14-08-2026 | Albagli Zaliasnik, Noticias
A cuatro meses de su entrada en vigor, la Ley 21.719 obliga a las organizaciones a reforzar la gobernanza de los datos personales, gestionar los riesgos asociados a la inteligencia artificial y prepararse para un nuevo escenario de fiscalización.
El próximo 1 de diciembre de 2026 entrará en vigor en Chile la nueva Ley de Protección de Datos Personales (Ley 21.719), que reemplazará a la Ley 19.628 y elevará significativamente las exigencias para las organizaciones que recopilan, almacenan y utilizan información personal. La norma refuerza los derechos ARSOP de los titulares (acceso, rectificación, supresión, oposición y portabilidad), incorpora obligaciones de trazabilidad y crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras.
Ese es el marco legal. La pregunta ahora es otra: ¿están realmente preparadas las empresas chilenas para la entrada en vigor de la nueva ley?
Según Yoab Bitran, director del Grupo Compliance de az, la mayoría de las empresas chilenas todavía está trabajando en identificar y corregir las brechas de sus procesos internos. Los sectores regulados, especialmente el financiero y el de salud, están más avanzados en algunas de las obligaciones que establece la nueva normativa. En el resto de las organizaciones, afirma el vocero, el trabajo se encuentra todavía en una etapa inicial y el objetivo es llegar a la entrada en vigor con los aspectos básicos resueltos.
“Si bien no es una obligación directa de la normativa de datos personales, el mapeo de los datos personales que procesan es un insumo valioso dentro de las organizaciones, ya que permite identificar los tipos de datos personales que se usan y sobre ello, adoptar medidas para corregir eventuales riesgos en el uso de esta información. Muchas de estas acciones permiten responder a obligaciones que se encuentran en la ley. Sin duda, el resguardar el ejercicio de derechos de los titulares (ARSOP) es un tremendo desafío para cumplir en tiempo y forma”, subraya.
Agencia y liderazgo regional: los dos desafíos de Chile
La idea de que el mercado debería estar preparado porque la ley fue publicada hace dos años no refleja la realidad. Para algunas organizaciones, adaptar los procesos de recolección, almacenamiento y uso de datos personales supone un cambio de cultura que recién comienza.
A ello se suma la instalación de la Agencia de Protección de Datos Personales, que tendrá a su cargo la fiscalización del nuevo régimen. Sin embargo, la conformación de su Consejo Directivo avanza más lento que el calendario original, lo que podría llevar a que la nueva autoridad termine de instalarse casi al mismo tiempo en el que entran en vigor las obligaciones que deberá supervisar.
Bitran menciona que la industria y el sector público esperan que la agencia cumpla un rol orientador e impulse una cultura de protección de datos en un país donde, pese a la existencia de una ley vigente, el tratamiento de la información personal no siempre ha recibido la atención que exige la reforma.
“Se espera que, cuando se instale, pueda dar algunos lineamientos y respuestas a interrogantes que no fueron resueltas del todo en la normativa aprobada, antes de que parta con un proceso de fiscalización, similar a la experiencia internacional, por ejemplo, Brasil”, comenta.
A su juicio, una vez superada esa primera etapa, la agencia deberá avanzar en procesos de fiscalización, especialmente en sectores con prácticas comerciales agresivas que podrían no ajustarse al nuevo régimen de protección de datos.
En el contexto regional, Chile parte con ventaja. Juan Pablo González, director de Nuevas Tecnologías e IA de az, considera que la actualización normativa permite al país avanzar de forma rápida hacia los primeros lugares de América Latina.
“Sin perjuicio de ello, mucho dependerá de la capacidad de aplicar la normativa aprobada. Chile no cuenta con una normativa específica de inteligencia artificial y, a pesar de que se encuentra en tramitación un proyecto en la materia, existen varias voces que consideran necesario avanzar en materias previas a tener una regulación madura de una tecnología como IA. Este análisis de elementos previos ha sido reflejo de lo sucedido en Europa, con el aplazamiento de algunas obligaciones del Reglamento Europeo de IA y algunas modificaciones que se desean aprobar en la normativa sobre protección de datos personales, especialmente, en favor de las pequeñas y medianas empresas”, explica.
Riesgos de la inteligencia artificial en las empresas
Mientras las empresas se preparan para cumplir con la nueva normativa de protección de datos, la inteligencia artificial abre un desafío que ya no es solo un asunto del área de sistemas. Según el último informe de la consultora de gestión global McKinsey, el 78% de las corporaciones usa activamente IA generativa en sus procesos de negocio, y esa adopción masiva convirtió a los algoritmos en un vector de riesgo operacional, reputacional y regulatorio al mismo tiempo.
Cifras globales del Cost of a Data Breach Report 2025 de IBM advierten que la adopción de la IA supera las medidas de seguridad y gobernanza corporativa:
- El 13% de las compañías ya reportó brechas de seguridad vinculadas a aplicaciones de inteligencia artificial.
- El 97% de las firmas vulneradas no contaba con políticas de acceso a sus modelos.
- Un 8% no estaba seguro de si sus sistemas de IA habían sido vulnerados.
- El costo promedio de una brecha asociada a IA alcanza los US$670.000.
A eso se añade el fenómeno conocido como Shadow AI, que consiste en el uso informal de herramientas de inteligencia artificial por parte de colaboradores sin autorización ni supervisión de la organización, y que convierte la protección de datos en un asunto inseparable de la gobernanza tecnológica.
En Chile, el escenario se agrava con una cifra local: en 2025 el país enfrentó cerca de 8,8 billones de intentos de ciberataque, y un 16 % de las brechas de datos ya son perpetradas por ciberdelincuentes que usan IA para potenciar sus ofensivas.
En este escenario, el marco regulatorio chileno se articula en torno a dos normas que comienzan a dialogar entre sí. Por un lado, la Ley Marco de Ciberseguridad (Ley 21.663) exige a los operadores de importancia vital estándares estrictos de gestión de riesgos y el reporte de incidentes en plazos acotados. Por otro, la Ley 21.719 endurece las sanciones por el tratamiento indebido de datos personales, un aspecto relevante si se considera que muchos sistemas de inteligencia artificial se entrenan con información sensible que debe ser sometida a otras medidas de protección antes de ser utilizada.
Cumplimiento y gobernanza, hoja de ruta para las empresas
El desafío, sin embargo, no termina en el contenido de las normas. Para llevar este nuevo escenario a la operación diaria, las empresas tendrán que revisar cómo gestionan la información y toman decisiones sobre el uso de nuevas tecnologías. Se trata de un cambio de método que va más allá de actualizar políticas internas.
Bitran plantea que, aunque el mapeo de datos personales no es una obligación explícita de la Ley 21.719, se ha convertido en un insumo clave para cualquier organización que quiera anticiparse a los riesgos y cumplir con las nuevas exigencias. En ese sentido, plantea acciones para un diagnóstico técnico con gobernanza corporativa:
- conocer en qué procesos la organización trata datos personales;
- identificar qué sistemas de inteligencia artificial utiliza y para qué fines;
- definir controles de acceso, cifrado en tránsito y en almacenamiento;
- actualizar políticas, procedimientos y cláusulas contractuales con proveedores;
- redefinir roles y responsabilidades dentro de la organización para gestionar el riesgo.
González, por su parte, recomienda instalar comités multidisciplinarios, donde los tomadores de decisión discutan de forma temprana los riesgos asociados al uso de IA, y sumar métricas que permitan medir el desempeño de la tecnología en casos de uso específicos, algo que a su juicio termina siendo la diferencia entre adoptar IA con control o adoptarla a ciegas.
“Esto, sin duda, le permitirá a una organización integrar de manera exitosa este tipo de tecnología, así como tener resultados medibles, especialmente en procesos que pueden resultar críticos, definido al apetito por riesgo de la organización”, añade.
Regulación de inteligencia artificial
Mientras la aplicación de la Ley 21.719 avanza sobre un marco normativo ya definido, la regulación de la inteligencia artificial en Chile todavía se encuentra en discusión. El Ejecutivo presentó en el Senado un proyecto de Ley Marco de IA, inspirado en el Reglamento Europeo de Inteligencia Artificial, que clasifica los sistemas según sus niveles de riesgo.
El director de Nuevas Tecnologías e IA de az ha seguido de cerca esta discusión y plantea que el modelo europeo no necesariamente responde a las necesidades específicas de Chile.
“Este marco responde a ciertos tipos de riesgos de IA, que no necesariamente son los mismos que necesitamos regular en Chile, en particular, casos de uso. En ese sentido, la industria levantó varios puntos a tener en consideración para la discusión parlamentaria, buscando que se focalice en los incentivos para el avance de una industria de desarrollo de IA, regulando usos más que la tecnología en sí misma. El objetivo principal es evitar una regulación que restrinja el desarrollo tecnológico”, sostiene.
La experiencia europea se ha convertido en uno de los principales argumentos de quienes piden revisar el alcance y los tiempos de la propuesta chilena. El aplazamiento de algunas obligaciones del reglamento europeo ha puesto de relieve las dificultades de implementar un marco regulatorio complejo sin que las empresas y las autoridades cuenten con el tiempo suficiente para adaptarse.
González indica que la discusión de fondo está en si la regulación debe centrarse en la tecnología o en los usos que se hacen de ella. La decisión determinará qué empresas estarán sujetas a mayores exigencias y bajo qué criterios. Por eso, el sector legal corporativo sigue de cerca la tramitación del proyecto, que establecerá las reglas para el desarrollo y uso de la inteligencia artificial en Chile.
Impacto en las pymes
El impacto para las empresas más pequeñas es uno de los puntos que genera mayor preocupación. Si el proyecto de Ley Marco de IA mantiene la clasificación de los sistemas según su nivel de riesgo, las compañías podrían enfrentar nuevas exigencias, como sistemas de gestión de riesgos, evaluaciones periódicas, documentación técnica, supervisión humana y estándares de ciberseguridad, precisión y solidez técnica. La pregunta es cómo podrán asumirlas las pymes.
“Una de las alertas que se levantaron en la discusión es que estos cambios pueden ser soportados por las grandes empresas, pero para las pymes estas obligaciones pueden conllevar costos que no son soportados por la incorporación temprana dentro de la organización, en un entorno en que existen diversos requerimientos regulatorios. Finalmente, el proyecto de ley no establece ningún sistema de apoyo para este segmento de industria”, resalta Bitran.
El proyecto, tal como se discute actualmente en el Senado, no contempla una diferencia entre una multinacional y una pyme a la hora de asumir obligaciones en materia de gestión de riesgos, documentación técnica y ciberseguridad. En protección de datos personales, en cambio, la Ley 21.719 sí estableció un período de adaptación para las empresas de menor tamaño, que durante el primer año de vigencia solo estarán expuestas a amonestaciones y no a multas. En materia de inteligencia artificial, por ahora, esa diferencia no existe.
Pese a las dificultades, ambos voceros de az coinciden en que las empresas que se anticipen tendrán una ventaja. Bitran considera que incorporar la inteligencia artificial de manera temprana, identificando sus riesgos y analizándolos con las distintas áreas de la organización, permite aprovechar mejor la tecnología y reducir la exposición a incidentes que pueden traducirse en pérdida de reputación, tiempo y sanciones.
El desafío para Chile será mantener el avance alcanzado en protección de datos personales y, al mismo tiempo, construir una regulación de inteligencia artificial que tome en cuenta las particularidades del país. En esa discusión, las pymes aparecen como uno de los principales puntos pendientes.
Autor: Gunther Félix | Fuente: LexLatin (30 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
13-08-2026 | Bustamante Fabara, Noticias
La Guía ofrece una referencia técnica para que las organizaciones revisen la calidad y el funcionamiento de los controles implementados.
El 3 de agosto de 2026, la Superintendencia de Competencia Económica (SCE) expidió la Resolución No. SCE-DS-2026-37, mediante la cual aprobó una nueva versión de la Guía de Compliance en Materia de Competencia Económica de Julio 2026.
¿Qué incorpora y profundiza frente a la guía de 2021?
La versión anterior de la Guía ya contemplaba los componentes básicos de un programa de cumplimiento, incluidos la gestión de riesgos, la capacitación, el monitoreo y la auditoría. La nueva versión los desarrolla con mayor detalle operativo, refuerza el estándar de efectividad e incorpora 24 anexos que reúnen matrices, protocolos, listas de verificación y modelos adaptables. Entre sus principales desarrollos se encuentran los siguientes:
- Gestión de riesgos: la Guía sistematiza una metodología para identificar, valorar y tratar los riesgos de competencia. Propone una matriz de probabilidad e impacto de cinco por cinco y clasifica los riesgos como bajos, medios, altos o críticos, con respuestas diferenciadas. Para determinados riesgos que la propia Guía identifica expresamente como especialmente graves —entre ellos, cárteles, manipulación de licitaciones, reparto de clientes o mercados, intercambio de información estratégica futura entre competidores, destrucción de evidencia, obstrucción de investigaciones y represalias contra denunciantes—, recomienda adoptar un límite de riesgo cero.
- Competencia desleal: la nueva Guía articula el programa con la Ley Orgánica de Regulación Contra la Competencia Desleal (LORCCD) y distingue entre deslealtad simple, deslealtad agravada y posibles casos de aplicación concurrente con la normativa de libre competencia. En consecuencia, la publicidad, las comparaciones comerciales, el uso de información empresarial y otras prácticas de mercado deberían someterse a controles preventivos y contar con evidencia que respalde las decisiones adoptadas.
- Algoritmos, datos e inteligencia artificial: la nueva versión incluye riesgos derivados de herramientas tecnológicas que intervienen en precios, descuentos, asignación de clientes o recopilación de información del mercado. Se recomienda identificar estas herramientas, documentar su funcionamiento y mantener supervisión humana en decisiones sensibles.
- Gobernanza y modelo de tres líneas: las áreas de negocio aplican los controles diarios; las áreas de cumplimiento, riesgos y asesoría diseñan políticas, capacitan y supervisan; y la auditoría interna o una evaluación independiente verifica su efectividad. La Guía también recomienda que la función de compliance tenga independencia funcional y acceso directo a la alta dirección.
La nueva Guía desarrolla cómo adaptar el programa a la exposición real de cada operador y descarta un modelo uniforme. La estructura y profundidad del programa deberían ajustarse al tamaño y estructura de la organización, sus actividades, los mercados en los que opera y su exposición concreta a riesgos de competencia.
La Guía también incorpora protocolos para gestionar denuncias e investigaciones internas, preservar evidencia y responder de manera ordenada a requerimientos, inspecciones y otras actuaciones de la SCE.
¿Por qué es relevante?
La Guía refuerza el criterio de efectividad. La efectividad de un programa no se acredita con la sola existencia de políticas, capacitaciones o responsables designados. Para considerarse efectivo, el programa debería permitir demostrar que los riesgos fueron identificados, los controles se aplicaron y las alertas o incidentes fueron atendidos.
Esto no significa que la sola ausencia de un programa de compliance constituya una infracción sancionable, pero la Guía sí ofrece una referencia técnica para que las organizaciones revisen la calidad y el funcionamiento de los controles implementados.
En términos prácticos, de la Resolución y de la nueva Guía no se desprende una obligación general de actualizar los programas elaborados con base en la versión de 2021, ni estos se vuelven automáticamente inadecuados. Sin embargo, resulta recomendable revisarlos para identificar posibles brechas en materia de competencia desleal, riesgos digitales, gobernanza, terceros y conservación de evidencia.
Además, la Resolución permite que la Guía sea revisada y actualizada periódicamente sin necesidad de expedir una nueva resolución, con la previa aprobación de las autoridades institucionales competentes. En consecuencia, las empresas deberían verificar la versión institucional vigente antes de aprobar o actualizar sus programas.
Como su nombre lo indica, la Guía tiene carácter orientativo y, por tanto, no establece la obligación de implementar programas de cumplimiento en materia de competencia. No obstante, constituye una herramienta importante para identificar y mitigar riesgos.
¿Qué deberían considerar las empresas?
Como medidas de buena práctica, la Guía recomienda:
- Evaluar la exposición según el sector, el tamaño de la organización, los mercados en los que opera, el contacto con competidores, la participación en licitaciones, los canales de distribución, los terceros críticos y el uso de datos.
- Revisar el programa vigente y actualizar la matriz de riesgos, integrando la LORCCD, los riesgos digitales, los riesgos asociados a terceros y los controles para actividades críticas.
- Definir responsabilidades claras para el órgano de gobierno, la alta dirección, las áreas de negocio y las funciones de cumplimiento, asesoría y auditoría.
- Actualizar los protocolos aplicables a licitaciones, gremios, operaciones de concentración, publicidad, algoritmos y actuaciones ante la SCE.
- Capacitar a los equipos según su nivel de exposición y las decisiones que adoptan.
- Habilitar o mantener canales de consulta y denuncia que permitan reportar y escalar incidentes.
- Documentar, medir y auditar los controles, conservar evidencia verificable, implementar planes de mejora y verificar periódicamente la versión institucional vigente de la Guía.
El punto central no es producir manuales más extensos. El programa solo será efectivo si funciona en la práctica y deja evidencia suficiente de cómo la organización previno, detectó y corrigió sus riesgos. Un programa meramente formal tendrá una utilidad limitada frente a una revisión interna o una actuación de la autoridad.
Si necesitas información, escríbenos a contacto@compliancelatam.legal.
11-08-2026 | Beccar Varela, Opinión, Posse Herrera Ruiz
Por Morena Luque, Compliance & Ethics Officer Southern Cone; y Laura Sánchez, Compliance Manager Andean & LAB | PepsiCo
Son las 10 de la mañana y se termina una reunión con la casa matriz. “El programa global ya está aprobado, ahora necesitamos implementarlo en todos los países de Américas, como determina la región”.
La frase es razonable y retadora hasta que recuerdas que esa región la compone Colombia, Chile, Perú, Argentina, México y Brasil, donde no solo cambian las leyes y su cultura; cambia la forma de hacer negocios, la relación con las autoridades, los riesgos y la madurez de las organizaciones.
Para desarrollar esta estrategia de implementación, debemos entender que el problema no es entre Compliance global y Compliance local. Esto es un falso dilema; tampoco si uno debe estar primero que el otro. La verdadera pregunta es: ¿cómo construimos un programa global que sobreviva cuando llega a Latinoamérica? Ahí empieza el desafío para buscar que hablen el mismo idioma.
Las organizaciones multinacionales han invertido durante los últimos años importantes recursos en la solidificación de programas globales de cumplimiento, donde se encuentre el código de conducta, matrices de riesgos, procedimientos de investigaciones internas y procesos de debida diligencia sobre los terceros, que buscan garantizar un estándar homogéneo de comportamiento en todas las operaciones.
Ese estándar es uno de los activos más relevantes de cualquier organización, ya que no se limita a políticas o procedimientos, sino que refleja su cultura. Estos programas expresan cómo la compañía concibe la ética, gestiona sus riesgos y espera que sus colaboradores tomen decisiones, funcionando como la materialización de sus valores en la gestión diaria, en un entorno particularmente complejo como el de Latinoamérica.
El Compliance corporativo en su implementación local
Y así empezamos a analizar esta estrategia, los programas de Compliance Corporativo enfrentan un desafío clave en América Latina: lograr un equilibrio entre los estándares globales y las exigencias específicas de cada jurisdicción. Países como Colombia, Perú, Argentina y Chile han desarrollado marcos normativos propios que requieren la implementación de programas con características particulares, incorporando requisitos específicos que muchas veces exceden el estándar diseñado por la casa matriz. Por ello, un enfoque global común resulta más efectivo cuando se complementa con las adaptaciones necesarias para cada jurisdicción, permitiendo atender las particularidades regulatorias locales y fortalecer el impacto del programa de Compliance.
En este sentido, el rol del Compliance Officer local adquiere una dimensión estratégica para el negocio, pues su responsabilidad ya no consiste únicamente en implementar políticas corporativas; su rol deberá interpretar el contexto regulatorio, entender el contexto sociopolítico de cada país y comprender las expectativas de las autoridades locales, y traducir los principios globales en controles que realmente mitiguen los riesgos presentes en cada operación y cumpla la expectativa local.
Los desafíos locales: la tensión entre lo global y lo local
Con frecuencia escuchamos que existe una tensión entre lo que se envía como mandato global y las exigencias locales. Sin embargo, esa tensión no nace de un conflicto entre normas, sino de la necesidad de armonizar dos objetivos igualmente legítimos.
Las organizaciones multinacionales suelen contar con políticas y programas de Compliance diseñados a nivel global, basados en principios comunes como integridad, prevención de la corrupción o gestión de riesgos. Eso es lo que llamamos la “cultura de la empresa”, una suma de lineamientos y principios bajo los cuales la empresa se identifica y opera de forma homogénea. Sin embargo, en la práctica, estos programas deben ser ajustados para responder a las particularidades legales, culturales y regulatorias de cada país y el giro particular de cada industria, y ahí empieza la verdadera discusión: ¿debemos privilegiar el programa global o local?
En Latinoamérica, esta discusión es especialmente relevante. Colombia, Perú, Argentina y Chile, por ejemplo, presentan requerimientos distintos en materia de prevención de lavado de activos, anticorrupción, responsabilidad penal de las personas jurídicas o canales de denuncia, atendimiento de casos de la línea ética, registro de las organizaciones en plataformas gubernamentales, entre otros. Estas diferencias exigen que los programas corporativos no solo se implementen, sino que se “localicen/adapten” de manera efectiva.
Un gran ejemplo de esto es el Modelo de Prevención de Delitos (MPD) en Chile y el Programa de Transparencia y Ética Empresarial (PTEE) en Colombia (regulado principalmente por la Superintendencia de Sociedades). Estos son marcos distintos en su origen normativo, pero comparten varios elementos estructurales, conceptuales y operativos clave en materia de Compliance y prevención de riesgos de corrupción. Sin embargo, debemos también tropicalizar y atender sus diferencias, como por ejemplo, el MPD chileno es un modelo legalmente vinculante con responsabilidad penal corporativa, mientras que el PTEE colombiano es un sistema regulatorio-administrativo con énfasis fuerte en prevención de soborno transnacional.
En los últimos años, América Latina ha dado pasos significativos hacia la consolidación de marcos de responsabilidad de las personas jurídicas, con enfoques que, aunque diversos, convergen en un mismo propósito: reforzar la integridad empresarial y prevenir el delito corporativo. Colombia, Perú, Argentina y Chile han desarrollado normativas que introducen o fortalecen la responsabilidad de las empresas frente a actos como la corrupción, el soborno o el lavado de activos, impulsando la adopción de modelos de prevención, programas de integridad y sistemas de Compliance efectivos. Más allá de los matices regulatorios de cada país, el mensaje es claro: la gestión de riesgos ya no es opcional, sino un componente esencial del gobierno corporativo moderno. Este avance regional no solo eleva los estándares éticos, sino que también posiciona al Compliance como un verdadero habilitador de sostenibilidad y confianza en los negocios.
Similitudes entre los marcos de responsabilidad penal y prevención de la corrupción
A pesar de las diferencias entre jurisdicciones, existe un denominador común importante entre las normativas de responsabilidad penal de las personas jurídicas y las de prevención de la corrupción en estos países. En general, los marcos regulatorios comparten una lógica basada en la responsabilidad organizacional y la existencia de programas efectivos como mecanismo de mitigación o exención de responsabilidad.
Entre las principales similitudes se destacan el enfoque basado en riesgos, programas de Compliance como elemento central, rol activo de la alta dirección, debida diligencia sobre terceros incluyendo proveedores, intermediarios y socios comerciales (son un foco crítico en ambos marcos); canales de denuncia, mecanismos de investigación, monitoreo y mejora continua.
Estas similitudes representan una oportunidad para construir programas regionales más cohesivos, donde los componentes esenciales puedan estandarizarse sin perder la flexibilidad necesaria para cumplir con requisitos locales específicos.
Además, no debemos olvidar que las situaciones bajo análisis pueden repetirse e, incluso, ir perfeccionándose, tanto en el entorno interno de la empresa como en el externo. Por ello, reforzamos constantemente el concepto de un programa “vivo”, capaz de responder a los cambios y adaptarse con agilidad a las distintas particularidades y riesgos emergentes.
Nuestro principal reto
Para los Compliance Officers que operan en estos países, el principal reto radica en traducir las políticas globales en soluciones que sean realmente aplicables y efectivas en el contexto local. Nuestra interpretación del contexto es clave para comprender más allá de la descripción de la ley, cómo y de qué forma hacer implementaciones y seguimientos.
¿Y qué sucede cuando existen inconsistencias entre los requerimientos locales y las políticas globales?
Nuestro desafío no es solo normativo, es interpretativo, de desarrollo de criterio profesional aplicado a nuestras industrias y, por sobre todo, criticidad. Se habla mucho de la madurez de una organización en temas de Compliance y culturales, pero algunas veces resulta relevante poner en perspectiva qué es lo que está sucediendo en nuestra región o país a nivel político, económico, cultural y —por qué no— estructural. Todo esto, sin perder de vista la visión regional y las políticas propias de una empresa. Lejos de ser solo una limitación, esta diversidad regulatoria también representa una oportunidad para robustecer los programas de Compliance. La adaptación local permite incorporar mejores prácticas emergentes de distintos países y elevar el estándar corporativo, desarrollando programas más sólidos, capaces de responder a múltiples escenarios regulatorios.
Un punto fundamental es que se fomenta la cultura de cumplimiento más cercana a la realidad de cada operación, permitiendo una mayor credibilidad frente a autoridades locales y stakeholders.
Mejores prácticas para una implementación efectiva de un programa vivo
Ya hemos revisado las diferencias regulatorias y la preocupación de administrarlas, pero en realidad el verdadero potencial es identificar aquello que todas las jurisdicciones tienen en común para lograr una integración exitosa entre lo global y lo local. Algunas buenas prácticas clave incluyen:
- Diseño modular del programa: permitir que ciertos componentes se ajusten según la normativa local sin comprometer el marco global. Esto permite un programa exitoso, no solo adaptado a las necesidades y requerimientos, sino también adaptado a quienes deben llevarlo adelante y sus circunstancias.
- Mapeo normativo continuo: mantener actualizado el análisis de requisitos específicos en cada país. Si bien este punto muchas veces resulta “obvio”, lo cierto es que muchas veces las diferentes industrias presentan desafíos o cambios en virtud de sus situaciones geopolíticas e incluso en sus estructuras de mando. Esto desafía no solo el scope de sus colaboradores, sino incluso la medición de un riesgo, sobre todo cuando parte del proceso se presenta disgregado en diversas geografías.
- Gobernanza clara: definir roles y responsabilidades entre equipos globales y locales.
- Capacitación contextualizada: adaptar los entrenamientos a los riesgos y regulaciones de cada jurisdicción.
- Comunicación fluida: asegurar un diálogo constante entre headquarters y equipos locales para alinear expectativas.
Así las cosas y luego de recorrer los diferentes marcos regulatorios de la región, resulta evidente que la implementación no consiste simplemente en desplegar políticas corporativas o replicar procedimientos. Debemos traducir y adaptar, pues el desafío deja de ser normativo y pasa a ser estratégico entre programas vivos y riesgos dinámicos, programas de casa matriz y exigencias locales.
Contestemos entonces la pregunta inicial y resolvamos el reto: el cumplimiento local es y será profeta en su tierra si atiende y lee la evolución regulatoria en América Latina de forma adaptativa y estratégica, después de recorrer los distintos marcos regulatorios y en un entorno donde las organizaciones operan bajo estándares corporativos, pero responden al cumplimiento local que muchas veces es más sofisticado. El éxito no dependerá de implementar en forma idéntica, sino de atender las buenas prácticas corporativas para cumplir con el compromiso local, lograr una misma cultura de integridad y valores sin perder su esencia.
Al final, el futuro del Compliance en nuestra región no dependerá de construir programas más globales o locales. Dependerá de la capacidad de las organizaciones para escuchar a quienes mejor conocen el entorno donde operan y convertir ese conocimiento en una ventaja estratégica que eleve los programas de cumplimiento. Solo entonces podremos afirmar que la integridad no habla diferentes idiomas: habla el lenguaje del riesgo local, adaptación global y cultura ética al mismo tiempo.
Morena Luque, Compliace & Ethics Officer Southern Cone; y Laura Sánchez, Compliance Manager Andean & LAB | PepsiCo
Si necesitas más información sobre la plataforma, escríbenos a contacto@compliancelatam.legal.
10-08-2026 | BLP, Noticias
La normativa exige a las empresas fortalecer sus controles internos, ampliar la debida diligencia y adecuar sus políticas de cumplimiento a un esquema más estricto de prevención, supervisión y sanción.
Guatemala ha dado un paso importante en el fortalecimiento de su marco regulatorio en materia de prevención del lavado de dinero y del financiamiento del terrorismo con la aprobación del Decreto 15-2026, que aprueba la nueva Ley Integral para la Prevención y Represión del Lavado de Dinero u Otros Activos y del Financiamiento del Terrorismo. La nueva normativa sustituye el régimen vigente durante más de dos décadas y reúne, por primera vez, en un solo cuerpo legal, las principales disposiciones en materia de prevención del lavado de dinero y financiamiento del terrorismo.
La reforma responde al objetivo de fortalecer el sistema guatemalteco conforme a los estándares promovidos por el Grupo de Acción Financiera Internacional (GAFI) y el Grupo de Acción Financiera de Latinoamérica (GAFILAT). En un contexto en el que Guatemala busca consolidar un marco regulatorio moderno y fortalecer la efectividad de su sistema de prevención de cara a futuras evaluaciones internacionales, esta actualización contribuye a reforzar la transparencia, la confianza y la seguridad jurídica del entorno empresarial.
Más allá de ese contexto, la nueva ley introduce cambios que tendrán un impacto directo en la forma en que muchas empresas gestionan el cumplimiento corporativo. A continuación, presentamos algunos de los aspectos más relevantes que conviene considerar antes de su entrada en vigor.
Un nuevo enfoque para la gestión del cumplimiento
Uno de los principales cambios es la adopción del Enfoque Basado en Riesgo, mediante el cual cada Persona Obligada deberá identificar, evaluar y mitigar los riesgos asociados a sus operaciones, considerando las características de su negocio, sus clientes y la naturaleza de sus actividades.
En la práctica, esto implica que los programas de cumplimiento deberán adaptarse a la realidad de cada empresa. Las políticas de debida diligencia, los mecanismos de monitoreo y la capacitación del personal deberán construirse sobre el perfil de riesgo de cada organización. De esta forma, el cumplimiento deja de entenderse como un ejercicio meramente documental para convertirse en un proceso permanente de gestión de riesgos.
Más empresas y sectores entran al régimen preventivo
La reforma también amplía de manera importante el universo de Personas Obligadas. Además de las entidades tradicionalmente supervisadas por la Superintendencia de Bancos, incorpora nuevas actividades económicas, entre ellas la promoción e intermediación inmobiliaria, los proveedores de servicios de activos virtuales y quienes prestan servicios relacionados con la creación, administración o representación de personas o estructuras jurídicas.
Asimismo, establece un régimen especial para determinados profesionales que prestan servicios jurídicos, contables o de auditoría de forma independiente, así como para los notarios cuando intervienen en determinadas operaciones para sus clientes.
Como consecuencia, muchas empresas experimentarán procesos de debida diligencia más robustos durante la estructuración de operaciones corporativas, adquisiciones, constitución de sociedades o transacciones inmobiliarias.
Mayor transparencia corporativa
La Ley Integral contra el Lavado de Dinero fortalece la identificación del beneficiario final con el propósito de determinar quién ejerce el control efectivo o recibe el beneficio económico de una persona o estructura jurídicas. Este aspecto adquiere especial relevancia para grupos empresariales con estructuras de propiedad complejas, fideicomisos o participación indirecta a través de distintas entidades.
La reforma también introduce modificaciones al Código de Comercio relacionadas con el registro de acciones y la inscripción de los órganos de administración. Estas obligaciones no se limitan a las Personas Obligadas, sino que alcanzan, en distintos aspectos, a las sociedades mercantiles constituidas en Guatemala, por lo que resulta recomendable revisar oportunamente la información corporativa y verificar que se encuentre debidamente actualizada.
¿Cómo prepararse para la entrada en vigor de la ley?
Aunque la Superintendencia de Bancos deberá emitir el reglamento que desarrollará diversos aspectos operativos de la nueva legislación, las empresas pueden aprovechar el período previo a su entrada en vigor para prepararse.
Entre otras acciones, resulta recomendable identificar si la empresa adquiere la calidad de Persona Obligada, revisar sus procedimientos internos de cumplimiento, fortalecer los mecanismos para identificar al beneficiario final y verificar que la información societaria, especialmente el registro de acciones y la integración del órgano de administración, cumpla con los nuevos requerimientos legales.
Prepararse con anticipación facilitará la adecuación al nuevo régimen y contribuirá a fortalecer los mecanismos internos de cumplimiento, gobierno corporativo y gestión de riesgos.
Más que una reforma normativa
La Ley Integral contra el Lavado de Dinero representa un paso importante en el fortalecimiento del marco regulatorio guatemalteco. Además de modernizar el régimen de prevención, refleja la creciente importancia que han adquirido el gobierno corporativo, la gestión de riesgos y la transparencia como elementos esenciales para el desarrollo de los negocios.
Para las empresas que ya operan en Guatemala, así como para aquellas que evalúan desarrollar proyectos en el país, comprender oportunamente estos cambios permitirá no solo atender las nuevas obligaciones legales, sino también fortalecer sus procesos internos y alinearse con estándares internacionales que hoy forman parte de las mejores prácticas empresariales.
Autora: Rebeca Baldizón, Asociada en BLP Guatemala
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
07-08-2026 | Albagli Zaliasnik, Noticias
La protección de datos ha dejado de ser un asunto exclusivamente legal para convertirse en una prioridad estratégica para la alta gerencia.
La entrada en vigencia de la nueva Ley de Protección de Datos Personales en Chile, fijada para el 1 de diciembre, exige a las organizaciones comprender qué datos recopilan, cómo los utilizan, cuáles son sus responsabilidades y qué riesgos enfrentan en caso de incumplimiento.
A continuación, presentamos 10 preguntas clave que todo equipo directivo debería plantearse para seguir avanzando hacia una gestión responsable y conforme a la nueva regulación.
- Si mi empresa es B2B, ¿igual debo cumplir la ley?
Sí. Aunque tu negocio sea B2B, de igual forma tratas datos personales (por ejemplo, de trabajadores, candidatos, contactos comerciales o proveedores). La ley aplica siempre que existan datos de personas naturales.
- ¿Qué tipos de datos personales trato en mi empresa?
Debes identificar si tratas datos identificatorios (nombre, RUT y correo), laborales y de contacto, así como categorías que requieren un estándar reforzado, tales como datos sensibles (por ejemplo, salud o denuncias internas), datos de niños, niñas y adolescentes (NNA) en el contexto de cargas familiares y beneficios, y datos biométricos, por ejemplo, en sistemas de registro de jornada.
- ¿Necesito siempre el consentimiento de terceros para tratar datos?
No. Existen distintas bases de licitud. En el ámbito laboral, muchas veces el tratamiento se basa en el contrato o en obligaciones legales. La clave es no entorpecer la operación del negocio, sino identificar correctamente la base de licitud aplicable en cada caso. El consentimiento es relevante especialmente para datos sensibles o tratamientos no necesarios, considerando además que puede ser revocado en cualquier momento.
- ¿Qué pasa si uso plataformas o proveedores (SaaS) para tratar datos?
Si un tercero trata datos en tu lugar, debes firmar un acuerdo de tratamiento de datos (DPA) y asegurarte de que cumpla, entre otros aspectos mínimos, con obligaciones de confidencialidad, medidas de seguridad adecuadas, limitación de finalidad, notificación de incidentes y regulación de subencargados.
- ¿Puedo usar datos de fuentes públicas libremente?
No. Bajo la nueva normativa, el hecho de que los datos provengan de fuentes de acceso público ya no constituye por sí solo una base de licitud válida, por lo que igualmente debes contar con una base habilitante para su tratamiento.
- ¿Qué riesgos enfrento si no cumplo la normativa?
Principalmente, sanciones administrativas que pueden alcanzar las 20.000 UTM, además de medidas como la suspensión de operaciones. A ello se suma el daño reputacional y un estándar de fiscalización que irá en aumento con la nueva institucionalidad.
- ¿Debo tener políticas internas relacionadas a la normativa?
Sí. Es clave contar con políticas de tratamiento de datos (trabajadores, candidatos, entre otros), cláusulas contractuales y procedimientos claros. Además, la normativa exige que cierta información esté disponible al público en un medio de comunicación válido, en virtud del principio de transparencia e información, con independencia de que la adopción de un modelo de gobernanza formal sea facultativa.
- ¿Qué pasa con los datos cuando un trabajador se va de la empresa?
No puedes conservar los datos indefinidamente. Debes definir plazos de retención y eliminar o anonimizar la información cuando ya no sea necesaria, sin perjuicio de obligaciones legales.
- ¿Cuándo entra en vigencia la nueva ley? ¿Y la agencia?
La ley entra en vigencia el 1 de diciembre de 2026. En cuanto a la Agencia de Protección de Datos Personales (APDP), su implementación será progresiva, debiendo designarse sus miembros, por lo que su operación efectiva y capacidad de fiscalización se consolidará en los próximos meses.
- ¿Por dónde empiezo si quiero cumplir correctamente la normativa?
Lo primero es realizar un diagnóstico de brechas, identificar qué datos tratas, con qué finalidad y con qué proveedores, con la finalidad de estructurar un sistema de gobernanza en protección de datos. Luego, avanzar en la implementación de políticas, contratos (DPA), consentimientos y medidas de seguridad.
Prepararse para el nuevo escenario regulatorio no solo permite reducir riesgos legales y reputacionales, sino también fortalecer la confianza de trabajadores, clientes, proveedores y socios comerciales.
Ante todo, es clave contar con un diagnóstico y un plan de acción que permita afrontar con mayor seguridad los desafíos que plantea la ley.
Para más información, escríbenos a contacto@compliancelatam.legal.
05-08-2026 | Barnes & Thornburg, Noticias
El endurecimiento regulatorio en EE. UU. obliga a las empresas en América Latina a revisar sus controles frente a terceros, pagos, logística y manejo de efectivo para evitar exposición a carteles y otras redes criminales.
Los cambios recientes en el uso por parte del gobierno de Estados Unidos de herramientas contra el terrorismo, de prevención del lavado de dinero y de sanciones económicas contra organizaciones criminales regionales han aumentado los riesgos de cumplimiento y de aplicación de la ley para las empresas que operan en América Latina. El alcance geográfico y la influencia operativa de los principales carteles, ahora designados como organizaciones terroristas extranjeras (FTO, por sus siglas en inglés), generan una posible responsabilidad mucho más allá de las preocupaciones tradicionales en materia anticorrupción, antilavado y sanciones económicas.
Aunque ninguna empresa legítima apoyaría conscientemente a los carteles de la droga, el nuevo enfoque de aplicación impulsado por la administración del Presidente Donald Trump significa que incluso las empresas bien intencionadas enfrentan un mayor riesgo por actividades comerciales rutinarias, incluidos pagos, logística de la cadena de suministro y relaciones con terceros. Los carteles y sus asociados se han infiltrado en la economía de ciertas regiones de América Latina y se han vuelto cada vez más sofisticados, lo que dificulta identificar posibles puntos de contacto.
En algunas zonas de alto riesgo, las empresas pueden verse obligadas a pagar “cuotas de cartel” para operar, es decir, una tarifa de protección o seguridad (derecho de piso), o para atravesar una región, es decir, un derecho de paso. A continuación, se ofrece un panorama de los recientes cambios regulatorios en esta materia y se analizan medidas prácticas que las empresas pueden adoptar para mitigar los riesgos.
Contexto regulatorio
Las recientes órdenes ejecutivas, designaciones del Departamento de Estado de EE.UU., lineamientos de política del Departamento de Justicia (DOJ) y directrices del Departamento del Tesoro y de la Red de Control de Delitos Financieros (FinCEN, por sus siglas en inglés) han creado un nuevo entorno regulatorio y de aplicación para las empresas que operan en jurisdicciones donde actúan los principales carteles, ahora designados como FTO, especialmente en América Latina. La influencia indirecta que ejercen los carteles crea un entorno de cumplimiento particularmente complejo para las empresas que operan localmente o que buscan socios locales.
El 20 de enero de 2025, el Presidente Trump, mediante la Orden Ejecutiva 14157, instruyó al secretario de Estado a recomendar la designación de los carteles como organizaciones terroristas extranjeras y terroristas globales especialmente designados. El mes siguiente, el Departamento de Estado designó formalmente a múltiples organizaciones como FTO, incluidos destacados carteles con base en México y otras redes criminales regionales.
Como resultado, la Ley Antiterrorista (ATA, por sus siglas en inglés) se ha convertido en una fuente central de responsabilidad corporativa para las empresas que operan en América Latina. La ATA prohíbe proporcionar “apoyo material” a las FTO, definido de forma amplia para incluir servicios financieros, bienes, logística y otra asistencia, incluso cuando se canaliza indirectamente a través de intermediarios. Las infracciones generan responsabilidad penal y civil, y permiten que demandantes privados interpongan reclamaciones contra empresas que faciliten de forma consciente o temeraria ese “apoyo material” a las FTO.
La aplicación de la ATA a la conducta de los carteles aumenta significativamente las consecuencias para empresas de sectores con mayor exposición a estas actividades, por ejemplo, energía, minería, agricultura, transporte, comercio minorista y servicios financieros, especialmente cuando las operaciones requieren cadenas de suministro locales complejas o se desarrollan en zonas remotas.
Orientación federal
Tras las designaciones FTO de 2025, el memorando de la entonces fiscal general Pam Bondi, titulado Total Elimination of Cartels and Transnational Criminal Organizations (Eliminación total de los carteles y las organizaciones criminales transnacionales; 5 de febrero de 2025), instruyó a los fiscales a priorizar el desmantelamiento de los carteles utilizando todas las herramientas disponibles, incluidas las acusaciones relacionadas con terrorismo.
La guía enfatizó la coordinación entre las unidades de persecución penal, seguridad nacional y control financiero, fomentando el uso de estatutos de apoyo material, decomiso de activos y jurisdicción extraterritorial para atacar a líderes y facilitadores de carteles insertos en empresas legítimas.
La posterior guía del DOJ sobre delitos de cuello blanco identificó la conducta corporativa vinculada a carteles como una amenaza híbrida, que combina delitos financieros tradicionales con preocupaciones antiterroristas, y señaló que las empresas pueden enfrentar sanciones más severas cuando las infracciones involucren interacción con entidades designadas como FTO.
El DOJ también ha intensificado los procesos penales contra personas involucradas en redes vinculadas a carteles. El 18 de diciembre de 2025, el DOJ reveló acusaciones contra más de 70 personas vinculadas al Tren de Aragua, una FTO designada, incluida conspiración para proporcionar apoyo material a una FTO.
Además, FinCEN y la Oficina de Control de Activos Extranjeros (OFAC, por sus siglas en inglés) del Departamento del Tesoro de EE. UU. han emitido medidas dirigidas a interacciones con FTO, incluidas: (1) una orden de focalización geográfica que exige a las empresas de servicios monetarios (MSB) cerca de la frontera suroeste presentar reportes de transacciones de divisas (CTR) por transacciones en efectivo de US$200 o más; (2) una orden de FinCEN que identifica a tres instituciones financieras con sede en México como “principales preocupaciones en materia de lavado de dinero”; y (3) designaciones de OFAC contra “casinos vinculados a cArteles y asociados clave” que apoyan al Cártel del Noreste, una FTO designada.
En conjunto, estos desarrollos refuerzan que una conducta antes vista principalmente desde la óptica del cumplimiento anticorrupción o antilavado puede ahora activar el escrutinio relacionado con el terrorismo, elevando de forma significativa el alcance y la gravedad del riesgo para las empresas que operan en América Latina.
Medidas prácticas
Para hacer frente a estos riesgos superpuestos, las empresas que operan en América Latina deberían implementar estrategias integradas de cumplimiento adaptadas a los riesgos específicos que enfrentan, que pueden incluir lo siguiente:
- Mapear el riesgo geográfico y operativo: realizar evaluaciones integrales de riesgo, incluyendo el mapeo de terceros que operan en regiones de alto riesgo; el mapeo de interacciones con funcionarios públicos, especialmente a nivel estatal y municipal donde el riesgo de infiltración de carteles es mayor; y el mapeo de controles internos diseñados para mitigar riesgos relacionados con FTO, incluidos procedimientos de debida diligencia, cláusulas contractuales de cumplimiento y protocolos de escalamiento.
- Fortalecer la debida diligencia de empleados y terceros: ir más allá del análisis básico para incluir visitas a sitio, verificaciones ampliadas de antecedentes y monitoreo continuo de distribuidores, agentes y proveedores, particularmente en regiones de alto riesgo.
- Integrar las funciones de cumplimiento: eliminar los silos entre los equipos de anticorrupción, sanciones y antilavado para asegurar que las señales de alerta se identifiquen, evalúen y gestionen de forma integral.
- Mejorar el monitoreo de transacciones: aplicar analítica de datos para identificar anomalías, como pagos estructurados, movimientos rápidos de fondos o patrones de facturación inconsistentes.
- Controlar la exposición al efectivo: implementar procedimientos estrictos para el manejo de efectivo, exigir documentación para prácticamente todas las transacciones en efectivo e incentivar pagos electrónicos cuando sea posible.
- Capacitar a empleados y terceros: impartir formación basada en escenarios y adaptada a las operaciones locales, destacando cómo decisiones cotidianas, la selección de proveedores, la ruta de mercancías o la aprobación de pagos pueden generar exposición a riesgos de delitos financieros.
- Establecer mecanismos sólidos de escalamiento: garantizar que los empleados cuenten con canales claros y protegidos para reportar preocupaciones, y que las investigaciones sean oportunas y estén bien documentadas.
- Realizar revisiones periódicas legales y de cumplimiento: reevaluar regularmente la exposición de la empresa conforme a las leyes de EE.UU. y actualizar las políticas para reflejar nuevas tendencias de aplicación y orientación regulatoria.
El enfoque que deberían adoptar las empresas en Latinoamérica
Para las empresas que operan en América Latina, los cambios en las prioridades de aplicación de la ley en Estados Unidos y las designaciones FTO representan un cambio fundamental en el riesgo de cumplimiento. La ATA ahora complementa marcos ya establecidos como la Ley de Prácticas Corruptas en el Extranjero (FCPA, por sus siglas en inglés) de EE.UU., mientras que las agencias de aplicación persiguen cada vez más casos que intersectan la exposición comercial con la corrupción, las sanciones económicas, el lavado de dinero y el contraterrorismo.
En este entorno, los enfoques de cumplimiento aislados ya no son suficientes. Las empresas que operan en América Latina harían bien en adoptar programas integrados y basados en el riesgo para navegar un panorama regulatorio cada vez más complejo e interconectado.
Autores: Margot Laporte, Jeffrey Lehtman, Katie Mills & Facundo Galeano | Barnes & Thornburg
Para más información, escríbenos a contacto@compliancelatam.legal.
