13-08-2026 | Bustamante Fabara, Noticias
La Guía ofrece una referencia técnica para que las organizaciones revisen la calidad y el funcionamiento de los controles implementados.
El 3 de agosto de 2026, la Superintendencia de Competencia Económica (SCE) expidió la Resolución No. SCE-DS-2026-37, mediante la cual aprobó una nueva versión de la Guía de Compliance en Materia de Competencia Económica de Julio 2026.
¿Qué incorpora y profundiza frente a la guía de 2021?
La versión anterior de la Guía ya contemplaba los componentes básicos de un programa de cumplimiento, incluidos la gestión de riesgos, la capacitación, el monitoreo y la auditoría. La nueva versión los desarrolla con mayor detalle operativo, refuerza el estándar de efectividad e incorpora 24 anexos que reúnen matrices, protocolos, listas de verificación y modelos adaptables. Entre sus principales desarrollos se encuentran los siguientes:
- Gestión de riesgos: la Guía sistematiza una metodología para identificar, valorar y tratar los riesgos de competencia. Propone una matriz de probabilidad e impacto de cinco por cinco y clasifica los riesgos como bajos, medios, altos o críticos, con respuestas diferenciadas. Para determinados riesgos que la propia Guía identifica expresamente como especialmente graves —entre ellos, cárteles, manipulación de licitaciones, reparto de clientes o mercados, intercambio de información estratégica futura entre competidores, destrucción de evidencia, obstrucción de investigaciones y represalias contra denunciantes—, recomienda adoptar un límite de riesgo cero.
- Competencia desleal: la nueva Guía articula el programa con la Ley Orgánica de Regulación Contra la Competencia Desleal (LORCCD) y distingue entre deslealtad simple, deslealtad agravada y posibles casos de aplicación concurrente con la normativa de libre competencia. En consecuencia, la publicidad, las comparaciones comerciales, el uso de información empresarial y otras prácticas de mercado deberían someterse a controles preventivos y contar con evidencia que respalde las decisiones adoptadas.
- Algoritmos, datos e inteligencia artificial: la nueva versión incluye riesgos derivados de herramientas tecnológicas que intervienen en precios, descuentos, asignación de clientes o recopilación de información del mercado. Se recomienda identificar estas herramientas, documentar su funcionamiento y mantener supervisión humana en decisiones sensibles.
- Gobernanza y modelo de tres líneas: las áreas de negocio aplican los controles diarios; las áreas de cumplimiento, riesgos y asesoría diseñan políticas, capacitan y supervisan; y la auditoría interna o una evaluación independiente verifica su efectividad. La Guía también recomienda que la función de compliance tenga independencia funcional y acceso directo a la alta dirección.
La nueva Guía desarrolla cómo adaptar el programa a la exposición real de cada operador y descarta un modelo uniforme. La estructura y profundidad del programa deberían ajustarse al tamaño y estructura de la organización, sus actividades, los mercados en los que opera y su exposición concreta a riesgos de competencia.
La Guía también incorpora protocolos para gestionar denuncias e investigaciones internas, preservar evidencia y responder de manera ordenada a requerimientos, inspecciones y otras actuaciones de la SCE.
¿Por qué es relevante?
La Guía refuerza el criterio de efectividad. La efectividad de un programa no se acredita con la sola existencia de políticas, capacitaciones o responsables designados. Para considerarse efectivo, el programa debería permitir demostrar que los riesgos fueron identificados, los controles se aplicaron y las alertas o incidentes fueron atendidos.
Esto no significa que la sola ausencia de un programa de compliance constituya una infracción sancionable, pero la Guía sí ofrece una referencia técnica para que las organizaciones revisen la calidad y el funcionamiento de los controles implementados.
En términos prácticos, de la Resolución y de la nueva Guía no se desprende una obligación general de actualizar los programas elaborados con base en la versión de 2021, ni estos se vuelven automáticamente inadecuados. Sin embargo, resulta recomendable revisarlos para identificar posibles brechas en materia de competencia desleal, riesgos digitales, gobernanza, terceros y conservación de evidencia.
Además, la Resolución permite que la Guía sea revisada y actualizada periódicamente sin necesidad de expedir una nueva resolución, con la previa aprobación de las autoridades institucionales competentes. En consecuencia, las empresas deberían verificar la versión institucional vigente antes de aprobar o actualizar sus programas.
Como su nombre lo indica, la Guía tiene carácter orientativo y, por tanto, no establece la obligación de implementar programas de cumplimiento en materia de competencia. No obstante, constituye una herramienta importante para identificar y mitigar riesgos.
¿Qué deberían considerar las empresas?
Como medidas de buena práctica, la Guía recomienda:
- Evaluar la exposición según el sector, el tamaño de la organización, los mercados en los que opera, el contacto con competidores, la participación en licitaciones, los canales de distribución, los terceros críticos y el uso de datos.
- Revisar el programa vigente y actualizar la matriz de riesgos, integrando la LORCCD, los riesgos digitales, los riesgos asociados a terceros y los controles para actividades críticas.
- Definir responsabilidades claras para el órgano de gobierno, la alta dirección, las áreas de negocio y las funciones de cumplimiento, asesoría y auditoría.
- Actualizar los protocolos aplicables a licitaciones, gremios, operaciones de concentración, publicidad, algoritmos y actuaciones ante la SCE.
- Capacitar a los equipos según su nivel de exposición y las decisiones que adoptan.
- Habilitar o mantener canales de consulta y denuncia que permitan reportar y escalar incidentes.
- Documentar, medir y auditar los controles, conservar evidencia verificable, implementar planes de mejora y verificar periódicamente la versión institucional vigente de la Guía.
El punto central no es producir manuales más extensos. El programa solo será efectivo si funciona en la práctica y deja evidencia suficiente de cómo la organización previno, detectó y corrigió sus riesgos. Un programa meramente formal tendrá una utilidad limitada frente a una revisión interna o una actuación de la autoridad.
Si necesitas información, escríbenos a contacto@compliancelatam.legal.
10-08-2026 | BLP, Noticias
La normativa exige a las empresas fortalecer sus controles internos, ampliar la debida diligencia y adecuar sus políticas de cumplimiento a un esquema más estricto de prevención, supervisión y sanción.
Guatemala ha dado un paso importante en el fortalecimiento de su marco regulatorio en materia de prevención del lavado de dinero y del financiamiento del terrorismo con la aprobación del Decreto 15-2026, que aprueba la nueva Ley Integral para la Prevención y Represión del Lavado de Dinero u Otros Activos y del Financiamiento del Terrorismo. La nueva normativa sustituye el régimen vigente durante más de dos décadas y reúne, por primera vez, en un solo cuerpo legal, las principales disposiciones en materia de prevención del lavado de dinero y financiamiento del terrorismo.
La reforma responde al objetivo de fortalecer el sistema guatemalteco conforme a los estándares promovidos por el Grupo de Acción Financiera Internacional (GAFI) y el Grupo de Acción Financiera de Latinoamérica (GAFILAT). En un contexto en el que Guatemala busca consolidar un marco regulatorio moderno y fortalecer la efectividad de su sistema de prevención de cara a futuras evaluaciones internacionales, esta actualización contribuye a reforzar la transparencia, la confianza y la seguridad jurídica del entorno empresarial.
Más allá de ese contexto, la nueva ley introduce cambios que tendrán un impacto directo en la forma en que muchas empresas gestionan el cumplimiento corporativo. A continuación, presentamos algunos de los aspectos más relevantes que conviene considerar antes de su entrada en vigor.
Un nuevo enfoque para la gestión del cumplimiento
Uno de los principales cambios es la adopción del Enfoque Basado en Riesgo, mediante el cual cada Persona Obligada deberá identificar, evaluar y mitigar los riesgos asociados a sus operaciones, considerando las características de su negocio, sus clientes y la naturaleza de sus actividades.
En la práctica, esto implica que los programas de cumplimiento deberán adaptarse a la realidad de cada empresa. Las políticas de debida diligencia, los mecanismos de monitoreo y la capacitación del personal deberán construirse sobre el perfil de riesgo de cada organización. De esta forma, el cumplimiento deja de entenderse como un ejercicio meramente documental para convertirse en un proceso permanente de gestión de riesgos.
Más empresas y sectores entran al régimen preventivo
La reforma también amplía de manera importante el universo de Personas Obligadas. Además de las entidades tradicionalmente supervisadas por la Superintendencia de Bancos, incorpora nuevas actividades económicas, entre ellas la promoción e intermediación inmobiliaria, los proveedores de servicios de activos virtuales y quienes prestan servicios relacionados con la creación, administración o representación de personas o estructuras jurídicas.
Asimismo, establece un régimen especial para determinados profesionales que prestan servicios jurídicos, contables o de auditoría de forma independiente, así como para los notarios cuando intervienen en determinadas operaciones para sus clientes.
Como consecuencia, muchas empresas experimentarán procesos de debida diligencia más robustos durante la estructuración de operaciones corporativas, adquisiciones, constitución de sociedades o transacciones inmobiliarias.
Mayor transparencia corporativa
La Ley Integral contra el Lavado de Dinero fortalece la identificación del beneficiario final con el propósito de determinar quién ejerce el control efectivo o recibe el beneficio económico de una persona o estructura jurídicas. Este aspecto adquiere especial relevancia para grupos empresariales con estructuras de propiedad complejas, fideicomisos o participación indirecta a través de distintas entidades.
La reforma también introduce modificaciones al Código de Comercio relacionadas con el registro de acciones y la inscripción de los órganos de administración. Estas obligaciones no se limitan a las Personas Obligadas, sino que alcanzan, en distintos aspectos, a las sociedades mercantiles constituidas en Guatemala, por lo que resulta recomendable revisar oportunamente la información corporativa y verificar que se encuentre debidamente actualizada.
¿Cómo prepararse para la entrada en vigor de la ley?
Aunque la Superintendencia de Bancos deberá emitir el reglamento que desarrollará diversos aspectos operativos de la nueva legislación, las empresas pueden aprovechar el período previo a su entrada en vigor para prepararse.
Entre otras acciones, resulta recomendable identificar si la empresa adquiere la calidad de Persona Obligada, revisar sus procedimientos internos de cumplimiento, fortalecer los mecanismos para identificar al beneficiario final y verificar que la información societaria, especialmente el registro de acciones y la integración del órgano de administración, cumpla con los nuevos requerimientos legales.
Prepararse con anticipación facilitará la adecuación al nuevo régimen y contribuirá a fortalecer los mecanismos internos de cumplimiento, gobierno corporativo y gestión de riesgos.
Más que una reforma normativa
La Ley Integral contra el Lavado de Dinero representa un paso importante en el fortalecimiento del marco regulatorio guatemalteco. Además de modernizar el régimen de prevención, refleja la creciente importancia que han adquirido el gobierno corporativo, la gestión de riesgos y la transparencia como elementos esenciales para el desarrollo de los negocios.
Para las empresas que ya operan en Guatemala, así como para aquellas que evalúan desarrollar proyectos en el país, comprender oportunamente estos cambios permitirá no solo atender las nuevas obligaciones legales, sino también fortalecer sus procesos internos y alinearse con estándares internacionales que hoy forman parte de las mejores prácticas empresariales.
Autora: Rebeca Baldizón, Asociada en BLP Guatemala
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
07-08-2026 | az, Noticias
La protección de datos ha dejado de ser un asunto exclusivamente legal para convertirse en una prioridad estratégica para la alta gerencia.
La entrada en vigencia de la nueva Ley de Protección de Datos Personales en Chile, fijada para el 1 de diciembre, exige a las organizaciones comprender qué datos recopilan, cómo los utilizan, cuáles son sus responsabilidades y qué riesgos enfrentan en caso de incumplimiento.
A continuación, presentamos 10 preguntas clave que todo equipo directivo debería plantearse para seguir avanzando hacia una gestión responsable y conforme a la nueva regulación.
- Si mi empresa es B2B, ¿igual debo cumplir la ley?
Sí. Aunque tu negocio sea B2B, de igual forma tratas datos personales (por ejemplo, de trabajadores, candidatos, contactos comerciales o proveedores). La ley aplica siempre que existan datos de personas naturales.
- ¿Qué tipos de datos personales trato en mi empresa?
Debes identificar si tratas datos identificatorios (nombre, RUT y correo), laborales y de contacto, así como categorías que requieren un estándar reforzado, tales como datos sensibles (por ejemplo, salud o denuncias internas), datos de niños, niñas y adolescentes (NNA) en el contexto de cargas familiares y beneficios, y datos biométricos, por ejemplo, en sistemas de registro de jornada.
- ¿Necesito siempre el consentimiento de terceros para tratar datos?
No. Existen distintas bases de licitud. En el ámbito laboral, muchas veces el tratamiento se basa en el contrato o en obligaciones legales. La clave es no entorpecer la operación del negocio, sino identificar correctamente la base de licitud aplicable en cada caso. El consentimiento es relevante especialmente para datos sensibles o tratamientos no necesarios, considerando además que puede ser revocado en cualquier momento.
- ¿Qué pasa si uso plataformas o proveedores (SaaS) para tratar datos?
Si un tercero trata datos en tu lugar, debes firmar un acuerdo de tratamiento de datos (DPA) y asegurarte de que cumpla, entre otros aspectos mínimos, con obligaciones de confidencialidad, medidas de seguridad adecuadas, limitación de finalidad, notificación de incidentes y regulación de subencargados.
- ¿Puedo usar datos de fuentes públicas libremente?
No. Bajo la nueva normativa, el hecho de que los datos provengan de fuentes de acceso público ya no constituye por sí solo una base de licitud válida, por lo que igualmente debes contar con una base habilitante para su tratamiento.
- ¿Qué riesgos enfrento si no cumplo la normativa?
Principalmente, sanciones administrativas que pueden alcanzar las 20.000 UTM, además de medidas como la suspensión de operaciones. A ello se suma el daño reputacional y un estándar de fiscalización que irá en aumento con la nueva institucionalidad.
- ¿Debo tener políticas internas relacionadas a la normativa?
Sí. Es clave contar con políticas de tratamiento de datos (trabajadores, candidatos, entre otros), cláusulas contractuales y procedimientos claros. Además, la normativa exige que cierta información esté disponible al público en un medio de comunicación válido, en virtud del principio de transparencia e información, con independencia de que la adopción de un modelo de gobernanza formal sea facultativa.
- ¿Qué pasa con los datos cuando un trabajador se va de la empresa?
No puedes conservar los datos indefinidamente. Debes definir plazos de retención y eliminar o anonimizar la información cuando ya no sea necesaria, sin perjuicio de obligaciones legales.
- ¿Cuándo entra en vigencia la nueva ley? ¿Y la agencia?
La ley entra en vigencia el 1 de diciembre de 2026. En cuanto a la Agencia de Protección de Datos Personales (APDP), su implementación será progresiva, debiendo designarse sus miembros, por lo que su operación efectiva y capacidad de fiscalización se consolidará en los próximos meses.
- ¿Por dónde empiezo si quiero cumplir correctamente la normativa?
Lo primero es realizar un diagnóstico de brechas, identificar qué datos tratas, con qué finalidad y con qué proveedores, con la finalidad de estructurar un sistema de gobernanza en protección de datos. Luego, avanzar en la implementación de políticas, contratos (DPA), consentimientos y medidas de seguridad.
Prepararse para el nuevo escenario regulatorio no solo permite reducir riesgos legales y reputacionales, sino también fortalecer la confianza de trabajadores, clientes, proveedores y socios comerciales.
Ante todo, es clave contar con un diagnóstico y un plan de acción que permita afrontar con mayor seguridad los desafíos que plantea la ley.
Para más información, escríbenos a contacto@compliancelatam.legal.
05-08-2026 | Barnes & Thornburg, Noticias
El endurecimiento regulatorio en EE. UU. obliga a las empresas en América Latina a revisar sus controles frente a terceros, pagos, logística y manejo de efectivo para evitar exposición a carteles y otras redes criminales.
Los cambios recientes en el uso por parte del gobierno de Estados Unidos de herramientas contra el terrorismo, de prevención del lavado de dinero y de sanciones económicas contra organizaciones criminales regionales han aumentado los riesgos de cumplimiento y de aplicación de la ley para las empresas que operan en América Latina. El alcance geográfico y la influencia operativa de los principales carteles, ahora designados como organizaciones terroristas extranjeras (FTO, por sus siglas en inglés), generan una posible responsabilidad mucho más allá de las preocupaciones tradicionales en materia anticorrupción, antilavado y sanciones económicas.
Aunque ninguna empresa legítima apoyaría conscientemente a los carteles de la droga, el nuevo enfoque de aplicación impulsado por la administración del Presidente Donald Trump significa que incluso las empresas bien intencionadas enfrentan un mayor riesgo por actividades comerciales rutinarias, incluidos pagos, logística de la cadena de suministro y relaciones con terceros. Los carteles y sus asociados se han infiltrado en la economía de ciertas regiones de América Latina y se han vuelto cada vez más sofisticados, lo que dificulta identificar posibles puntos de contacto.
En algunas zonas de alto riesgo, las empresas pueden verse obligadas a pagar “cuotas de cartel” para operar, es decir, una tarifa de protección o seguridad (derecho de piso), o para atravesar una región, es decir, un derecho de paso. A continuación, se ofrece un panorama de los recientes cambios regulatorios en esta materia y se analizan medidas prácticas que las empresas pueden adoptar para mitigar los riesgos.
Contexto regulatorio
Las recientes órdenes ejecutivas, designaciones del Departamento de Estado de EE.UU., lineamientos de política del Departamento de Justicia (DOJ) y directrices del Departamento del Tesoro y de la Red de Control de Delitos Financieros (FinCEN, por sus siglas en inglés) han creado un nuevo entorno regulatorio y de aplicación para las empresas que operan en jurisdicciones donde actúan los principales carteles, ahora designados como FTO, especialmente en América Latina. La influencia indirecta que ejercen los carteles crea un entorno de cumplimiento particularmente complejo para las empresas que operan localmente o que buscan socios locales.
El 20 de enero de 2025, el Presidente Trump, mediante la Orden Ejecutiva 14157, instruyó al secretario de Estado a recomendar la designación de los carteles como organizaciones terroristas extranjeras y terroristas globales especialmente designados. El mes siguiente, el Departamento de Estado designó formalmente a múltiples organizaciones como FTO, incluidos destacados carteles con base en México y otras redes criminales regionales.
Como resultado, la Ley Antiterrorista (ATA, por sus siglas en inglés) se ha convertido en una fuente central de responsabilidad corporativa para las empresas que operan en América Latina. La ATA prohíbe proporcionar “apoyo material” a las FTO, definido de forma amplia para incluir servicios financieros, bienes, logística y otra asistencia, incluso cuando se canaliza indirectamente a través de intermediarios. Las infracciones generan responsabilidad penal y civil, y permiten que demandantes privados interpongan reclamaciones contra empresas que faciliten de forma consciente o temeraria ese “apoyo material” a las FTO.
La aplicación de la ATA a la conducta de los carteles aumenta significativamente las consecuencias para empresas de sectores con mayor exposición a estas actividades, por ejemplo, energía, minería, agricultura, transporte, comercio minorista y servicios financieros, especialmente cuando las operaciones requieren cadenas de suministro locales complejas o se desarrollan en zonas remotas.
Orientación federal
Tras las designaciones FTO de 2025, el memorando de la entonces fiscal general Pam Bondi, titulado Total Elimination of Cartels and Transnational Criminal Organizations (Eliminación total de los carteles y las organizaciones criminales transnacionales; 5 de febrero de 2025), instruyó a los fiscales a priorizar el desmantelamiento de los carteles utilizando todas las herramientas disponibles, incluidas las acusaciones relacionadas con terrorismo.
La guía enfatizó la coordinación entre las unidades de persecución penal, seguridad nacional y control financiero, fomentando el uso de estatutos de apoyo material, decomiso de activos y jurisdicción extraterritorial para atacar a líderes y facilitadores de carteles insertos en empresas legítimas.
La posterior guía del DOJ sobre delitos de cuello blanco identificó la conducta corporativa vinculada a carteles como una amenaza híbrida, que combina delitos financieros tradicionales con preocupaciones antiterroristas, y señaló que las empresas pueden enfrentar sanciones más severas cuando las infracciones involucren interacción con entidades designadas como FTO.
El DOJ también ha intensificado los procesos penales contra personas involucradas en redes vinculadas a carteles. El 18 de diciembre de 2025, el DOJ reveló acusaciones contra más de 70 personas vinculadas al Tren de Aragua, una FTO designada, incluida conspiración para proporcionar apoyo material a una FTO.
Además, FinCEN y la Oficina de Control de Activos Extranjeros (OFAC, por sus siglas en inglés) del Departamento del Tesoro de EE. UU. han emitido medidas dirigidas a interacciones con FTO, incluidas: (1) una orden de focalización geográfica que exige a las empresas de servicios monetarios (MSB) cerca de la frontera suroeste presentar reportes de transacciones de divisas (CTR) por transacciones en efectivo de US$200 o más; (2) una orden de FinCEN que identifica a tres instituciones financieras con sede en México como “principales preocupaciones en materia de lavado de dinero”; y (3) designaciones de OFAC contra “casinos vinculados a cArteles y asociados clave” que apoyan al Cártel del Noreste, una FTO designada.
En conjunto, estos desarrollos refuerzan que una conducta antes vista principalmente desde la óptica del cumplimiento anticorrupción o antilavado puede ahora activar el escrutinio relacionado con el terrorismo, elevando de forma significativa el alcance y la gravedad del riesgo para las empresas que operan en América Latina.
Medidas prácticas
Para hacer frente a estos riesgos superpuestos, las empresas que operan en América Latina deberían implementar estrategias integradas de cumplimiento adaptadas a los riesgos específicos que enfrentan, que pueden incluir lo siguiente:
- Mapear el riesgo geográfico y operativo: realizar evaluaciones integrales de riesgo, incluyendo el mapeo de terceros que operan en regiones de alto riesgo; el mapeo de interacciones con funcionarios públicos, especialmente a nivel estatal y municipal donde el riesgo de infiltración de carteles es mayor; y el mapeo de controles internos diseñados para mitigar riesgos relacionados con FTO, incluidos procedimientos de debida diligencia, cláusulas contractuales de cumplimiento y protocolos de escalamiento.
- Fortalecer la debida diligencia de empleados y terceros: ir más allá del análisis básico para incluir visitas a sitio, verificaciones ampliadas de antecedentes y monitoreo continuo de distribuidores, agentes y proveedores, particularmente en regiones de alto riesgo.
- Integrar las funciones de cumplimiento: eliminar los silos entre los equipos de anticorrupción, sanciones y antilavado para asegurar que las señales de alerta se identifiquen, evalúen y gestionen de forma integral.
- Mejorar el monitoreo de transacciones: aplicar analítica de datos para identificar anomalías, como pagos estructurados, movimientos rápidos de fondos o patrones de facturación inconsistentes.
- Controlar la exposición al efectivo: implementar procedimientos estrictos para el manejo de efectivo, exigir documentación para prácticamente todas las transacciones en efectivo e incentivar pagos electrónicos cuando sea posible.
- Capacitar a empleados y terceros: impartir formación basada en escenarios y adaptada a las operaciones locales, destacando cómo decisiones cotidianas, la selección de proveedores, la ruta de mercancías o la aprobación de pagos pueden generar exposición a riesgos de delitos financieros.
- Establecer mecanismos sólidos de escalamiento: garantizar que los empleados cuenten con canales claros y protegidos para reportar preocupaciones, y que las investigaciones sean oportunas y estén bien documentadas.
- Realizar revisiones periódicas legales y de cumplimiento: reevaluar regularmente la exposición de la empresa conforme a las leyes de EE.UU. y actualizar las políticas para reflejar nuevas tendencias de aplicación y orientación regulatoria.
El enfoque que deberían adoptar las empresas en Latinoamérica
Para las empresas que operan en América Latina, los cambios en las prioridades de aplicación de la ley en Estados Unidos y las designaciones FTO representan un cambio fundamental en el riesgo de cumplimiento. La ATA ahora complementa marcos ya establecidos como la Ley de Prácticas Corruptas en el Extranjero (FCPA, por sus siglas en inglés) de EE.UU., mientras que las agencias de aplicación persiguen cada vez más casos que intersectan la exposición comercial con la corrupción, las sanciones económicas, el lavado de dinero y el contraterrorismo.
En este entorno, los enfoques de cumplimiento aislados ya no son suficientes. Las empresas que operan en América Latina harían bien en adoptar programas integrados y basados en el riesgo para navegar un panorama regulatorio cada vez más complejo e interconectado.
Autores: Margot Laporte, Jeffrey Lehtman, Katie Mills & Facundo Galeano | Barnes & Thornburg
Para más información, escríbenos a contacto@compliancelatam.legal.
31-07-2026 | az, Noticias
Los incidentes asociados a OpenAI y Anthropic reactivaron el debate sobre cómo enfrentar los riesgos de la inteligencia artificial, justo cuando Chile debe definir un marco regulatorio.
Parece una película de ciencia ficción, pero no lo es. Esta semana, OpenAI informó que, durante el entrenamiento, su modelo GPT- 5.6 Sol se escapó del espacio de prueba, conocido como sandbox, y se conectó a internet y atacó a la startup de datos abiertos Hugging Face. Algo similar ya había ocurrido en abril con Mythos, de Anthropic, que también logró acceder a la red y publicó vulneraciones de seguridad.
Ambas acciones han sido atribuidas por los expertos al entrenamiento de los modelos bajo el método de aprendizaje por refuerzo, que ofrece recompensas para lograr un objetivo y que ha llevado a las principales compañías desarrolladoras a ir más allá de los límites seguros para liderar la carrera por la inteligencia artificial (IA).
El incidente de OpenAI llega en un momento en que Chile debe tomar definiciones regulatorias en torno a la IA. Si bien hay un proyecto de ley en discusión en el Congreso, el gobierno anunció que busca introducir una propuesta sustitutiva que cambia el enfoque en los riesgos tomado de la legislación europea, la cual se presentará próximamente.
En este escenario, en el mundo han surgido interrogantes respecto del real control que tienen los grandes desarrolladores en las pruebas de sus modelos más autónomos y de los riesgos asociados a la ciberseguridad. Mientras tanto, en los países usuarios del sur global, persisten las dudas en torno a qué resguardos se deben tomar y cómo se debe regular el uso y el desarrollo interno de estos sistemas.
Para la directora del Instituto de Data Science de la Universidad del Desarrollo (UDD) e integrante del Panel Científico Internacional Independiente sobre IA de la Organización de las Naciones Unidas (ONU), Loreto Bravo, los incidentes ocurridos no implican que “estemos perdiendo el control humano” sobre la IA o que los modelos actúen con una intención maliciosa.
Argumentó que estos sistemas están diseñados para buscar la forma más eficiente de cumplir el objetivo asignado: “Se pueden tener varias estrategias para minimizar el riesgo, pero no sabes qué cosas podría escoger hacer el modelo, que quizás tú no habrías autorizado”.
Comentó que “no es 100% evitable” que los modelos eludan los espacios de prueba, pero se puede reducir al máximo la probabilidad y mitigar sus efectos, a través de protocolos y prohibiciones claras, exigir autorización humana para acciones sensibles e implementar sistemas para monitorear en tiempo real su comportamiento.
En tanto, el director ejecutivo de Lemontech, Juan Pablo Granda, coincidió en la importancia de los controles, pero enfatizó que la gobernanza corporativa es el factor que marca la diferencia. Señaló que las empresas con certificaciones como las ISO 27.001 y 42.000 —de gobernanza específica en IA—, “tienen muy claro cómo dividir los riesgos y no exponer la información propia y de sus clientes”.
Agregó que aquellas que carecen de estos procesos, en cambio, “son mucho más susceptibles” porque “no delimitaron los procesos”.
Granda también llamó a distinguir los incidentes de frontera (como GPT-5.6 Sol) del uso empresarial cotidiano, pues son “completamente diferentes a lo que usa la mayoría de las compañías”, y señaló que cuando se delimitan con claridad el espacio de acción y el objetivo de un agente, “los riesgos son mínimos”.
Riesgos y resguardos
Respecto del impacto del avance de la IA hacia sistemas cada vez más autónomos en la región, Bravo dijo que la principal diferencia con el norte global “podría estar en la capacidad de reacción” frente a eventuales ciberataques “mucho más especializados y poderosos”, apalancados por estas herramientas.
Añadió que es “muy complicado que sea solo la legislación lo que nos salve (ante los riesgos asociados a los modelos)”, y que, para ello, Chile debe fortalecer las capacidades propias a través de la formación de talento en IA y en seguridad informática, y con el desarrollo de sistemas basados en estas tecnologías para prevenir y mitigar impactos o ataques avanzados.
Para Granda, la legislación por sí sola tampoco basta, pero advirtió que el exceso regulatorio es igual de riesgoso.
“Si nos vamos a poner demasiado conservadores, las empresas no van a tener la posibilidad de implementar herramientas que, con los procesos correctos, sí son seguras y aumentan la productividad”, dijo.
El director de Nuevas Tecnologías e IA de az, Juan Pablo González, se refirió a la Recomendación sobre la Ética de la IA de la Unesco, y señaló que, más que actualizarla, se deben “operativizar” algunos de sus elementos mediante grupos de trabajo para responder a riesgos como la pérdida de control de los sistemas, la desinformación y los ciberataques.
Discusión en Chile
Respecto del proyecto de ley que regula los sistemas de IA —del gobierno anterior y en segundo trámite constitucional—, González planteó una serie de reparos: no crea un órgano específico para hacerse cargo de los sistemas de IA que evite la superposición de competencias y tampoco establece obligaciones diferenciadas para los modelos de uso general. Además, dijo que no diferencia a los distintos actores de la cadena, porque “solo habla de los operadores”, y que no existen procedimientos detallados para las personas afectadas por la IA.
Por otro lado, instó a ampliar los sandboxes con participación del sector privado para impulsar la innovación, y a evaluar una aplicación gradual de la normativa.
Ante el enfoque de evaluación de riesgos ex post que tendrá el nuevo proyecto anunciado por el gobierno, González advirtió que intervenir solo cuando se produzca el daño puede ser “contraproducente”, porque algunos daños son “casi imposibles de reparar”. Por ello, planteó mantener mecanismos de vigilancia, reporte de incidentes, “retiro oportuno” de sistemas y procedimientos claros de infracción.
Según Granda, la regulación debería centrarse en exigir controles de seguridad, herramientas de monitoreo y procedimientos de mitigación y recuperación, pero no restringir el uso en la industria.
“La sobrerregulación es poner un freno de mano al avance tecnológico”, alertó y agregó que eso podría llevar a Chile a perder competitividad frente a empresas de otros países de la región.
Autores: Marco Zecchetto y Renato Olmos | Fuente: Diario Financiero (24 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
30-07-2026 | D’Empaire, Noticias
El compliance en Venezuela se mueve en un terreno especialmente desafiante, donde confluyen la complejidad regulatoria, la incidencia del derecho público y la necesidad de tomar decisiones en contextos de alta incertidumbre. En este escenario, el cumplimiento deja de ser solo un asunto normativo y pasa a ser también una herramienta para interpretar riesgos, sostener operaciones y responder a un entorno empresarial que exige cada vez más capacidad de adaptación.
En esta entrevista, conversamos con José Valentín González, socio de D’Empaire, una de las firmas legales más reconocidas de Venezuela. Especialista en Derecho Administrativo, Penal, Compliance y Propiedad Intelectual, González ha desarrollado una trayectoria de más de dos décadas asesorando a empresas nacionales e internacionales en asuntos regulatorios, corporativos y de alto impacto público.
Su mirada combina experiencia técnica, conocimiento institucional y una lectura estratégica del contexto venezolano.
¿Cómo describirías hoy el entorno para ejercer compliance en Venezuela? ¿Qué lo hace distinto al de otros países de la región?
Venezuela llega tarde al desarrollo del compliance. Paradójicamente, eso puede convertirse en una ventaja.
Mientras buena parte de América Latina desarrollaba esta disciplina durante las dos últimas décadas, Venezuela atravesaba un proceso de aislamiento político, económico e institucional que hizo que ese debate prácticamente no existiera. Lo viví personalmente. Durante años asistí regularmente a conferencias especializadas sobre compliance en Estados Unidos y otros países de la región. Casi siempre éramos los únicos venezolanos presentes. No era una casualidad, era el reflejo de un país que había quedado al margen de la evolución de esta disciplina.
Ese retraso explica, en buena medida, la escasez de especialistas que hoy existe en Venezuela. Pero también nos ofrece una oportunidad. Podemos construir esta disciplina aprendiendo de la experiencia comparada, sin reproducir automáticamente todos los enfoques que se han desarrollado en otras jurisdicciones.
Con frecuencia el compliance se presenta como una política de cultura corporativa, reputación, sostenibilidad o buen gobierno. Todos esos elementos son valiosos y pueden fortalecer una organización. Pero, a mi juicio, no deberían hacernos perder de vista la verdadera naturaleza del compliance.
Precisamente porque Venezuela llega tarde, todavía estamos a tiempo de construir esta disciplina sin desdibujar sus fundamentos. Creo que esa es una oportunidad que no deberíamos desaprovechar.
Las sanciones internacionales —en particular las de la OFAC, la Unión Europea y otras jurisdicciones relevantes— son un factor central para cualquier empresa con exposición a Venezuela. ¿Cómo se gestiona ese riesgo en la práctica y qué errores ves con más frecuencia?
Las sanciones internacionales constituyen hoy uno de los componentes más complejos de cualquier inversión extranjera en Venezuela.
A mi juicio, ninguna empresa debería tomar decisiones relevantes en esta materia sin contar con la opinión de firmas especializadas en sanciones de las jurisdicciones cuyos regímenes resulten aplicables. Esa asesoría no es un valor agregado, es una necesidad. Lo vemos con mucha claridad en inversionistas estadounidenses, que normalmente trabajan desde el inicio con firmas especializadas en OFAC. En ocasiones, sin embargo, inversionistas de otras jurisdicciones no otorgan la misma importancia a este aspecto, aun cuando también puedan estar sujetos a regímenes de sanciones o verse afectados por ellos.
En D'Empaire hemos adoptado una política muy clara. No emitimos opiniones jurídicas sobre sanciones internacionales. Cuando una operación requiere ese análisis, trabajamos conjuntamente con firmas extranjeras cuya práctica profesional está dedicada específicamente a esa materia en las jurisdicciones correspondientes.
Creemos que esa es la manera responsable de asesorar a un cliente. El objetivo no es intentar abarcar todas las especialidades, es asegurarse de que cada aspecto crítico de una operación sea analizado por quien realmente conoce esa disciplina.
En materia de sanciones, la especialización no es una opción, es una obligación profesional, pues los errores pueden pagarse muy caro.
¿Qué implica hacer due diligence en Venezuela cuando la información pública es limitada y las estructuras de propiedad suelen ser opacas?
Obliga a replantear el concepto tradicional de due diligence.
En muchas jurisdicciones la información pública constituye el punto de partida de cualquier investigación. En Venezuela esa información suele ser incompleta, dispersa o simplemente inexistente. Eso exige un trabajo mucho más analítico. Pero el verdadero desafío no consiste únicamente en conseguir información. Consiste en saber qué riesgos estamos tratando de identificar.
Con frecuencia el due diligence se convierte en un ejercicio de recopilación documental. Creo que ese enfoque es insuficiente. El objetivo no es producir una carpeta de documentos. Es generar conocimiento que permita tomar decisiones.
Y allí el conocimiento local adquiere un valor extraordinario. Los abogados venezolanos que permanecieron en el país durante todos estos años desarrollaron un conocimiento del mercado que difícilmente puede obtenerse consultando registros públicos. Conocen los sectores económicos, identifican relaciones empresariales que no siempre resultan evidentes y saben dónde buscar información cuando las fuentes tradicionales no ofrecen respuestas. En ocasiones, incluso, ese conocimiento permite comprender quién ejerce realmente el control o la influencia sobre una empresa, más allá de lo que reflejen formalmente los registros o las estructuras societarias.
Ese tipo de información nunca sustituye la verificación jurídica. Pero sí orienta la investigación, permite formular las preguntas correctas e identificar riesgos que de otro modo podrían pasar inadvertidos.
Ese es uno de los grandes valores que hoy aportan los abogados venezolanos. Pagamos un precio muy alto por los años de aislamiento. Pero quienes permanecieron ejerciendo en Venezuela desarrollaron un conocimiento del entorno empresarial e institucional que hoy constituye una ventaja muy importante para cualquier inversionista extranjero.
En definitiva, el due diligence no debe responder únicamente a la pregunta "¿qué sabemos?". Debe responder, sobre todo, a la pregunta "¿qué riesgos estamos asumiendo?".
Venezuela ha dado señales de apertura económica en los últimos años. Si esa tendencia se consolida, ¿qué demandas concretas de compliance/legal crees que crecerán y qué tan preparada está hoy la oferta local para atenderlas?
Si la apertura económica continúa, veremos un crecimiento importante en investigaciones corporativas, programas integrales de compliance, anticorrupción, due diligence, gestión de terceros, derecho penal económico y gobierno corporativo.
La demanda existirá. Mi duda está en si hoy contamos con suficiente oferta especializada para atenderla.
Durante muchos años Venezuela estuvo prácticamente ausente del desarrollo regional del compliance. Eso produjo un déficit importante de profesionales con experiencia práctica. Ese vacío tendrá que llenarse formando nuevos especialistas y aprovechando la experiencia acumulada en otras jurisdicciones.
Pero también exige asumir una realidad. Hoy es muy difícil que una firma local, por prestigiosa o experimentada que sea, reúna por sí sola todas las capacidades que exige un programa de compliance para una empresa con operaciones internacionales.
Un programa serio de compliance requiere una visión multidisciplinaria. Exige integrar abogados, contadores, economistas, especialistas en investigaciones corporativas, expertos en tecnología, protección de datos, auditoría, controles internos y, cuando corresponda, firmas internacionales con experiencia en las jurisdicciones involucradas. Por esta razón considero que el trabajo en redes se ha vuelto indispensable.
Para D'Empaire ha sido especialmente valioso formar parte de ComplianceLatam. La posibilidad de trabajar con las firmas miembro y con sus colaboradores especializados nos permite conformar equipos con las capacidades que exige cada proyecto y ofrecer soluciones mucho más robustas a nuestros clientes.
En materia de compliance, el mayor riesgo es creer que uno puede hacerlo todo solo.
El cambio cultural suele ser uno de los mayores desafíos. ¿Cómo se trabaja la transformación de cultura organizacional en un entorno donde ciertas prácticas informales se han normalizado durante años?
El cambio cultural es indispensable. Pero no ocurre por decreto ni como consecuencia de una campaña de comunicación interna.
Durante años, en Venezuela se normalizaron prácticas que en otros entornos resultarían inaceptables. Cambiar esa realidad exige mucho más que cursos de ética o códigos de conducta. La cultura cambia cuando cambian los incentivos, los procedimientos y las instituciones.
Una empresa cuya alta dirección tolera excepciones permanentes, cuyos controles internos son débiles o cuyas investigaciones nunca producen consecuencias difícilmente desarrollará una verdadera cultura de cumplimiento.
Pero también hay una dimensión institucional que no puede ignorarse. El compliance no depende únicamente de las empresas. También requiere un Estado que fortalezca la seguridad jurídica, la transparencia administrativa y la previsibilidad regulatoria. Es muy difícil consolidar una cultura de cumplimiento si las propias instituciones públicas no avanzan en la misma dirección.
En definitiva, la cultura de cumplimiento no se construye únicamente enseñando valores. Se construye diseñando organizaciones e instituciones donde cumplir la ley sea la regla y no la excepción.
¿Cuáles dirías que son las tres condiciones más importantes para que el compliance deje de ser una práctica de nicho y se convierta en un estándar corporativo en Venezuela?
La primera es formar capital humano especializado. Venezuela necesita muchos más profesionales dedicados al compliance. Ese proceso requerirá universidades, firmas de abogados, empresas y, sobre todo, exposición permanente a experiencias internacionales.
La segunda condición es que el sector empresarial entienda que el compliance no constituye un costo ni un requisito burocrático. Constituye una herramienta para gestionar riesgos jurídicos y proteger el negocio.
Y la tercera condición es fortalecer el ecosistema institucional. Eso supone un Estado más transparente, mayor seguridad jurídica y autoridades técnicas que apliquen las normas con criterios previsibles e imparciales.
Solo cuando esas tres condiciones converjan, el compliance dejará de ser una práctica especializada para convertirse en una forma habitual de gestionar empresas en Venezuela.
¿Qué aprendizajes o capacidades del compliance crees que pueden enriquecer el debate regional?
Con frecuencia pensamos que Venezuela solo tiene cosas que aprender del resto de la región. Yo no estoy tan seguro.
Los profesionales venezolanos hemos tenido que desenvolvernos durante años en uno de los entornos regulatorios más complejos e inciertos de América Latina. Hemos aprendido a trabajar en medio de cambios normativos permanentes, regímenes de sanciones, alta intervención administrativa, dificultades de acceso a la información y una enorme necesidad de integrar distintas áreas del Derecho para resolver un mismo problema. Esta experiencia ha desarrollado capacidades que también pueden ser útiles en otras jurisdicciones.
Quizás la principal sea una visión del compliance mucho menos formalista.
Cuando se trabaja en un entorno tan complejo, uno aprende rápidamente que el cumplimiento no consiste en llenar formularios o aprobar manuales. Consiste en identificar correctamente los riesgos relevantes y diseñar mecanismos eficaces para administrarlos. Este enfoque puede enriquecer el debate regional.
Desde la experiencia de D'Empaire, ¿cuáles son hoy los riesgos de cumplimiento más subestimados por las empresas que operan en Venezuela?
Creo que muchas empresas siguen concentrando sus esfuerzos en los riesgos más visibles y descuidan aquellos que realmente generan mayores contingencias. Uno de ellos es el conocimiento insuficiente de las contrapartes.
No basta con identificar al accionista formal de una empresa. Es indispensable comprender quién ejerce realmente el control, quién toma las decisiones relevantes, cuáles son los beneficiarios finales y qué relaciones existen con terceros o con organismos públicos.
Otro riesgo frecuentemente subestimado es la gestión de terceros. Muchas responsabilidades jurídicas no nacen de la conducta de la propia empresa, sino de distribuidores, agentes, consultores, contratistas o intermediarios que actúan en su nombre.
Finalmente, creo que algunas organizaciones todavía analizan los riesgos de manera fragmentada. El compliance exige una visión integral. Los riesgos penales, regulatorios, laborales, ambientales, tributarios y reputacionales rara vez aparecen de forma aislada. Lo habitual es que interactúen entre sí. Comprender esas interacciones es una de las tareas más importantes de cualquier programa de compliance.
¿Qué diferencias ves entre diseñar un programa de compliance para una empresa local y para una multinacional con operaciones o contrapartes en Venezuela?
Las diferencias son importantes.
Una empresa local suele concentrar su atención en el cumplimiento de la legislación venezolana y en la gestión de sus riesgos internos. Una multinacional, en cambio, normalmente debe cumplir simultáneamente con la normativa venezolana y con los estándares regulatorios y de compliance de otras jurisdicciones.
Eso cambia completamente el análisis. La pregunta deja de ser únicamente qué exige el Derecho venezolano. También pasa a ser qué esperan las autoridades regulatorias, los accionistas, los financiadores, los bancos, las bolsas de valores o las matrices ubicadas en otros países.
Esa doble dimensión exige programas mucho más sofisticados y una coordinación permanente entre equipos locales e internacionales. El verdadero desafío consiste en integrar ambos mundos sin perder de vista las particularidades de la realidad venezolana.
En un contexto de alta complejidad regulatoria, ¿qué rol cumplen las investigaciones corporativas y el derecho penal económico dentro de una estrategia de compliance?
Creo que esta pregunta toca el corazón del debate.
En los últimos años el compliance ha comenzado a asociarse cada vez más con conceptos como cultura organizacional, reputación, sostenibilidad, propósito empresarial o ESG. Todos esos elementos pueden aportar valor. Pero, en mi opinión, no explican la esencia del compliance.
El compliance nació como una institución jurídica. Su finalidad no es hacer a las empresas moralmente mejores. Su propósito consiste en gestionar racionalmente riesgos jurídicos antes de que produzcan consecuencias penales, administrativas o regulatorias.
Por eso considero que las investigaciones corporativas ocupan un lugar central. Son el mecanismo que permite verificar si los controles realmente funcionan, detectar incumplimientos oportunamente, establecer responsabilidades y adoptar medidas correctivas antes de que intervengan las autoridades.
Lo mismo ocurre con el derecho penal económico. Durante muchos años el abogado penalista intervenía cuando el problema ya se había producido. Hoy participa desde mucho antes, ayudando a identificar riesgos, diseñar controles y fortalecer la capacidad preventiva de las organizaciones.
A mi juicio, esa evolución representa uno de los cambios más importantes que ha experimentado el ejercicio profesional durante las últimas décadas.
¿Qué tipo de controles o prácticas recomendarías a empresas que quieren empezar a operar en Venezuela sin subestimar el riesgo?
Mi primera recomendación sería muy sencilla: no intenten hacerlo solos.
El compliance moderno se ha vuelto demasiado complejo para depender exclusivamente del departamento jurídico interno o de una sola firma de abogados. Las mejores soluciones suelen surgir del trabajo conjunto entre especialistas de distintas disciplinas y distintas jurisdicciones.
La segunda recomendación sería invertir tiempo en conocer realmente a las personas y empresas con las que van a hacer negocios.
En Venezuela no basta con revisar documentos societarios o registros públicos. Es indispensable comprender quién toma realmente las decisiones, cuáles son las relaciones relevantes con el sector público, quiénes son los terceros críticos y qué riesgos específicos presenta cada operación.
Y una tercera recomendación: no importen mecánicamente programas de compliance diseñados para otras jurisdicciones.
Los principios son universales; los riesgos, no. Un programa eficaz debe adaptarse a la realidad regulatoria, institucional y empresarial del país donde va a aplicarse. El compliance no es un documento que se archiva. Es un sistema que debe evolucionar constantemente.
Si tuvieras que asesorar a un directorio que evalúa exposición a Venezuela, ¿cuál sería la primera pregunta que debería hacerse la empresa antes de avanzar?
Yo comenzaría con una pregunta distinta a la que normalmente se formula. No preguntaría primero si el negocio es rentable. Preguntaría si la organización está preparada para gestionar los riesgos jurídicos que ese negocio implica.
Toda inversión supone riesgos. La diferencia está en si la empresa cuenta con la capacidad institucional para identificarlos, administrarlos y reaccionar oportunamente cuando alguno de ellos se materializa. Si esa capacidad existe, la empresa podrá tomar decisiones conscientes. Si no existe, cualquier proyección financiera pierde buena parte de su valor.
El compliance no elimina el riesgo, ningún programa puede hacerlo. Pero sí permite comprenderlo mejor y administrarlo racionalmente. Y esa, en definitiva, es la diferencia entre asumir un riesgo empresarial y asumir una incertidumbre.
Si necesitas más información sobre la plataforma o nuestras firmas miembro, escríbenos a contacto@compliancelatam.legal.