El documento analiza los principales desafíos regulatorios y operacionales que enfrentan las organizaciones al gestionar proveedores, contratistas, distribuidores y otros terceros en las distintas jurisdicciones de la región.
ComplianceLatam publicó este jueves 27 de agosto su segunda guía comparada del año, dedicada al Compliance en la cadena de suministros. El documento reúne la experiencia y visión de especialistas de distintas jurisdicciones de Latinoamérica, con el objetivo de abordar los riesgos asociados a terceros y entregar herramientas para fortalecer los procesos de evaluación, debida diligencia y monitoreo.
La guía se presentó en un webinar moderado por Yoab Bitran, director del Grupo Compliance de la firma legal az, y contó con la participación de Cynthia Hernández, coordinadora de Cumplimiento Corporativo en Promigas; Rodrigo Borda, Director Ethics & Compliance Mexico & Latam; Gabriela Del Castillo, directora de Ética y Cumplimiento en Arca Continental; y María de los Ángeles Chévez, Compliance Senior Manager en Invenergy.
Durante el evento, los panelistas analizaron la importancia de ampliar la mirada sobre los riesgos de la cadena de suministros. Entre los principales desafíos, los profesionales identificaron la falta de visibilidad sobre determinados proveedores, la necesidad de priorizar los riesgos más allá del volumen de compras, el monitoreo de subcontratistas y proveedores indirectos, y la incorporación de materias como derechos humanos, factores ambientales y seguridad nacional en los procesos de evaluación. En este contexto, Gabriela Del Castillo advirtió que “uno de los principales riesgos no es evaluar mal, sino no evaluar”, mientras que Cynthia Hernández agregó que “ya no nos podemos quedar en que el proveedor firmó que aceptaba mi código de conducta (…) Debemos documentar que hicimos todo lo posible por llegar a conocer al proveedor de mi proveedor”.
El webinar también abordó buenas prácticas para transmitir la cultura de compliance a toda la cadena de valor. Entre ellas, se mencionaron la planificación, la mejora continua, la capacitación adaptada al tamaño y nivel de sofisticación de cada tercero, el uso de cláusulas contractuales, los canales de denuncia, las auditorías y la actualización periódica de la debida diligencia. Asimismo, los participantes destacaron que la tecnología y la inteligencia artificial pueden apoyar la segmentación y el monitoreo, aunque su utilización debe complementarse con análisis interno, comunicación directa y capacidad efectiva de respuesta.
A través de la publicación de guías comparadas, documentos especializados, herramientas e instancias de formación, ComplianceLatam reafirma su compromiso con la generación y difusión de conocimiento sobre cumplimiento normativo y buenas prácticas empresariales en Iberoamérica. Estos contenidos buscan contribuir al fortalecimiento de una cultura de integridad y a una gestión más efectiva de los riesgos que enfrentan las organizaciones en sus relaciones con terceros.
Pueden ver el análisis de los panelistas en el webinar a continuación:
Por Stephanie Cruz, directora de Legal & Business en az
Las relaciones comerciales se han complejizado en Chile los últimos años, lo que ha cambiado la naturaleza de los contratos. Las empresas operan hoy con cadenas de suministro más extensas, tecnología, tratamiento masivo de información, proveedores y relaciones que, aunque se ejecuten en nuestro país, muchas veces involucran matrices, plataformas o contrapartes situadas en diferentes jurisdicciones.
A ello se suman una mayor volatilidad económica, cambios regulatorios y exigencias crecientes en materia de compliance, libre competencia, protección de datos, ciberseguridad, sostenibilidad y responsabilidad frente a terceros.
Antes eran habituales relaciones comerciales más lineales: una parte suministraba un producto o prestaba un servicio, la otra pagaba un precio y el contrato regulaba principalmente plazo, precio, incumplimiento y terminación. Hoy, una misma relación puede involucrar niveles de servicio, indicadores de desempeño, licencias de software, subcontratación, transferencia internacional de datos, continuidad operacional, propiedad intelectual, obligaciones ambientales, auditorías, seguros y protocolos de cumplimiento.
Por lo tanto, las empresas necesitan hoy gestionar el ciclo de vida contractual completo: planificación, negociación, aprobación interna, firma, ejecución, seguimiento de obligaciones, modificaciones, renovaciones, terminación y cierre. Esto requiere coordinación entre las áreas legal, financiera, comercial, operaciones, compras, tecnología, recursos humanos y compliance.
Una gestión contractual deficiente puede afectar de forma importante los costos de las empresas. Primero, los costos directos, como sobreprecios, pagos duplicados, penalidades, intereses, entre otros. También puede producirse una erosión progresiva del margen cuando el contrato no contiene mecanismos adecuados de reajuste frente a la inflación, variaciones cambiarias y cambios tributarios.
El segundo grupo comprende los costos operativos. Este es uno de los errores más frecuentes: redactar desde una perspectiva exclusivamente legal, sin pensar en la mecánica del negocio y comprobar que las obligaciones, plazos e indicadores puedan administrarse en la práctica.
En tercer lugar, están los costos legales, regulatorios y de compliance. La ausencia de cláusulas adecuadas sobre anticorrupción, conflictos de interés, protección de datos o auditoría puede aumentar la exposición de la empresa frente a autoridades, clientes y terceros. Incluso, una deficiente supervisión contractual puede contribuir a un delito, por la falta de implementación efectiva de un modelo adecuado de prevención.
Finalmente, existe un costo reputacional y estratégico. Una controversia con un proveedor crítico puede afectar la continuidad operacional, la relación con clientes, la confianza de bancos e inversionistas o la capacidad de participar en licitaciones.
Por lo tanto, el contrato ya no es un documento archivado, es una fuente estructurada de información para administrar el negocio, y su gestión eficiente optimiza el cumplimiento de los compromisos adquiridos por la empresa.
Stephanie Cruz, directora de Legal & Business en az | Fuente: Diario Financiero (14 de agosto de 2026)
La normativa puede convertirse en una pieza importante de infraestructura legal hondureña: una herramienta que promueva mayor transparencia, fortalezca la confianza en sus estructuras corporativas y facilite la interacción del país con bancos, inversionistas, multilaterales y contrapartes sofisticadas en el mercado internacional.
Honduras ya tiene una respuesta legal a una pregunta que durante años quedó sin resolver: ¿quién controla realmente una sociedad? El Decreto Legislativo No. 127-2026, Ley de Transparencia y Registro Centralizado de Beneficiarios Finales, publicado en La Gaceta No. 37,184 el 3 de julio de 2026, establece nuevas reglas para la identificación y reporte de la persona natural que, en última instancia, posee o controla una sociedad u otra estructura jurídica. La ley elimina, además, la posibilidad de mantener o emitir títulos accionarios al portador y establece su conversión hacia acciones nominativas.
La utilización de estructuras corporativas complejas no implica, por sí sola, una actividad ilícita. Por el contrario, en la mayoría de los casos responde a finalidades legítimas de inversión, organización empresarial, planificación patrimonial, expansión regional y diversificación de riesgos. Estas estructuras permiten a los inversionistas organizar eficientemente sus operaciones, separar actividades económicas, proteger patrimonios, atraer capital y beneficiarse del crecimiento conjunto de un portafolio societario. Sin embargo, la misma complejidad que las hace útiles desde una perspectiva comercial también puede dificultar la identificación de las personas naturales que ejercen control efectivo sobre ellas.
Una de las formas más comunes de estas estructuras son los holdings, entendidos como sociedades cuya función principal consiste en mantener participaciones en otras sociedades. A través de este modelo, un holding puede controlar múltiples sociedades operativas ubicadas en distintas jurisdicciones, ejerciendo su influencia de manera indirecta por medio de las sociedades que forman parte de su grupo corporativo. Fenómenos similares también pueden observarse en fideicomisos, fondos de inversión, patrimonios autónomos y otras estructuras jurídicas que, por su naturaleza, requieren reglas claras para identificar al titular o controlador final.
En esa línea, y con el propósito de alinearse con estándares internacionales en materia de prevención de lavado de activos, financiamiento del terrorismo, transparencia corporativa y uso adecuado de estructuras jurídicas, Honduras aprobó recientemente, mediante el Decreto No. 127-2026, la Ley de Transparencia y Registro Centralizado de Beneficiarios Finales. La ley toma como referencia, entre otros, los lineamientos contenidos en las Recomendaciones 24 y 25 del Grupo de Acción Financiera Internacional (GAFI), orientadas a garantizar que las autoridades puedan acceder a información adecuada, precisa y actualizada sobre la propiedad y control de las personas y estructuras jurídicas.
Cambios que introduce la normativa
Uno de los cambios más relevantes es la adopción de una definición amplia de beneficiario final. La ley no se limita a identificar a quien posee acciones de manera directa, sino que también comprende a la persona natural que ejerce control efectivo sobre una entidad por medios distintos a la propiedad directa. Este enfoque permite pasar de una visión puramente formal de la titularidad accionaria a una visión más sustantiva, enfocada en la realidad económica y de control de la estructura. Además, desde una perspectiva investigativa, esto reduce significativamente la utilidad de las estructuras jurídicas cuya finalidad se tergiversa para fines ilícitos.
De igual manera, mediante la creación del Registro Centralizado de Beneficiarios Finales (RCBF), las entidades obligadas deberán reportar la cadena de propiedad hasta llegar a la persona natural que ejerce el control efectivo. Para ello, deberán suministrar información relacionada con porcentajes de participación, mecanismos de control y documentación de respaldo que permita reconstruir la trazabilidad corporativa de la estructura.
Desde una perspectiva corporativa y transaccional, esta reforma tendrá efectos prácticos importantes. La identificación del beneficiario final será cada vez más relevante en procesos de debida diligencia, fusiones y adquisiciones, financiamientos, cumplimiento bancario, banca corresponsal, contratación con grupos multinacionales y operaciones con inversionistas o contrapartes sujetas a estándares internacionales de compliance. En ese sentido, la transparencia bien implementada no debe verse como un obstáculo a la inversión, sino como una herramienta para fortalecer la confianza, reducir fricciones en transacciones internacionales y modernizar el entorno corporativo hondureño.
Otro aspecto de especial relevancia para el ámbito societario es que la ley elimina la posibilidad de mantener o emitir títulos accionarios al portador bajo el nuevo régimen y establece un proceso de conversión hacia acciones nominativas. De ahora en adelante, las acciones deberán ser nominativas, lo que obliga a las sociedades a identificar formalmente a sus accionistas y mantener correspondencia entre la titularidad accionaria y el Libro de Registro de Accionistas. Se trata, probablemente, de una de las reformas mercantiles más importantes introducidas por esta normativa.
Ahora bien, resulta importante entender que la finalidad de la trazabilidad otorgada por el Registro Centralizado de Beneficiarios Finales no es atribuir responsabilidad automática al beneficiario final por las actividades que eventualmente pudieran realizar las sociedades bajo su control o de su propiedad. Su objetivo consiste en proporcionar a las autoridades un punto de partida para conocer quién posee o controla efectivamente una entidad y, a partir de esa información, determinar si existen elementos adicionales que justifiquen una revisión o investigación más profunda. La simple condición de beneficiario final no constituye prueba de participación en un ilícito ni genera responsabilidad automática de ninguna naturaleza.
Asimismo, conviene resaltar que la identificación del beneficiario final no altera los principios fundamentales del derecho societario hondureño. La vigencia de esta ley no modifica la personalidad jurídica propia de las sociedades, ni elimina la separación patrimonial existente entre las entidades y sus socios, ni altera el régimen de responsabilidad limitada que caracteriza a las sociedades anónimas o de responsabilidad limitada. En otras palabras, la ley busca transparencia y trazabilidad corporativa, no desintegrar estructuras jurídicas válidas ni desconocer la individualidad de las sociedades que las integran.
Una oportunidad para la infraestructura legal hondureña
Más que una nueva obligación de reporte corporativo, la Ley de Transparencia y Registro Centralizado de Beneficiarios Finales refleja un cambio de paradigma en el derecho societario y regulatorio hondureño. El centro de atención deja de recaer exclusivamente sobre la titularidad formal de acciones y participaciones para trasladarse hacia la identificación del control efectivo de las estructuras jurídicas.
Honduras da así un paso importante hacia modelos de transparencia corporativa promovidos internacionalmente y fortalece su alineamiento con estándares impulsados por organismos como el GAFI y GAFILAT en materia de prevención de lavado de activos, financiamiento del terrorismo, corrupción y uso indebido de estructuras jurídicas. Este alineamiento resulta especialmente relevante para la interacción del país con bancos corresponsales, inversionistas institucionales, organismos multilaterales y contrapartes internacionales sujetas a estándares cada vez más exigentes de debida diligencia y cumplimiento.
No obstante, no puede afirmarse que dichos objetivos han sido plenamente alcanzados con la sola aprobación de la ley. El verdadero alcance de la reforma dependerá de su implementación práctica, incluyendo la emisión de la reglamentación correspondiente, el desarrollo de la plataforma tecnológica del Registro Centralizado de Beneficiarios Finales y la capacidad de la Comisión Nacional de Bancos y Seguros para garantizar una supervisión efectiva, segura y proporcional.
Si se implementa adecuadamente, esta ley puede convertirse en una pieza importante de infraestructura legal para Honduras: una herramienta que promueva mayor transparencia, fortalezca la confianza en sus estructuras corporativas y facilite la interacción del país con bancos, inversionistas, multilaterales y contrapartes sofisticadas en el mercado internacional.
Autor: Leonardo Ávila, Asociado en BLP Legal Honduras
En los últimos años, el compliance en Chile ha dejado de ser entendido únicamente como una respuesta a las obligaciones asociadas a la responsabilidad penal de las empresas. De manera gradual, se ha consolidado como una disciplina más amplia, vinculada a la gestión integral de riesgos, la cultura ética y la capacidad de las organizaciones para anticiparse a la corrupción, el lavado de activos, la ciberseguridad, la protección de datos y la inteligencia artificial. Sin embargo, el desafío ya no consiste solo en diseñar políticas y controles, sino en lograr que estos sean conocidos, utilizados y capaces de influir efectivamente en la conducta y en la toma de decisiones.
En esta entrevista, conversamos con Yoab Bitran, director del Grupo Compliance de az —firma que representa a ComplianceLatam en Chile—, abogado de la Universidad de Chile y especialista en compliance, regulación, gobierno corporativo y empresas. Con 15 años de experiencia en el área, Bitran ha asesorado a compañías de distintos tamaños e industrias en el diseño, implementación y evaluación de programas de cumplimiento, además de liderar procesos de transformación cultural en organizaciones que han enfrentado casos de corrupción.
Su labor lo ha posicionado como un activo promotor del liderazgo ético y las buenas prácticas en Chile y América Latina.
Desde tu experiencia, ¿cuál ha sido el desafío más complejo que has enfrentado en materia de compliance y qué aprendizajes te dejó?
Trabajar con empresas que venían saliendo de escándalos de compliance. Eso me llevó a aprender que en materia de compliance y cultura ética los cambios muchas veces son graduales y de largo plazo. Si un líder de compliance inhouse viene con la idea de hacer cambios sustantivos de forma abrupta, es muy posible que termine perdiendo apoyo y siendo visto como una amenaza disruptiva para el negocio por sus pares. Se trata de evolución, no de revolución. Para poder liderar cambios sustantivos hay que construir confianza, generar aliados, capital político y —muy importante— saber elegir qué batallas dar.
Hoy lideras el área de compliance en az. ¿Cómo definirías el rol que debe cumplir un profesional de compliance dentro de las organizaciones?
Aunque suene obvio y se repita bastante, un profesional de compliance debe ser ante todo un partner estratégico del negocio. En el momento en que empieza a ser percibido como un sheriff, su efectividad se ve negativamente impactada. Si se empieza a evitar o bypassear al líder de compliance, será imposible tener un lugar en las mesas en que se toman decisiones relevantes.
¿Cómo evalúas hoy la madurez del compliance en Chile, más de quince años después de la Ley 20.393? ¿Qué ha cambiado de verdad en el mercado?
Pienso que el principal cambio es que compliance, aunque aun lentamente, ha empezado a entenderse como en países más desarrollados en esta materia. Esto es, lejos de quedarse en la Ley de Delitos Económicos, sino como una disciplina integral y holística, que permite gestionar y mitigar desde riesgos que podemos denominar “tradicionales” —como corrupción o lavado de activos— hasta riesgos vinculados con la económica digital, como ciberseguridad o la IA.
¿Cuál dirías que es hoy el principal punto débil de los programas de compliance en Chile?
En general, el principal punto débil es el que la regulación local e internacional le otorga la mayor relevancia: la efectividad. Todavía se observan muchos documentos de compliance que prácticamente nadie en la empresa conoce, ni menos utiliza. Muchas capacitaciones que se hacen por cumplir y no tienen ningún impacto en términos de comportamiento. Muchos canales de denuncia en que nadie confía. Y acá hay un deber de los directorios, vinculado a su deber de cuidado o diligencia. Por supuesto no pueden estar en el día a día, pero sí deben poder estar tranquilos de que la organización cuenta con un programa de compliance efectivo.
Si una empresa quiere fortalecer su cultura de cumplimiento en serio, ¿por dónde debería empezar?
Lo primero es medir. Entender dónde estamos parados. Hoy existen herramientas y marcos muy sólidos que permiten medir cultura ética combinando aspectos cuantitativos y cualitativos. Luego, en base a los resultados, se definen y priorizan estrategias dirigidas. Un ejemplo siempre importante es la estructura de incentivos. Es clave compensar el qué y el cómo.
Nuevos riesgos y desafíos
Además de compliance, has desarrollado una sólida experiencia en protección de datos y ciberseguridad. ¿Por qué consideras que estas materias están cada vez más conectadas?
Porque comparten herramientas de gestión: políticas, procedimientos, capacitaciones, debida diligencia, etcétera. Y, aún más importante, comparten objetivo: construir y sostener una cultura ética, que permite mitigar diversos riesgos. Una cultura de protección de datos, de ciberseguridad, de prevención de corrupción y lavado de activos, una cultura libre de acoso y más.
Chile tiene sectores con exposiciones de riesgo muy específicas, como minería, litio e infraestructura concesionada. ¿Cuáles son hoy los principales desafíos de compliance en esos sectores?
Los principales desafíos actuales están vinculados a terceras partes, a la cadena de suministro. En primer lugar, está la reciente regulación de la Unión Europea en la materia. Esto es especialmente relevante para filiales de empresas europeas en Latinoamérica, así como empresas latinoamericanas con presencia en Europa. Luego está el foco del Departamento de Justicia (DOJ) de los EE.UU. en los carteles y su designación como organizaciones terroristas. Y, por último, la propia Ley de Delitos Económicos chilena incorpora la responsabilidad penal de las empresas por delitos cometidos por terceros que gestionen asuntos de la organización.
La protección de datos personales está experimentando importantes cambios regulatorios en la región. ¿Qué desafíos visualizas para las empresas en los próximos años?
Los principales desafíos no están en lo técnico. No es complejo adquirir o licenciar sistemas y tecnologías que permitan estar mejor protegidos. En esta materia, el eslabón más débil de la cadena continúa siendo el humano. La gran mayoría de las filtraciones se producen por errores humanos. Por ejemplo, porque alguien compartió información sensible de manera negligente, fue irresponsable con una clave o porque hizo click en un enlace vinculado a phishing. Entonces, el principal desafío es la concientización y cambio de cultura en materia de protección de datos personales.
¿Qué papel está jugando la inteligencia artificial en los programas de cumplimiento y qué riesgos de compliance estás viendo asociados a su uso?
Desde compliance, la IA tiene esta doble perspectiva. Por una parte, utilizarla (responsablemente) en un programa de compliance es fundamental a la hora avanzar en eficacia y eficiencia. Diría que no utilizarla en algunos procesos y controles, incluso atenta contra la efectividad del modelo. Pensemos por ejemplo en procesos de due diligence en compliance, nadie imaginaría privarse de herramientas y soluciones que hagan retroceder muchos años, cuando todo era manual.
Por otra parte, están los riesgos al uso de IA sin gobernanza. Sabemos que existen riesgos importantes en materia de sesgos, protección de datos, propiedad intelectual, opacidad y falta de trazabilidad (“caja negra”), entre otros.
La clave está en avanzar con estrategia, gobernanza y supervisión humana, mitigando riesgos sin obstaculizar ni desaprovechar las enormes oportunidades que ofrece la IA.
¿Qué valor aporta una plataforma digital y red regional como ComplianceLatam en un contexto donde los riesgos, regulaciones y desafíos trascienden las fronteras de cada país?
ComplianceLatam permite a líderes de áreas legales y de compliance de organizaciones de toda la región, EE.UU. y España, acceder a contenido de primer nivel, compartir mejores prácticas, aprender de pares y referentes, y contribuir con ideas, opiniones y experiencia a un propósito muy noble.
La decisión no elimina la obligación de incluir estos factores en el Programa de Gestión de Riesgos ni exime a las empresas de eventuales responsabilidades laborales, por lo que se recomienda mantener las medidas de prevención y reforzar su documentación.
La decisión cautelar dictada por el Supremo Tribunal Federal (STF), el 25 de junio de 2026, en la Impugnación de Incumplimiento de Precepto Fundamental n° 1.316, suspendió, por el plazo de 90 días, la aplicación de sanciones administrativas derivadas del incumplimiento de las disposiciones de la Norma Regulamentadora n° 1 (NR-1) relativas a la gestión de los riesgos psicosociales relacionados con el trabajo, sin apartar la vigencia de las alteraciones promovidas en la NR-1 y la obligatoriedad de inclusión de los factores de riesgo psicosociales relacionados con el trabajo en el Programa de Gestión de Riesgos (PGR) de las empresas.
El fundamento central de la decisión es la necesidad de conferir mayor seguridad jurídica a la aplicación de sanciones administrativas. Aunque la NR-1 confiere a las organizaciones flexibilidad para seleccionar metodologías adecuadas a la identificación, evaluación y gestión de los riesgos ocupacionales, la decisión resalta que la aplicación de sanciones administrativas exige criterios suficientemente objetivos para que los empleadores sepan, previamente, qué medidas deben adoptar para demostrar conformidad. En ese contexto, el STF apuntó dudas respecto de la definición de los factores de riesgo psicosociales relacionados con el trabajo, de las metodologías de evaluación y de los parámetros que orientarán la fiscalización, concluyendo que la reglamentación aún no ofrece criterios suficientemente objetivos para fundamentar la aplicación de sanciones administrativas.
A pesar de la suspensión temporal de las sanciones administrativas, permanecen inalterados los deberes generales de protección a la salud y a la seguridad del trabajo previstos en la Constitución Federal, en la Consolidación de las Leyes del Trabajo y en las normas reguladoras. De la misma forma, la decisión no aparta la eventual responsabilización de las empresas ante la Justicia del Trabajo o el Ministerio Público del Trabajo en casos relacionados con trastornos mentales de naturaleza ocupacional, acoso organizacional u otras fallas en la gestión de los riesgos psicosociales.
Se crea, por lo tanto, un interregno peculiar: el deber de gestionar los riesgos psicosociales subsiste, aunque sin su contrapartida sancionatoria inmediata. Por eso, se recomienda que las empresas mantengan el proceso de implementación de las medidas previstas en la NR-1, utilizando ese período para revisar procedimientos internos, fortalecer la documentación de las medidas preventivas como evidencia de buena fe en la adecuación a la norma, perfeccionar la integración entre los programas de salud y seguridad del trabajo y acompañar los desdoblamientos regulatorios.
A cuatro meses de su entrada en vigor, la Ley 21.719 obliga a las organizaciones a reforzar la gobernanza de los datos personales, gestionar los riesgos asociados a la inteligencia artificial y prepararse para un nuevo escenario de fiscalización.
El próximo 1 de diciembre de 2026 entrará en vigor en Chile la nueva Ley de Protección de Datos Personales (Ley 21.719), que reemplazará a la Ley 19.628 y elevará significativamente las exigencias para las organizaciones que recopilan, almacenan y utilizan información personal. La norma refuerza los derechos ARSOP de los titulares (acceso, rectificación, supresión, oposición y portabilidad), incorpora obligaciones de trazabilidad y crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras.
Ese es el marco legal. La pregunta ahora es otra: ¿están realmente preparadas las empresas chilenas para la entrada en vigor de la nueva ley?
Según Yoab Bitran, director del Grupo Compliance de az, la mayoría de las empresas chilenas todavía está trabajando en identificar y corregir las brechas de sus procesos internos. Los sectores regulados, especialmente el financiero y el de salud, están más avanzados en algunas de las obligaciones que establece la nueva normativa. En el resto de las organizaciones, afirma el vocero, el trabajo se encuentra todavía en una etapa inicial y el objetivo es llegar a la entrada en vigor con los aspectos básicos resueltos.
“Si bien no es una obligación directa de la normativa de datos personales, el mapeo de los datos personales que procesan es un insumo valioso dentro de las organizaciones, ya que permite identificar los tipos de datos personales que se usan y sobre ello, adoptar medidas para corregir eventuales riesgos en el uso de esta información. Muchas de estas acciones permiten responder a obligaciones que se encuentran en la ley. Sin duda, el resguardar el ejercicio de derechos de los titulares (ARSOP) es un tremendo desafío para cumplir en tiempo y forma”, subraya.
Agencia y liderazgo regional: los dos desafíos de Chile
La idea de que el mercado debería estar preparado porque la ley fue publicada hace dos años no refleja la realidad. Para algunas organizaciones, adaptar los procesos de recolección, almacenamiento y uso de datos personales supone un cambio de cultura que recién comienza.
A ello se suma la instalación de la Agencia de Protección de Datos Personales, que tendrá a su cargo la fiscalización del nuevo régimen. Sin embargo, la conformación de su Consejo Directivo avanza más lento que el calendario original, lo que podría llevar a que la nueva autoridad termine de instalarse casi al mismo tiempo en el que entran en vigor las obligaciones que deberá supervisar.
Bitran menciona que la industria y el sector público esperan que la agencia cumpla un rol orientador e impulse una cultura de protección de datos en un país donde, pese a la existencia de una ley vigente, el tratamiento de la información personal no siempre ha recibido la atención que exige la reforma.
“Se espera que, cuando se instale, pueda dar algunos lineamientos y respuestas a interrogantes que no fueron resueltas del todo en la normativa aprobada, antes de que parta con un proceso de fiscalización, similar a la experiencia internacional, por ejemplo, Brasil”, comenta.
A su juicio, una vez superada esa primera etapa, la agencia deberá avanzar en procesos de fiscalización, especialmente en sectores con prácticas comerciales agresivas que podrían no ajustarse al nuevo régimen de protección de datos.
En el contexto regional, Chile parte con ventaja. Juan Pablo González, director de Nuevas Tecnologías e IA de az, considera que la actualización normativa permite al país avanzar de forma rápida hacia los primeros lugares de América Latina.
“Sin perjuicio de ello, mucho dependerá de la capacidad de aplicar la normativa aprobada. Chile no cuenta con una normativa específica de inteligencia artificial y, a pesar de que se encuentra en tramitación un proyecto en la materia, existen varias voces que consideran necesario avanzar en materias previas a tener una regulación madura de una tecnología como IA. Este análisis de elementos previos ha sido reflejo de lo sucedido en Europa, con el aplazamiento de algunas obligaciones del Reglamento Europeo de IA y algunas modificaciones que se desean aprobar en la normativa sobre protección de datos personales, especialmente, en favor de las pequeñas y medianas empresas”, explica.
Riesgos de la inteligencia artificial en las empresas
Mientras las empresas se preparan para cumplir con la nueva normativa de protección de datos, la inteligencia artificial abre un desafío que ya no es solo un asunto del área de sistemas. Según el último informe de la consultora de gestión global McKinsey, el 78% de las corporaciones usa activamente IA generativa en sus procesos de negocio, y esa adopción masiva convirtió a los algoritmos en un vector de riesgo operacional, reputacional y regulatorio al mismo tiempo.
Cifras globales del Cost of a Data Breach Report 2025 de IBM advierten que la adopción de la IA supera las medidas de seguridad y gobernanza corporativa:
El 13% de las compañías ya reportó brechas de seguridad vinculadas a aplicaciones de inteligencia artificial.
El 97% de las firmas vulneradas no contaba con políticas de acceso a sus modelos.
Un 8% no estaba seguro de si sus sistemas de IA habían sido vulnerados.
El costo promedio de una brecha asociada a IA alcanza los US$670.000.
A eso se añade el fenómeno conocido como Shadow AI, que consiste en el uso informal de herramientas de inteligencia artificial por parte de colaboradores sin autorización ni supervisión de la organización, y que convierte la protección de datos en un asunto inseparable de la gobernanza tecnológica.
En Chile, el escenario se agrava con una cifra local: en 2025 el país enfrentó cerca de 8,8 billones de intentos de ciberataque, y un 16 % de las brechas de datos ya son perpetradas por ciberdelincuentes que usan IA para potenciar sus ofensivas.
En este escenario, el marco regulatorio chileno se articula en torno a dos normas que comienzan a dialogar entre sí. Por un lado, la Ley Marco de Ciberseguridad(Ley 21.663) exige a los operadores de importancia vital estándares estrictos de gestión de riesgos y el reporte de incidentes en plazos acotados. Por otro, la Ley 21.719 endurece las sanciones por el tratamiento indebido de datos personales, un aspecto relevante si se considera que muchos sistemas de inteligencia artificial se entrenan con información sensible que debe ser sometida a otras medidas de protección antes de ser utilizada.
Cumplimiento y gobernanza, hoja de ruta para las empresas
El desafío, sin embargo, no termina en el contenido de las normas. Para llevar este nuevo escenario a la operación diaria, las empresas tendrán que revisar cómo gestionan la información y toman decisiones sobre el uso de nuevas tecnologías. Se trata de un cambio de método que va más allá de actualizar políticas internas.
Bitran plantea que, aunque el mapeo de datos personales no es una obligación explícita de la Ley 21.719, se ha convertido en un insumo clave para cualquier organización que quiera anticiparse a los riesgos y cumplir con las nuevas exigencias. En ese sentido, plantea acciones para un diagnóstico técnico con gobernanza corporativa:
conocer en qué procesos la organización trata datos personales;
identificar qué sistemas de inteligencia artificial utiliza y para qué fines;
definir controles de acceso, cifrado en tránsito y en almacenamiento;
actualizar políticas, procedimientos y cláusulas contractuales con proveedores;
redefinir roles y responsabilidades dentro de la organización para gestionar el riesgo.
González, por su parte, recomienda instalar comités multidisciplinarios, donde los tomadores de decisión discutan de forma temprana los riesgos asociados al uso de IA, y sumar métricas que permitan medir el desempeño de la tecnología en casos de uso específicos, algo que a su juicio termina siendo la diferencia entre adoptar IA con control o adoptarla a ciegas.
“Esto, sin duda, le permitirá a una organización integrar de manera exitosa este tipo de tecnología, así como tener resultados medibles, especialmente en procesos que pueden resultar críticos, definido al apetito por riesgo de la organización”, añade.
Regulación de inteligencia artificial
Mientras la aplicación de la Ley 21.719 avanza sobre un marco normativo ya definido, la regulación de la inteligencia artificial en Chile todavía se encuentra en discusión. El Ejecutivo presentó en el Senado un proyecto de Ley Marco de IA, inspirado en el Reglamento Europeo de Inteligencia Artificial, que clasifica los sistemas según sus niveles de riesgo.
El director de Nuevas Tecnologías e IA de az ha seguido de cerca esta discusión y plantea que el modelo europeo no necesariamente responde a las necesidades específicas de Chile.
“Este marco responde a ciertos tipos de riesgos de IA, que no necesariamente son los mismos que necesitamos regular en Chile, en particular, casos de uso. En ese sentido, la industria levantó varios puntos a tener en consideración para la discusión parlamentaria, buscando que se focalice en los incentivos para el avance de una industria de desarrollo de IA, regulando usos más que la tecnología en sí misma. El objetivo principal es evitar una regulación que restrinja el desarrollo tecnológico”, sostiene.
La experiencia europea se ha convertido en uno de los principales argumentos de quienes piden revisar el alcance y los tiempos de la propuesta chilena. El aplazamiento de algunas obligaciones del reglamento europeo ha puesto de relieve las dificultades de implementar un marco regulatorio complejo sin que las empresas y las autoridades cuenten con el tiempo suficiente para adaptarse.
González indica que la discusión de fondo está en si la regulación debe centrarse en la tecnología o en los usos que se hacen de ella. La decisión determinará qué empresas estarán sujetas a mayores exigencias y bajo qué criterios. Por eso, el sector legal corporativo sigue de cerca la tramitación del proyecto, que establecerá las reglas para el desarrollo y uso de la inteligencia artificial en Chile.
Impacto en las pymes
El impacto para las empresas más pequeñas es uno de los puntos que genera mayor preocupación. Si el proyecto de Ley Marco de IA mantiene la clasificación de los sistemas según su nivel de riesgo, las compañías podrían enfrentar nuevas exigencias, como sistemas de gestión de riesgos, evaluaciones periódicas, documentación técnica, supervisión humana y estándares de ciberseguridad, precisión y solidez técnica. La pregunta es cómo podrán asumirlas las pymes.
“Una de las alertas que se levantaron en la discusión es que estos cambios pueden ser soportados por las grandes empresas, pero para las pymes estas obligaciones pueden conllevar costos que no son soportados por la incorporación temprana dentro de la organización, en un entorno en que existen diversos requerimientos regulatorios. Finalmente, el proyecto de ley no establece ningún sistema de apoyo para este segmento de industria”, resalta Bitran.
El proyecto, tal como se discute actualmente en el Senado, no contempla una diferencia entre una multinacional y una pyme a la hora de asumir obligaciones en materia de gestión de riesgos, documentación técnica y ciberseguridad. En protección de datos personales, en cambio, la Ley 21.719 sí estableció un período de adaptación para las empresas de menor tamaño, que durante el primer año de vigencia solo estarán expuestas a amonestaciones y no a multas. En materia de inteligencia artificial, por ahora, esa diferencia no existe.
Pese a las dificultades, ambos voceros de az coinciden en que las empresas que se anticipen tendrán una ventaja. Bitran considera que incorporar la inteligencia artificial de manera temprana, identificando sus riesgos y analizándolos con las distintas áreas de la organización, permite aprovechar mejor la tecnología y reducir la exposición a incidentes que pueden traducirse en pérdida de reputación, tiempo y sanciones.
El desafío para Chile será mantener el avance alcanzado en protección de datos personales y, al mismo tiempo, construir una regulación de inteligencia artificial que tome en cuenta las particularidades del país. En esa discusión, las pymes aparecen como uno de los principales puntos pendientes.
Autor: Gunther Félix | Fuente: LexLatin (30 de julio de 2026)
