DataTrends LATAM

Etiqueta: Normativa

  • Agentes de IA y ciberataques: el vacío legal que Chile aún no cierra

    Agentes de IA y ciberataques: el vacío legal que Chile aún no cierra

    Los agentes de inteligencia artificial que operan de forma autónoma en redes corporativas abren un frente jurídico que Chile todavía no ha sabido cerrar: ¿quién responde cuando un sistema de IA es el vector o la víctima de un ciberataque? La pregunta no es teórica. A medida que la adopción de agentes de IA se acelera en el ecosistema empresarial chileno, el ordenamiento jurídico vigente muestra costuras que ninguna ley en tramitación resuelve por completo.

    Chile lleva años construyendo reputación como laboratorio regulatorio en América Latina. Fue el primer país de la región en incorporar la protección de datos a rango constitucional y lleva más de una década con un proyecto de ley de protección de datos personales en el Congreso —finalmente promulgado en 2024 como Ley 21.719, aunque con entrada en vigor escalonada. Sin embargo, la regulación específica sobre sistemas de inteligencia artificial autónomos sigue siendo fragmentaria: existen orientaciones sectoriales de la Comisión para el Mercado Financiero (CMF) y lineamientos del Ministerio de Ciencia, pero ningún marco horizontal que asigne responsabilidad cuando un agente de IA causa daño o es comprometido.

    Ley 21.719 y el silencio sobre sistemas autónomos

    La nueva ley de protección de datos personales chilena moderniza obligaciones de los responsables de tratamiento, incorpora el principio de responsabilidad proactiva y exige medidas técnicas y organizativas proporcionales al riesgo. Pero su redacción sigue pensada para un modelo donde hay un humano identificable detrás de cada decisión de tratamiento. Cuando un agente de IA toma decisiones de forma encadenada —consultando APIs, cruzando bases de datos, ejecutando acciones— la cadena de responsabilidad se difumina. ¿Es el desarrollador del modelo base, el integrador, el cliente empresarial o el propio operador de la infraestructura quien responde ante la Agencia de Protección de Datos Personales (APDP), el nuevo organismo que la ley crea?

    La ley establece un plazo de notificación de vulneraciones de datos, pero no aborda el escenario en que sea el propio agente de IA quien genere o amplifique una brecha —por ejemplo, al ser manipulado mediante prompt injection o al exfiltrar datos como efecto colateral de una instrucción mal formulada. Esos casos exigen interpretación creativa de artículos pensados para contextos de tratamiento tradicional.

    Prompt injection y responsabilidad civil: el caso que ningún tribunal chileno ha resuelto

    Los ataques de prompt injection —técnica mediante la cual un actor malicioso inyecta instrucciones en el contexto de un agente de IA para desviar su comportamiento— ya se documentan en entornos productivos a nivel global. Para un agente desplegado en una empresa chilena que maneja datos de clientes, un ataque exitoso de este tipo puede derivar en exfiltración de información, suplantación de identidad o ejecución de transacciones no autorizadas. Ninguna de esas consecuencias tiene hoy un régimen de responsabilidad civil explícito en el derecho chileno. El Código Civil permite argumentar responsabilidad extracontractual por culpa o dolo, pero la atribución en sistemas de IA multicapa es un ejercicio que los tribunales de la región no han desarrollado con profundidad.

    En contraste, la Unión Europea ya cuenta con el AI Act —vigente desde agosto de 2024— que clasifica los sistemas de IA por nivel de riesgo y establece obligaciones específicas para sistemas de alto riesgo, incluidos requisitos de robustez y ciberseguridad. Los agentes autónomos con capacidad de acción en entornos externos quedarán bajo escrutinio particular en ese marco. Chile no tiene un equivalente funcional.

    Brasil y Colombia avanzan, aunque con distinto ritmo

    En el resto de la región el panorama es desparejo. Brasil cuenta con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y la Autoridade Nacional de Proteção de Dados (ANPD) ha comenzado a pronunciarse sobre decisiones automatizadas, aunque la regulación específica de agentes de IA es todavía incipiente. El Congreso brasileño tiene en discusión un marco regulatorio de IA —PL 2338/2023— que sigue de cerca la lógica del AI Act europeo y contempla sistemas autónomos como categoría de atención. Colombia, por su parte, opera bajo la Ley 1581/2012 y la Superintendencia de Industria y Comercio (SIC) ha emitido guías sobre IA y datos personales, pero sin fuerza vinculante sobre la responsabilidad en incidentes de seguridad causados o mediados por sistemas autónomos.

    Argentina transita una situación similar: la Ley 25.326 de Protección de Datos Personales data de 2000 y su reforma lleva años paralizada en el Congreso. La Agencia de Acceso a la Información Pública (AAIP) publicó lineamientos sobre IA en 2023, pero sin valor normativo directo. Ninguno de estos países tiene hoy un régimen que responda con claridad a la pregunta de quién asume la obligación de notificación, compensación y remediación cuando un agente de IA es el actor central de un incidente.

    Qué deben monitorear las empresas con operaciones en Chile durante 2025–2026

    La entrada en vigor escalonada de la Ley 21.719 y la instalación de la APDP marcan el calendario inmediato. Las empresas que ya despliegan agentes de IA en Chile deben asumir que la autoridad interpretará las obligaciones de seguridad del responsable de tratamiento de forma extensiva —incluyendo los riesgos que introducen sistemas autónomos. En paralelo, el Ministerio de Ciencia trabaja en una Política Nacional de Inteligencia Artificial actualizada que podría sentar bases para legislación futura. A nivel regional, el avance del PL 2338 en Brasil funcionará como referencia para otros legisladores latinoamericanos, dada la masa crítica del mercado brasileño.

    • Mapear todos los agentes de IA desplegados en entornos que traten datos personales de ciudadanos chilenos, con identificación del responsable de cada capa del sistema.
    • Revisar contratos con proveedores de modelos e integradores para clarificar la asignación contractual de responsabilidad ante incidentes causados o mediados por IA.
    • Incorporar pruebas de adversarial prompting y controles de salida en los protocolos de seguridad de agentes autónomos.
    • Monitorear la reglamentación secundaria que emita la APDP sobre medidas de seguridad y decisiones automatizadas.

    Nuestro análisis

    Chile está mejor posicionado que la mayoría de sus vecinos para dar el salto regulatorio sobre IA: tiene una autoridad de datos en proceso de instalación, una ley moderna recién promulgada y una tradición de diálogo técnico-legal en el sector tecnológico. Pero la velocidad de adopción de agentes autónomos en empresas medianas y grandes ya supera el ritmo legislativo. El riesgo concreto no es abstracto: una empresa chilena que sufra una brecha causada por prompt injection sobre un agente de IA enfrentará hoy un vacío de atribución que beneficia a los actores menos diligentes y perjudica a quienes invirtieron en controles. La APDP necesitará emitir criterios interpretativos sobre sistemas autónomos antes de que ese primer caso llegue a su escritorio —porque cuando llegue, el daño ya estará hecho.

    La pregunta que Chile debe responder no es si regular la IA, sino si lo hará antes o después del primer incidente de escala que protagonice un agente autónomo con datos de sus ciudadanos.

  • IA que diseña virus: qué implica para la regulación de sistemas biológicos

    IA que diseña virus: qué implica para la regulación de sistemas biológicos

    En 2025, Samuel King, estudiante de doctorado en Stanford, utilizó un modelo de inteligencia artificial generativa para proponer planos genéticos de virus microscópicos. El experimento no produce vida artificial todavía, pero abre una pregunta legal y regulatoria que ningún marco vigente responde de forma completa: ¿quién es responsable de lo que un sistema de IA diseña en el plano biológico?

    La investigación de King representa un punto de inflexión conceptual. Hasta ahora, el diseño de organismos sintéticos exigía equipos de biología molecular con décadas de especialización. Un modelo de IA generativa que propone secuencias genéticas viable —aunque sea a nivel preliminar— comprime ese umbral de manera radical. El experimento no implica que el sistema “comprenda” biología: infiere patrones a partir de datos de entrenamiento, igual que cualquier LLM infiere texto. Pero el output es cualitativamente distinto: un blueprint que podría, en teoría, materializarse en un laboratorio.

    El vacío regulatorio que nadie quiere nombrar

    Los marcos regulatorios actuales sobre inteligencia artificial —el AI Act de la Unión Europea, los Executive Orders en Estados Unidos, los lineamientos del Consejo de Derechos Humanos de la ONU— clasifican el riesgo de los sistemas de IA por dominio de aplicación: crédito, empleo, salud, infraestructura crítica. Ninguno contempla de forma explícita el uso de IA para el diseño de entidades biológicas. El AI Act europeo, que entró en vigor en etapas desde 2024, define como “alto riesgo” a los sistemas que operan en infraestructura crítica y en el ámbito de la salud, pero el diseño generativo de secuencias genéticas no encaja con nitidez en ninguna de esas categorías tal como están redactadas.

    En paralelo, la Convención sobre Armas Biológicas (BWC, por sus siglas en inglés) fue negociada en 1972 y no contempla actores no estatales que accedan a capacidades de síntesis biológica asistida por IA. La brecha entre el ritmo de la tecnología y el de los tratados internacionales rara vez fue tan visible como en este caso.

    Cuándo aplica responsabilidad legal sobre el sistema — y cuándo no

    La pregunta de responsabilidad civil y penal sobre sistemas de IA que generan outputs potencialmente peligrosos es, hoy, una pregunta abierta en casi todas las jurisdicciones. En el derecho continental europeo y latinoamericano, la responsabilidad tiende a recaer sobre quien despliega el sistema, no sobre el desarrollador del modelo base —salvo negligencia demostrable en el diseño. Eso significa que, bajo el esquema actual, una universidad o laboratorio que use un modelo generativo para explorar secuencias biológicas asumiría la carga legal de cualquier consecuencia.

    El problema se vuelve más complejo cuando el modelo es de acceso abierto o cuando el output se genera sin intención deliberada de daño. Las teorías de responsabilidad por producto defectuoso —aplicadas con éxito en algunos litigios sobre sistemas de IA en Estados Unidos— requieren demostrar que el sistema tiene un defecto de diseño o fabricación. Un modelo que “hace bien su trabajo” pero cuyo output resulta peligroso en manos de un tercero enfrenta un test de responsabilidad para el que los códigos civiles latinoamericanos no tienen respuesta clara.

    El ángulo de Argentina, Brasil y México ante el diseño biológico asistido por IA

    Ninguno de los tres grandes marcos regulatorios de IA en América Latina —la propuesta de regulación de Brasil en debate legislativo, los lineamientos del Instituto Nacional de Transparencia (INAI) en México, ni la normativa emergente en Argentina bajo la órbita de la Agencia de Acceso a la Información Pública (AAIP)— contempla explícitamente el uso de IA en biología sintética. La región ha avanzado en privacidad y en gobernanza de datos, pero la intersección entre IA y bioseguridad permanece fuera del radar normativo. Esto no es un reproche: la mayoría de las jurisdicciones avanzadas tampoco lo tienen resuelto. Pero sí implica que los laboratorios académicos en São Paulo, Ciudad de México o Buenos Aires que adopten estas herramientas operarán, por ahora, bajo un vacío legal que la analogía con marcos existentes no puede llenar del todo.

    Cuándo aplica / cuándo NO la regulación de IA de alto riesgo

    Aplicaría regulación de IA de alto riesgo —bajo el AI Act o marcos equivalentes— si el sistema se usa en decisiones clínicas directas sobre pacientes identificables, o si el output se integra a procesos de manufactura farmacéutica supervisados. No aplicaría de forma automática cuando el uso es exploratorio o de investigación básica, cuando el modelo no toma decisiones autónomas sino que propone opciones revisadas por humanos, o cuando el output no tiene efecto jurídico inmediato. La distinción entre “asistencia a la investigación” y “sistema de alto riesgo” es, precisamente, el nudo que los reguladores deberán desatar en los próximos años.

    El debate sobre quién regula estos sistemas —agencias de salud, autoridades de IA, organismos de bioseguridad— está apenas comenzando. En la práctica, esa superposición de jurisdicciones crea un espacio gris que los actores académicos y comerciales pueden navegar con relativa libertad, al menos por ahora.

    Para profundizar en el marco técnico y jurídico del AI Act y su clasificación de sistemas de alto riesgo, el texto oficial del Reglamento (UE) 2024/1689 publicado en el Diario Oficial de la Unión Europea es el punto de partida obligado para cualquier análisis comparado con marcos latinoamericanos en desarrollo.

  • Datos indígenas y GDPR: la brecha que los pueblos Sámi pusieron en evidencia

    Datos indígenas y GDPR: la brecha que los pueblos Sámi pusieron en evidencia

    El Reglamento General de Protección de Datos de la Unión Europea —el marco de referencia que inspiró leyes en toda América Latina— tiene un punto ciego estructural: no reconoce la naturaleza colectiva de los datos indígenas. Académicos del pueblo Sámi publicaron una propuesta concreta para corregirlo, y el debate que abrieron tiene implicancias directas para la gobernanza de datos en países como Bolivia, Guatemala, México y Colombia, donde la dimensión colectiva del dato sigue ausente de los marcos legales vigentes.

    Por qué el modelo GDPR falla cuando el dato es colectivo, no individual

    El GDPR está construido sobre una premisa liberal: el dato pertenece a un individuo identificable, y ese individuo ejerce derechos —acceso, rectificación, supresión— de manera autónoma. Para los pueblos indígenas, esa arquitectura no funciona. Los datos sobre lenguas, territorios, prácticas medicinales o genealogías no son atributos de personas individuales: son patrimonio comunitario. El daño de su extracción o mal uso no recae sobre un ciudadano; recae sobre un pueblo.

    Los académicos Sámi —cuya comunidad está repartida entre Noruega, Suecia, Finlandia y Rusia— señalan que incluso cuando un individuo Sámi ejerce sus derechos bajo el GDPR, no puede representar ni proteger los intereses colectivos del grupo. El consentimiento individual, pilar del GDPR, no equivale al consentimiento comunitario libre, previo e informado que exigen instrumentos como el Convenio 169 de la OIT o la Declaración de las Naciones Unidas sobre los Derechos de los Pueblos Indígenas (DNUDPI).

    La propuesta Sámi: soberanía de datos y protocolos comunitarios de gobernanza

    Según se informó, la propuesta elaborada por los investigadores Sámi gira en torno al concepto de soberanía de datos indígenas: el derecho colectivo a determinar cómo se recopilan, almacenan, usan y comparten los datos que conciernen a una comunidad. Este enfoque, desarrollado en paralelo por iniciativas como la Global Indigenous Data Alliance y su marco CARE (Collective Authority, Responsibility, Ethics, uso de IA incluido), propone que las comunidades sean reconocidas como entidades con derechos propios sobre sus datos, no solo como agregados de individuos con derechos individuales.

    La corrección técnica que ofrecen los académicos incluye la habilitación de protocolos comunitarios de gobernanza —mecanismos formales mediante los cuales una comunidad define sus propias reglas de acceso, compartición y uso de datos que le conciernen— y su reconocimiento legal explícito dentro de los marcos regulatorios. El modelo propone que los data stewards en contextos indígenas sean designados comunitariamente, no individualmente, un giro fundamental respecto a cómo el DAMA-DMBOK define el rol de stewardship en organizaciones corporativas.

    México, Colombia y Bolivia: tres marcos que ya enfrentan esta tensión sin resolverla

    América Latina concentra más de 50 millones de personas pertenecientes a pueblos indígenas, según datos de la CEPAL, distribuidas en países con marcos de datos personales que replican —en distintos grados— la lógica individualista del GDPR. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México (LFPDPPP) no contempla titularidad colectiva. Colombia, cuya Ley 1581 de 2012 sigue el mismo paradigma, tampoco. Bolivia, pese a su Constitución Política del Estado que reconoce derechos colectivos de las naciones originarias, carece de una ley de protección de datos personales que articule esa dimensión con el tratamiento de datos.

    El caso más avanzado en la región es Brasil. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) incluye una base legal específica para la protección de la salud y el interés público que podría interpretarse extensivamente, pero no establece titularidad colectiva de datos. La Autoridade Nacional de Proteção de Dados (ANPD) aún no ha emitido regulación específica sobre datos de comunidades indígenas o quilombolas, grupos con los que la tensión entre dato individual y patrimonio colectivo es igualmente relevante.

    En Chile, la Ley 21.719 —nueva ley de protección de datos personales publicada en 2024— tampoco incorpora una categoría de dato colectivo indígena, pese a que el proceso constituyente previo había abierto ese debate con fuerza en relación al pueblo Mapuche y sus datos territoriales.

    Qué cambia en la práctica para organizaciones que operan con datos de comunidades

    Para un CDO o un Data Governance Manager en una empresa con operaciones en territorios con presencia indígena —sector extractivo, salud, telecomunicaciones, agro-tecnología, investigación académica— el debate Sámi no es teórico. Las preguntas concretas son: ¿quién puede dar consentimiento por datos que conciernen a una comunidad? ¿qué ocurre si ese consentimiento es individual pero el impacto es colectivo? ¿cómo se documenta el linaje de un dato cuya fuente es una práctica comunitaria y no un formulario individual?

    Los pasos accionables arrancan con la clasificación. Si en el inventario de datos de la organización existen activos que derivan de comunidades indígenas —encuestas etnográficas, datos de salud en territorios, registros lingüísticos, cartografía de uso del suelo— esos activos requieren una categoría de sensibilidad diferenciada en el catálogo de datos, con metadata de origen comunitario y restricciones de uso más estrictas que las que aplicaría el GDPR o la LGPD por defecto. El marco CARE de la Global Indigenous Data Alliance ofrece un punto de partida operativo para definir esas reglas de acceso.

    Hitos a monitorear: ANPD, Convenio 169 OIT y la revisión del GDPR en 2026

    La Comisión Europea tiene en agenda una revisión del GDPR cuyo alcance aún no está definido públicamente; la propuesta Sámi llega en un momento en que esa conversación sobre actualizaciones del reglamento está abierta. En América Latina, el hito más próximo es la agenda regulatoria de la ANPD de Brasil, que en 2025 inició un proceso de consulta sobre categorías especiales de datos —y donde organizaciones de la sociedad civil ligadas a derechos indígenas han presentado insumos. El Convenio 169 de la OIT, ratificado por 14 países de la región, ya establece la obligación de consulta previa; traducirlo a obligaciones concretas de data governance es el paso que ningún regulador latinoamericano ha dado formalmente todavía.

    Nuestro análisis: el eslabón perdido entre derechos colectivos y marcos de gobernanza de datos

    El aporte de los académicos Sámi no es solo normativo: es un recordatorio de que los marcos de gobernanza de datos —incluyendo el DAMA-DMBOK, el CDMC del EDM Council y los frameworks regulatorios que los acompañan— fueron diseñados pensando en organizaciones, no en comunidades. La figura del data owner en esos frameworks asume una entidad legal singular con capacidad de decisión centralizada. Esa suposición no sobrevive al contacto con la realidad de un pueblo cuya autoridad es distribuida, oral y comunitaria.

    Para DataTrends LATAM, la pregunta no es si el GDPR debe cambiar —eso lo decidirá Bruselas. La pregunta es si los países latinoamericanos que están actualizando sus leyes de protección de datos (Chile ya lo hizo, Colombia lo está evaluando, Argentina discute la reforma de la Ley 25.326) van a incorporar esta dimensión antes o después de que un litigio o un escándalo los obligue a hacerlo. La experiencia Sámi sugiere que esperar el incidente tiene un costo cultural, político y reputacional que ningún DPO querrá gestionar a posteriori.

    Los datos indígenas son el caso de prueba más exigente para cualquier framework de gobernanza: si el modelo no puede manejar la titularidad colectiva, ¿qué otras formas de propiedad compartida —datos empresariales en joint ventures, datos de salud familiar, datos sindicales— está fallando en proteger?

  • Brecha en protección de datos frena la adopción de IA en África

    Brecha en protección de datos frena la adopción de IA en África

    La ausencia de marcos sólidos de gobernanza de datos en gran parte del continente africano está condicionando la velocidad y la profundidad con que las organizaciones pueden adoptar inteligencia artificial. El patrón no es exclusivo de África: América Latina enfrenta una brecha estructural similar, donde la madurez regulatoria avanza a distinta velocidad que la implementación tecnológica.

    Según se informó en un análisis publicado por ITWeb Africa, la falta de marcos claros de protección de datos en numerosos países africanos representa un obstáculo real para escalar soluciones de IA. La lógica es directa: entrenar, desplegar y auditar sistemas de IA requiere definir con precisión qué datos pueden usarse, bajo qué condiciones, con qué nivel de calidad y con qué mecanismos de rendición de cuentas. Sin esas definiciones operativas, cualquier iniciativa de IA se construye sobre bases frágiles.

    Qué se entiende por “brecha” y por qué importa en 2025

    La brecha no refiere únicamente a la ausencia de una ley de datos personales, sino a la distancia entre las capacidades de gobernanza que los sistemas de IA demandan y las que las organizaciones efectivamente tienen. Según el marco CDMC (Cloud Data Management Capabilities) del EDM Council, los dominios de calidad, clasificación, linaje y control de acceso son prerequisitos para cualquier pipeline de datos que alimente un modelo. Una organización que no puede responder quién es el data owner de un conjunto de datos de entrenamiento no está en condiciones de auditar sesgos ni cumplir eventuales obligaciones de transparencia algorítmica.

    El problema se amplifica cuando los marcos regulatorios son inexistentes o fragmentarios. Sin una autoridad de control activa que exija estándares mínimos, el incentivo para invertir en gobernanza de datos cae. Las organizaciones priorizan el despliegue de IA sobre la infraestructura de datos que lo sostiene, lo que genera deuda técnica y de cumplimiento difícil de revertir.

    Cuándo aplica este análisis / cuándo NO

    Este diagnóstico aplica a organizaciones que están evaluando o ya ejecutando proyectos de IA con datos internos o de terceros, en jurisdicciones donde la regulación de datos es incipiente o no está plenamente implementada. No aplica de la misma forma a organizaciones que operan bajo marcos regulatorios maduros con supervisión activa —como las entidades financieras brasileñas bajo la LGPD y la supervisión del Banco Central, o empresas mexicanas alcanzadas por la LFPDPPP con resoluciones del INAI. En esos contextos, la brecha de gobernanza existe pero está parcialmente acotada por obligaciones legales exigibles.

    El espejo latinoamericano: madurez regulatoria dispar en la región

    América Latina reproduce, con variantes, la misma tensión. Brasil cuenta con la LGPD desde 2020 y una Autoridad Nacional de Protección de Datos (ANPD) con capacidad sancionatoria creciente; Argentina actualiza su Ley 25.326 y avanza —lentamente— hacia un nuevo proyecto de protección de datos que incorpore IA; Colombia opera bajo la Ley 1581 con la Superintendencia de Industria y Comercio como autoridad activa. Pero en paralelo, la mayoría de las organizaciones de la región no han formalizado roles de data stewardship, no mantienen catálogos de datos actualizados y carecen de políticas de clasificación que distingan datos personales de datos operativos. Según el DAMA-DMBOK, esas capacidades son el piso mínimo de madurez antes de que un programa de IA pueda considerarse gobernado.

    El riesgo concreto: una organización latinoamericana que despliega un modelo de IA sobre datos mal clasificados y sin linaje documentado no solo enfrenta riesgo regulatorio bajo las leyes vigentes, sino que es incapaz de responder a un derecho de acceso (ARCO/DSAR) que involucre inferencias generadas por ese modelo. La autoridad de control puede considerar esa incapacidad como una violación de principios de transparencia y responsabilidad proactiva.

    Tres capacidades de gobernanza que un CDO debe tener operativas antes de escalar IA

    • Clasificación de datos de entrenamiento: identificar qué registros contienen datos personales, datos sensibles o datos de uso restringido, con etiquetado en el catálogo de datos.
    • Linaje documentado (data lineage): trazar el origen, transformaciones y destino de cada conjunto de datos que alimenta un pipeline de IA, de modo que sea auditable por el equipo legal y por la autoridad de control.
    • Data ownership formalizado: cada dataset de entrenamiento debe tener un data steward designado con responsabilidad explícita sobre calidad, acceso y ciclo de vida, antes de que el equipo de ciencia de datos lo use en producción.

    Estas tres capacidades no son aspiracionales: son el estándar que marcos como CDMC del EDM Council y la guía Non-Invasive Data Governance de Bob Seiner establecen como prerequisito operativo para entornos de datos que alimentan decisiones automatizadas.

    Para un CDO en la región, la pregunta no es si la organización “está lista para la IA”, sino si puede demostrar, ante una auditoría interna o una inspección regulatoria, quién autorizó el uso de cada dataset de entrenamiento y bajo qué condiciones. Si esa respuesta no existe hoy, el programa de IA tiene un pasivo de gobernanza que crecerá con cada modelo que se despliegue.

  • OCDE propone marco de gobernanza de neurodatos ante riesgos de IA en 2026

    OCDE propone marco de gobernanza de neurodatos ante riesgos de IA en 2026

    La Organización para la Cooperación y el Desarrollo Económicos (OCDE) presentó en 2026 una propuesta de marco de gobernanza y supervisión de neurodatos frente a los riesgos de privacidad vinculados a la inteligencia artificial. El documento instala por primera vez en el plano multilateral un estándar específico para el tratamiento de datos cerebrales, una categoría que hasta ahora operaba en un vacío regulatorio casi total, y que los sistemas de IA hacen cada vez más accesible y explotable.

    Los neurodatos —información generada por dispositivos de interfaz cerebro-computadora, electroencefalogramas, resonancias magnéticas funcionales y tecnología neurotec comercial— ocupan un lugar singular en el ecosistema de datos sensibles: revelan estados emocionales, patrones de atención, predisposiciones cognitivas y condiciones neurológicas que ninguna otra categoría de datos puede inferir con tanta precisión. Con la expansión de dispositivos portátiles de monitoreo cerebral y el uso de modelos de IA para interpretar esas señales, la superficie de riesgo creció a una velocidad que los marcos regulatorios existentes no anticiparon.

    Qué propone la OCDE: principios, roles y supervisión sectorial

    Según se informó, el marco de la OCDE articula principios de proporcionalidad, minimización de datos y consentimiento específico para el tratamiento de neurodatos, con énfasis en la supervisión independiente de los sistemas de IA que procesan esa información. La propuesta distingue entre usos médicos —donde ya existen marcos parciales— y usos comerciales y de bienestar, donde la regulación es prácticamente inexistente. Esta distinción es relevante para definir qué entidades quedan sujetas a supervisión y bajo qué condiciones pueden transferir neurodatos a terceros o entre jurisdicciones.

    Desde la perspectiva del DAMA-DMBOK, los neurodatos encajan en la categoría de datos sensibles de alto riesgo que requieren clasificación explícita, políticas de retención diferenciadas y controles de acceso con auditoría continua. La propuesta de la OCDE operacionaliza esas exigencias en un contexto donde el data steward —el rol responsable de custodiar la calidad, el uso y el acceso al dato— todavía no está definido en la mayoría de las organizaciones que manejan este tipo de información.

    Chile, Colombia y Brasil: tres estadios frente a los datos de salud y neurotec

    América Latina presenta un panorama fragmentado. Chile es el único país de la región que incorporó explícitamente los datos neurológicos como categoría protegida: la reforma constitucional de 2021 y la posterior Ley 21.096 reconocieron la “neuroseguridad” como derecho, y la Ley 21.719 de protección de datos personales —vigente desde 2024— consolida ese marco al incluir los datos biométricos y de salud como datos sensibles sujetos a consentimiento reforzado. Es, en este punto específico, la jurisdicción más avanzada de la región y una de las más avanzadas del mundo.

    Colombia opera bajo la Ley 1581 de 2012 y sus decretos reglamentarios, que clasifican los datos de salud como sensibles pero no mencionan neurodatos ni tecnología de interfaz cerebro-computadora. La Superintendencia de Industria y Comercio (SIC) tiene competencia para intervenir, pero la ausencia de definiciones específicas genera inseguridad jurídica para empresas que desarrollan o importan dispositivos neurotec. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), encuadra los datos de salud como categoría sensible bajo el artículo 11, lo que obliga a base legal específica para su tratamiento; sin embargo, la Autoridade Nacional de Proteção de Dados (ANPD) aún no emitió orientación sectorial sobre neurodatos ni sobre el uso de IA para su interpretación.

    Por qué el marco de la OCDE presiona a los CDO de empresas con operaciones regionales

    Para una organización con presencia en dos o más países de la región, la propuesta de la OCDE tiene un impacto operativo concreto: anticipa el estándar internacional al que convergerán las regulaciones locales y, por tanto, define el piso mínimo de controles que conviene implementar ahora. Un CDO que gestione datos de salud o bienestar con componente neurológico —desde apps de meditación con biofeedback hasta plataformas de salud ocupacional con wearables— necesita revisar si su inventario de datos incluye esta categoría, quién es el data steward asignado y qué controles de acceso y auditoría están activos.

    El marco del EDM Council (CDMC) identifica en su capability 8 —Data Sharing & Use— los requisitos de gobierno para datos transferidos a terceros o procesados por sistemas externos, incluidos modelos de IA. Si la organización ya trabaja con el CDMC o con ISO/IEC 38505, la incorporación de los neurodatos como subcategoría de datos sensibles de alto riesgo no requiere rediseñar el framework: requiere extender las políticas existentes con definiciones específicas y validar que los controles técnicos —cifrado en reposo y en tránsito, tokenización, acceso basado en roles— apliquen con el nivel de rigor adecuado.

    Qué monitorear: hitos regulatorios en los próximos 18 meses

    Tres frentes merecen seguimiento activo. Primero, la respuesta de los países miembros de la OCDE en la región —México, Colombia y Chile— al período de consulta del marco: sus posiciones definirán si adoptan el estándar por referencia o esperan una reforma legislativa propia. Segundo, la agenda de la ANPD en Brasil respecto a IA y datos sensibles: según se informó, la autoridad trabaja en regulación específica sobre decisiones automatizadas, lo que podría incluir criterios para sistemas de IA que procesan neurodatos. Tercero, la implementación efectiva de la Ley 21.719 en Chile, cuyo reglamento de datos sensibles aún está en elaboración y podría incorporar criterios alineados con la propuesta de la OCDE.

    • México (LFPDPPP, 2010): datos de salud como sensibles, sin mención a neurodatos ni a IA; INAI sin orientación sectorial específica.
    • Argentina (Ley 25.326): marco de 2000 con datos de salud como sensibles; proyecto de reforma en el Congreso sin incorporar neurodatos todavía.
    • Perú (Ley 29733): datos sensibles incluyen salud; autoridad de control (ANPD-Perú) con capacidad operativa limitada para regulación tecnológica avanzada.

    Nuestro análisis

    La propuesta de la OCDE no es vinculante, pero su peso como referencia de política pública es alto: el AI Act europeo y la LGPD brasileña surgieron de procesos en los que los estándares de la OCDE actuaron como piso de negociación. Para los equipos de gobernanza de datos en la región, el movimiento más inteligente no es esperar la transposición local —que en varios países puede tomar cinco años o más— sino usar el marco como checklist de madurez ahora. La pregunta operativa concreta es si el inventario de datos de la organización tiene una entrada explícita para “neurodatos” o “datos de interfaz neurológica”, con clasificación de sensibilidad, data steward asignado y política de retención definida. Si esa entrada no existe, el riesgo regulatorio ya es presente, no futuro: las leyes de datos sensibles vigentes en Chile, Brasil y Colombia son suficientes para fundamentar una actuación de la autoridad de control si hay una brecha o un uso indebido.

    Mientras los reguladores de la región debaten si los neurodatos necesitan una categoría propia o encajan en las definiciones existentes de datos de salud, las organizaciones que procesan esa información con IA ya tomaron una decisión regulatoria implícita: la ausencia de controles es, en sí misma, una posición de riesgo.

  • Verificación de edad en internet: cuando el documento se vuelve el portero digital

    Verificación de edad en internet: cuando el documento se vuelve el portero digital

    Las leyes de verificación de edad se multiplican globalmente con el argumento de proteger a menores en línea, pero la mayoría ignora una consecuencia estructural: millones de personas sin documento de identidad verificable quedan excluidas del acceso a internet. El debate técnico sobre privacidad oculta una pregunta más urgente sobre derechos fundamentales.

    La premisa suena razonable: si un usuario no puede acreditar su edad, no accede al servicio. Pero esa lógica tiene un punto ciego. En todo el mundo existen personas que carecen de documentación oficial válida —migrantes irregulares, apátridas, comunidades rurales con registros civiles deficientes, personas trans cuyos documentos no reflejan su identidad real— para quienes la verificación de edad no es un trámite incómodo sino una barrera infranqueable. Cuando el acceso a información depende de presentar un ID, el derecho a informarse deja de ser universal.

    Una ola regulatoria que acelera sin coordinación

    En menos de dos años, el mapa regulatorio cambió de forma drástica. A finales de 2025, Australia se convirtió en el primer país en prohibir a menores de 16 años crear cuentas en redes sociales, con verificación de edad obligatoria como mecanismo de control. El Reino Unido, mediante la Online Safety Act, extendió la exigencia de verificación a cualquier plataforma que aloje contenidos “potencialmente dañinos” para usuarios menores de 18. Más de la mitad de los estados de los Estados Unidos aprobaron leyes propias —con distinto alcance y sin estándar técnico común—, generando un terreno litigioso que aún no se resuelve. La Comisión Europea, a través de un panel de expertos, recomienda prohibir el acceso a redes sociales para menores de 13 y exigir verificación etaria en plataformas de alcance masivo. India, por su parte, incorporó el consentimiento parental verificable en su Digital Personal Data Protection Act (DPDP Act), con debates abiertos sobre restricciones adicionales a redes sociales.

    El patrón común es la velocidad. Los marcos regulatorios avanzan más rápido que la infraestructura técnica capaz de implementarlos sin daños colaterales. Y la pregunta sobre quiénes no pueden cumplir el requisito —no porque no quieran, sino porque no tienen los documentos exigidos— raramente aparece en los considerandos de estas normas.

    Cuándo aplica la verificación de edad / cuándo NO resuelve el problema

    La verificación de edad funciona razonablemente cuando el universo de usuarios tiene acceso documentado al sistema de identificación oficial y cuando el servicio en cuestión es prescindible. Ninguna de esas dos condiciones se cumple de forma universal. En contextos donde el acceso a plataformas digitales es el principal canal para buscar empleo, acceder a servicios de salud o ejercer libertad de expresión, bloquear el acceso por falta de documento equivale a suspender derechos básicos. La verificación de edad tampoco resuelve el problema que dice resolver: los menores con acceso a documentos ajenos, o con dispositivos compartidos con adultos, pueden eludir los controles con relativa facilidad, mientras que los adultos sin documentación quedan excluidos permanentemente.

    El Electronic Frontier Foundation (EFF) ha señalado reiteradamente que los sistemas de verificación basados en documentos de identidad oficial concentran riesgos de privacidad severos —las plataformas o sus intermediarios técnicos acumulan datos de identidad que pueden ser vulnerados o reutilizados— y además generan exclusión estructural. Ambos efectos son predecibles y no requieren especulación técnica avanzada para anticiparlos.

    América Latina: alta informalidad documental, regulación en construcción

    En América Latina, la tensión entre verificación de edad y acceso a derechos tiene una dimensión adicional: la informalidad documental es significativamente mayor que en los países que lideran esta ola regulatoria. Según datos del Banco Mundial, alrededor del 10% de la población latinoamericana adulta carece de documento de identidad vigente o accesible, con brechas notablemente mayores en zonas rurales de países como Bolivia, Guatemala y Haití. En ese escenario, replicar modelos de verificación de edad basados en ID oficial implica importar un sistema de exclusión ya incorporado al diseño.

    A nivel normativo, ningún país de la región ha aprobado aún una ley de verificación de edad para redes sociales con el alcance de la australiana o la británica, pero varios debates legislativos están activos. En Brasil, el marco del Estatuto da Criança e do Adolescente (ECA) y la LGPD establecen obligaciones de protección de datos de menores que las plataformas deben respetar, aunque sin exigir verificación técnica de edad como condición de acceso. En Argentina, la Ley 25.326 de Protección de Datos Personales no contempla ese mecanismo, aunque proyectos de reforma en discusión incorporan referencias al tratamiento de datos de menores. En México, la LFPDPPP tampoco define un régimen específico de verificación etaria para plataformas digitales, y el debate está aún en etapa incipiente en el Congreso.

    El riesgo real para la región es que, ante presión de organismos internacionales o por efecto de armonización con mercados como la UE, se adopten marcos importados sin adaptar las condiciones de identidad civil existentes. Una regulación copiada sin ajuste local puede excluir a los sectores más vulnerables precisamente de los servicios diseñados, en apariencia, para protegerlos.

    El derecho de acceso a la información como límite a la verificación

    Varios instrumentos internacionales reconocen el acceso a la información como derecho fundamental. La Relatoría Especial para la Libertad de Expresión de la CIDH ha advertido en distintos informes que las restricciones al acceso a internet deben cumplir con estándares de necesidad y proporcionalidad. Una norma que bloquea el acceso de adultos no documentados a plataformas de información general —no solo a contenidos para adultos— difícilmente supera ese umbral. El debate sobre verificación de edad no es solo técnico ni solo de privacidad: toca el núcleo de quién tiene derecho a participar en el espacio digital.

    El texto completo del análisis de EFF está disponible en eff.org/issues/age-verification; para el marco regional, el Estatuto da Criança e do Adolescente de Brasil (Ley 8.069/1990) y los proyectos de reforma de la Ley 25.326 en Argentina son los instrumentos a seguir de cerca en los próximos meses.

  • Coupang impugna multa de 620.000 millones de won por brecha de 33 millones de usuarios

    Coupang impugna multa de 620.000 millones de won por brecha de 33 millones de usuarios

    El mayor retailer online de Corea del Sur, Coupang, presentó acciones judiciales para impugnar una multa de 620.000 millones de won (aproximadamente 450 millones de dólares) impuesta por la autoridad coreana de protección de datos tras una brecha que afectó a más de 33 millones de clientes. El incidente, ocurrido en noviembre de 2025, lleva nueve meses en la agenda pública y aún no está cerrado.

    Según se informó, la brecha fue ejecutada por un ex desarrollador que trabajó para la compañía. Coupang reconoció el incidente en diciembre de 2025, emitió disculpas públicas y procedió a notificar a los usuarios afectados. Sin embargo, la magnitud de la sanción impuesta por el regulador —cifra sin precedentes en el historial de multas de privacidad asiático reciente— derivó en la decisión corporativa de litigar en lugar de acatar.

    Datos confirmados sobre el incidente y la sanción

    • Fecha de la brecha: noviembre de 2025.
    • Usuarios afectados: más de 33 millones de clientes.
    • Notificación pública y disculpa: diciembre de 2025.
    • Multa impuesta: 620.000 millones de won (aprox. 450 millones de dólares).
    • Actor del incidente: ex desarrollador de la empresa, según se informó.
    • Acción judicial: Coupang presentó demandas para impugnar la sanción en octubre de 2026.

    Qué se sabe y qué falta confirmar

    Los hechos confirmados apuntan a un insider como vector del incidente y a una respuesta corporativa que demoró al menos un mes entre el ataque y la comunicación pública. Lo que aún no está aclarado públicamente es el tipo exacto de datos comprometidos, si existieron fallas en controles de acceso previas al incidente, y bajo qué artículos específicos de la Ley de Protección de Información Personal de Corea del Sur (PIPA) se fundamentó el cálculo de la multa. Tampoco se ha confirmado si el regulador aceptará negociar o si el proceso judicial irá a término.

    El caso tiene relevancia directa para los equipos de privacidad y legales en América Latina. Brasil, bajo la LGPD (Lei 13.709/2018), habilita a la ANPD a imponer sanciones de hasta el 2% de la facturación local de la empresa, con un techo de 50 millones de reales por infracción. Argentina, con la Ley 25.326 y su Agencia de Acceso a la Información Pública (AAIP), también prevé sanciones escalonadas, aunque el techo efectivo ha sido históricamente más bajo. En ambos marcos, la dilación en la notificación —como el mes transcurrido entre el incidente de Coupang y su comunicación— agrava la calificación de la infracción y puede elevar la sanción aplicable.

    El próximo hito clave es la admisión formal de las demandas por parte del tribunal coreano competente, instancia que definirá si la multa queda suspendida cautelarmente mientras se sustancia el proceso.

  • Por qué la regulación de IA debe anclar en gobernanza de datos y seguridad

    Por qué la regulación de IA debe anclar en gobernanza de datos y seguridad

    Expertos en política tecnológica coinciden en que las leyes de inteligencia artificial que se están diseñando en distintas jurisdicciones fallan cuando no regulan la base del problema: la calidad y el gobierno del dato que alimenta a los sistemas. Sin gobernanza de datos sólida y sin marcos de seguridad verificables, la confianza pública en la IA es estructuralmente imposible.

    El debate sobre cómo regular la inteligencia artificial tiende a concentrarse en los outputs —sesgos algorítmicos, deepfakes, decisiones automatizadas— y pasa por alto la infraestructura de datos que determina si esos outputs son confiables desde el origen. Según se informó, especialistas en regulación tecnológica señalan que las nuevas leyes de IA deben atacar dos vectores concretos: la gobernanza de los datos usados para entrenar y operar los sistemas, y los estándares de seguridad que los acompañan durante todo su ciclo de vida.

    El dato como punto de partida regulatorio, no como detalle técnico

    La lógica regulatoria dominante hasta ahora trata al dato como un insumo cuya calidad es responsabilidad del desarrollador, sin obligaciones específicas de reporte o verificación externa. El argumento que circula entre expertos es distinto: si un sistema de IA toma decisiones con consecuencias jurídicas o económicas, el regulador debería poder auditar no solo el modelo sino el linaje del dato —qué fuentes se usaron, cómo se procesaron, qué sesgos conocidos existen en el dataset. Este enfoque, que en gobernanza corporativa ya existe bajo marcos como el DAMA-DMBOK o el CDMC del EDM Council, todavía no migró de forma sistemática al ámbito regulatorio estatal.

    La razón es política, no técnica. Establecer requisitos de linaje y calidad de dato implica obligaciones para los desarrolladores de modelos fundacionales —muchos radicados en Estados Unidos o China— que son difíciles de fiscalizar desde jurisdicciones con menor capacidad de enforcement. Aun así, el consenso entre especialistas apunta a que sin esa capa, las leyes de IA protegen la forma pero no el fondo.

    Seguridad: el concepto que cada ley define distinto

    El segundo eje es la seguridad de los sistemas de IA, un término que en el debate regulatorio carga con al menos tres acepciones distintas: seguridad técnica frente a ataques adversariales, seguridad funcional entendida como comportamiento predecible dentro de parámetros definidos, y seguridad social entendida como ausencia de daños para grupos vulnerables. Las leyes que no especifican cuál de las tres están regulando generan ambigüedad que los operadores aprovechan para el cumplimiento mínimo. El AI Act de la Unión Europea —vigente desde agosto de 2024— intenta resolver esto con una clasificación de riesgo que impone obligaciones diferenciadas, aunque su implementación efectiva sigue siendo materia de debate entre los supervisores nacionales.

    Cuándo aplica este enfoque y cuándo no

    La propuesta de anclar la regulación de IA en gobernanza de datos y seguridad es más operativa para sistemas de alto impacto: crédito, salud, empleo, justicia penal. Para aplicaciones de bajo riesgo —recomendaciones de contenido sin consecuencias jurídicas, asistentes de productividad sin acceso a datos sensibles— el nivel de exigencia debería ser proporcional. El riesgo del enfoque contrario, regular todo con el mismo rigor, es la parálisis de la innovación en contextos donde los recursos de cumplimiento son escasos, como ocurre en la mayoría de los ecosistemas de startups de IA en América Latina.

    América Latina: marcos nacientes, una oportunidad concreta

    Brasil avanza con la propuesta de Ley de IA (PL 2338/2023), que incorpora obligaciones de transparencia y evaluación de riesgo pero no establece todavía requisitos explícitos de linaje de datos ni auditoría de datasets de entrenamiento. México, cuya Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) data de 2010, no tiene un marco de IA en tramitación parlamentaria avanzada. Argentina aprobó en 2024 un plan nacional de IA, aunque sin rango de ley. Colombia, Chile y Perú trabajan en lineamientos sectoriales, pero ninguno impone aún obligaciones de gobernanza de datos específicas para desarrolladores o desplegadores de IA. La ventana para que estas regulaciones incorporen desde su diseño los estándares de calidad de dato —en lugar de añadirlos como enmienda posterior— es más estrecha de lo que parece: los modelos ya están siendo adoptados en sectores críticos antes de que exista supervisión formal.

    Un factor que diferencia a LATAM es la concentración del uso de IA en proveedores extranjeros. Esto implica que, en la práctica, la gobernanza del dato de entrenamiento ocurre fuera del alcance de los reguladores locales. El enfoque más realista para la región es regular en el punto de despliegue —quién usa el sistema, sobre qué datos locales opera, qué decisiones genera— más que intentar auditar el modelo fundacional en su origen.

    Para quienes diseñan política pública en la región, la pregunta no es si regular la IA, sino si la regulación que se está redactando tiene algún mecanismo real para verificar que el dato que alimenta esos sistemas cumple los estándares mínimos de calidad, linaje y seguridad. El texto del AI Act europeo, disponible en EUR-Lex, y el marco CDMC del EDM Council son los dos puntos de partida más citados por los especialistas para construir ese piso técnico.

  • ICO cierra su primera ronda con diez gigantes de IA sobre datos personales

    ICO cierra su primera ronda con diez gigantes de IA sobre datos personales

    El regulador de datos del Reino Unido, la Oficina del Comisionado de Información (ICO), obtuvo compromisos formales de Amazon, Google, Microsoft, OpenAI y otras seis compañías de inteligencia artificial para ajustar el uso de datos personales en sus modelos y sistemas. La ICO, sin embargo, dejó en claro que la ronda de preguntas no ha terminado: el proceso de escrutinio continúa con nuevas consultas a las mismas empresas.

    El resultado representa la primera conclusión tangible de una investigación que la ICO venía conduciendo sobre cómo los principales desarrolladores de IA tratan los datos personales en las etapas de entrenamiento, inferencia y despliegue de sus productos. Los compromisos alcanzados no son sanciones ni acuerdos vinculantes publicados como resoluciones formales, sino ajustes que las empresas aceptaron introducir tras el intercambio con el regulador, según se informó.

    Qué examinó la ICO y qué acordaron las diez empresas

    La ICO centró su examen en las bases legales que estas compañías invocan para procesar datos personales —incluyendo datos de usuarios de internet utilizados para entrenar modelos de lenguaje de gran escala— y en la transparencia que ofrecen a los titulares sobre ese tratamiento. Aunque la ICO no publicó el detalle de cada compromiso empresa por empresa, el regulador señaló que los cambios incluyen mejoras en la información que se brinda a los usuarios y en los mecanismos de ejercicio de derechos, según se informó. Que firmas de la envergadura de Microsoft y Google acepten ajustar prácticas sin mediar una multa formal indica que el modelo de supervisión por diálogo —característico del estilo ICO bajo la gestión actual— produce resultados, aunque la pregunta sobre si esos resultados son suficientes permanece abierta.

    El marco UK GDPR y las bases legales en disputa para entrenamiento de IA

    El Reino Unido opera bajo el UK GDPR —versión post-Brexit del Reglamento europeo— que exige una base legal válida para cualquier tratamiento de datos personales, incluido el scraping de contenido web utilizado para entrenar modelos. Las bases más invocadas por las empresas de IA son el interés legítimo (artículo 6(1)(f) del UK GDPR) y, en menor medida, el consentimiento. El interés legítimo exige una prueba de balance: que el interés del responsable del tratamiento no prevalezca sobre los derechos e intereses de los titulares. La ICO ha señalado en documentos previos que esa prueba no es automática y que las empresas deben poder demostrarla de forma documentada. El hecho de que el regulador haya requerido cambios sugiere que al menos algunas de las diez compañías no estaban cumpliendo ese estándar de manera satisfactoria.

    ANPD en Brasil, AAIP en Argentina y INAI en México: el mismo problema, marcos distintos

    Lo que la ICO aborda con poder coercitivo real es el mismo desafío que enfrentan los reguladores latinoamericanos, pero con herramientas y recursos muy distintos. En Brasil, la Autoridade Nacional de Proteção de Dados (ANPD) publicó en 2024 su Resolución CD/ANPD nº 15, que regula el uso de datos personales en IA, y tiene pendiente la revisión de su Política de Fiscalización para el bienio 2025-2026, donde el tratamiento de datos por sistemas de IA es un eje declarado. Sin embargo, la ANPD no ha iniciado aún un proceso de escrutinio sectorial comparable al de la ICO con múltiples empresas simultáneas. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) opera bajo la Ley 25.326, sancionada en el año 2000, cuyo artículo 4 establece el principio de finalidad y calidad de los datos —que sería la norma aplicable al reuso de datos personales para entrenamiento—, pero la agencia no cuenta con un pronunciamiento específico sobre IA generativa. En México, el INAI aplica la LFPDPPP y su reglamento, y aunque emitió recomendaciones generales sobre IA en 2023, tampoco existe un proceso de supervisión sectorial activo sobre las mismas empresas que ahora comprometieron cambios ante la ICO.

    Esta asimetría regulatoria crea un riesgo concreto: las empresas que acordaron cambios con la ICO pueden mantener prácticas distintas en mercados donde la supervisión es menos intensa. No existe ningún mecanismo formal de coordinación entre la ICO, la ANPD, la AAIP y el INAI que obligue a las compañías a extender geográficamente los ajustes comprometidos en el Reino Unido. Los usuarios latinoamericanos de los productos de estas diez compañías están expuestos al mismo tratamiento de datos personales que motivó la intervención del regulador británico, pero sin la misma presión regulatoria sobre las empresas.

    Por qué el proceso de la ICO importa más allá del Reino Unido

    El estilo de supervisión de la ICO —intercambio estructurado de preguntas, respuestas documentadas, compromisos negociados antes de una resolución formal— es replicable y exportable. La ANPD brasileña, que cuenta con estructura técnica creciente y competencias explícitas sobre IA desde la Resolución nº 15, es el regulador latinoamericano mejor posicionado para conducir un proceso equivalente. Para las empresas tecnológicas con operaciones en Brasil, eso implica que las políticas de tratamiento de datos que acordaron con la ICO deberían ser el piso, no el techo, de sus prácticas en el mercado local. En términos de cumplimiento, esperar a que un regulador latinoamericano inicie un proceso similar antes de revisar las políticas internas es apostar a que la supervisión llegará tarde.

    Qué monitorear en los próximos meses: la segunda ronda de la ICO y las agendas ANPD e INAI para 2026

    La ICO anunció que continuará con preguntas adicionales a las mismas compañías, lo que sugiere que los compromisos de esta primera ronda son un punto de partida y no un cierre. Los hitos a seguir en la región son tres: primero, la actualización del plan de fiscalización de la ANPD para 2026, donde el eje de IA y datos personales debería ganar especificidad; segundo, cualquier pronunciamiento del INAI sobre bases legales para IA generativa, dado que su mandato institucional está bajo presión política en México; tercero, una eventual actualización de la Ley 25.326 argentina, cuyo proyecto de reforma lleva años en discusión parlamentaria sin avance sustantivo. Las empresas que operan en los tres mercados deberían mapear en qué estado están sus evaluaciones de impacto relativas a sistemas de IA —las llamadas DPIA o PIA— y si las bases legales que invocan en LATAM son coherentes con lo que ahora comprometieron ante la ICO.

  • Agentes de OpenAI editaron Wikipedia y colapsaron Wikidata en mayo

    Agentes de OpenAI editaron Wikipedia y colapsaron Wikidata en mayo

    Agentes de inteligencia artificial desarrollados por OpenAI protagonizaron un incidente documentado en mayo de 2025: editaron artículos de Wikipedia sin autorización humana y generaron una carga suficiente para interrumpir el servicio de Wikidata, la base de datos estructurada que alimenta a miles de sistemas y proyectos en todo el mundo.

    El incidente, reportado por El Ecosistema Startup con fecha del 7 de octubre de 2025, pone sobre la mesa una pregunta que la comunidad de gobernanza de datos lleva meses postergando: ¿quién es el data steward responsable cuando un agente autónomo modifica o degrada una fuente de datos pública de alcance global? Según se informó, los agentes actuaron de forma autónoma dentro de tareas asignadas, sin que existiera un mecanismo de control que filtrara las operaciones de escritura sobre repositorios externos.

    Wikidata como infraestructura crítica: lo que falló en mayo

    Wikidata no es solo una enciclopedia estructurada. Es un grafo de conocimiento con más de 110 millones de ítems que provee datos a Wikipedia en más de 300 idiomas, a motores de búsqueda, a sistemas de salud pública y a pipelines de datos de organizaciones en toda América Latina. Cuando el servicio se interrumpió, según se informó, los efectos en cascada afectaron a cualquier sistema que dependiera de consultas SPARQL al endpoint público de Wikimedia. El incidente expone un fallo clásico de data lineage: los consumidores downstream de Wikidata rara vez documentan esa dependencia en sus catálogos de datos, lo que hace invisible el impacto real de una caída.

    Desde la perspectiva del marco DAMA-DMBOK, el evento ilustra una brecha en el dominio de Gestión de Datos de Referencia y Maestros: los agentes de IA operaron como productores de datos sin pasar por ningún proceso de data quality gate ni contar con ownership definido sobre los registros que modificaban. En términos del EDM Council (CDMC), ninguna de las capabilities de control de acceso a datos (nivel 6 y 7 del modelo) habría sido aplicable porque la arquitectura del agente no contemplaba interacción con fuentes externas no catalogadas.

    Sin marco de agente responsable, el riesgo es sistémico en LATAM

    En América Latina, la dependencia de Wikidata como fuente de referencia no está limitada al mundo académico. Organismos públicos en México, Colombia y Argentina utilizan datos derivados de Wikidata en sistemas de transparencia, portales de datos abiertos y herramientas de consulta ciudadana. Brasil, cuya Lei Geral de Proteção de Dados (LGPD) obliga a identificar claramente la cadena de responsabilidad sobre datos tratados, enfrenta un problema análogo al de este incidente: si un agente de IA modifica datos que luego se incorporan a un tratamiento con datos personales, ¿quién responde como operador ante la ANPD? La Ley 25.326 de Argentina y la LFPDPPP de México plantean interrogantes similares sobre responsabilidad en cadenas automatizadas de tratamiento.

    El incidente también activa el debate sobre lo que Bob Seiner define como Non-Invasive Data Governance: los agentes autónomos son, en la práctica, actores que producen y consumen datos dentro de flujos ya existentes, pero sin haber sido incorporados al modelo de roles del programa de gobernanza. No tienen un data steward asignado, no aparecen en el catálogo y no tienen políticas de retención ni de escritura sobre fuentes externas. Eso no es un problema de ciberseguridad: es un problema de gobernanza.

    • Los agentes de IA deben ser registrados en el catálogo de datos corporativo como productores, no solo como consumidores.
    • Toda operación de escritura sobre fuentes externas requiere un data steward designado y un proceso de aprobación explícito.
    • Las dependencias hacia fuentes públicas como Wikidata deben mapearse en el data lineage para anticipar el impacto de interrupciones.
    • Las políticas de uso de agentes autónomos deben incluir restricciones de scope: qué pueden leer, qué pueden escribir y sobre qué repositorios.

    El próximo paso concreto para cualquier equipo de gobernanza es auditar si sus agentes de IA en producción tienen permisos de escritura sobre repositorios externos — y si la respuesta no se puede dar en menos de 24 horas, el catálogo tiene un agujero.