La inteligencia artificial interviene cada vez con mayor frecuencia en decisiones relacionadas con el empleo, el crédito, el consumo, la publicidad, la seguridad y los servicios públicos. Su expansión ofrece oportunidades de eficiencia e innovación, pero también incrementa los riesgos de discriminación, vigilancia, opacidad y utilización indebida de datos personales. Frente a este escenario, los países latinoamericanos han comenzado a desarrollar respuestas regulatorias que sitúan los derechos fundamentales en el centro de la transformación digital.
Este proceso configura un nuevo paradigma jurídico. En la economía tradicional, la jurisdicción se vinculaba principalmente con el domicilio de la empresa o la ubicación de sus instalaciones. En el entorno digital, una organización puede ofrecer servicios, analizar comportamientos y adoptar decisiones sobre habitantes de un país sin mantener oficinas o servidores en su territorio. Por ello, las nuevas normas tienden a seguir al dato, al usuario y a los efectos del tratamiento, antes que a la infraestructura tecnológica.
El caso ecuatoriano permite observar esta transformación con claridad. La Resolución Nº SPDP-SPD-2026-0009-R no constituye una ley integral sobre inteligencia artificial, sino una norma especializada que extiende las garantías de la protección de datos personales al ciclo de vida de los sistemas automatizados. Su relevancia reside en que somete a obligaciones concretas a desarrolladores, entrenadores, implementadores, desplegadores y proveedores cuyos sistemas traten información personal dentro del ámbito de aplicación de la legislación ecuatoriana.
La soberanía digital puede entenderse como la capacidad de un Estado para proteger los derechos de las personas frente a tratamientos tecnológicos realizados dentro o fuera de su territorio. No supone necesariamente localizar todos los datos en servidores nacionales, sino garantizar que las empresas extranjeras no queden exentas de responsabilidad por carecer de presencia física. Esta lógica se refleja en diferentes legislaciones latinoamericanas que aplican sus disposiciones cuando una organización ofrece bienes o servicios a residentes o controla su comportamiento.
La protección de datos constituye la principal base jurídica de este modelo. Principios como finalidad, transparencia, minimización, seguridad y responsabilidad proactiva obligan a las organizaciones a demostrar cómo utilizan la información y qué medidas aplican para prevenir daños. En el contexto de la inteligencia artificial, estas obligaciones requieren identificar los datos utilizados, documentar las finalidades del sistema, evaluar riesgos, explicar decisiones relevantes y establecer mecanismos para corregir resultados perjudiciales.
Paralelamente, América Latina ha comenzado a adoptar enfoques regulatorios basados en riesgos. Chile mantiene un proyecto de regulación de sistemas de inteligencia artificial inspirado en categorías de riesgo; Brasil tramita el Proyecto de Ley Nº 2338/2023; y otros países desarrollan iniciativas generales o sectoriales. Aunque los instrumentos no son uniformes, existe una convergencia en torno a la protección de derechos, la evaluación de impacto y la supervisión de decisiones automatizadas.
La regulación ecuatoriana se apoya en la Ley Orgánica de Protección de Datos Personales, su reglamento y las resoluciones emitidas por la Superintendencia de Protección de Datos Personales. La Resolución Nº SPDP-SPD-2026-0009-R aplica este marco al desarrollo y operación de sistemas de inteligencia artificial. En consecuencia, no regula todos los aspectos tecnológicos, comerciales o de propiedad intelectual relacionados con la IA, pero sí establece obligaciones vinculantes cuando se procesan datos personales.
Su dimensión más significativa es el alcance transfronterizo. La norma comprende a los actores que desarrollen, entrenen, implementen, desplieguen o provean sistemas que traten datos personales incluidos en el ámbito territorial de la legislación ecuatoriana, independientemente de dónde se encuentre la infraestructura tecnológica. Esto significa que una empresa extranjera puede quedar sometida al régimen ecuatoriano cuando dirige servicios a personas residentes en Ecuador o monitorea su comportamiento, aunque sus servidores y oficinas se encuentren en otro país.
El cumplimiento exige, en primer lugar, elaborar un inventario de sistemas de inteligencia artificial y flujos de datos. La organización debe determinar qué información recopila, qué finalidad persigue, qué proveedores intervienen, dónde se almacena la información y qué decisiones se adoptan mediante algoritmos. También debe evaluar si corresponde designar un representante local, realizar una evaluación de impacto o adoptar salvaguardas especiales para transferencias internacionales.
La resolución exige gestionar los riesgos antes del desarrollo o utilización del sistema, mantener registros de tratamiento, implementar medidas de seguridad y efectuar auditorías proporcionales al nivel de riesgo. Estas obligaciones trasladan la protección de datos a las fases iniciales del producto. El cumplimiento ya no puede limitarse a publicar una política de privacidad; debe integrarse en el diseño tecnológico, la selección de proveedores y la arquitectura de procesamiento.
Un componente central es el derecho frente a decisiones automatizadas. La legislación ecuatoriana permite solicitar información sobre los criterios utilizados, presentar observaciones y oponerse a decisiones basadas total o parcialmente en valoraciones automatizadas cuando produzcan efectos jurídicos o afecten significativamente derechos y libertades. Por ello, las empresas deben incorporar mecanismos reales de revisión humana. La intervención no puede ser simbólica: la persona encargada debe tener capacidad para comprender, revisar y modificar el resultado algorítmico.
La transferencia internacional de datos representa otro punto crítico. Los sistemas de IA suelen depender de infraestructuras, proveedores y subencargados ubicados en múltiples jurisdicciones. Las empresas deben mapear estos movimientos y utilizar mecanismos jurídicos adecuados, como garantías contractuales, decisiones de adecuación o normas corporativas vinculantes. La gestión de la inteligencia artificial se convierte, por tanto, en una responsabilidad simultáneamente jurídica, técnica, contractual y organizacional.
El modelo ecuatoriano presenta como principal ventaja su carácter pragmático. En lugar de esperar una ley integral de inteligencia artificial, la autoridad aplica instrumentos jurídicos existentes a tecnologías que ya generan consecuencias sobre las personas. Esto permite emplear mecanismos consolidados, como evaluaciones de impacto, protección desde el diseño, registros de tratamiento y derechos de acceso, oposición o explicación.
Sin embargo, el modelo también plantea interrogantes. La distribución de responsabilidades entre desarrolladores, proveedores, implementadores, responsables y encargados puede resultar difícil de determinar en cadenas tecnológicas internacionales. Además, las pequeñas empresas y los emprendimientos pueden enfrentar mayores costos para realizar evaluaciones, auditorías y revisiones contractuales. La proporcionalidad y la emisión de guías sectoriales serán esenciales para evitar que el cumplimiento se transforme en una barrera desproporcionada.
La comparación regional demuestra que no existe todavía un régimen latinoamericano uniforme de inteligencia artificial. No obstante, se observan principios comunes: protección de derechos, extraterritorialidad, transparencia, supervisión humana y gestión de riesgos. Esta convergencia podría facilitar programas regionales de cumplimiento, siempre que las autoridades cooperen y eviten crear procedimientos incompatibles entre países.
Para las empresas globales, la principal consecuencia es estratégica. Ya no resulta suficiente aplicar una política internacional genérica. Las organizaciones necesitan una estructura común de gobernanza y módulos locales que contemplen derechos, procedimientos, representantes, contratos y criterios regulatorios propios de cada jurisdicción. La protección de datos y la responsabilidad algorítmica deben incorporarse desde el diseño del producto y no después de su lanzamiento.
El nuevo paradigma digital latinoamericano desplaza el centro de la regulación desde la ubicación de los servidores hacia los datos, las personas y los efectos del tratamiento. Las empresas digitales pueden quedar sometidas a la jurisdicción de un país aunque carezcan de instalaciones físicas, siempre que dirijan actividades a su población o procesen información dentro de los criterios establecidos por la legislación.
Ecuador constituye un ejemplo relevante porque ha convertido los principios generales de protección de datos en obligaciones específicas para sistemas de inteligencia artificial. La Resolución Nº SPDP-SPD-2026-0009-R exige gestión de riesgos, evaluaciones de impacto, transparencia, seguridad, auditorías y mecanismos de intervención humana. Su importancia no radica en regular toda la inteligencia artificial, sino en ofrecer una respuesta inmediata frente a los efectos que estos sistemas producen sobre los derechos personales.
Para las empresas extranjeras, el cumplimiento debe comenzar con la identificación de sistemas, datos, proveedores y transferencias. A partir de ese diagnóstico, será necesario establecer controles técnicos y jurídicos, revisar contratos, documentar decisiones y habilitar procedimientos de oposición y revisión humana. Estas tareas requieren coordinación entre las áreas legales, tecnológicas, comerciales y de seguridad.
En definitiva, la consolidación del paradigma dependerá no solo de la aprobación de normas, sino de su capacidad para transformar prácticas empresariales y decisiones públicas. La regulación será legítima si protege derechos sin bloquear injustificadamente la innovación. Al mismo tiempo, la inteligencia artificial será sostenible únicamente cuando la transparencia, la trazabilidad y la responsabilidad dejen de considerarse obstáculos y sean entendidas como condiciones esenciales de confianza y competitividad.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial.
https://spdp.gob.ec/wp-content/uploads/2024/12/03.pdf.pdf
Banco Interamericano de Desarrollo. (2025). An Enabling Regulatory Framework for Artificial Intelligence in Latin America and the Caribbean. BID.
https://publications.iadb.org/en/enabling-regulatory-framework-artificial-intelligence-latin-america-and-caribbean
Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura. (2021). Recomendación sobre la Ética de la Inteligencia Artificial. UNESCO.
https://www.unesco.org/es/legal-affairs/recommendation-ethics-artificial-intelligence
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2024/12/04.pdf.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2026/01/04.01.01-SPSP-SPD-2026-0004-R-Norma-general-de-transferencias-signed.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
https://spdp.gob.ec/wp-content/uploads/2026/02/ResolIA.pdf