Etiqueta: Normativa

IA agéntica y gobernanza de datos: la brecha que las políticas aún no cierran
La mayoría de las organizaciones no aplica sus políticas de gobernanza de datos a las herramientas de inteligencia artificial agéntica, según una encuesta reciente difundida por Campus Technology. El hallazgo expone una brecha estructural: los marcos de gobierno existen sobre el papel, pero no alcanzan a los sistemas de IA que actúan de forma autónoma sobre datos sensibles.

La IA agéntica —sistemas capaces de planificar, ejecutar tareas y tomar decisiones en cadena sin intervención humana continua— es cualitativamente distinta de los modelos de lenguaje de uso conversacional. Un agente no solo genera texto: consulta bases de datos, ejecuta APIs, escribe archivos y delega subtareas a otros agentes. Esa cadena de acciones autónomas convierte al data steward y al CDO en actores críticos, no opcionales, del ciclo de vida del sistema.

La brecha de enforcement: políticas que no llegan al agente

El problema central identificado en la encuesta no es la ausencia de políticas de gobernanza, sino su falta de aplicación efectiva sobre herramientas agénticas. Dicho de otro modo: muchas organizaciones tienen definidos sus estándares de calidad, clasificación y acceso a datos, pero esos controles no se extienden —técnica ni operativamente— a los agentes de IA que consumen o transforman esos mismos datos. Este gap de enforcement es análogo al que durante años existió con el shadow IT, pero con una diferencia crítica: un agente mal gobernado puede propagar decisiones erróneas o datos incorrectos a escala y velocidad imposibles para un usuario humano.

Desde la perspectiva del DAMA-DMBOK, los agentes agénticos introducen nuevas instancias en al menos cuatro dominios: calidad de datos (¿quién valida lo que el agente consume y produce?), seguridad de datos (¿qué accesos tiene el agente y con qué granularidad?), linaje de datos (¿es auditable la cadena de transformaciones que ejecuta?) y arquitectura de datos (¿está el agente catalogado como consumidor y productor reconocido?). Ninguno de esos dominios puede gestionarse informalmente cuando el agente opera en producción.

Linaje y ownership: los dos puntos de quiebre más frecuentes

El data lineage —la trazabilidad completa del origen, transformación y destino de cada dato— es el primer punto de quiebre cuando un agente entra en escena. Los sistemas de linaje tradicionales rastrean pipelines predefinidos; los agentes generan flujos dinámicos, en ocasiones no deterministas, que los catálogos convencionales no capturan. Sin linaje auditable, cualquier incidente de calidad o privacidad producido por el agente es prácticamente imposible de reconstruir hacia atrás.

El segundo punto de quiebre es el ownership. En gobernanza madura, cada dataset tiene un data owner y un data steward responsables. Cuando un agente accede a múltiples datasets para completar una tarea, ¿quién es el responsable del output compuesto? La respuesta no está en la mayoría de los marcos de gobierno actuales, y esa ambigüedad es exactamente la que la encuesta refleja como brecha operativa.

Cuándo aplica este análisis y cuándo no

La brecha de enforcement descrita es especialmente crítica cuando el agente opera sobre datos regulados: datos personales, información financiera, registros médicos o propiedad intelectual corporativa. En esos contextos, la ausencia de controles de gobernanza no es solo un riesgo operativo: es una exposición regulatoria concreta. En cambio, cuando el agente trabaja exclusivamente sobre datos públicos o sintéticos sin valor personal, el riesgo de governance disminuye significativamente, aunque el riesgo de calidad persiste.

También importa el grado de autonomía del sistema. Un agente que ejecuta tareas acotadas con supervisión humana en cada paso crítico es sustancialmente diferente, desde el punto de vista de governance, a un agente multi-step que opera en modo completamente autónomo durante horas o días. El nivel de control requerido debe escalar con el nivel de autonomía.

El ángulo regulatorio en América Latina: LGPD, Ley 25.326 y los vacíos de los marcos de IA

En América Latina, la tensión entre IA agéntica y gobernanza de datos adquiere una dimensión regulatoria adicional. La Lei Geral de Proteção de Dados (LGPD) de Brasil establece en su artículo 20 el derecho del titular a revisar decisiones tomadas exclusivamente por medios automatizados; si un agente de IA toma o condiciona decisiones que afectan a titulares de datos, ese artículo es directamente aplicable. La Ley 25.326 de Argentina, aunque anterior a la era agéntica, impone principios de finalidad y proporcionalidad que limitan el uso secundario de datos por parte de cualquier sistema automatizado, incluidos los agentes.

En México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) aún no ha emitido lineamientos específicos para IA agéntica, pero los principios de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) —en especial los de responsabilidad y seguridad— aplican plenamente al tratamiento que un agente realice sobre datos personales. Colombia, con su régimen de habeas data (Ley 1581 de 2012), enfrenta la misma laguna interpretativa. Ningún marco regional ha sido actualizado explícitamente para contemplar el flujo dinámico de datos que caracteriza a los sistemas agénticos.

Tres controles de gobernanza para incorporar antes del despliegue agéntico

El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica el control de acceso y la clasificación de datos como capacidades fundacionales para cualquier entorno cloud. Esas mismas capacidades son el piso mínimo para desplegar un agente de IA en producción. En términos operativos, un programa de gobernanza que incorpore agentes debería contemplar al menos:
- Catalogación del agente como entidad consumidora y productora de datos, con owner asignado y permisos explícitamente documentados en el catálogo corporativo.
- Linaje dinámico habilitado: integración del agente con la herramienta de linaje existente (OpenLineage, Marquez, o el módulo nativo del catálogo) para capturar cada transformación en tiempo de ejecución.
- Revisión de clasificación de datos antes del onboarding: ningún agente debería acceder a datos de clasificación alta sin que el data steward haya validado explícitamente el caso de uso y los controles compensatorios.
El marco Non-Invasive Data Governance de Bob Seiner aporta un principio útil aquí: la gobernanza más efectiva es la que formaliza lo que ya ocurre, no la que impone procesos ajenos al flujo de trabajo. Aplicado a agentes, significa embeber los controles de governance directamente en el pipeline de despliegue —no como auditoría posterior, sino como gate de aprobación previo a producción.

La encuesta documenta un síntoma conocido en ciclos anteriores de adopción tecnológica: la política corre más lento que la implementación. Con agentes de IA, el costo de ese desfasaje puede ser proporcional a la autonomía del sistema desplegado.
8 octubre, 2026
República Dominicana en el Diálogo de Gobernanza de Datos: avances y brechas
República Dominicana participó en un Diálogo de Gobernanza de Datos donde presentó sus avances institucionales e identificó áreas de mejora en la gestión pública del dato. El ejercicio posiciona al país caribeño dentro de una conversación regional que busca establecer estándares comunes para el tratamiento, intercambio y aprovechamiento de datos por parte de los Estados.

La gobernanza de datos en el sector público no es un concepto abstracto: se trata de definir quién tiene autoridad sobre los datos, bajo qué reglas se comparten entre organismos, cómo se garantiza su calidad y qué controles existen para protegerlos. En el contexto de República Dominicana, este diálogo representa un punto de diagnóstico que permite medir la distancia entre las capacidades actuales y los estándares que marcos como el DAMA-DMBOK o el Data Governance Institute consideran maduros para administraciones públicas.

Qué implica un Diálogo de Gobernanza de Datos entre países

Los diálogos de gobernanza de datos son instancias de revisión entre pares —generalmente impulsadas por organismos multilaterales o acuerdos bilaterales— en las que un Estado presenta su arquitectura institucional de datos frente a contrapartes externas. El objetivo no es solo exhibir logros: es mapear capacidades reales contra un benchmark acordado, identificar brechas y comprometerse con hojas de ruta concretas. En el marco del CDMC (Cloud Data Management Capabilities) del EDM Council, este tipo de ejercicio equivale a una evaluación de madurez formal, aunque aplicada al ámbito estatal.

Para República Dominicana, participar en este tipo de instancias señala una voluntad de alinear su arquitectura de datos públicos con estándares internacionales. Según se informó, el país identificó tanto avances como oportunidades —eufemismo técnico habitual para referirse a brechas— en áreas que típicamente incluyen interoperabilidad entre entidades, calidad del dato en registros administrativos y marcos legales que habiliten el intercambio seguro de información entre organismos del Estado.

Cuándo aplica este modelo / cuándo NO

El esquema de diálogo entre pares para gobernanza de datos aplica cuando existe voluntad política de exponer las capacidades institucionales a revisión externa, cuando hay un marco común de referencia acordado entre las partes, y cuando el proceso está vinculado a un mecanismo de seguimiento —de lo contrario, se convierte en un ejercicio declarativo sin impacto operativo. No aplica como sustituto de legislación interna: un Estado puede rendir cuentas en un foro internacional y carecer simultáneamente de una ley de protección de datos personales robusta o de un órgano de control independiente. La gobernanza de datos pública y la privacidad son marcos complementarios, no intercambiables.

El peso del dato público en América Latina: contexto comparado

En la región, los avances en gobernanza de datos estatales son heterogéneos. Brasil opera bajo la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018) y cuenta con la Autoridade Nacional de Proteção de Dados (ANPD) como ente de control, lo que le da a su arquitectura de datos públicos un piso regulatorio concreto. Argentina tiene la Ley 25.326 de Protección de Datos Personales y su autoridad de aplicación, la AAIP, aunque el proyecto de modernización de esa norma sigue sin aprobarse. México cuenta con el INAI y la LFPDPPP para el sector privado, más la LFTAIP para el sector público. República Dominicana, en cambio, avanza en este diálogo desde un marco normativo en desarrollo: la Ley 172-13 sobre protección de datos personales existe desde 2013, pero su implementación efectiva y su alineación con estándares contemporáneos —como los principios del RGPD europeo o la LGPD brasileña— es una conversación aún abierta.

Este contraste importa porque los diálogos de gobernanza de datos entre Estados no ocurren en el vacío: las condiciones para compartir datos de forma segura, interoperable y con garantías para los ciudadanos dependen directamente de qué tan robusto es el entorno legal en cada jurisdicción. Un país con brechas normativas profundas puede identificar oportunidades técnicas, pero sin el andamiaje legal adecuado, la implementación queda incompleta.

Tres preguntas que cualquier gobierno debería responder antes de presentar avances
- ¿Existe un inventario de activos de datos (catálogo) actualizado y con ownership asignado a nivel de entidad pública?
- ¿Hay políticas formales de calidad del dato que definan métricas, responsables (data stewards) y ciclos de revisión?
- ¿El marco legal vigente habilita el intercambio de datos entre organismos con las salvaguardas necesarias para los datos personales de los ciudadanos?
Estas tres preguntas, inspiradas en los dominios del DAMA-DMBOK (Data Management Body of Knowledge), delimitan si un gobierno está en condiciones de aprovechar los acuerdos de intercambio de datos o si los anuncia antes de tener los cimientos. La respuesta honesta a cada una de ellas determina si los avances presentados en un diálogo representan capacidad real o aspiración.

Para profundizar en el marco normativo de República Dominicana, la Ley 172-13 sobre protección de datos personales está disponible en el portal oficial del Congreso Nacional dominicano; para el marco comparado regional, el texto completo de la LGPD brasileña y la Ley 25.326 argentina ofrecen el contraste más directo con los estándares actuales.
7 octubre, 2026
Agentes de IA y gobernanza: la encuesta que expone el vacío de control
Una encuesta reciente identifica una brecha significativa entre las políticas de gobernanza de datos que las organizaciones dicen tener y su capacidad real de hacerlas cumplir cuando entran en juego herramientas de inteligencia artificial agéntica. El hallazgo central es directo: los marcos de gobernanza existentes no fueron diseñados para agentes que actúan de forma autónoma, encadenan decisiones y acceden a datos sin intervención humana en cada paso.

La IA agéntica —sistemas capaces de ejecutar tareas de múltiples pasos, invocar herramientas externas y operar con mínima supervisión humana— no es un concepto de laboratorio. Plataformas como Microsoft Copilot Studio, Salesforce Agentforce y varias soluciones verticales ya despliegan agentes en entornos productivos. El problema, según se informó a partir de los resultados de la encuesta, es que la mayoría de las organizaciones todavía aplica a estos agentes las mismas políticas de acceso y clasificación pensadas para usuarios humanos o aplicaciones tradicionales. Esa equivalencia es operativamente incorrecta.

Por qué los agentes autónomos rompen los modelos de control tradicionales

En un entorno de gobernanza convencional, el control de acceso a datos se gestiona a nivel de usuario o sistema: quién puede leer qué, bajo qué condiciones, con qué nivel de clasificación. Un agente de IA agéntica, en cambio, puede actuar como orquestador de múltiples sub-agentes, combinar fuentes de datos heterogéneas en tiempo real y generar outputs que ningún nodo individual del sistema habría producido de forma aislada. Esto quiebra los supuestos de linaje de datos (data lineage) sobre los que descansa cualquier framework de gobernanza maduro: ya no hay una cadena de custodia clara, un data steward puede no tener visibilidad sobre qué datos procesó el agente ni con qué propósito intermediario.

El DAMA-DMBOK identifica el gobierno del ciclo de vida del dato como uno de sus dominios centrales. Pero ese ciclo asume, implícitamente, que hay un actor identificable en cada transformación. Cuando un agente encadena llamadas a APIs, consultas a bases de datos vectoriales y modelos de lenguaje en milisegundos, el concepto de “propietario del dato” (data owner) se vuelve difuso. La encuesta, según se informó, refleja que las organizaciones reconocen esta brecha pero aún no tienen respuestas operativas concretas.

Cuándo aplica esta brecha y cuándo NO

La brecha de enforcement que identifica la encuesta es relevante para organizaciones que ya tienen agentes en producción o en pilotos con acceso real a datos corporativos. No aplica, o aplica de forma marginal, en contextos donde la IA generativa se usa solo en modo asistido —el usuario aprueba cada acción— o donde los modelos no tienen conectores a sistemas internos. La distinción es crítica: muchas organizaciones en América Latina están todavía en la segunda categoría, lo que les da una ventana para diseñar controles antes de escalar. Las que ya cruzaron al modo agéntico necesitan actuar ahora.

Argentina, Brasil y México frente al mismo problema sin marco específico

Ninguna jurisdicción latinoamericana tiene hoy un marco regulatorio específico para agentes de IA con acceso autónomo a datos. Brasil avanza con su estrategia nacional de IA, pero la ANPD aún no ha emitido lineamientos sobre tratamiento automatizado por sistemas agénticos bajo la LGPD. En Argentina, la AAIP tiene pendiente su resolución sobre perfilado automatizado y la Ley 25.326 no contempla escenarios de agencia autónoma. México, con el INAI como autoridad, tampoco ha abordado el punto desde la LFPDPPP. Esto significa que los equipos de gobernanza en la región operan en un vacío normativo que no los exime de responsabilidad: si un agente accede, combina o expone datos personales sin base legal adecuada, la infracción es de la organización, no del agente.

El EDM Council, con su marco CDMC (Cloud Data Management Capabilities), incluye controles para entornos de datos distribuidos que pueden adaptarse parcialmente a arquitecturas agénticas, particularmente en las capabilities de clasificación automatizada y control de acceso basado en políticas (ABAC). Algunas instituciones financieras en Brasil que ya operan bajo requerimientos del Banco Central para open finance están más cerca de tener esas capacidades instaladas, aunque sin el foco específico en agentes.

Tres controles que un equipo de gobernanza puede implementar hoy
- Inventario de agentes con acceso a datos: registrar cada agente desplegado o en piloto, sus conectores activos y el nivel de clasificación de los datos a los que accede. Sin este inventario, no hay punto de partida posible.
- Identidad de agente separada de identidad humana: asignar credenciales específicas a cada agente (no usar cuentas de servicio genéricas ni credenciales de usuarios), lo que permite auditoría granular y revocación sin impacto en otros sistemas.
- Política de propósito limitado por agente: definir explícitamente qué datos puede acceder cada agente, con qué finalidad y bajo qué condiciones puede escalar a datos de mayor sensibilidad. Esto es análogo al principio de minimización de datos en privacidad, aplicado a agentes.
Para los equipos de gobernanza en LATAM, la encuesta no describe un problema futuro: describe lo que ya ocurre en organizaciones que escalaron agentes sin actualizar sus marcos. El inventario de agentes es el primer entregable que justifica una reunión con el CISO y el CTO esta semana.
7 octubre, 2026
Cuando el workaround regulatorio se convierte en evidencia en tu contra
En 2021, Glovo enfrentó la Ley Rider española —que presume relación laboral cuando una plataforma organiza, dirige o controla el trabajo de repartidores mediante gestión algorítmica— y optó por rediseñar su sistema en lugar de cumplir. Según informó MIT Sloan Management Review, lo que pareció una solución ingeniosa terminó convirtiéndose en un problema mayor. El caso es hoy un manual de advertencia sobre los riesgos no calculados de los workarounds regulatorios, con implicancias directas para plataformas digitales que operan en América Latina bajo marcos normativos crecientemente similares.

La Ley Rider de España: presunción de laboralidad y gestión algorítmica

Aprobada en mayo de 2021 y en vigor desde agosto de ese año, la Ley Rider —Real Decreto-ley 9/2021— modificó el Estatuto de los Trabajadores español para incorporar una presunción de laboralidad específica para plataformas de reparto. El elemento disruptivo no fue la presunción en sí, sino su criterio de activación: basta con que la plataforma organice, dirija o controle el trabajo a través de algoritmos para que se presuma la existencia de un contrato de trabajo. Esto convirtió al sistema de despacho y asignación de pedidos —el núcleo operativo de Glovo— en evidencia potencial de control laboral.

La norma obligó a las plataformas a tomar una decisión estratégica concreta: restructurar el modelo de negocio para eliminar ese control algorítmico, asumir la laboralidad e incorporar a los repartidores como empleados, o buscar una tercera vía. Glovo eligió la tercera vía. El resultado, según se informó, fue que los cambios introducidos no solo no neutralizaron la presunción legal, sino que en algunos casos reforzaron ante los tribunales la percepción de que la compañía intentaba ocultar una relación de subordinación que seguía existiendo en los hechos.

Por qué los workarounds generan más riesgo legal que el incumplimiento directo

Existe una diferencia jurídica relevante entre no cumplir una norma y diseñar activamente un mecanismo para eludirla. En el primer caso, la empresa puede alegar interpretación razonable, vacíos normativos o incertidumbre legal. En el segundo, la existencia del rediseño intencional puede ser leída por un tribunal —o una autoridad regulatoria— como prueba de conocimiento previo de la obligación y voluntad deliberada de evitarla. Ese es el riesgo central que el caso Glovo expone: el workaround se convierte en elemento probatorio en contra.

Hay además un efecto de escrutinio amplificado. Las autoridades laborales y los litigantes que impugnan modelos de plataformas buscan precisamente patrones de diseño que sugieran elusión. Un sistema que fue modificado justo después de que entrara en vigencia una ley que penaliza determinadas características de ese sistema genera, casi automáticamente, una hipótesis de mala fe que la empresa deberá refutar con evidencia interna —comunicaciones, minutas de diseño, decisiones de producto— que rara vez conviene exponer en sede judicial.

Argentina, Brasil y México: tres marcos que presionan en la misma dirección

La discusión sobre la laboralidad de trabajadores de plataformas no es exclusiva de Europa. En América Latina, tres jurisdicciones concentran el mayor avance normativo. En Argentina, el debate legislativo sobre una ley de plataformas de reparto se instaló con fuerza durante 2022 y 2023, con proyectos que incorporan criterios de subordinación algorítmica similares a los de la Ley Rider. Aunque aún no existe una norma aprobada a nivel nacional, la jurisprudencia laboral argentina acumula fallos que reconocen relación de dependencia encubierta con repartidores de aplicaciones. El riesgo de litigio existe hoy, con o sin ley expresa.

Brasil avanza sobre un carril diferente pero convergente. La Proposta de Emenda Constitucional 12/2024 —conocida como PEC de los trabajadores de aplicación— y la regulación complementaria aprobada en 2024 establecieron derechos mínimos para repartidores y conductores, incluyendo garantías de remuneración por hora activa y cobertura de accidentes. La ANPT (Autoridade Nacional de Proteção do Trabalho, en proceso de consolidación institucional) y el Ministerio del Trabajo han señalado que la gestión algorítmica será un criterio de análisis en las inspecciones. En México, la reforma a la Ley Federal del Trabajo de 2021 que reguló el outsourcing también instaló una lógica de transparencia sobre las cadenas reales de control, que los tribunales laborales están usando para analizar plataformas de reparto en casos en curso ante la STPS.

Qué evaluar antes de diseñar una respuesta regulatoria en plataformas digitales

El caso Glovo sugiere un checklist mínimo para cualquier equipo legal o de producto que enfrente una nueva obligación regulatoria con impacto en el modelo operativo. Antes de optar por un rediseño orientado a la elusión, conviene responder al menos estas preguntas:
- ¿El cambio propuesto elimina la conducta que la norma busca regular, o solo modifica su presentación superficial?
- ¿Existen documentos internos —correos, presentaciones, tickets de producto— que relacionen el rediseño con la entrada en vigencia de la norma? Esos documentos son descubribles en litigio.
- ¿El workaround resiste el test de sustancia sobre forma que aplican los tribunales laborales y las autoridades regulatorias en la jurisdicción relevante?
- ¿Se consultó a un abogado laboral local con experiencia en plataformas, o solo al equipo de cumplimiento corporativo global?
- ¿Cuál es el costo comparado de cumplimiento directo versus litigio prolongado, incluyendo daño reputacional y multas acumuladas?
La última pregunta suele reencuadrar la decisión. En España, Glovo fue multada con más de 79 millones de euros por la Inspección de Trabajo entre 2021 y 2022, según registros públicos. Ese número, sumado a los costos legales de múltiples litigios simultáneos, difícilmente resulta inferior al costo de haber incorporado a los repartidores como empleados desde el inicio.

Nuestro análisis

La tendencia regulatoria sobre laboralidad algorítmica en América Latina sigue la dirección europea con un rezago de entre dos y cuatro años según la jurisdicción. Eso significa que las plataformas que operan hoy en Argentina, Brasil o México están tomando decisiones de arquitectura de producto que tendrán consecuencias jurídicas cuando las normas locales terminen de consolidarse. El caso Glovo demuestra que el momento más riesgoso para una plataforma no es cuando la ley ya está vigente y clara, sino durante la ventana de ambigüedad en que la norma existe pero su aplicación es todavía inconsistente: es en esa etapa cuando los workarounds se diseñan, y es exactamente esa etapa la que atraviesan hoy varios mercados latinoamericanos.

El error estratégico de fondo no fue técnico-legal: fue creer que un problema regulatorio puede resolverse con ingeniería de producto. Cuando una norma apunta al control real sobre el trabajo —y no a la forma contractual en que ese control se documenta— ningún rediseño de interfaz elimina la sustancia que los tribunales van a buscar. La pregunta que los equipos legales y de producto deberían hacerse no es “¿cómo evitamos que esto parezca control?” sino “¿tenemos o no tenemos control sobre estos trabajadores?”. Si la respuesta honesta es sí, el workaround solo compra tiempo y acumula evidencia.

Las plataformas latinoamericanas que hoy rediseñan flujos algorítmicos con el ojo puesto en regulaciones que “todavía no llegaron” deberían releer el expediente de Glovo: no como historia europea, sino como mapa de sus propios próximos dos años.
7 octubre, 2026
Indonesia legisla la gobernanza nacional de datos con el proyecto “One Data”

Indonesia avanza en la redacción de un proyecto de ley denominado “One Data” con el objetivo de unificar la gobernanza de datos a escala nacional, consolidando bajo un único marco legal la producción, el intercambio y el uso de datos entre organismos del Estado. La iniciativa representa uno de los movimientos legislativos más ambiciosos en materia de gobernanza de datos en el Sudeste Asiático, y pone en evidencia una tendencia que América Latina todavía no ha replicado con la misma coherencia estructural.

El proyecto, según se informó por la agencia ANTARA, busca dar rango de ley a la política “Satu Data Indonesia” (Un Solo Dato Indonesia), que hasta ahora operaba bajo un reglamento presidencial —el Perpres 39/2019— sin la fuerza vinculante de una ley sancionada por el parlamento. El salto de decreto a ley no es menor: implica estándares de datos obligatorios para todos los ministerios, mecanismos de auditoría centralizados y una arquitectura de interoperabilidad entre sistemas de información del sector público.

De decreto presidencial a ley: qué cambia con el Proyecto “One Data” en Indonesia

El Perpres 39/2019 estableció los principios de Satu Data Indonesia —un dato, un estándar, satu metadata, un portal—, pero su implementación dependía de la voluntad política de cada cartera. Con la elevación a ley, la propuesta introduce responsabilidades formales para los data wali (data custodians) sectoriales, obliga a la estandarización de metadatos interoperables y crea un mecanismo de coordinación bajo el Ministerio de Planificación Nacional (Bappenas). En términos de madurez de gobernanza, esto equivale a pasar del nivel 1 (inicial/ad hoc) al nivel 3 del marco DCAM del EDM Council, donde las capacidades de gestión de datos están formalizadas y alineadas con estructuras organizacionales definidas.

El proyecto también contempla, según se informó, sanciones administrativas para los organismos que no cumplan con los estándares de calidad y publicación de datos. Este punto es relevante porque introduce un mecanismo de accountability que los marcos de gobernanza de datos en el sector público suelen carecer: sin consecuencias, la adopción de estándares queda librada a iniciativas individuales de los data stewards de turno.

México, Colombia y Brasil frente al mismo desafío de fragmentación de datos públicos

La fragmentación de datos entre entidades públicas no es exclusiva de Indonesia. En América Latina, el problema es estructural y, en varios países, carece de una respuesta legislativa equivalente. México opera bajo la Política de Datos Abiertos del Decreto de 2015, que impulsa la publicación de datos gubernamentales pero no establece estándares vinculantes de interoperabilidad ni roles formales de data stewardship entre secretarías. Colombia avanzó con el Marco de Referencia de Arquitectura Empresarial del MinTIC y el modelo de apertura de datos de datos.gov.co, aunque sin una ley que unifique la gobernanza de datos del Estado central. Brasil, el caso más maduro de la región en términos normativos, tiene en la Lei de Acesso à Informação (LAI, Ley 12.527/2011) y la LGPD (Ley 13.709/2018) dos pilares complementarios, pero aún carece de una arquitectura de datos unificada para el sector público federal que tenga rango legal explícito.

El contraste es significativo: mientras Indonesia impulsa una ley que define roles, estándares, metadatos y sanciones para la gobernanza de datos públicos bajo un único techo normativo, la mayoría de los países de la región mantienen marcos dispersos entre decretos, resoluciones sectoriales y directrices de arquitectura sin jerarquía legal clara.

Por qué la interoperabilidad sin ley es un techo de cristal para el sector público

El nudo del problema no es técnico sino institucional. Cualquier CDO o Chief Data Officer del sector público latinoamericano sabe que el mayor obstáculo para implementar data lineage o un catálogo de datos compartido entre organismos no es la tecnología: es la ausencia de mandato legal que obligue a las distintas agencias a compartir datos bajo formatos comunes. Sin ese mandato, cada ministerio o secretaría opera con su propio diccionario de datos, sus propias definiciones de indicadores y sus propias reglas de acceso. El resultado es lo que DAMA-DMBOK identifica como “silos de datos institucionales”, un patrón que degrada la calidad de las políticas públicas basadas en evidencia.

La iniciativa indonesia también es relevante desde la perspectiva del Data Governance Institute: Gwen Thomas ha señalado que la gobernanza de datos efectiva requiere autoridad formal, no solo convicción técnica. Un proyecto de ley que asigna roles, define responsabilidades y establece consecuencias es exactamente ese tipo de autoridad formal que el sector público latinoamericano raramente ejerce sobre sus propios activos de datos.

Qué monitorear: hitos del proyecto indonesio y señales para la región

El proyecto “One Data” ingresó a la fase de redacción legislativa, según se informó, lo que significa que aún debe recorrer el proceso parlamentario antes de su sanción. Los próximos pasos a observar incluyen: la definición final del organismo rector (si será Bappenas o un ente autónomo), el alcance de las sanciones administrativas y la hoja de ruta de implementación para los ministerios con menor madurez digital. Para los equipos de gobernanza de datos en LATAM, este proceso ofrece un caso de estudio en tiempo real sobre cómo convertir una política de datos en legislación con dientes.

Organismos como la CEPAL y el BID llevan años señalando la necesidad de marcos de interoperabilidad para datos públicos en América Latina. Si Indonesia logra sancionar “One Data” con los componentes de roles, estándares y sanciones, el caso podría funcionar como referencia para legisladores de la región que buscan modelos concretos más allá de los europeos.

Nuestro análisis: la gobernanza de datos públicos necesita ley, no solo política

La iniciativa de Indonesia expone una brecha que DataTrends LATAM identifica como uno de los problemas estructurales más subestimados de la región: la gobernanza de datos del sector público opera mayoritariamente sobre bases voluntarias. Eso es equivalente a implementar DAMA-DMBOK sin un patrocinador ejecutivo y sin consecuencias por incumplimiento. Los CDOs del sector público latinoamericano enfrentan la paradoja de tener mandatos de transformación digital sin la autoridad formal para exigir estándares de datos a sus pares en otras carteras.

Un CDO o responsable de datos en un ministerio regional debería, con esta noticia sobre la mesa, revisar si su organismo cuenta con al menos tres elementos que el proyecto indonesio busca institucionalizar: (1) un rol formal de data steward con responsabilidades documentadas, (2) un diccionario de datos o catálogo con metadatos estandarizados, y (3) un mecanismo de reporte de calidad de datos hacia un ente central. Si alguno de estos tres falta, el camino empieza por documentar la brecha y elevarla como riesgo institucional, no como deuda técnica.

La pregunta para los equipos de gobernanza de datos del sector público en la región no es si necesitan una ley como la indonesia, sino cuántos ciclos presupuestarios más pueden sostener una arquitectura de datos fragmentada antes de que el costo político se vuelva inocultable.

6 octubre, 2026
Marca de agua de OpenAI para texto generado por IA: qué tan sólida es

OpenAI desplegó un sistema de marca de agua (watermarking) para texto generado por modelos de lenguaje, pero la implementación levantó señales de alerta entre expertos en regulación de IA: la solución está lejos de ser inviolable y plantea interrogantes sobre su valor real como herramienta de cumplimiento normativo.

El watermarking de texto consiste en incrustar señales estadísticas en las salidas de un modelo de lenguaje grande (LLM), de modo que un detector pueda identificar con cierta probabilidad si un fragmento de texto fue generado por IA. A diferencia del watermarking en imágenes o audio —donde se modifica un archivo binario—, en texto el proceso opera sobre la distribución de probabilidades de los tokens: el modelo ajusta sutilmente qué palabras elige, creando un patrón no visible para el ojo humano pero detectable algorítmicamente. OpenAI, según se informó, integró una variante de este mecanismo en sus APIs de generación de texto.

Por qué la industria lo califica de insuficiente

El problema central no es técnico, es de robustez. Los sistemas de watermarking de texto actuales son vulnerables a ataques simples: reescribir el fragmento con otra herramienta de IA, traducirlo y retro-traducirlo, o incluso hacer pequeñas ediciones manuales puede borrar la señal sin afectar el contenido del mensaje. Investigadores de universidades como Maryland y Stanford han demostrado en los últimos dos años que ningún esquema de watermarking textual existente es a la vez indetectable para el usuario, robusto frente a manipulaciones y verificable sin acceso al modelo original. Es lo que el campo llama el trilema del watermarking. Que una empresa del tamaño de OpenAI lance una implementación sin resolver ese trilema —y sin publicar el diseño técnico completo para escrutinio externo— genera desconfianza justificada en la comunidad regulatoria.

Cuándo aplica y cuándo NO como herramienta de cumplimiento

El watermarking de texto tiene utilidad real en escenarios acotados: detectar abuso masivo y automatizado de las APIs del propio proveedor (fraude a escala industrial, spam de contenido), hacer auditorías internas donde el sistema de detección y el de generación pertenecen al mismo operador, o generar evidencia forense en litigios cuando el atacante no tuvo incentivo ni capacidad para manipular el texto. Lo que no puede hacer —y aquí está el malentendido regulatorio más peligroso— es funcionar como garantía de cumplimiento en entornos adversariales: si un actor malicioso sabe que el texto está marcado, puede borrarlo. Tampoco sirve como control de calidad para identificar texto de IA en contextos de alto riesgo como evaluaciones académicas, procesos judiciales o información médica, donde el costo de un falso negativo es inaceptable.

El AI Act europeo y la obligación de revelación que cambia el juego

El Reglamento de Inteligencia Artificial de la Unión Europea (AI Act, Reglamento UE 2024/1689) establece en su artículo 50 una obligación explícita para los proveedores de sistemas de IA generativa: garantizar que los outputs generados artificialmente sean marcables de forma técnicamente robusta y detectable por herramientas automatizadas. La formulación europea es más exigente que una implementación voluntaria y parcial —incluye texto, imágenes, audio y video— y aplica a modelos de propósito general con impacto sistémico. El plazo de aplicación escalonado llega a su fase plena en agosto de 2026 para los modelos de mayor riesgo. El anuncio de OpenAI podría leerse como un movimiento anticipatorio para alinearse con esa exigencia, aunque los detalles técnicos disponibles no permiten confirmar que la implementación cumple el estándar europeo de “detección técnicamente robusta”.

América Latina: sin obligación de marca de agua, con exposición igual o mayor

Ningún país de América Latina tiene hoy una norma equivalente al artículo 50 del AI Act que obligue a los proveedores de LLMs a implementar watermarking. Brasil avanza con el Projeto de Lei 2338/2023 de regulación de IA, que en su texto actual establece principios de transparencia algorítmica pero no prescribe mecanismos técnicos específicos como el marcado de salidas. México, Argentina y Colombia tampoco cuentan con regulación sectorial que lo exija. Sin embargo, la exposición al problema es concreta: contenido generado por IA circula masivamente en campañas electorales, plataformas de desinformación y procesos académicos en toda la región, sin que existan controles técnicos mínimos ni autoridades con capacidad técnica para auditar proveedores extranjeros. La brecha no es regulatoria solamente —es también de capacidad institucional para exigir cumplimiento a empresas que operan desde fuera de la jurisdicción.

Para los equipos jurídicos y de compliance que evalúan riesgos asociados al uso de IA generativa en sus organizaciones, el punto operativo más inmediato es este: no traten el watermarking como un control de riesgo suficiente en ningún proceso donde la autenticidad del texto tenga consecuencias legales o reputacionales. Si la política interna de uso de IA requiere trazabilidad del origen de los contenidos, el watermarking de proveedor puede ser una capa adicional, pero no la única. Los metadatos de auditoría, los logs de uso de API y los procesos de revisión humana siguen siendo el núcleo de cualquier framework de gobernanza de IA que resista un escrutinio externo.

La marca de agua que se borra con un copia-pega y un segundo modelo no es cumplimiento normativo: es su apariencia.

6 octubre, 2026
Benchmarking de privacidad en IA: qué medir cuando los modelos ya deciden
Los sistemas de inteligencia artificial de frontera procesan volúmenes crecientes de datos personales, pero no existe aún un estándar consolidado para medir cuán bien —o cuán mal— los gestionan. El Future of Privacy Forum (FPF) publicó un análisis que plantea la ausencia de benchmarks de privacidad como un problema estructural del desarrollo de IA, no como una deuda técnica menor.

Un benchmark, en el contexto de los modelos de IA, es un conjunto estandarizado de pruebas que permite comparar el desempeño de distintos sistemas bajo condiciones equivalentes. Existen benchmarks consolidados para capacidades como razonamiento matemático, comprensión lectora o generación de código. Para privacidad, en cambio, la práctica es fragmentaria: cada laboratorio evalúa lo que considera relevante, con criterios propios, lo que impide comparaciones significativas entre modelos o versiones.

Por qué la falta de benchmarks de privacidad no es un detalle técnico

Un modelo de lenguaje de gran escala puede memorizar fragmentos de sus datos de entrenamiento y reproducirlos ante consultas específicas. Puede inferir atributos sensibles —condición de salud, orientación sexual, situación financiera— a partir de información aparentemente inocua. Puede ser utilizado como vector para extraer datos personales de terceros que interactúan con el sistema. Ninguno de estos riesgos es hipotético: son comportamientos documentados en la literatura académica. El problema, según el FPF, es que sin métricas estandarizadas no hay forma de saber si un modelo mejora, empeora o simplemente desplaza esos riesgos de una capa a otra entre versión y versión.

La ausencia de benchmarks también debilita la rendición de cuentas regulatoria. Cuando una autoridad de control pregunta si un sistema de IA cumple con el principio de minimización de datos o con la obligación de no retener información personal más allá de lo necesario, la respuesta hoy es mayormente narrativa, no cuantificable. Eso convierte la evaluación de conformidad en un ejercicio retórico.

Qué debería medir un benchmark de privacidad en IA: tres dimensiones críticas

El análisis del FPF sugiere que cualquier framework de evaluación creíble debería operar al menos en tres planos distintos:
- Riesgo de memorización y extracción: capacidad del modelo para reproducir datos personales presentes en el corpus de entrenamiento ante prompts diseñados para elicitarlos.
- Inferencia de atributos sensibles: hasta qué punto el sistema puede derivar información protegida —categorías especiales de datos, en términos del RGPD o de legislaciones latinoamericanas equivalentes— a partir de inputs no sensibles.
- Comportamiento en despliegue: cómo el modelo gestiona datos personales en tiempo real durante interacciones con usuarios, incluyendo si retiene, reutiliza o transmite esa información a capas del sistema no declaradas.
Estas dimensiones no son independientes: un modelo puede rendir bien en memorización y mal en inferencia, o viceversa. Por eso el FPF argumenta que los benchmarks deben ser multidimensionales y no colapsar la privacidad en un único puntaje.

Cuándo aplica este enfoque y cuándo no

El argumento del FPF aplica con mayor fuerza a los llamados modelos de frontera: sistemas de gran escala, de uso general, entrenados con datos masivos y desplegados en contextos donde procesan información de millones de personas. Para modelos más acotados —entrenados con datos propios, sin acceso a internet, en entornos cerrados— el riesgo de memorización y extracción es estructuralmente menor, aunque no desaparece. El marco tampoco resuelve por sí solo el problema de la privacidad diferencial en entrenamiento, que requiere decisiones de diseño previas al benchmark, no evaluables a posteriori.

El vacío regulatorio en América Latina se amplifica sin métricas

Brasil, Argentina, México, Colombia y Chile cuentan con legislaciones de protección de datos personales que imponen obligaciones sobre el tratamiento automatizado de información. La Lei Geral de Proteção de Dados brasileña (LGPD) reconoce el derecho a revisión de decisiones automatizadas y exige transparencia sobre la lógica aplicada. La Ley 25.326 argentina —cuya reforma lleva años pendiente en el Congreso— y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México también establecen principios de finalidad y proporcionalidad que aplican al tratamiento por sistemas de IA. El problema es que ninguna de estas normas define cómo demostrar el cumplimiento cuando el agente que trata los datos es un modelo de lenguaje. Sin benchmarks reconocidos, las empresas que despliegan IA en la región pueden afirmar conformidad sin posibilidad real de verificación independiente.

La Autoridad Nacional de Protección de Datos de Brasil (ANPD) y la Agencia de Acceso a la Información Pública de Argentina (AAIP) han iniciado consultas sobre IA, pero ninguna ha emitido aún guías técnicas sobre evaluación de privacidad en modelos de lenguaje. En ese vacío, la iniciativa de estandarización que propone el FPF podría funcionar como referencia para reguladores que necesitan criterios operativos antes de que los primeros casos lleguen a sus despachos.

Lo que hace medible la gobernanza también la hace exigible

El título del documento del FPF —”lo que se mide se gobierna”— no es un slogan vacío. En la historia de la regulación tecnológica, los estándares técnicos han precedido o acompañado a las normas jurídicas con mayor frecuencia que lo contrario. Los requisitos de auditoría del AI Act europeo, por ejemplo, asumen implícitamente la existencia de metodologías de evaluación comparables. Sin esa infraestructura de medición, la regulación opera sobre declaraciones de intención, no sobre evidencia.

El documento completo del Future of Privacy Forum está disponible en fpf.org y constituye una referencia de trabajo para equipos legales, de producto y de gobernanza que ya están evaluando —o deberían estar evaluando— el comportamiento de los modelos que despliegan.
5 octubre, 2026
DLH obtiene contrato piloto de gobernanza de datos del NIH por USD 2 millones
DLH Holdings aseguró una orden de tarea piloto valuada en USD 2 millones otorgada por los Institutos Nacionales de Salud de Estados Unidos (NIH) para implementar un programa de gobernanza de datos en el ámbito federal de salud, según se informó el 5 de octubre de 2025.

El contrato, encuadrado como proyecto piloto, posiciona a DLH como proveedor de servicios de data governance para una de las agencias científicas con mayor volumen de datos clínicos y de investigación del gobierno estadounidense. La adjudicación fue reportada por TradingView y no incluyó detalles sobre el alcance técnico específico ni los plazos de entrega intermedios. Se desconoce por ahora qué dominios de datos del NIH abarca el piloto ni qué marcos de referencia fueron exigidos en el pliego.

Datos confirmados del contrato NIH–DLH
- Valor del contrato: USD 2 millones
- Tipo de instrumento: task order de fase piloto
- Agencia contratante: Institutos Nacionales de Salud (NIH), dependencia del Departamento de Salud de EE.UU.
- Empresa adjudicataria: DLH Holdings Corp.
- Fecha de divulgación: 5 de octubre de 2025
Qué se sabe y qué falta confirmar

Lo confirmado es el valor, la parte contratante y el carácter piloto del encargo. Lo que no está verificado incluye: el framework de gobernanza exigido (si se utilizará DAMA-DMBOK, CDMC del EDM Council u otro estándar), los dominios de datos involucrados (ensayos clínicos, datos genómicos, registros administrativos), y si el piloto tiene cláusula de extensión a un contrato mayor. Tampoco se informó si existe un Data Steward designado dentro del NIH como contraparte del programa, un rol crítico para que este tipo de iniciativas supere la etapa piloto en organismos públicos de gran escala.

El sector salud del gobierno federal estadounidense acumula uno de los repositorios de datos más complejos del mundo: ensayos clínicos, datos genómicos, estadísticas epidemiológicas y registros de beneficiarios operan en silos con distintos niveles de sensibilidad y marcos regulatorios (HIPAA, entre otros). Un piloto de gobernanza en ese entorno implica, como mínimo, definir ownership por dominio, construir un catálogo de datos con linaje, y establecer políticas de calidad y acceso. Que esté estructurado como piloto sugiere que el NIH aún no tiene una arquitectura de gobernanza consolidada y busca validar un modelo antes de escalarlo.

En América Latina, iniciativas equivalentes en el sector público de salud son escasas pero crecientes. Brasil avanza con el Rnds (Rede Nacional de Dados em Saúde) bajo supervisión del Ministerio de Salud, con obligaciones de interoperabilidad que implican, de facto, capacidades de data lineage y control de calidad. En Argentina, el Sistema Nacional de Información Sanitaria opera sin un marco formal de gobernanza de datos publicado, aunque entidades como el Ministerio de Salud y el PAMI manejan volúmenes de datos clínicos que justificarían un ejercicio similar al que el NIH está piloteando. El caso DLH–NIH ofrece un modelo de contratación pública acotada —piloto antes que transformación total— que organismos de salud latinoamericanos podrían replicar para iniciar programas de gobernanza sin comprometer presupuestos de largo plazo antes de validar el enfoque.

El próximo hito a seguir es la divulgación del informe de resultados del piloto, cuya fecha no fue informada; hasta entonces, el contrato no permite evaluar si DLH escalará el programa al resto de la infraestructura de datos del NIH.
5 octubre, 2026
La paradoja del odio útil: por qué seguimos usando IA aunque no nos gusta

Los usuarios de inteligencia artificial declaran en encuestas que desconfían de los modelos de lenguaje, les preocupan sus sesgos y sienten incomodidad ante sus respuestas homogéneas. Y aun así, los usan cada vez más. Esta contradicción no es un detalle anecdótico: es la tensión central que define el momento regulatorio y de diseño de sistemas de IA en 2026.

El fenómeno tiene nombre en la industria: “self-loathing AI”, una expresión que circula entre desarrolladores para describir productos que reconocen sus propias limitaciones como parte del argumento de venta. La startup Springboards, que construye un modelo de lenguaje orientado a generar respuestas más diversas que las de sus competidores principales, usa esa frase para describirse a sí misma, según informó su CEO a MIT Technology Review. El planteo no es menor: si la crítica a la IA ya está integrada al pitch de los propios proveedores, el debate sobre qué significa “confiar” en un sistema automatizado se vuelve mucho más complejo.

Adopción masiva con confianza en mínimos históricos

El patrón de adopción de herramientas de IA generativa replica, con variaciones, lo que ocurrió con las redes sociales en la década anterior: crecimiento sostenido en el uso simultáneo con percepciones negativas estables o en aumento. Las personas usan aquello que les resulta funcionalmente útil aunque no lo aprueben como tecnología, como empresa o como fenómeno cultural. El uso no implica legitimidad; la fricción cotidiana no detiene la adopción. Para el campo del derecho y la regulación, esto plantea una pregunta concreta: ¿es suficiente el “consentimiento informado” cuando el contexto práctico hace muy difícil optar por no usar estas herramientas?

En términos de política pública, la paradoja tensiona los modelos regulatorios que asumen que el usuario puede ejercer opciones reales. El AI Act de la Unión Europea, vigente desde 2024 y con plazos de cumplimiento escalonados hasta 2027, construye buena parte de su arquitectura sobre la idea de que los usuarios de sistemas de alto riesgo deben recibir información suficiente para tomar decisiones. Pero si la aversión declarada no se traduce en comportamiento de rechazo, el modelo de “usuario racional informado” pierde eficacia como supuesto de diseño regulatorio.

Cuándo aplica la paradoja / cuándo NO

Esta dinámica es especialmente relevante en contextos donde el uso de IA no es completamente voluntario: plataformas laborales que incorporan scoring automatizado, servicios públicos que procesan solicitudes con asistencia algorítmica, o entornos educativos donde el acceso a recursos depende de herramientas de IA. En esos escenarios, la distancia entre “odiar la IA” y “no poder prescindir de ella” no refleja preferencia genuina sino ausencia de alternativa. Por el contrario, la paradoja pierde relevancia cuando el uso es deliberado y existe competencia real: un usuario que elige entre cinco herramientas y opta por la que menos le gusta tiene opciones concretas de salida.

En América Latina, el fenómeno se amplifica por la concentración de la oferta. La mayor parte de los usuarios de la región interactúa con un puñado de modelos desarrollados fuera del continente, sin acceso a alternativas locales con capacidades equivalentes. Iniciativas como el ecosistema de IA impulsado por el gobierno brasileño o los lineamientos de la Comisión de Inteligencia Artificial del Ecuador apuntan a generar soberanía tecnológica, pero el mercado de modelos de lenguaje de uso masivo sigue siendo oligopólico. Eso refuerza la asimetría: la aversión no tiene adónde ir.

Implicancias para marcos legales en la región

La paradoja de uso versus rechazo es relevante para los marcos regulatorios de IA que varios países latinoamericanos tienen en desarrollo. El proyecto de ley de IA de Brasil, en discusión en el Congreso federal durante 2025 y 2026, plantea obligaciones de transparencia e información para proveedores de sistemas de IA. Pero si la información no cambia el comportamiento de adopción, la transparencia como herramienta de empoderamiento individual requiere ser complementada con otras palancas: interoperabilidad, portabilidad, estándares de diversidad algorítmica. Colombia, cuya Política Nacional de Inteligencia Artificial fue actualizada en 2024, incorpora el concepto de “IA confiable” sin definir mecanismos de medición que capturen esta brecha entre percepción y uso.

Desde la perspectiva del diseño de sistemas, la propuesta de Springboards —mayor variedad de respuestas como diferenciador— apunta a una crítica real: los modelos de lenguaje dominantes tienden a la homogeneización, lo que reduce el valor epistémico de sus outputs y genera respuestas previsibles. Si la diversidad de respuestas se convierte en un criterio de evaluación de sistemas de IA, los marcos regulatorios deberían incluirla como dimensión de calidad, junto con precisión, equidad y explicabilidad.

El autoconocimiento como argumento de mercado

Que un proveedor de IA se defina a sí mismo como “con autoconciencia crítica” revela cuánto ha madurado el discurso del sector. Ya no alcanza con prometer precisión o velocidad. El mercado —al menos en el segmento más sofisticado— empieza a valorar la honestidad sobre las limitaciones. Eso es, en sí mismo, un dato regulatorio: si los propios proveedores asumen que sus modelos tienen fallas estructurales, el argumento de que la supervisión humana es suficiente para mitigar riesgos se debilita considerablemente.

Para los reguladores latinoamericanos que diseñan marcos de IA en este momento, la pregunta no es si la gente confía en estos sistemas. La pregunta es qué hacer cuando la desconfianza no basta para frenar la dependencia. Una referencia útil para profundizar es el AI Act de la UE (Reglamento 2024/1689), disponible en el Diario Oficial de la Unión Europea, que ofrece el marco más detallado vigente sobre obligaciones de transparencia y supervisión humana en sistemas de alto riesgo.

5 octubre, 2026
PwC: las brechas en gobernanza de datos frenan la seguridad en IA

Una encuesta global de PwC revela que las organizaciones avanzan en adopción de inteligencia artificial mientras sus fundamentos de gobernanza de datos permanecen sin resolver. La brecha no es técnica: es de ownership, clasificación y control del dato antes de que llegue a los modelos.

El hallazgo central del relevamiento de PwC es que la seguridad en sistemas de IA no puede desacoplarse de la madurez en gobernanza de datos corporativa. Las compañías que despliegan modelos sobre datos sin clasificar, sin linaje documentado y sin un data steward identificable están, en la práctica, introduciendo riesgo sistémico en cada inferencia. No es un problema de firewall ni de modelo: es un problema de quién es responsable del dato que alimenta ese modelo.

Qué mide PwC y qué encontró en las organizaciones relevadas

Según se informó a partir del relevamiento, una proporción significativa de empresas encuestadas reconoce no tener controles formales sobre los datos que utilizan para entrenar o alimentar sus sistemas de IA. Esto incluye ausencia de catálogos de datos activos, falta de políticas de retención aplicadas a datasets de entrenamiento, y procesos de data quality que no escalan al ritmo de los proyectos de IA. El reporte identifica tres brechas recurrentes: ausencia de roles de gobernanza formalizados para IA, políticas de acceso a datos inconsistentes entre áreas de negocio, y ausencia de trazabilidad (data lineage) desde la fuente hasta el output del modelo.

Por qué el data lineage es el punto de quiebre en entornos de IA

El data lineage —la documentación de cómo un dato es capturado, transformado y consumido a lo largo de su ciclo de vida— no es un requisito nuevo. El DAMA-DMBOK lo ubica como una capability central dentro del área de conocimiento de Data Architecture. Lo que cambia con la IA generativa es la velocidad a la que un dato mal catalogado o sin owner asignado puede propagarse a un output visible, auditable y potencialmente regulado. Si el modelo responde con información personal no depurada o con datos de clientes de una jurisdicción con restricciones de transferencia, el problema de compliance ya ocurrió. El lineage es el único mecanismo que permite reconstruir ese camino y demostrar control ante un regulador.

El EDM Council y el umbral mínimo de madurez para operar IA de forma segura

El EDM Council, a través de su framework CDMC (Cloud Data Management Capabilities), establece que las organizaciones necesitan al menos las capabilities de clasificación de datos, gestión de consentimiento y control de acceso granular antes de mover datos sensibles a entornos de IA en la nube. Según el esquema de madurez del CDMC, muchas organizaciones de la región operan entre los niveles 4 y 6 de 12, suficiente para reporting operativo pero insuficiente para soportar un programa de IA con datos regulados. La distancia no es menor: entre el nivel 6 y el 9 —donde el control sobre datos en IA empieza a ser robusto— hay decisiones de presupuesto, de talento y de arquitectura que no se resuelven en un trimestre.

En América Latina: LGPD, Ley 25.326 y el riesgo de entrenar modelos con datos personales sin base legal

En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) exige que cualquier tratamiento de datos personales, incluyendo el uso para entrenamiento de modelos de IA, cuente con una base legal habilitante. La Autoridade Nacional de Proteção de Dados (ANPD) ya emitió orientaciones sobre tratamiento automatizado que las organizaciones con operaciones en el país deben considerar al diseñar sus pipelines de entrenamiento. En Argentina, la Ley 25.326 de Protección de Datos Personales aplica lógica similar, aunque la Agencia de Acceso a la Información Pública (AAIP) aún no cuenta con una guía específica para IA. En México, el INAI opera bajo la LFPDPPP y ha emitido recomendaciones sobre decisiones automatizadas. El punto común: ninguno de estos marcos habilita el uso de datos personales en IA por defecto. La gobernanza de datos no es preparación para una auditoría futura; es el requisito previo para operar hoy.

Cuándo aplica este análisis y cuándo no

Las brechas identificadas por PwC son directamente relevantes para organizaciones que: (a) usan datos de clientes o empleados para alimentar modelos de IA propios o de terceros; (b) operan en industrias reguladas —banca, salud, seguros— con requisitos específicos de control de datos; o (c) tienen proveedores de IA que acceden a datos propios para fine-tuning o RAG (Retrieval-Augmented Generation). No aplica de la misma forma a organizaciones que usan modelos de IA exclusivamente con datos públicos o sintéticos sin trazabilidad a personas identificables. En ese segmento, el riesgo de gobernanza es menor, aunque el riesgo de calidad de output persiste.

Para un CDO o Data Governance Manager con proyectos de IA activos, el paso inmediato es auditar qué datasets están siendo utilizados por esos proyectos, quién figura como data owner en el catálogo corporativo, y si existe una base legal documentada para ese uso bajo la ley aplicable en cada jurisdicción donde operan. Si alguna de esas tres preguntas no tiene respuesta clara, el riesgo ya existe.

El reporte completo de PwC está disponible en pwc.com; para el marco regulatorio aplicable en Brasil, la ANPD publica sus resoluciones y guías técnicas en gov.br/anpd.

5 octubre, 2026