La Organización para la Cooperación y el Desarrollo Económicos (OCDE) presentó en 2026 una propuesta de marco de gobernanza y supervisión de neurodatos frente a los riesgos de privacidad vinculados a la inteligencia artificial. El documento instala por primera vez en el plano multilateral un estándar específico para el tratamiento de datos cerebrales, una categoría que hasta ahora operaba en un vacío regulatorio casi total, y que los sistemas de IA hacen cada vez más accesible y explotable.
Los neurodatos —información generada por dispositivos de interfaz cerebro-computadora, electroencefalogramas, resonancias magnéticas funcionales y tecnología neurotec comercial— ocupan un lugar singular en el ecosistema de datos sensibles: revelan estados emocionales, patrones de atención, predisposiciones cognitivas y condiciones neurológicas que ninguna otra categoría de datos puede inferir con tanta precisión. Con la expansión de dispositivos portátiles de monitoreo cerebral y el uso de modelos de IA para interpretar esas señales, la superficie de riesgo creció a una velocidad que los marcos regulatorios existentes no anticiparon.
Qué propone la OCDE: principios, roles y supervisión sectorial
Según se informó, el marco de la OCDE articula principios de proporcionalidad, minimización de datos y consentimiento específico para el tratamiento de neurodatos, con énfasis en la supervisión independiente de los sistemas de IA que procesan esa información. La propuesta distingue entre usos médicos —donde ya existen marcos parciales— y usos comerciales y de bienestar, donde la regulación es prácticamente inexistente. Esta distinción es relevante para definir qué entidades quedan sujetas a supervisión y bajo qué condiciones pueden transferir neurodatos a terceros o entre jurisdicciones.
Desde la perspectiva del DAMA-DMBOK, los neurodatos encajan en la categoría de datos sensibles de alto riesgo que requieren clasificación explícita, políticas de retención diferenciadas y controles de acceso con auditoría continua. La propuesta de la OCDE operacionaliza esas exigencias en un contexto donde el data steward —el rol responsable de custodiar la calidad, el uso y el acceso al dato— todavía no está definido en la mayoría de las organizaciones que manejan este tipo de información.
Chile, Colombia y Brasil: tres estadios frente a los datos de salud y neurotec
América Latina presenta un panorama fragmentado. Chile es el único país de la región que incorporó explícitamente los datos neurológicos como categoría protegida: la reforma constitucional de 2021 y la posterior Ley 21.096 reconocieron la “neuroseguridad” como derecho, y la Ley 21.719 de protección de datos personales —vigente desde 2024— consolida ese marco al incluir los datos biométricos y de salud como datos sensibles sujetos a consentimiento reforzado. Es, en este punto específico, la jurisdicción más avanzada de la región y una de las más avanzadas del mundo.
Colombia opera bajo la Ley 1581 de 2012 y sus decretos reglamentarios, que clasifican los datos de salud como sensibles pero no mencionan neurodatos ni tecnología de interfaz cerebro-computadora. La Superintendencia de Industria y Comercio (SIC) tiene competencia para intervenir, pero la ausencia de definiciones específicas genera inseguridad jurídica para empresas que desarrollan o importan dispositivos neurotec. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), encuadra los datos de salud como categoría sensible bajo el artículo 11, lo que obliga a base legal específica para su tratamiento; sin embargo, la Autoridade Nacional de Proteção de Dados (ANPD) aún no emitió orientación sectorial sobre neurodatos ni sobre el uso de IA para su interpretación.
Por qué el marco de la OCDE presiona a los CDO de empresas con operaciones regionales
Para una organización con presencia en dos o más países de la región, la propuesta de la OCDE tiene un impacto operativo concreto: anticipa el estándar internacional al que convergerán las regulaciones locales y, por tanto, define el piso mínimo de controles que conviene implementar ahora. Un CDO que gestione datos de salud o bienestar con componente neurológico —desde apps de meditación con biofeedback hasta plataformas de salud ocupacional con wearables— necesita revisar si su inventario de datos incluye esta categoría, quién es el data steward asignado y qué controles de acceso y auditoría están activos.
El marco del EDM Council (CDMC) identifica en su capability 8 —Data Sharing & Use— los requisitos de gobierno para datos transferidos a terceros o procesados por sistemas externos, incluidos modelos de IA. Si la organización ya trabaja con el CDMC o con ISO/IEC 38505, la incorporación de los neurodatos como subcategoría de datos sensibles de alto riesgo no requiere rediseñar el framework: requiere extender las políticas existentes con definiciones específicas y validar que los controles técnicos —cifrado en reposo y en tránsito, tokenización, acceso basado en roles— apliquen con el nivel de rigor adecuado.
Qué monitorear: hitos regulatorios en los próximos 18 meses
Tres frentes merecen seguimiento activo. Primero, la respuesta de los países miembros de la OCDE en la región —México, Colombia y Chile— al período de consulta del marco: sus posiciones definirán si adoptan el estándar por referencia o esperan una reforma legislativa propia. Segundo, la agenda de la ANPD en Brasil respecto a IA y datos sensibles: según se informó, la autoridad trabaja en regulación específica sobre decisiones automatizadas, lo que podría incluir criterios para sistemas de IA que procesan neurodatos. Tercero, la implementación efectiva de la Ley 21.719 en Chile, cuyo reglamento de datos sensibles aún está en elaboración y podría incorporar criterios alineados con la propuesta de la OCDE.
- México (LFPDPPP, 2010): datos de salud como sensibles, sin mención a neurodatos ni a IA; INAI sin orientación sectorial específica.
- Argentina (Ley 25.326): marco de 2000 con datos de salud como sensibles; proyecto de reforma en el Congreso sin incorporar neurodatos todavía.
- Perú (Ley 29733): datos sensibles incluyen salud; autoridad de control (ANPD-Perú) con capacidad operativa limitada para regulación tecnológica avanzada.
Nuestro análisis
La propuesta de la OCDE no es vinculante, pero su peso como referencia de política pública es alto: el AI Act europeo y la LGPD brasileña surgieron de procesos en los que los estándares de la OCDE actuaron como piso de negociación. Para los equipos de gobernanza de datos en la región, el movimiento más inteligente no es esperar la transposición local —que en varios países puede tomar cinco años o más— sino usar el marco como checklist de madurez ahora. La pregunta operativa concreta es si el inventario de datos de la organización tiene una entrada explícita para “neurodatos” o “datos de interfaz neurológica”, con clasificación de sensibilidad, data steward asignado y política de retención definida. Si esa entrada no existe, el riesgo regulatorio ya es presente, no futuro: las leyes de datos sensibles vigentes en Chile, Brasil y Colombia son suficientes para fundamentar una actuación de la autoridad de control si hay una brecha o un uso indebido.
Mientras los reguladores de la región debaten si los neurodatos necesitan una categoría propia o encajan en las definiciones existentes de datos de salud, las organizaciones que procesan esa información con IA ya tomaron una decisión regulatoria implícita: la ausencia de controles es, en sí misma, una posición de riesgo.
