La inteligencia artificial ha dejado de ser una promesa de laboratorio para convertirse en la infraestructura invisible que decide quién accede a un crédito, qué currículum llega a manos de un reclutador o qué rostro identifica una cámara en una comisaría. En América Latina, esa infraestructura ya late con fuerza propia: Brasil y México superan el 70% de adopción entre usuarios digitales y la región concentra el 14% del tráfico mundial de soluciones de IA con apenas el 11% de los internautas del planeta. La tecnología llegó primero; la capacidad institucional para gobernarla va retrasada.
El mapa legislativo lo confirma. El repositorio de la Universidad de los Andes registra 743 instrumentos en 27 países: 123 ya aprobados y 432 en trámite. Brasil (212), México (126), Argentina (95), Colombia (110) y Perú (79) aglutinan el 78% de la actividad. No hay vacío normativo; hay efervescencia. Lo que falta es coherencia y, sobre todo, dientes.
Brasil ensaya la apuesta más ambiciosa. El Proyecto de Ley 2338/2023 replica la arquitectura de riesgo del AI Act europeo —clasificación en cuatro niveles, evaluaciones de impacto algorítmico, autoridad supervisora con potestad sancionadora (la ANPD)— y ya tipifica delitos concretos: "porno fake" generado por IA y manipulación de imágenes de menores. Para un CISO, Brasil es hoy el primer entorno latinoamericano donde el cumplimiento de IA es exigible operativamente.
México, sin ley ad hoc, apalanca su Ley Federal de Protección de Datos Personales y multiplica iniciativas sectoriales: etiquetado de contenido sintético, uso en seguridad pública, reforma a la ley de violencia de género. Argentina apuesta por la transparencia del dato como proxy de gobernanza algorítmica (Resolución 161/2023 de la AAIP, Ley Olimpia). Colombia avanza por verticales reguladas —salud, educación— antes que por ley general.
Tres nudos cruzan la región y amenazan con convertir este mosaico en teatro regulatorio. Primero, la brecha entre ley en los libros y ley en la calle: estudios de pluralismo legal muestran que algoritmos ciegos al contexto —cámaras de tráfico en India— generan multas masivas sin ejecución judicial real (menos del 10% llega a juicio) y erosionan confianza. En América Latina, donde la capacidad de fiscalización algorítmica es incipiente, legislar sin auditoría técnica crea apariencia, no protección.
Segundo, la fragmentación subnacional y sectorial. Cuarenta y siete instrumentos subnacionales —Ciudad de México, estados brasileños, provincias argentinas— más la regulación por verticales (salud, educación, seguridad) corren el riesgo de crear árbitraje regulatorio interno: una misma startup enfrenta reglas distintas según el estado donde opera.
Tercero, la dependencia de estándares voluntarios sin anclaje local. El trabajo del IEEE lo demuestra: mapear ISO 23894 o 24027 al AI Act no basta; se requieren anexos regionales obligatorios, auditorías de riesgo mandatorias y módulos de privacidad adaptados. Brasil lo ensaya con la ANPD; México y Argentina aún no.
Europa apuesta por el ex ante: clasificación previa, obligaciones horizontales, sanciones de hasta el 7% de la facturación global. Estados Unidos prefiere el ex post: remedios tras el daño, rulemaking sectorial, soft law (NIST). La asimetría genera costes de cumplimiento duplicados para quien opera en ambas orillas. Adoptar estándares internacionales sin ley habilitante propia reproduce el vacío de exigibilidad que ya se observa en EE. UU.
Construir una tercera vía latinoamericana anclada en tres pilares: protección de datos como médula espinal (fortalecer ANPD, INAI, AAIP como reguladores de facto de IA para no crear agencias nuevas sin recursos), enfoque de riesgo con sandbox obligatorio para sistemas de alto riesgo antes de la autorización de mercado —no después—, e interoperabilidad regional via foro técnico permanente (CEPAL + autoridades de datos + CERTs nacionales) que armonice definiciones, reconozca auditorías mutuas y active protocolos de alerta transfronteriza. Evitar que 33 países construyan 33 jardines vallados.
Hay objeciones legítimas: el informe ENISA sobre España muestra cómo la sobre-regulación sin capacidad estatal de acompañamiento paraliza más de lo que protege (retraso de 20 meses en transponer NIS2, 67% de empresas sin marco formal de ciberresiliencia). Pero la respuesta no es desregular; es regular con realismo: estándares ISO/IEC como puerto seguro —no como techo—, con auditoría tercera cada 18 meses para alto riesgo, y mecanismos de pluralismo legal operativos para que comunidades afectadas validen o rechacen métricas de equidad antes del despliegue.
El capítulo de Springer sobre daño ambiental y división regulatoria añade una dimensión ineludible: el ciclo de vida de la IA —entrenamiento, centros de datos, extracción mineral— impone costes ecológicos desproporcionados en el Sur Global. Sin marco vinculante que integre la variable ambiental, las grandes tecnológicas seguirán practicando "forum shopping" regulatorio, eludiendo principios de derechos humanos y negocio responsable en nuestras jurisdicciones.
Para el directorio y la alta dirección, el mensaje es directo: el cumplimiento tecnológico ha dejado de ser obligación para convertirse en estrategia. Las organizaciones que integren gobernanza de datos, seguridad y cumplimiento continuo desde el diseño no solo evitarán sanciones; capturarán la prima de confianza que el mercado empieza a pagar. En América Latina, esa estrategia empieza hoy. O la región lidera la regulación de riesgo con dientes propios, o seguirá siendo colonia de datos de quienes sí la escriben.
