08-09-2026 | BLP, Opinión, Posse Herrera Ruiz, Tech
Durante años, el compliance en América Latina estuvo anclado a una agenda relativamente clara: anticorrupción, libre competencia y prevención de delitos económicos. Era un terreno donde los riesgos, aunque complejos, estaban más o menos delimitados. Pero ese mapa cambió.
Hoy, la transformación tecnológica está redefiniendo la forma en que las organizaciones operan, toman decisiones y se relacionan con sus stakeholders. La inteligencia artificial (IA), la automatización, el uso masivo de datos y la creciente exposición a ciberamenazas no solo abren oportunidades, sino que también introducen una nueva generación de riesgos: legales, regulatorios, reputacionales y financieros, que demandan una gobernanza proactiva, técnica y estratégica.
En 2024, los incidentes reportados por la OCDE relacionados con IA crecieron un 183%, evidenciando que la adopción tecnológica sin marcos de gobernanza adecuados genera riesgos concretos.
Los marcos de referencia internacionales —como el NIST AI Risk Management Framework, la ISO/IEC 42001 y el EU AI Act— ya ofrecen guías para abordar estos desafíos, pero su efectividad requiere tanto de adaptación al contexto latinoamericano como a la cultura y objetivos organizacionales hechos a la medida.
En este contexto surge ComplianceLatam Tech: no como una extensión natural del compliance clásico, sino como una respuesta a una necesidad urgente. La de integrar tecnología, regulación y estrategia en una misma conversación. La de conectar a perfiles que históricamente han trabajado en paralelo —abogados, CISOs, DPOs y profesionales de tecnología— para construir esa mirada más completa que demandan los desafíos actuales.
En medio de iniciativas como la Declaración de Santiago (2023), la Ley N° 31814 de Perú (2026), la aprobación y remisión por parte del Consejo de Ministros de Ley Orgánica para el buen uso y la gobernanza de la IA en España y las más de 300 iniciativas regulatorias en toda Latinoamérica, el conocimiento pasa de la curiosidad a una necesidad estratégica.
En esta columna, Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz (Colombia), y Alejandro Rojas, socio en BLP (Costa Rica), aportan una visión regional, crítica y aplicada sobre cómo Iberoamérica está enfrentando —o debería enfrentar— la intersección entre innovación y gobernanza.
Porque si algo está claro es que la tecnología ya no es solo un habilitador de negocio. Es, también, un espacio donde se juega la confianza. Y en ese terreno, el compliance tiene un rol que redefinir.
Entre principios comunes y reglas divergentes: el mapa regulatorio de la IA en América Latina
Aunque los países de la región comparten principios vinculados con la ética, la transparencia y la supervisión humana, sus marcos jurídicos avanzan a ritmos y con enfoques diferentes. Para Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz —firma legal que representa a ComplianceLatam en Colombia—, resulta crítico analizar las brechas entre las políticas públicas y las normas vinculantes de cada país, además de reflexionar sobre los desafíos que plantean la toma automatizada de decisiones, la transparencia algorítmica y la responsabilidad frente a sistemas cada vez más autónomos.
¿Crees que América Latina avanzará hacia marcos regulatorios convergentes, similares al AI Act europeo, o veremos enfoques más dispares entre países?
La convergencia de marcos regulatorios en América Latina aún no es clara. Si bien puede identificarse cierta armonización en materia de política pública e instrumentos de derecho blando, tales como declaraciones, principios y estrategias nacionales, esta no se replica en el ámbito de las normas jurídicas vinculantes. En el marco de esta disparidad, se observa además cómo al interior de cada país existe una fractura entre estas políticas públicas y los esfuerzos legislativos, que avanzan de forma desarticulada en los organismos legislativos.
Por un lado, al analizar las posturas de política pública, sí existe una clara convergencia en principios y objetivos. Todos los países de la región adoptaron la Recomendación sobre la Ética de la Inteligencia Artificial de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO) en 2021[1], instrumento que, junto con los Principios sobre la IA de la Organización para la Cooperación y el Desarrollo Económicos (OCDE),[2] constituyen la referencia fundamental para el desarrollo de políticas públicas en Brasil, Chile, Colombia, Perú, Paraguay, México, Cuba, Jamaica y República Dominicana. Este marco común se ha reforzado mediante la aplicación de la Metodología de Evaluación del Estadio de Preparación (RAM), en catorce países de la región, lo cual permite a esos países hablar un lenguaje común de capacidades, riesgos e indicadores. Esto no solo facilita el intercambio de experiencias, sino que se traduce en oportunidades efectivas de cooperación multilateral que pueden servir como apalancamiento para los avances en la región. Iniciativas como la Declaración de Santiago[3], la Declaración de Montevideo y la Cumbre Ministerial ColombIA de Cartagena de Indias de agosto de 2024[4], donde dieciséis países ratificaron una hoja de ruta común, confirman esta alineación en materia de derechos humanos, transparencia, supervisión humana y gestión de riesgos[5].
Ahora bien, la armonía se rompe cuando pasamos de los principios a las normas vinculantes. Los pocos países con legislación vigente divergen sustancialmente[6]. El Salvador, uno de los pocos con ley vigente, eligió la vía del fomento: su Ley de Inteligencia Artificial (ANIA) clasifica solo las “Decisiones Consecuenciales”, exige registro únicamente para esa categoría y acepta autocertificación, sin certificación previa ni sanción inmediata[7]. Al contrario, Perú cuenta con la Ley N.° 31814 (vigente desde julio de 2023) y su reglamento aprobado mediante Decreto Supremo N.° 115-2025-PCM, que establece una clasificación de sistemas de IA según nivel de riesgo y designa a la Secretaría de Gobierno y Transformación Digital como autoridad técnico-normativa. Por su parte, Brasil, aunque aún sin legislación vigente, ha analizado propuestas centradas en derechos, clasificación de riesgos e inversión de la carga de la prueba[8]. En Colombia el esfuerzo legislativo apenas sumó un agravante penal (Ley 2502 de 2025)[9] en materia de deep fakes (entendidos como la modificación o generación de contenido digital que se hace pasar por una persona natural real que no autoriza previamente y además difiere de quien utiliza este contenido, por lo general como materia prima para cometer otros delitos). Por su parte, en México aún no se cuenta con estrategia nacional de IA ni se ha designado alguna autoridad de IA, apoyándose en la aplicación de normas preexistentes[10].
Así las cosas, si se trata de política pública, la convergencia regional es clara: los países comparten principios, vocabulario y compromisos multilaterales. Pero esta alineación no se traduce, al menos de forma inmediata, en un “efecto Bruselas” del EU AI Act, pues los esfuerzos regulatorios vinculantes muestran fracturas significativas con las políticas públicas formuladas. Hacia 2030, no es clara la convergencia hacia marcos vinculantes, sobre todo ante un panorama donde estas normas están tardando mucho tiempo en gestarse y, en el entretanto, surgen nuevos cuestionamientos a la regulación de la IA. Ejemplo de ello es la soberanía de la tecnología y el anhelo de lograr un balance entre la innovación y la gobernanza ética, legal y responsable de esta tecnología.
¿Qué desafíos plantea la toma automatizada de decisiones en términos de responsabilidad, transparencia y gobernanza algorítmica, especialmente cuando se requieren evaluaciones de impacto de IA, herramientas de detección de sesgos y mecanismos de supervisión humana?
Para responder esta pregunta conviene comenzar por una distinción que suele pasarse por alto: automatización no es lo mismo que autonomía. Un sistema automatizado ejecuta tareas conforme a reglas predefinidas, con o sin intervención humana en puntos clave del proceso. Un sistema autónomo, en cambio, evalúa el contexto, pondera opciones y decide con base en su propio juicio,[11] sin que el resultado esté preprogramado. Lo determinante no es la presencia de humanos, sino el origen de la lógica de la decisión. Esta distinción es central porque el propio AI Act europeo define un sistema de IA por su nivel de autonomía y por su capacidad de inferir, a partir de un input, outputs como predicciones, recomendaciones o decisiones; y es esa escala la que determina el nivel de riesgo y, con él, las medidas de mitigación exigibles. Por ejemplo, una herramienta interna que sugiere precios al área comercial no plantea los mismos retos que un algoritmo que los ajusta y publica sin supervisión, escenario particularmente sensible en materia de derecho de la competencia.[12]
En materia de responsabilidad, el principal reto cuando un sistema opera de forma autónoma es la ausencia de reglas claras de imputación: cuando la decisión causa un daño, [13] el diseñador apunta al operador, el operador al proveedor del modelo y el sistema no responde ante nadie, aquello que la literatura anglosajona denomina liability gaps.[14] La respuesta práctica que se está consolidando pasa por reinsertar a una persona en el circuito mediante mecanismos de supervisión humana[15] con capacidad real de revisar, frenar o revertir los resultados; por eso el AI Act los exige en todo sistema de alto riesgo y por eso los tribunales empiezan a imputar al proveedor del algoritmo cuando esa supervisión no existe.
En materia de transparencia, los retos se diversifican según la función que esta cumpla. La primera acepción es técnica: la capacidad de reconstruir el procesamiento que conduce a un resultado. Aquí el obstáculo central son las llamadas cajas negras de los modelos de aprendizaje profundo, en los que hoy resulta imposible identificar con certeza qué factores fueron decisivos, lo que dificulta atribuir responsabilidad y verificar el cumplimiento de obligaciones específicas. El reto adicional es que esa opacidad es justamente lo que habilita la mayor precisión del modelo, por lo que se impone un balance en vez de una elección excluyente entre transparencia y desempeño.[16]
La segunda acepción es la transparencia como deber de informar a terceros. Un claro ejemplo de ello es la obligación, prevista en el AI Act europeo y replicada en varios proyectos regionales, de advertir al usuario que está interactuando con un sistema de IA y no con una persona, de modo que pueda tomar precauciones informadas y no atribuya al sistema una confianza propia del trato humano. El reto aquí está en su cumplimiento efectivo y en su alcance extraterritorial, pues la norma europea puede aplicarse a empresas latinoamericanas que ofrezcan productos o servicios a consumidores en la UE, así como a filiales locales de grupos europeos, lo que obliga a revisar chatbots, asistentes virtuales y herramientas de scoring antes de su despliegue.[17]
La tercera acepción es la transparencia como obligación de registro previo: quien desarrolla el sistema debe inscribirlo y acreditar características mínimas antes de desplegarlo, de modo que el cumplimiento se vuelve condición de acceso al mercado.[18] El reto, presente en el régimen europeo de alto riesgo, es doble para los países de la región: por un lado, las barreras burocráticas pueden desincentivar el desarrollo en jurisdicciones con menor capacidad institucional; por otro, concentrar información técnica sensible bajo custodia estatal genera un riesgo cibernético relevante cuando esas entidades no cuentan con los controles de seguridad adecuados para protegerla.
La cuarta acepción es la transparencia como derecho ciudadano a conocer la composición de las bases de datos y los parámetros de los modelos, sea mediante acceso público abierto o por petición particular.[19] Esta es la línea que exploran jurisdicciones como Ecuador, y su principal tensión es la protección del secreto industrial y de la propiedad intelectual del sector privado, que con frecuencia es quien provee las soluciones de IA utilizadas por las entidades públicas y que, por esa vía, quedaría sujeto a la obligación de divulgar información sensible para su negocio. Esta cuestión ha sido tratada, al menos de forma superficial, por parte de la Corte Constitucional colombiana mediante su sentencia T-067 de 2025.
En materia de gobernanza algorítmica, la herramienta más extendida, la cual ya es exigida en Colombia mediante la Directiva 007 de 2025 (emitida por la Defensoría del Pueblo y la Procuraduría General en Colombia) y recogida en el reciente Reglamento de la Ley 31814 de Perú, aprobado por Decreto Supremo 115-2025-PCM, que ordena análisis de impacto y auditorías de seguridad para sistemas de alto riesgo antes de su implementación y durante toda su operación, es la evaluación de impacto y la auditoría para la detección de sesgos. Su principal reto es de cumplimiento efectivo, dada la oferta aún limitada de proveedores con capacidad técnica en la región y con conocimiento del contexto latinoamericano, que difiere del europeo, asiático o norteamericano. A ello se suma que las auditorías concebidas como mecanismo ex post solo permiten identificar el sesgo una vez desplegado el sistema; los ajustes reactivos, cuando no se acompañan de medidas preventivas adoptadas en las etapas de diseño y desarrollo, suelen ser significativamente más costosos y menos eficaces.[20]
En síntesis, la toma automatizada de decisiones plantea tres frentes interdependientes y una recomendación práctica para las empresas. En responsabilidad, los vacíos de imputación solo se cierran reinsertando un responsable identificable en el circuito mediante supervisión humana significativa. En transparencia, las obligaciones de divulgación, registro y acceso ciudadano habilitan el escrutinio externo, pero conviven en tensión con el secreto industrial y con las limitaciones institucionales de la región. En gobernanza algorítmica, las evaluaciones de impacto y las herramientas de detección de sesgos son indispensables, pero solo son eficaces si se incorporan ex ante, en el diseño, y no como remedio ex post. Para las compañías que operan, desarrollan, despliegan o utilizan la IA la conclusión es clara: invertir en gobernanza preventiva con supervisión humana documentada, evaluaciones de impacto previas al despliegue y trazabilidad técnica; resulta hoy menos oneroso que asumir los costos correctivos, regulatorios y reputacionales que sobrevienen cuando el sistema ya está en operación.
Gobernar la innovación: el rol del compliance frente a la inteligencia artificial
La velocidad de adopción de la inteligencia artificial exige que las organizaciones pasen de reaccionar ante los riesgos a gestionarlos desde el diseño. Alejandro Rojas, socio en BLP —firma legal que representa a ComplianceLatam en Centroamérica— aborda cómo las áreas de compliance pueden contribuir a una adopción responsable, mediante controles proporcionales, responsabilidades claras, supervisión humana y una gobernanza que permita innovar con mayor seguridad y confianza.
¿La inteligencia artificial representa hoy más oportunidades o riesgos para las organizaciones en la región, y cómo debería abordarse ese balance desde el compliance?
Todos los avances tecnológicos traen consigo oportunidades y riesgos, por lo que el dilema entre innovación y gestión de riesgos no es nuevo. Lo que sí resulta novedoso en el caso de la inteligencia artificial es la velocidad y la escala con las que está siendo adoptada, que en muchos casos están superando la capacidad de las organizaciones para desarrollar mecanismos adecuados de gobernanza.
Desde la perspectiva del compliance, el reto no debería ser frenar la innovación, sino establecer las reglas que permitan aprovecharla de manera responsable. Esto supone identificar los riesgos desde el diseño, establecer controles proporcionales, definir responsabilidades claras y asegurar mecanismos de supervisión y trazabilidad.
En ese sentido, el riesgo no surge necesariamente de la tecnología en sí misma, sino de utilizarla sin una estructura adecuada de gobierno, controles y gestión de riesgos. La pregunta para las organizaciones ya no debería ser si van a utilizar inteligencia artificial, sino cómo hacerlo de manera segura, responsable y alineada con sus obligaciones legales y éticas.
Algunas líneas concretas de acción:
- Anticipación regulatoria activa y dinámica. Es fundamental que las organizaciones se anticipen a los riesgos, establezcan mecanismos para gestionarlos y los mitiguen oportunamente. Esto requiere contar con una persona responsable de liderar esta materia, con el enfoque, el conocimiento y la autoridad necesarios para orientar la adopción de estas nuevas tecnologías y, especialmente, asegurar una adecuada gobernanza dentro de la organización.
- Gobernanza como habilitador, no como freno. Una adecuada, ágil y dinámica gobernanza permite que la organización adopte y escale estas tecnologías con mayor seguridad y rapidez. Para ello, es importante establecer desde el inicio reglas claras sobre el uso de datos, validación de modelos, responsabilidades y supervisión humana, evitando tener que corregir o reconstruir estos controles posteriormente ante requerimientos de reguladores, auditores o clientes.
- Mapeo de riesgo por caso de uso. Un modelo de IA usado para scoring crediticio no plantea los mismos riesgos que uno usado para generar borradores de contratos. Los marcos como NIST AI RMF o ISO/IEC 42001 son útiles precisamente porque parten de esta lógica de clasificación por impacto.
¿Qué rol deberían jugar las áreas de compliance en la adopción responsable de nuevas tecnologías, si las organizaciones que implementan gobernanza efectiva de IA crecen dos a tres veces más rápido que aquellas que no lo hacen?
El dato de que las organizaciones con una gobernanza efectiva de la inteligencia artificial pueden crecer entre dos y tres veces más rápido debería cambiar la conversación interna sobre el rol del compliance y su enfoque.
El compliance puede aportar, como nunca antes, una ventaja competitiva para la organización: ayudar a identificar y gestionar los riesgos desde el inicio, establecer las condiciones para innovar de manera segura y permitir que el negocio avance con mayor confianza y velocidad. El verdadero valor del compliance está en ayudar a la organización a encontrar la manera responsable y sostenible de aprovechar las oportunidades que le presenta el entorno.
Concretamente, el rol del compliance en la adopción responsable debería incluir:
- Participación activa en diseño. Involucrarse cuando el caso de uso de IA se está definiendo, no cuando ya está en producción, permite anticipar controles sin frenar el desarrollo.
- Conciliación de requerimientos técnicos y regulatorios. Los equipos técnicos optimizan para mejorar el rendimiento sin considerar los riesgos y los equipos legales imponen restricciones sin entender la arquitectura del sistema, por lo que resulta fundamental lograr un lenguaje común.
- Cultura de adopción, no de prohibición. Una función de compliance que solo limita o prohíbe empuja a las áreas de negocio hacia el uso no gobernado de herramientas, fuera de cualquier control, que es precisamente el escenario de mayor riesgo.
[1] UNESCO, Recomendación sobre la Ética de la Inteligencia Artificial (SHS/BIO/REC-AIETHICS/2021), 2021, https://unesdoc.unesco.org/ark:/48223/pf0000381137_spa
[2] OCDE, AI Principles, 2024, https://www.oecd.org/en/topics/ai-principles.html
[3] UNESCO/CAF/Gobierno de Chile, Declaración de Santiago para promover una inteligencia artificial ética en América Latina y el Caribe, 23-24 de octubre de 2023, https://minciencia.gob.cl/uploads/filer_public/40/2a/402a35a0-1222-4dab-b090-5c81bbf34237/declaracion_de_santiago.pdf
[4] MinTIC (Colombia), Cumbre Ministerial de IA – ColombIA, 2024, https://www.mintic.gov.co/cumbre-ia/
[5] UNESCO, Ética de la inteligencia artificial: la Recomendación – diez principios, https://www.unesco.org/es/artificial-intelligence/recommendation-ethics
[6] AlSur, Los caminos regulatorios para la IA en América Latina, mayo de 2024, https://www.alsur.lat
[7] Resolución No. 0001/2025 y Ley de Fomento a Inteligencia Artificial y Tecnologías (Decreto Legislativo No. 234/2025), https://www.jurisprudencia.gob.sv
[8] Senado Federal do Brasil, Projeto de Lei nº 2.338, de 2023, https://www25.senado.leg.br/web/atividade/materias/-/materia/157233
[9] Congreso de Colombia, Ley 2502 de 2025, Diario Oficial No. 53198, 31 de julio de 2025, https://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=188454
[10] México necesita una estrategia nacional de inteligencia artificial”, El Economista, 25 de julio de 2025
[11] Peter Parycek, Verena Schmid y Anna-Sophie Novak, “Artificial Intelligence (AI) and Automation in Administrative Procedures: Potentials, Limitations, and Framework Conditions”, Journal of the Knowledge Economy, 2023.
[12] Parlamento Europeo y Consejo de la Unión Europea, Reglamento (UE) 2024/1689, art. 3.1, Official Journal of the European Union, 2024.
[13] ISO/IEC, Artificial intelligence — Artificial intelligence concepts and terminology / ISO/IEC 22989. https://www.iso.org/obp/ui/#iso:std:iso-iec:22989:ed-1:v1:en (points 3.1.5 and 3.1.7)
[14] Parlamento Europeo, “Report with recommendations to the Commission on a civil liability regime for artificial intelligence”, 2020; Bart Custers, Henning Lahmann y Benjamyn I. Scott, “From liability gaps to liability overlaps”, AI & Society, 2025.
[15] Art. 14 AI Act
[16] Cecilia Panigutti et al., “The role of explainable AI in the context of the AI Act”, ACM FAccT ’23, 2023
[17] Art. 50 AI Act
[18] Art. 49 AI Act
[19] GPAI/OECD, “Transparencia algorítmica en el sector público”, 2024
[20] OECD.AI, “The main policy issues that surround AI”
Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz (Colombia); y Alejandro Rojas, socio en BLP (Costa Rica)
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
18-08-2026 | Albagli Zaliasnik, Noticias
En los últimos años, el compliance en Chile ha dejado de ser entendido únicamente como una respuesta a las obligaciones asociadas a la responsabilidad penal de las empresas. De manera gradual, se ha consolidado como una disciplina más amplia, vinculada a la gestión integral de riesgos, la cultura ética y la capacidad de las organizaciones para anticiparse a la corrupción, el lavado de activos, la ciberseguridad, la protección de datos y la inteligencia artificial. Sin embargo, el desafío ya no consiste solo en diseñar políticas y controles, sino en lograr que estos sean conocidos, utilizados y capaces de influir efectivamente en la conducta y en la toma de decisiones.
En esta entrevista, conversamos con Yoab Bitran, director del Grupo Compliance de az —firma que representa a ComplianceLatam en Chile—, abogado de la Universidad de Chile y especialista en compliance, regulación, gobierno corporativo y empresas. Con 15 años de experiencia en el área, Bitran ha asesorado a compañías de distintos tamaños e industrias en el diseño, implementación y evaluación de programas de cumplimiento, además de liderar procesos de transformación cultural en organizaciones que han enfrentado casos de corrupción.
Su labor lo ha posicionado como un activo promotor del liderazgo ético y las buenas prácticas en Chile y América Latina.
Desde tu experiencia, ¿cuál ha sido el desafío más complejo que has enfrentado en materia de compliance y qué aprendizajes te dejó?
Trabajar con empresas que venían saliendo de escándalos de compliance. Eso me llevó a aprender que en materia de compliance y cultura ética los cambios muchas veces son graduales y de largo plazo. Si un líder de compliance inhouse viene con la idea de hacer cambios sustantivos de forma abrupta, es muy posible que termine perdiendo apoyo y siendo visto como una amenaza disruptiva para el negocio por sus pares. Se trata de evolución, no de revolución. Para poder liderar cambios sustantivos hay que construir confianza, generar aliados, capital político y —muy importante— saber elegir qué batallas dar.
Hoy lideras el área de compliance en az. ¿Cómo definirías el rol que debe cumplir un profesional de compliance dentro de las organizaciones?
Aunque suene obvio y se repita bastante, un profesional de compliance debe ser ante todo un partner estratégico del negocio. En el momento en que empieza a ser percibido como un sheriff, su efectividad se ve negativamente impactada. Si se empieza a evitar o bypassear al líder de compliance, será imposible tener un lugar en las mesas en que se toman decisiones relevantes.
¿Cómo evalúas hoy la madurez del compliance en Chile, más de quince años después de la Ley 20.393? ¿Qué ha cambiado de verdad en el mercado?
Pienso que el principal cambio es que compliance, aunque aun lentamente, ha empezado a entenderse como en países más desarrollados en esta materia. Esto es, lejos de quedarse en la Ley de Delitos Económicos, sino como una disciplina integral y holística, que permite gestionar y mitigar desde riesgos que podemos denominar “tradicionales” —como corrupción o lavado de activos— hasta riesgos vinculados con la económica digital, como ciberseguridad o la IA.
¿Cuál dirías que es hoy el principal punto débil de los programas de compliance en Chile?
En general, el principal punto débil es el que la regulación local e internacional le otorga la mayor relevancia: la efectividad. Todavía se observan muchos documentos de compliance que prácticamente nadie en la empresa conoce, ni menos utiliza. Muchas capacitaciones que se hacen por cumplir y no tienen ningún impacto en términos de comportamiento. Muchos canales de denuncia en que nadie confía. Y acá hay un deber de los directorios, vinculado a su deber de cuidado o diligencia. Por supuesto no pueden estar en el día a día, pero sí deben poder estar tranquilos de que la organización cuenta con un programa de compliance efectivo.
Si una empresa quiere fortalecer su cultura de cumplimiento en serio, ¿por dónde debería empezar?
Lo primero es medir. Entender dónde estamos parados. Hoy existen herramientas y marcos muy sólidos que permiten medir cultura ética combinando aspectos cuantitativos y cualitativos. Luego, en base a los resultados, se definen y priorizan estrategias dirigidas. Un ejemplo siempre importante es la estructura de incentivos. Es clave compensar el qué y el cómo.
Nuevos riesgos y desafíos
Además de compliance, has desarrollado una sólida experiencia en protección de datos y ciberseguridad. ¿Por qué consideras que estas materias están cada vez más conectadas?
Porque comparten herramientas de gestión: políticas, procedimientos, capacitaciones, debida diligencia, etcétera. Y, aún más importante, comparten objetivo: construir y sostener una cultura ética, que permite mitigar diversos riesgos. Una cultura de protección de datos, de ciberseguridad, de prevención de corrupción y lavado de activos, una cultura libre de acoso y más.
Chile tiene sectores con exposiciones de riesgo muy específicas, como minería, litio e infraestructura concesionada. ¿Cuáles son hoy los principales desafíos de compliance en esos sectores?
Los principales desafíos actuales están vinculados a terceras partes, a la cadena de suministro. En primer lugar, está la reciente regulación de la Unión Europea en la materia. Esto es especialmente relevante para filiales de empresas europeas en Latinoamérica, así como empresas latinoamericanas con presencia en Europa. Luego está el foco del Departamento de Justicia (DOJ) de los EE.UU. en los carteles y su designación como organizaciones terroristas. Y, por último, la propia Ley de Delitos Económicos chilena incorpora la responsabilidad penal de las empresas por delitos cometidos por terceros que gestionen asuntos de la organización.
La protección de datos personales está experimentando importantes cambios regulatorios en la región. ¿Qué desafíos visualizas para las empresas en los próximos años?
Los principales desafíos no están en lo técnico. No es complejo adquirir o licenciar sistemas y tecnologías que permitan estar mejor protegidos. En esta materia, el eslabón más débil de la cadena continúa siendo el humano. La gran mayoría de las filtraciones se producen por errores humanos. Por ejemplo, porque alguien compartió información sensible de manera negligente, fue irresponsable con una clave o porque hizo click en un enlace vinculado a phishing. Entonces, el principal desafío es la concientización y cambio de cultura en materia de protección de datos personales.
¿Qué papel está jugando la inteligencia artificial en los programas de cumplimiento y qué riesgos de compliance estás viendo asociados a su uso?
Desde compliance, la IA tiene esta doble perspectiva. Por una parte, utilizarla (responsablemente) en un programa de compliance es fundamental a la hora avanzar en eficacia y eficiencia. Diría que no utilizarla en algunos procesos y controles, incluso atenta contra la efectividad del modelo. Pensemos por ejemplo en procesos de due diligence en compliance, nadie imaginaría privarse de herramientas y soluciones que hagan retroceder muchos años, cuando todo era manual.
Por otra parte, están los riesgos al uso de IA sin gobernanza. Sabemos que existen riesgos importantes en materia de sesgos, protección de datos, propiedad intelectual, opacidad y falta de trazabilidad (“caja negra”), entre otros.
La clave está en avanzar con estrategia, gobernanza y supervisión humana, mitigando riesgos sin obstaculizar ni desaprovechar las enormes oportunidades que ofrece la IA.
¿Qué valor aporta una plataforma digital y red regional como ComplianceLatam en un contexto donde los riesgos, regulaciones y desafíos trascienden las fronteras de cada país?
ComplianceLatam permite a líderes de áreas legales y de compliance de organizaciones de toda la región, EE.UU. y España, acceder a contenido de primer nivel, compartir mejores prácticas, aprender de pares y referentes, y contribuir con ideas, opiniones y experiencia a un propósito muy noble.
Para más información sobre la plataforma, escríbenos a contacto@compliancelatam.legal.
14-08-2026 | Albagli Zaliasnik, Noticias
A cuatro meses de su entrada en vigor, la Ley 21.719 obliga a las organizaciones a reforzar la gobernanza de los datos personales, gestionar los riesgos asociados a la inteligencia artificial y prepararse para un nuevo escenario de fiscalización.
El próximo 1 de diciembre de 2026 entrará en vigor en Chile la nueva Ley de Protección de Datos Personales (Ley 21.719), que reemplazará a la Ley 19.628 y elevará significativamente las exigencias para las organizaciones que recopilan, almacenan y utilizan información personal. La norma refuerza los derechos ARSOP de los titulares (acceso, rectificación, supresión, oposición y portabilidad), incorpora obligaciones de trazabilidad y crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras.
Ese es el marco legal. La pregunta ahora es otra: ¿están realmente preparadas las empresas chilenas para la entrada en vigor de la nueva ley?
Según Yoab Bitran, director del Grupo Compliance de az, la mayoría de las empresas chilenas todavía está trabajando en identificar y corregir las brechas de sus procesos internos. Los sectores regulados, especialmente el financiero y el de salud, están más avanzados en algunas de las obligaciones que establece la nueva normativa. En el resto de las organizaciones, afirma el vocero, el trabajo se encuentra todavía en una etapa inicial y el objetivo es llegar a la entrada en vigor con los aspectos básicos resueltos.
“Si bien no es una obligación directa de la normativa de datos personales, el mapeo de los datos personales que procesan es un insumo valioso dentro de las organizaciones, ya que permite identificar los tipos de datos personales que se usan y sobre ello, adoptar medidas para corregir eventuales riesgos en el uso de esta información. Muchas de estas acciones permiten responder a obligaciones que se encuentran en la ley. Sin duda, el resguardar el ejercicio de derechos de los titulares (ARSOP) es un tremendo desafío para cumplir en tiempo y forma”, subraya.
Agencia y liderazgo regional: los dos desafíos de Chile
La idea de que el mercado debería estar preparado porque la ley fue publicada hace dos años no refleja la realidad. Para algunas organizaciones, adaptar los procesos de recolección, almacenamiento y uso de datos personales supone un cambio de cultura que recién comienza.
A ello se suma la instalación de la Agencia de Protección de Datos Personales, que tendrá a su cargo la fiscalización del nuevo régimen. Sin embargo, la conformación de su Consejo Directivo avanza más lento que el calendario original, lo que podría llevar a que la nueva autoridad termine de instalarse casi al mismo tiempo en el que entran en vigor las obligaciones que deberá supervisar.
Bitran menciona que la industria y el sector público esperan que la agencia cumpla un rol orientador e impulse una cultura de protección de datos en un país donde, pese a la existencia de una ley vigente, el tratamiento de la información personal no siempre ha recibido la atención que exige la reforma.
“Se espera que, cuando se instale, pueda dar algunos lineamientos y respuestas a interrogantes que no fueron resueltas del todo en la normativa aprobada, antes de que parta con un proceso de fiscalización, similar a la experiencia internacional, por ejemplo, Brasil”, comenta.
A su juicio, una vez superada esa primera etapa, la agencia deberá avanzar en procesos de fiscalización, especialmente en sectores con prácticas comerciales agresivas que podrían no ajustarse al nuevo régimen de protección de datos.
En el contexto regional, Chile parte con ventaja. Juan Pablo González, director de Nuevas Tecnologías e IA de az, considera que la actualización normativa permite al país avanzar de forma rápida hacia los primeros lugares de América Latina.
“Sin perjuicio de ello, mucho dependerá de la capacidad de aplicar la normativa aprobada. Chile no cuenta con una normativa específica de inteligencia artificial y, a pesar de que se encuentra en tramitación un proyecto en la materia, existen varias voces que consideran necesario avanzar en materias previas a tener una regulación madura de una tecnología como IA. Este análisis de elementos previos ha sido reflejo de lo sucedido en Europa, con el aplazamiento de algunas obligaciones del Reglamento Europeo de IA y algunas modificaciones que se desean aprobar en la normativa sobre protección de datos personales, especialmente, en favor de las pequeñas y medianas empresas”, explica.
Riesgos de la inteligencia artificial en las empresas
Mientras las empresas se preparan para cumplir con la nueva normativa de protección de datos, la inteligencia artificial abre un desafío que ya no es solo un asunto del área de sistemas. Según el último informe de la consultora de gestión global McKinsey, el 78% de las corporaciones usa activamente IA generativa en sus procesos de negocio, y esa adopción masiva convirtió a los algoritmos en un vector de riesgo operacional, reputacional y regulatorio al mismo tiempo.
Cifras globales del Cost of a Data Breach Report 2025 de IBM advierten que la adopción de la IA supera las medidas de seguridad y gobernanza corporativa:
- El 13% de las compañías ya reportó brechas de seguridad vinculadas a aplicaciones de inteligencia artificial.
- El 97% de las firmas vulneradas no contaba con políticas de acceso a sus modelos.
- Un 8% no estaba seguro de si sus sistemas de IA habían sido vulnerados.
- El costo promedio de una brecha asociada a IA alcanza los US$670.000.
A eso se añade el fenómeno conocido como Shadow AI, que consiste en el uso informal de herramientas de inteligencia artificial por parte de colaboradores sin autorización ni supervisión de la organización, y que convierte la protección de datos en un asunto inseparable de la gobernanza tecnológica.
En Chile, el escenario se agrava con una cifra local: en 2025 el país enfrentó cerca de 8,8 billones de intentos de ciberataque, y un 16 % de las brechas de datos ya son perpetradas por ciberdelincuentes que usan IA para potenciar sus ofensivas.
En este escenario, el marco regulatorio chileno se articula en torno a dos normas que comienzan a dialogar entre sí. Por un lado, la Ley Marco de Ciberseguridad (Ley 21.663) exige a los operadores de importancia vital estándares estrictos de gestión de riesgos y el reporte de incidentes en plazos acotados. Por otro, la Ley 21.719 endurece las sanciones por el tratamiento indebido de datos personales, un aspecto relevante si se considera que muchos sistemas de inteligencia artificial se entrenan con información sensible que debe ser sometida a otras medidas de protección antes de ser utilizada.
Cumplimiento y gobernanza, hoja de ruta para las empresas
El desafío, sin embargo, no termina en el contenido de las normas. Para llevar este nuevo escenario a la operación diaria, las empresas tendrán que revisar cómo gestionan la información y toman decisiones sobre el uso de nuevas tecnologías. Se trata de un cambio de método que va más allá de actualizar políticas internas.
Bitran plantea que, aunque el mapeo de datos personales no es una obligación explícita de la Ley 21.719, se ha convertido en un insumo clave para cualquier organización que quiera anticiparse a los riesgos y cumplir con las nuevas exigencias. En ese sentido, plantea acciones para un diagnóstico técnico con gobernanza corporativa:
- conocer en qué procesos la organización trata datos personales;
- identificar qué sistemas de inteligencia artificial utiliza y para qué fines;
- definir controles de acceso, cifrado en tránsito y en almacenamiento;
- actualizar políticas, procedimientos y cláusulas contractuales con proveedores;
- redefinir roles y responsabilidades dentro de la organización para gestionar el riesgo.
González, por su parte, recomienda instalar comités multidisciplinarios, donde los tomadores de decisión discutan de forma temprana los riesgos asociados al uso de IA, y sumar métricas que permitan medir el desempeño de la tecnología en casos de uso específicos, algo que a su juicio termina siendo la diferencia entre adoptar IA con control o adoptarla a ciegas.
“Esto, sin duda, le permitirá a una organización integrar de manera exitosa este tipo de tecnología, así como tener resultados medibles, especialmente en procesos que pueden resultar críticos, definido al apetito por riesgo de la organización”, añade.
Regulación de inteligencia artificial
Mientras la aplicación de la Ley 21.719 avanza sobre un marco normativo ya definido, la regulación de la inteligencia artificial en Chile todavía se encuentra en discusión. El Ejecutivo presentó en el Senado un proyecto de Ley Marco de IA, inspirado en el Reglamento Europeo de Inteligencia Artificial, que clasifica los sistemas según sus niveles de riesgo.
El director de Nuevas Tecnologías e IA de az ha seguido de cerca esta discusión y plantea que el modelo europeo no necesariamente responde a las necesidades específicas de Chile.
“Este marco responde a ciertos tipos de riesgos de IA, que no necesariamente son los mismos que necesitamos regular en Chile, en particular, casos de uso. En ese sentido, la industria levantó varios puntos a tener en consideración para la discusión parlamentaria, buscando que se focalice en los incentivos para el avance de una industria de desarrollo de IA, regulando usos más que la tecnología en sí misma. El objetivo principal es evitar una regulación que restrinja el desarrollo tecnológico”, sostiene.
La experiencia europea se ha convertido en uno de los principales argumentos de quienes piden revisar el alcance y los tiempos de la propuesta chilena. El aplazamiento de algunas obligaciones del reglamento europeo ha puesto de relieve las dificultades de implementar un marco regulatorio complejo sin que las empresas y las autoridades cuenten con el tiempo suficiente para adaptarse.
González indica que la discusión de fondo está en si la regulación debe centrarse en la tecnología o en los usos que se hacen de ella. La decisión determinará qué empresas estarán sujetas a mayores exigencias y bajo qué criterios. Por eso, el sector legal corporativo sigue de cerca la tramitación del proyecto, que establecerá las reglas para el desarrollo y uso de la inteligencia artificial en Chile.
Impacto en las pymes
El impacto para las empresas más pequeñas es uno de los puntos que genera mayor preocupación. Si el proyecto de Ley Marco de IA mantiene la clasificación de los sistemas según su nivel de riesgo, las compañías podrían enfrentar nuevas exigencias, como sistemas de gestión de riesgos, evaluaciones periódicas, documentación técnica, supervisión humana y estándares de ciberseguridad, precisión y solidez técnica. La pregunta es cómo podrán asumirlas las pymes.
“Una de las alertas que se levantaron en la discusión es que estos cambios pueden ser soportados por las grandes empresas, pero para las pymes estas obligaciones pueden conllevar costos que no son soportados por la incorporación temprana dentro de la organización, en un entorno en que existen diversos requerimientos regulatorios. Finalmente, el proyecto de ley no establece ningún sistema de apoyo para este segmento de industria”, resalta Bitran.
El proyecto, tal como se discute actualmente en el Senado, no contempla una diferencia entre una multinacional y una pyme a la hora de asumir obligaciones en materia de gestión de riesgos, documentación técnica y ciberseguridad. En protección de datos personales, en cambio, la Ley 21.719 sí estableció un período de adaptación para las empresas de menor tamaño, que durante el primer año de vigencia solo estarán expuestas a amonestaciones y no a multas. En materia de inteligencia artificial, por ahora, esa diferencia no existe.
Pese a las dificultades, ambos voceros de az coinciden en que las empresas que se anticipen tendrán una ventaja. Bitran considera que incorporar la inteligencia artificial de manera temprana, identificando sus riesgos y analizándolos con las distintas áreas de la organización, permite aprovechar mejor la tecnología y reducir la exposición a incidentes que pueden traducirse en pérdida de reputación, tiempo y sanciones.
El desafío para Chile será mantener el avance alcanzado en protección de datos personales y, al mismo tiempo, construir una regulación de inteligencia artificial que tome en cuenta las particularidades del país. En esa discusión, las pymes aparecen como uno de los principales puntos pendientes.
Autor: Gunther Félix | Fuente: LexLatin (30 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
31-07-2026 | Albagli Zaliasnik, Noticias
Los incidentes asociados a OpenAI y Anthropic reactivaron el debate sobre cómo enfrentar los riesgos de la inteligencia artificial, justo cuando Chile debe definir un marco regulatorio.
Parece una película de ciencia ficción, pero no lo es. Esta semana, OpenAI informó que, durante el entrenamiento, su modelo GPT- 5.6 Sol se escapó del espacio de prueba, conocido como sandbox, y se conectó a internet y atacó a la startup de datos abiertos Hugging Face. Algo similar ya había ocurrido en abril con Mythos, de Anthropic, que también logró acceder a la red y publicó vulneraciones de seguridad.
Ambas acciones han sido atribuidas por los expertos al entrenamiento de los modelos bajo el método de aprendizaje por refuerzo, que ofrece recompensas para lograr un objetivo y que ha llevado a las principales compañías desarrolladoras a ir más allá de los límites seguros para liderar la carrera por la inteligencia artificial (IA).
El incidente de OpenAI llega en un momento en que Chile debe tomar definiciones regulatorias en torno a la IA. Si bien hay un proyecto de ley en discusión en el Congreso, el gobierno anunció que busca introducir una propuesta sustitutiva que cambia el enfoque en los riesgos tomado de la legislación europea, la cual se presentará próximamente.
En este escenario, en el mundo han surgido interrogantes respecto del real control que tienen los grandes desarrolladores en las pruebas de sus modelos más autónomos y de los riesgos asociados a la ciberseguridad. Mientras tanto, en los países usuarios del sur global, persisten las dudas en torno a qué resguardos se deben tomar y cómo se debe regular el uso y el desarrollo interno de estos sistemas.
Para la directora del Instituto de Data Science de la Universidad del Desarrollo (UDD) e integrante del Panel Científico Internacional Independiente sobre IA de la Organización de las Naciones Unidas (ONU), Loreto Bravo, los incidentes ocurridos no implican que “estemos perdiendo el control humano” sobre la IA o que los modelos actúen con una intención maliciosa.
Argumentó que estos sistemas están diseñados para buscar la forma más eficiente de cumplir el objetivo asignado: “Se pueden tener varias estrategias para minimizar el riesgo, pero no sabes qué cosas podría escoger hacer el modelo, que quizás tú no habrías autorizado”.
Comentó que “no es 100% evitable” que los modelos eludan los espacios de prueba, pero se puede reducir al máximo la probabilidad y mitigar sus efectos, a través de protocolos y prohibiciones claras, exigir autorización humana para acciones sensibles e implementar sistemas para monitorear en tiempo real su comportamiento.
En tanto, el director ejecutivo de Lemontech, Juan Pablo Granda, coincidió en la importancia de los controles, pero enfatizó que la gobernanza corporativa es el factor que marca la diferencia. Señaló que las empresas con certificaciones como las ISO 27.001 y 42.000 —de gobernanza específica en IA—, “tienen muy claro cómo dividir los riesgos y no exponer la información propia y de sus clientes”.
Agregó que aquellas que carecen de estos procesos, en cambio, “son mucho más susceptibles” porque “no delimitaron los procesos”.
Granda también llamó a distinguir los incidentes de frontera (como GPT-5.6 Sol) del uso empresarial cotidiano, pues son “completamente diferentes a lo que usa la mayoría de las compañías”, y señaló que cuando se delimitan con claridad el espacio de acción y el objetivo de un agente, “los riesgos son mínimos”.
Riesgos y resguardos
Respecto del impacto del avance de la IA hacia sistemas cada vez más autónomos en la región, Bravo dijo que la principal diferencia con el norte global “podría estar en la capacidad de reacción” frente a eventuales ciberataques “mucho más especializados y poderosos”, apalancados por estas herramientas.
Añadió que es “muy complicado que sea solo la legislación lo que nos salve (ante los riesgos asociados a los modelos)”, y que, para ello, Chile debe fortalecer las capacidades propias a través de la formación de talento en IA y en seguridad informática, y con el desarrollo de sistemas basados en estas tecnologías para prevenir y mitigar impactos o ataques avanzados.
Para Granda, la legislación por sí sola tampoco basta, pero advirtió que el exceso regulatorio es igual de riesgoso.
“Si nos vamos a poner demasiado conservadores, las empresas no van a tener la posibilidad de implementar herramientas que, con los procesos correctos, sí son seguras y aumentan la productividad”, dijo.
El director de Nuevas Tecnologías e IA de az, Juan Pablo González, se refirió a la Recomendación sobre la Ética de la IA de la Unesco, y señaló que, más que actualizarla, se deben “operativizar” algunos de sus elementos mediante grupos de trabajo para responder a riesgos como la pérdida de control de los sistemas, la desinformación y los ciberataques.
Discusión en Chile
Respecto del proyecto de ley que regula los sistemas de IA —del gobierno anterior y en segundo trámite constitucional—, González planteó una serie de reparos: no crea un órgano específico para hacerse cargo de los sistemas de IA que evite la superposición de competencias y tampoco establece obligaciones diferenciadas para los modelos de uso general. Además, dijo que no diferencia a los distintos actores de la cadena, porque “solo habla de los operadores”, y que no existen procedimientos detallados para las personas afectadas por la IA.
Por otro lado, instó a ampliar los sandboxes con participación del sector privado para impulsar la innovación, y a evaluar una aplicación gradual de la normativa.
Ante el enfoque de evaluación de riesgos ex post que tendrá el nuevo proyecto anunciado por el gobierno, González advirtió que intervenir solo cuando se produzca el daño puede ser “contraproducente”, porque algunos daños son “casi imposibles de reparar”. Por ello, planteó mantener mecanismos de vigilancia, reporte de incidentes, “retiro oportuno” de sistemas y procedimientos claros de infracción.
Según Granda, la regulación debería centrarse en exigir controles de seguridad, herramientas de monitoreo y procedimientos de mitigación y recuperación, pero no restringir el uso en la industria.
“La sobrerregulación es poner un freno de mano al avance tecnológico”, alertó y agregó que eso podría llevar a Chile a perder competitividad frente a empresas de otros países de la región.
Autores: Marco Zecchetto y Renato Olmos | Fuente: Diario Financiero (24 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
06-07-2026 | Bartolome & Briones, Opinión
Por Javier Rodríguez-Losada, Asociado en Bartolome & Briones, España
Para muchos empresarios y directivos, la verdadera dimensión del riesgo jurídico no se aprecia hasta que se traduce en situaciones concretas. La inteligencia artificial (IA) ya no es una tecnología del futuro, sino una herramienta integrada en procesos de atención al cliente, marketing, gestión documental, selección de personal e incluso, de toma de decisiones empresariales.
El debate ya no es si utilizarla, sino cómo hacerlo sin exponerse a conflictos legales inesperados, teniendo en cuenta la existencia de normativa que regula obligaciones y sanciones al respecto. A continuación, mostramos algunos ejemplos sobre cómo herramientas diseñadas para ganar eficiencia pueden derivar en reclamaciones laborales, mercantiles o de responsabilidad civil cuando fallan los mecanismos de control.
Comercio electrónico: una plataforma de comercio electrónico incorpora sistemas de IA destinados a analizar patrones de navegación, tiempos de permanencia u otras variables conductuales con el objetivo legítimo de personalizar la experiencia del usuario y optimizar sus ventas. Sin embargo, un uso insuficientemente acotado del sistema podría llevar a identificar situaciones de especial vulnerabilidad emocional del consumidor, como estados de ansiedad, estrés o fatiga. A partir de ahí, la herramienta podría adaptar precios, ofertas o mensajes comerciales aprovechando esa circunstancia para influir en decisiones económicas que el consumidor probablemente no habría adoptado en condiciones normales.
Este tipo de prácticas podría constituir una infracción, pues la IA en este caso explota vulnerabilidades psicológicas para inducir decisiones económicas que el consumidor no habría adoptado en condiciones normales, vulnerando así el Reglamento (UE) 2024/1689, de obligado cumplimiento.
Diagnósticos médicos: una empresa instala un sistema de IA de diagnóstico automático en una clínica privada que emite informes a partir de pruebas que se realizan al paciente, así como de sus antecedentes médicos. Por un fallo en el entrenamiento del modelo, un paciente recibe un tratamiento inadecuado y como consecuencia de ello, sufre daños.
El paciente tendría una acción de responsabilidad contractual o extracontractual contra la clínica para reclamarle los daños y perjuicios ocasionados.
Asimismo, la clínica podría tener una acción de repetición contra el proveedor tecnológico por haberle provisto de un producto defectuoso. Podría ser reclamable aquí, no sólo la cuantía en que haya debido indemnizar al cliente, sino los daños reputacionales derivados de la difusión pública del incidente.
Precisamente por el impacto potencial sobre la salud, este tipo de sistemas son considerados de alto riesgo por el Reglamento europeo de IA, que exige mecanismos reforzados de control y supervisión humana.
Sector industrial: una fábrica o instalación industrial tiene implantado un sistema de IA destinado a optimizar los ritmos de producción. Como consecuencia de un defecto de configuración, entrenamiento o supervisión del sistema, la IA altera parámetros operativos y neutraliza alertas de seguridad destinadas a evitar paradas automáticas de maquinaria sin que nadie lo detecte. Como resultado, se produce un accidente laboral.
Las consecuencias jurídicas pueden ser especialmente relevantes. Además de las posibles sanciones administrativas derivadas del incumplimiento normativo, la empresa podría enfrentarse a reclamaciones en materia de seguridad y salud laboral, responsabilidades por daños y perjuicios e incluso, en los supuestos más graves, derivar en responsabilidad penal por delitos contra la seguridad de los trabajadores.
Desde la perspectiva del Reglamento (UE) 2024/1689, este supuesto podría evidenciar un incumplimiento de las obligaciones de supervisión humana exigidas para determinados sistemas de IA de alto riesgo, así como de las obligaciones de gestión de riesgos.
Recursos Humanos: en el ámbito laboral una gran empresa podría implantar un sistema algorítmico diseñado para evaluar rendimientos, optimizar la productividad y proponer reducciones de plantilla. Como consecuencia de una supervisión humana insuficiente y de un modelo entrenado con datos sesgados, el sistema podría penalizar, por ejemplo, a trabajadores que disfrutan de reducciones de jornada por cuidado de hijos, a colectivos de determinada edad, género o nacionalidad.
En la práctica, un escenario de este tipo podría desembocar en una demanda por despido nulo por discriminación indirecta, así como en reclamaciones por vulneración de derechos fundamentales si la empresa no puede explicar razonablemente los criterios utilizados por el sistema o acreditar que existía un control humano real sobre las decisiones adoptadas.
El verdadero problema surge cuando la empresa no puede explicar cómo se ha llegado a la decisión ni acreditar que existía una supervisión humana efectiva. Este tipo de herramientas puede ser considerado por el Reglamento (UE) 2024/1689 como un sistema de IA de alto riesgo. Eso implica que la empresa no puede limitarse a aceptar automáticamente las recomendaciones del algoritmo: debe evaluar los riesgos, utilizar datos adecuados, documentar su funcionamiento y garantizar una supervisión humana efectiva, exigiéndose, además, que el sistema sea lo suficientemente transparente como para que quienes lo utilizan comprendan cómo debe ser controlado.
Como muestran estos ejemplos, detrás de herramientas concebidas para ahorrar costes, agilizar procesos o mejorar resultados pueden esconderse responsabilidades que no siempre son evidentes. Implantar estas tecnologías con criterios de control y supervisión adecuados permite aprovechar todo su potencial sin convertir una ventaja competitiva en un conflicto jurídico inesperado.
De esta forma se anticipan los riesgos cuando aún son evitables y se puede reaccionar con rapidez cuando el conflicto ya se ha producido, lo que puede marcar una diferencia decisiva.
Javier Rodríguez-Losada, Asociado en Bartolome & Briones, España
Escríbenos a contacto@compliancelatam.legal si necesitas información.
14-05-2026 | FERRERE, Noticias
Uruguay tiene hoy la oportunidad de observar críticamente la evolución de estos modelos y evaluar con rigor qué intervenciones son realmente necesarias, en qué ámbitos y con qué instrumentos.
El acuerdo europeo sobre el Ómnibus Digital reconoce la importancia de evaluar los costos y beneficios de cada intervención legislativa, evitando que un exceso de regulación genere efectos no deseados.
El acuerdo europeo
El 7 de mayo de 2026, el Parlamento Europeo y el Consejo de la Unión Europea alcanzaron un acuerdo provisional sobre el Ómnibus Digital de Inteligencia Artificial, que introduce modificaciones sustantivas al AI Act, la primera legislación integral en la materia a nivel mundial. El acuerdo extiende plazos de cumplimiento, simplifica cargas regulatorias y amplía el rol de los sandboxes, reconociendo que un marco normativo excesivamente complejo puede generar dificultades de implementación que terminen afectando la innovación y la efectividad misma de la regulación.
Una señal para el debate regional
La decisión europea llega en un momento particularmente relevante para Uruguay y América Latina, donde se debate activamente si corresponde y cómo regular la inteligencia artificial. El mensaje desde Bruselas es claro: incluso la jurisdicción más ambiciosa del mundo en gobernanza digital está ajustando su enfoque. No porque haya abandonado sus objetivos de protección, sino porque la experiencia demostró que una regulación cuyas cargas superan sus beneficios puede generar efectos adversos, entre ellos costos de cumplimiento desproporcionados, retrasos en la implementación y pérdida de competitividad frente a otras regiones.
El caso uruguayo
Para Uruguay, esta señal refuerza la pertinencia de un enfoque prudente e incremental. El país ya cuenta con un marco normativo vigente que ofrece garantías sólidas para la protección de los derechos de los individuos, incluyendo la Ley de Protección de Datos Personales, reconocida por la propia Comisión Europea como adecuada a sus estándares. A ello se suma la adhesión al Convenio Marco del Consejo de Europa sobre Inteligencia Artificial y Derechos Humanos, firmado en setiembre de 2025. Existen, además, normas vigentes en materia de defensa del consumidor, responsabilidad civil y propiedad intelectual, que ya ofrecen herramientas aplicables a situaciones derivadas del uso de IA. En conjunto, estos instrumentos proporcionan un piso de protección cuyo alcance merece ser debidamente ponderado antes de asumir que una legislación integral adicional es la respuesta más adecuada.
Regular cuando es necesario
Uruguay tiene hoy la oportunidad de observar críticamente la evolución de estos modelos y evaluar con rigor qué intervenciones son realmente necesarias, en qué ámbitos y con qué instrumentos. Esa evaluación debería partir de una premisa razonable: preservar su posicionamiento como hub tecnológico regional y evitar cargas que no se justifiquen frente a las garantías que ya ofrece el marco normativo vigente.
El texto del acuerdo político provisional puede consultarse en el comunicado oficial del Consejo de la UE aquí.
Para más información, escríbenos a contacto@compliancelatam.legal.
