En el marco del foro Vibrant Goa 2026, paneles coordinados por SARC —organización especializada en cumplimiento regulatorio— colocaron la preparación en protección de datos y la gobernanza de inteligencia artificial como prioridades urgentes para economías digitales emergentes. El debate no es exclusivo de la India: los mismos vectores de riesgo presionan a América Latina, donde varias jurisdicciones aún no cuentan con marcos completos para regular sistemas de IA.
El encuentro reunió a referentes del sector privado, organismos públicos y academia en torno a dos ejes que, aunque suelen tratarse por separado, convergen en la práctica: la protección de datos personales como piso mínimo de derechos digitales, y la adopción de inteligencia artificial como palanca de desarrollo económico con riesgos todavía mal comprendidos. La tensión entre ambos objetivos —acelerar la adopción tecnológica sin erosionar garantías individuales— es el nudo central que los paneles buscaron desatar.
Protección de datos como condición de partida, no como meta final
Uno de los argumentos centrales que emergió en Vibrant Goa 2026 es que la protección de datos no puede pensarse como un destino regulatorio sino como una condición de entrada para desplegar IA de forma legítima. Sin una base legal sólida para el tratamiento de datos personales, cualquier sistema de inteligencia artificial queda expuesto a impugnaciones judiciales, sanciones administrativas y pérdida de confianza de los usuarios. Este punto tiene resonancia directa en la región: Brasil opera bajo la Lei Geral de Proteção de Dados (LGPD) desde 2020, con la Autoridade Nacional de Proteção de Dados (ANPD) ya emitiendo resoluciones que condicionan el entrenamiento de modelos con datos de brasileños. México, por su parte, aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) sin una actualización sustantiva desde 2010 —una arquitectura legal que precede al auge de los grandes modelos de lenguaje.
IA segura: qué significa “seguro” en términos regulatorios
El concepto de “IA segura” que circuló en los paneles de SARC no refiere exclusivamente a ciberseguridad o robustez técnica del modelo. Abarca dimensiones legales y de gobernanza: trazabilidad de decisiones automatizadas, mecanismos de supervisión humana, y la capacidad de demostrar ante una autoridad que el sistema fue diseñado con salvaguardas. En términos del marco europeo —que sigue siendo la referencia global más articulada—, el AI Act clasifica sistemas por nivel de riesgo y exige documentación técnica, registros de incidentes y evaluaciones de impacto para los de mayor criticidad. América Latina carece aún de un equivalente regional: el Marco de Ética en Inteligencia Artificial de la UNESCO, suscrito por varios países latinoamericanos, es una guía de principios, no un instrumento de cumplimiento obligatorio con consecuencias jurídicas.
Cuándo aplica y cuándo no la urgencia planteada en Goa
La llamada a la “preparación urgente” en protección de datos aplica con fuerza en organizaciones que ya despliegan sistemas de IA en procesos que involucran datos personales: scoring crediticio, análisis de recursos humanos, atención al cliente automatizada, sistemas de salud. Para esas entidades, el riesgo regulatorio es inmediato, especialmente en Brasil, Argentina y Colombia, donde las autoridades de control —ANPD, AAIP y la Superintendencia de Industria y Comercio, respectivamente— han demostrado actividad creciente. La urgencia es menor, aunque no inexistente, para organizaciones que usan IA en procesos que no involucran datos personales o que operan en jurisdicciones con marcos regulatorios todavía inactivos. Aun así, diseñar hoy sin considerar el escenario regulatorio futuro equivale a construir sobre una base que deberá ser reformada a costo alto.
El déficit de capacidad técnico-legal en la región
Uno de los señalamientos recurrentes en foros como Vibrant Goa 2026 es la brecha entre la velocidad de adopción tecnológica y la madurez institucional para regularla. En América Latina, esa brecha tiene una dimensión adicional: la escasez de profesionales con formación simultánea en derecho de datos y arquitectura de sistemas de inteligencia artificial. Las áreas legales de las organizaciones entienden las obligaciones bajo la LGPD o la Ley 25.326 argentina, pero pocas veces tienen acceso a documentación técnica de los modelos que su propia empresa despliega. Los equipos de tecnología, a su vez, rara vez incorporan el análisis de impacto en protección de datos —la conocida DPIA— como parte del ciclo de desarrollo. Esa desconexión es estructural y no se resuelve únicamente con regulación: requiere rediseño de procesos internos y formación interdisciplinaria.
Tres preguntas que cualquier organización debería poder responder hoy
- ¿Qué datos personales alimentan los sistemas de IA en producción y bajo qué base legal fueron recabados?
- ¿Existe un mecanismo documentado para que un titular de datos personales impugne una decisión automatizada que lo afecte?
- ¿El proveedor de IA contratado permite auditar el modelo o solo acceder a sus outputs?
Estas preguntas no son retóricas. En jurisdicciones con marcos activos —Brasil, Argentina, Colombia— la incapacidad de responderlas puede derivar en observaciones de auditores, órdenes de cese o, en casos graves, sanciones económicas. La ANPD brasileña publicó en 2023 su resolución sobre tratamiento de datos para IA y seguridad de la información; la AAIP argentina ha emitido disposiciones sobre decisiones automatizadas que actualizan la lectura del artículo 20 de la Ley 25.326. Ignorar esas señales bajo el argumento de que “la regulación todavía no está madura” es un diagnóstico incorrecto.
Para profundizar en el marco regulatorio aplicable al tratamiento de datos en sistemas de IA, la resolución CD/ANPD/Nº 2/2022 de Brasil y las disposiciones de la AAIP argentina sobre automatización de decisiones son puntos de partida obligatorios para cualquier equipo legal o de compliance en la región.
