06-11-2026 | az, Noticias, Tech
La Comisión de Constitución aprobó en particular el proyecto que propone trasladar la vigencia de la Ley N°21.719 al 15 de octubre del próximo año.
El pasado 1 de septiembre de 2026, el Ejecutivo ingresó al Senado el proyecto de ley (Boletín N° 18.623-07) que busca postergar la entrada en vigor de la Ley N°21.719, sobre protección y tratamiento de datos personales, actualmente fijada para el 1 de diciembre de 2026. La propuesta original del Ejecutivo trasladaba esa fecha al 1 de diciembre de 2027.
Tras su aprobación en general el 19 de octubre, la Comisión de Constitución, Legislación, Justicia y Reglamento del Senado aprobó el proyecto en particular en su sesión de este lunes 26 de octubre, luego de revisar las 15 indicaciones presentadas por senadores y por el Ejecutivo. El siguiente paso es la Comisión de Hacienda en el Primer Trámite Constitucional.
Nueva fecha de vigencia
Luego de la sesión del lunes 19, la nueva fecha de entrada en vigor que sería el 15 de octubre de 2027. Así, la prórroga sería de aproximadamente diez meses y medio, y no del año completo que contemplaba el proyecto original.
Consejo Directivo y nombramientos
En cuanto a la Agencia de Protección de Datos Personales (APDP), la Comisión adoptó los siguientes acuerdos:
- El Consejo Directivo tendría cinco integrantes, en lugar de los tres que hoy contempla la ley, y mantendría su renovación parcial cada dos años.
- Se rechazó reducir a cuatro séptimos la mayoría exigida en el Senado para aprobar a los consejeros; se mantiene la regla legal de dos tercios de los senadores en ejercicio.
- Para la primera designación, se eliminó la norma que daba por aceptada la propuesta presidencial si el Senado no se pronunciaba a tiempo, y se previó que el Ejecutivo presente una nueva nómina si la primera es rechazada.
¿Qué significa esto para las empresas?
Los acuerdos de la Comisión no modifican las obligaciones sustantivas de la ley: bases de licitud, deberes de información, derechos de los titulares, medidas de seguridad, notificación de vulneraciones y evaluaciones de impacto.
Postergar la ley no significa postergar la preparación. Las organizaciones que aprovechen este tiempo para levantar sus registros de actividades de tratamiento de datos, revisar sus contratos y políticas, entre otras acciones, llegarán en mejor posición a la nueva regulación.
Escríbenos a contacto@compliancelatam.legal o visita compliancelatam.legal/tech si necesitas más información.
28-10-2026 | az, FERRERE, Opinión, Tech
Por Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Panorama general de la ciberseguridad en la región
En pocos años, la ciberseguridad dejó de ser un asunto exclusivamente técnico para convertirse en una cuestión de gobierno corporativo, cumplimiento normativo y política pública. La acelerada transformación digital de América Latina, impulsada por la migración a la nube, la digitalización de los servicios públicos y financieros y la expansión del trabajo remoto, amplió la superficie de ataque a un ritmo mayor que el desarrollo de los controles de seguridad, los modelos de gobernanza y las capacidades institucionales. En este contexto, distintos informes especializados coinciden en señalar un crecimiento sostenido de los ciberataques en la región[1].
El ransomware continúa siendo una de las amenazas más disruptivas. Según Intel 471, las filtraciones publicadas por grupos de ransomware en la región aumentaron un 78% entre 2024 y 2025[2]. A ello se suman campañas de phishing cada vez más sofisticadas, potenciadas por el uso de inteligencia artificial.
Este escenario ha llevado a los países de la región a fortalecer sus marcos regulatorios en materia de ciberseguridad, estableciendo nuevas obligaciones de prevención, gestión y notificación de incidentes. Chile y Uruguay son dos ejemplos de esta tendencia, aunque cada uno ha seguido un camino regulatorio diferente.
El marco de la ciberseguridad en Uruguay
Uruguay cuenta con un alto nivel de desarrollo digital, resultado de una política sostenida de modernización del Estado y de incorporación de tecnologías en la prestación de servicios públicos. Este avance se refleja en el E-Government Survey 2024 de Naciones Unidas, que posicionó al país como líder en gobierno digital en América Latina y el Caribe y en segundo lugar en las Américas, únicamente por detrás de Estados Unidos[3].
Sin embargo, este proceso de digitalización también plantea importantes desafíos en materia de ciberseguridad. La creciente dependencia de los sistemas informáticos, la interconexión entre organismos públicos y privados y el volumen de información que se gestiona a través de plataformas digitales aumentan la exposición a posibles incidentes de seguridad. Estos incidentes pueden comprometer no solo la información de las organizaciones, sino también la continuidad de servicios esenciales, los derechos de las personas y el funcionamiento de actividades fundamentales para el país.
Frente a este escenario, Uruguay ha desarrollado su marco de ciberseguridad de manera gradual, a través de normas de distinto rango y sin contar, hasta el momento, con una ley marco única sobre la materia.
En el centro de este sistema se encuentra la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic), que actúa a través de su Dirección de Seguridad de la Información y del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy). Desde 2020, la Ley 19.924 atribuye a Agesic facultades para regular, fiscalizar y auditar la seguridad de la información tanto en entidades públicas como en entidades privadas vinculadas a servicios o sectores críticos. En materia de datos personales, la Ley 19.670 obliga a informar de inmediato las vulneraciones de seguridad a la Unidad Reguladora y de Control de Datos Personales (URCDP), que coordina la respuesta con el CERTuy.
Un avance particularmente relevante se produjo con los artículos 78 a 84 de la Ley 20.212 de 2023. La norma impuso a las entidades públicas y a determinadas entidades privadas vinculadas a sectores críticos la obligación de adoptar medidas de seguridad, designar un responsable de seguridad de la información y comunicar los incidentes de ciberseguridad a AGESIC dentro de las 24 horas desde su detección. Asimismo, creó el Registro Nacional de Incidentes de Ciberseguridad.
El régimen fue posteriormente reglamentado por el Decreto 66/025, que estableció la aplicación obligatoria del Marco de Ciberseguridad de Uruguay, alineado con el NIST Cybersecurity Framework. Mas recientemente, en julio de 2026, el Decreto 168/026 incorporó nuevas obligaciones para la Administración Central. Ante un incidente de ciberseguridad, la entidad afectada debe iniciar de inmediato los procedimientos administrativos correspondientes y, cuando el incidente derive de una falta de previsión o de la utilización de sistemas obsoletos, adoptar los ajustes necesarios e informar a Agesic.
También se han producido avances en materia penal. La Ley 20.327 de agosto de 2024, incorporó al ordenamiento uruguayo delitos como el daño informático, el acceso ilícito, la interceptación ilícita y la suplantación de identidad, adecuando el marco penal a las exigencias necesarias para avanzar en la adhesión al Convenio de Budapest.
Estos desarrollos se enmarcan en la Estrategia Nacional de Ciberseguridad del Uruguay 2024 - 2030 | Agesic , organizada en ocho pilares y orientada a fortalecer las capacidades nacionales de prevención, detección y respuesta frente a amenazas digitales. Entre sus objetivos se encuentra la identificación de las infraestructuras de información crítica del país y el fortalecimiento de la cooperación entre los sectores público y privado.
Aspectos generales de Chile
Chile es el primer país de Latinoamérica en contar con una normativa específica de ciberseguridad, la Ley Nº 21.663 Marco de Ciberseguridad, que entre sus materias se encuentra la creación de una Agencia Nacional de Ciberseguridad (ANCI), de un Equipo de Respuesta a Incidentes de Seguridad Informática Nacional (CSIRT) y de Defensa Nacional, Consejo Multisectorial y el reconocimiento vía legal del Comité Interministerial de Ciberseguridad, instancia que reúne a varias subsecretarías que tienen incidencia en la materia.
Esta normativa, que toma de referencia varios elementos de la Directiva Europea (NIS2), posee entre sus elementos más distintivos definir aquellos sujetos regulados, a saber, los prestadores de servicios esenciales, estableciéndose una serie de sectores económicos que están obligados a adoptar medidas para prevenir y contener los incidentes de ciberseguridad; y además, la declaración de Operadores de Importancia Vital (OIV), que serían instituciones específicas del páis, que por su rol, la “afectación, interceptación, interrupción o destrucción de sus servicios tienen un impacto significativo en la seguridad y el orden público, en la provisión continua y regular de servicios esenciales, en el efectivo cumplimiento de las funciones del Estado, o en general, de los servicios que éste debe proveer o garantizar”. Esta declaración se realiza a través de un proceso reglado de carácter administrativo, que incluye proceso de reponer ante la resolución que declara a una organización, así como la ilegalidad de la resolución ante la Corte de Apelaciones competente.
Además, uno de los deberes transversales de la normativa es el deber de reporte de los incidentes de impacto significativo, y que se aplica tanto a los prestadores de servicios esenciales como a los OIV. Los plazos que establece este deber son máximo 3 horas desde el conocimiento de la ocurrencia del incidente (alerta temprana); dentro de las 72 horas (siendo 24 horas para los OIV) una evaluación inicial del incidente; y dentro de los 15 días corridos desde la alerta temprana, un informe final. Un incidente tiene impacto significativo cuando “es capaz de interrumpir la continuidad de un servicio esencial o afectar la integridad física o la salud de las personas, así como en el caso de afectar sistemas informáticos que contengan datos personales”.
Finalmente, la ANCI tiene facultades de fiscalización y sanción, y la propia Ley establece un régimen diferencial de infracciones leves, graves y gravísimas tanto para los prestadores de servicios esenciales como para los OIV. En el caso de los primeros, aquellas leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM); y en el caso de los OIV, leves (hasta 10.000 UTM), graves (hasta 20.000 UTM) y gravísimas (hasta 40.000 UTM).
Para concluir, el avance de la regulación en Chile responde una política de Estado de promover la ciberseguridad como un asunto transversal, y que se ve reflejado en la actualización de la Política de Ciberseguridad, contando actualmente con una segunda versión (2023-2028).
Desafíos para la región
Uno de los principales desafíos que ha tenido que sortear Chile es la falta de alfabetización digital en regiones y, especialmente, la cultura en los entornos digitales, puesto que se cuenta con un alto nivel de acceso a Internet. Así, si bien la normativa de ciberseguridad está vigente, esto implica no sólo un enfoque preventivo y fiscalizador a través de la ANCI, sino que requiere ajustes importantes en los currículum de enseñanza y fomentar programas de concientización en la ciudadanía.
En el caso de Uruguay, si bien el país ha avanzado significativamente en la construcción de su marco normativo e institucional, el principal desafío sigue siendo acompañar su desarrollo digital con capacidades efectivas de prevención y respuesta frente a incidentes. Para ello, resulta fundamental que las organizaciones incorporen la ciberseguridad como parte de su gestión cotidiana y no únicamente como una obligación de cumplimiento normativo.
A nivel de la región, el trabajo de iniciativas como CSIRT Americas de OEA ha permitido que varios países trabajen de manera colaborativa sobre las amenazas en el ciberespacio y, por ende, los incidentes para compartir información desde un enfoque de inteligencia de amenazas; pero a nivel regulatorio existe una fragmentación que impide que existan marcos similares para promover la colaboración no solo desde el enfoque técnico. En ese sentido, iniciativas desde LAC4 (Centro de Competencia Cibernética de América Latina y el Caribe) como CyberPolicy Bootcamp, sin duda, permite aunar diálogos a nivel normativo en las iniciativas legislativas de ciberseguridad en la región.
[1] Check Point Research, Latin America Sees Sharpest Rise in Cyber Attacks in December 2025 as Ransomware Activity Accelerates, enero de 2026. https://blog.checkpoint.com/research/latin-america-sees-sharpest-rise-in-cyber-attacks-in-december-2025-as-ransomware-activity-accelerates/
[2] Intel 471, Informe sobre el panorama de amenazas en América Latina, citado por Kiteworks, 2026. https://www.kiteworks.com/es/gestion-de-riesgos-de-ciberseguridad/panorama-de-amenazas-ciberneticas-en-america-latina-2026-informe-intel-471/
[3] Naciones Unidas, E-Government Survey 2024, citado por Montevideo Portal. https://www.montevideo.com.uy/Noticias/Uruguay-se-posiciona-como-lider-regional-en-desarrollo-de-gobierno-digital--segun-la-ONU-uc900538
Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
09-10-2026 | CR& Partners, Noticias, Tech
El nuevo canal permite denunciar ante la Agencia, a través de plataformas digitales, el posible incumplimiento de las obligaciones establecidas en los Decretos n.º 12.975/26 y n.º 12.976/26.
La Agencia Nacional de Protección de Datos (ANPD) de Brasil ha habilitado una página específica para recibir quejas en línea relacionadas con el incumplimiento de las obligaciones establecidas en los Decretos N° 12.975/2026 y N° 12.976/2026, que actualizan la normativa del Marco de Derechos Civiles en Internet ( MCI ). Este nuevo canal tiene como objetivo facilitar el envío de información que pueda orientar las acciones de seguimiento y supervisión de la Agencia con respecto a posibles incumplimientos por parte de los proveedores de aplicaciones de internet, incluidas las plataformas digitales y las redes sociales.
A través de esta página, cualquier persona física o jurídica puede denunciar ante la ANPD la ausencia de canales adecuados en las plataformas digitales para recibir notificaciones sobre contenido delictivo o ilícito, fallos en los mecanismos diseñados para prevenir la publicidad o la promoción de dicho contenido, la ausencia de un representante legal en Brasil, el incumplimiento de los plazos para la eliminación de contenido, fallos en las medidas destinadas a proteger contra la difusión o generación de contenido íntimo, entre otros.
Los dos decretos ampliaron las facultades de la ANPD para proteger a los usuarios en el entorno digital. El Decreto n.º 12.975/2026, que actualizó la normativa de la MCI, detalló las obligaciones de las plataformas digitales en materia de transparencia, prevención y mitigación de riesgos, lucha contra el fraude y las estafas en línea, así como la eliminación de contenido delictivo o ilícito. El Decreto n.º 12.976 estableció directrices específicas para proteger a las mujeres contra las formas de violencia en el entorno digital, incluidas las relacionadas con la producción, modificación y difusión de contenido íntimo mediante tecnologías digitales e inteligencia artificial.
Medidas administrativas y reglamentarias
La función de la Agencia consiste en investigar las infracciones derivadas del incumplimiento de las obligaciones estipuladas en los Decretos, como el deber de diligencia de los proveedores de aplicaciones de internet que intermedian contenido generado por terceros. La ANPD es responsable de verificar si las plataformas digitales están adoptando mecanismos, procesos, estructuras de gobernanza y medidas técnicas y organizativas adecuadas para cumplir con las obligaciones establecidas en la legislación.
Las situaciones que constituyan delitos deben ser remitidas a las autoridades policiales competentes, sin perjuicio de la supervisión administrativa de las actividades de las plataformas por parte de la ANPD. La Agencia no investiga delitos ni actúa para exigir responsabilidades penales a sus autores.
En casos de violencia contra las mujeres que impliquen la divulgación o difusión de contenido íntimo, también se puede utilizar la Línea de Ayuda para Mujeres (180). Cuando la legislación exige la eliminación de cierto contenido, la solicitud debe enviarse inicialmente a la plataforma antes de ser registrada ante la ANPD.
¿Cómo se gestionarán las quejas?
La información recibida se tendrá en cuenta para la planificación de las acciones de la Superintendencia de Inspección (SFI-ANPD), la mejora de la normativa y las iniciativas educativas de la ANPD. Por regla general, las quejas se analizarán de forma agregada y sistemática, lo que permitirá a la Agencia identificar patrones de posible incumplimiento y evaluar la necesidad de adoptar medidas de inspección o iniciar una investigación. Los casos graves que puedan afectar a un número significativo de personas podrán, excepcionalmente, recibir un tratamiento individualizado.
La ANPD no tiene potestad para moderar el contenido ni ordenar la eliminación de publicaciones específicas de internet. Asimismo, la Agencia no envía respuestas personalizadas a las quejas.
Para que la queja se tramite correctamente, es importante identificar claramente la empresa o plataforma denunciada y describir los hechos concretos que indiquen el incumplimiento de las obligaciones establecidas en los Decretos, proporcionando, siempre que sea posible, su nombre o razón social y dirección de correo electrónico.
¿Cómo presentar una queja?
En la página, tras seleccionar "Haga clic aquí para denunciar", el usuario debe hacer clic en "Iniciar", acceder al sistema con su cuenta GOV.BR y seleccionar la opción "Denunciar Marco Civil". No es necesario adjuntar documentos de identificación, pero se pueden incluir documentos y otra información que ayude a fundamentar las denuncias.
También es posible presentar una denuncia anónima, siempre que se aporten pruebas suficientes para demostrar o verificar los hechos denunciados. El estado de la solicitud puede consultarse en la sección "Mis solicitudes".
Con esta nueva página, la ANPD amplía las herramientas disponibles para identificar posibles infracciones de las obligaciones establecidas en el MCI y refuerza su función de supervisión destinada a proteger los derechos en el entorno digital.
Monitorización de plataformas digitales
Desde agosto, la ANPD ha estado monitoreando las principales plataformas digitales, tiendas de aplicaciones y herramientas de inteligencia artificial generativa para verificar si están adoptando medidas para cumplir con las obligaciones establecidas por los nuevos decretos que actualizan la normativa de la MCI, además de las obligaciones convergentes previstas en el Estatuto Digital de Niños y Adolescentes (ECA Digital). Entre otros criterios, los 22 agentes monitoreados fueron seleccionados considerando su alcance en el mercado brasileño, la relevancia de los servicios ofrecidos, las funcionalidades disponibles y los riesgos asociados con la circulación de contenido producido por terceros, especialmente en temas relacionados con la protección de niños, adolescentes y mujeres en el entorno digital.
Fuente: Gobierno de Brasil (5 de octubre de 2026).
01-10-2026 | az, Opinión, Tech
Por Daniel Soto, Chief Information Security Officer en CGE, Chile
Hace apenas una década, hablar de un apagón se asociaba a fallas mecánicas, sobrecargas o eventos climáticos. Hoy, el escenario es distinto: un ciberataque puede apagar una ciudad con la misma eficacia que una tormenta, sin necesidad de tocar un solo cable. Los incidentes contra infraestructura crítica energética alrededor del mundo, desde ataques a operadores de transmisión en Europa del Este hasta compromisos de cadena de suministro que han afectado a fabricantes de equipos SCADA, ya no son hipótesis de laboratorio. Son la nueva normalidad, y la industria eléctrica chilena no está exenta de ella.
La transformación digital del sector energético ha traído beneficios innegables: redes inteligentes, integración masiva de energías renovables distribuidas, automatización avanzada de subestaciones y uso creciente de inteligencia artificial para optimizar el despacho y la mantención predictiva. Pero cada sensor IoT, cada RTU conectada, cada interfaz entre los mundos IT y OT que antes vivían aislados, amplía la superficie de ataque. La convergencia tecnológica que nos hace más eficientes es, simultáneamente, la puerta de entrada para adversarios cada vez más sofisticados: grupos de ransomware que ya no solo cifran datos, sino que buscan interrumpir procesos físicos; actores patrocinados por estados con interés geopolítico en la infraestructura energética, y compromisos de terceros proveedores que convierten a toda la cadena de suministro en un eslabón vulnerable.
Chile ha respondido a este desafío con una velocidad regulatoria inédita. La Ley Marco de Ciberseguridad (21.663) y la creación de la Agencia Nacional de Ciberseguridad (ANCI) marcan un antes y un después: las empresas eléctricas ya están siendo calificadas como Operadores de Importancia Vital, lo que trae consigo obligaciones concretas de reporte de incidentes, gestión de riesgos y estándares mínimos de seguridad exigibles por ley y no solo por buenas prácticas. A esto se suma la Ley de Protección de Datos Personales (21.719) que si bien esta en veremos, impone una capa adicional de responsabilidad sobre la información que estas operaciones digitales generan y procesan.
Este nuevo marco normativo no llega en el vacío. Muchas empresas del sector ya venían adoptando voluntariamente referentes internacionales como IEC 62443 para la seguridad de sistemas de automatización industrial, o NERC CIP como estándar de facto para la protección de infraestructura eléctrica crítica, anticipándose a una exigencia que hoy es ley. La pregunta ya no es si debemos cumplir, sino si tenemos la madurez organizacional, el talento especializado y la cultura de seguridad necesarios para hacerlo de forma genuina y no meramente documental.
Aquí está el verdadero desafío. El cumplimiento normativo puede convertirse en una casilla marcada en una auditoría, o puede ser la palanca que finalmente sitúe a la ciberseguridad OT donde siempre debió estar: en el centro de la estrategia de resiliencia energética del país. La diferencia la marcan las personas: equipos de seguridad que entiendan tanto de protocolos industriales como de amenazas emergentes, gobiernos corporativos que prioricen la inversión en detección temprana y no solo en respuesta a incidentes, y una colaboración público-privada real que permita compartir inteligencia de amenazas antes de que el próximo ataque nos tome por sorpresa.
La transición energética y la digitalización de la red eléctrica chilena no tienen vuelta atrás, ni deberían tenerla. Pero avanzar sin una protección y defensa en ciberseguridad robusta como condición habilitante —no como obstáculo, ni como trámite regulatorio— es construir sobre cimientos frágiles. La ley ya puso el estándar. Ahora corresponde a la industria demostrar que puede ir más allá del cumplimiento y convertir la seguridad de la información en una ventaja competitiva y, sobre todo, en garantía de continuidad para millones de hogares y empresas que dependen de un suministro eléctrico confiable.
Referencia: algunos ataques conocidos al sector eléctrico a nivel mundial
- Ucrania, diciembre 2015 — BlackEnergy: primer ciberataque documentado que logró interrumpir una red eléctrica; dejó sin electricidad a cerca de 225 mil personas.
- Ucrania, diciembre 2016 — Industroyer/CrashOverride: primer malware diseñado específicamente para atacar sistemas eléctricos; automatizó la apertura de disyuntores en una subestación cercana a Kiev y dejó sin energía a una quinta parte de la ciudad.
- Estados Unidos, 2024 — según Check Point Research, los ciberataques contra empresas de utilities subieron 70%, de 689 a 1.162 incidentes respecto del año anterior.
- Sector energético global, 2025 — un informe de Trustwave registró un alza de 80% interanual en ataques de ransomware contra el sector energético, con 84% de los casos iniciados por phishing.
- Polonia, diciembre 2025 — ataque atribuido al grupo Berserk Bear contra sistemas IT y OT de la red eléctrica polaca de forma simultánea.
- Recursos energéticos distribuidos (DER), diciembre 2025 — Dragos documentó el que describe como el primer incidente mayor dirigido específicamente contra este tipo de activos.
Daniel Soto, Chief Information Security Officer en CGE, Chile
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
29-09-2026 | az, Opinión, Tech
Por Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Actualmente, Chile está debatiendo sobre uno de los temas más importantes de nuestra era: cómo usar de forma responsable los sistemas de inteligencia artificial. En ese sentido, es de gran relevancia abordar una serie de vacíos que existen hoy a nivel regulatorio.
El primero de ellos es que no hay claridad sobre los derechos y responsabilidades en la cadena de generación de los sistemas de IA, es decir, desde los desarrolladores hasta el resultado final. Además, no están claras las obligaciones para explicar, auditar y, por ende, impugnar decisiones que se produzcan en los sistemas de IA, salvo la normativa de datos personales; lo que, sin duda, implica una carencia desde el enfoque de riesgo y, por tanto, limita la adopción de una visión preventiva al respecto.
A nivel de propiedad intelectual, interrogantes como la autoría de los resultados de IA; uso de obras protegidas y eventual excepción para entrenar modelos; responsabilidades claramente definidas para infracciones y, por ende, titularidad de componentes clave en los procesos de entrenamiento del modelo, no están resueltos del todo a nivel normativo. Asimismo, desde una perspectiva de la confidencialidad, no existe una regulación homogénea sobre el uso de información en plataformas externas, reglas de retención o eliminación de información para el entrenamiento de modelos, así como obligaciones de terceras partes, lo que, sin duda, puede afectar al momento de tomar decisiones confiables basadas en los resultados de sistemas de IA.
En la búsqueda de soluciones, podemos observar buenas prácticas de otros países. Estándares como ISO 42.001 sobre Sistema de Gestión para IA permiten avanzar hacia una gobernanza clara y, por ende, definir prácticas internas sobre los sistemas y usos de la IA. En este sentido, hay una serie de prácticas que pueden acelerar la adopción de inteligencia artificial de manera segura en las organizaciones. Entre ellas se encuentran la creación de un inventario de sistemas dentro de la organización; gestión del riesgo que tiene la IA durante todo su ciclo; y enfoque de privacidad y seguridad por diseño y por defecto.
Así también, es fundamental la transparencia y contar con mecanismos de trazabilidad, lo que permitirá entrenar modelos hasta eventuales cambios en la configuración de los sistemas; adoptar controles desde la restricción de accesos, así como la supervisión humana; y establecer esquemas claros de auditoría a los sistemas de IA.
El desafío es que estamos intentando establecer reglas para una tecnología cuya evolución y alcance todavía no podemos dimensionar completamente. Por eso, regular la inteligencia artificial no puede consistir únicamente en responder a los riesgos que ya conocemos, sino en construir una institucionalidad capaz de identificar, evaluar y gestionar aquellos que irán apareciendo. Chile tiene la oportunidad de cerrar los vacíos actuales combinando regulación, estándares internacionales y mecanismos de gobernanza que permitan anticiparse sin impedir la innovación.
Juan Pablo González, Director de Nuevas Tecnologías e IA en az | Fuente: Diario Financiero (21 de septiembre de 2026)
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
25-09-2026 | Bustamante Fabara, Noticias, Tech
Las normativas delimitan las responsabilidades de los proveedores y encargados de sistemas de IA, establece nuevas garantías para el tratamiento de datos biométricos y refuerza los procedimientos digitales para denunciar incidentes y notificar vulneraciones de seguridad.
El 10 de septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) publicó cuatro nuevas resoluciones clave expedidas el 9 de septiembre del presente año:
- SPDP-SPD-2026-0037-R, que reforma la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
- SPDP-SPD-2026-0038-R, que reforma el Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes.
- SPDP-SPD-2026-0039-R, que expide la Norma General para el Tratamiento de Datos Biométricos.
- SPDP-SPD-2026-0040-R, que expide la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales.
Resolución No. SPDP-SPD-2026-0037-R (Reforma Inteligencia Artificial “IA”)
La reforma precisa el alcance de las obligaciones aplicables a los encargados que tengan acceso, visibilidad o control efectivo sobre datos personales tratados mediante sistemas de IA. Asimismo, incorpora estas categorías como definiciones operativas para determinar cuándo un encargado queda sujeto a la norma.
Los proveedores, desarrolladores o mantenedores de sistemas de IA deberán proporcionar al responsable información suficiente sobre su funcionamiento, limitaciones, riesgos previsibles y medidas de control, sin revelar secretos comerciales o propiedad intelectual. Las obligaciones serán exigibles únicamente respecto de las operaciones sobre las que el encargado tenga acceso, visibilidad o control efectivo, debiendo conservar evidencia cuando alegue que dichas condiciones no existen.
Resolución No. SPDP-SPD-2026-0038-R (Reforma Denuncias y Solicitudes)
La reforma actualiza las definiciones de denuncia, solicitud y constancia de recepción, y establece la presentación digital obligatoria de estos trámites mediante la página web de la SPDP o dentro del sistema desarrollado por el regulador denominado como SISPDP. Los formularios deberán contar con firma electrónica válida o, excepcionalmente, firma manuscrita digitalizada.
En actuaciones previas, el sujeto investigado contará con 10 días para pronunciarse sobre los hallazgos preliminares, mientras que la decisión administrativa deberá notificarse en un plazo máximo de 6 meses.
Resolución No. SPDP-SPD-2026-0039-R (Datos Biométricos)
La norma establece condiciones, garantías y límites para el tratamiento de datos biométricos. Todo tratamiento deberá estar precedido de un análisis de riesgos y una evaluación de impacto (EIPD), la cual deberá actualizarse cada 12 meses.
Cuando el tratamiento se base en consentimiento, este deberá ser previo, libre, específico, informado, inequívoco y explícito, y deberá ofrecerse al titular una alternativa que no requiera el uso de biometría.
Se prohíbe la identificación masiva e indiscriminada en espacios públicos, salvo mandato legal, así como la reutilización de datos biométricos para finalidades distintas de aquellas que justificaron su obtención. Para menores de edad, se establecen restricciones reforzadas y requisitos específicos de consentimiento. Los responsables que ya utilicen sistemas biométricos dispondrán de 12 meses para adecuarse a la norma.
Resolución No. SPDP-SPD-2026-0040-R (Vulneraciones de Seguridad)
La norma regula la notificación y gestión de vulneraciones de seguridad por parte de responsables y encargados. Las vulneraciones pueden comprometer la confidencialidad, integridad y disponibilidad, considerando además criterios de temporalidad, permanencia e irreversibilidad.
Las notificaciones deberán efectuarse mediante el SISPDP, y su omisión será considerada una infracción grave conforme a la LOPDP. Asimismo, se incorpora el AIxSPDP, sistema experto auxiliar basado en inteligencia artificial y sujeto a intervención humana, destinado a facilitar la trazabilidad, generación de métricas y análisis de riesgos de las notificaciones.
