09-10-2026 | CR& Partners, Noticias, Tech
El nuevo canal permite denunciar ante la Agencia, a través de plataformas digitales, el posible incumplimiento de las obligaciones establecidas en los Decretos n.º 12.975/26 y n.º 12.976/26.
La Agencia Nacional de Protección de Datos (ANPD) de Brasil ha habilitado una página específica para recibir quejas en línea relacionadas con el incumplimiento de las obligaciones establecidas en los Decretos N° 12.975/2026 y N° 12.976/2026, que actualizan la normativa del Marco de Derechos Civiles en Internet ( MCI ). Este nuevo canal tiene como objetivo facilitar el envío de información que pueda orientar las acciones de seguimiento y supervisión de la Agencia con respecto a posibles incumplimientos por parte de los proveedores de aplicaciones de internet, incluidas las plataformas digitales y las redes sociales.
A través de esta página, cualquier persona física o jurídica puede denunciar ante la ANPD la ausencia de canales adecuados en las plataformas digitales para recibir notificaciones sobre contenido delictivo o ilícito, fallos en los mecanismos diseñados para prevenir la publicidad o la promoción de dicho contenido, la ausencia de un representante legal en Brasil, el incumplimiento de los plazos para la eliminación de contenido, fallos en las medidas destinadas a proteger contra la difusión o generación de contenido íntimo, entre otros.
Los dos decretos ampliaron las facultades de la ANPD para proteger a los usuarios en el entorno digital. El Decreto n.º 12.975/2026, que actualizó la normativa de la MCI, detalló las obligaciones de las plataformas digitales en materia de transparencia, prevención y mitigación de riesgos, lucha contra el fraude y las estafas en línea, así como la eliminación de contenido delictivo o ilícito. El Decreto n.º 12.976 estableció directrices específicas para proteger a las mujeres contra las formas de violencia en el entorno digital, incluidas las relacionadas con la producción, modificación y difusión de contenido íntimo mediante tecnologías digitales e inteligencia artificial.
Medidas administrativas y reglamentarias
La función de la Agencia consiste en investigar las infracciones derivadas del incumplimiento de las obligaciones estipuladas en los Decretos, como el deber de diligencia de los proveedores de aplicaciones de internet que intermedian contenido generado por terceros. La ANPD es responsable de verificar si las plataformas digitales están adoptando mecanismos, procesos, estructuras de gobernanza y medidas técnicas y organizativas adecuadas para cumplir con las obligaciones establecidas en la legislación.
Las situaciones que constituyan delitos deben ser remitidas a las autoridades policiales competentes, sin perjuicio de la supervisión administrativa de las actividades de las plataformas por parte de la ANPD. La Agencia no investiga delitos ni actúa para exigir responsabilidades penales a sus autores.
En casos de violencia contra las mujeres que impliquen la divulgación o difusión de contenido íntimo, también se puede utilizar la Línea de Ayuda para Mujeres (180). Cuando la legislación exige la eliminación de cierto contenido, la solicitud debe enviarse inicialmente a la plataforma antes de ser registrada ante la ANPD.
¿Cómo se gestionarán las quejas?
La información recibida se tendrá en cuenta para la planificación de las acciones de la Superintendencia de Inspección (SFI-ANPD), la mejora de la normativa y las iniciativas educativas de la ANPD. Por regla general, las quejas se analizarán de forma agregada y sistemática, lo que permitirá a la Agencia identificar patrones de posible incumplimiento y evaluar la necesidad de adoptar medidas de inspección o iniciar una investigación. Los casos graves que puedan afectar a un número significativo de personas podrán, excepcionalmente, recibir un tratamiento individualizado.
La ANPD no tiene potestad para moderar el contenido ni ordenar la eliminación de publicaciones específicas de internet. Asimismo, la Agencia no envía respuestas personalizadas a las quejas.
Para que la queja se tramite correctamente, es importante identificar claramente la empresa o plataforma denunciada y describir los hechos concretos que indiquen el incumplimiento de las obligaciones establecidas en los Decretos, proporcionando, siempre que sea posible, su nombre o razón social y dirección de correo electrónico.
¿Cómo presentar una queja?
En la página, tras seleccionar "Haga clic aquí para denunciar", el usuario debe hacer clic en "Iniciar", acceder al sistema con su cuenta GOV.BR y seleccionar la opción "Denunciar Marco Civil". No es necesario adjuntar documentos de identificación, pero se pueden incluir documentos y otra información que ayude a fundamentar las denuncias.
También es posible presentar una denuncia anónima, siempre que se aporten pruebas suficientes para demostrar o verificar los hechos denunciados. El estado de la solicitud puede consultarse en la sección "Mis solicitudes".
Con esta nueva página, la ANPD amplía las herramientas disponibles para identificar posibles infracciones de las obligaciones establecidas en el MCI y refuerza su función de supervisión destinada a proteger los derechos en el entorno digital.
Monitorización de plataformas digitales
Desde agosto, la ANPD ha estado monitoreando las principales plataformas digitales, tiendas de aplicaciones y herramientas de inteligencia artificial generativa para verificar si están adoptando medidas para cumplir con las obligaciones establecidas por los nuevos decretos que actualizan la normativa de la MCI, además de las obligaciones convergentes previstas en el Estatuto Digital de Niños y Adolescentes (ECA Digital). Entre otros criterios, los 22 agentes monitoreados fueron seleccionados considerando su alcance en el mercado brasileño, la relevancia de los servicios ofrecidos, las funcionalidades disponibles y los riesgos asociados con la circulación de contenido producido por terceros, especialmente en temas relacionados con la protección de niños, adolescentes y mujeres en el entorno digital.
Fuente: Gobierno de Brasil (5 de octubre de 2026).
01-10-2026 | az, Opinión, Tech
Por Daniel Soto, Chief Information Security Officer en CGE, Chile
Hace apenas una década, hablar de un apagón se asociaba a fallas mecánicas, sobrecargas o eventos climáticos. Hoy, el escenario es distinto: un ciberataque puede apagar una ciudad con la misma eficacia que una tormenta, sin necesidad de tocar un solo cable. Los incidentes contra infraestructura crítica energética alrededor del mundo, desde ataques a operadores de transmisión en Europa del Este hasta compromisos de cadena de suministro que han afectado a fabricantes de equipos SCADA, ya no son hipótesis de laboratorio. Son la nueva normalidad, y la industria eléctrica chilena no está exenta de ella.
La transformación digital del sector energético ha traído beneficios innegables: redes inteligentes, integración masiva de energías renovables distribuidas, automatización avanzada de subestaciones y uso creciente de inteligencia artificial para optimizar el despacho y la mantención predictiva. Pero cada sensor IoT, cada RTU conectada, cada interfaz entre los mundos IT y OT que antes vivían aislados, amplía la superficie de ataque. La convergencia tecnológica que nos hace más eficientes es, simultáneamente, la puerta de entrada para adversarios cada vez más sofisticados: grupos de ransomware que ya no solo cifran datos, sino que buscan interrumpir procesos físicos; actores patrocinados por estados con interés geopolítico en la infraestructura energética, y compromisos de terceros proveedores que convierten a toda la cadena de suministro en un eslabón vulnerable.
Chile ha respondido a este desafío con una velocidad regulatoria inédita. La Ley Marco de Ciberseguridad (21.663) y la creación de la Agencia Nacional de Ciberseguridad (ANCI) marcan un antes y un después: las empresas eléctricas ya están siendo calificadas como Operadores de Importancia Vital, lo que trae consigo obligaciones concretas de reporte de incidentes, gestión de riesgos y estándares mínimos de seguridad exigibles por ley y no solo por buenas prácticas. A esto se suma la Ley de Protección de Datos Personales (21.719) que si bien esta en veremos, impone una capa adicional de responsabilidad sobre la información que estas operaciones digitales generan y procesan.
Este nuevo marco normativo no llega en el vacío. Muchas empresas del sector ya venían adoptando voluntariamente referentes internacionales como IEC 62443 para la seguridad de sistemas de automatización industrial, o NERC CIP como estándar de facto para la protección de infraestructura eléctrica crítica, anticipándose a una exigencia que hoy es ley. La pregunta ya no es si debemos cumplir, sino si tenemos la madurez organizacional, el talento especializado y la cultura de seguridad necesarios para hacerlo de forma genuina y no meramente documental.
Aquí está el verdadero desafío. El cumplimiento normativo puede convertirse en una casilla marcada en una auditoría, o puede ser la palanca que finalmente sitúe a la ciberseguridad OT donde siempre debió estar: en el centro de la estrategia de resiliencia energética del país. La diferencia la marcan las personas: equipos de seguridad que entiendan tanto de protocolos industriales como de amenazas emergentes, gobiernos corporativos que prioricen la inversión en detección temprana y no solo en respuesta a incidentes, y una colaboración público-privada real que permita compartir inteligencia de amenazas antes de que el próximo ataque nos tome por sorpresa.
La transición energética y la digitalización de la red eléctrica chilena no tienen vuelta atrás, ni deberían tenerla. Pero avanzar sin una protección y defensa en ciberseguridad robusta como condición habilitante —no como obstáculo, ni como trámite regulatorio— es construir sobre cimientos frágiles. La ley ya puso el estándar. Ahora corresponde a la industria demostrar que puede ir más allá del cumplimiento y convertir la seguridad de la información en una ventaja competitiva y, sobre todo, en garantía de continuidad para millones de hogares y empresas que dependen de un suministro eléctrico confiable.
Referencia: algunos ataques conocidos al sector eléctrico a nivel mundial
- Ucrania, diciembre 2015 — BlackEnergy: primer ciberataque documentado que logró interrumpir una red eléctrica; dejó sin electricidad a cerca de 225 mil personas.
- Ucrania, diciembre 2016 — Industroyer/CrashOverride: primer malware diseñado específicamente para atacar sistemas eléctricos; automatizó la apertura de disyuntores en una subestación cercana a Kiev y dejó sin energía a una quinta parte de la ciudad.
- Estados Unidos, 2024 — según Check Point Research, los ciberataques contra empresas de utilities subieron 70%, de 689 a 1.162 incidentes respecto del año anterior.
- Sector energético global, 2025 — un informe de Trustwave registró un alza de 80% interanual en ataques de ransomware contra el sector energético, con 84% de los casos iniciados por phishing.
- Polonia, diciembre 2025 — ataque atribuido al grupo Berserk Bear contra sistemas IT y OT de la red eléctrica polaca de forma simultánea.
- Recursos energéticos distribuidos (DER), diciembre 2025 — Dragos documentó el que describe como el primer incidente mayor dirigido específicamente contra este tipo de activos.
Daniel Soto, Chief Information Security Officer en CGE, Chile
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
29-09-2026 | az, Opinión, Tech
Por Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Actualmente, Chile está debatiendo sobre uno de los temas más importantes de nuestra era: cómo usar de forma responsable los sistemas de inteligencia artificial. En ese sentido, es de gran relevancia abordar una serie de vacíos que existen hoy a nivel regulatorio.
El primero de ellos es que no hay claridad sobre los derechos y responsabilidades en la cadena de generación de los sistemas de IA, es decir, desde los desarrolladores hasta el resultado final. Además, no están claras las obligaciones para explicar, auditar y, por ende, impugnar decisiones que se produzcan en los sistemas de IA, salvo la normativa de datos personales; lo que, sin duda, implica una carencia desde el enfoque de riesgo y, por tanto, limita la adopción de una visión preventiva al respecto.
A nivel de propiedad intelectual, interrogantes como la autoría de los resultados de IA; uso de obras protegidas y eventual excepción para entrenar modelos; responsabilidades claramente definidas para infracciones y, por ende, titularidad de componentes clave en los procesos de entrenamiento del modelo, no están resueltos del todo a nivel normativo. Asimismo, desde una perspectiva de la confidencialidad, no existe una regulación homogénea sobre el uso de información en plataformas externas, reglas de retención o eliminación de información para el entrenamiento de modelos, así como obligaciones de terceras partes, lo que, sin duda, puede afectar al momento de tomar decisiones confiables basadas en los resultados de sistemas de IA.
En la búsqueda de soluciones, podemos observar buenas prácticas de otros países. Estándares como ISO 42.001 sobre Sistema de Gestión para IA permiten avanzar hacia una gobernanza clara y, por ende, definir prácticas internas sobre los sistemas y usos de la IA. En este sentido, hay una serie de prácticas que pueden acelerar la adopción de inteligencia artificial de manera segura en las organizaciones. Entre ellas se encuentran la creación de un inventario de sistemas dentro de la organización; gestión del riesgo que tiene la IA durante todo su ciclo; y enfoque de privacidad y seguridad por diseño y por defecto.
Así también, es fundamental la transparencia y contar con mecanismos de trazabilidad, lo que permitirá entrenar modelos hasta eventuales cambios en la configuración de los sistemas; adoptar controles desde la restricción de accesos, así como la supervisión humana; y establecer esquemas claros de auditoría a los sistemas de IA.
El desafío es que estamos intentando establecer reglas para una tecnología cuya evolución y alcance todavía no podemos dimensionar completamente. Por eso, regular la inteligencia artificial no puede consistir únicamente en responder a los riesgos que ya conocemos, sino en construir una institucionalidad capaz de identificar, evaluar y gestionar aquellos que irán apareciendo. Chile tiene la oportunidad de cerrar los vacíos actuales combinando regulación, estándares internacionales y mecanismos de gobernanza que permitan anticiparse sin impedir la innovación.
Juan Pablo González, Director de Nuevas Tecnologías e IA en az | Fuente: Diario Financiero (21 de septiembre de 2026)
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
25-09-2026 | Bustamante Fabara, Noticias, Tech
Las normativas delimitan las responsabilidades de los proveedores y encargados de sistemas de IA, establece nuevas garantías para el tratamiento de datos biométricos y refuerza los procedimientos digitales para denunciar incidentes y notificar vulneraciones de seguridad.
El 10 de septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) publicó cuatro nuevas resoluciones clave expedidas el 9 de septiembre del presente año:
- SPDP-SPD-2026-0037-R, que reforma la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
- SPDP-SPD-2026-0038-R, que reforma el Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes.
- SPDP-SPD-2026-0039-R, que expide la Norma General para el Tratamiento de Datos Biométricos.
- SPDP-SPD-2026-0040-R, que expide la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales.
Resolución No. SPDP-SPD-2026-0037-R (Reforma Inteligencia Artificial “IA”)
La reforma precisa el alcance de las obligaciones aplicables a los encargados que tengan acceso, visibilidad o control efectivo sobre datos personales tratados mediante sistemas de IA. Asimismo, incorpora estas categorías como definiciones operativas para determinar cuándo un encargado queda sujeto a la norma.
Los proveedores, desarrolladores o mantenedores de sistemas de IA deberán proporcionar al responsable información suficiente sobre su funcionamiento, limitaciones, riesgos previsibles y medidas de control, sin revelar secretos comerciales o propiedad intelectual. Las obligaciones serán exigibles únicamente respecto de las operaciones sobre las que el encargado tenga acceso, visibilidad o control efectivo, debiendo conservar evidencia cuando alegue que dichas condiciones no existen.
Resolución No. SPDP-SPD-2026-0038-R (Reforma Denuncias y Solicitudes)
La reforma actualiza las definiciones de denuncia, solicitud y constancia de recepción, y establece la presentación digital obligatoria de estos trámites mediante la página web de la SPDP o dentro del sistema desarrollado por el regulador denominado como SISPDP. Los formularios deberán contar con firma electrónica válida o, excepcionalmente, firma manuscrita digitalizada.
En actuaciones previas, el sujeto investigado contará con 10 días para pronunciarse sobre los hallazgos preliminares, mientras que la decisión administrativa deberá notificarse en un plazo máximo de 6 meses.
Resolución No. SPDP-SPD-2026-0039-R (Datos Biométricos)
La norma establece condiciones, garantías y límites para el tratamiento de datos biométricos. Todo tratamiento deberá estar precedido de un análisis de riesgos y una evaluación de impacto (EIPD), la cual deberá actualizarse cada 12 meses.
Cuando el tratamiento se base en consentimiento, este deberá ser previo, libre, específico, informado, inequívoco y explícito, y deberá ofrecerse al titular una alternativa que no requiera el uso de biometría.
Se prohíbe la identificación masiva e indiscriminada en espacios públicos, salvo mandato legal, así como la reutilización de datos biométricos para finalidades distintas de aquellas que justificaron su obtención. Para menores de edad, se establecen restricciones reforzadas y requisitos específicos de consentimiento. Los responsables que ya utilicen sistemas biométricos dispondrán de 12 meses para adecuarse a la norma.
Resolución No. SPDP-SPD-2026-0040-R (Vulneraciones de Seguridad)
La norma regula la notificación y gestión de vulneraciones de seguridad por parte de responsables y encargados. Las vulneraciones pueden comprometer la confidencialidad, integridad y disponibilidad, considerando además criterios de temporalidad, permanencia e irreversibilidad.
Las notificaciones deberán efectuarse mediante el SISPDP, y su omisión será considerada una infracción grave conforme a la LOPDP. Asimismo, se incorpora el AIxSPDP, sistema experto auxiliar basado en inteligencia artificial y sujeto a intervención humana, destinado a facilitar la trazabilidad, generación de métricas y análisis de riesgos de las notificaciones.
23-09-2026 | CPB, Noticias, Tech
La norma clasifica los sistemas de IA según su nivel de riesgo e impone deberes adicionales para los de alto riesgo, como supervisión humana reforzada, registro de la lógica del algoritmo y explicación de las decisiones automatizadas que impacten en derechos fundamentales.
El 10 de septiembre de 2026 venció el primer plazo de implementación de determinadas obligaciones previstas en el Reglamento de la Ley N.° 31814, aprobado por el Decreto Supremo N.° 115-2025-PCM.
Este primer plazo comprende a los desarrolladores e implementadores privados que utilicen sistemas de inteligencia artificial en los sectores de salud, educación, justicia, seguridad, economía y finanzas.
¿A quiénes aplica?
El Reglamento distingue principalmente entre:
- Desarrolladores: personas o entidades que diseñan, programan o entrenan sistemas de IA.
- Implementadores: personas o entidades que integran o despliegan sistemas de IA dentro de sus procesos productivos u operativos.
- Usuarios: personas que interactúan con los sistemas una vez implementados.
Una empresa puede ser considerada implementadora cuando incorpora herramientas de IA —incluso desarrolladas por terceros— en procesos como selección de personal, evaluación crediticia, atención de clientes, análisis documental, prestación de servicios, elaboración de recomendaciones o toma de decisiones.
¿Qué obligaciones deben implementarse?
Los desarrolladores e implementadores privados deberán:
- Establecer políticas, protocolos y procedimientos que regulen el uso de la IA y permitan preservar la seguridad y privacidad, promover la transparencia y explicabilidad, y garantizar la responsabilidad y rendición de cuentas.
- Capacitar y concientizar a sus colaboradores sobre los riesgos asociados a la IA y sobre su uso seguro, responsable y ético.
- Cumplir la normativa de protección de datos personales, incluyendo la adopción de medidas de seguridad, la determinación de las responsabilidades de los proveedores y la evaluación de los tratamientos de datos efectuados mediante IA.
- Respetar los derechos fundamentales y los derechos de autor, evitando resultados discriminatorios, sesgados o contrarios a los derechos de las personas.
Clasificación de los sistemas de IA
El Reglamento clasifica los usos de IA en tres categorías:
- Uso indebido: comprende usos prohibidos por generar impactos irreversibles, significativos y negativos sobre los derechos fundamentales o el bienestar de las personas.
- Riesgo alto: comprende sistemas que pueden afectar significativamente la vida, dignidad, libertad, seguridad u otros derechos fundamentales, pero que pueden utilizarse bajo condiciones y controles reforzados.
- Riesgo aceptable: comprende los sistemas que no califican como de uso indebido ni de alto riesgo.
Son ejemplos de alto riesgo los sistemas utilizados para seleccionar, evaluar o cesar trabajadores; evaluar crediticiamente a personas, determinar el acceso a servicios de salud, gestionar activos críticos, o adoptar decisiones con elevada probabilidad de generar discriminación, estigmatización o sesgos.
La clasificación no depende únicamente de la herramienta utilizada o del sector de la empresa, sino principalmente de la finalidad, el contexto y las consecuencias del uso concreto.
Obligaciones adicionales para sistemas de alto riesgo
Cuando una empresa desarrolle o implemente sistemas de alto riesgo, deberá adoptar medidas adicionales, entre ellas:
- Mantener un registro actualizado sobre el funcionamiento del sistema, sus fuentes de datos, la lógica del algoritmo y sus impactos sociales y éticos.
- Implementar mecanismos reforzados de supervisión humana en decisiones con impacto significativo.
- Informar previamente a los usuarios sobre la finalidad, funcionalidades principales y tipos de decisiones que puede adoptar el sistema.
- Explicar los criterios y factores relevantes de las decisiones automatizadas que impacten en derechos humanos.
El Reglamento también contempla la posibilidad de realizar voluntariamente una evaluación de impacto para identificar y mitigar los riesgos de los sistemas de alto riesgo. Si se realiza, sus hallazgos y medidas correctivas deben documentarse y conservarse por un periodo mínimo de tres años.
¿Qué deben hacer las empresas?
Recomendamos iniciar con las siguientes acciones:
- Identificar las herramientas y casos de uso de IA existentes.
- Determinar si la organización actúa como desarrolladora, implementadora o usuaria.
- Clasificar cada caso de uso según su nivel de riesgo.
- Aprobar una política corporativa de uso de IA.
- Establecer procedimientos de autorización, supervisión y gestión de incidentes.
- Revisar los contratos y condiciones de privacidad y seguridad de los proveedores.
- Capacitar a los colaboradores.
- Documentar las medidas implementadas.
- Evaluar preventivamente los nuevos proyectos o usos de IA.
Para más información, escríbenos a contacto@compliancelatam.legal o visita compliancelatam.legal/tech.
09-09-2026 | az, Opinión, Tech
Por Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Hoy en día el uso de Inteligencia Artificial (IA) en actividades cotidianas de una organización se ha masificado en operaciones que antes se realizaban de forma manual. No obstante, la incorporación de este tipo de tecnología en las instituciones no necesariamente viene de la mano con una visión sobre la gobernanza de los sistemas de IA.
Por lo tanto, uno de los grandes desafíos, sin duda, es que el avance vaya desde un sistema de IA que solo respondía ante requerimientos de un usuario y quizás generaba contenido, a un sistema que tenga la capacidad de realizar acciones con efectos en el mundo físico.
Así, un Agente IA es un sistema de IA que puede lograr un objetivo específico bajo poca supervisión. Por ende, van desde “modelos de aprendizaje que imitan la toma de decisiones de los humanos para resolver problemas en tiempo real[1]”. Así que, basándose en grandes modelos de lenguaje (LLM) junto a otras herramientas, permite realizar una tarea específica, es decir, el agente realiza tareas de varios pasos, por ejemplo: enviar correos electrónicos, realizar reservas o pagos. Va más allá de únicamente generar contenido, sino que permite realizar acciones que pida el usuario, usando información que este lo autorice.
A nivel internacional se ha discutido sobre la naturaleza jurídica de un Agente de IA[2], y algunos se han adelantado al indicar que no son personas jurídicas, por ende, a pesar de que se deleguen algunas tareas, la responsabilidad sigue siendo totalmente de quien realiza la delegación; lo que, sin duda, implica que el usuario deberá asumir las acciones que realice este agente, así como analizar los eventuales riesgos en estas prácticas.
Alguno de los riesgos que uno puede identificar son, por ejemplo, a) el acceso a información por medio de un exceso de privilegios; b) vulnerabilidades de sistemas de IA; c) capacidad de agregar y recombinar información de diversas fuentes (function creep); y d) el riesgo de multiagente. En este último, se debe considerar que el entrenamiento errado de un agente puede afectar a otro agente o, derechamente, las subtareas asignadas implican articular agentes que tengan sesgos en su comportamiento.
Por ende, algunas autoridades internacionales han recomendado algunos lineamientos para tener un uso responsable de Agente de IA: a) minimizar el acceso a la data; b) transparencia, es decir, informar que hay un agente en uso en ciertos procesos; c) exactitud a través de la revisión constante de los resultados que se obtienen a través del apoyo de esta tecnología; d) establecer reglas de limitación en cuanto a la conservación de los datos; e) establecer límite a la finalidad del usuario que autorizó usos del agente; f) medidas de seguridad desde un enfoque del sistema informático pero además, de la data incorporada; g) enfoque de privacidad por diseño y defecto; y h) constante de evaluación de riesgos (risk management), que incluye la existencia de una gobernanza clara que no se limita dentro de la organización, sino también en la relación con proveedores, para focalizarlo con capacitación[3].
Otro punto clave es la trazabilidad, ya sea a través de la implementación de logs, es decir, que tengan la capacidad de dejar registro de las operaciones realizadas por el Agente, por ejemplo, mediante timestamps; esto permite no solo tener claridad de los usos de la IA, sino también lograr auditabilidad de los sistemas, así como bases de datos que acceden para realizar la acciones.
¿Por qué es un asunto relevante para considerar? Si uno visualiza el fenómeno europeo regulatorio sobre la IA, se ha caracterizado por los usos y riesgos de los sistemas de AI, pero no se ha centrado en la capacidad de sistemas de IA con niveles de autonomía para actuar sobre data y sistemas, especialmente cuando un usuario lo autoriza para ello. Este escenario no solo tiene efectos desde la profesión jurídica, sino que implica un cambio de paradigma en las operaciones y procesos dentro de la organización.
Por lo anterior, es relevante avanzar desde un paradigma centrado en un enfoque técnico a uno que permita entender que tareas como el inventario de los sistemas de IA de la organización, pero, además, claridad de las otras aplicaciones con las cuales se conectan, qué bases de datos acceden y, por ende, la adopción temprana de medidas como la supervisión humana, serán claves para la gobernanza del uso de esta tecnología.
Pensar que el uso de la IA se frenará es contrario a ver cómo están avanzando las cosas actualmente; el enfoque correcto será cómo su adecuada gestión permita maximizar los usos de este tipo de tecnologías en ciertos procesos, con un enfoque claro y determinado de la gestión de los riesgos.
[1] Enlace: https://www.ibm.com/mx-es/think/topics/agentic-ai
[2] Enlace: https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/agents-legal-responsibility.pdf
[3] Enlace: https://cltc.berkeley.edu/publication/agentic-ai-risk-profile/
Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
