Cada interacción digital genera información. Una compra electrónica, una aplicación móvil, una plataforma de inteligencia artificial o un sistema de reconocimiento facial pueden registrar no solo nombres o números de identificación, sino también preferencias, hábitos, ubicaciones y patrones de comportamiento. La protección de datos, por tanto, ya no se limita a mantener información en secreto: busca determinar quién puede utilizarla, para qué finalidad, durante cuánto tiempo y bajo qué garantías.
En Ecuador, este derecho tiene reconocimiento constitucional y se desarrolla mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), vigente desde 2021. La ley regula tratamientos automatizados y no automatizados y reconoce principios, derechos y obligaciones para responsables y encargados. Superintendencia de Datos a escala internacional, el Reglamento General de Protección de Datos de la Unión Europea (RGPD) constituye uno de los principales referentes regulatorios y consolida principios como licitud, transparencia, minimización, limitación de finalidad, seguridad y responsabilidad.
Un dato personal es cualquier información relacionada con una persona identificada o identificable. Por ello, la protección no se limita al nombre o al número de cédula: también puede comprender identificadores digitales, ubicación, comportamiento en línea o diferentes datos que, combinados, permitan reconocer a una persona. La Comisión Europea utiliza esta misma aproximación al explicar que incluso información seudonimizada puede continuar siendo dato personal cuando exista posibilidad de reidentificación. European Commission
La protección se intensifica frente a categorías particularmente delicadas, como información de salud, genética o biométrica. Sobre estos tratamientos operan principios como licitud, finalidad, proporcionalidad, minimización, transparencia, seguridad y responsabilidad proactiva. El consentimiento sigue siendo relevante, pero no representa una autorización universal: debe ser libre, específico, informado e inequívoco. Las Directrices 05/2020 del Comité Europeo de Protección de Datos sobre consentimiento insisten precisamente en estas condiciones. Junta Europea de Protección de Datos
En Ecuador, el sistema se estructura fundamentalmente alrededor de la LOPDP y su Reglamento General. A estas normas se suman las regulaciones emitidas progresivamente por la Superintendencia de Protección de Datos Personales. La sección oficial de resoluciones de la SPDP muestra cómo durante 2025 y 2026 la autoridad desarrolló reglas sobre evaluaciones de riesgo, contratos, transferencias internacionales, anonimización, tratamiento a gran escala, inteligencia artificial, biometría y vulneraciones de seguridad. Superintendencia de Datos
Particular importancia tiene la Resolución SPDP-SPD-2026-0037-R, que reformó la regulación ecuatoriana sobre inteligencia artificial. La norma utiliza los conceptos de acceso, visibilidad y control efectivo sobre los datos para determinar el alcance de determinadas responsabilidades. El documento de análisis proporcionado explica que este enfoque desplaza la atención desde la mera posesión formal de información hacia la capacidad real de conocer, influir o intervenir en el tratamiento y en sus resultados.
En perspectiva comparada, el RGPD mantiene una lógica similar mediante el principio de accountability: las organizaciones no solo deben respetar las reglas, sino estar en condiciones de demostrar su cumplimiento. La Comisión Europea identifica siete principios centrales del régimen europeo, entre ellos limitación de finalidad, minimización, seguridad y responsabilidad. European Commission
Los titulares poseen derechos que les permiten recuperar cierto control sobre la utilización de su información. Entre ellos se encuentran acceso, rectificación, eliminación, oposición, portabilidad y garantías frente a determinadas decisiones automatizadas. El RGPD reconoce igualmente derechos de acceso, rectificación, supresión, restricción, portabilidad, oposición y protección frente a decisiones exclusivamente automatizadas. European Commission
Para responsables y encargados, estos derechos se traducen en obligaciones organizativas. No basta con disponer de una política de privacidad: las empresas deben conocer qué información poseen, determinar su base jurídica, limitar los accesos, definir periodos de conservación, controlar a sus proveedores, implementar medidas de seguridad y conservar evidencia sobre las decisiones adoptadas.
La gestión de vulneraciones muestra con claridad este cambio. La Resolución SPDP-SPD-2026-0040-R, incluida en el catálogo oficial de la SPDP, establece una normativa específica para las notificaciones de vulneraciones de seguridad. Superintendencia de Datos Según el documento aportado, el encargado debe comunicar determinados incidentes al responsable dentro de un máximo de dos días hábiles y el responsable dispone de cinco días hábiles para realizar la correspondiente notificación ante la SPDP; cuando exista riesgo para los titulares, también debe comunicárseles sin demora.
La inteligencia artificial cambia la naturaleza del problema porque ya no solo utiliza datos existentes: también puede inferir nueva información. Un sistema puede construir perfiles, detectar patrones o producir clasificaciones sin necesidad de acceder de manera visible a todos los datos originales. Por ello, el concepto ecuatoriano de “control efectivo” resulta particularmente relevante: la responsabilidad puede vincularse con la capacidad técnica, contractual u organizativa de influir sobre los datos, el tratamiento o los resultados del sistema.
La biometría constituye otro escenario crítico. La Resolución SPDP-SPD-2026-0039-R, oficialmente listada por la Superintendencia, establece una regulación específica para este tratamiento. Superintendencia de Datos La norma parte de la especial sensibilidad de características como rostro, huellas, voz o iris cuando permiten identificar unívocamente a una persona. El análisis suministrado señala además la obligación de evaluar riesgos, realizar evaluaciones de impacto y, en determinados tratamientos fundamentados en consentimiento, ofrecer alternativas no biométricas.
El desafío se amplía en servicios en la nube, comercio electrónico y redes sociales. Una organización puede captar información mediante una aplicación, almacenarla con un proveedor externo, procesarla mediante otro servicio y posteriormente utilizarla con herramientas de inteligencia artificial. En consecuencia, proteger datos implica controlar toda la cadena tecnológica. Esta visión coincide con el NIST Privacy Framework, que plantea la privacidad como parte integral de la gestión empresarial del riesgo.
La principal transformación del derecho de protección de datos es que el cumplimiento está dejando de evaluarse únicamente a través de documentos formales. Una organización puede tener contratos, avisos de privacidad y formularios de consentimiento y, aun así, mantener graves deficiencias si desconoce sus flujos de información o no puede demostrar cómo controla a sus proveedores.
El documento analizado identifica precisamente esta transición dentro del régimen ecuatoriano: la gobernanza exige auditar proveedores, actualizar contratos, conservar registros, gestionar consentimientos y mantener evaluaciones de impacto y evidencia de debida diligencia. De esta manera, la protección de datos se conecta cada vez más con ciberseguridad, contratación tecnológica, compliance, gestión de riesgos y diseño de productos digitales.
La pregunta relevante deja entonces de ser únicamente “¿tenemos autorización para tratar este dato?” y pasa a ser “¿podemos explicar y demostrar por qué necesitamos tratarlo, quién interviene y qué controles hemos implementado?”. Ese cambio resume el tránsito de la privacidad documental hacia la responsabilidad demostrable.
La protección de datos personales no pretende impedir la innovación tecnológica. Su función consiste en establecer condiciones para que la utilización de información sea legítima, proporcional, transparente y segura. En consecuencia, inteligencia artificial, biometría, servicios en la nube o comercio electrónico no son incompatibles con la privacidad, pero requieren una gobernanza capaz de identificar y controlar sus riesgos.
En Ecuador, la combinación entre la LOPDP y la creciente normativa de la SPDP muestra una evolución hacia una regulación más técnica y preventiva. Las nuevas reglas sobre IA, biometría y vulneraciones de seguridad refuerzan la necesidad de conocer los flujos de datos, controlar proveedores, realizar evaluaciones de riesgo y documentar las decisiones adoptadas. Superintendencia de Datos
La verdadera madurez en protección de datos comienza cuando una organización deja de preguntarse únicamente si puede utilizar determinada información y empieza a preguntarse si puede justificar, proteger y demostrar adecuadamente ese uso. En la economía digital, esa capacidad se convierte tanto en una obligación jurídica como en un elemento estratégico de confianza.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial Suplemento 459. Texto de la LOPDP. Superintendencia de Datos
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904. Consultar el Reglamento General.
Superintendencia de Protección de Datos Personales. (2026). Resoluciones y normativa de protección de datos personales. Repositorio oficial de resoluciones de la SPDP. Superintendencia de Datos
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Texto oficial del RGPD en EUR-Lex.
European Data Protection Board. (2020). Directrices 05/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679. Consultar las directrices del EDPB. Junta Europea de Protección de Datos
European Commission. Principles of the GDPR. Principios del Reglamento General de Protección de Datos. European Commission
Boeckl, K. & Lefkovitz, N. (2020). NIST Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management. National Institute of Standards and Technology. NIST Privacy Framework.
La información personal se ha convertido en un activo esencial para empresas, instituciones públicas y plataformas digitales. Cada compra electrónica, aplicación móvil, servicio financiero o interacción en redes sociales puede generar información susceptible de identificar, clasificar o perfilar a una persona. Por esta razón, la protección de datos ya no puede entenderse únicamente como protección de la intimidad: supone también otorgar a los individuos capacidad de decisión y control sobre el tratamiento de su información.
En Ecuador, este derecho encuentra fundamento constitucional y ha sido desarrollado principalmente mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en 2021. La norma establece principios, derechos, obligaciones y mecanismos destinados a garantizar la protección de la información personal durante todo su ciclo de vida. Asamblea Nacional del Ecuador Consultar la Ley Orgánica de Protección de Datos Personales
Sin embargo, la transformación tecnológica obliga a ampliar la discusión. Actualmente no basta con conocer quién almacena los datos: es necesario analizar para qué se recopilan, durante cuánto tiempo se conservan, qué proveedores pueden acceder a ellos, si atraviesan fronteras y qué algoritmos intervienen en su utilización. La protección de datos se transforma así en un problema de gobernanza del riesgo digital.
Un dato personal es toda información que permite identificar o hacer identificable, directa o indirectamente, a una persona. Esto comprende información evidente —nombre, identificación, dirección o correo electrónico—, pero también identificadores digitales, registros de ubicación, comportamientos y combinaciones de información capaces de individualizar a alguien.
La protección aumenta cuando se utilizan datos sensibles o categorías especialmente protegidas, porque su explotación puede generar consecuencias especialmente graves. Información relacionada con salud, biometría, genética, orientación sexual, origen étnico o determinados grupos vulnerables exige controles reforzados. La legislación ecuatoriana diferencia además las categorías de información al momento de evaluar el nivel de riesgo de un tratamiento. Superintendencia de Datos
Sobre estas categorías operan principios esenciales: licitud, transparencia, finalidad, pertinencia, proporcionalidad, minimización, seguridad y responsabilidad proactiva. La consecuencia práctica es importante: que una organización pueda recopilar información no significa que pueda utilizarla indefinidamente o para cualquier propósito. La finalidad debe encontrarse determinada y el tratamiento debe limitarse a aquello que resulte necesario.
El régimen ecuatoriano se estructura principalmente sobre la LOPDP y su Reglamento General, expedido mediante Decreto Ejecutivo 904 en noviembre de 2023. Registro Oficial Consultar el Reglamento General de la LOPDP A este marco se ha incorporado progresivamente normativa secundaria expedida por la Superintendencia de Protección de Datos Personales (SPDP).
Particularmente relevante ha sido la regulación adoptada durante 2026. La SPDP ha expedido normas sobre transferencias nacionales e internacionales, tratamientos a gran escala, biometría, vulneraciones de seguridad y sistemas de inteligencia artificial. La Resolución SPDP-SPD-2026-0009-R, posteriormente reformada, establece reglas específicas para organizaciones que desarrollen, entrenen, implementen o utilicen sistemas de IA que traten datos de titulares ecuatorianos. Superintendencia de Datos Consultar las resoluciones de la SPDP
En el plano internacional, el principal referente continúa siendo el Reglamento General de Protección de Datos de la Unión Europea (RGPD). El Reglamento (UE) 2016/679 consolidó conceptos como responsabilidad proactiva, minimización, protección desde el diseño, evaluaciones de impacto y portabilidad. EUR-Lex Consultar el Reglamento General de Protección de Datos Esta convergencia demuestra que la protección de datos funciona cada vez menos como una cuestión puramente territorial y más como una disciplina vinculada con ecosistemas digitales transfronterizos.
Los titulares poseen derechos que les permiten recuperar cierto grado de control sobre la información que circula sobre ellos. Entre estos se encuentran el acceso, rectificación, actualización, eliminación, oposición y portabilidad, además de garantías relacionadas con decisiones automatizadas. La tradicional denominación ARCO sigue siendo útil como referencia comparada, aunque las legislaciones contemporáneas han ampliado considerablemente el catálogo de derechos.
Del otro lado aparecen las obligaciones de responsables y encargados. Las organizaciones deben justificar jurídicamente sus tratamientos, adoptar medidas administrativas y tecnológicas de seguridad, controlar a sus proveedores, atender derechos, documentar sus operaciones y evaluar los riesgos asociados con determinados tratamientos. La responsabilidad proactiva cambia la pregunta tradicional: ya no basta con afirmar que se cumple la normativa, sino que debe ser posible demostrar cómo se cumple.
Esta lógica resulta especialmente importante frente a una vulneración de seguridad. Una brecha puede generar fraude, robo de identidad, suplantaciones, campañas de phishing o exposición de información sensible. Por ello, gestionar datos personales implica gestionar también las consecuencias que su pérdida, alteración o divulgación podría generar sobre las personas.
La inteligencia artificial introduce una nueva capa de complejidad. Los sistemas pueden procesar enormes cantidades de información, generar inferencias, elaborar perfiles y participar en decisiones automatizadas. El European Data ProtectionBoard (EDPB) ha examinado específicamente cuestiones como la utilización de datos personales para desarrollar modelos, la anonimización y la aplicación del interés legítimo en su Opinión 28/2024 sobre modelos de IA. Junta Europea de Protección de Datos Consultar la Opinión 28/2024 del EDPB sobre IA y datos personales
El riesgo tampoco procede únicamente de la utilización legítima de IA. En septiembre de 2026, la Agencia Española de Protección de Datos informó sobre la primera notificación recibida en España de una brecha en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La documentación analizada describe una secuencia que incluyó identificación de vulnerabilidades, utilización de credenciales válidas, exploración autónoma y posterior acceso o modificación de información. La AEPD ha utilizado posteriormente el caso para advertir sobre la capacidad de la IA ofensiva para acelerar los ataques y reducir los tiempos disponibles para responder. Agencia Española de Protección de DatosConsultar el análisis de la AEPD sobre IA y brechas de datos
Existe además otro riesgo menos visible: la cadena de suministro de datos. Servicios en la nube, CRM, call centers, plataformas publicitarias y proveedores tecnológicos pueden intervenir en un mismo tratamiento. El documento aportado para este análisis examina precisamente un incidente mexicano relacionado con la oferta de aproximadamente 12,9 millones de registros y las dificultades para determinar el origen dentro de una cadena de proveedores. La lección jurídica resulta particularmente relevante: externalizar un servicio no equivale a externalizar automáticamente la responsabilidad sobre los datos.
Uno de los mayores problemas del ecosistema digital es considerar que el consentimiento resuelve por sí mismo cualquier tratamiento. La acumulación de políticas de privacidad, banners y casillas de aceptación puede producir una apariencia formal de control sin garantizar una verdadera comprensión de las consecuencias. Por ello, la legitimidad debe analizarse conjuntamente con necesidad, finalidad, proporcionalidad y transparencia.
La inteligencia artificial hace todavía más evidente esta limitación. Resulta necesario determinar qué datos alimentan un sistema, qué inferencias produce, qué decisiones puede adoptar y qué consecuencias genera sobre los individuos. La regulación ecuatoriana específica sobre sistemas de IA responde precisamente a esa necesidad de trasladar los principios tradicionales de protección de datos a tecnologías capaces de operar de manera automatizada. Superintendencia de Datos
La discusión contemporánea, por tanto, no debería plantearse como una confrontación entre innovación y privacidad. El verdadero desafío consiste en diseñar tecnologías y modelos empresariales donde el tratamiento de datos sea jurídicamente legítimo, técnicamente seguro y proporcional al objetivo perseguido.
La protección de datos personales ha dejado de ser una obligación periférica para convertirse en un elemento estructural de la transformación digital. Inteligencia artificial, automatización, servicios en la nube y ecosistemas de terceros amplían las posibilidades de utilización de la información, pero también incrementan la superficie de riesgo.
El cumplimiento efectivo exige integrar protección desde el diseño, análisis de riesgos, controles de seguridad, gestión contractual, ejercicio de derechos y documentación. Una política de privacidad o una casilla de consentimiento pueden formar parte del sistema, pero difícilmente pueden sustituir una arquitectura integral de gobernanza.
En este escenario, la principal transformación es conceptual: proteger datos no significa impedir su utilización, sino establecer las condiciones jurídicas y técnicas para utilizarlos responsablemente. La confianza digital dependerá cada vez más de la capacidad de las organizaciones para demostrar que innovación y protección de derechos forman parte del mismo diseño.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento, 26 de mayo de 2021. Ley Orgánica de Protección de Datos Personales — fuente oficial
Presidencia de la República del Ecuador. (2023). Reglamento General de la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904, Registro Oficial No. 435. Reglamento General de la LOPDP — Registro Oficial
Superintendencia de Protección de Datos Personales. (2026). Resolución N.º SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, y normativa secundaria relacionada. Repositorio oficial de resoluciones de la SPDP
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. EUR-Lex. Texto oficial del RGPD en español
European Data Protection Board. (2024). Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models. EDPB. Opinión 28/2024 sobre IA y datos personales
Agencia Española de Protección de Datos. (2026). Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA e IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos. AEPD. Publicaciones de la AEPD sobre IA y brechas de datos
Las transferencias internacionales de datos suelen gestionarse mediante contratos, evaluaciones de riesgo y mecanismos regulatorios. Sin embargo, el futuro del EU-U.S. Data Privacy Framework (DPF) demuestra que también dependen de algo menos visible: la estabilidad de las instituciones que garantizan su cumplimiento.
El 29 de junio de 2026, la Corte Suprema de Estados Unidos resolvió Trump v. Slaughter y declaró incompatible con la Constitución la protección que impedía remover libremente a los comisionados de la Federal Trade Commission (FTC). La decisión fue adoptada por una mayoría de 6-3 y modificó un precedente que durante décadas había respaldado la autonomía de la agencia frente al Poder Ejecutivo.
La cuestión trasciende el derecho administrativo estadounidense. La FTC es una de las piezas centrales del sistema que permitió a la Comisión Europea considerar adecuado el nivel de protección ofrecido por Estados Unidos para las organizaciones participantes en el DPF.
El DPF permite transferir datos personales desde el Espacio Económico Europeo hacia empresas estadounidenses certificadas sin recurrir, para esas transferencias, a mecanismos adicionales del Capítulo V del GDPR. El sistema se apoya en compromisos asumidos por las empresas, la administración del Departamento de Comercio y la capacidad de autoridades como la FTC para investigar y exigir el cumplimiento de esos compromisos.
Trump v. Slaughter no modificó directamente el GDPR ni la Decisión de Ejecución (UE) 2023/1795. Lo que cambió fue uno de los elementos institucionales evaluados por Europa al reconocer la adecuación estadounidense.
La Corte Suprema concluyó que la FTC ejerce poder ejecutivo y que, por ello, sus comisionados deben estar sujetos al control presidencial, incluida la posibilidad de remoción. Ese cambio abre una pregunta incómoda para Europa: ¿puede seguir considerándose independiente, a efectos de una decisión de adecuación, una autoridad cuya composición puede depender en mayor medida de las decisiones del Ejecutivo?
Este es probablemente el punto más importante para las empresas. Una decisión de adecuación no evalúa únicamente leyes escritas o políticas corporativas. El artículo 45 del GDPR exige analizar si el sistema extranjero ofrece, en la práctica, un nivel de protección esencialmente equivalente, incluyendo mecanismos efectivos de supervisión y tutela.
La propia decisión del DPF destacó la estructura e independencia de las autoridades estadounidenses. Además, obliga a la Comisión Europea a monitorear continuamente los cambios jurídicos o prácticos que puedan alterar esa evaluación y contempla incluso la modificación, suspensión o derogación de la adecuación si el nivel de protección deja de ser suficiente.
Por eso, el problema generado por Trump v. Slaughter no consiste en que el DPF haya desaparecido. Consiste en que uno de los hechos jurídicos sobre los que descansó la evaluación europea ha cambiado.
El 31 de julio de 2026, el European Data Protection Board (EDPB) llevó formalmente la cuestión ante la Comisión Europea. Recordó que la existencia y funcionamiento efectivo de autoridades supervisoras independientes constituye un elemento relevante de la evaluación de adecuación y señaló expresamente que la decisión de 2023 había tomado en consideración las protecciones de los comisionados de la FTC.
El EDPB no declaró inválido el DPF. Solicitó a la Comisión evaluar de cerca si la sentencia afecta su funcionamiento y adoptar las acciones que correspondan.
A septiembre de 2026, la posición jurídica sigue siendo esa: la Comisión Europea continúa incluyendo a Estados Unidos —respecto de organizaciones participantes en el DPF— entre las jurisdicciones cubiertas por una decisión de adecuación.
Por tanto, abandonar preventivamente el DPF no es una obligación derivada de la sentencia. Ignorar la posibilidad de un cambio futuro tampoco sería una buena estrategia de gestión de riesgos.
Aquí aparece la consecuencia empresarial más relevante. Las compañías que mantienen flujos intensivos entre Europa y Estados Unidos deberían conocer exactamente qué transferencias dependen del DPF, qué proveedores están involucrados y qué impacto tendría una modificación o eventual pérdida de la adecuación.
El documento analizado propone precisamente auditar los flujos, verificar certificaciones y preparar mecanismos alternativos. Esa recomendación es razonable como estrategia de continuidad, pero debe evitarse una conclusión automática: las Standard Contractual Clauses (SCCs) no son hoy un requisito adicional para una transferencia válidamente amparada por el DPF.
Lo recomendable es preparar contingencias. Si en el futuro una transferencia tuviera que apoyarse en SCCs, la empresa debería analizar el régimen aplicable en el país receptor y determinar si son necesarias medidas complementarias conforme a la metodología desarrollada después de Schrems II.
La revisión también debe alcanzar a la cadena tecnológica. Antes de transferir información bajo el DPF, el EDPB exige comprobar que el destinatario estadounidense mantiene una certificación activa y que esta cubre la categoría de datos correspondiente; existen consideraciones específicas para información de recursos humanos.
Esto convierte la supervisión de proveedores en una cuestión dinámica. Servicios de nube, CRM, analítica, inteligencia artificial, recursos humanos o procesamiento empresarial pueden formar parte de cadenas internacionales cuya legitimidad depende de mecanismos regulatorios susceptibles de evolucionar.
La lección de Trump v. Slaughter es, por tanto, más amplia que el futuro del DPF: las transferencias internacionales ya no pueden administrarse como una decisión contractual tomada una sola vez. Requieren trazabilidad, monitoreo regulatorio y capacidad de sustituir mecanismos jurídicos sin paralizar la operación.
La confianza institucional también forma parte de la infraestructura de datos. Cuando esa confianza cambia, el cumplimiento empresarial debe estar preparado para cambiar con ella.
Supreme Court of the United States. Trump v. Slaughter, No. 25-332, decisión de 29 de junio de 2026. Consultar sentencia oficial
European Data Protection Board. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31 de julio de 2026. Consultar documento oficial
Comisión Europea. Commission Implementing Decision (EU) 2023/1795 on the adequate level of protection under the EU-U.S. Data Privacy Framework, 10 de julio de 2023. Consultar decisión en EUR-Lex
Comisión Europea. Data protection adequacy for non-EU countries, estado de las decisiones de adecuación. Consultar información oficial
European Data Protection Board. EU-U.S. Data Privacy Framework F.A.Q. for European businesses – Version 2.0, 23 de enero de 2026. Consultar guía del EDPB
European Data Protection Board. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, versión final, 18 de junio de 2021. Consultar recomendaciones
Comisión Europea. Standard Contractual Clauses (SCCs) for international data transfers, 2021. Consultar cláusulas y orientación oficial
La Agencia Nacional de Protección de Datos de Brasil (ANPD) impuso el 25 de agosto de 2026 una multa de R$ 153,7 millones a ByteDance, controladora de TikTok, tras identificar cinco infracciones relacionadas con el tratamiento de datos personales de niños y adolescentes. La decisión también ordenó eliminar datos recolectados irregularmente y avanzar con un plan de conformidad destinado a modificar determinadas prácticas de la plataforma.
Sin embargo, el aspecto más relevante para las empresas no está únicamente en la cuantía de la sanción. La autoridad brasileña sostuvo que los mecanismos implementados por TikTok no habían sido suficientes para impedir el tratamiento irregular desde el origen y, especialmente, que faltaban evidencias concretas sobre la efectividad de las medidas técnicas y organizativas adoptadas.
Ahí aparece una cuestión que trasciende el caso brasileño: ¿qué ocurre cuando una empresa tiene controles de privacidad, pero no puede demostrar que funcionan?
La investigación analizó tanto el acceso a TikTok sin registro como el proceso de creación de cuentas. En ambos escenarios, la ANPD determinó que existían tratamientos de datos de niños y adolescentes sin una hipótesis legal adecuada y deficiencias en las medidas destinadas a prevenir esos tratamientos.
El documento analizado destaca precisamente esa brecha entre el cumplimiento declarado y su ejecución: las herramientas para verificar edad y gestionar adecuadamente el acceso de menores resultaron insuficientes, por lo que la discusión terminó desplazándose desde la existencia formal del control hacia su efectividad práctica.
Esto cambia la lógica tradicional del compliance. Una política que establece que determinada plataforma no admite usuarios menores de cierta edad tiene poco valor regulatorio si el diseño del servicio permite que esos usuarios ingresen, sean perfilados o generen información antes de que el control actúe.
La ANPD no exigió únicamente que ByteDance dijera qué medidas había adoptado. El procedimiento puso énfasis en la capacidad de acreditar resultados.
Esta idea tiene una conexión especialmente relevante con Ecuador. La LOPDP establece el principio de responsabilidad proactiva y demostrada, según el cual el responsable debe acreditar la implementación de mecanismos de protección y revisar continuamente su eficacia.
La propia Ley va más allá: exige procesos continuos de verificación, evaluación y valoración de la eficiencia, eficacia y efectividad de las medidas implementadas. También obliga a evidenciar que las medidas adoptadas mitigan adecuadamente los riesgos identificados.
Por ello, para una empresa ecuatoriana, la pregunta ya no debería ser únicamente “¿tenemos un procedimiento?”, sino también “¿qué evidencia tenemos de que ese procedimiento funciona?”.
El caso TikTok demuestra además que verificar la edad no puede reducirse a una casilla o declaración del usuario. La investigación brasileña cuestionó precisamente la fragilidad de mecanismos que permitían que niños accedieran a servicios que formalmente no estaban dirigidos a ellos. La Nota Técnica de la ANPD incluso destacó que el uso sin registro permitía tratamiento a gran escala, incluyendo datos de menores.
Las medidas posteriores son reveladoras: configuraciones más restrictivas para menores de 16 años, fortalecimiento de la supervisión parental, reducción de datos tratados y suspensión de publicidad en el acceso sin registro.
No son simples cambios en una política de privacidad. Son modificaciones sobre funcionalidades, monetización, personalización y arquitectura del servicio.
La decisión brasileña no constituye una regla aplicable automáticamente en Ecuador. Sin embargo, resulta relevante como referencia comparada porque la normativa ecuatoriana también impone una protección reforzada.
La LOPDP considera los datos de niñas, niños y adolescentes como una categoría especial de datos personales. El Reglamento General establece, además, que para menores de 15 años el tratamiento requiere el consentimiento de su representante legal; desde los 15 años, el adolescente puede otorgar consentimiento explícito bajo determinadas condiciones de información y comprensión. El consentimiento tampoco puede menoscabar el interés superior del niño.
Hay otra consecuencia empresarial importante: cuando existe tratamiento a gran escala de categorías especiales de datos, la LOPDP contempla la evaluación de impacto como obligatoria.
Una aplicación, plataforma educativa, servicio digital, programa de fidelización o sistema de perfilamiento utilizado masivamente por menores debería, por tanto, analizar estos riesgos desde su propia arquitectura y no únicamente desde sus términos y condiciones.
La principal lección del caso TikTok es que una empresa necesita construir un expediente de cumplimiento antes de que lo solicite una autoridad.
Esto implica poder demostrar, por ejemplo, cómo funciona la verificación de edad; qué porcentaje de accesos irregulares detecta; cómo se revisan los controles; qué datos se recogen antes de identificar al usuario; cómo se configura la privacidad por defecto; qué pruebas se realizan sobre sistemas de perfilamiento; cuándo se eliminan los datos y qué decisiones fueron tomadas después de detectar fallas.
El cambio estratégico es importante: la protección de datos deja de evaluarse por la existencia de documentos y empieza a evaluarse por la capacidad de probar resultados.
Para las empresas ecuatorianas que tratan información de menores, conviene revisar no solo políticas y consentimientos, sino también flujos tecnológicos, métricas de efectividad, mecanismos de supervisión, evaluaciones de impacto y evidencia interna. Un programa de cumplimiento sólido debe poder responder no solo qué controles existen, sino por qué la organización considera que esos controles realmente protegen a los titulares.
La economía digital funciona mediante infraestructuras distribuidas. Plataformas de almacenamiento, sistemas de gestión de clientes, servicios de inteligencia artificial, herramientas de colaboración y soluciones de ciberseguridad pueden procesar información ecuatoriana desde servidores ubicados en múltiples países. En este escenario, las transferencias transfronterizas dejaron de ser operaciones excepcionales y se convirtieron en una práctica cotidiana. El problema jurídico consiste en garantizar que el desplazamiento territorial de los datos no reduzca los derechos reconocidos a sus titulares.
La Ley Orgánica de Protección de Datos Personales establece que los datos pueden transferirse hacia países u organizaciones con un nivel adecuado de protección o mediante garantías que aseguren estándares equivalentes a los ecuatorianos. La Resolución SPDP-SPD-2026-0004-R desarrolla estos mecanismos y regula sus condiciones contractuales, técnicas, administrativas y registrales. El documento de análisis que sirve de base para este artículo identifica como dificultades centrales la ambigüedad respecto de los encargos internacionales, la carga documental, la determinación de países adecuados y la adaptación práctica de las cláusulas contractuales modelo.
La tesis principal es que el desafío de la norma no radica en la ausencia de instrumentos jurídicos, sino en su aplicación dentro de arquitecturas tecnológicas complejas. Una organización puede suscribir cláusulas aparentemente adecuadas y, aun así, desconocer dónde se almacenan los datos, qué subcontratistas intervienen, qué legislación extranjera resulta aplicable o qué autoridades pueden acceder a la información. Por ello, el cumplimiento no debe entenderse como una formalidad contractual aislada, sino como un sistema continuo de gobernanza y supervisión.
El régimen ecuatoriano se sustenta en el principio de continuidad de la protección: los datos no pierden su tutela jurídica por abandonar el territorio nacional. Cuando el país receptor ha sido reconocido por la Superintendencia de Protección de Datos Personales como poseedor de un nivel adecuado, la transferencia puede efectuarse sin recurrir a mecanismos contractuales adicionales. Esta decisión debe considerar la legislación del país receptor, la independencia de su autoridad de control, los derechos de los titulares, las reglas sobre transferencias ulteriores, la existencia de recursos judiciales y los límites al acceso estatal.
Cuando no existe una decisión de adecuación, la Resolución permite emplear garantías adecuadas. Entre ellas se encuentran las cláusulas contractuales modelo, las normas corporativas vinculantes, los códigos de conducta y los mecanismos de certificación. Estas garantías deben ser jurídicamente exigibles, reconocer derechos equivalentes a los establecidos en Ecuador y prever mecanismos de supervisión, reparación y control de transferencias posteriores. La simple inclusión de cláusulas en un contrato no resulta suficiente si el destinatario no puede demostrar que dispone de condiciones técnicas, institucionales y jurídicas para cumplirlas.
Las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos constituyen una herramienta central del sistema. La guía regional contempla modelos para relaciones entre responsables y para vínculos entre responsables y encargados. Sin embargo, la Resolución ecuatoriana establece que el encargo de tratamiento no constituye transferencia o comunicación internacional y señala que las cláusulas responsable-encargado no son obligatorias, aunque su utilización puede considerarse una buena práctica.
Esta diferenciación tiene importantes consecuencias. En los servicios en la nube, el proveedor suele presentarse como encargado porque procesa información siguiendo instrucciones del cliente. No obstante, los datos permanecen físicamente en otro país, pueden ser tratados por subencargados y pueden quedar sometidos a normas extranjeras de acceso gubernamental. La exclusión formal del encargo no elimina esos riesgos materiales, lo que obliga a desarrollar contratos y controles equivalentes a los exigidos para una transferencia.
El primer desafío consiste en identificar los flujos internacionales reales. Las organizaciones suelen conocer el domicilio de sus proveedores, pero no necesariamente la ubicación de los servidores, los centros de respaldo o los equipos de soporte que acceden remotamente a la información. Un proveedor domiciliado en Ecuador puede utilizar infraestructura extranjera, mientras que una plataforma internacional puede replicar datos en varias regiones. En consecuencia, el inventario debe construirse desde el recorrido del dato y no exclusivamente desde el contrato.
Este inventario debe determinar qué información se transfiere, quiénes son los titulares, cuál es la finalidad, a qué país llega, qué proveedor interviene, durante cuánto tiempo se conserva y qué mecanismo legitima la operación. También debe identificar subencargados, transferencias ulteriores y accesos remotos. Sin esta trazabilidad no es posible cumplir adecuadamente las obligaciones de información, análisis de riesgos, evaluación de impacto o registro.
El segundo desafío se relaciona con la correcta calificación de los actores. La denominación contractual de “responsable” o “encargado” no siempre coincide con las funciones reales. Un proveedor puede actuar como encargado respecto del almacenamiento, pero como responsable independiente cuando utiliza registros técnicos para seguridad, analítica o mejora de sus servicios. Las organizaciones deben analizar las decisiones efectivamente adoptadas por cada participante y no limitarse a aceptar las categorías incluidas en condiciones generales predispuestas.
El tercer problema es la efectividad de las garantías contractuales. Los grandes proveedores tecnológicos suelen utilizar contratos estandarizados, limitar su responsabilidad, modificar unilateralmente la lista de subencargados o rechazar la jurisdicción ecuatoriana. En tales circunstancias, la firma de cláusulas no asegura por sí sola una protección equivalente. La organización debe evaluar si las limitaciones pueden compensarse mediante cifrado, seudonimización, minimización, control de llaves, segmentación de bases de datos, restricciones de acceso o selección de centros de procesamiento regionales.
También debe evaluarse el marco jurídico del país receptor. Las cláusulas obligan a las partes, pero no pueden impedir que una legislación extranjera ordene al proveedor entregar información a autoridades públicas. La jurisprudencia europea desarrollada a partir del caso Schrems II demuestra que las garantías contractuales deben complementarse con un análisis del ordenamiento del país de destino y, cuando sea necesario, con medidas técnicas adicionales. Aunque este procedimiento no aparezca expresamente con la misma denominación en la normativa ecuatoriana, constituye una manifestación razonable del principio de responsabilidad proactiva.
Finalmente, la Resolución impone obligaciones administrativas continuas. Las organizaciones deben conservar contratos, análisis de riesgos, evaluaciones de impacto y evidencia de las medidas de seguridad. Asimismo, deben diferenciar entre transferencias sometidas a inscripción individual y aquellas sujetas a reporte agregado. El cumplimiento exige coordinación entre las áreas jurídicas, tecnológicas, de contratación, seguridad de la información y gestión de proveedores; no puede quedar limitado al delegado de protección de datos.
La Resolución busca equilibrar la protección de los titulares con la necesidad de mantener flujos internacionales indispensables para la economía digital. Un régimen demasiado flexible permitiría trasladar información hacia jurisdicciones con bajos niveles de protección, mientras que un sistema excesivamente restrictivo dificultaría el acceso a servicios tecnológicos y mercados internacionales. La pluralidad de mecanismos habilitantes pretende resolver esta tensión, pero su efectividad depende de la capacidad de las organizaciones para seleccionar y aplicar correctamente cada herramienta.
La exclusión del encargo internacional como transferencia merece especial atención. Desde una lectura formal, el encargado no decide las finalidades del tratamiento y permanece subordinado a las instrucciones del responsable. Sin embargo, desde una perspectiva de riesgo, el titular puede verse igualmente afectado por la ubicación extranjera de los servidores, la intervención de subcontratistas o la aplicación de leyes de vigilancia. Por ello, la exclusión no debería interpretarse como una dispensa para no evaluar, documentar o controlar al proveedor.
La experiencia de Argentina y Uruguay demuestra que las cláusulas de la RIPD pueden utilizarse tanto entre responsables como entre responsables y encargados. Ecuador ha elegido una interpretación más restrictiva, aunque reconoce el modelo responsable-encargado como buena práctica. Esta divergencia revela que todavía no existe una armonización regional completa y que las empresas que operan en varios países deben adaptar sus contratos a cada legislación nacional.
El régimen aplicable dentro de la Comunidad Andina también reduce determinadas barreras, pero no elimina las obligaciones de diligencia. Una presunción de adecuación no significa que todas las entidades o infraestructuras de un país sean automáticamente seguras. Las organizaciones siguen obligadas a informar, contratar, evaluar riesgos, controlar proveedores y adoptar medidas de seguridad proporcionadas.
La Norma SPDP-SPD-2026-0004-R representa un avance significativo en la regulación ecuatoriana de las transferencias transfronterizas. Su principal aporte consiste en convertir los principios de la LOPDP en mecanismos concretos de adecuación, garantías contractuales, autorizaciones, registros y controles. No obstante, su aplicación exige capacidades técnicas y organizativas que muchas entidades todavía deben desarrollar.
El cumplimiento debe comenzar con un mapa actualizado de los flujos internacionales. Este instrumento debe integrarse con el registro de actividades de tratamiento, las políticas de privacidad, los contratos, las evaluaciones de impacto y la gestión de proveedores. La falta de trazabilidad convierte cualquier cláusula contractual en una garantía incompleta.
La exclusión de los encargos internacionales no elimina la obligación de proteger los datos. Cuando las cláusulas modelo responsable-encargado no operen como mecanismo obligatorio, sus contenidos pueden utilizarse como referencia para regular subcontratación, auditorías, incidentes, eliminación de información, cooperación con la SPDP y acceso de autoridades extranjeras.
En definitiva, el verdadero sentido de la Resolución consiste en superar una visión documental del cumplimiento. Las transferencias internacionales requieren vigilancia continua, revisión periódica de proveedores, evaluación del entorno jurídico extranjero y capacidad de demostrar que las garantías permanecen efectivas durante todo el tratamiento. La cláusula es solamente el punto de partida; la protección real depende de la gobernanza que la acompaña.
Red Iberoamericana de Protección de Datos. (2021). Guía de implementación de cláusulas contractuales modelo para la transferencia internacional de datos personales.
Consultar documento
República del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento No. 459.
Consultar ley
Superintendencia de Protección de Datos Personales. (2026). Resolución No. SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
Consultar resolución
Tribunal de Justicia de la Unión Europea. (2020). Data Protection Commissioner v. Facebook Ireland Ltd. and Maximillian Schrems, asunto C-311/18.
Consultar sentencia
La inteligencia artificial interviene cada vez con mayor frecuencia en decisiones relacionadas con el empleo, el crédito, el consumo, la publicidad, la seguridad y los servicios públicos. Su expansión ofrece oportunidades de eficiencia e innovación, pero también incrementa los riesgos de discriminación, vigilancia, opacidad y utilización indebida de datos personales. Frente a este escenario, los países latinoamericanos han comenzado a desarrollar respuestas regulatorias que sitúan los derechos fundamentales en el centro de la transformación digital.
Este proceso configura un nuevo paradigma jurídico. En la economía tradicional, la jurisdicción se vinculaba principalmente con el domicilio de la empresa o la ubicación de sus instalaciones. En el entorno digital, una organización puede ofrecer servicios, analizar comportamientos y adoptar decisiones sobre habitantes de un país sin mantener oficinas o servidores en su territorio. Por ello, las nuevas normas tienden a seguir al dato, al usuario y a los efectos del tratamiento, antes que a la infraestructura tecnológica.
El caso ecuatoriano permite observar esta transformación con claridad. La Resolución Nº SPDP-SPD-2026-0009-R no constituye una ley integral sobre inteligencia artificial, sino una norma especializada que extiende las garantías de la protección de datos personales al ciclo de vida de los sistemas automatizados. Su relevancia reside en que somete a obligaciones concretas a desarrolladores, entrenadores, implementadores, desplegadores y proveedores cuyos sistemas traten información personal dentro del ámbito de aplicación de la legislación ecuatoriana.
La soberanía digital puede entenderse como la capacidad de un Estado para proteger los derechos de las personas frente a tratamientos tecnológicos realizados dentro o fuera de su territorio. No supone necesariamente localizar todos los datos en servidores nacionales, sino garantizar que las empresas extranjeras no queden exentas de responsabilidad por carecer de presencia física. Esta lógica se refleja en diferentes legislaciones latinoamericanas que aplican sus disposiciones cuando una organización ofrece bienes o servicios a residentes o controla su comportamiento.
La protección de datos constituye la principal base jurídica de este modelo. Principios como finalidad, transparencia, minimización, seguridad y responsabilidad proactiva obligan a las organizaciones a demostrar cómo utilizan la información y qué medidas aplican para prevenir daños. En el contexto de la inteligencia artificial, estas obligaciones requieren identificar los datos utilizados, documentar las finalidades del sistema, evaluar riesgos, explicar decisiones relevantes y establecer mecanismos para corregir resultados perjudiciales.
Paralelamente, América Latina ha comenzado a adoptar enfoques regulatorios basados en riesgos. Chile mantiene un proyecto de regulación de sistemas de inteligencia artificial inspirado en categorías de riesgo; Brasil tramita el Proyecto de Ley Nº 2338/2023; y otros países desarrollan iniciativas generales o sectoriales. Aunque los instrumentos no son uniformes, existe una convergencia en torno a la protección de derechos, la evaluación de impacto y la supervisión de decisiones automatizadas.
La regulación ecuatoriana se apoya en la Ley Orgánica de Protección de Datos Personales, su reglamento y las resoluciones emitidas por la Superintendencia de Protección de Datos Personales. La Resolución Nº SPDP-SPD-2026-0009-R aplica este marco al desarrollo y operación de sistemas de inteligencia artificial. En consecuencia, no regula todos los aspectos tecnológicos, comerciales o de propiedad intelectual relacionados con la IA, pero sí establece obligaciones vinculantes cuando se procesan datos personales.
Su dimensión más significativa es el alcance transfronterizo. La norma comprende a los actores que desarrollen, entrenen, implementen, desplieguen o provean sistemas que traten datos personales incluidos en el ámbito territorial de la legislación ecuatoriana, independientemente de dónde se encuentre la infraestructura tecnológica. Esto significa que una empresa extranjera puede quedar sometida al régimen ecuatoriano cuando dirige servicios a personas residentes en Ecuador o monitorea su comportamiento, aunque sus servidores y oficinas se encuentren en otro país.
El cumplimiento exige, en primer lugar, elaborar un inventario de sistemas de inteligencia artificial y flujos de datos. La organización debe determinar qué información recopila, qué finalidad persigue, qué proveedores intervienen, dónde se almacena la información y qué decisiones se adoptan mediante algoritmos. También debe evaluar si corresponde designar un representante local, realizar una evaluación de impacto o adoptar salvaguardas especiales para transferencias internacionales.
La resolución exige gestionar los riesgos antes del desarrollo o utilización del sistema, mantener registros de tratamiento, implementar medidas de seguridad y efectuar auditorías proporcionales al nivel de riesgo. Estas obligaciones trasladan la protección de datos a las fases iniciales del producto. El cumplimiento ya no puede limitarse a publicar una política de privacidad; debe integrarse en el diseño tecnológico, la selección de proveedores y la arquitectura de procesamiento.
Un componente central es el derecho frente a decisiones automatizadas. La legislación ecuatoriana permite solicitar información sobre los criterios utilizados, presentar observaciones y oponerse a decisiones basadas total o parcialmente en valoraciones automatizadas cuando produzcan efectos jurídicos o afecten significativamente derechos y libertades. Por ello, las empresas deben incorporar mecanismos reales de revisión humana. La intervención no puede ser simbólica: la persona encargada debe tener capacidad para comprender, revisar y modificar el resultado algorítmico.
La transferencia internacional de datos representa otro punto crítico. Los sistemas de IA suelen depender de infraestructuras, proveedores y subencargados ubicados en múltiples jurisdicciones. Las empresas deben mapear estos movimientos y utilizar mecanismos jurídicos adecuados, como garantías contractuales, decisiones de adecuación o normas corporativas vinculantes. La gestión de la inteligencia artificial se convierte, por tanto, en una responsabilidad simultáneamente jurídica, técnica, contractual y organizacional.
El modelo ecuatoriano presenta como principal ventaja su carácter pragmático. En lugar de esperar una ley integral de inteligencia artificial, la autoridad aplica instrumentos jurídicos existentes a tecnologías que ya generan consecuencias sobre las personas. Esto permite emplear mecanismos consolidados, como evaluaciones de impacto, protección desde el diseño, registros de tratamiento y derechos de acceso, oposición o explicación.
Sin embargo, el modelo también plantea interrogantes. La distribución de responsabilidades entre desarrolladores, proveedores, implementadores, responsables y encargados puede resultar difícil de determinar en cadenas tecnológicas internacionales. Además, las pequeñas empresas y los emprendimientos pueden enfrentar mayores costos para realizar evaluaciones, auditorías y revisiones contractuales. La proporcionalidad y la emisión de guías sectoriales serán esenciales para evitar que el cumplimiento se transforme en una barrera desproporcionada.
La comparación regional demuestra que no existe todavía un régimen latinoamericano uniforme de inteligencia artificial. No obstante, se observan principios comunes: protección de derechos, extraterritorialidad, transparencia, supervisión humana y gestión de riesgos. Esta convergencia podría facilitar programas regionales de cumplimiento, siempre que las autoridades cooperen y eviten crear procedimientos incompatibles entre países.
Para las empresas globales, la principal consecuencia es estratégica. Ya no resulta suficiente aplicar una política internacional genérica. Las organizaciones necesitan una estructura común de gobernanza y módulos locales que contemplen derechos, procedimientos, representantes, contratos y criterios regulatorios propios de cada jurisdicción. La protección de datos y la responsabilidad algorítmica deben incorporarse desde el diseño del producto y no después de su lanzamiento.
El nuevo paradigma digital latinoamericano desplaza el centro de la regulación desde la ubicación de los servidores hacia los datos, las personas y los efectos del tratamiento. Las empresas digitales pueden quedar sometidas a la jurisdicción de un país aunque carezcan de instalaciones físicas, siempre que dirijan actividades a su población o procesen información dentro de los criterios establecidos por la legislación.
Ecuador constituye un ejemplo relevante porque ha convertido los principios generales de protección de datos en obligaciones específicas para sistemas de inteligencia artificial. La Resolución Nº SPDP-SPD-2026-0009-R exige gestión de riesgos, evaluaciones de impacto, transparencia, seguridad, auditorías y mecanismos de intervención humana. Su importancia no radica en regular toda la inteligencia artificial, sino en ofrecer una respuesta inmediata frente a los efectos que estos sistemas producen sobre los derechos personales.
Para las empresas extranjeras, el cumplimiento debe comenzar con la identificación de sistemas, datos, proveedores y transferencias. A partir de ese diagnóstico, será necesario establecer controles técnicos y jurídicos, revisar contratos, documentar decisiones y habilitar procedimientos de oposición y revisión humana. Estas tareas requieren coordinación entre las áreas legales, tecnológicas, comerciales y de seguridad.
En definitiva, la consolidación del paradigma dependerá no solo de la aprobación de normas, sino de su capacidad para transformar prácticas empresariales y decisiones públicas. La regulación será legítima si protege derechos sin bloquear injustificadamente la innovación. Al mismo tiempo, la inteligencia artificial será sostenible únicamente cuando la transparencia, la trazabilidad y la responsabilidad dejen de considerarse obstáculos y sean entendidas como condiciones esenciales de confianza y competitividad.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial.
https://spdp.gob.ec/wp-content/uploads/2024/12/03.pdf.pdf
Banco Interamericano de Desarrollo. (2025). An Enabling Regulatory Framework for Artificial Intelligence in Latin America and the Caribbean. BID.
https://publications.iadb.org/en/enabling-regulatory-framework-artificial-intelligence-latin-america-and-caribbean
Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura. (2021). Recomendación sobre la Ética de la Inteligencia Artificial. UNESCO.
https://www.unesco.org/es/legal-affairs/recommendation-ethics-artificial-intelligence
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2024/12/04.pdf.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2026/01/04.01.01-SPSP-SPD-2026-0004-R-Norma-general-de-transferencias-signed.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
https://spdp.gob.ec/wp-content/uploads/2026/02/ResolIA.pdf