La convergencia regulatoria de la IA obliga a América Latina a elegir su propio camino

La advertencia del regulador de Guernsey sobre el uso seguro de la inteligencia artificial Make sure use of AI is safe, Guernsey data watchdog warns y las dos amonestaciones de la AEPD a municipios españoles por cámaras con IA La AEPD advierte a dos municipios por sus cámaras con IA comparten una misma lectura: la supervisión ya no distingue entre potencias tecnológicas y administraciones locales. Cualquier entidad que procese datos personales con sistemas automatizados está bajo escrutinio.

Para América Latina, el mensaje llega en un momento crítico. La Ley de IA de la UE Ley de IA —primer marco jurídico global sobre la materia— entró en vigor con efecto extraterritorial: cualquier proveedor que ofrezca sistemas en el mercado europeo o cuyos resultados se utilicen en la UE debe cumplirla. Su pirámide de riesgo (inaceptable, alto, transparencia, mínimo) y sus plazos escalonados —prohibiciones desde febrero de 2025, obligaciones de alto riesgo en diciembre de 2027, transparencia para IA generativa en agosto de 2026— marcan el ritmo al que deben adaptarse exportadores de software, fintechs y plataformas de la región.

Pero la regulación no se detiene en la clasificación de riesgos. La guía de la AEPD sobre IA agéntica INTELIGENCIA ARTIFICIAL AGÉNTICA PROTECCIÓN DE DATOS —versión 1.2 de febrero de 2026— desciende al detalle operativo: memoria de trabajo y de gestión que retiene datos personales, cadenas de razonamiento no repetibles, capacidad de invocar herramientas externas y actuar en nombre del usuario. Cada una de estas características introduce vulnerabilidades específicas —exfiltración shadow-leak, perfilado encubierto, pérdida de control sobre el razonamiento— que el RGPD exige gestionar desde el diseño.

Para un banco colombiano, un marketplace mexicano o una healthtech chilena que integre agentes autónomos, la implicación es concreta: no basta con firmar un contrato con el proveedor del modelo. El responsable del tratamiento debe definir políticas de acceso a datos, compartimentar la memoria del agente, establecer plazos de retención estrictos, prever rutas de escalamiento humano y documentar golden tests de verificación continua. La AEPD lo resume en una frase: "aceptar la posibilidad de fallo" y gobernar en consecuencia.

Mientras tanto, el informe de la Universidad de las Naciones Unidas sobre interoperabilidad en gobernanza de seguridad de la IA Interoperability in ai safety governance: Ethics, regulations, and standards revela que los cuatro países analizados —Reino Unido, Corea del Sur, China y Singapur— avanzan a velocidades y lógicas distintas. La fragmentación regulatoria y la ausencia de mecanismos de coordinación global crean arbitraje de cumplimiento: una misma solución de IA agéntica puede ser legal en Seúl, requerir licencia en Shanghái y estar prohibida en la UE si incurre en scraping facial masivo o reconocimiento de emociones en el trabajo.

América Latina no es espectadora. Brasil tramita su marco legal (PL 2338/2023), Chile avanza en su proyecto de ley, Colombia publicó su hoja de ruta ética. Cada jurisdicción decide si alinea definiciones, umbrales de riesgo y obligaciones de transparencia con Bruselas —facilitando exportaciones y transferencias de datos— o dibuja su propia arquitectura, asumiendo costos de fricción para sus empresas.

Firmada por la UE y diez países, la Declaración de Seúl de mayo de 2024 señala la dirección: interoperabilidad como condición para innovación segura. El Global Digital Compact de la ONU refuerza la apuesta por flujos transfronterizos de datos confiables y estándares técnicos comunes. Pero el informe de la UNU advierte: sin participación activa del Sur Global en la redacción de esos estándares, la interoperabilidad será de facto una imposición del Norte.

Para el ejecutivo latinoamericano, la hoja de ruta emerge con nitidez:

• Mapear qué sistemas internos caen en "alto riesgo" según el Anexo III de la Ley de IA (contratación, scoring crediticio, infraestructura crítica, educación).
• Auditar proveedores de modelos de propósito general (GPAI) exigiendo el resumen público de datos de entrenamiento y el código de buenas prácticas GPAI Ley de IA.
• Incorporar al DPO en la gobernanza de agentes: evaluación de impacto (EIPD) obligatoria antes del despliegue, logs de razonamiento trazables, principio de cuatro ojos en decisiones irreversibles.
• Presionar a gremios y gobiernos para que las negociaciones de adecuación de datos (como la de Argentina o Uruguay ante la UE) incluyan cláusulas de interoperabilidad regulatoria en IA.

El riesgo de no actuar no es solo sancionador —multas de hasta 35 millones de euros o 7 % de facturación global—. Es de mercado: perder la capacidad de operar con socios europeos, asiáticos o estadounidenses que exijan evidencia de compliance interoperable. La tecnología avanza en agentes que razonan, actúan y recuerdan; la regulación avanza en exigir cuentas de ese razonamiento, esas acciones y esa memoria. América Latina tiene la oportunidad de no limitarse a importar marcos ajenos, sino de co-escribir los puentes que permitan a su ecosistema innovar sin pedir permiso en cada frontera.

¿Están las asociaciones empresariales y las agencias de datos de la región coordinando una posición común para la próxima ronda del Global Digital Compact, o cada país negociará solo su propia adecuación?