Expertos en política tecnológica coinciden en que las leyes de inteligencia artificial que se están diseñando en distintas jurisdicciones fallan cuando no regulan la base del problema: la calidad y el gobierno del dato que alimenta a los sistemas. Sin gobernanza de datos sólida y sin marcos de seguridad verificables, la confianza pública en la IA es estructuralmente imposible.
El debate sobre cómo regular la inteligencia artificial tiende a concentrarse en los outputs —sesgos algorítmicos, deepfakes, decisiones automatizadas— y pasa por alto la infraestructura de datos que determina si esos outputs son confiables desde el origen. Según se informó, especialistas en regulación tecnológica señalan que las nuevas leyes de IA deben atacar dos vectores concretos: la gobernanza de los datos usados para entrenar y operar los sistemas, y los estándares de seguridad que los acompañan durante todo su ciclo de vida.
El dato como punto de partida regulatorio, no como detalle técnico
La lógica regulatoria dominante hasta ahora trata al dato como un insumo cuya calidad es responsabilidad del desarrollador, sin obligaciones específicas de reporte o verificación externa. El argumento que circula entre expertos es distinto: si un sistema de IA toma decisiones con consecuencias jurídicas o económicas, el regulador debería poder auditar no solo el modelo sino el linaje del dato —qué fuentes se usaron, cómo se procesaron, qué sesgos conocidos existen en el dataset. Este enfoque, que en gobernanza corporativa ya existe bajo marcos como el DAMA-DMBOK o el CDMC del EDM Council, todavía no migró de forma sistemática al ámbito regulatorio estatal.
La razón es política, no técnica. Establecer requisitos de linaje y calidad de dato implica obligaciones para los desarrolladores de modelos fundacionales —muchos radicados en Estados Unidos o China— que son difíciles de fiscalizar desde jurisdicciones con menor capacidad de enforcement. Aun así, el consenso entre especialistas apunta a que sin esa capa, las leyes de IA protegen la forma pero no el fondo.
Seguridad: el concepto que cada ley define distinto
El segundo eje es la seguridad de los sistemas de IA, un término que en el debate regulatorio carga con al menos tres acepciones distintas: seguridad técnica frente a ataques adversariales, seguridad funcional entendida como comportamiento predecible dentro de parámetros definidos, y seguridad social entendida como ausencia de daños para grupos vulnerables. Las leyes que no especifican cuál de las tres están regulando generan ambigüedad que los operadores aprovechan para el cumplimiento mínimo. El AI Act de la Unión Europea —vigente desde agosto de 2024— intenta resolver esto con una clasificación de riesgo que impone obligaciones diferenciadas, aunque su implementación efectiva sigue siendo materia de debate entre los supervisores nacionales.
Cuándo aplica este enfoque y cuándo no
La propuesta de anclar la regulación de IA en gobernanza de datos y seguridad es más operativa para sistemas de alto impacto: crédito, salud, empleo, justicia penal. Para aplicaciones de bajo riesgo —recomendaciones de contenido sin consecuencias jurídicas, asistentes de productividad sin acceso a datos sensibles— el nivel de exigencia debería ser proporcional. El riesgo del enfoque contrario, regular todo con el mismo rigor, es la parálisis de la innovación en contextos donde los recursos de cumplimiento son escasos, como ocurre en la mayoría de los ecosistemas de startups de IA en América Latina.
América Latina: marcos nacientes, una oportunidad concreta
Brasil avanza con la propuesta de Ley de IA (PL 2338/2023), que incorpora obligaciones de transparencia y evaluación de riesgo pero no establece todavía requisitos explícitos de linaje de datos ni auditoría de datasets de entrenamiento. México, cuya Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) data de 2010, no tiene un marco de IA en tramitación parlamentaria avanzada. Argentina aprobó en 2024 un plan nacional de IA, aunque sin rango de ley. Colombia, Chile y Perú trabajan en lineamientos sectoriales, pero ninguno impone aún obligaciones de gobernanza de datos específicas para desarrolladores o desplegadores de IA. La ventana para que estas regulaciones incorporen desde su diseño los estándares de calidad de dato —en lugar de añadirlos como enmienda posterior— es más estrecha de lo que parece: los modelos ya están siendo adoptados en sectores críticos antes de que exista supervisión formal.
Un factor que diferencia a LATAM es la concentración del uso de IA en proveedores extranjeros. Esto implica que, en la práctica, la gobernanza del dato de entrenamiento ocurre fuera del alcance de los reguladores locales. El enfoque más realista para la región es regular en el punto de despliegue —quién usa el sistema, sobre qué datos locales opera, qué decisiones genera— más que intentar auditar el modelo fundacional en su origen.
Para quienes diseñan política pública en la región, la pregunta no es si regular la IA, sino si la regulación que se está redactando tiene algún mecanismo real para verificar que el dato que alimenta esos sistemas cumple los estándares mínimos de calidad, linaje y seguridad. El texto del AI Act europeo, disponible en EUR-Lex, y el marco CDMC del EDM Council son los dos puntos de partida más citados por los especialistas para construir ese piso técnico.
