India está condicionando la expansión de su infraestructura pública digital financiera —conocida como DPI (Digital Public Infrastructure)— a requisitos más exigentes de gobernanza de datos. La decisión convierte a la mayor democracia del mundo en un caso de referencia para economías emergentes que buscan escalar sistemas de pagos e identidad digital sin sacrificar el control sobre los datos que circulan por esos sistemas.
El movimiento indio no es menor en términos de escala. La pila DPI del país —que incluye Aadhaar (identidad biométrica), UPI (pagos en tiempo real) y el Account Aggregator Framework— procesa miles de millones de transacciones mensuales y está siendo replicada o adaptada por gobiernos de África, Asia del Sur y, progresivamente, América Latina. Que India decida ahora elevar las expectativas de gobernanza de datos sobre esa infraestructura envía una señal clara: la expansión sin marcos de control es políticamente insostenible y operativamente riesgosa.
Qué implica vincular DPI con gobernanza de datos en la práctica
La conexión entre infraestructura pública digital y gobernanza de datos no es retórica. Según se informó, las expectativas regulatorias emergentes en India apuntan a que los operadores de DPI financiero deban demostrar capacidades concretas: clasificación de datos por sensibilidad, linaje auditable de los flujos de información entre entidades participantes, y mecanismos de consentimiento verificable para el acceso a datos del usuario. Esto se alinea con el Marco de Protección de Datos Digitales Personales (DPDPA, por sus siglas en inglés), sancionado en 2023, que establece obligaciones para “fiduciarios de datos” —equivalente al concepto de data controller en terminología GDPR— y para los procesadores que operan por delegación.
Desde una perspectiva de gobierno del dato corporativo, el modelo indio obliga a los participantes del ecosistema DPI a operar con capabilities equivalentes al nivel 5 o superior del CDMC (Cloud Data Management Capabilities) del EDM Council: ownership claro sobre cada conjunto de datos, catálogos activos con metadatos de calidad y controles de acceso basados en roles auditables. En muchos casos, las entidades financieras de mercados emergentes que se integran a DPI no tienen esos controles formalizados —los tienen implícitos en sus sistemas core, pero sin la documentación que un regulador puede auditar.
El Account Aggregator Framework como modelo de consentimiento estructurado
Uno de los componentes más relevantes del DPI indio para el debate global es el Account Aggregator (AA) Framework. Este sistema permite que los usuarios autoricen —y revoquen— el flujo de sus datos financieros entre instituciones de manera granular, con registros auditables de cada consentimiento. No es solo privacidad: es gobernanza de datos aplicada a escala de infraestructura nacional. El fiduciario de datos en este modelo no puede invocar un consentimiento genérico; debe demostrar que el dato fue compartido dentro del alcance, el propósito y el período habilitado por el usuario.
Este diseño responde directamente a la crítica que organismos como el BIS (Bank for International Settlements) han formulado sobre los sistemas DPI de primera generación: que al escalar la conectividad financiera sin arquitecturas de consentimiento, se crean repositorios de datos de comportamiento financiero masivos con escasa rendición de cuentas. India parece haber internalizado esa crítica en su expansión actual.
Brasil con Open Finance y México con CoDi: dos experiencias LATAM bajo la misma presión
América Latina no es ajena a esta tensión. Brasil desplegó Open Finance —anteriormente Open Banking— bajo regulación del Banco Central (Resolução Conjunta nº 1/2020 y sus actualizaciones), con un modelo de consentimiento que en varios aspectos espeja el Account Aggregator indio: el usuario autoriza la portabilidad de sus datos y puede revocarla en cualquier momento. Sin embargo, el Banco Central de Brasil y la ANPD (Autoridade Nacional de Proteção de Dados) aún trabajan en delimitar con precisión las obligaciones de linaje de datos para los participantes del ecosistema, una brecha que las auditorías internas de entidades financieras grandes han identificado como riesgo de compliance bajo la LGPD.
México, por su parte, opera el sistema de pagos CoDi sobre la infraestructura del SPEI del Banco de México. La Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera, 2018) establece bases para el uso compartido de datos financieros, pero el ecosistema de Open Finance mexicano está aún en desarrollo normativo. Las ITF (Instituciones de Tecnología Financiera) que operan bajo supervisión de la CNBV deben cumplir la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), pero los marcos específicos de data stewardship para flujos DPI no están formalizados con el nivel de granularidad que India está empujando. Colombia avanza en una dirección similar: su marco de Open Finance, impulsado por la Superfinanciera, incorpora elementos de consentimiento granular, pero la gobernanza del dato subyacente sigue dependiendo en gran medida de políticas internas de cada entidad.
Qué monitorear: las decisiones que tomarán ANPD, CNBV y reguladores bancarios en los próximos 18 meses
El caso indio establece un precedente que los reguladores latinoamericanos van a tener que procesar. Los CDOs y equipos de gobernanza de datos de entidades financieras en la región deben prestar atención a tres hitos concretos: primero, la reglamentación pendiente del DPDPA indio —que definirá el estándar técnico exigible y puede ser citado en foros del G20 como referencia—; segundo, la evolución de las normas del Banco Central de Brasil sobre responsabilidades de datos en el ecosistema Open Finance, donde se esperan actualizaciones en 2025-2026; y tercero, el avance legislativo del Open Finance en México, cuyo rezago normativo puede convertirse en riesgo reputacional para las instituciones que ya operan con datos de usuarios en esquemas de intercambio.
Desde una perspectiva operativa, un CDO de una entidad financiera latinoamericana que participa —o planea participar— en ecosistemas DPI debería auditar hoy tres capacidades: (1) la existencia de un data catalog con clasificación de sensibilidad para todos los datasets compartidos en APIs de Open Finance; (2) la trazabilidad —data lineage— de cada flujo de datos desde la fuente hasta el receptor, con timestamps auditables; y (3) la arquitectura de consentimiento: ¿el sistema puede demostrar ante un regulador que el dato fue compartido dentro del alcance habilitado por el usuario, sin excederse en propósito ni período? Si alguna de estas tres respuestas es “no documentado” o “dependemos del proveedor”, el riesgo de compliance es real y creciente.
Nuestro análisis: DPI sin gobernanza es infraestructura con fecha de vencimiento regulatorio
La decisión india de vincular expansión DPI con gobernanza de datos refleja una madurez regulatoria que los mercados emergentes tienden a postergar bajo el argumento de la inclusión financiera. El razonamiento implícito —”primero conectamos a todos, después regulamos”— es políticamente comprensible pero técnicamente costoso: deshacer arquitecturas de datos sin ownership claro una vez que escalan es exponencialmente más caro que diseñarlas bien desde el inicio. El DAMA-DMBOK lleva dos décadas documentando este ciclo; India acaba de convertirlo en política pública.
Para América Latina, donde el impulso a la inclusión financiera digital es genuino y urgente, el riesgo es replicar la expansión sin los controles. Brasil está más avanzado que el promedio regional, pero incluso su ecosistema Open Finance tiene brechas documentadas en linaje y en la formalización del rol de data steward entre participantes no bancarios. México y Colombia tienen sistemas con potencial, pero marcos de gobernanza del dato que aún dependen más de buenas prácticas voluntarias que de exigencias regulatorias auditables.
El estándar que India está construyendo llegará a las mesas de los reguladores latinoamericanos, probablemente vía foros del G20 o recomendaciones del BIS. La pregunta para los CDOs de la región no es si van a tener que cumplirlo, sino cuánto les va a costar hacerlo cuando ya no sea opcional.
