Introducción a la regulación de la inteligencia artificial
La regulación de la inteligencia artificial ha dejado de ser una promesa lejana para convertirse en una variable operativa que condiciona cómo las organizaciones diseñan, despliegan y auditan sus sistemas. Lo que hasta hace poco eran principios éticos voluntarios —transparencia, equidad, responsabilidad— se traduce hoy en obligaciones exigibles que recorren todo el ciclo de vida del modelo: desde la gobernanza del dato de entrenamiento hasta la trazabilidad de decisiones en producción. Este giro no ocurre en un vacío geopolítico. La tensión transatlántica entre el enfoque riesgo–basado y exhaustivo de la Unión Europea (AI Act) y la fragmentación sectoral de Estados Unidos —órdenes ejecutivas, iniciativas estatales como la de Colorado y ausencia de ley federal— crea un escenario de incertidumbre para actores globales. América Latina, lejos de limitarse a importar uno u otro modelo, está tejiendo un mosaico regulatorio propio, pragmático y anclado en la protección de datos personales y derechos fundamentales, que merece ser leído como una tercera vía en formación.
Panorama global: principales iniciativas regulatorias
El Reglamento Europeo de Inteligencia Artificial (AI Act), plenamente vigente desde 2026, clasifica los sistemas en cuatro niveles de riesgo —inaceptable, alto, limitado y mínimo— e impone requisitos de gobernanza de datos, documentación técnica, supervisión humana y evaluación de conformidad para los de alto riesgo. A ese marco se suman la directiva NIS2 y el Cyber Resilience Act (CRA), que extienden la exigencia de ciberseguridad continua, reporte de incidentes en 24 horas y gestión de cadena de suministro a proveedores tecnológicos ComputerWorld. En la vereda opuesta, Estados Unidos carece de ley federal unificada: la orden ejecutiva 14110 (2023) y la ley de Colorado (2024) marcan el compás, pero la mayor parte de la carga recae en agencias sectoriales (FTC, CFPB, EEOC) y en litigios sobre propiedad intelectual y sesgo algorítmico IEEE. China, por su parte, prioriza la estabilidad social mediante el Sistema de Crédito Social y normas de seguridad generativa que exigen registro de algoritmos y filtrado de contenido Al-Kindi. Japón, Canadá, Reino Unido, India, Singapur y Corea del Sur completan un tablero donde no hay convergencia, sino coexistencia competitiva de paradigmas.
Divergencia transatlántica: Unión Europea vs. Estados Unidos
La divergencia no es solo de forma, sino de filosofía regulatoria. Europa apuesta por la ex ante: clasificación previa, obligaciones horizontales y sanciones de hasta el 7 % de la facturación global. Estados Unidos prefiere la ex post: remedios tras el daño, rulemaking sectorial y soft law (NIST AI Risk Management Framework). Esta asimetría genera costes de cumplimiento duplicados para empresas que operan en ambas orillas: un mismo modelo de IA debe satisfacer la ficha técnica del Anexo IV del AI Act y, a la vez, los model cards voluntarios del NIST. El artículo de IEEE confirma que los estándares ISO/IEC (24027, 23894, 24368) —voluntarios por diseño— fallan en contextos sin anclaje jurídico fuerte (caso Colorado) y subvaloran riesgos locales como la privacidad en China IEEE. La lección para América Latina es clara: adoptar estándares internacionales sin ley habilitante propia reproduce el vacío de exigibilidad que ya se observa en EE. UU.
Mapa emergente en América Latina: México, Argentina y Colombia
El repositorio de la Universidad de los Andes —27 países, 743 instrumentos (696 nacionales, 47 subnacionales), 123 aprobados, 432 en trámite a agosto 2026— revela una explosión legislativa post-2022 Universidad de los Andes. Brasil (212 instrumentos), México (126), Argentina (95), Colombia (110) y Perú (79) concentran el 78 % de la actividad. Tres trayectorias destacan:
Brasil: el referente de riesgo con dientes
El Proyecto de Ley 2338/2023 —en tramitación avanzada— replica la arquitectura del AI Act: clasificación por riesgo, obligaciones para proveedores y desplegadores, evaluaciones de impacto algorítmico y una autoridad de supervisión (ANPD) con potestad sancionatoria. Ya hay leyes aprobadas que tipifican delitos específicos: "porno fake" generado por IA (penas de 6 meses a 1 año) y manipulación de imágenes de menores con IA agravando penas de pornografía infantil Universidad de los Andes. Para el CISO, Brasil es el primer entorno latinoamericano donde el *compliance* de IA es exigible operativamente Ikusi.
México: transición híbrida con base en datos
Sin ley IA ad hoc, México apalanca la Ley Federal de Protección de Datos Personales y multiplica iniciativas: reforma a la Ley General de Acceso de las Mujeres a una Vida Libre de Violencia para regular IA generativa Universidad de los Andes, propuestas de etiquetado de contenido sintético y uso de IA en seguridad pública. Ikusi describe un entorno predecible pero no plenamente exigible: las bases de cumplimiento ya condicionan decisiones tecnológicas aunque la sanción firme tarde en llegar Ikusi.
Argentina: foco en transparencia y ciclo de vida del dato
La Resolución 161/2023 de la AAIP crea el "Programa de transparencia y protección de datos personales en el uso de la IA" Universidad de los Andes. La Ley Olimpia (27.736) incorpora IA como agravante en difusión no consentida de imágenes íntimas Universidad de los Andes. El DNU 70/2023, aunque macroeconómico, toca régimen de drones y datos aeroespaciales Universidad de los Andes. La apuesta argentina es gobernanza del dato como *proxy* de gobernanza de IA.
Colombia: educación digital y acuerdos sectoriales
El proyecto "Ley de Educación Digital" moderniza la asignatura de Tecnología e Informática K-12 Universidad de los Andes. En salud, una resolución técnica regula acuerdos de voluntades entre prestadores, pagadores y proveedores de IA Universidad de los Andes. Colombia avanza por sectores regulados antes que por ley general.
Desafíos clave para una regulación efectiva de la IA
Tres nudos críticos cruzan la región:
1. Brecha entre ley en libros y ley en uso. El estudio de legal pluralismo (Ostrom/IAD) muestra que algoritmos context-blind —cámaras de tráfico en Ahmedabad, Nagpur, Mangaluru— generan multas masivas sin ejecución judicial real (9,6 % llegan a juicio en Nagpur) y erosionan confianza Al-Kindi. En América Latina, donde la capacidad estatal de fiscalización algorítmica es incipiente, legislar sin capacidad de auditoría técnica crea teatro regulatorio. 2. Fragmentación subnacional y sectorial. Los 47 instrumentos subnacionales (Ciudad de México, estados brasileños, provincias argentinas) y la regulación por verticales (salud, educación, seguridad) corren el riesgo de crear árbitraje regulatorio interno: una misma startup enfrenta reglas distintas según el estado donde opera. 3. Dependencia de estándares voluntarios sin anclaje local. IEEE advierte que mapear ISO al AI Act no basta: se requieren anexos regionales obligatorios, auditorías de riesgo mandatorias y módulos de privacidad adaptados IEEE. Brasil ensaya esto con la ANPD; México y Argentina aún no.
Argumentos en contra de una regulación estricta
La literatura y la práctica empresarial esgrimen tres objeciones recurrentes:
- Freno a la innovación early-stage: startups sin capacidad de legal & compliance dedicado saldrían del mercado o se reincorporarían en jurisdicciones laxas.
- Obsolescencia regulatoria: la velocidad de los foundation models (multimodales, agentes autónomos) vuelve caducas las clasificaciones de riesgo estáticas en meses.
- Captura regulatoria: grandes proveedores cloud (AWS, Azure, Google Cloud) tienen capacidad de lobby para moldear normas que levanten barreras de entrada a competidores locales.
El informe de ENISA sobre CRA en España —retraso de 20 meses en transponer NIS2, 67 % de empresas sin marco formal de ciberresiliencia— ilustra cómo la sobre-regulación sin capacidad estatal de acompañamiento paraliza más de lo que protege ComputerWorld.
Hacia un marco regulatorio equilibrado: recomendaciones
La síntesis de las fuentes permite esbozar cinco pilares para un marco latinoamericano exigible, adaptativo y legitimado:
1. Anclar la IA en la ley de datos, no al revés. Brasil, México y Argentina comparten una autoridad de protección de datos (ANPD, INAI, AAIP) con legitimidad y capacidades técnicas incipientes. Fortalecerlas como reguladores *de facto* de IA evita crear agencias nuevas sin recursos. 2. Clasificación por riesgo con *sandbox* obligatorio. Adoptar la taxonomía EU (inaceptable/alto/limitado/mínimo) pero exigir sandbox regulatorio supervisado para sistemas de alto riesgo antes de la autorización de mercado, no después. Esto reduce asimetría de información entre regulador y regulado. 3. Estándares ISO/IEC como *safe harbor*, no como techo. Transponer ISO 23894 (gestión de riesgo) e ISO 24027 (sesgo) a anexos técnicos de cumplimiento obligatorio para sistemas de alto riesgo, con auditoría tercera cada 18 meses. El marco IEEE valida esta vía IEEE. 4. Mecanismos de *legal pluralism* operativos. Diseñar canales formales para que comunidades afectadas (pueblos originarios, barrios populares, colectivos LGBTIQ+) validen o rechacen métricas de equidad y definiciones de daño antes del despliegue. Los casos de tráfico en India y crédito social en China demuestran que la ceguera al contexto produce injusticia distribuida Al-Kindi. 5. Interoperabilidad regulatoria regional. Crear un foro técnico permanente (CEPAL + autoridades nacionales de datos + CERTs nacionales) que armonice definiciones ("IA de alto riesgo", "dato sensible", "explicabilidad"), mutuo reconocimiento de auditorías y protocolos de alerta transfronteriza de incidentes graves. Evitar que 33 países construyan 33 walled gardens.
La regulación de la IA en América Latina no será ni una fotocopia del AI Act ni un laissez-faire al estilo EE. UU. Será —y ya es— un mosaico pragmático donde la protección de datos actúa como spinal cord, el enfoque de riesgo como brújula y la capacidad de fiscalización algorítmica como el verdadero test de madurez. Las organizaciones que integren gobernanza de datos, seguridad y cumplimiento continuo desde el diseño no solo evitarán sanciones: capturarán la prima de confianza que el mercado empieza a pagar. El cumplimiento tecnológico, como resume el tejido empresarial español, ha dejado de ser obligación para convertirse en estrategia ComputerWorld. En América Latina, esa estrategia empieza hoy.
