17 años con un teléfono documenta la historia si el algoritmo ya le cortó el acceso dos horas antes.

  • Buenos Aires lanza marco de gobernanza de datos bajo gestión Kicillof

    Buenos Aires lanza marco de gobernanza de datos bajo gestión Kicillof

    La provincia de Buenos Aires formalizó un nuevo marco de gobernanza de datos impulsado por la gestión del gobernador Axel Kicillof, que incluye también la actualización de su infraestructura tecnológica base. La iniciativa posiciona a la provincia más poblada de Argentina como la primera jurisdicción subnacional del país en adoptar un esquema estructurado de gestión de datos públicos, según se informó en medios locales el 16 de septiembre de 2025.

    El anuncio combina dos planos distintos pero complementarios: la modernización de sistemas operativos en dependencias provinciales —con migración hacia versiones actualizadas de Windows— y la creación de un marco normativo-institucional para ordenar cómo el Estado bonaerense recolecta, procesa, comparte y resguarda sus datos. La coexistencia de ambas medidas no es casual: sin una capa de infraestructura actualizada, cualquier política de gobernanza de datos corre el riesgo de quedar en papel.

    Qué contiene el marco bonaerense y qué organismos involucra

    Según se informó, el esquema abarca criterios de clasificación de datos, definición de roles de custodia y reglas de interoperabilidad entre organismos provinciales. La arquitectura propuesta establece responsabilidades diferenciadas por tipo de dato —con énfasis en datos sensibles de ciudadanos— y prevé mecanismos de auditoría interna. No se han publicado hasta el momento los textos técnicos completos ni los decretos específicos que le dan fuerza normativa al marco, por lo que el alcance preciso de las obligaciones que impone a cada organismo aún no puede verificarse de fuentes oficiales directas.

    Lo que sí resulta significativo es el nivel de gobierno que lidera la iniciativa: al emanar directamente del Ejecutivo provincial, el marco tiene potencial de impactar a más de 600 organismos y reparticiones del Estado bonaerense, incluyendo ministerios, entes autárquicos y organismos de recaudación como ARBA, que ya opera con grandes volúmenes de datos fiscales de personas físicas y jurídicas.

    Argentina en 2025: el vacío de gobernanza subnacional que esta medida empieza a cubrir

    A nivel nacional, Argentina no cuenta con una ley específica de gobernanza de datos públicos. La Ley 25.326 de Protección de Datos Personales regula el tratamiento de datos de personas físicas, pero no establece un esquema de gobierno del dato para el Estado como actor institucional. El Poder Ejecutivo Nacional avanzó con el Decreto 558/2022, que creó la Agencia de Acceso a la Información Pública (AAIP) como autoridad de aplicación, pero sin un marco de data governance que defina roles tipo data owner o data steward dentro de los organismos públicos. La iniciativa bonaerense cubre, al menos parcialmente, ese vacío a escala provincial.

    En paralelo, la Ciudad Autónoma de Buenos Aires viene desarrollando su propia arquitectura de datos a través de la Secretaría de Innovación y Transformación Digital, aunque sin un marco formal publicado con ese nombre. La provincia de Córdoba también tiene experiencia en interoperabilidad entre organismos, pero igualmente carece de un esquema codificado de gobernanza. Buenos Aires provincia se adelanta, al menos en términos de denominación institucional explícita.

    Marco comparado LATAM: Brasil, Chile y Colombia ya cuentan con referencia normativa nacional

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) obliga a los organismos públicos a designar un Encarregado de Dados —equivalente funcional del Data Protection Officer europeo— y establece bases legales específicas para el tratamiento de datos por parte del Estado. La Autoridade Nacional de Proteção de Dados (ANPD) viene desarrollando resoluciones que profundizan los requisitos de governance para el sector público federal, con un roadmap que incluye guías de gestión del ciclo de vida del dato. Lo que Buenos Aires anuncia como marco propio, Brasil lo viene construyendo con respaldo normativo federal desde 2020.

    En Chile, la Ley 21.663 de Protección de Datos Personales —promulgada en 2024 y en proceso de implementación gradual— incorpora obligaciones diferenciadas para organismos públicos, incluyendo la figura del Delegado de Protección de Datos. Colombia, por su parte, opera bajo la Ley 1581/2012 complementada por el Decreto 1377/2013, y su Autoridad Nacional de Protección de Datos (SIC) ha emitido instrucciones específicas para entidades del Estado. Ninguno de estos países, sin embargo, cuenta con un marco de gobernanza de datos públicos separado de la legislación de privacidad —lo que muestra que la iniciativa bonaerense, si logra esa distinción, abre un camino relativamente inédito en la región.

    Qué implica para equipos de datos en organismos provinciales y empresas que contratan con el Estado

    Para los equipos técnicos que operan dentro de la administración bonaerense, la creación de un marco de gobernanza implica la definición formal de data stewards por área temática, la elaboración o actualización de un catálogo de datos con clasificación por sensibilidad, y el establecimiento de acuerdos de intercambio de datos (data sharing agreements) entre organismos. Siguiendo la metodología DAMA-DMBOK, estas son las áreas de conocimiento de Knowledge Area 1 (Data Governance) y Knowledge Area 2 (Data Architecture) que cualquier organismo público debería tener documentadas antes de poder reportar cumplimiento con un marco de este tipo.

    Para empresas que prestan servicios tecnológicos o de datos a la provincia —desde consultoras hasta proveedores de cloud—, el nuevo marco puede traducirse en requisitos contractuales más estrictos: cláusulas de tratamiento de datos, restricciones de transferencia internacional y obligaciones de auditoría. Los pliegos de licitación podrían incorporar, en los próximos meses, exigencias de certificación o declaración de cumplimiento con el marco provincial.

    Qué monitorear en las próximas semanas

    Los puntos críticos a seguir son tres. Primero, la publicación del texto completo del marco en el Boletín Oficial de la provincia, que determinará si tiene fuerza de decreto, resolución o instrucción administrativa, con implicancias directas sobre su obligatoriedad y jerarquía normativa. Segundo, la designación del organismo rector o unidad de gobierno del dato que supervisará el cumplimiento —si ese rol recae en la Subsecretaría de Tecnología e Innovación o en un nuevo ente, cambia la estructura de accountability. Tercero, el cronograma de implementación por tipo de organismo: los marcos que carecen de fases graduales suelen diluirse en la práctica dentro de las burocracias estatales.

    Nuestro análisis

    La iniciativa bonaerense es políticamente significativa, pero su valor real depende de un detalle que todavía no está disponible públicamente: el texto normativo. Anunciar un “marco de gobernanza de datos” sin publicar los instrumentos legales que lo sostienen es una práctica frecuente en la región —y también la razón por la que muchos de esos marcos quedan como ejercicios de comunicación en lugar de transformaciones operativas. Si la provincia de Buenos Aires logra publicar roles formalizados (data owner, data steward), un registro de activos de datos y mecanismos de auditoría con periodicidad definida, habrá dado un paso que ninguna otra jurisdicción subnacional argentina ha dado de forma documentada. Si el marco queda en una declaración de principios, se sumará a una larga lista de iniciativas de modernización estatal que no sobreviven al ciclo político. La diferencia entre ambos escenarios se verá en el Boletín Oficial, no en el comunicado de prensa.

    La gobernanza de datos pública en Argentina no se construye con anuncios: se construye con textos normativos, roles con nombre y apellido institucional, y presupuesto asignado. Eso es lo que hay que pedir en el Boletín Oficial.

  • Qué compran Disney, GM y los bancos sobre vos a los data brokers

    Qué compran Disney, GM y los bancos sobre vos a los data brokers

    Cuando consumidores ejercieron su derecho de acceso ante un importante data broker estadounidense, los archivos que recibieron revelaron algo incómodo: empresas como Disney, General Motors, aseguradoras y bancos compraban datos sobre su peso, consumo de alcohol y probabilidad de hacerse una mamografía. La investigación, publicada por The Markup, expone el mercado de perfiles personales con un nivel de detalle que excede cualquier noción razonable de “dato de marketing”.

    Los data brokers —empresas que recopilan, combinan y venden perfiles de personas a terceros— operan desde hace décadas en un vacío regulatorio relativo. Lo que hace novedoso este caso es el método: los propios consumidores solicitaron sus archivos, y lo que obtuvieron permitió rastrear quién había comprado esos datos y qué categorías específicas incluían. El resultado es una radiografía del mercado secundario de datos personales que normalmente permanece opaco.

    Qué tipos de datos circulan entre compradores corporativos

    Los perfiles revelados incluían variables de salud inferidas —como indicadores de peso corporal y hábitos de consumo de alcohol— junto con predicciones de comportamiento médico, entre ellas la probabilidad de que una persona se realice ciertos estudios de detección temprana. Que una empresa automotriz como GM o un estudio de entretenimiento como Disney accedan a esa clase de información plantea preguntas que van más allá del marketing: ¿para qué sirve saber si alguien es probable que se haga una mamografía al momento de venderle un auto o una suscripción de streaming? La respuesta más probable involucra segmentación actuarial, modelos de riesgo crediticio o perfilado psicográfico de precisión.

    Las aseguradoras y los bancos identificados como compradores representan el caso de uso más preocupante desde el punto de vista regulatorio. En jurisdicciones donde el uso de datos de salud para decisiones de crédito o seguro está restringido, adquirir esa información de un tercero bajo el rótulo de “datos de comportamiento” puede constituir una evasión de facto de esas restricciones.

    Por qué el derecho de acceso funcionó como herramienta de auditoría ciudadana

    El mecanismo que permitió esta investigación es el mismo que leyes de privacidad de todo el mundo reconocen como derecho de acceso o derecho de acceso a datos personales —equivalente al derecho de acceso del RGPD europeo, al acesso previsto en la LGPD brasileña (art. 18), al derecho de acceso de la Ley 25.326 argentina (art. 14) y al acceso regulado por la LFPDPPP mexicana (art. 22). En todos esos marcos, la persona titular puede solicitar qué datos tiene una organización sobre ella. Lo que esta investigación demuestra es que esa solicitud, cuando se dirige a un data broker, puede revelar no solo los datos propios sino también el ecosistema de compradores que los adquirió.

    Ese uso del derecho de acceso como herramienta de investigación y auditoría ciudadana no es nuevo —organizaciones como Privacy International lo han empleado sistemáticamente en Europa— pero sigue siendo subutilizado en América Latina, donde las autoridades de control como la AAIP en Argentina, la ANPD en Brasil o el INAI en México tienen competencia para recibir denuncias derivadas de respuestas incompletas o insatisfactorias a esas solicitudes.

    Cuándo aplica este riesgo en LATAM / cuándo no

    El mercado de data brokers en América Latina es menos maduro que el estadounidense, pero existe y crece. Empresas de enriquecimiento de datos operan en Brasil, México, Colombia y Argentina, y venden perfiles combinados a anunciantes, aseguradoras y entidades financieras. La diferencia relevante es que en Brasil, la LGPD establece que datos de salud son datos sensibles (art. 11) y su tratamiento requiere base legal específica y consentimiento explícito; en Argentina, la Ley 25.326 también clasifica los datos relativos a la salud como datos sensibles con protección reforzada. En México, la LFPDPPP y su reglamento exigen consentimiento expreso para datos sensibles. Eso significa que un data broker que comercialice inferencias de salud —aunque las llame “propensity scores” o “behavioral data”— podría estar violando esas normas si el titular no consintió expresamente ese tratamiento. El riesgo regulatorio es real, pero depende de que las autoridades tengan la capacidad técnica de auditar qué variables se esconden detrás de las etiquetas comerciales que usan los brokers.

    El escenario donde este riesgo no aplica directamente es el de datos estrictamente agregados y no reidentificables. Si un broker vende únicamente estadísticas de segmento sin posibilidad de asociarlas a individuos, los marcos de protección de datos personales no se activan. El problema, ampliamente documentado, es que la reidentificación de conjuntos supuestamente anónimos es técnicamente posible en la mayoría de los casos cuando se cruzan con otras fuentes.

    El circuito que une al broker con el comprador corporativo

    Lo que esta investigación hace visible es el circuito completo: una persona interactúa con servicios digitales, aplicaciones de salud, programas de fidelidad o simplemente navega la web. Ese rastro es recopilado, procesado e inferido por el broker, que construye un perfil comercializable. Ese perfil llega a compradores corporativos —una automotriz, un banco, una aseguradora— que lo integran a sus modelos de decisión. El titular del dato raramente sabe que ese circuito existe, y cuando lo descubre —como en este caso, a través de una solicitud de acceso— la información obtenida puede ser incompleta o técnicamente inaccesible para quien no tenga formación específica.

    Ese déficit de transparencia es precisamente lo que los regímenes de privacidad modernos intentan corregir con obligaciones de información al momento de la recolección, registros de actividades de tratamiento y —en el caso del AI Act europeo— requisitos de explicabilidad para decisiones automatizadas. En LATAM, el eslabón más débil sigue siendo la aplicación efectiva: tener el derecho en la ley y poder ejercerlo con resultado útil son dos cosas distintas.

    Para quienes trabajan en privacidad en la región, el caso refuerza una pregunta pendiente: si los titulares latinoamericanos ejercieran masivamente su derecho de acceso ante los brokers que operan localmente, ¿qué empresas aparecerían en la lista de compradores?

  • OpenAI financia datos biológicos para IA: cómo se construye el corpus médico

    OpenAI financia datos biológicos para IA: cómo se construye el corpus médico

    OpenAI está financiando la creación de datos biológicos estructurados para entrenar sus modelos de inteligencia artificial en el dominio médico y científico. La estrategia expone una tensión jurídica central: quién controla los datos que alimentan sistemas de IA capaces de acelerar descubrimientos farmacéuticos y clínicos, y bajo qué reglas pueden circular.

    El problema de fondo no es técnico sino de disponibilidad y propiedad. Los modelos de lenguaje de propósito general enfrentan un techo cuando se los aplica a biología molecular, ensayos clínicos o desarrollo farmacéutico: el conocimiento especializado existe, pero gran parte está encapsulado en documentos regulatorios confidenciales, estrategias de fabricación y datos de seguridad que las empresas biotecnológicas tratan como secretos comerciales. Ese corpus no circula libremente porque no fue diseñado para circular.

    La propuesta de usar datos de biotechs quebradas

    La analista de políticas Ruxandra Teslo planteó, según se informó, una idea que llamó la atención en el sector: adquirir datos de empresas biotecnológicas en proceso de quiebra mediante ofertas en sus procedimientos concursales. La lógica es que, al disolverse una compañía, sus activos intangibles —incluyendo presentaciones regulatorias detalladas, datos de eficacia y seguridad, y estrategias de manufactura— quedan disponibles para subasta. En condiciones normales, ese material nunca llega al mercado porque las empresas exitosas lo retienen indefinidamente o lo licencian bajo términos restrictivos. La quiebra crea una ventana legal inusual.

    OpenAI habría identificado en este enfoque una vía para construir datasets de alta calidad y alta especificidad biológica. La compañía estaría financiando la creación y adquisición de este tipo de datos, aunque los detalles exactos del mecanismo de compra y los acuerdos concretos no han sido divulgados públicamente según la información disponible.

    Qué tipo de dato biológico se busca y por qué no basta con lo público

    Los modelos entrenados sobre literatura científica abierta —artículos de PubMed, preprints, bases de datos genómicas públicas— ya existen y tienen limitaciones conocidas: reflejan lo que se publicó, no lo que se investigó y falló. El “publication bias” (sesgo de publicación) hace que los datos negativos de ensayos clínicos, los fracasos de compuestos en fase temprana y los problemas de manufactura queden fuera del registro público. Sin embargo, esa información de fracasos tiene un valor predictivo enorme para sistemas de IA que buscan anticipar qué moléculas o estrategias no funcionarán.

    Los reguladores sí reciben esos datos. La FDA en Estados Unidos, la EMA en Europa y sus contrapartes latinoamericanas —ANVISA en Brasil, ANMAT en Argentina, COFEPRIS en México— acumulan volúmenes masivos de información preclínica y clínica en cada expediente de aprobación. Esos datos son confidenciales durante décadas, salvo que una quiebra los libere o que el regulador decida publicarlos bajo esquemas de acceso controlado. La propuesta de Teslo explota precisamente esa segunda vía concursal.

    Cuándo aplica esta lógica y cuándo no: límites legales y éticos

    El modelo concursal funciona para datos de compañías disueltas, pero tiene restricciones importantes. En primer lugar, los datos de ensayos clínicos contienen información derivada de participantes humanos que otorgaron consentimiento para usos específicos. El hecho de que la empresa propietaria quiebre no extingue automáticamente las obligaciones de confidencialidad frente a esos participantes ni los derechos emergentes de las normativas de protección de datos personales. En jurisdicciones donde rige el GDPR europeo o la LGPD brasileña —que exige base legal específica para el tratamiento de datos sensibles de salud bajo el artículo 11 de la Ley 13.709/2018—, la transferencia de ese corpus a un nuevo controlador para entrenamiento de IA requeriría análisis legal adicional que la simple transacción concursal no resuelve.

    En Argentina, la Ley 25.326 de Protección de Datos Personales clasifica los datos de salud como sensibles y su tratamiento requiere consentimiento expreso o habilitación legal específica. La AAIP (Agencia de Acceso a la Información Pública) no ha emitido lineamientos explícitos sobre el uso de datos sensibles de salud para entrenamiento de modelos de IA, lo que deja un vacío interpretativo relevante para cualquier actor regional que quiera replicar este tipo de operaciones.

    El régimen de propiedad intelectual de los datos generados para IA

    Más allá del dato adquirido, OpenAI estaría financiando también la generación activa de nuevos datos biológicos —anotaciones, datasets sintéticos, experimentos diseñados para producir información estructurada que los modelos puedan ingerir. Aquí emerge otra capa jurídica: quién es el propietario del dato generado bajo encargo. En el derecho anglosajón, el concepto de “work for hire” resuelve parcialmente la cuestión a favor del comitente. En los sistemas de derecho civil latinoamericanos, la respuesta varía por jurisdicción y tipo de dato. Un dataset generado por investigadores de una universidad pública brasileña financiados por OpenAI podría quedar sujeto a restricciones de dominio público o normativa universitaria incompatibles con una licencia exclusiva.

    El AI Act de la Unión Europea, en vigor desde 2024, clasifica los sistemas de IA de alto riesgo usados en medicina y exige documentación sobre los datos de entrenamiento, incluyendo su procedencia y las medidas de gobernanza aplicadas. Si los modelos de OpenAI entrenados con datos biológicos se comercializan en Europa o se usan en productos que llegan a mercados latinoamericanos con acuerdos de adecuación, las obligaciones de trazabilidad del corpus de entrenamiento se vuelven directamente aplicables.

    La carrera por el corpus médico y sus implicancias para América Latina

    América Latina produce una fracción del conocimiento biomédico global pero concentra una diversidad genética y epidemiológica que los grandes modelos actuales subrepresentan. Los ensayos clínicos realizados en Brasil, México o Argentina generan datos regulatorios que reposan en ANVISA, COFEPRIS o ANMAT sin que existan mecanismos formales para su aprovechamiento científico posterior más allá del expediente de aprobación. Si las grandes compañías tecnológicas logran construir corpus biológicos masivos con datos del Norte Global, los modelos resultantes heredarán esos sesgos de representación. La oportunidad para los reguladores latinoamericanos —y para centros de investigación como FIOCRUZ o el CONICET— sería diseñar esquemas de acceso controlado a datos regulatorios propios que permitan participar en la construcción de IA biomédica con representación regional, en lugar de quedar como consumidores netos de modelos entrenados en otra parte.

    Para profundizar en el marco regulatorio aplicable al tratamiento de datos de salud para entrenamiento de IA, el artículo 11 de la LGPD brasileña (Ley 13.709/2018) y las guías de la ANPD sobre datos sensibles ofrecen el punto de partida más desarrollado de la región.

  • Sin gobernanza de datos de marketing, la IA no convierte en ingresos

    Sin gobernanza de datos de marketing, la IA no convierte en ingresos

    Un estudio conjunto de Integrate y Demand Metric revela que la preparación para la inteligencia artificial en equipos de marketing no depende principalmente de la tecnología adoptada, sino del nivel de madurez en gobernanza de datos. Las organizaciones con prácticas sólidas de gobierno del dato reportan mayor crecimiento de ingresos y mayor efectividad en sus iniciativas de IA.

    El hallazgo central del estudio es operativo, no aspiracional: la variable que mejor predice si una organización puede capitalizar la IA en marketing no es el presupuesto tecnológico ni el tamaño del equipo, sino la calidad de sus datos y los procesos que los gobiernan. En términos del marco DAMA-DMBOK, se trata de las capabilities de Data Quality Management y Metadata Management —las mismas que determinan si un modelo de IA recibe insumos confiables o ruido estructurado.

    Qué mide el estudio y qué encontró

    Según se informó, la investigación relevó el estado de preparación para IA (AI readiness) en organizaciones de marketing, cruzando ese indicador con variables de gobernanza de datos y resultados de negocio. El patrón emergente fue consistente: las empresas que califican alto en gobernanza —con datos unificados, ownership definido y procesos de calidad activos— también reportan mayor crecimiento de ingresos vinculado a iniciativas de IA. Las que muestran gobernanza débil describen proyectos de IA que no escalan o que generan resultados inconsistentes.

    Este patrón no es nuevo en la literatura de gobierno del dato. Bob Seiner, referente de Non-Invasive Data Governance, ha argumentado que los programas de IA fallan cuando los datos subyacentes no tienen un accountability claro. El estudio aporta evidencia cuantitativa desde el dominio de marketing, un área donde la fragmentación de datos —leads de múltiples canales, identidades duplicadas, atribución opaca— es endémica.

    Tres brechas de gobernanza que bloquean la IA en marketing

    Del análisis surge que las organizaciones con baja AI readiness comparten al menos una de estas tres brechas estructurales:

    • Ausencia de data stewardship en el dominio de datos de clientes: nadie es accountable de la definición canónica de “lead calificado” ni de su actualización.
    • Falta de data lineage documentado entre fuentes de captura (formularios, CRM, plataformas de demanda) y los modelos de scoring o segmentación que alimentan la IA.
    • Datos de contacto sin política de calidad activa: duplicados, campos vacíos y registros desactualizados que degradan la precisión de cualquier modelo predictivo.

    Cada una de estas brechas tiene un correlato directo en el EDM Council CDMC (Cloud Data Management Capabilities): las capabilities de Data Quality (nivel 6), Data Catalog & Discovery (nivel 5) y Data Ownership (nivel 3) son exactamente las que el estudio identifica como diferenciadoras entre organizaciones que escalan IA y las que no lo logran.

    Cuándo aplica / cuándo NO este vínculo entre gobernanza y AI readiness

    El vínculo es directo cuando la IA opera sobre datos propios de la organización: bases de clientes, historiales de interacción, datos de CRM. En esos casos, la calidad del dato de entrada determina la utilidad del output. El vínculo es menos determinante cuando la IA se aplica a datos sintéticos o modelos preentrenados que no dependen de los datos internos de la organización. Para equipos de marketing en LATAM que usan IA principalmente para generación de contenido o automatización de copy —sin scoring predictivo ni segmentación sobre base propia—, la gobernanza de datos no es el cuello de botella inmediato, aunque sí lo será en cuanto escalen hacia personalización o atribución multicanal.

    El punto ciego en equipos de marketing de Argentina, México y Brasil

    En América Latina, la fragmentación del dato de marketing tiene una dimensión adicional: la coexistencia de regulaciones de datos personales con distinto grado de madurez. En Brasil, la LGPD (Lei Geral de Proteção de Dados) exige bases legales para el tratamiento de datos de contacto y habilita derechos de acceso y supresión (DSAR) que impactan directamente en la calidad de las bases de marketing. En Argentina, la Ley 25.326 y las resoluciones de la AAIP establecen requisitos similares. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) regula el consentimiento para usos secundarios como el scoring automatizado.

    Un equipo de marketing que alimenta modelos de IA con datos recolectados sin base legal adecuada no solo tiene un problema de gobernanza técnica: tiene un pasivo regulatorio. El dato que alimenta el modelo puede ser el mismo que genera una sanción del INAI, la ANPD o la AAIP. La gobernanza de datos de marketing en LATAM no puede disociarse de la capa de privacidad.

    Lo que un CDO puede hacer esta semana con este hallazgo

    El estudio ofrece un argumento de negocio concreto para priorizar inversión en gobernanza: la AI readiness tiene correlación directa con crecimiento de ingresos, y esa readiness depende de governance. Para un CDO que necesita justificar el programa ante el CFO o el CMO, este es el tipo de evidencia que convierte gobernanza en prioridad presupuestaria y no en overhead. Los pasos inmediatos son tres: mapear el data lineage entre las fuentes de captura de leads y los modelos de IA o scoring en uso; identificar quién es el data steward del dominio de cliente en marketing (si la respuesta es “nadie”, ese es el primer gap); y auditar si los datos que alimentan IA tienen base legal documentada bajo la regulación local aplicable.

    Para profundizar en el marco de capacidades de gobierno del dato aplicado a IA, el EDM Council CDMC y el DAMA-DMBOK 2 ofrecen los estándares de referencia que permiten medir y cerrar estas brechas con criterio formal, no con intuición.