22-10-2026 | Bartolome & Briones, Opinión
Por Alnair Gallego, International Compliance Senior Manager en Invenergy, España
En el último Congreso de Compliance organizado por el Instituto de Compliance Officers en Madrid, el pasado mes de marzo, hubo una realidad que me llamó especialmente la atención. No por novedosa, sino porque, quizá por primera vez, fui plenamente consciente de lo que significaba: la transformación de nuestra profesión ya no es una cuestión de futuro, sino una realidad muy presente.
La inteligencia artificial fue, como era de esperar, una de las grandes protagonistas. Pero casi tan revelador como la tecnología fue ver quiénes hablaban de ella. En las mesas del Congreso se vio que los equipos de Compliance de grandes empresas españolas, muchas del Ibex35, ya no están formados solo por abogados, tradicionalmente vinculados al Derecho penal, sino también por ingenieros informáticos, especialistas en datos y analítica, y hasta matemáticos. La composición de nuestros equipos está cambiando porque también lo están haciendo los riesgos que gestionamos.
Durante años, especialmente en España, hablar de Compliance significaba hablar de prevención de riesgos penales. La introducción de la responsabilidad penal de las personas jurídicas en 2010 y, después, la reforma de 2015, que desarrolló los modelos de organización y gestión del artículo 31 bis, situaron el criminal compliance en el centro de la conversación jurídica y empresarial. El modelo debía identificar las actividades en cuyo ámbito pudieran cometerse delitos, establecer protocolos y controles, disponer de mecanismos de información y disciplina y someterse a una verificación periódica. En definitiva, se trataba de construir un sistema capaz de prevenir y detectar delitos en el seno de la organización.
Ese desarrollo fue necesario y continúa siéndolo. Pero Compliance ya no puede explicarse solo desde el Derecho penal, ni sus estructuras diseñarse exclusivamente con esa finalidad. Y no es solo una realidad española: en América Latina, donde Chile, Argentina, Brasil, Colombia, Perú o México han ido construyendo sus propios regímenes de responsabilidad penal corporativa, el reto es el mismo.
El penalista sigue siendo esencial. Su conocimiento de la rama más restrictiva del ordenamiento marca el listón de exigencia en conductas como la corrupción, y en un entorno internacional entender el alcance de las normas penales de cada jurisdicción es una competencia de especial valor “quien puede lo más, puede lo menos” o “quién se prepara para lo peor, se protege de lo menos dañino”. Pero el enfoque penal no es un paraguas: tipifica un catálogo cerrado de conductas, exige por regla general dolo y deja fuera infracciones regulatorias que no requieren intencionalidad, y que pueden acarrear sanciones muy relevantes. Prevenir lo penal ayuda a prevenir lo demás, sí, pero no lo garantiza.
Porque el problema ya no es solo si hemos identificado correctamente un riesgo. La cuestión es si somos capaces de saber, con información suficientemente actualizada, cuándo ese riesgo cambia, qué controles funcionan, dónde se producen excepciones y qué decisiones debemos adoptar como consecuencia de ello. Ese es uno de los grandes cambios de paradigma: Compliance ha dejado de ser únicamente una disciplina normativa para convertirse también en una disciplina de procesos, datos y gestión del riesgo con uso de indicadores automatizados a tiempo real.
El profesional de 2015 dedicaba buena parte de su trabajo a analizar tipos penales, diseñar mapas de riesgos, redactar políticas e impartir formación. El de 2026 debe entender además protección de datos, ciberseguridad, inteligencia artificial, riesgos de terceros, sanciones, esclavitud moderna, blanqueo de capitales, conflictos de interés, procesos financieros, controles internos y, cada vez más, tecnología. Por eso un programa puede estar jurídicamente impecable y ser, al mismo tiempo, operacionalmente débil: políticas excelentes con controles que no se ejecutan de forma consistente, o una matriz de riesgos perfectamente estructurada pero alimentada con información desactualizada.
Durante mucho tiempo, el principal producto de Compliance ha sido el documento: la política, el procedimiento, el código, la matriz, el informe, el material formativo. Todos siguen siendo necesarios, pero ya no bastan. Un buen sistema no se mide por el número de políticas aprobadas, sino por la capacidad de convertirlas en controles efectivos, medibles y adaptables. La ISO 37301 concibe el Compliance como un sistema que debe mantenerse y mejorarse de forma continua, no como un ejercicio estático de documentación. Hoy en día, es la aplicación de la tecnología.
Hace diez años, construir una matriz de riesgos en Excel era, en muchas organizaciones, un paso adelante en la sistematización de la función. Hoy, pretender gestionar riesgos complejos con documentos estáticos, actualizados a mano y desconectados de otras fuentes de información, empieza a resultar anacrónico. Lo que en 2015 modernizaba, en 2026 puede limitar a la propia función de Compliance.
Por eso también tienen que cambiar nuestras matrices de riesgos. Una matriz moderna debería integrar información de distintas fuentes y actualizarse con una frecuencia superior a la revisión anual, de modo que podamos responder a preguntas como qué riesgos han aumentado en los últimos seis meses, qué controles acumulan más excepciones, qué terceros generan más incidencias, qué planes de acción están vencidos o qué controles funcionan en teoría, pero no en la práctica. Dejaría de ser un repositorio para convertirse en una herramienta útil de gestión. Y hoy en día, eso se traduce en diseño y aplicación de IA.
En un promotor de energías renovables, por ejemplo, eso significa que la alerta salte automáticamente cuando un intermediario de permisos, un contratista EPC o un proveedor de la cadena de suministro aparece en una lista de sanciones o de personas políticamente expuestas, en lugar de descubrirlo semanas después en una revisión manual.
Lo mismo ocurre con los indicadores. Saber que se realizaron 500 revisiones de terceros es interesante; saber cuántas excepciones se detectaron, qué porcentaje fueron críticas, cuánto tardaron en resolverse y si la tendencia mejora o empeora permite decidir. Compliance debe pasar de los indicadores de actividad a los de riesgo y eficacia (los famosos KRIs o key risk indicators): no basta con medir cuánto hacemos, hay que medir qué conseguimos con lo que hacemos. Y un Consejo de Administración no necesita más información, sino mejor información: la que permite decidir dónde invertir recursos, qué control modificar, qué riesgo aceptar y dónde es imprescindible una intervención humana.
IA con criterio
Aquí aparece inevitablemente la inteligencia artificial, que ya forma parte del presente. Puede ayudarnos a analizar grandes volúmenes de información, detectar patrones e inconsistencias, clasificar documentación, priorizar revisiones, automatizar tareas repetitivas y facilitar el seguimiento de planes de acción. No significa delegar la responsabilidad en una máquina, sino que el profesional dedique menos tiempo a tareas mecánicas y más a aquellas en las que realmente aporta valor: analizar, cuestionar, contextualizar, decidir y justificar jurídicamente.
La IA puede ayudarnos a identificar una anomalía, pero no debería decidir sola qué significa para la organización. Puede resumir información, pero no debería sustituir el juicio profesional que la interpreta. Puede calcular un indicador, pero no debería fijar el nivel de riesgo que la organización está dispuesta a aceptar. La tecnología aumenta nuestra capacidad de análisis, pero la responsabilidad continúa siendo humana, y también en sentido jurídico: delegar en un algoritmo no traslada la responsabilidad del órgano de cumplimiento ni del órgano de administración.
Existe, además, una paradoja. Uno de los argumentos más habituales contra la IA en Compliance es que se pierde el componente humano, y puede suceder exactamente lo contrario. Un equipo que tarda dos días en consolidar manualmente la información de un indicador podría dedicar ese tiempo a revisar por qué ciertos terceros presentan un patrón de riesgo, investigar excepciones o diseñar una mejora de control. Ese debería ser el verdadero retorno de la tecnología: no hacer lo mismo con menos recursos, sino hacer menos trabajo mecánico para poder hacer más trabajo de valor.
Pero conviene decirlo: la IA es también una fuente de riesgo de compliance. Su uso en investigaciones internas plantea problemas de confidencialidad y de protección de datos; la analítica sobre el comportamiento de los empleados tiene límites laborales y de privacidad; el canal de denuncias, protegido en España por la Ley 2/2023, exige garantías de confidencialidad que una herramienta mal configurada puede comprometer; y un resultado que no sabemos explicar difícilmente podremos justificarlo ante un regulador o un juez.
El nuevo equipo de Compliance
El marco europeo apunta en la misma dirección. El Reglamento de IA mantiene, reformulada tras el Ómnibus digital de julio de 2026, la obligación de promover la alfabetización en IA del personal, y prevé para los sistemas de alto riesgo un sistema de gestión de riesgos continuo y documentado, exigible desde diciembre de 2027 para los del anexo III. La señal es clara: no basta con controlar la tecnología, hay que desarrollar capacidad para comprenderla y gobernarla. Un profesional de Compliance que no entiende mínimamente cómo funciona un modelo de IA tendrá cada vez más dificultades para evaluar los riesgos derivados de su uso. No necesitamos convertir a todos los profesionales de Compliance en ingenieros o matemáticos, pero sí necesitamos alfabetización tecnológica suficiente para formular las preguntas correctas.
El futuro de Compliance no pertenece solo al abogado, ni solo al experto tecnológico, ni solo al especialista en riesgos: pertenece a equipos capaces de combinar esas disciplinas. El abogado seguirá siendo fundamental para interpretar la norma, identificar obligaciones, evaluar responsabilidades y traducir el riesgo jurídico a decisiones empresariales. Pero trabajará cada vez más cerca del especialista en datos, del experto en privacidad, del profesional de ciberseguridad y del responsable de procesos, y todos necesitarán entender el lenguaje de los demás.
Durante años hemos defendido que Compliance debe estar cerca del negocio. Ahora toca dar un paso más: Compliance debe entender cómo funciona la tecnología que eficienta los procesos. No podemos diseñar controles eficaces para procesos que no comprendemos, ni evaluar un riesgo tecnológico sin entender mínimamente la tecnología, ni gobernar el uso de la IA sin utilizarla y conocer sus límites. Y no podemos pedir a la organización que gestione riesgos dinámicos si nuestros propios sistemas de gestión del riesgo permanecen estáticos.
No estamos sustituyendo el criminal compliance: estamos construyendo sobre él. El artículo 31 bis seguirá siendo una pieza relevante del sistema español de responsabilidad penal de las personas jurídicas, y los modelos de prevención de delitos conservarán una función esencial. Pero el universo de Compliance es hoy mucho más amplio, y la función ya no consiste solo en evitar que alguien cometa un delito, sino en ayudar a la organización a identificar sus obligaciones, entender sus riesgos, diseñar controles proporcionales, detectar desviaciones y decidir con información.
Volviendo a aquella sala de Madrid: lo que más me llamó la atención no fue ninguna herramienta, sino ver al penalista, al ingeniero y al matemático hablando de lo mismo. Esa imagen resume el reto mejor que cualquier tendencia. El artículo 31 bis nos enseñó a construir modelos que previenen delitos; el siguiente paso es construir sistemas que se vean funcionar, con datos, con indicadores y con controles que se puedan demostrar. La tecnología hará el trabajo mecánico, y lo hará bien. Lo que no podrá hacer es decidir qué riesgo estamos dispuestos a asumir ni responder por esa decisión. Eso seguirá siendo nuestro, humano. Por eso el mejor Compliance de 2026 no será el que más herramientas tenga, sino el que mejor criterio ponga a su servicio.
Renovarse, en nuestra profesión, no consiste en dejar de ser juristas. Consiste en dejar de ser “solo” juristas.
Alnair Gallego, International Compliance Senior Manager en Invenergy, España
Escríbenos a contacto@compliancelatam.legal para más información.
09-10-2026 | CR& Partners, Noticias, Tech
El nuevo canal permite denunciar ante la Agencia, a través de plataformas digitales, el posible incumplimiento de las obligaciones establecidas en los Decretos n.º 12.975/26 y n.º 12.976/26.
La Agencia Nacional de Protección de Datos (ANPD) de Brasil ha habilitado una página específica para recibir quejas en línea relacionadas con el incumplimiento de las obligaciones establecidas en los Decretos N° 12.975/2026 y N° 12.976/2026, que actualizan la normativa del Marco de Derechos Civiles en Internet ( MCI ). Este nuevo canal tiene como objetivo facilitar el envío de información que pueda orientar las acciones de seguimiento y supervisión de la Agencia con respecto a posibles incumplimientos por parte de los proveedores de aplicaciones de internet, incluidas las plataformas digitales y las redes sociales.
A través de esta página, cualquier persona física o jurídica puede denunciar ante la ANPD la ausencia de canales adecuados en las plataformas digitales para recibir notificaciones sobre contenido delictivo o ilícito, fallos en los mecanismos diseñados para prevenir la publicidad o la promoción de dicho contenido, la ausencia de un representante legal en Brasil, el incumplimiento de los plazos para la eliminación de contenido, fallos en las medidas destinadas a proteger contra la difusión o generación de contenido íntimo, entre otros.
Los dos decretos ampliaron las facultades de la ANPD para proteger a los usuarios en el entorno digital. El Decreto n.º 12.975/2026, que actualizó la normativa de la MCI, detalló las obligaciones de las plataformas digitales en materia de transparencia, prevención y mitigación de riesgos, lucha contra el fraude y las estafas en línea, así como la eliminación de contenido delictivo o ilícito. El Decreto n.º 12.976 estableció directrices específicas para proteger a las mujeres contra las formas de violencia en el entorno digital, incluidas las relacionadas con la producción, modificación y difusión de contenido íntimo mediante tecnologías digitales e inteligencia artificial.
Medidas administrativas y reglamentarias
La función de la Agencia consiste en investigar las infracciones derivadas del incumplimiento de las obligaciones estipuladas en los Decretos, como el deber de diligencia de los proveedores de aplicaciones de internet que intermedian contenido generado por terceros. La ANPD es responsable de verificar si las plataformas digitales están adoptando mecanismos, procesos, estructuras de gobernanza y medidas técnicas y organizativas adecuadas para cumplir con las obligaciones establecidas en la legislación.
Las situaciones que constituyan delitos deben ser remitidas a las autoridades policiales competentes, sin perjuicio de la supervisión administrativa de las actividades de las plataformas por parte de la ANPD. La Agencia no investiga delitos ni actúa para exigir responsabilidades penales a sus autores.
En casos de violencia contra las mujeres que impliquen la divulgación o difusión de contenido íntimo, también se puede utilizar la Línea de Ayuda para Mujeres (180). Cuando la legislación exige la eliminación de cierto contenido, la solicitud debe enviarse inicialmente a la plataforma antes de ser registrada ante la ANPD.
¿Cómo se gestionarán las quejas?
La información recibida se tendrá en cuenta para la planificación de las acciones de la Superintendencia de Inspección (SFI-ANPD), la mejora de la normativa y las iniciativas educativas de la ANPD. Por regla general, las quejas se analizarán de forma agregada y sistemática, lo que permitirá a la Agencia identificar patrones de posible incumplimiento y evaluar la necesidad de adoptar medidas de inspección o iniciar una investigación. Los casos graves que puedan afectar a un número significativo de personas podrán, excepcionalmente, recibir un tratamiento individualizado.
La ANPD no tiene potestad para moderar el contenido ni ordenar la eliminación de publicaciones específicas de internet. Asimismo, la Agencia no envía respuestas personalizadas a las quejas.
Para que la queja se tramite correctamente, es importante identificar claramente la empresa o plataforma denunciada y describir los hechos concretos que indiquen el incumplimiento de las obligaciones establecidas en los Decretos, proporcionando, siempre que sea posible, su nombre o razón social y dirección de correo electrónico.
¿Cómo presentar una queja?
En la página, tras seleccionar "Haga clic aquí para denunciar", el usuario debe hacer clic en "Iniciar", acceder al sistema con su cuenta GOV.BR y seleccionar la opción "Denunciar Marco Civil". No es necesario adjuntar documentos de identificación, pero se pueden incluir documentos y otra información que ayude a fundamentar las denuncias.
También es posible presentar una denuncia anónima, siempre que se aporten pruebas suficientes para demostrar o verificar los hechos denunciados. El estado de la solicitud puede consultarse en la sección "Mis solicitudes".
Con esta nueva página, la ANPD amplía las herramientas disponibles para identificar posibles infracciones de las obligaciones establecidas en el MCI y refuerza su función de supervisión destinada a proteger los derechos en el entorno digital.
Monitorización de plataformas digitales
Desde agosto, la ANPD ha estado monitoreando las principales plataformas digitales, tiendas de aplicaciones y herramientas de inteligencia artificial generativa para verificar si están adoptando medidas para cumplir con las obligaciones establecidas por los nuevos decretos que actualizan la normativa de la MCI, además de las obligaciones convergentes previstas en el Estatuto Digital de Niños y Adolescentes (ECA Digital). Entre otros criterios, los 22 agentes monitoreados fueron seleccionados considerando su alcance en el mercado brasileño, la relevancia de los servicios ofrecidos, las funcionalidades disponibles y los riesgos asociados con la circulación de contenido producido por terceros, especialmente en temas relacionados con la protección de niños, adolescentes y mujeres en el entorno digital.
Fuente: Gobierno de Brasil (5 de octubre de 2026).
01-10-2026 | az, Noticias
El Ambiente Tecnológico de Experimentación y Nuevas Aplicaciones (ATENA) es una infraestructura tecnológica que permitirá a las instituciones probar integraciones y desarrollos en un ambiente seguro y controlado.
La Comisión para el Mercado Financiero (CMF), con la colaboración del Banco Interamericano de Desarrollo (BID), lanzó el Sandbox Tecnológico ATENA (Ambiente Tecnológico de Experimentación y Nuevas Aplicaciones), una infraestructura tecnológica que permitirá a las instituciones probar integraciones y desarrollos en un ambiente seguro y controlado, facilitando su preparación para participar en el Sistema de Finanzas Abiertas (SFA).
El lanzamiento constituye un nuevo hito en el proceso de implementación del SFA establecido por la Ley N° 21.521, Ley Fintec. ATENA permitirá a las instituciones verificar su adecuación a los estándares técnicos definidos en la normativa, realizar pruebas de interoperabilidad con el Directorio de Participantes y avanzar tempranamente en la preparación del cumplimiento de los requisitos para participar en el SFA, antes de su entrada en vigencia prevista para julio de 2027.
Durante la apertura del evento, la presidenta de la CMF, Catherine Tornel, destacó que la implementación del SFA requiere no solo de regulación, sino también de infraestructura y espacios que permitan a los distintos participantes probar y validar sus soluciones antes de operar en producción.
"Más que un ambiente de pruebas, el Sandbox Tecnológico busca consolidarse como un espacio permanente de aprendizaje y colaboración entre la CMF y el ecosistema financiero. Permitirá reducir incertidumbres técnicas, facilitar la interoperabilidad entre distintos actores y promover una implementación más eficiente y uniforme de los estándares definidos", señaló la presidenta de la CMF.
Por su parte, la representante del BID para Chile, Katharina Falkner-Olmedo, resaltó que Chile cuenta con un marco normativo robusto, una mirada estratégica y de liderazgo por parte del regulador, lo que transforma al país en un referente para la región, que mira con mucha atención estos avances.
"Chile se ha convertido en un referente en la promoción de las finanzas abiertas en la región al ser el primer país al implementar la solución APIBox. Para el BID, acompañar a la CMF en este proceso es parte de nuestro compromiso con un sistema financiero más moderno, más innovador y que llegue a más personas", dijo Katharina Falkner-Olmedo.
Entre las herramientas disponibles en ATENA se encuentra el Directorio de Participantes, componente que permitirá probar procesos de identificación de participantes, credenciales digitales e interacciones necesarias para establecer relaciones de confianza entre las instituciones, elemento fundamental para la confianza, interoperabilidad y seguridad del SFA.
El desarrollo del Sandbox Tecnológico fue cofinanciado por el Banco Interamericano de Desarrollo (BID), en el marco de una iniciativa concebida como un bien público digital regional llamado APIBox, desarrollado bajo la iniciativa BIDPago. Su lanzamiento contó además con la participación de representantes de la industria financiera y tecnológica, asociaciones gremiales y delegaciones de reguladores de Perú, Uruguay, Ecuador y Bolivia, reforzando la dimensión regional de los desafíos asociados al desarrollo de las finanzas abiertas.
La jornada contempló presentaciones de la CMF y del BID, junto con el panel "Sandbox ATENA: el valor de construir un sistema más robusto", en el que representantes de la industria profundizaron en las oportunidades que ofrece el Sandbox Tecnológico y los desafíos y oportunidades asociados a la implementación del SFA.
La CMF invitó a las instituciones del ecosistema financiero a utilizar ATENA para testear sus componentes e integraciones, conocer el funcionamiento del Directorio de Participantes y validar modelos de negocio, generando aprendizajes que contribuyan a una implementación segura, interoperable y eficiente del SFA en Chile.
Fuente: Comisión para el Mercado Financiero - CMF (30 de septiembre de 2026)
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
01-10-2026 | az, Opinión, Tech
Por Daniel Soto, Chief Information Security Officer en CGE, Chile
Hace apenas una década, hablar de un apagón se asociaba a fallas mecánicas, sobrecargas o eventos climáticos. Hoy, el escenario es distinto: un ciberataque puede apagar una ciudad con la misma eficacia que una tormenta, sin necesidad de tocar un solo cable. Los incidentes contra infraestructura crítica energética alrededor del mundo, desde ataques a operadores de transmisión en Europa del Este hasta compromisos de cadena de suministro que han afectado a fabricantes de equipos SCADA, ya no son hipótesis de laboratorio. Son la nueva normalidad, y la industria eléctrica chilena no está exenta de ella.
La transformación digital del sector energético ha traído beneficios innegables: redes inteligentes, integración masiva de energías renovables distribuidas, automatización avanzada de subestaciones y uso creciente de inteligencia artificial para optimizar el despacho y la mantención predictiva. Pero cada sensor IoT, cada RTU conectada, cada interfaz entre los mundos IT y OT que antes vivían aislados, amplía la superficie de ataque. La convergencia tecnológica que nos hace más eficientes es, simultáneamente, la puerta de entrada para adversarios cada vez más sofisticados: grupos de ransomware que ya no solo cifran datos, sino que buscan interrumpir procesos físicos; actores patrocinados por estados con interés geopolítico en la infraestructura energética, y compromisos de terceros proveedores que convierten a toda la cadena de suministro en un eslabón vulnerable.
Chile ha respondido a este desafío con una velocidad regulatoria inédita. La Ley Marco de Ciberseguridad (21.663) y la creación de la Agencia Nacional de Ciberseguridad (ANCI) marcan un antes y un después: las empresas eléctricas ya están siendo calificadas como Operadores de Importancia Vital, lo que trae consigo obligaciones concretas de reporte de incidentes, gestión de riesgos y estándares mínimos de seguridad exigibles por ley y no solo por buenas prácticas. A esto se suma la Ley de Protección de Datos Personales (21.719) que si bien esta en veremos, impone una capa adicional de responsabilidad sobre la información que estas operaciones digitales generan y procesan.
Este nuevo marco normativo no llega en el vacío. Muchas empresas del sector ya venían adoptando voluntariamente referentes internacionales como IEC 62443 para la seguridad de sistemas de automatización industrial, o NERC CIP como estándar de facto para la protección de infraestructura eléctrica crítica, anticipándose a una exigencia que hoy es ley. La pregunta ya no es si debemos cumplir, sino si tenemos la madurez organizacional, el talento especializado y la cultura de seguridad necesarios para hacerlo de forma genuina y no meramente documental.
Aquí está el verdadero desafío. El cumplimiento normativo puede convertirse en una casilla marcada en una auditoría, o puede ser la palanca que finalmente sitúe a la ciberseguridad OT donde siempre debió estar: en el centro de la estrategia de resiliencia energética del país. La diferencia la marcan las personas: equipos de seguridad que entiendan tanto de protocolos industriales como de amenazas emergentes, gobiernos corporativos que prioricen la inversión en detección temprana y no solo en respuesta a incidentes, y una colaboración público-privada real que permita compartir inteligencia de amenazas antes de que el próximo ataque nos tome por sorpresa.
La transición energética y la digitalización de la red eléctrica chilena no tienen vuelta atrás, ni deberían tenerla. Pero avanzar sin una protección y defensa en ciberseguridad robusta como condición habilitante —no como obstáculo, ni como trámite regulatorio— es construir sobre cimientos frágiles. La ley ya puso el estándar. Ahora corresponde a la industria demostrar que puede ir más allá del cumplimiento y convertir la seguridad de la información en una ventaja competitiva y, sobre todo, en garantía de continuidad para millones de hogares y empresas que dependen de un suministro eléctrico confiable.
Referencia: algunos ataques conocidos al sector eléctrico a nivel mundial
- Ucrania, diciembre 2015 — BlackEnergy: primer ciberataque documentado que logró interrumpir una red eléctrica; dejó sin electricidad a cerca de 225 mil personas.
- Ucrania, diciembre 2016 — Industroyer/CrashOverride: primer malware diseñado específicamente para atacar sistemas eléctricos; automatizó la apertura de disyuntores en una subestación cercana a Kiev y dejó sin energía a una quinta parte de la ciudad.
- Estados Unidos, 2024 — según Check Point Research, los ciberataques contra empresas de utilities subieron 70%, de 689 a 1.162 incidentes respecto del año anterior.
- Sector energético global, 2025 — un informe de Trustwave registró un alza de 80% interanual en ataques de ransomware contra el sector energético, con 84% de los casos iniciados por phishing.
- Polonia, diciembre 2025 — ataque atribuido al grupo Berserk Bear contra sistemas IT y OT de la red eléctrica polaca de forma simultánea.
- Recursos energéticos distribuidos (DER), diciembre 2025 — Dragos documentó el que describe como el primer incidente mayor dirigido específicamente contra este tipo de activos.
Daniel Soto, Chief Information Security Officer en CGE, Chile
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
29-09-2026 | az, Opinión, Tech
Por Juan Pablo González, Director de Nuevas Tecnologías e IA en az
Actualmente, Chile está debatiendo sobre uno de los temas más importantes de nuestra era: cómo usar de forma responsable los sistemas de inteligencia artificial. En ese sentido, es de gran relevancia abordar una serie de vacíos que existen hoy a nivel regulatorio.
El primero de ellos es que no hay claridad sobre los derechos y responsabilidades en la cadena de generación de los sistemas de IA, es decir, desde los desarrolladores hasta el resultado final. Además, no están claras las obligaciones para explicar, auditar y, por ende, impugnar decisiones que se produzcan en los sistemas de IA, salvo la normativa de datos personales; lo que, sin duda, implica una carencia desde el enfoque de riesgo y, por tanto, limita la adopción de una visión preventiva al respecto.
A nivel de propiedad intelectual, interrogantes como la autoría de los resultados de IA; uso de obras protegidas y eventual excepción para entrenar modelos; responsabilidades claramente definidas para infracciones y, por ende, titularidad de componentes clave en los procesos de entrenamiento del modelo, no están resueltos del todo a nivel normativo. Asimismo, desde una perspectiva de la confidencialidad, no existe una regulación homogénea sobre el uso de información en plataformas externas, reglas de retención o eliminación de información para el entrenamiento de modelos, así como obligaciones de terceras partes, lo que, sin duda, puede afectar al momento de tomar decisiones confiables basadas en los resultados de sistemas de IA.
En la búsqueda de soluciones, podemos observar buenas prácticas de otros países. Estándares como ISO 42.001 sobre Sistema de Gestión para IA permiten avanzar hacia una gobernanza clara y, por ende, definir prácticas internas sobre los sistemas y usos de la IA. En este sentido, hay una serie de prácticas que pueden acelerar la adopción de inteligencia artificial de manera segura en las organizaciones. Entre ellas se encuentran la creación de un inventario de sistemas dentro de la organización; gestión del riesgo que tiene la IA durante todo su ciclo; y enfoque de privacidad y seguridad por diseño y por defecto.
Así también, es fundamental la transparencia y contar con mecanismos de trazabilidad, lo que permitirá entrenar modelos hasta eventuales cambios en la configuración de los sistemas; adoptar controles desde la restricción de accesos, así como la supervisión humana; y establecer esquemas claros de auditoría a los sistemas de IA.
El desafío es que estamos intentando establecer reglas para una tecnología cuya evolución y alcance todavía no podemos dimensionar completamente. Por eso, regular la inteligencia artificial no puede consistir únicamente en responder a los riesgos que ya conocemos, sino en construir una institucionalidad capaz de identificar, evaluar y gestionar aquellos que irán apareciendo. Chile tiene la oportunidad de cerrar los vacíos actuales combinando regulación, estándares internacionales y mecanismos de gobernanza que permitan anticiparse sin impedir la innovación.
Juan Pablo González, Director de Nuevas Tecnologías e IA en az | Fuente: Diario Financiero (21 de septiembre de 2026)
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
25-09-2026 | Bustamante Fabara, Noticias, Tech
Las normativas delimitan las responsabilidades de los proveedores y encargados de sistemas de IA, establece nuevas garantías para el tratamiento de datos biométricos y refuerza los procedimientos digitales para denunciar incidentes y notificar vulneraciones de seguridad.
El 10 de septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) publicó cuatro nuevas resoluciones clave expedidas el 9 de septiembre del presente año:
- SPDP-SPD-2026-0037-R, que reforma la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
- SPDP-SPD-2026-0038-R, que reforma el Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes.
- SPDP-SPD-2026-0039-R, que expide la Norma General para el Tratamiento de Datos Biométricos.
- SPDP-SPD-2026-0040-R, que expide la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales.
Resolución No. SPDP-SPD-2026-0037-R (Reforma Inteligencia Artificial “IA”)
La reforma precisa el alcance de las obligaciones aplicables a los encargados que tengan acceso, visibilidad o control efectivo sobre datos personales tratados mediante sistemas de IA. Asimismo, incorpora estas categorías como definiciones operativas para determinar cuándo un encargado queda sujeto a la norma.
Los proveedores, desarrolladores o mantenedores de sistemas de IA deberán proporcionar al responsable información suficiente sobre su funcionamiento, limitaciones, riesgos previsibles y medidas de control, sin revelar secretos comerciales o propiedad intelectual. Las obligaciones serán exigibles únicamente respecto de las operaciones sobre las que el encargado tenga acceso, visibilidad o control efectivo, debiendo conservar evidencia cuando alegue que dichas condiciones no existen.
Resolución No. SPDP-SPD-2026-0038-R (Reforma Denuncias y Solicitudes)
La reforma actualiza las definiciones de denuncia, solicitud y constancia de recepción, y establece la presentación digital obligatoria de estos trámites mediante la página web de la SPDP o dentro del sistema desarrollado por el regulador denominado como SISPDP. Los formularios deberán contar con firma electrónica válida o, excepcionalmente, firma manuscrita digitalizada.
En actuaciones previas, el sujeto investigado contará con 10 días para pronunciarse sobre los hallazgos preliminares, mientras que la decisión administrativa deberá notificarse en un plazo máximo de 6 meses.
Resolución No. SPDP-SPD-2026-0039-R (Datos Biométricos)
La norma establece condiciones, garantías y límites para el tratamiento de datos biométricos. Todo tratamiento deberá estar precedido de un análisis de riesgos y una evaluación de impacto (EIPD), la cual deberá actualizarse cada 12 meses.
Cuando el tratamiento se base en consentimiento, este deberá ser previo, libre, específico, informado, inequívoco y explícito, y deberá ofrecerse al titular una alternativa que no requiera el uso de biometría.
Se prohíbe la identificación masiva e indiscriminada en espacios públicos, salvo mandato legal, así como la reutilización de datos biométricos para finalidades distintas de aquellas que justificaron su obtención. Para menores de edad, se establecen restricciones reforzadas y requisitos específicos de consentimiento. Los responsables que ya utilicen sistemas biométricos dispondrán de 12 meses para adecuarse a la norma.
Resolución No. SPDP-SPD-2026-0040-R (Vulneraciones de Seguridad)
La norma regula la notificación y gestión de vulneraciones de seguridad por parte de responsables y encargados. Las vulneraciones pueden comprometer la confidencialidad, integridad y disponibilidad, considerando además criterios de temporalidad, permanencia e irreversibilidad.
Las notificaciones deberán efectuarse mediante el SISPDP, y su omisión será considerada una infracción grave conforme a la LOPDP. Asimismo, se incorpora el AIxSPDP, sistema experto auxiliar basado en inteligencia artificial y sujeto a intervención humana, destinado a facilitar la trazabilidad, generación de métricas y análisis de riesgos de las notificaciones.
