Notas de la IAPP América Latina: Avances en la implementación de normas sobre IA y protección de datos

Durante los últimos meses, distintos países de la región tuvieron novedades en materia de IA y protección de datos personales. Por ejemplo, Brasil publicó los primeros resultados de su sandbox regulatorio; Chile continuó preparando la entrada en vigor de su nueva ley; Argentina sumó nuevos proyectos de modernización legislativa; y Colombia incorporó lineamientos de seguridad y privacidad para los sistemas de IA utilizados por entidades públicas.

En Brasil, la Autoridade Nacional de Proteção de Dados publicó este 2 de julio el primer informe parcial de seguimiento de su sandbox regulatorio sobre IA y protección de datos personales. El proyecto piloto, iniciado en marzo, acompaña a tres empresas —Metatext, Synapse AI y Prevvine Tecnologia — que prueban soluciones basadas en IA dentro de un entorno experimental, controlado y supervisado por la autoridad.

De acuerdo con este primer informe, el primer ciclo se concentró en la estructuración de los entornos de prueba y todavía no incluyó una evaluación completa de las soluciones. Durante esta fase se identificaron desafíos tecnológicos, jurídicos y operativos relacionados con la gobernanza, la seguridad, la transparencia y la protección de datos. La ANPD indicó que los siguientes ciclos profundizarán el análisis de la seguridad digital, la anonimización, la gobernanza de datos y la producción de evidencia. 

También en julio, la ANPD y el Programa de las Naciones Unidas para el Desarrollo anunciaron la contratación de especialistas para elaborar cinco estudios técnicos. Los temas seleccionados son el diseño manipulativo o los patrones oscuros; los mecanismos de supervisión familiar y la autonomía progresiva de niños y adolescentes; el perfilamiento y la publicidad dirigida a menores; los agentes de IA; y el tratamiento de datos en plataformas de transporte y entregas. Los informes servirán como insumo para las iniciativas incluidas en la Agenda Regulatoria 2025–2026 de la autoridad.

Chile, por su parte, continúa preparándose para la entrada en vigor de la Ley 21.719, prevista para el 1 de diciembre de 2026. La norma modifica de manera integral la Ley 19.628 sobre protección de la vida privada y crea la Agencia de Protección de Datos Personales.

Como parte del proceso de implementación, la Secretaría de Gobierno Digital publicó una guía destinada a los órganos de la Administración del Estado. El documento recomienda designar a un responsable institucional, constituir un proyecto de implementación, realizar un inventario de los tratamientos de datos y elaborar políticas, protocolos y procedimientos internos. El relevamiento propuesto incluye datos sensibles, bases de legitimación, períodos de conservación, transferencias internacionales y plataformas o sistemas de IA asociados con cada tratamiento.

La guía establece, además, un cronograma de preparación para el sector público. Entre sus principales hitos figuran la elaboración de catálogos de datos personales durante mayo y junio, la adopción de políticas de tratamiento en julio y la preparación de protocolos, reglas y procedimientos entre agosto y noviembre de 2026. También recomienda capacitar a los equipos que tratan datos personales, especialmente cuando se trata de información sensible.

Por otro lado, en Argentina, durante 2026 se presentaron algunas iniciativas destinadas a reemplazar o reformar la Ley de Protección de Datos N.º 25.326, vigente desde el año 2000. Por ejemplo, el Proyecto 1751-D-2026, presentado por el Diputado Yeza en abril, propone establecer un nuevo marco regulatorio para la protección de los datos personales y derogar la legislación actual. El expediente fue girado a distintas comisiones.

El proyecto contempla disposiciones sobre datos inferidos, decisiones automatizadas, sistemas de IA, categorización de tratamientos según su riesgo y sandboxes regulatorios. 

Por último, en Colombia, el Ministerio de Tecnologías de la Información y las Comunicaciones actualizó el Modelo de Seguridad y Privacidad de la Información para incorporar lineamientos específicos sobre sistemas de IA. Las directrices se aplican al diseño, desarrollo, implementación, operación y mantenimiento de estos sistemas en las entidades públicas y están alineadas con el Documento CONPES 4144 de 2025, que contiene la política nacional de IA. 

Los lineamientos contemplan medidas técnicas, organizativas y normativas para gestionar los riesgos asociados con la IA y proteger la información y los datos personales. Entre las salvaguardas mencionadas se encuentran el monitoreo continuo, el análisis de anomalías, la correlación de eventos de seguridad y las pruebas de robustez de los modelos. Aunque están dirigidos principalmente a entidades públicas, el Ministerio indicó que también pueden servir como referencia para organizaciones del sector privado.

En conjunto, todas estas novedades muestran etapas diferentes de implementación regulatoria. Brasil está generando evidencia mediante pruebas supervisadas; Chile prepara a sus organismos públicos para la entrada en vigor de su nueva ley; Argentina mantiene varios proyectos de reforma en el Congreso; y Colombia comenzó a incorporar requisitos específicos de seguridad y privacidad para los sistemas de IA utilizados por el Estado.