DataTrends LATAM

Etiqueta: Normativa

  • Amodei pide frenar los LLM: qué implica para la regulación de IA en LATAM

    Amodei pide frenar los LLM: qué implica para la regulación de IA en LATAM

    El CEO de Anthropic, Dario Amodei, publicó un ensayo llamando a desacelerar el desarrollo de los grandes modelos de lenguaje, citando riesgos que considera inminentes. El giro “doomista” en la industria abre una pregunta concreta para América Latina: ¿hay marcos regulatorios en la región preparados para responder si los propios desarrolladores piden un freno?

    El movimiento es inusual. Que el CEO de una de las compañías más valoradas en el ecosistema de IA generativa —Anthropic fue fundada precisamente con un argumento de seguridad frente a OpenAI— publique un llamado público a reducir el ritmo de desarrollo de los modelos de lenguaje no es una postura académica: es una señal de que el debate sobre gobernanza de sistemas de IA ha cruzado definitivamente hacia el interior de la industria. Según se informó, el ensayo de Amodei publicado el fin de semana del 13 de septiembre de 2026 enumera los peligros que él mismo percibe en la tecnología que su empresa contribuye a desarrollar.

    El argumento “doomista” y su peso regulatorio

    El término “doomer” —con origen en las comunidades de alineación de IA y seguridad existencial— describe a quienes sostienen que el desarrollo no controlado de sistemas de inteligencia artificial avanzada representa un riesgo catastrófico para la humanidad. Lo que cambia con la intervención de Amodei es que ya no se trata de investigadores académicos o activistas: es el ejecutivo de una empresa que compite directamente con OpenAI y Google DeepMind quien pone ese argumento sobre la mesa pública. El impacto regulatorio de ese giro no es trivial. Cuando los propios actores del mercado solicitan restricciones, los reguladores tienen un argumento adicional —y más difícil de rebatir— para avanzar con marcos vinculantes.

    El AI Act europeo ya prevé este escenario; LATAM, todavía no

    El Reglamento de Inteligencia Artificial de la Unión Europea —AI Act, en vigor desde agosto de 2024— contempla categorías de riesgo para modelos de propósito general (GPAI) y establece obligaciones de transparencia y evaluación para los sistemas de mayor capacidad. La lógica subyacente del AI Act es exactamente la que Amodei articula en su ensayo: que ciertos sistemas requieren controles antes de su despliegue, no después. En América Latina, el panorama es fragmentado. Brasil avanza con el Proyecto de Ley 2.338/2023, que sigue una arquitectura de riesgos similar al modelo europeo y fue aprobado en el Senado en diciembre de 2024, aunque aún aguarda definición en Cámara de Diputados. Chile tiene su Política Nacional de Inteligencia Artificial actualizada en 2024, pero sin rango legal vinculante. Colombia publicó lineamientos éticos para IA desde el Ministerio TIC, también sin fuerza de ley. México carece de regulación específica para IA a nivel federal. Argentina discute proyectos en el Congreso, pero ninguno ha alcanzado sanción.

    Por qué el llamado de Amodei complica la autorregulación como estrategia

    Durante años, la industria tecnológica ha ofrecido la autorregulación como alternativa a marcos legales obligatorios: códigos de conducta, compromisos voluntarios, auditorías internas. El ensayo de Amodei erosiona esa posición desde adentro. Si el propio CEO de una compañía líder en seguridad de IA afirma que el ritmo de desarrollo es peligroso, el argumento de que la industria puede regularse a sí misma pierde credibilidad ante cualquier legislador o autoridad de control. Para los reguladores latinoamericanos que debaten si adoptar enfoques prescriptivos o principistas, este episodio ofrece un dato político relevante: la presión por marcos vinculantes ya no viene solo de la sociedad civil.

    Cuándo aplica este debate / cuándo NO

    El llamado de Amodei es relevante para la discusión regulatoria de sistemas de IA de propósito general —modelos de lenguaje a escala, sistemas multimodales con capacidades avanzadas de razonamiento— y para los procesos legislativos en curso en Brasil, Chile y Argentina. No aplica directamente a usos sectoriales acotados de IA (diagnóstico médico con modelos supervisados, scoring crediticio con modelos explicables), cuya regulación ya está siendo abordada por autoridades financieras y sanitarias en la región con instrumentos propios. Tampoco implica una moratoria técnica formal: Amodei expresó una posición, no anunció una detención del desarrollo en Anthropic.

    Lo que los legisladores latinoamericanos pueden leer entre líneas

    El posicionamiento de Amodei llega en un momento en que el debate legislativo en Brasil sobre el PL 2.338/2023 necesita argumentos para avanzar en Cámara de Diputados. Un llamado público de un CEO del sector a reducir el ritmo de desarrollo es exactamente el tipo de evidencia que los promotores de regulación más estricta utilizan para justificar urgencia. En Argentina, donde la Agencia de Acceso a la Información Pública (AAIP) ha publicado recomendaciones sobre IA pero carece de mandato legal específico para regularla, el episodio refuerza la necesidad de una ley con rango normativo. La pregunta que queda abierta es si los congresos de la región procesarán esta señal con la velocidad que el ritmo del sector exige.

    El texto completo del ensayo de Amodei está disponible en el sitio oficial de Anthropic; el Proyecto de Ley brasileño 2.338/2023 puede consultarse en el portal del Senado Federal de Brasil en senado.leg.br.

  • Vigilancia masiva sin control: cómo las bases de datos de patentes se convirtieron en juguete policial

    Vigilancia masiva sin control: cómo las bases de datos de patentes se convirtieron en juguete policial

    Un análisis de la Electronic Frontier Foundation sobre registros de búsqueda del sistema de lectura automatizada de patentes (ALPR) de Flock Safety reveló que agentes policiales de Estados Unidos accedieron a datos de ubicación de millones de vehículos sin justificación legítima, usando razones como “LOL”, “LMAO”, “sexy” o “idk” (“no sé”) en los campos de auditoría obligatorios. El hallazgo expone una falla estructural que va más allá de la anécdota: cuando no hay requisito de orden judicial ni mecanismo de control real, los sistemas de vigilancia masiva se convierten en herramientas de acceso irrestricto.

    El caso más llamativo del análisis corresponde al Departamento de Policía de Goshen, cuyo agente ejecutó el 7 de mayo de 2025 búsquedas sobre 6.474 redes ALPR que representan datos de 82.413 cámaras. En el campo donde debía documentar el motivo, escribió “idk”. No hubo sanción documentada. No hubo invalidación del resultado. La búsqueda simplemente quedó registrada como un hecho más en el log del sistema.

    Flock Safety, Motorola y Axon: la arquitectura de vigilancia que se vende como seguridad pública

    Las lectoras automáticas de patentes operan a través de empresas privadas —Flock Safety, Motorola Solutions y Axon son las más citadas en el análisis de la EFF— que licencian su tecnología a departamentos policiales municipales. El argumento de venta es siempre el mismo: la herramienta es indispensable para resolver crímenes graves como secuestros, robos de autos o homicidios. Pero los logs de auditoría muestran un uso rutinario, aleatorio y, en muchos casos, abiertamente burlesco.

    Flock Safety respondió a las críticas previas implementando un menú desplegable de tipos de delitos que el agente debe seleccionar antes de ejecutar una búsqueda. La EFF señala que esta medida es cosmética: el sistema no verifica que la razón seleccionada corresponda al motivo real de la consulta. Un agente puede elegir “robo de vehículo” en el dropdown y estar rastreando a un ex cónyuge. La uniformidad del menú no reemplaza la accountability.

    Sin orden judicial ni estándar de causa probable: el vacío legal que habilita el abuso

    En Estados Unidos, los sistemas ALPR operan en un vacío normativo significativo. No existe legislación federal que exija orden judicial para consultar bases de datos de ubicación vehicular históricas. Algunos estados tienen regulaciones propias —Illinois y New Hampshire cuentan con restricciones de retención de datos, por ejemplo— pero la mayoría carece de estándares vinculantes sobre proporcionalidad o documentación de búsquedas. La EFF ha documentado que esta arquitectura de acceso irrestricto genera una “cultura de abuso” donde la vigilancia masiva se normaliza como rutina operativa.

    El problema de fondo es de diseño: un sistema de auditoría que depende de que el propio agente documente honestamente sus razones no es un sistema de control, es una declaración de intenciones. Sin validación independiente, sin cruce con resultados de investigaciones reales y sin consecuencias por entradas inválidas, el log de auditoría cumple una función de legitimación formal, no de rendición de cuentas efectiva.

    Argentina, Brasil y México frente a la vigilancia vehicular: tres marcos legales, un mismo riesgo

    La expansión de sistemas ALPR en América Latina sigue una curva similar a la estadounidense, con una brecha regulatoria que en varios países es aún más pronunciada. En Argentina, la Ciudad de Buenos Aires opera el sistema de reconocimiento de patentes CONARC —integrado a la red de videovigilancia urbana— sin que exista una regulación específica sobre retención de datos vehiculares, acceso por parte de fuerzas de seguridad o estándares de auditoría. La Ley 25.326 de Protección de los Datos Personales establece principios de finalidad y proporcionalidad, pero su aplicación a bases de datos de vigilancia estatal en tiempo real es materia en disputa y la Agencia de Acceso a la Información Pública (AAIP) no ha emitido criterios específicos para este tipo de sistemas.

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) reconoce en su artículo 4° una excepción amplia para actividades de seguridad pública, defensa nacional e investigación penal, lo que en la práctica significa que los sistemas de vigilancia vehicular operados por organismos estatales quedan fuera del alcance pleno de la norma. La Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en la regulación de tratamientos de datos personales por parte del sector privado, pero el tratamiento de datos por fuerzas de seguridad sigue pendiente de un marco específico que el Congreso no ha aprobado. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) no aplica a organismos gubernamentales; la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados de 2017 rige para el sector público, pero sus mecanismos de control sobre bases de datos de vigilancia masiva son débiles y el INAI ha tenido escasa actuación en este campo específico.

    El patrón regional es consistente: las leyes de protección de datos personales más robustas de la región tienen excepciones amplias para seguridad pública, y ningún país cuenta con legislación específica que establezca estándares de proporcionalidad, retención y auditoría para sistemas ALPR o equivalentes. Ciudades como Bogotá, Santiago, Lima y São Paulo operan redes de lectura de patentes de alcance creciente bajo marcos normativos que no contemplan los riesgos documentados por la EFF.

    Qué monitorear: legislación pendiente y los próximos hitos en la regulación de vigilancia vehicular

    En el plano internacional, el Comité de Derechos Humanos de la ONU ha señalado repetidamente que la vigilancia masiva sin control judicial es incompatible con el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos —que protege la privacidad— independientemente de si el Estado que la ejecuta tiene o no una ley de privacidad avanzada. Este estándar internacional es una palanca disponible para organizaciones de la sociedad civil en la región que quieran cuestionar sistemas ALPR ante organismos de derechos humanos.

    En el corto plazo, vale monitorear tres hitos: la posible actualización de la Ley 25.326 en Argentina, que incluye en su agenda de reforma criterios sobre tratamientos de datos por organismos de seguridad; el avance del proyecto de regulación sectorial de vigilancia urbana en la ANPD brasileña; y la discusión en el Congreso mexicano sobre una ley específica de videovigilancia que varios grupos civiles llevan impulsando desde 2023. Ninguno de estos procesos tiene fecha cierta, pero los tres son espacios donde el caso documentado por la EFF puede funcionar como argumento empírico.

    Nuestro análisis: el log de auditoría no es un control, es una coartada

    El hallazgo de la EFF es técnicamente sencillo pero políticamente devastador: los sistemas de vigilancia masiva que se venden con promesas de accountability no tienen, en la práctica, ningún mecanismo que obligue a los agentes a ser honestos sobre el propósito de sus consultas. El dropdown de Flock Safety es el equivalente digital de un formulario en papel que nadie revisa. La solución no es mejorar el formulario —es requerir autorización previa independiente para búsquedas en bases de datos de ubicación masiva, con estándar de causa probable y revisión judicial posterior.

    Para América Latina, la lección operativa es anterior a la técnica: antes de desplegar o ampliar sistemas ALPR, los gobiernos locales deberían poder responder tres preguntas que hoy ninguno de los contratos con proveedores privados exige responder públicamente. ¿Quién puede consultar la base y bajo qué criterio documentado? ¿Cuánto tiempo se retienen los datos de vehículos que no son objeto de ninguna investigación? ¿Quién audita los logs y con qué consecuencias ante entradas inválidas? Mientras esas preguntas no tengan respuesta vinculante, “LMAO” seguirá siendo una razón tan válida como cualquier otra.

    Si una entrada de log que dice “no sé” da acceso a datos de 82.413 cámaras sin consecuencias, el problema no es la cultura policial: es que el sistema fue diseñado para que eso fuera posible. ¿Cuántos municipios en América Latina firmaron contratos con los mismos proveedores sin exigir respuestas a esas tres preguntas?

  • DFS de Nueva York endurece las evaluaciones de riesgo cibernético en servicios financieros

    DFS de Nueva York endurece las evaluaciones de riesgo cibernético en servicios financieros

    El Departamento de Servicios Financieros de Nueva York (DFS) emitió el 10 de septiembre de 2026 una nueva guía de ciberseguridad que precisa qué espera el regulador de las entidades bajo su supervisión al momento de conducir evaluaciones de riesgo. La directiva no es optativa: define alcance, frecuencia y responsabilidades internas, y en un sector donde la exposición a riesgo sistémico cruza fronteras, su impacto llega hasta los equipos de gobierno de datos de bancos y aseguradoras que operan en América Latina con filiales o corresponsalías reguladas en ese Estado.

    La guía fue firmada por Kaitlin Asrow, Superintendente en funciones del DFS, y complementa el marco de ciberseguridad ya vigente bajo 23 NYCRR Part 500, el reglamento que desde 2017 obliga a las entidades financieras licenciadas en Nueva York a mantener programas de ciberseguridad formales. Lo que agrega la nueva orientación es granularidad operativa: no basta con tener una evaluación de riesgo; debe estar calibrada para informar —y justificar— las decisiones del programa de ciberseguridad de cada entidad.

    Qué exige la guía DFS: alcance, periodicidad y ownership interno

    Según se informó, el documento articula tres ejes principales. El primero es el alcance de la evaluación, que debe cubrir todos los activos de información relevantes, incluidos los sistemas de terceros que procesen datos en nombre de la entidad. El segundo eje es la frecuencia: las evaluaciones no pueden ser un ejercicio anual de cumplimiento formal; deben actualizarse ante cambios materiales en el entorno de amenazas o en la arquitectura tecnológica. El tercero —y el más relevante para la función de data governance— es el rol que cumple la evaluación dentro del programa de ciberseguridad: debe traducirse en controles concretos, con responsables identificados y seguimiento documentado.

    Este tercer eje conecta directamente con conceptos que DAMA-DMBOK categoriza bajo Data Security y que el EDM Council (CDMC) incluye en su capability 9: la gestión de riesgo sobre activos de datos requiere ownership claro, clasificación previa y linaje documentado. Una evaluación de riesgo que no sabe qué datos toca, quién los posee y cómo fluyen es, en la práctica, una declaración de intenciones sin sustento.

    Por qué 23 NYCRR 500 sigue siendo referencia para reguladores latinoamericanos

    El reglamento DFS es uno de los marcos sectoriales más imitados fuera de Estados Unidos. En América Latina, varios bancos centrales y superintendencias financieras han tomado elementos de su arquitectura al diseñar sus propias normas de ciberseguridad. El Banco Central de la República Argentina (BCRA), con la Comunicación A 7724 y sus actualizaciones posteriores, impone requisitos de gestión de riesgo tecnológico a entidades financieras locales que guardan similitud estructural con los pilares de 23 NYCRR 500: identificación de activos críticos, evaluación periódica y reporte a la alta gerencia. Colombia, a través de la Superintendencia Financiera y su Circular Externa 007 de 2018 sobre riesgo de seguridad y ciberseguridad, recorre un camino análogo.

    Lo que la guía del DFS introduce —y que aún no está formalizado con igual nivel de detalle en la mayoría de los marcos latinoamericanos— es la exigencia de que la evaluación de riesgo sea el documento rector del programa de ciberseguridad, no un anexo del mismo. Esa distinción tiene consecuencias prácticas: si el regulador local adopta una lógica similar en una revisión futura, los equipos que hoy tratan la evaluación de riesgo como un checklist anual tendrán que reestructurar su enfoque.

    Para bancos con doble regulación, la carga de compliance se multiplica

    Las entidades latinoamericanas con operaciones o corresponsalías en Nueva York ya están bajo 23 NYCRR 500 y ahora deben incorporar esta guía adicional. Para ellas, el desafío no es solo técnico: es de gobernanza. Mantener evaluaciones de riesgo coherentes entre jurisdicciones —donde los inventarios de activos, la clasificación de datos y los umbrales de riesgo aceptable pueden diferir— exige un modelo de gobierno de datos que trascienda la entidad local y funcione a nivel de grupo. Esto es precisamente lo que el concepto de data mesh organizacional, bien implementado, debería facilitar: dominios de datos con ownership claro, capaces de reportar al regulador de su jurisdicción sin depender de un proceso centralizado que no conoce los activos locales.

    En la práctica, muchos bancos regionales aún operan con catálogos de datos incompletos y sin data stewards formalmente designados para activos críticos. Una evaluación de riesgo que el DFS juzgaría insuficiente en Nueva York probablemente también sería insuficiente ante el BCRA o la Superintendencia Financiera de Colombia si esos reguladores aplicaran el mismo nivel de escrutinio.

    Qué monitorear: revisiones de 23 NYCRR 500 y movimientos regulatorios en Brasil y México

    Los próximos hitos a seguir son dos. Primero, cualquier actualización formal a 23 NYCRR 500 que incorpore los estándares de esta guía al texto regulatorio vinculante, lo que elevaría el nivel de exigencia para entidades supervisadas. Segundo, la evolución de los marcos de ciberseguridad financiera en Brasil —donde el Banco Central (BCB) ya tiene resoluciones específicas sobre riesgo operacional y cibernético bajo la Resolução BCB 85/2021— y en México, donde la CNBV ha avanzado en requisitos de gestión de riesgo tecnológico para instituciones de crédito. Si el DFS formaliza esta guía como enmienda reglamentaria, la presión comparativa sobre otros reguladores de la región crecerá.

    Nuestro análisis

    La guía del DFS es, ante todo, un mensaje sobre madurez de gobierno de datos: no alcanza con tener controles si no podés demostrar que esos controles derivan de una comprensión documentada del riesgo sobre activos de datos identificados. Esa lógica —evaluación como documento rector, no como ejercicio de cumplimiento— es exactamente lo que diferencia a un programa de data governance maduro de uno que existe solo en el organigrama. Para los CDO y líderes de riesgo de entidades financieras en la región, esta guía es una señal anticipada: el estándar de “evaluación suficiente” se está moviendo hacia arriba, y los reguladores locales eventualmente seguirán esa dirección. La pregunta no es si adaptar el modelo; es cuánto tiempo queda antes de que el regulador propio lo exija formalmente.

    Las entidades financieras latinoamericanas con exposición regulatoria en Nueva York tienen hoy una ventaja táctica: pueden usar esta guía del DFS para fortalecer su modelo de gobierno de datos antes de que el equivalente local sea mandatorio. Ignorarla equivale a dejar que el regulador marque el ritmo.

  • Argentina: cinco obligaciones clave antes de que rija la nueva Ley de Datos Personales

    Argentina: cinco obligaciones clave antes de que rija la nueva Ley de Datos Personales

    Argentina avanza hacia la entrada en vigencia de su nueva Ley de Datos Personales, que reemplazará a la Ley 25.326 vigente desde el año 2000. Las empresas que operan en el país tienen una ventana definida para adaptar sus procesos: quienes lleguen tarde al cumplimiento no solo enfrentarán sanciones de la Agencia de Acceso a la Información Pública (AAIP), sino que quedarán expuestos ante consumidores y socios comerciales cada vez más exigentes en materia de privacidad.

    La reforma era inevitable. La Ley 25.326 fue sancionada antes de que existieran las redes sociales, el procesamiento masivo de datos en la nube o los modelos de negocio basados en la monetización de información personal. La nueva normativa, cuyo texto fue debatido durante años en el Congreso, actualiza los estándares argentinos acercándolos al Reglamento General de Protección de Datos (RGPD) de la Unión Europea y a la Lei Geral de Proteção de Dados (LGPD) de Brasil, que lleva operativa desde 2020 con multas ya aplicadas por la Autoridade Nacional de Proteção de Dados (ANPD). El diagnóstico regional es claro: los marcos normativos de primera generación ya no alcanzan.

    Cinco obligaciones que las empresas argentinas no pueden postergar

    El camino hacia el cumplimiento no es lineal, pero hay un conjunto de pasos que concentran la mayor parte del riesgo de incumplimiento. Basándonos en el análisis del marco legal y la experiencia comparada con Brasil y México —donde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) lleva más de una década vigente—, estas son las áreas críticas que toda organización debe resolver antes de la entrada en vigor:

    • Mapeo y registro de tratamientos: inventariar qué datos personales se recolectan, con qué base legal, por cuánto tiempo se conservan y quién tiene acceso. Sin este registro, el resto del cumplimiento es imposible de auditar.
    • Revisión de bases de legitimación: el consentimiento deja de ser la única ni la principal base legal. Las empresas deben identificar cuándo aplica interés legítimo, ejecución contractual u obligación legal, y documentarlo correctamente.
    • Actualización de avisos de privacidad y políticas internas: los textos vigentes en la mayoría de las organizaciones fueron redactados bajo la lógica de la Ley 25.326 y no contemplan nuevos derechos como la portabilidad o la limitación del tratamiento.
    • Designación del responsable de protección de datos: la nueva ley incorpora la figura equivalente al Data Protection Officer (DPO). Definir si corresponde designarlo, con qué perfil y con qué nivel de independencia es una decisión que requiere análisis jurídico y organizacional.
    • Protocolo de respuesta a brechas de seguridad: la notificación obligatoria a la autoridad de control y, en ciertos casos, a los titulares afectados, exige un procedimiento interno previamente documentado. Improvisar ante un incidente tiene un costo legal y reputacional alto.

    La experiencia brasileña bajo la LGPD: lecciones para Argentina

    Brasil es el espejo más útil para Argentina en este proceso. La LGPD entró en vigor en septiembre de 2020 y las primeras sanciones de la ANPD llegaron en 2023, con un período de gracia que muchas empresas interpretaron como inactividad regulatoria. El resultado: cuando las multas comenzaron, un porcentaje significativo de organizaciones medianas no tenía ni siquiera el mapeo de tratamientos completado, según reportes de consultoras especializadas en compliance de datos en Brasil. Argentina podría replicar ese patrón si las empresas subestiman el tiempo que toma implementar cambios estructurales.

    México ofrece otro ángulo. La LFPDPPP —vigente desde 2010 y complementada por lineamientos del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI)— demostró que el aviso de privacidad, cuando se trata como un trámite formal en lugar de una herramienta de transparencia real, pierde toda eficacia. Las empresas argentinas tienen la oportunidad de no repetir ese error y diseñar avisos genuinamente informativos desde el inicio.

    La AAIP como autoridad de control: capacidad sancionatoria reforzada

    La nueva ley fortalece las atribuciones de la AAIP para investigar, requerir información y aplicar sanciones. Esto no es un detalle menor: bajo la Ley 25.326, la capacidad sancionatoria de la autoridad de control era limitada y las multas raramente representaban un desincentivo real para las grandes organizaciones. La reforma busca cambiar esa ecuación. Las empresas multinacionales que ya operan bajo RGPD o LGPD reconocerán el esquema; las de capital local, en cambio, necesitarán construir desde cero una cultura de accountability interno.

    Un punto que suele pasarse por alto: la nueva normativa también alcanza a los encargados del tratamiento —proveedores tecnológicos, agencias de marketing, empresas de contact center— que procesan datos por cuenta de terceros. Revisar los contratos con proveedores y exigir garantías de cumplimiento es parte del trabajo de adecuación, no un paso opcional.

    Qué monitorear en los próximos meses: reglamentación y guías de la AAIP

    La ley, una vez promulgada, no opera en el vacío: necesita reglamentación que defina plazos de notificación de brechas, umbrales para la designación obligatoria del DPO y criterios de evaluación del impacto relativo al tratamiento de datos (equivalente al DPIA del RGPD). Las organizaciones deben monitorear activamente las publicaciones de la AAIP en el Boletín Oficial y participar en los espacios de consulta pública que la autoridad suele habilitar antes de emitir guías interpretativas. La experiencia de la ANPD brasileña —que publicó resoluciones clave sobre agentes de tratamiento de pequeño porte y sobre comunicación de incidentes— muestra que esos instrumentos secundarios son tan importantes como el texto de la ley.

    Nuestro análisis

    La actualización de la normativa argentina es positiva y necesaria, pero el riesgo real no está en el texto de la ley sino en el tiempo de implementación. Las organizaciones que esperan a que la AAIP publique la reglamentación completa para recién comenzar su diagnóstico interno llegarán tarde. Los cinco pasos identificados —mapeo, bases legales, avisos, DPO y protocolo de brechas— son independientes de los detalles reglamentarios pendientes y pueden iniciarse ahora. En la región, tanto Brasil como México mostraron que el período de gracia no es un regalo, sino una trampa para quienes lo confunden con inacción del regulador. Argentina tiene la ventaja de poder aprender de esos ciclos. La pregunta es si las empresas locales están dispuestas a usarla.

    El cumplimiento temprano no es ventaja competitiva en abstracto: es el único escenario en el que una organización controla el ritmo de su adecuación en lugar de reaccionar ante una inspección.

  • Kiteworks adquiere Bonfy.AI para integrar IA en gobernanza de datos

    Kiteworks adquiere Bonfy.AI para integrar IA en gobernanza de datos

    Kiteworks anunció la adquisición de Bonfy.AI, una startup especializada en inteligencia artificial aplicada a la gobernanza de datos, con el objetivo de cerrar una brecha operativa que afecta a organizaciones que gestionan contenidos sensibles a escala. La operación señala un movimiento concreto hacia la automatización de controles de clasificación, linaje y acceso en entornos empresariales complejos.

    Kiteworks es una plataforma de gestión de contenido sensible orientada al cumplimiento normativo —usada en sectores como defensa, salud y servicios financieros— que hasta ahora dependía de reglas predefinidas y etiquetado manual para clasificar datos y aplicar políticas de acceso. La incorporación de las capacidades de Bonfy.AI apunta a automatizar ese proceso mediante modelos de lenguaje y clasificación semántica, reduciendo la intervención humana en decisiones de gobernanza que hoy se producen con rezago o directamente no ocurren.

    La brecha que Bonfy.AI promete cerrar: clasificación en tiempo real

    El problema de fondo que motiva esta adquisición es conocido en cualquier equipo de gobierno de datos: los volúmenes de contenido no estructurado crecen más rápido que la capacidad de los data stewards para etiquetarlo y aplicarle políticas. Correos, contratos, reportes regulatorios, archivos compartidos por API —todo eso circula sin que exista una capa automatizada que evalúe en tiempo real qué dato es sensible, quién puede verlo y bajo qué condición normativa. Bonfy.AI, según se informó, aporta exactamente esa capa: un motor de clasificación semántica que opera sobre flujos de contenido activos, no sobre inventarios estáticos.

    En términos del DAMA-DMBOK, esto toca directamente las capacidades de Data Security y Data Quality dentro del ciclo de vida del dato. La automatización de la clasificación no elimina la figura del data steward, pero cambia su rol: de etiquetar manualmente a revisar excepciones y validar reglas del modelo. Es el modelo que el EDM Council identifica en su CDMC (Cloud Data Management Capabilities) cuando habla de controles adaptativos en entornos de nube.

    Cuándo aplica esta integración y cuándo no resuelve el problema

    La propuesta de valor de la combinación Kiteworks-Bonfy.AI aplica con mayor claridad cuando una organización ya tiene definidos sus dominios de datos, sus políticas de acceso y sus obligaciones normativas, pero carece de automatización para aplicarlos a escala. En ese contexto, un motor de IA semántica puede ser un multiplicador real de la capacidad del equipo de gobierno. Sin embargo, si la organización no tiene un marco de gobernanza previo —sin ownership claro por dominio, sin taxonomía de clasificación, sin políticas formalizadas— la IA no suple esa ausencia: clasifica según patrones que nadie definió, y el resultado es ruido con etiqueta automática.

    Tampoco resuelve el problema de linaje (data lineage) en sentido estricto. Clasificar un documento en el momento en que circula no equivale a trazar su origen, transformaciones y destino a lo largo de un pipeline. Son capacidades complementarias, no equivalentes. Los equipos que necesitan linaje para cumplir con obligaciones de auditoría —por ejemplo, bajo la Resolución 4/2019 de la AAIP en Argentina o los artículos 37 a 39 de la LGPD brasileña sobre registros de tratamiento— deben evaluar si Kiteworks ya cubre esa funcionalidad o si requiere integración adicional con herramientas especializadas como Alation, Collibra o DataHub.

    América Latina: el contexto regulatorio que hace urgente esta capacidad

    Para las organizaciones en la región, la automatización de la clasificación de datos no es solo una ventaja operativa: en varios marcos normativos ya es una obligación implícita. La LGPD brasileña (Lei 13.709/2018) exige que el controlador demuestre medidas técnicas y organizativas adecuadas para proteger datos personales, lo que incluye saber qué datos tiene y dónde están. La Ley 25.326 argentina, aunque más antigua, impone obligaciones similares de registro y seguridad. En Colombia, el Decreto 1377 de 2013 y la Ley 1581 requieren identificar la naturaleza de los datos tratados. Sin una capa de clasificación automatizada, cumplir con solicitudes de derechos ARCO o responder ante la Superintendencia de Industria y Comercio en menos de diez días hábiles se convierte en un ejercicio manual costoso y propenso a errores.

    Los bancos y aseguradoras de la región que operan bajo marcos de gestión de riesgos —como las Comunicaciones del BCRA en Argentina o las circulares de la CNBV en México— ya tienen incentivos regulatorios directos para avanzar hacia controles automatizados de clasificación y acceso. La adquisición de Bonfy.AI por Kiteworks es un indicador más de que el mercado de herramientas que combinan gobernanza de datos e IA generativa está entrando en una fase de consolidación, con implicancias de evaluación de proveedores para cualquier CDO de la región que esté en proceso de renovación de su stack de gobierno.

    Organizaciones que aún dependen del etiquetado manual para cumplir con la LGPD o la Ley 25.326 deberían revisar si su arquitectura de gobernanza actual puede absorber una capa de clasificación semántica —o si primero necesitan resolver el ownership y la taxonomía que la alimentaría.

  • Gobernanza de datos: por qué frena la IA antes de que arranque

    Gobernanza de datos: por qué frena la IA antes de que arranque

    La inteligencia artificial no falla por falta de algoritmos ni de poder de cómputo: falla porque los datos que la alimentan están mal catalogados, sin dueño claro y sin linaje trazable. La gobernanza de datos no es el paso previo a la transformación digital; es la condición de posibilidad de cualquier iniciativa de IA que aspire a escalar.

    Cuando una organización lanza un proyecto de machine learning o un agente de IA generativa, el 60% a 80% del esfuerzo real termina siendo de preparación y limpieza de datos, según estimaciones recurrentes en la industria. Ese número no refleja un problema técnico: refleja la ausencia de un programa de gobernanza de datos maduro. Sin definiciones claras de qué dato es autoritativo, quién es su data steward —el responsable operativo de su calidad e integridad— y cómo se transformó desde el origen hasta el modelo, el output de la IA es, en el mejor caso, impredecible.

    Qué es concretamente un cuello de botella de gobernanza

    Un cuello de botella de gobernanza no es que “los datos son sucios”. Es un conjunto específico de carencias estructurales: ausencia de un glosario de negocio (business glossary) con definiciones únicas y acordadas entre áreas; falta de un catálogo de datos activo que indique dónde vive cada activo, quién lo consume y con qué frecuencia se actualiza; data lineage inexistente o fragmentado, que impide saber si el campo “ingreso mensual” en el modelo de crédito viene del CRM, del ERP o de una planilla de Excel mantenida por alguien que ya no trabaja en la empresa. Cualquiera de esos tres puntos, por separado, basta para que un proyecto de IA no pase de piloto.

    El marco DAMA-DMBOK v2 identifica once áreas de conocimiento en gobernanza de datos; la mayoría de las organizaciones latinoamericanas operan con cobertura parcial en no más de tres o cuatro. El EDM Council, a través de su CDMC (Cloud Data Management Capabilities), ofrece una escala de madurez de doce niveles que permite medir exactamente dónde está la brecha. En la práctica, las empresas que intentan implementar IA sin haber alcanzado al menos el nivel 4 del CDMC —que implica políticas de clasificación de datos documentadas y roles de data steward formalmente asignados— enfrentan retrabajo sistemático en cada sprint.

    El rol del CDO y la confusión frecuente con el CIO

    Una de las fricciones organizacionales más comunes es la ausencia de un Chief Data Officer con mandato explícito sobre gobernanza, o la delegación de esa función al CIO, cuya prioridad natural es la disponibilidad de sistemas y la infraestructura. La gobernanza de datos requiere decisiones de negocio —qué definición de “cliente activo” es la correcta para el área de riesgo versus la de marketing— que no son decisiones tecnológicas. Bob Seiner, referente en Non-Invasive Data Governance, sostiene que la gobernanza más efectiva es aquella que formaliza las responsabilidades que ya existen informalmente en la organización, en lugar de crear estructuras paralelas que generan resistencia.

    En empresas que sí tienen un CDO, el foco operativo debería estar hoy en dos frentes simultáneos: primero, identificar qué dominios de datos alimentan los modelos de IA en producción o en piloto, y auditar si esos dominios tienen ownership definido y SLAs de calidad medibles; segundo, negociar con el área de tecnología la incorporación de metadata de gobernanza —clasificación, linaje, restricciones de uso— en los pipelines de datos desde el diseño, no como capa retroactiva.

    Cuándo aplica este diagnóstico y cuándo NO

    Este análisis aplica a organizaciones que ya tienen o planean tener modelos de IA consumiendo datos internos: bancos, aseguradoras, retailers con motores de recomendación, utilities con mantenimiento predictivo. No aplica —o aplica con menor urgencia— a organizaciones que usan IA exclusivamente a través de APIs de terceros con datos propios del proveedor, donde el problema de gobernanza de datos internos es secundario al contrato de uso y las cláusulas de procesamiento. Tampoco sustituye a los controles de ciberseguridad: una buena gobernanza no es un control de acceso, aunque una buena clasificación de datos sí informa qué activos requieren controles de acceso más estrictos.

    El escenario regulatorio en América Latina agrega urgencia

    En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que las organizaciones puedan demostrar la base legal del tratamiento de datos personales y respondan solicitudes de titulares en plazos definidos. Eso requiere saber exactamente dónde está cada dato personal, con qué propósito fue recolectado y qué sistemas lo procesan: en otras palabras, requiere gobernanza de datos funcional. La ANPD ha comenzado a intensificar su actividad fiscalizadora desde 2024, y las empresas que no pueden responder un DSAR —Data Subject Access Request— en tiempo y forma exponen su falta de catálogo y linaje ante el regulador. En Argentina, la Ley 25.326 y su autoridad de control, la AAIP, plantean obligaciones equivalentes, aunque con menor capacidad sancionatoria histórica. En México, el INAI fiscaliza bajo la LFPDPPP con criterios similares. En todos los casos, la gobernanza de datos no es solo una ventaja competitiva para la IA: es un requisito de cumplimiento regulatorio.

    Colombia avanza hacia una reforma de su régimen de datos personales con la SIC como autoridad activa, y Chile opera bajo la Ley 19.628 con un proyecto de modernización que fortalecería las obligaciones de accountability. Para los CDOs de la región, el argumento regulatorio suele ser más eficaz que el argumento de productividad a la hora de conseguir presupuesto para un programa de gobernanza.

    Para profundizar en los estándares de madurez aplicables, el CDMC del EDM Council y el DAMA-DMBOK v2 son los marcos de referencia con mayor adopción regional; ambos están disponibles en sus sitios oficiales y tienen comunidades activas en América Latina.

  • Cifrado TAKE de Ring: por qué no resuelve el problema de privacidad

    Cifrado TAKE de Ring: por qué no resuelve el problema de privacidad

    Amazon presentó “Throw Away the Key Encryption” (TAKE) para sus cámaras Ring con la promesa de reducir el acceso de la empresa —y de las fuerzas del orden— al video de los usuarios. El mecanismo introduce una capa adicional en la gestión de claves de cifrado, pero no equivale a cifrado de extremo a extremo real: Ring sigue teniendo acceso descifrado al video durante 24 horas por cada uso de funciones inteligentes.

    TAKE funciona así: el dispositivo del usuario posee una clave propia, mientras Ring retiene temporalmente claves de cifrado en su infraestructura de nube. Eso le permite procesar funciones como alertas inteligentes, descripciones de video y búsqueda de contenido. Transcurridas 24 horas, la clave se elimina —hasta la próxima vez que el usuario quiera acceder a un video antiguo o activar cualquiera de esas funciones, momento en que la clave vuelve al servidor. El ciclo se repite indefinidamente.

    Por qué 24 horas de acceso siguen siendo acceso

    El modelo actual de Ring cifra el video en tránsito y en reposo, pero Ring siempre lo descifra para procesar sus funciones, lo que significa acceso continuo al contenido. TAKE acota ese acceso en tiempo, pero no en términos estructurales: Ring aún recibe el material sin cifrar para operar sus servicios en la nube. Según la Electronic Frontier Foundation (EFF), aunque TAKE incorpora enclaves seguros que dificultan la exportación directa del material de clave base, las claves igualmente se liberan a servicios que pueden ser modificados. En la práctica, el sistema se comporta de manera casi idéntica a un esquema de cifrado en reposo donde el servidor custodia las claves.

    La distinción técnica relevante es que el dispositivo del usuario actúa como un módulo de seguridad de hardware (HSM, por sus siglas en inglés), pero con una limitación crítica: a diferencia de un HSM dedicado, el teléfono del usuario puede actualizarse, parchearse o verse comprometido, y Amazon puede modificar los servicios del lado del servidor que reciben las claves. Esto reduce la garantía de aislamiento criptográfico que la denominación “TAKE” sugiere.

    Lo que TAKE no cubre: pedidos legales y metadatos

    Uno de los vectores de acceso más relevantes para los usuarios de cámaras domésticas no es técnico sino legal. Las fuerzas de seguridad en Estados Unidos han recurrido históricamente a Ring mediante solicitudes administrativas, órdenes judiciales y, en algunos casos, pedidos directos a vecindarios a través del portal Neighbors de la propia compañía. Un cifrado que cede acceso al servidor durante 24 horas por ciclo sigue siendo susceptible a ese tipo de requerimiento legal durante ese período de vulnerabilidad. TAKE no modifica la relación contractual ni los términos de respuesta de Amazon ante autoridades.

    Tampoco aborda los metadatos: frecuencia de activación de la cámara, momentos de encendido y apagado, patrones de movimiento registrados, dirección IP del dispositivo. Esos datos pueden revelar rutinas del hogar con independencia de que el contenido del video esté cifrado o no, y permanecen disponibles para Amazon y, por extensión, para quienes los requieran legalmente.

    Cuándo aplica TAKE como mejora real —y cuándo no

    TAKE representa una mejora marginal respecto al estado actual de Ring en un escenario específico: el acceso no autorizado a material histórico almacenado en la nube más allá de las 24 horas. Si alguien obtiene acceso no autorizado a los servidores de Ring después de ese período, el video debería estar protegido. Eso no es trivial. Sin embargo, TAKE no resuelve el escenario donde el acceso ocurre dentro de la ventana de 24 horas, ni el escenario de pedidos legales formales durante ese período, ni el problema de los metadatos, ni la dependencia estructural de la arquitectura en la nube de Amazon para funcionar. Para quienes busquen privacidad real frente a vigilancia estatal o corporativa, el único esquema que lo garantiza es el cifrado de extremo a extremo sin procesamiento en la nube —que Ring ofrece como opción, pero a costo de perder todas las funciones inteligentes.

    El contexto regulatorio en América Latina importa aquí

    En la región, la adopción de cámaras conectadas al hogar crece sostenidamente, y con ella la pregunta sobre qué marcos protegen los videos capturados. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige base legal para el tratamiento de datos personales, y los videos de cámaras domésticas que capturan espacios públicos o terceras personas calificaron como datos personales según interpretaciones de la Autoridade Nacional de Proteção de Dados (ANPD). En Argentina, la Ley 25.326 de Protección de Datos Personales establece requisitos de seguridad que aplican al responsable del tratamiento, lo que en este caso incluye al proveedor del servicio de nube. En México, la LFPDPPP obliga a informar de manera clara las finalidades del tratamiento y los destinatarios de los datos, incluidos terceros como las fuerzas del orden. Ninguna de estas leyes impide que Amazon reciba los datos, pero todas habilitan a los usuarios a exigir información sobre quién accede a su video y en qué condiciones —un derecho que TAKE, como arquitectura técnica, no garantiza por sí solo.

    La cuestión de fondo es que el cifrado en dispositivos de vigilancia doméstica conectados a la nube es inseparable del modelo de negocio del proveedor: mientras más funciones inteligentes se ofrezcan, más procesamiento en claro se requiere. Las opciones de cifrado real existen, pero el incentivo comercial apunta en dirección contraria.

    Quienes evalúen la privacidad de sus dispositivos Ring en la región deben leer los términos de respuesta a solicitudes legales de Amazon —disponibles en su Informe de Transparencia— antes de asumir que TAKE los protege de algo más que un acceso histórico no autorizado a los servidores.

  • India condiciona su expansión financiera digital a mayor gobernanza de datos

    India condiciona su expansión financiera digital a mayor gobernanza de datos

    India está condicionando la expansión de su infraestructura pública digital financiera —conocida como DPI (Digital Public Infrastructure)— a requisitos más exigentes de gobernanza de datos. La decisión convierte a la mayor democracia del mundo en un caso de referencia para economías emergentes que buscan escalar sistemas de pagos e identidad digital sin sacrificar el control sobre los datos que circulan por esos sistemas.

    El movimiento indio no es menor en términos de escala. La pila DPI del país —que incluye Aadhaar (identidad biométrica), UPI (pagos en tiempo real) y el Account Aggregator Framework— procesa miles de millones de transacciones mensuales y está siendo replicada o adaptada por gobiernos de África, Asia del Sur y, progresivamente, América Latina. Que India decida ahora elevar las expectativas de gobernanza de datos sobre esa infraestructura envía una señal clara: la expansión sin marcos de control es políticamente insostenible y operativamente riesgosa.

    Qué implica vincular DPI con gobernanza de datos en la práctica

    La conexión entre infraestructura pública digital y gobernanza de datos no es retórica. Según se informó, las expectativas regulatorias emergentes en India apuntan a que los operadores de DPI financiero deban demostrar capacidades concretas: clasificación de datos por sensibilidad, linaje auditable de los flujos de información entre entidades participantes, y mecanismos de consentimiento verificable para el acceso a datos del usuario. Esto se alinea con el Marco de Protección de Datos Digitales Personales (DPDPA, por sus siglas en inglés), sancionado en 2023, que establece obligaciones para “fiduciarios de datos” —equivalente al concepto de data controller en terminología GDPR— y para los procesadores que operan por delegación.

    Desde una perspectiva de gobierno del dato corporativo, el modelo indio obliga a los participantes del ecosistema DPI a operar con capabilities equivalentes al nivel 5 o superior del CDMC (Cloud Data Management Capabilities) del EDM Council: ownership claro sobre cada conjunto de datos, catálogos activos con metadatos de calidad y controles de acceso basados en roles auditables. En muchos casos, las entidades financieras de mercados emergentes que se integran a DPI no tienen esos controles formalizados —los tienen implícitos en sus sistemas core, pero sin la documentación que un regulador puede auditar.

    El Account Aggregator Framework como modelo de consentimiento estructurado

    Uno de los componentes más relevantes del DPI indio para el debate global es el Account Aggregator (AA) Framework. Este sistema permite que los usuarios autoricen —y revoquen— el flujo de sus datos financieros entre instituciones de manera granular, con registros auditables de cada consentimiento. No es solo privacidad: es gobernanza de datos aplicada a escala de infraestructura nacional. El fiduciario de datos en este modelo no puede invocar un consentimiento genérico; debe demostrar que el dato fue compartido dentro del alcance, el propósito y el período habilitado por el usuario.

    Este diseño responde directamente a la crítica que organismos como el BIS (Bank for International Settlements) han formulado sobre los sistemas DPI de primera generación: que al escalar la conectividad financiera sin arquitecturas de consentimiento, se crean repositorios de datos de comportamiento financiero masivos con escasa rendición de cuentas. India parece haber internalizado esa crítica en su expansión actual.

    Brasil con Open Finance y México con CoDi: dos experiencias LATAM bajo la misma presión

    América Latina no es ajena a esta tensión. Brasil desplegó Open Finance —anteriormente Open Banking— bajo regulación del Banco Central (Resolução Conjunta nº 1/2020 y sus actualizaciones), con un modelo de consentimiento que en varios aspectos espeja el Account Aggregator indio: el usuario autoriza la portabilidad de sus datos y puede revocarla en cualquier momento. Sin embargo, el Banco Central de Brasil y la ANPD (Autoridade Nacional de Proteção de Dados) aún trabajan en delimitar con precisión las obligaciones de linaje de datos para los participantes del ecosistema, una brecha que las auditorías internas de entidades financieras grandes han identificado como riesgo de compliance bajo la LGPD.

    México, por su parte, opera el sistema de pagos CoDi sobre la infraestructura del SPEI del Banco de México. La Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera, 2018) establece bases para el uso compartido de datos financieros, pero el ecosistema de Open Finance mexicano está aún en desarrollo normativo. Las ITF (Instituciones de Tecnología Financiera) que operan bajo supervisión de la CNBV deben cumplir la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), pero los marcos específicos de data stewardship para flujos DPI no están formalizados con el nivel de granularidad que India está empujando. Colombia avanza en una dirección similar: su marco de Open Finance, impulsado por la Superfinanciera, incorpora elementos de consentimiento granular, pero la gobernanza del dato subyacente sigue dependiendo en gran medida de políticas internas de cada entidad.

    Qué monitorear: las decisiones que tomarán ANPD, CNBV y reguladores bancarios en los próximos 18 meses

    El caso indio establece un precedente que los reguladores latinoamericanos van a tener que procesar. Los CDOs y equipos de gobernanza de datos de entidades financieras en la región deben prestar atención a tres hitos concretos: primero, la reglamentación pendiente del DPDPA indio —que definirá el estándar técnico exigible y puede ser citado en foros del G20 como referencia—; segundo, la evolución de las normas del Banco Central de Brasil sobre responsabilidades de datos en el ecosistema Open Finance, donde se esperan actualizaciones en 2025-2026; y tercero, el avance legislativo del Open Finance en México, cuyo rezago normativo puede convertirse en riesgo reputacional para las instituciones que ya operan con datos de usuarios en esquemas de intercambio.

    Desde una perspectiva operativa, un CDO de una entidad financiera latinoamericana que participa —o planea participar— en ecosistemas DPI debería auditar hoy tres capacidades: (1) la existencia de un data catalog con clasificación de sensibilidad para todos los datasets compartidos en APIs de Open Finance; (2) la trazabilidad —data lineage— de cada flujo de datos desde la fuente hasta el receptor, con timestamps auditables; y (3) la arquitectura de consentimiento: ¿el sistema puede demostrar ante un regulador que el dato fue compartido dentro del alcance habilitado por el usuario, sin excederse en propósito ni período? Si alguna de estas tres respuestas es “no documentado” o “dependemos del proveedor”, el riesgo de compliance es real y creciente.

    Nuestro análisis: DPI sin gobernanza es infraestructura con fecha de vencimiento regulatorio

    La decisión india de vincular expansión DPI con gobernanza de datos refleja una madurez regulatoria que los mercados emergentes tienden a postergar bajo el argumento de la inclusión financiera. El razonamiento implícito —”primero conectamos a todos, después regulamos”— es políticamente comprensible pero técnicamente costoso: deshacer arquitecturas de datos sin ownership claro una vez que escalan es exponencialmente más caro que diseñarlas bien desde el inicio. El DAMA-DMBOK lleva dos décadas documentando este ciclo; India acaba de convertirlo en política pública.

    Para América Latina, donde el impulso a la inclusión financiera digital es genuino y urgente, el riesgo es replicar la expansión sin los controles. Brasil está más avanzado que el promedio regional, pero incluso su ecosistema Open Finance tiene brechas documentadas en linaje y en la formalización del rol de data steward entre participantes no bancarios. México y Colombia tienen sistemas con potencial, pero marcos de gobernanza del dato que aún dependen más de buenas prácticas voluntarias que de exigencias regulatorias auditables.

    El estándar que India está construyendo llegará a las mesas de los reguladores latinoamericanos, probablemente vía foros del G20 o recomendaciones del BIS. La pregunta para los CDOs de la región no es si van a tener que cumplirlo, sino cuánto les va a costar hacerlo cuando ya no sea opcional.

  • Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware actualiza su ley de privacidad: qué cambia con HB 380

    Delaware promulgó la House Bill 380, una reforma sustantiva a su Delaware Personal Data Privacy Act (DPDPA) que ajusta obligaciones para controladores de datos, amplía derechos de los consumidores y endurece requisitos de transparencia. La movida convierte a Delaware en uno de los estados estadounidenses con la legislación de privacidad más actualizada del país, y el impacto se extiende a cualquier empresa latinoamericana que opere o comercialice servicios en ese mercado.

    Delaware no es un actor menor en el ecosistema corporativo de América: es el estado de constitución de más del 65% de las empresas Fortune 500, según datos de la División de Corporaciones de Delaware. Eso significa que la reforma no es solo una cuestión local. Cualquier entidad constituida allí —y muchas con sede en Brasil, México o Argentina lo están— queda alcanzada por las nuevas obligaciones, independientemente de dónde procese los datos.

    Qué modifica HB 380 en la DPDPA original

    La HB 380 introduce ajustes en al menos tres ejes centrales de la DPDPA vigente desde 2023. Primero, refuerza las obligaciones de evaluación de impacto de protección de datos (DPIA) para tratamientos de alto riesgo, incluyendo publicidad dirigida, venta de datos personales y elaboración de perfiles con efectos jurídicos. Segundo, amplía la definición de “datos sensibles” para incorporar categorías que la ley original dejaba en zona gris, entre ellas datos de salud mental y datos derivados de inferencias sobre características protegidas. Tercero, establece mecanismos más precisos de opt-out universales para los consumidores, alineándose con el Global Privacy Control (GPC), señal técnica que varios estados ya reconocen como método válido de ejercicio de derechos.

    El régimen de cumplimiento también se toca: la reforma ajusta los plazos para responder solicitudes de derechos —equivalentes a los DSAR del GDPR— y precisa qué información debe incluirse en las políticas de privacidad para que se consideren suficientes ante una eventual acción del Attorney General, que retiene la facultad exclusiva de aplicación de la ley.

    LGPD, Ley 25.326 y LFPDPPP frente al estándar Delaware

    El ejercicio comparativo revela tanto convergencias como brechas relevantes para equipos de compliance en la región. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ya reconoce la evaluación de impacto —llamada Relatório de Impacto à Proteção de Dados Pessoais (RIPD)— como obligación para tratamientos de alto riesgo, lo que la acerca conceptualmente a la DPIA reforzada por HB 380. Sin embargo, la ANPD aún no ha publicado criterios definitivos sobre qué tratamientos activan ese umbral, lo que deja margen de incertidumbre operativa que Delaware, en cambio, empieza a cerrar con texto más preciso.

    Argentina opera bajo la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000 y objeto de un proceso de reforma que lleva años pendiente en el Congreso. La AAIP ha impulsado un proyecto de actualización que incorporaría, entre otras cosas, evaluaciones de impacto y mecanismos de opt-out más modernos —exactamente lo que HB 380 consolida en Delaware—. Mientras Argentina espera, las empresas argentinas con presencia en Estados Unidos enfrentan la paradoja de cumplir estándares más exigentes en el norte que los que rigen en su propio mercado doméstico.

    México presenta una dinámica distinta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) incluye derechos ARCO robustos y avisos de privacidad detallados, pero carece de un mecanismo equivalente al opt-out universal vía señal técnica. El INAI ha dado señales de modernización regulatoria, aunque sin cronograma firme. Para empresas mexicanas que operan en ambos mercados, la HB 380 de Delaware anticipa un nivel de granularidad técnica que el marco mexicano todavía no exige.

    Impacto operativo para empresas con vínculos en Delaware

    Las obligaciones concretas que HB 380 activa para controladores de datos incluyen revisar si los mecanismos de opt-out actuales son compatibles con el GPC, actualizar las DPIA para reflejar las nuevas categorías de datos sensibles y auditar las políticas de privacidad públicas para verificar que cumplen los requisitos de contenido mínimo que la reforma especifica. Las empresas latinoamericanas con subsidiarias, fondos de capital o estructuras holding constituidas en Delaware deben evaluar si esas entidades califican como controladores bajo la DPDPA reformada —el umbral aplica a quienes realizan negocios en Delaware o dirigen productos a residentes del estado.

    El riesgo de no actuar no es inmediato en términos de multa automática, ya que la DPDPA mantiene el modelo de aplicación exclusiva por el Attorney General, sin causa de acción privada. Pero la ausencia de cumplimiento documentado puede transformarse en pasivo legal en el momento en que ese órgano inicie una investigación, especialmente si el incumplimiento involucra datos sensibles de la nueva categoría.

    Qué monitorear en los próximos seis meses

    Delaware no especificó en la HB 380 una fecha de entrada en vigor diferida larga, por lo que los equipos de compliance deben asumir que los cambios son exigibles en el corto plazo. Los hitos a seguir incluyen:

    • Publicación de guías interpretativas del Attorney General de Delaware sobre los nuevos requisitos de DPIA y opt-out.
    • Avance del proyecto de reforma de la Ley 25.326 en el Congreso argentino, que podría incorporar estándares similares.
    • Resolución de la ANPD brasileña sobre criterios de activación del RIPD para tratamientos de alto riesgo.
    • Posibles lineamientos del INAI mexicano sobre reconocimiento de señales técnicas de opt-out en el contexto de la LFPDPPP.

    Nuestro análisis

    La HB 380 es relevante para LATAM no porque Delaware sea un referente regulatorio directo de la región, sino porque actúa como laboratorio de estándares corporativos globales. Cuando la mayoría de las grandes empresas latinoamericanas se constituyen o financian a través de Delaware, los requisitos de ese estado se convierten de facto en el piso de compliance que esas estructuras deben sostener. El movimiento de Delaware hacia el opt-out técnico universal y la expansión de datos sensibles es consistente con una tendencia global que LGPD, GDPR y el futuro marco argentino ya anticipan. Los equipos de privacidad en la región que esperan a que “su” regulador local se actualice están gestionando el riesgo por el lado equivocado: el riesgo Delaware ya está activo hoy.

    ¿Tiene su organización mapeadas las entidades constituidas en Delaware y evaluado si califican como controladores bajo la DPDPA reformada? Esa pregunta debería estar en la agenda del próximo comité de privacidad.

  • California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California prohíbe redes sociales a menores de 16: la EFF dice que es el camino equivocado

    California acaba de convertirse en el estado más poblado de Estados Unidos en prohibir el acceso de menores de 16 años a redes sociales, con la promulgación de AB 1709 por el gobernador Gavin Newsom. La Electronic Frontier Foundation rechazó la norma de forma inmediata, argumentando que la ley no resuelve los problemas estructurales de la industria y, en cambio, introduce nuevos riesgos para la privacidad de todos los usuarios.

    AB 1709 establece una restricción funcional de acceso a plataformas de redes sociales para personas menores de 16 años. Para cumplir con la norma, las plataformas deberán implementar sistemas de verificación de edad, lo que implica —en la práctica— recolectar más datos personales de sus usuarios. La EFF señala que este mecanismo concentra aún más poder en manos de las empresas tecnológicas, en lugar de desmantelar los modelos de negocio basados en vigilancia que son, según la organización, el problema central.

    AB 1709: qué prohíbe la ley californiana y cómo funciona la verificación de edad

    La ley no solo impide el registro de menores de 16 años: también elimina herramientas básicas de navegación para quienes no puedan verificar su edad. Según la EFF, esta arquitectura de cumplimiento obliga a todos los usuarios —no solo a los menores— a entregar información personal adicional para franquear los controles de acceso. La verificación de edad, lejos de proteger a los jóvenes, expande la superficie de recolección de datos de las plataformas. Rindala Alajaji, directora asociada de Asuntos Estatales de la EFF, sostuvo que “prohibir el acceso de menores a foros digitales —o eliminar las herramientas básicas necesarias para navegarlos— no va a ayudar a que los jóvenes sean más seguros o saludables en la era de la IA”.

    La organización también anticipó litigios: califican la norma como inconsistente con los derechos de libre expresión garantizados constitucionalmente, y advierten que California destinará recursos a defender una ley que enfrentará impugnaciones judiciales, en lugar de avanzar hacia marcos de privacidad más sólidos.

    El argumento de fondo: leyes de privacidad contra modelos de vigilancia, no contra usuarios

    La posición de la EFF no es de defensa irrestricta de las plataformas. Al contrario: la organización argumenta que la regulación debe apuntar a los modelos de negocio que monetizan la atención y los datos de los usuarios, no a la restricción de acceso a internet. La investigación disponible, según señala la EFF, indica que las prohibiciones de este tipo resultan ineficaces para mejorar la salud o seguridad de los jóvenes, mientras que sí les recortan oportunidades de expresión, participación política, práctica religiosa y construcción de comunidad, especialmente para quienes no encuentran esos espacios en el mundo físico.

    El debate sobre la verificación de edad en plataformas no es nuevo ni exclusivo de California. En el Reino Unido, el Online Safety Act 2023 introdujo obligaciones similares para plataformas con audiencias infantiles. En la Unión Europea, el Digital Services Act establece requisitos de protección para menores, aunque sin prohibiciones de acceso absolutas. La diferencia de enfoque es relevante: mientras las normativas europeas tienden a exigir salvaguardas en el diseño de los servicios, la ley californiana opta por una restricción de acceso que traslada la carga de cumplimiento hacia la verificación de identidad masiva.

    Brasil, Argentina y México ante el mismo dilema regulatorio para menores en redes

    América Latina observa el debate californiano con atención, porque varios países de la región tienen proyectos similares en distintos estadios de avance. Brasil sancionó en septiembre de 2024 la Ley 14.811, que prohíbe el uso de redes sociales a menores de 14 años sin autorización parental y obliga a las plataformas a implementar medidas de protección; la reglamentación de sus mecanismos de verificación todavía está en proceso y genera tensiones análogas a las que describe la EFF para California. En Argentina, la Ley 26.061 de Protección Integral de Niños, Niñas y Adolescentes es el paraguas vigente, pero no regula específicamente el acceso a plataformas digitales; el Ministerio de Capital Humano y el Ente Nacional de Comunicaciones (ENACOM) han explorado lineamientos sin traducirlos en una norma específica. En México, la Ley Federal de Telecomunicaciones y Radiodifusión incluye obligaciones generales de protección de menores en medios audiovisuales, pero la regulación de redes sociales en este segmento sigue fragmentada y sin un proyecto de ley consolidado.

    El patrón común en los tres países es el mismo que señala la EFF para California: cuando la regulación se centra en el control de acceso etario, la verificación de edad se convierte en un nuevo vector de recolección de datos personales, sin que existan —en paralelo— marcos robustos que limiten qué pueden hacer las plataformas con esa información. En Brasil, la ANPD (Autoridade Nacional de Proteção de Dados) tiene competencia sobre el tratamiento de datos de menores bajo la LGPD, pero la articulación entre esa autoridad y los mecanismos de verificación que exige la Ley 14.811 todavía no está resuelta. En Argentina, la AAIP (Agencia de Acceso a la Información Pública) enfrenta una situación equivalente bajo la Ley 25.326, cuya actualización lleva años pendiente en el Congreso.

    Verificación de edad y expansión de la recolección de datos: el efecto colateral que los legisladores subestiman

    El punto técnico que la EFF pone sobre la mesa merece atención particular para los equipos de privacidad de la región. Cada vez que una norma exige verificar la edad de un usuario, las plataformas necesitan un vector de autenticación: documento de identidad, número de teléfono, datos biométricos o combinaciones de los anteriores. Esa recolección adicional amplía el perímetro de datos bajo custodia de la plataforma. Si la normativa de privacidad aplicable no regula con precisión qué puede hacerse con esos datos de verificación, cuánto tiempo pueden retenerse y qué mecanismos de auditoría existen, el resultado neto puede ser un aumento del riesgo para todos los usuarios, no solo para los menores que se pretende proteger. Es exactamente la crítica que articula la EFF, y es un problema de diseño regulatorio que los países de América Latina deberían resolver antes de replicar el modelo californiano.

    Nuestro análisis

    La crítica de la EFF a AB 1709 es técnicamente sólida y políticamente incómoda. Es incómoda porque señala que proteger a los menores en entornos digitales requiere algo más difícil que una prohibición: requiere regular los modelos de negocio que hacen de la atención y los datos un producto. Eso implica confrontar a las plataformas en su arquitectura de monetización, no solo en su política de registro de usuarios. Para América Latina, la lección es concreta: si Brasil, Argentina o México avanzan en leyes de restricción etaria sin acompañarlas de marcos que limiten el uso de los datos de verificación, el resultado será más recolección de datos personales de la población general con menos garantías de privacidad. La ANPD y la AAIP tienen aquí una oportunidad de intervenir en la discusión antes de que las leyes de protección de menores se conviertan en nuevas fuentes de riesgo para los datos de toda la ciudadanía.

    Prohibir el acceso no es lo mismo que garantizar la protección: mientras los países de la región debaten quién puede entrar a internet, la pregunta que nadie responde es qué pueden hacer las plataformas con los datos que recolectan para decidirlo.