25-09-2026 | Bustamante Fabara, Noticias, Tech
Las normativas delimitan las responsabilidades de los proveedores y encargados de sistemas de IA, establece nuevas garantías para el tratamiento de datos biométricos y refuerza los procedimientos digitales para denunciar incidentes y notificar vulneraciones de seguridad.
El 10 de septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) publicó cuatro nuevas resoluciones clave expedidas el 9 de septiembre del presente año:
- SPDP-SPD-2026-0037-R, que reforma la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
- SPDP-SPD-2026-0038-R, que reforma el Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes.
- SPDP-SPD-2026-0039-R, que expide la Norma General para el Tratamiento de Datos Biométricos.
- SPDP-SPD-2026-0040-R, que expide la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales.
Resolución No. SPDP-SPD-2026-0037-R (Reforma Inteligencia Artificial “IA”)
La reforma precisa el alcance de las obligaciones aplicables a los encargados que tengan acceso, visibilidad o control efectivo sobre datos personales tratados mediante sistemas de IA. Asimismo, incorpora estas categorías como definiciones operativas para determinar cuándo un encargado queda sujeto a la norma.
Los proveedores, desarrolladores o mantenedores de sistemas de IA deberán proporcionar al responsable información suficiente sobre su funcionamiento, limitaciones, riesgos previsibles y medidas de control, sin revelar secretos comerciales o propiedad intelectual. Las obligaciones serán exigibles únicamente respecto de las operaciones sobre las que el encargado tenga acceso, visibilidad o control efectivo, debiendo conservar evidencia cuando alegue que dichas condiciones no existen.
Resolución No. SPDP-SPD-2026-0038-R (Reforma Denuncias y Solicitudes)
La reforma actualiza las definiciones de denuncia, solicitud y constancia de recepción, y establece la presentación digital obligatoria de estos trámites mediante la página web de la SPDP o dentro del sistema desarrollado por el regulador denominado como SISPDP. Los formularios deberán contar con firma electrónica válida o, excepcionalmente, firma manuscrita digitalizada.
En actuaciones previas, el sujeto investigado contará con 10 días para pronunciarse sobre los hallazgos preliminares, mientras que la decisión administrativa deberá notificarse en un plazo máximo de 6 meses.
Resolución No. SPDP-SPD-2026-0039-R (Datos Biométricos)
La norma establece condiciones, garantías y límites para el tratamiento de datos biométricos. Todo tratamiento deberá estar precedido de un análisis de riesgos y una evaluación de impacto (EIPD), la cual deberá actualizarse cada 12 meses.
Cuando el tratamiento se base en consentimiento, este deberá ser previo, libre, específico, informado, inequívoco y explícito, y deberá ofrecerse al titular una alternativa que no requiera el uso de biometría.
Se prohíbe la identificación masiva e indiscriminada en espacios públicos, salvo mandato legal, así como la reutilización de datos biométricos para finalidades distintas de aquellas que justificaron su obtención. Para menores de edad, se establecen restricciones reforzadas y requisitos específicos de consentimiento. Los responsables que ya utilicen sistemas biométricos dispondrán de 12 meses para adecuarse a la norma.
Resolución No. SPDP-SPD-2026-0040-R (Vulneraciones de Seguridad)
La norma regula la notificación y gestión de vulneraciones de seguridad por parte de responsables y encargados. Las vulneraciones pueden comprometer la confidencialidad, integridad y disponibilidad, considerando además criterios de temporalidad, permanencia e irreversibilidad.
Las notificaciones deberán efectuarse mediante el SISPDP, y su omisión será considerada una infracción grave conforme a la LOPDP. Asimismo, se incorpora el AIxSPDP, sistema experto auxiliar basado en inteligencia artificial y sujeto a intervención humana, destinado a facilitar la trazabilidad, generación de métricas y análisis de riesgos de las notificaciones.
23-09-2026 | CPB, Noticias, Tech
La norma clasifica los sistemas de IA según su nivel de riesgo e impone deberes adicionales para los de alto riesgo, como supervisión humana reforzada, registro de la lógica del algoritmo y explicación de las decisiones automatizadas que impacten en derechos fundamentales.
El 10 de septiembre de 2026 venció el primer plazo de implementación de determinadas obligaciones previstas en el Reglamento de la Ley N.° 31814, aprobado por el Decreto Supremo N.° 115-2025-PCM.
Este primer plazo comprende a los desarrolladores e implementadores privados que utilicen sistemas de inteligencia artificial en los sectores de salud, educación, justicia, seguridad, economía y finanzas.
¿A quiénes aplica?
El Reglamento distingue principalmente entre:
- Desarrolladores: personas o entidades que diseñan, programan o entrenan sistemas de IA.
- Implementadores: personas o entidades que integran o despliegan sistemas de IA dentro de sus procesos productivos u operativos.
- Usuarios: personas que interactúan con los sistemas una vez implementados.
Una empresa puede ser considerada implementadora cuando incorpora herramientas de IA —incluso desarrolladas por terceros— en procesos como selección de personal, evaluación crediticia, atención de clientes, análisis documental, prestación de servicios, elaboración de recomendaciones o toma de decisiones.
¿Qué obligaciones deben implementarse?
Los desarrolladores e implementadores privados deberán:
- Establecer políticas, protocolos y procedimientos que regulen el uso de la IA y permitan preservar la seguridad y privacidad, promover la transparencia y explicabilidad, y garantizar la responsabilidad y rendición de cuentas.
- Capacitar y concientizar a sus colaboradores sobre los riesgos asociados a la IA y sobre su uso seguro, responsable y ético.
- Cumplir la normativa de protección de datos personales, incluyendo la adopción de medidas de seguridad, la determinación de las responsabilidades de los proveedores y la evaluación de los tratamientos de datos efectuados mediante IA.
- Respetar los derechos fundamentales y los derechos de autor, evitando resultados discriminatorios, sesgados o contrarios a los derechos de las personas.
Clasificación de los sistemas de IA
El Reglamento clasifica los usos de IA en tres categorías:
- Uso indebido: comprende usos prohibidos por generar impactos irreversibles, significativos y negativos sobre los derechos fundamentales o el bienestar de las personas.
- Riesgo alto: comprende sistemas que pueden afectar significativamente la vida, dignidad, libertad, seguridad u otros derechos fundamentales, pero que pueden utilizarse bajo condiciones y controles reforzados.
- Riesgo aceptable: comprende los sistemas que no califican como de uso indebido ni de alto riesgo.
Son ejemplos de alto riesgo los sistemas utilizados para seleccionar, evaluar o cesar trabajadores; evaluar crediticiamente a personas, determinar el acceso a servicios de salud, gestionar activos críticos, o adoptar decisiones con elevada probabilidad de generar discriminación, estigmatización o sesgos.
La clasificación no depende únicamente de la herramienta utilizada o del sector de la empresa, sino principalmente de la finalidad, el contexto y las consecuencias del uso concreto.
Obligaciones adicionales para sistemas de alto riesgo
Cuando una empresa desarrolle o implemente sistemas de alto riesgo, deberá adoptar medidas adicionales, entre ellas:
- Mantener un registro actualizado sobre el funcionamiento del sistema, sus fuentes de datos, la lógica del algoritmo y sus impactos sociales y éticos.
- Implementar mecanismos reforzados de supervisión humana en decisiones con impacto significativo.
- Informar previamente a los usuarios sobre la finalidad, funcionalidades principales y tipos de decisiones que puede adoptar el sistema.
- Explicar los criterios y factores relevantes de las decisiones automatizadas que impacten en derechos humanos.
El Reglamento también contempla la posibilidad de realizar voluntariamente una evaluación de impacto para identificar y mitigar los riesgos de los sistemas de alto riesgo. Si se realiza, sus hallazgos y medidas correctivas deben documentarse y conservarse por un periodo mínimo de tres años.
¿Qué deben hacer las empresas?
Recomendamos iniciar con las siguientes acciones:
- Identificar las herramientas y casos de uso de IA existentes.
- Determinar si la organización actúa como desarrolladora, implementadora o usuaria.
- Clasificar cada caso de uso según su nivel de riesgo.
- Aprobar una política corporativa de uso de IA.
- Establecer procedimientos de autorización, supervisión y gestión de incidentes.
- Revisar los contratos y condiciones de privacidad y seguridad de los proveedores.
- Capacitar a los colaboradores.
- Documentar las medidas implementadas.
- Evaluar preventivamente los nuevos proyectos o usos de IA.
Para más información, escríbenos a contacto@compliancelatam.legal o visita compliancelatam.legal/tech.
