América Latina atraviesa la fase más activa de su historia regulatoria en materia de inteligencia artificial y protección de datos personales. Según se informó desde la IAPP, los países de la región acumulan avances simultáneos en implementación normativa que, por primera vez, apuntan a converger con estándares internacionales. El mapa ya no es el de hace tres años: hay leyes en vigor, autoridades operativas y, en algunos casos, primeras sanciones.
El fenómeno no es uniforme. Mientras Brasil consolida la Autoridade Nacional de Proteção de Dados (ANPD) como referencia regional —con resoluciones sobre bases legales, evaluaciones de impacto y, desde 2024, guías específicas para el uso de IA en tratamiento de datos personales—, otros países todavía debaten si su marco de privacidad vigente es suficiente para cubrir los riesgos que introducen los sistemas automatizados de toma de decisiones. Esa brecha entre vanguardia y rezago es el dato estructural de la región en este momento.
Brasil y Colombia lideran la implementación con instrumentos concretos
Brasil es el caso de mayor desarrollo institucional. La LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) tiene ya jurisprudencia administrativa acumulada, y la ANPD avanza en su agenda regulatoria con énfasis en tres frentes: tratamiento de datos de menores, transferencias internacionales y —el más relevante para el momento actual— decisiones automatizadas bajo el artículo 20 de la ley, que reconoce el derecho del titular a solicitar revisión humana de decisiones tomadas exclusivamente por algoritmos. La ANPD publicó en 2024 un documento de referencia sobre el tema que, según se informó, está siendo revisado a la luz del avance del marco europeo de IA.
Colombia, por su parte, opera bajo la Ley 1581 de 2012 y su decreto reglamentario, con la Superintendencia de Industria y Comercio (SIC) como autoridad de control. La SIC ha emitido circulares sobre el uso de datos en sistemas de IA y, en 2024, presentó lineamientos para el tratamiento de datos en modelos de lenguaje de gran escala. No es legislación vinculante todavía, pero establece una posición institucional que anticipa regulación formal. Colombia también participó activamente en las discusiones del marco interamericano de IA impulsado por la OEA.
Argentina y México: marcos de privacidad que preceden a la IA y muestran sus límites
Argentina tiene la Ley 25.326 de Protección de Datos Personales —una de las más antiguas de la región, sancionada en el año 2000— y una reforma pendiente desde hace años que el Congreso no ha logrado aprobar. La Agencia de Acceso a la Información Pública (AAIP) emitió en 2023 recomendaciones sobre IA y datos personales, pero sin fuerza normativa vinculante. El problema concreto es que el artículo 20 de la ley vigente limita parcialmente las decisiones automatizadas, pero fue redactado antes de que existieran los sistemas actuales de machine learning: su aplicación a modelos fundacionales es, en el mejor caso, interpretativa. Una reforma legislativa que modernice ese articulado —con estándares explícitos de explicabilidad, auditoría y evaluación de impacto— sigue siendo la deuda más clara del ecosistema argentino.
México opera bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) y su equivalente para el sector público (LPDPPSO, 2017), con el INAI como autoridad de control. El instituto ha publicado guías sobre IA y datos personales, pero la discusión regulatoria específica sobre sistemas de IA de alto riesgo —al estilo del AI Act europeo— no tiene todavía un vehículo legislativo propio. El INAI enfrenta además un escenario institucional complejo: su presupuesto y autonomía han sido objeto de debate político, lo que genera incertidumbre sobre su capacidad de enforcement en temas emergentes.
El AI Act europeo como referencia, no como modelo de copia directa
Varios países de la región toman el Reglamento de Inteligencia Artificial de la Unión Europea (AI Act, Reglamento UE 2024/1689, en vigor desde agosto de 2024) como punto de partida para sus propios marcos. La lógica es comprensible: es el instrumento más desarrollado disponible, con clasificación por niveles de riesgo, prohibiciones específicas y requisitos de transparencia. Sin embargo, los equipos legales que operan en LATAM deberían evitar una trasposición mecánica. Las estructuras de enforcement de la región son distintas —autoridades de privacidad con recursos limitados, ausencia de autoridades sectoriales de IA en la mayoría de los países—, y los sectores de mayor riesgo no son idénticos: el uso de IA en crédito informal, en sistemas de bienestar social y en procesos migratorios tiene una escala y una urgencia diferentes a las del contexto europeo.
Lo que sí es directamente aplicable es el principio de evaluación de impacto en protección de datos (EIPD/DPIA) para sistemas de IA que traten datos personales a escala. Tanto la LGPD brasileña como la LFPDPPP mexicana y la Ley 1581 colombiana contienen bases para exigir ese análisis, aunque con distintos niveles de desarrollo reglamentario.
Chile y Perú: reformas en curso con cronogramas definidos
Chile aprobó en 2024 su nueva Ley de Protección de Datos Personales (Ley 21.719), que moderniza el marco vigente desde 1999 y crea el Consejo para la Transparencia con funciones ampliadas de control. La ley incluye disposiciones sobre decisiones automatizadas y establece plazos de implementación progresiva hasta 2026. Es el avance legislativo más significativo de la región en los últimos dos años y pone a Chile en condiciones de negociar adecuación con la Unión Europea. Perú, por su parte, opera bajo la Ley 29733 con la Autoridad Nacional de Protección de Datos (ANPD-Perú) adscrita al Ministerio de Justicia; hay un proyecto de reforma en discusión que incorpora elementos de la economía digital, pero sin cronograma aprobado.
Qué monitorear en los próximos seis meses
Los hitos regulatorios más relevantes para el segundo semestre de 2025 y primer trimestre de 2026 incluyen: la resolución de la ANPD brasileña sobre decisiones automatizadas, que según se informó podría publicarse antes de fin de año; la entrada en vigor progresiva de la Ley 21.719 chilena; y el avance —o estancamiento— de la reforma a la Ley 25.326 en el Congreso argentino. A nivel regional, el proceso de elaboración de un marco interamericano de IA en el seno de la OEA es un espacio a seguir, aunque sus productos son de naturaleza no vinculante.
Nuestro análisis
La convergencia regulatoria en LATAM es real pero asimétrica. Brasil y Chile tienen marcos técnicamente robustos con autoridades que pueden hacer enforcement. Colombia construye posición institucional sin legislación específica de IA todavía. Argentina y México tienen leyes de privacidad que funcionan como red de contención, pero con evidentes limitaciones para capturar los riesgos de los sistemas de IA actuales. Para las empresas que operan en múltiples jurisdicciones de la región, la estrategia de “cumplir con LGPD y replicar” es un punto de partida razonable, pero insuficiente: las especificidades de cada marco —especialmente en decisiones automatizadas, transferencias internacionales y datos sensibles— requieren análisis jurisdicción por jurisdicción. El riesgo de enforcement cruzado es bajo hoy; en 24 meses, con autoridades más consolidadas, ese cálculo cambia.
La pregunta que los equipos legales y de datos deberían estar respondiendo ahora no es si su empresa cumple con la regulación vigente, sino si su arquitectura de gobernanza está preparada para las obligaciones que llegan en 2026.
