09-09-2026 | az, Opinión, Tech
Por Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Hoy en día el uso de Inteligencia Artificial (IA) en actividades cotidianas de una organización se ha masificado en operaciones que antes se realizaban de forma manual. No obstante, la incorporación de este tipo de tecnología en las instituciones no necesariamente viene de la mano con una visión sobre la gobernanza de los sistemas de IA.
Por lo tanto, uno de los grandes desafíos, sin duda, es que el avance vaya desde un sistema de IA que solo respondía ante requerimientos de un usuario y quizás generaba contenido, a un sistema que tenga la capacidad de realizar acciones con efectos en el mundo físico.
Así, un Agente IA es un sistema de IA que puede lograr un objetivo específico bajo poca supervisión. Por ende, van desde “modelos de aprendizaje que imitan la toma de decisiones de los humanos para resolver problemas en tiempo real[1]”. Así que, basándose en grandes modelos de lenguaje (LLM) junto a otras herramientas, permite realizar una tarea específica, es decir, el agente realiza tareas de varios pasos, por ejemplo: enviar correos electrónicos, realizar reservas o pagos. Va más allá de únicamente generar contenido, sino que permite realizar acciones que pida el usuario, usando información que este lo autorice.
A nivel internacional se ha discutido sobre la naturaleza jurídica de un Agente de IA[2], y algunos se han adelantado al indicar que no son personas jurídicas, por ende, a pesar de que se deleguen algunas tareas, la responsabilidad sigue siendo totalmente de quien realiza la delegación; lo que, sin duda, implica que el usuario deberá asumir las acciones que realice este agente, así como analizar los eventuales riesgos en estas prácticas.
Alguno de los riesgos que uno puede identificar son, por ejemplo, a) el acceso a información por medio de un exceso de privilegios; b) vulnerabilidades de sistemas de IA; c) capacidad de agregar y recombinar información de diversas fuentes (function creep); y d) el riesgo de multiagente. En este último, se debe considerar que el entrenamiento errado de un agente puede afectar a otro agente o, derechamente, las subtareas asignadas implican articular agentes que tengan sesgos en su comportamiento.
Por ende, algunas autoridades internacionales han recomendado algunos lineamientos para tener un uso responsable de Agente de IA: a) minimizar el acceso a la data; b) transparencia, es decir, informar que hay un agente en uso en ciertos procesos; c) exactitud a través de la revisión constante de los resultados que se obtienen a través del apoyo de esta tecnología; d) establecer reglas de limitación en cuanto a la conservación de los datos; e) establecer límite a la finalidad del usuario que autorizó usos del agente; f) medidas de seguridad desde un enfoque del sistema informático pero además, de la data incorporada; g) enfoque de privacidad por diseño y defecto; y h) constante de evaluación de riesgos (risk management), que incluye la existencia de una gobernanza clara que no se limita dentro de la organización, sino también en la relación con proveedores, para focalizarlo con capacitación[3].
Otro punto clave es la trazabilidad, ya sea a través de la implementación de logs, es decir, que tengan la capacidad de dejar registro de las operaciones realizadas por el Agente, por ejemplo, mediante timestamps; esto permite no solo tener claridad de los usos de la IA, sino también lograr auditabilidad de los sistemas, así como bases de datos que acceden para realizar la acciones.
¿Por qué es un asunto relevante para considerar? Si uno visualiza el fenómeno europeo regulatorio sobre la IA, se ha caracterizado por los usos y riesgos de los sistemas de AI, pero no se ha centrado en la capacidad de sistemas de IA con niveles de autonomía para actuar sobre data y sistemas, especialmente cuando un usuario lo autoriza para ello. Este escenario no solo tiene efectos desde la profesión jurídica, sino que implica un cambio de paradigma en las operaciones y procesos dentro de la organización.
Por lo anterior, es relevante avanzar desde un paradigma centrado en un enfoque técnico a uno que permita entender que tareas como el inventario de los sistemas de IA de la organización, pero, además, claridad de las otras aplicaciones con las cuales se conectan, qué bases de datos acceden y, por ende, la adopción temprana de medidas como la supervisión humana, serán claves para la gobernanza del uso de esta tecnología.
Pensar que el uso de la IA se frenará es contrario a ver cómo están avanzando las cosas actualmente; el enfoque correcto será cómo su adecuada gestión permita maximizar los usos de este tipo de tecnologías en ciertos procesos, con un enfoque claro y determinado de la gestión de los riesgos.
[1] Enlace: https://www.ibm.com/mx-es/think/topics/agentic-ai
[2] Enlace: https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/agents-legal-responsibility.pdf
[3] Enlace: https://cltc.berkeley.edu/publication/agentic-ai-risk-profile/
Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
08-09-2026 | BLP, Opinión, Posse Herrera Ruiz, Tech
Durante años, el compliance en América Latina estuvo anclado a una agenda relativamente clara: anticorrupción, libre competencia y prevención de delitos económicos. Era un terreno donde los riesgos, aunque complejos, estaban más o menos delimitados. Pero ese mapa cambió.
Hoy, la transformación tecnológica está redefiniendo la forma en que las organizaciones operan, toman decisiones y se relacionan con sus stakeholders. La inteligencia artificial (IA), la automatización, el uso masivo de datos y la creciente exposición a ciberamenazas no solo abren oportunidades, sino que también introducen una nueva generación de riesgos: legales, regulatorios, reputacionales y financieros, que demandan una gobernanza proactiva, técnica y estratégica.
En 2024, los incidentes reportados por la OCDE relacionados con IA crecieron un 183%, evidenciando que la adopción tecnológica sin marcos de gobernanza adecuados genera riesgos concretos.
Los marcos de referencia internacionales —como el NIST AI Risk Management Framework, la ISO/IEC 42001 y el EU AI Act— ya ofrecen guías para abordar estos desafíos, pero su efectividad requiere tanto de adaptación al contexto latinoamericano como a la cultura y objetivos organizacionales hechos a la medida.
En este contexto surge ComplianceLatam Tech: no como una extensión natural del compliance clásico, sino como una respuesta a una necesidad urgente. La de integrar tecnología, regulación y estrategia en una misma conversación. La de conectar a perfiles que históricamente han trabajado en paralelo —abogados, CISOs, DPOs y profesionales de tecnología— para construir esa mirada más completa que demandan los desafíos actuales.
En medio de iniciativas como la Declaración de Santiago (2023), la Ley N° 31814 de Perú (2026), la aprobación y remisión por parte del Consejo de Ministros de Ley Orgánica para el buen uso y la gobernanza de la IA en España y las más de 300 iniciativas regulatorias en toda Latinoamérica, el conocimiento pasa de la curiosidad a una necesidad estratégica.
En esta columna, Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz (Colombia), y Alejandro Rojas, socio en BLP (Costa Rica), aportan una visión regional, crítica y aplicada sobre cómo Iberoamérica está enfrentando —o debería enfrentar— la intersección entre innovación y gobernanza.
Porque si algo está claro es que la tecnología ya no es solo un habilitador de negocio. Es, también, un espacio donde se juega la confianza. Y en ese terreno, el compliance tiene un rol que redefinir.
Entre principios comunes y reglas divergentes: el mapa regulatorio de la IA en América Latina
Aunque los países de la región comparten principios vinculados con la ética, la transparencia y la supervisión humana, sus marcos jurídicos avanzan a ritmos y con enfoques diferentes. Para Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz —firma legal que representa a ComplianceLatam en Colombia—, resulta crítico analizar las brechas entre las políticas públicas y las normas vinculantes de cada país, además de reflexionar sobre los desafíos que plantean la toma automatizada de decisiones, la transparencia algorítmica y la responsabilidad frente a sistemas cada vez más autónomos.
¿Crees que América Latina avanzará hacia marcos regulatorios convergentes, similares al AI Act europeo, o veremos enfoques más dispares entre países?
La convergencia de marcos regulatorios en América Latina aún no es clara. Si bien puede identificarse cierta armonización en materia de política pública e instrumentos de derecho blando, tales como declaraciones, principios y estrategias nacionales, esta no se replica en el ámbito de las normas jurídicas vinculantes. En el marco de esta disparidad, se observa además cómo al interior de cada país existe una fractura entre estas políticas públicas y los esfuerzos legislativos, que avanzan de forma desarticulada en los organismos legislativos.
Por un lado, al analizar las posturas de política pública, sí existe una clara convergencia en principios y objetivos. Todos los países de la región adoptaron la Recomendación sobre la Ética de la Inteligencia Artificial de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO) en 2021[1], instrumento que, junto con los Principios sobre la IA de la Organización para la Cooperación y el Desarrollo Económicos (OCDE),[2] constituyen la referencia fundamental para el desarrollo de políticas públicas en Brasil, Chile, Colombia, Perú, Paraguay, México, Cuba, Jamaica y República Dominicana. Este marco común se ha reforzado mediante la aplicación de la Metodología de Evaluación del Estadio de Preparación (RAM), en catorce países de la región, lo cual permite a esos países hablar un lenguaje común de capacidades, riesgos e indicadores. Esto no solo facilita el intercambio de experiencias, sino que se traduce en oportunidades efectivas de cooperación multilateral que pueden servir como apalancamiento para los avances en la región. Iniciativas como la Declaración de Santiago[3], la Declaración de Montevideo y la Cumbre Ministerial ColombIA de Cartagena de Indias de agosto de 2024[4], donde dieciséis países ratificaron una hoja de ruta común, confirman esta alineación en materia de derechos humanos, transparencia, supervisión humana y gestión de riesgos[5].
Ahora bien, la armonía se rompe cuando pasamos de los principios a las normas vinculantes. Los pocos países con legislación vigente divergen sustancialmente[6]. El Salvador, uno de los pocos con ley vigente, eligió la vía del fomento: su Ley de Inteligencia Artificial (ANIA) clasifica solo las “Decisiones Consecuenciales”, exige registro únicamente para esa categoría y acepta autocertificación, sin certificación previa ni sanción inmediata[7]. Al contrario, Perú cuenta con la Ley N.° 31814 (vigente desde julio de 2023) y su reglamento aprobado mediante Decreto Supremo N.° 115-2025-PCM, que establece una clasificación de sistemas de IA según nivel de riesgo y designa a la Secretaría de Gobierno y Transformación Digital como autoridad técnico-normativa. Por su parte, Brasil, aunque aún sin legislación vigente, ha analizado propuestas centradas en derechos, clasificación de riesgos e inversión de la carga de la prueba[8]. En Colombia el esfuerzo legislativo apenas sumó un agravante penal (Ley 2502 de 2025)[9] en materia de deep fakes (entendidos como la modificación o generación de contenido digital que se hace pasar por una persona natural real que no autoriza previamente y además difiere de quien utiliza este contenido, por lo general como materia prima para cometer otros delitos). Por su parte, en México aún no se cuenta con estrategia nacional de IA ni se ha designado alguna autoridad de IA, apoyándose en la aplicación de normas preexistentes[10].
Así las cosas, si se trata de política pública, la convergencia regional es clara: los países comparten principios, vocabulario y compromisos multilaterales. Pero esta alineación no se traduce, al menos de forma inmediata, en un “efecto Bruselas” del EU AI Act, pues los esfuerzos regulatorios vinculantes muestran fracturas significativas con las políticas públicas formuladas. Hacia 2030, no es clara la convergencia hacia marcos vinculantes, sobre todo ante un panorama donde estas normas están tardando mucho tiempo en gestarse y, en el entretanto, surgen nuevos cuestionamientos a la regulación de la IA. Ejemplo de ello es la soberanía de la tecnología y el anhelo de lograr un balance entre la innovación y la gobernanza ética, legal y responsable de esta tecnología.
¿Qué desafíos plantea la toma automatizada de decisiones en términos de responsabilidad, transparencia y gobernanza algorítmica, especialmente cuando se requieren evaluaciones de impacto de IA, herramientas de detección de sesgos y mecanismos de supervisión humana?
Para responder esta pregunta conviene comenzar por una distinción que suele pasarse por alto: automatización no es lo mismo que autonomía. Un sistema automatizado ejecuta tareas conforme a reglas predefinidas, con o sin intervención humana en puntos clave del proceso. Un sistema autónomo, en cambio, evalúa el contexto, pondera opciones y decide con base en su propio juicio,[11] sin que el resultado esté preprogramado. Lo determinante no es la presencia de humanos, sino el origen de la lógica de la decisión. Esta distinción es central porque el propio AI Act europeo define un sistema de IA por su nivel de autonomía y por su capacidad de inferir, a partir de un input, outputs como predicciones, recomendaciones o decisiones; y es esa escala la que determina el nivel de riesgo y, con él, las medidas de mitigación exigibles. Por ejemplo, una herramienta interna que sugiere precios al área comercial no plantea los mismos retos que un algoritmo que los ajusta y publica sin supervisión, escenario particularmente sensible en materia de derecho de la competencia.[12]
En materia de responsabilidad, el principal reto cuando un sistema opera de forma autónoma es la ausencia de reglas claras de imputación: cuando la decisión causa un daño, [13] el diseñador apunta al operador, el operador al proveedor del modelo y el sistema no responde ante nadie, aquello que la literatura anglosajona denomina liability gaps.[14] La respuesta práctica que se está consolidando pasa por reinsertar a una persona en el circuito mediante mecanismos de supervisión humana[15] con capacidad real de revisar, frenar o revertir los resultados; por eso el AI Act los exige en todo sistema de alto riesgo y por eso los tribunales empiezan a imputar al proveedor del algoritmo cuando esa supervisión no existe.
En materia de transparencia, los retos se diversifican según la función que esta cumpla. La primera acepción es técnica: la capacidad de reconstruir el procesamiento que conduce a un resultado. Aquí el obstáculo central son las llamadas cajas negras de los modelos de aprendizaje profundo, en los que hoy resulta imposible identificar con certeza qué factores fueron decisivos, lo que dificulta atribuir responsabilidad y verificar el cumplimiento de obligaciones específicas. El reto adicional es que esa opacidad es justamente lo que habilita la mayor precisión del modelo, por lo que se impone un balance en vez de una elección excluyente entre transparencia y desempeño.[16]
La segunda acepción es la transparencia como deber de informar a terceros. Un claro ejemplo de ello es la obligación, prevista en el AI Act europeo y replicada en varios proyectos regionales, de advertir al usuario que está interactuando con un sistema de IA y no con una persona, de modo que pueda tomar precauciones informadas y no atribuya al sistema una confianza propia del trato humano. El reto aquí está en su cumplimiento efectivo y en su alcance extraterritorial, pues la norma europea puede aplicarse a empresas latinoamericanas que ofrezcan productos o servicios a consumidores en la UE, así como a filiales locales de grupos europeos, lo que obliga a revisar chatbots, asistentes virtuales y herramientas de scoring antes de su despliegue.[17]
La tercera acepción es la transparencia como obligación de registro previo: quien desarrolla el sistema debe inscribirlo y acreditar características mínimas antes de desplegarlo, de modo que el cumplimiento se vuelve condición de acceso al mercado.[18] El reto, presente en el régimen europeo de alto riesgo, es doble para los países de la región: por un lado, las barreras burocráticas pueden desincentivar el desarrollo en jurisdicciones con menor capacidad institucional; por otro, concentrar información técnica sensible bajo custodia estatal genera un riesgo cibernético relevante cuando esas entidades no cuentan con los controles de seguridad adecuados para protegerla.
La cuarta acepción es la transparencia como derecho ciudadano a conocer la composición de las bases de datos y los parámetros de los modelos, sea mediante acceso público abierto o por petición particular.[19] Esta es la línea que exploran jurisdicciones como Ecuador, y su principal tensión es la protección del secreto industrial y de la propiedad intelectual del sector privado, que con frecuencia es quien provee las soluciones de IA utilizadas por las entidades públicas y que, por esa vía, quedaría sujeto a la obligación de divulgar información sensible para su negocio. Esta cuestión ha sido tratada, al menos de forma superficial, por parte de la Corte Constitucional colombiana mediante su sentencia T-067 de 2025.
En materia de gobernanza algorítmica, la herramienta más extendida, la cual ya es exigida en Colombia mediante la Directiva 007 de 2025 (emitida por la Defensoría del Pueblo y la Procuraduría General en Colombia) y recogida en el reciente Reglamento de la Ley 31814 de Perú, aprobado por Decreto Supremo 115-2025-PCM, que ordena análisis de impacto y auditorías de seguridad para sistemas de alto riesgo antes de su implementación y durante toda su operación, es la evaluación de impacto y la auditoría para la detección de sesgos. Su principal reto es de cumplimiento efectivo, dada la oferta aún limitada de proveedores con capacidad técnica en la región y con conocimiento del contexto latinoamericano, que difiere del europeo, asiático o norteamericano. A ello se suma que las auditorías concebidas como mecanismo ex post solo permiten identificar el sesgo una vez desplegado el sistema; los ajustes reactivos, cuando no se acompañan de medidas preventivas adoptadas en las etapas de diseño y desarrollo, suelen ser significativamente más costosos y menos eficaces.[20]
En síntesis, la toma automatizada de decisiones plantea tres frentes interdependientes y una recomendación práctica para las empresas. En responsabilidad, los vacíos de imputación solo se cierran reinsertando un responsable identificable en el circuito mediante supervisión humana significativa. En transparencia, las obligaciones de divulgación, registro y acceso ciudadano habilitan el escrutinio externo, pero conviven en tensión con el secreto industrial y con las limitaciones institucionales de la región. En gobernanza algorítmica, las evaluaciones de impacto y las herramientas de detección de sesgos son indispensables, pero solo son eficaces si se incorporan ex ante, en el diseño, y no como remedio ex post. Para las compañías que operan, desarrollan, despliegan o utilizan la IA la conclusión es clara: invertir en gobernanza preventiva con supervisión humana documentada, evaluaciones de impacto previas al despliegue y trazabilidad técnica; resulta hoy menos oneroso que asumir los costos correctivos, regulatorios y reputacionales que sobrevienen cuando el sistema ya está en operación.
Gobernar la innovación: el rol del compliance frente a la inteligencia artificial
La velocidad de adopción de la inteligencia artificial exige que las organizaciones pasen de reaccionar ante los riesgos a gestionarlos desde el diseño. Alejandro Rojas, socio en BLP —firma legal que representa a ComplianceLatam en Centroamérica— aborda cómo las áreas de compliance pueden contribuir a una adopción responsable, mediante controles proporcionales, responsabilidades claras, supervisión humana y una gobernanza que permita innovar con mayor seguridad y confianza.
¿La inteligencia artificial representa hoy más oportunidades o riesgos para las organizaciones en la región, y cómo debería abordarse ese balance desde el compliance?
Todos los avances tecnológicos traen consigo oportunidades y riesgos, por lo que el dilema entre innovación y gestión de riesgos no es nuevo. Lo que sí resulta novedoso en el caso de la inteligencia artificial es la velocidad y la escala con las que está siendo adoptada, que en muchos casos están superando la capacidad de las organizaciones para desarrollar mecanismos adecuados de gobernanza.
Desde la perspectiva del compliance, el reto no debería ser frenar la innovación, sino establecer las reglas que permitan aprovecharla de manera responsable. Esto supone identificar los riesgos desde el diseño, establecer controles proporcionales, definir responsabilidades claras y asegurar mecanismos de supervisión y trazabilidad.
En ese sentido, el riesgo no surge necesariamente de la tecnología en sí misma, sino de utilizarla sin una estructura adecuada de gobierno, controles y gestión de riesgos. La pregunta para las organizaciones ya no debería ser si van a utilizar inteligencia artificial, sino cómo hacerlo de manera segura, responsable y alineada con sus obligaciones legales y éticas.
Algunas líneas concretas de acción:
- Anticipación regulatoria activa y dinámica. Es fundamental que las organizaciones se anticipen a los riesgos, establezcan mecanismos para gestionarlos y los mitiguen oportunamente. Esto requiere contar con una persona responsable de liderar esta materia, con el enfoque, el conocimiento y la autoridad necesarios para orientar la adopción de estas nuevas tecnologías y, especialmente, asegurar una adecuada gobernanza dentro de la organización.
- Gobernanza como habilitador, no como freno. Una adecuada, ágil y dinámica gobernanza permite que la organización adopte y escale estas tecnologías con mayor seguridad y rapidez. Para ello, es importante establecer desde el inicio reglas claras sobre el uso de datos, validación de modelos, responsabilidades y supervisión humana, evitando tener que corregir o reconstruir estos controles posteriormente ante requerimientos de reguladores, auditores o clientes.
- Mapeo de riesgo por caso de uso. Un modelo de IA usado para scoring crediticio no plantea los mismos riesgos que uno usado para generar borradores de contratos. Los marcos como NIST AI RMF o ISO/IEC 42001 son útiles precisamente porque parten de esta lógica de clasificación por impacto.
¿Qué rol deberían jugar las áreas de compliance en la adopción responsable de nuevas tecnologías, si las organizaciones que implementan gobernanza efectiva de IA crecen dos a tres veces más rápido que aquellas que no lo hacen?
El dato de que las organizaciones con una gobernanza efectiva de la inteligencia artificial pueden crecer entre dos y tres veces más rápido debería cambiar la conversación interna sobre el rol del compliance y su enfoque.
El compliance puede aportar, como nunca antes, una ventaja competitiva para la organización: ayudar a identificar y gestionar los riesgos desde el inicio, establecer las condiciones para innovar de manera segura y permitir que el negocio avance con mayor confianza y velocidad. El verdadero valor del compliance está en ayudar a la organización a encontrar la manera responsable y sostenible de aprovechar las oportunidades que le presenta el entorno.
Concretamente, el rol del compliance en la adopción responsable debería incluir:
- Participación activa en diseño. Involucrarse cuando el caso de uso de IA se está definiendo, no cuando ya está en producción, permite anticipar controles sin frenar el desarrollo.
- Conciliación de requerimientos técnicos y regulatorios. Los equipos técnicos optimizan para mejorar el rendimiento sin considerar los riesgos y los equipos legales imponen restricciones sin entender la arquitectura del sistema, por lo que resulta fundamental lograr un lenguaje común.
- Cultura de adopción, no de prohibición. Una función de compliance que solo limita o prohíbe empuja a las áreas de negocio hacia el uso no gobernado de herramientas, fuera de cualquier control, que es precisamente el escenario de mayor riesgo.
[1] UNESCO, Recomendación sobre la Ética de la Inteligencia Artificial (SHS/BIO/REC-AIETHICS/2021), 2021, https://unesdoc.unesco.org/ark:/48223/pf0000381137_spa
[2] OCDE, AI Principles, 2024, https://www.oecd.org/en/topics/ai-principles.html
[3] UNESCO/CAF/Gobierno de Chile, Declaración de Santiago para promover una inteligencia artificial ética en América Latina y el Caribe, 23-24 de octubre de 2023, https://minciencia.gob.cl/uploads/filer_public/40/2a/402a35a0-1222-4dab-b090-5c81bbf34237/declaracion_de_santiago.pdf
[4] MinTIC (Colombia), Cumbre Ministerial de IA – ColombIA, 2024, https://www.mintic.gov.co/cumbre-ia/
[5] UNESCO, Ética de la inteligencia artificial: la Recomendación – diez principios, https://www.unesco.org/es/artificial-intelligence/recommendation-ethics
[6] AlSur, Los caminos regulatorios para la IA en América Latina, mayo de 2024, https://www.alsur.lat
[7] Resolución No. 0001/2025 y Ley de Fomento a Inteligencia Artificial y Tecnologías (Decreto Legislativo No. 234/2025), https://www.jurisprudencia.gob.sv
[8] Senado Federal do Brasil, Projeto de Lei nº 2.338, de 2023, https://www25.senado.leg.br/web/atividade/materias/-/materia/157233
[9] Congreso de Colombia, Ley 2502 de 2025, Diario Oficial No. 53198, 31 de julio de 2025, https://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=188454
[10] México necesita una estrategia nacional de inteligencia artificial”, El Economista, 25 de julio de 2025
[11] Peter Parycek, Verena Schmid y Anna-Sophie Novak, “Artificial Intelligence (AI) and Automation in Administrative Procedures: Potentials, Limitations, and Framework Conditions”, Journal of the Knowledge Economy, 2023.
[12] Parlamento Europeo y Consejo de la Unión Europea, Reglamento (UE) 2024/1689, art. 3.1, Official Journal of the European Union, 2024.
[13] ISO/IEC, Artificial intelligence — Artificial intelligence concepts and terminology / ISO/IEC 22989. https://www.iso.org/obp/ui/#iso:std:iso-iec:22989:ed-1:v1:en (points 3.1.5 and 3.1.7)
[14] Parlamento Europeo, “Report with recommendations to the Commission on a civil liability regime for artificial intelligence”, 2020; Bart Custers, Henning Lahmann y Benjamyn I. Scott, “From liability gaps to liability overlaps”, AI & Society, 2025.
[15] Art. 14 AI Act
[16] Cecilia Panigutti et al., “The role of explainable AI in the context of the AI Act”, ACM FAccT ’23, 2023
[17] Art. 50 AI Act
[18] Art. 49 AI Act
[19] GPAI/OECD, “Transparencia algorítmica en el sector público”, 2024
[20] OECD.AI, “The main policy issues that surround AI”
Natalia Alarcón, directora de Innovación Legal y Gobernanza de IA en Posse Herrera Ruiz (Colombia); y Alejandro Rojas, socio en BLP (Costa Rica)
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
02-09-2026 | BLP, Noticias
La norma obligará a las organizaciones a gestionar estos riesgos de forma integral, fortalecer sus protocolos de denuncia e investigación y demostrar la implementación de medidas preventivas.
El próximo 2 de octubre de 2026 marcará un punto de inflexión para las relaciones laborales en Costa Rica. En esa fecha entrará en vigor para el país el Convenio N° 190 de la Organización Internacional del Trabajo (OIT) sobre la violencia y el acoso en el mundo del trabajo, ello tras la ratificación efectuada mediante la Ley N° 10749 y el depósito del instrumento de ratificación ante la OIT el 2 de octubre de 2025.
Su entrada en vigor representa un cambio relevante para las empresas. Aunque Costa Rica ya cuenta con regulación en materia de hostigamiento sexual, discriminación y protección de derechos fundamentales, el Convenio plantea un enfoque más amplio, integral y, especialmente preventivo.
La entrada en vigor del Convenio introduce un cambio relevante en el enfoque regulatorio: la expectativa ya no se limita a reaccionar adecuadamente frente a una denuncia, sino a demostrar que la organización adoptó medidas razonables para prevenir que la violencia y el acoso ocurran en las empresas.
¿Qué cambia para las empresas?
- Una protección más amplia: el Convenio no protege únicamente a las personas trabajadoras. Su ámbito comprende también a personas en formación, pasantes, aprendices, personas cuyo vínculo laboral haya terminado, voluntarios y postulantes a empleo, entre otros.
Además, la protección trasciende el espacio físico de trabajo e incluye situaciones vinculadas con el empleo que puedan ocurrir durante teletrabajo, comunicaciones electrónicas, viajes, capacitaciones y actividades sociales o profesionales relacionadas con el trabajo.
- Mayor énfasis en la prevención: las empresas deberán revisar si sus políticas y procedimientos permiten no sólo investigar denuncias, sino también identificar, prevenir y gestionar oportunamente los riesgos de violencia y acoso.
Esto supone fortalecer la capacitación, sensibilización, intervención temprana y el rol preventivo de quienes ejercen posiciones de liderazgo.
Desde esta perspectiva, las organizaciones deberían comenzar a preguntarse no sólo si cuentan con un procedimiento de investigación, sino también:
- ¿Hemos identificado los factores que podrían favorecer situaciones de violencia o acoso?;
- ¿Nuestros líderes saben detectar conflictos tempranamente?;
- ¿La organización capacita periódicamente a sus colaboradores?;
- ¿Existen mecanismos de intervención temprana?;
- ¿Evaluamos periódicamente la eficacia de nuestras medidas preventivas?
La prevención deja de ser una buena práctica para convertirse en un elemento esencial de la gestión del riesgo laboral.
- Gestión de los riesgos psicosociales: la violencia y el acoso deberán considerarse dentro de la gestión de seguridad y salud en el trabajo. Esto implica identificar factores que puedan incrementar estos riesgos, incluyendo aspectos relacionados con la organización del trabajo, estilos de liderazgo, conflictos interpersonales y exposición a violencia proveniente de terceros.
Este enfoque aproxima la prevención de la violencia al mismo nivel de importancia que cualquier otro riesgo ocupacional.
- Procedimientos internos más robustos: los mecanismos de denuncia e investigación deberán revisarse para asegurar principios esenciales como confidencialidad, imparcialidad, debido proceso, protección frente a represalias y adopción oportuna de medidas preventivas cuando sean necesarias.
- La violencia también puede provenir de terceros: clientes, proveedores, contratistas, usuarios o visitantes pueden generar situaciones de violencia o acoso. Por ello, las empresas deberían evaluar protocolos específicos para gestionar este tipo de riesgos, especialmente en sectores con atención al público, servicios de salud, educación, transporte, comercio y seguridad.
¿Qué deberían hacer las empresas desde ahora?
La entrada en vigor del Convenio no debería traducirse simplemente en la aprobación de una nueva política. Es una oportunidad para revisar de forma integral el modelo de prevención de las organizaciones.
Antes del 2 de octubre de 2026, resulta recomendable revisar las políticas sobre violencia y acoso, los procedimientos de denuncia e investigación, los mecanismos de gestión de riesgos psicosociales, la capacitación de colaboradores y líderes y, en general, la normativa interna relacionada con estas materias.
También será importante documentar las medidas preventivas adoptadas, pues la capacidad de acreditar las acciones implementadas será cada vez más relevante desde una perspectiva de cumplimiento y gestión del riesgo legal.
Por lo tanto, la entrada en vigor del Convenio N° 190 no implica únicamente la necesidad de actualizar una política interna; supone la adopción de un modelo integral de gestión preventiva, en el que la empresa debe demostrar que identifica riesgos, implementa medidas razonables para prevenir la violencia y el acoso, capacita a su personal, investiga adecuadamente las denuncias y promueve una cultura organizacional basada en el respeto, la dignidad y la protección de todas las personas que participan en el mundo del trabajo. Ese cambio de enfoque —de una respuesta reactiva a un sistema de prevención y mejora continua— constituye la principal transformación que introduce el Convenio para los trabajadores en Costa Rica.
Autora: Carla Sánchez, Directora en BLP Legal Costa Rica
Para más información, escríbenos a contacto@compliancelatam.legal.
31-08-2026 | Miller & Chevalier, Noticias
La empresa no monitoreó adecuadamente más de 61.500 transferencias por US$10.500 millones y omitió reportes de operaciones sospechosas, en un caso que refuerza la importancia de la remediación oportuna, la gobernanza de datos y la debida diligencia continua.
El 3 de agosto de 2026, UBS Financial Services Inc. (UBSFS) firmó un acuerdo de consentimiento (AC 2026) con la Red de Control de Delitos Financieros (FinCEN, por sus siglas en inglés) por infringir deliberadamente la Ley de Secreto Bancario (BSA, por sus siglas en inglés), lo que resultó en la imposición de una sanción civil de US$125 millones. El AC 2026, el cual representa la mayor sanción jamás impuesta contra un intermediario de valores por violaciones de BSA [1], se basa en gran medida en que UBSFS falló en implementar cambios en su programa de prevención de lavado de activos (AML, por sus siglas en inglés) después de firmar un acuerdo de consentimiento en el 2018 (AC 2018).
UBSFS firmó el AC 2018 por violar deliberadamente el BSA al incumplir con los requisitos aplicables al programa AML, y por no “llevar a cabo una debida diligencia continua en cuentas corresponsales para instituciones financieras extranjeras” entre 2004 y 2017, en los términos de la sección 312 de la Ley Patriota de EE.UU. Según el AC 2018, UBSFS (i) contaba con un programa AML que carecía de “políticas y procedimientos que razonablemente detectaran y notificaran sobre transacciones sospechosas”; (ii) tenía un sistema automatizado de monitoreo de transacciones que “no supervisó suficientemente las transferencias electrónicas denominadas en moneda extranjera realizadas a través de cuentas de productos básicos y cuentas de corretaje minorista”, y (iii) no contrató ni retuvo suficiente personal de cumplimiento de AML, lo que causó retrasos en los casos e incapacidad para investigar y reportar oportunamente actividades sospechosas. El AC 2018 también determinó que UBSFS violó su obligación de llevar a cabo la debida diligencia continua en las cuentas de corresponsales extranjeros.
Según el AC 2026, después del AC 2018, UBSFS continuó violando deliberadamente el BSA al no implementar y mantener un programa AML diseñado razonablemente [2]. Específicamente, como parte del AC 2018, UBSFS acordó realizar ciertas mejoras en sus sistemas de monitoreo de transacciones en moneda extranjera. Según FinCEN, a pesar de estos compromisos, UBSFS implementó cambios en dichos sistemas hasta 2021, lo que resultó en años de monitoreo de transacciones que fue manual, no personalizado, propenso a errores, y en ocasiones no hubo monitoreo de las transacciones en moneda extranjera. Según el AC 2026, la alta dirección de UBSFS sabía de este retraso y no lo comunicó a FinCEN. Aunque el UBSFS realizó cambios en su programa AML en 2021, el sistema de monitoreo solo comenzó a funcionar correctamente en 2023, después de que UBSFS contratara a un consultor externo para que ayudara a identificar y subsanar las deficiencias. FinCEN señaló que muchos de los problemas se debían a una gestión deficiente de los datos, ocasionada por la falta de asignación de responsabilidades y gobernanza internas. Como resultado, durante “cuatro años, la UBSFS no supervisó adecuadamente más de 61.500 transferencias de divisas extranjeras con un valor agregado de más de US$10.500 millones”. Por ejemplo, UBSFS utilizó un código plagado de errores dentro de una hoja de cálculo de Excel para identificar y revisar ciertas transacciones, lo que hizo que los investigadores de UBSFS pasaran por alto u omitieran transacciones y clientes que presentaban señales de alerta como “indicios de actividad de tránsito de fondos”, “envío de transferencias bancarias a ‘una casa de cambio no registrada’ en jurisdicciones de alto riesgo como Venezuela” y “un beneficiario final [que] estaba siendo investigado por lavado de activos y evasión fiscal”.
Según el AC 2026, UBSFS tampoco llevó a cabo una debida diligencia continua sobre clientes como lo exige la BSA. Específicamente, FinCEN señaló que, si bien UBSFS contaba con políticas y procedimientos que regían el proceso de debida diligencia, en la práctica no “consideró, documentó y mitigó adecuadamente los riesgos de lavado de activos y finanzas ilícitas”, como el origen de los fondos, los medios de comunicación adversos, las personas políticamente expuestas (PEP) y las restricciones de cuentas. FinCEN indicó que UBSFS era consciente o debería haber sido consciente de los mayores riesgos de lavado de activos asociados con ciertas relaciones con clientes, pero abrió o mantuvo cuentas sin suficiente escrutinio, sin justificación de las señales de alerta, y sin controles adecuados para mitigar riesgos, como la calificación de riesgo o la aplicación de restricciones.
FinCEN señaló que UBSFS también violó el BSA al no reportar con precisión y puntualidad operaciones sospechosas [3]. FinCEN “identificó cientos de operaciones sospechosas para las cuales UBSFS no presentó a tiempo y con precisión un SAR”, las cuales involucraban “decenas de millones de dólares” en transacciones de clientes que efectiva o presuntamente habían participado en conductas ilícitas en Rusia y América Latina.
Como parte del AC 2026, además de la multa de US$125 millones, UBSFS se comprometió a dos medidas específicas. En primer lugar, acordó contratar a un consultor independiente para que lleve a cabo una evaluación retroactiva de los SAR e informe de ello a FinCEN y UBSFS, lo que podría dar lugar a que UBSFS tuviera que presentar SAR adicionales (la Revisión Retroactiva de SAR). En segundo lugar, UBSFS asumió contratar, sujeto a la aprobación y supervisión del alcance y los hallazgos por parte de FinCEN, a un consultor independiente para llevar a cabo una revisión de la eficacia de las múltiples fases del programa AML, centrándose en los elementos identificados por FinCEN (la Revisión del Programa AML). Por ejemplo, FinCEN requiere que el consultor de AML realice pruebas a clientes de alto riesgo, dando prioridad a los clientes y las transacciones con posibles vínculos con “la frontera suroeste de Estados Unidos, los carteles y el posible tráfico de narcóticos”, e Irán, Venezuela y Rusia.
Las conclusiones del caso
- Un enfoque en la reincidencia y la importancia de la remediación oportuna: el AC 2026 brinda cierta guía para los intermediarios de valores sobre lo que FinCEN está buscando en un programa de AML, aun cuando la resolución se basa en gran medida en el hecho de que UBSFS acordó previamente implementar cambios importantes en su programa de AML y luego no lo hizo durante cuatro años. El fracaso de UBSFS se vio agravado por (i) el conocimiento generalizado dentro de la empresa, incluso a nivel de la alta dirección, de los retrasos y la ausencia de “controles de mitigación”, y (ii) que FinCEN solo se enteró de las deficiencias a través de una investigación de seguimiento iniciada después de una evaluación reglamentaria. El AC 2026 demuestra la importancia del cumplimiento oportuno de los compromisos de remediación asumidos en las resoluciones, y de la comunicación con los reguladores cuando se presentan retrasos o desafíos.
- Énfasis continuo en América Latina: el AC 2026 refleja el foco actual de las agencias estadounidenses en el rol de las instituciones financieras para facilitar el narcotráfico y la actividad de los carteles en América Latina, y la importancia de controles sólidos en dichas instituciones para ayudar a combatir las actividades ilícitas. El AC 2026 y el comunicado de prensa de FinCEN ponen un énfasis significativo en los riesgos presentados por los clientes latinoamericanos de UBSFS y las transacciones a lo largo de la región. Parte del compromiso exige que el consultor independiente preste especial atención a las transacciones que puedan estar relacionadas con la “frontera, los carteles y el posible tráfico de narcóticos”, y evalúe si UBSFS mantiene y hace cumplir “los controles asociados con la exposición de UBSFS a clientes con un nexo con jurisdicciones de alto riesgo, incluida… América Latina”. Las instituciones financieras, independientemente de si operan directamente o no en la región, deben analizar si sus controles consideran y calibran adecuadamente los riesgos contra el lavado de activos en las transacciones con individuos en la región, o cuyos fondos provienen de operaciones o cuentas en la región.
- Consideración de sanciones y posible compensación: FinCEN reconoció los montos adeudados a la CFTC, SEC y FINRA en resoluciones paralelas y, por lo tanto, acordó reducir US$48 millones de la multa de US$125 millones. De los US$77 millones restantes que UBSFS adeuda al Departamento del Tesoro de Estados Unidos, FinCEN aceptó renunciar al pago de hasta US$15 millones en consideración a los gastos asociados con la Revisión Retroactiva de SAR y la Revisión del Programa AML. Si bien UBSFS debe incurrir en los costos y en la revisión y vigilancia continuos asociados con estos compromisos, cuenta con un incentivo a hacerlo bien por segunda vez, a diferencia de 2018, ya que significaría una reducción significativa de la sanción.
[1] El mismo día, la Comisión de Bolsa y Valores (SEC, por sus siglas en inglés), la Autoridad Reguladora de la Industria Financiera (FINRA, por sus siglas en inglés) y la Comisión de Negociación de Futuros de Productos Básicos (CFTC, por sus siglas en inglés) anunciaron que habían celebrado acuerdos paralelos con UBSFS por la misma conducta. La SEC anunció que su orden de cese y desistimiento con UBSFS resultó de la no presentación oportuna de reportes de operaciones sospechosas (SAR, por sus siglas en inglés) en violación de la sección 17 (a) de la Ley de Intercambio y la Regla 17a-8, lo que resultó en una multa de US$20 millones. FINRA anunció que después de una evaluación por el Departamento de Supervisión de Miembros de FINRA, UBSFS había violado las Reglas FINRA 3310 (a), 3310 (f) y 2010, y sería censurada y multada con US$20 millones. La CFTC anunció que había presentado y liquidado cargos contra UBSFS como comerciante registrado de comisiones de futuros por su violación del Reglamento 166.3 de la Comisión (17 CFR § 166.3) debido a las deficiencias en su programa AML relacionado con “sistemas de monitoreo de transacciones para transferencias electrónicas que estaban denominadas en monedas extranjeras y se efectuaban a través de cuentas de clientes minoristas”. Como resultado del acuerdo de la CFTC, UBSFS acordó pagar US$8 millones. De la multa de US$125 millones, FinCEN aceptó reconocer, y consecuentemente reducir, US$48 millones de multas pagadas a la CFTC, FINRA y SEC por sus resoluciones paralelas, y hasta US$15 millones adicionales por gastos incurridos en relación con los compromisos asumidos.
[2] 31 USC § 5318(h), 31 CFR § 1023.210, y 31 CFR § 1026.210.
[3] 31 USC § 5318 (g), 31 CFR § 1023.320, y 31 CFR § 1026.320.
Fuente: Miller & Chevalier
Para más información, escríbenos a contacto@compliancelatam.legal.
