La Agencia Nacional de Protección de Datos de Brasil (ANPD) impuso el 25 de agosto de 2026 una multa de R$ 153,7 millones a ByteDance, controladora de TikTok, tras identificar cinco infracciones relacionadas con el tratamiento de datos personales de niños y adolescentes. La decisión también ordenó eliminar datos recolectados irregularmente y avanzar con un plan de conformidad destinado a modificar determinadas prácticas de la plataforma.
Sin embargo, el aspecto más relevante para las empresas no está únicamente en la cuantía de la sanción. La autoridad brasileña sostuvo que los mecanismos implementados por TikTok no habían sido suficientes para impedir el tratamiento irregular desde el origen y, especialmente, que faltaban evidencias concretas sobre la efectividad de las medidas técnicas y organizativas adoptadas.
Ahí aparece una cuestión que trasciende el caso brasileño: ¿qué ocurre cuando una empresa tiene controles de privacidad, pero no puede demostrar que funcionan?
La investigación analizó tanto el acceso a TikTok sin registro como el proceso de creación de cuentas. En ambos escenarios, la ANPD determinó que existían tratamientos de datos de niños y adolescentes sin una hipótesis legal adecuada y deficiencias en las medidas destinadas a prevenir esos tratamientos.
El documento analizado destaca precisamente esa brecha entre el cumplimiento declarado y su ejecución: las herramientas para verificar edad y gestionar adecuadamente el acceso de menores resultaron insuficientes, por lo que la discusión terminó desplazándose desde la existencia formal del control hacia su efectividad práctica.
Esto cambia la lógica tradicional del compliance. Una política que establece que determinada plataforma no admite usuarios menores de cierta edad tiene poco valor regulatorio si el diseño del servicio permite que esos usuarios ingresen, sean perfilados o generen información antes de que el control actúe.
La ANPD no exigió únicamente que ByteDance dijera qué medidas había adoptado. El procedimiento puso énfasis en la capacidad de acreditar resultados.
Esta idea tiene una conexión especialmente relevante con Ecuador. La LOPDP establece el principio de responsabilidad proactiva y demostrada, según el cual el responsable debe acreditar la implementación de mecanismos de protección y revisar continuamente su eficacia.
La propia Ley va más allá: exige procesos continuos de verificación, evaluación y valoración de la eficiencia, eficacia y efectividad de las medidas implementadas. También obliga a evidenciar que las medidas adoptadas mitigan adecuadamente los riesgos identificados.
Por ello, para una empresa ecuatoriana, la pregunta ya no debería ser únicamente “¿tenemos un procedimiento?”, sino también “¿qué evidencia tenemos de que ese procedimiento funciona?”.
El caso TikTok demuestra además que verificar la edad no puede reducirse a una casilla o declaración del usuario. La investigación brasileña cuestionó precisamente la fragilidad de mecanismos que permitían que niños accedieran a servicios que formalmente no estaban dirigidos a ellos. La Nota Técnica de la ANPD incluso destacó que el uso sin registro permitía tratamiento a gran escala, incluyendo datos de menores.
Las medidas posteriores son reveladoras: configuraciones más restrictivas para menores de 16 años, fortalecimiento de la supervisión parental, reducción de datos tratados y suspensión de publicidad en el acceso sin registro.
No son simples cambios en una política de privacidad. Son modificaciones sobre funcionalidades, monetización, personalización y arquitectura del servicio.
La decisión brasileña no constituye una regla aplicable automáticamente en Ecuador. Sin embargo, resulta relevante como referencia comparada porque la normativa ecuatoriana también impone una protección reforzada.
La LOPDP considera los datos de niñas, niños y adolescentes como una categoría especial de datos personales. El Reglamento General establece, además, que para menores de 15 años el tratamiento requiere el consentimiento de su representante legal; desde los 15 años, el adolescente puede otorgar consentimiento explícito bajo determinadas condiciones de información y comprensión. El consentimiento tampoco puede menoscabar el interés superior del niño.
Hay otra consecuencia empresarial importante: cuando existe tratamiento a gran escala de categorías especiales de datos, la LOPDP contempla la evaluación de impacto como obligatoria.
Una aplicación, plataforma educativa, servicio digital, programa de fidelización o sistema de perfilamiento utilizado masivamente por menores debería, por tanto, analizar estos riesgos desde su propia arquitectura y no únicamente desde sus términos y condiciones.
La principal lección del caso TikTok es que una empresa necesita construir un expediente de cumplimiento antes de que lo solicite una autoridad.
Esto implica poder demostrar, por ejemplo, cómo funciona la verificación de edad; qué porcentaje de accesos irregulares detecta; cómo se revisan los controles; qué datos se recogen antes de identificar al usuario; cómo se configura la privacidad por defecto; qué pruebas se realizan sobre sistemas de perfilamiento; cuándo se eliminan los datos y qué decisiones fueron tomadas después de detectar fallas.
El cambio estratégico es importante: la protección de datos deja de evaluarse por la existencia de documentos y empieza a evaluarse por la capacidad de probar resultados.
Para las empresas ecuatorianas que tratan información de menores, conviene revisar no solo políticas y consentimientos, sino también flujos tecnológicos, métricas de efectividad, mecanismos de supervisión, evaluaciones de impacto y evidencia interna. Un programa de cumplimiento sólido debe poder responder no solo qué controles existen, sino por qué la organización considera que esos controles realmente protegen a los titulares.
La economía digital funciona mediante infraestructuras distribuidas. Plataformas de almacenamiento, sistemas de gestión de clientes, servicios de inteligencia artificial, herramientas de colaboración y soluciones de ciberseguridad pueden procesar información ecuatoriana desde servidores ubicados en múltiples países. En este escenario, las transferencias transfronterizas dejaron de ser operaciones excepcionales y se convirtieron en una práctica cotidiana. El problema jurídico consiste en garantizar que el desplazamiento territorial de los datos no reduzca los derechos reconocidos a sus titulares.
La Ley Orgánica de Protección de Datos Personales establece que los datos pueden transferirse hacia países u organizaciones con un nivel adecuado de protección o mediante garantías que aseguren estándares equivalentes a los ecuatorianos. La Resolución SPDP-SPD-2026-0004-R desarrolla estos mecanismos y regula sus condiciones contractuales, técnicas, administrativas y registrales. El documento de análisis que sirve de base para este artículo identifica como dificultades centrales la ambigüedad respecto de los encargos internacionales, la carga documental, la determinación de países adecuados y la adaptación práctica de las cláusulas contractuales modelo.
La tesis principal es que el desafío de la norma no radica en la ausencia de instrumentos jurídicos, sino en su aplicación dentro de arquitecturas tecnológicas complejas. Una organización puede suscribir cláusulas aparentemente adecuadas y, aun así, desconocer dónde se almacenan los datos, qué subcontratistas intervienen, qué legislación extranjera resulta aplicable o qué autoridades pueden acceder a la información. Por ello, el cumplimiento no debe entenderse como una formalidad contractual aislada, sino como un sistema continuo de gobernanza y supervisión.
El régimen ecuatoriano se sustenta en el principio de continuidad de la protección: los datos no pierden su tutela jurídica por abandonar el territorio nacional. Cuando el país receptor ha sido reconocido por la Superintendencia de Protección de Datos Personales como poseedor de un nivel adecuado, la transferencia puede efectuarse sin recurrir a mecanismos contractuales adicionales. Esta decisión debe considerar la legislación del país receptor, la independencia de su autoridad de control, los derechos de los titulares, las reglas sobre transferencias ulteriores, la existencia de recursos judiciales y los límites al acceso estatal.
Cuando no existe una decisión de adecuación, la Resolución permite emplear garantías adecuadas. Entre ellas se encuentran las cláusulas contractuales modelo, las normas corporativas vinculantes, los códigos de conducta y los mecanismos de certificación. Estas garantías deben ser jurídicamente exigibles, reconocer derechos equivalentes a los establecidos en Ecuador y prever mecanismos de supervisión, reparación y control de transferencias posteriores. La simple inclusión de cláusulas en un contrato no resulta suficiente si el destinatario no puede demostrar que dispone de condiciones técnicas, institucionales y jurídicas para cumplirlas.
Las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos constituyen una herramienta central del sistema. La guía regional contempla modelos para relaciones entre responsables y para vínculos entre responsables y encargados. Sin embargo, la Resolución ecuatoriana establece que el encargo de tratamiento no constituye transferencia o comunicación internacional y señala que las cláusulas responsable-encargado no son obligatorias, aunque su utilización puede considerarse una buena práctica.
Esta diferenciación tiene importantes consecuencias. En los servicios en la nube, el proveedor suele presentarse como encargado porque procesa información siguiendo instrucciones del cliente. No obstante, los datos permanecen físicamente en otro país, pueden ser tratados por subencargados y pueden quedar sometidos a normas extranjeras de acceso gubernamental. La exclusión formal del encargo no elimina esos riesgos materiales, lo que obliga a desarrollar contratos y controles equivalentes a los exigidos para una transferencia.
El primer desafío consiste en identificar los flujos internacionales reales. Las organizaciones suelen conocer el domicilio de sus proveedores, pero no necesariamente la ubicación de los servidores, los centros de respaldo o los equipos de soporte que acceden remotamente a la información. Un proveedor domiciliado en Ecuador puede utilizar infraestructura extranjera, mientras que una plataforma internacional puede replicar datos en varias regiones. En consecuencia, el inventario debe construirse desde el recorrido del dato y no exclusivamente desde el contrato.
Este inventario debe determinar qué información se transfiere, quiénes son los titulares, cuál es la finalidad, a qué país llega, qué proveedor interviene, durante cuánto tiempo se conserva y qué mecanismo legitima la operación. También debe identificar subencargados, transferencias ulteriores y accesos remotos. Sin esta trazabilidad no es posible cumplir adecuadamente las obligaciones de información, análisis de riesgos, evaluación de impacto o registro.
El segundo desafío se relaciona con la correcta calificación de los actores. La denominación contractual de “responsable” o “encargado” no siempre coincide con las funciones reales. Un proveedor puede actuar como encargado respecto del almacenamiento, pero como responsable independiente cuando utiliza registros técnicos para seguridad, analítica o mejora de sus servicios. Las organizaciones deben analizar las decisiones efectivamente adoptadas por cada participante y no limitarse a aceptar las categorías incluidas en condiciones generales predispuestas.
El tercer problema es la efectividad de las garantías contractuales. Los grandes proveedores tecnológicos suelen utilizar contratos estandarizados, limitar su responsabilidad, modificar unilateralmente la lista de subencargados o rechazar la jurisdicción ecuatoriana. En tales circunstancias, la firma de cláusulas no asegura por sí sola una protección equivalente. La organización debe evaluar si las limitaciones pueden compensarse mediante cifrado, seudonimización, minimización, control de llaves, segmentación de bases de datos, restricciones de acceso o selección de centros de procesamiento regionales.
También debe evaluarse el marco jurídico del país receptor. Las cláusulas obligan a las partes, pero no pueden impedir que una legislación extranjera ordene al proveedor entregar información a autoridades públicas. La jurisprudencia europea desarrollada a partir del caso Schrems II demuestra que las garantías contractuales deben complementarse con un análisis del ordenamiento del país de destino y, cuando sea necesario, con medidas técnicas adicionales. Aunque este procedimiento no aparezca expresamente con la misma denominación en la normativa ecuatoriana, constituye una manifestación razonable del principio de responsabilidad proactiva.
Finalmente, la Resolución impone obligaciones administrativas continuas. Las organizaciones deben conservar contratos, análisis de riesgos, evaluaciones de impacto y evidencia de las medidas de seguridad. Asimismo, deben diferenciar entre transferencias sometidas a inscripción individual y aquellas sujetas a reporte agregado. El cumplimiento exige coordinación entre las áreas jurídicas, tecnológicas, de contratación, seguridad de la información y gestión de proveedores; no puede quedar limitado al delegado de protección de datos.
La Resolución busca equilibrar la protección de los titulares con la necesidad de mantener flujos internacionales indispensables para la economía digital. Un régimen demasiado flexible permitiría trasladar información hacia jurisdicciones con bajos niveles de protección, mientras que un sistema excesivamente restrictivo dificultaría el acceso a servicios tecnológicos y mercados internacionales. La pluralidad de mecanismos habilitantes pretende resolver esta tensión, pero su efectividad depende de la capacidad de las organizaciones para seleccionar y aplicar correctamente cada herramienta.
La exclusión del encargo internacional como transferencia merece especial atención. Desde una lectura formal, el encargado no decide las finalidades del tratamiento y permanece subordinado a las instrucciones del responsable. Sin embargo, desde una perspectiva de riesgo, el titular puede verse igualmente afectado por la ubicación extranjera de los servidores, la intervención de subcontratistas o la aplicación de leyes de vigilancia. Por ello, la exclusión no debería interpretarse como una dispensa para no evaluar, documentar o controlar al proveedor.
La experiencia de Argentina y Uruguay demuestra que las cláusulas de la RIPD pueden utilizarse tanto entre responsables como entre responsables y encargados. Ecuador ha elegido una interpretación más restrictiva, aunque reconoce el modelo responsable-encargado como buena práctica. Esta divergencia revela que todavía no existe una armonización regional completa y que las empresas que operan en varios países deben adaptar sus contratos a cada legislación nacional.
El régimen aplicable dentro de la Comunidad Andina también reduce determinadas barreras, pero no elimina las obligaciones de diligencia. Una presunción de adecuación no significa que todas las entidades o infraestructuras de un país sean automáticamente seguras. Las organizaciones siguen obligadas a informar, contratar, evaluar riesgos, controlar proveedores y adoptar medidas de seguridad proporcionadas.
La Norma SPDP-SPD-2026-0004-R representa un avance significativo en la regulación ecuatoriana de las transferencias transfronterizas. Su principal aporte consiste en convertir los principios de la LOPDP en mecanismos concretos de adecuación, garantías contractuales, autorizaciones, registros y controles. No obstante, su aplicación exige capacidades técnicas y organizativas que muchas entidades todavía deben desarrollar.
El cumplimiento debe comenzar con un mapa actualizado de los flujos internacionales. Este instrumento debe integrarse con el registro de actividades de tratamiento, las políticas de privacidad, los contratos, las evaluaciones de impacto y la gestión de proveedores. La falta de trazabilidad convierte cualquier cláusula contractual en una garantía incompleta.
La exclusión de los encargos internacionales no elimina la obligación de proteger los datos. Cuando las cláusulas modelo responsable-encargado no operen como mecanismo obligatorio, sus contenidos pueden utilizarse como referencia para regular subcontratación, auditorías, incidentes, eliminación de información, cooperación con la SPDP y acceso de autoridades extranjeras.
En definitiva, el verdadero sentido de la Resolución consiste en superar una visión documental del cumplimiento. Las transferencias internacionales requieren vigilancia continua, revisión periódica de proveedores, evaluación del entorno jurídico extranjero y capacidad de demostrar que las garantías permanecen efectivas durante todo el tratamiento. La cláusula es solamente el punto de partida; la protección real depende de la gobernanza que la acompaña.
Red Iberoamericana de Protección de Datos. (2021). Guía de implementación de cláusulas contractuales modelo para la transferencia internacional de datos personales.
Consultar documento
República del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento No. 459.
Consultar ley
Superintendencia de Protección de Datos Personales. (2026). Resolución No. SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
Consultar resolución
Tribunal de Justicia de la Unión Europea. (2020). Data Protection Commissioner v. Facebook Ireland Ltd. and Maximillian Schrems, asunto C-311/18.
Consultar sentencia
La inteligencia artificial interviene cada vez con mayor frecuencia en decisiones relacionadas con el empleo, el crédito, el consumo, la publicidad, la seguridad y los servicios públicos. Su expansión ofrece oportunidades de eficiencia e innovación, pero también incrementa los riesgos de discriminación, vigilancia, opacidad y utilización indebida de datos personales. Frente a este escenario, los países latinoamericanos han comenzado a desarrollar respuestas regulatorias que sitúan los derechos fundamentales en el centro de la transformación digital.
Este proceso configura un nuevo paradigma jurídico. En la economía tradicional, la jurisdicción se vinculaba principalmente con el domicilio de la empresa o la ubicación de sus instalaciones. En el entorno digital, una organización puede ofrecer servicios, analizar comportamientos y adoptar decisiones sobre habitantes de un país sin mantener oficinas o servidores en su territorio. Por ello, las nuevas normas tienden a seguir al dato, al usuario y a los efectos del tratamiento, antes que a la infraestructura tecnológica.
El caso ecuatoriano permite observar esta transformación con claridad. La Resolución Nº SPDP-SPD-2026-0009-R no constituye una ley integral sobre inteligencia artificial, sino una norma especializada que extiende las garantías de la protección de datos personales al ciclo de vida de los sistemas automatizados. Su relevancia reside en que somete a obligaciones concretas a desarrolladores, entrenadores, implementadores, desplegadores y proveedores cuyos sistemas traten información personal dentro del ámbito de aplicación de la legislación ecuatoriana.
La soberanía digital puede entenderse como la capacidad de un Estado para proteger los derechos de las personas frente a tratamientos tecnológicos realizados dentro o fuera de su territorio. No supone necesariamente localizar todos los datos en servidores nacionales, sino garantizar que las empresas extranjeras no queden exentas de responsabilidad por carecer de presencia física. Esta lógica se refleja en diferentes legislaciones latinoamericanas que aplican sus disposiciones cuando una organización ofrece bienes o servicios a residentes o controla su comportamiento.
La protección de datos constituye la principal base jurídica de este modelo. Principios como finalidad, transparencia, minimización, seguridad y responsabilidad proactiva obligan a las organizaciones a demostrar cómo utilizan la información y qué medidas aplican para prevenir daños. En el contexto de la inteligencia artificial, estas obligaciones requieren identificar los datos utilizados, documentar las finalidades del sistema, evaluar riesgos, explicar decisiones relevantes y establecer mecanismos para corregir resultados perjudiciales.
Paralelamente, América Latina ha comenzado a adoptar enfoques regulatorios basados en riesgos. Chile mantiene un proyecto de regulación de sistemas de inteligencia artificial inspirado en categorías de riesgo; Brasil tramita el Proyecto de Ley Nº 2338/2023; y otros países desarrollan iniciativas generales o sectoriales. Aunque los instrumentos no son uniformes, existe una convergencia en torno a la protección de derechos, la evaluación de impacto y la supervisión de decisiones automatizadas.
La regulación ecuatoriana se apoya en la Ley Orgánica de Protección de Datos Personales, su reglamento y las resoluciones emitidas por la Superintendencia de Protección de Datos Personales. La Resolución Nº SPDP-SPD-2026-0009-R aplica este marco al desarrollo y operación de sistemas de inteligencia artificial. En consecuencia, no regula todos los aspectos tecnológicos, comerciales o de propiedad intelectual relacionados con la IA, pero sí establece obligaciones vinculantes cuando se procesan datos personales.
Su dimensión más significativa es el alcance transfronterizo. La norma comprende a los actores que desarrollen, entrenen, implementen, desplieguen o provean sistemas que traten datos personales incluidos en el ámbito territorial de la legislación ecuatoriana, independientemente de dónde se encuentre la infraestructura tecnológica. Esto significa que una empresa extranjera puede quedar sometida al régimen ecuatoriano cuando dirige servicios a personas residentes en Ecuador o monitorea su comportamiento, aunque sus servidores y oficinas se encuentren en otro país.
El cumplimiento exige, en primer lugar, elaborar un inventario de sistemas de inteligencia artificial y flujos de datos. La organización debe determinar qué información recopila, qué finalidad persigue, qué proveedores intervienen, dónde se almacena la información y qué decisiones se adoptan mediante algoritmos. También debe evaluar si corresponde designar un representante local, realizar una evaluación de impacto o adoptar salvaguardas especiales para transferencias internacionales.
La resolución exige gestionar los riesgos antes del desarrollo o utilización del sistema, mantener registros de tratamiento, implementar medidas de seguridad y efectuar auditorías proporcionales al nivel de riesgo. Estas obligaciones trasladan la protección de datos a las fases iniciales del producto. El cumplimiento ya no puede limitarse a publicar una política de privacidad; debe integrarse en el diseño tecnológico, la selección de proveedores y la arquitectura de procesamiento.
Un componente central es el derecho frente a decisiones automatizadas. La legislación ecuatoriana permite solicitar información sobre los criterios utilizados, presentar observaciones y oponerse a decisiones basadas total o parcialmente en valoraciones automatizadas cuando produzcan efectos jurídicos o afecten significativamente derechos y libertades. Por ello, las empresas deben incorporar mecanismos reales de revisión humana. La intervención no puede ser simbólica: la persona encargada debe tener capacidad para comprender, revisar y modificar el resultado algorítmico.
La transferencia internacional de datos representa otro punto crítico. Los sistemas de IA suelen depender de infraestructuras, proveedores y subencargados ubicados en múltiples jurisdicciones. Las empresas deben mapear estos movimientos y utilizar mecanismos jurídicos adecuados, como garantías contractuales, decisiones de adecuación o normas corporativas vinculantes. La gestión de la inteligencia artificial se convierte, por tanto, en una responsabilidad simultáneamente jurídica, técnica, contractual y organizacional.
El modelo ecuatoriano presenta como principal ventaja su carácter pragmático. En lugar de esperar una ley integral de inteligencia artificial, la autoridad aplica instrumentos jurídicos existentes a tecnologías que ya generan consecuencias sobre las personas. Esto permite emplear mecanismos consolidados, como evaluaciones de impacto, protección desde el diseño, registros de tratamiento y derechos de acceso, oposición o explicación.
Sin embargo, el modelo también plantea interrogantes. La distribución de responsabilidades entre desarrolladores, proveedores, implementadores, responsables y encargados puede resultar difícil de determinar en cadenas tecnológicas internacionales. Además, las pequeñas empresas y los emprendimientos pueden enfrentar mayores costos para realizar evaluaciones, auditorías y revisiones contractuales. La proporcionalidad y la emisión de guías sectoriales serán esenciales para evitar que el cumplimiento se transforme en una barrera desproporcionada.
La comparación regional demuestra que no existe todavía un régimen latinoamericano uniforme de inteligencia artificial. No obstante, se observan principios comunes: protección de derechos, extraterritorialidad, transparencia, supervisión humana y gestión de riesgos. Esta convergencia podría facilitar programas regionales de cumplimiento, siempre que las autoridades cooperen y eviten crear procedimientos incompatibles entre países.
Para las empresas globales, la principal consecuencia es estratégica. Ya no resulta suficiente aplicar una política internacional genérica. Las organizaciones necesitan una estructura común de gobernanza y módulos locales que contemplen derechos, procedimientos, representantes, contratos y criterios regulatorios propios de cada jurisdicción. La protección de datos y la responsabilidad algorítmica deben incorporarse desde el diseño del producto y no después de su lanzamiento.
El nuevo paradigma digital latinoamericano desplaza el centro de la regulación desde la ubicación de los servidores hacia los datos, las personas y los efectos del tratamiento. Las empresas digitales pueden quedar sometidas a la jurisdicción de un país aunque carezcan de instalaciones físicas, siempre que dirijan actividades a su población o procesen información dentro de los criterios establecidos por la legislación.
Ecuador constituye un ejemplo relevante porque ha convertido los principios generales de protección de datos en obligaciones específicas para sistemas de inteligencia artificial. La Resolución Nº SPDP-SPD-2026-0009-R exige gestión de riesgos, evaluaciones de impacto, transparencia, seguridad, auditorías y mecanismos de intervención humana. Su importancia no radica en regular toda la inteligencia artificial, sino en ofrecer una respuesta inmediata frente a los efectos que estos sistemas producen sobre los derechos personales.
Para las empresas extranjeras, el cumplimiento debe comenzar con la identificación de sistemas, datos, proveedores y transferencias. A partir de ese diagnóstico, será necesario establecer controles técnicos y jurídicos, revisar contratos, documentar decisiones y habilitar procedimientos de oposición y revisión humana. Estas tareas requieren coordinación entre las áreas legales, tecnológicas, comerciales y de seguridad.
En definitiva, la consolidación del paradigma dependerá no solo de la aprobación de normas, sino de su capacidad para transformar prácticas empresariales y decisiones públicas. La regulación será legítima si protege derechos sin bloquear injustificadamente la innovación. Al mismo tiempo, la inteligencia artificial será sostenible únicamente cuando la transparencia, la trazabilidad y la responsabilidad dejen de considerarse obstáculos y sean entendidas como condiciones esenciales de confianza y competitividad.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial.
https://spdp.gob.ec/wp-content/uploads/2024/12/03.pdf.pdf
Banco Interamericano de Desarrollo. (2025). An Enabling Regulatory Framework for Artificial Intelligence in Latin America and the Caribbean. BID.
https://publications.iadb.org/en/enabling-regulatory-framework-artificial-intelligence-latin-america-and-caribbean
Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura. (2021). Recomendación sobre la Ética de la Inteligencia Artificial. UNESCO.
https://www.unesco.org/es/legal-affairs/recommendation-ethics-artificial-intelligence
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2024/12/04.pdf.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
https://spdp.gob.ec/wp-content/uploads/2026/01/04.01.01-SPSP-SPD-2026-0004-R-Norma-general-de-transferencias-signed.pdf
Superintendencia de Protección de Datos Personales del Ecuador. (2026). Resolución Nº SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial.
https://spdp.gob.ec/wp-content/uploads/2026/02/ResolIA.pdf
La protección de datos personales se ha desplazado desde los márgenes del derecho informático hacia el centro de la regulación económica, tecnológica y constitucional. En la actualidad, casi toda interacción social, comercial o institucional deja una huella digital: una búsqueda en internet, una compra en línea, una geolocalización, una conversación con un asistente virtual, una publicación en redes sociales o una solicitud de crédito. Esa información, cuando permite identificar directa o indirectamente a una persona, activa un conjunto de garantías jurídicas que buscan evitar que la vida privada sea transformada en materia prima ilimitada para la vigilancia, la segmentación comercial o la toma automatizada de decisiones. El GDPR europeo define el dato personal como información relativa a una persona física identificada o identificable, fórmula que ha influido en múltiples legislaciones comparadas.
El problema central no reside únicamente en la existencia de datos, sino en las condiciones bajo las cuales son recolectados, utilizados, compartidos, inferidos y conservados. Una base de datos aparentemente inocua puede adquirir un enorme poder cuando se combina con otras fuentes, se analiza con sistemas de inteligencia artificial o se utiliza para perfilar comportamientos. Por ello, el derecho de protección de datos no se limita a proteger secretos, sino que regula relaciones de poder informacional. Su finalidad es asegurar que las personas conserven capacidad de decisión sobre el uso de su información y que las organizaciones adopten límites jurídicos, técnicos y éticos en el tratamiento de datos.
En Ecuador, la Ley Orgánica de Protección de Datos Personales fue publicada en el Quinto Suplemento del Registro Oficial No. 459, de 26 de mayo de 2021, y constituye el punto de partida normativo para reconocer y garantizar el derecho a la protección de datos personales. Posteriormente, el Reglamento General de la Ley desarrolló aspectos de aplicación práctica, incluyendo derechos de los titulares, autoridad de control, responsables, encargados y delegado de protección de datos.
Este artículo propone una lectura integral: la protección de datos no debe ser vista como una carga documental ni como una política de privacidad genérica, sino como una forma de gobernanza. En contextos digitales, proteger datos exige evaluar riesgos, documentar decisiones, diseñar productos seguros, limitar finalidades, informar con claridad, implementar controles de seguridad y responder frente a incidentes. La privacidad, en consecuencia, no es un obstáculo a la innovación, sino una condición para que la innovación sea jurídicamente sostenible y socialmente confiable.
El concepto de dato personal comprende toda información que identifica o puede identificar a una persona natural. Esto incluye datos evidentes, como nombre, número de identificación, dirección, correo electrónico o imagen, pero también datos menos obvios, como direcciones IP, identificadores de dispositivos, patrones de navegación, metadatos, ubicación, historial de compras o perfiles de comportamiento. En el entorno digital, la identificación no depende únicamente de saber el nombre de alguien: basta con que un conjunto de datos permita singularizar, rastrear o inferir características de una persona para que exista relevancia jurídica. El GDPR y las legislaciones inspiradas en él han consolidado esta visión amplia del dato personal.
Dentro de esta categoría general se encuentran los datos sensibles, que merecen una protección reforzada porque su uso indebido puede generar discriminación, exclusión, daño reputacional o afectación directa a derechos fundamentales. Entre ellos suelen incluirse datos de salud, datos biométricos, datos genéticos, orientación sexual, convicciones religiosas, opiniones políticas, origen étnico o racial, discapacidad y otra información íntima o especialmente vulnerable. La razón de su protección especial no es únicamente su carácter privado, sino su capacidad de impactar en decisiones laborales, financieras, educativas, aseguradoras, migratorias o de acceso a servicios esenciales. En el GDPR, las categorías especiales de datos reciben un régimen más estricto de tratamiento.
La protección de datos se organiza alrededor de principios jurídicos que operan como criterios de validez del tratamiento. El principio de licitud exige una base jurídica; el consentimiento debe ser libre, específico, informado e inequívoco; la finalidad obliga a recolectar datos para propósitos determinados; la proporcionalidad y minimización impiden recoger más información de la necesaria; la transparencia exige informar de forma clara; la seguridad impone medidas técnicas y organizativas; y la responsabilidad proactiva obliga a demostrar cumplimiento. Las Directrices 05/2020 del Comité Europeo de Protección de Datos desarrollan el consentimiento como una manifestación válida de voluntad bajo condiciones exigentes, no como una simple aceptación formal o ambigua.
Estos principios transforman la protección de datos en una disciplina preventiva. No basta con reaccionar cuando ocurre una filtración o una queja del titular; las organizaciones deben diseñar sus procesos desde el inicio con criterios de privacidad. La protección de datos desde el diseño y por defecto implica que los productos, servicios y sistemas tecnológicos incorporen límites de recolección, configuraciones seguras, controles de acceso, plazos de conservación, trazabilidad y mecanismos de ejercicio de derechos antes de salir al mercado. El Comité Europeo de Protección de Datos ha señalado que la protección de datos desde el diseño y por defecto constituye una obligación de los responsables del tratamiento conforme al artículo 25 del GDPR.
En Ecuador, la Ley Orgánica de Protección de Datos Personales reconoce la protección de datos como un derecho vinculado al acceso y decisión sobre la información personal. Su existencia marca un cambio relevante: las empresas, instituciones públicas, organizaciones privadas, plataformas digitales y demás actores que tratan datos deben justificar sus tratamientos, informar a los titulares, respetar derechos y adoptar medidas de seguridad. El Reglamento General, expedido mediante Decreto Ejecutivo No. 904, desarrolla la aplicación de la Ley y precisa aspectos relativos a responsables, encargados, delegado de protección de datos, autoridad de control y procedimientos para el ejercicio de derechos.
El Ministerio de Telecomunicaciones de Ecuador ha explicado que el Reglamento desarrolla el contenido y procedimiento para solicitar derechos como acceso, rectificación y actualización, eliminación, oposición y portabilidad; además, regula la autoridad de protección de datos y establece reglas para responsables, encargados y delegado de protección de datos. Esta estructura aproxima el modelo ecuatoriano a los estándares contemporáneos de gobernanza de datos, en los que la organización debe demostrar que su tratamiento es lícito, seguro, transparente y proporcional.
A nivel internacional, el Reglamento General de Protección de Datos de la Unión Europea es una de las referencias más influyentes. Su importancia no radica solo en su aplicación dentro del Espacio Económico Europeo, sino en su efecto normativo global: muchas empresas adoptan estándares compatibles con el GDPR para operar internacionalmente, reducir riesgos y facilitar transferencias de datos. El GDPR regula principios, bases jurídicas, derechos de los titulares, obligaciones de responsables y encargados, transferencias internacionales, evaluaciones de impacto, seguridad y sanciones.
Junto al GDPR, otros instrumentos completan el panorama internacional. El Convenio 108+ del Consejo de Europa moderniza el primer tratado internacional vinculante en materia de protección de datos; las Directrices de Privacidad de la OCDE establecen principios sobre limitación de recolección, calidad de datos, especificación de finalidad, seguridad y responsabilidad; y los Estándares Iberoamericanos de Protección de Datos Personales ofrecen un marco de referencia para armonizar legislaciones en la región.
La regulación digital reciente también amplía el campo de la protección de datos. La Ley de Servicios Digitales de la Unión Europea exige a plataformas accesibles a menores adoptar medidas apropiadas y proporcionales para garantizar altos niveles de privacidad, seguridad y protección; el Reglamento de Inteligencia Artificial de la Unión Europea introduce un enfoque basado en riesgos para sistemas de IA; y la OCDE ha actualizado sus recomendaciones sobre niños en el entorno digital, destacando el equilibrio entre protección, participación y beneficios del ecosistema tecnológico.
Los principales riesgos asociados al uso indebido de datos personales pueden agruparse en cuatro niveles. El primero es el riesgo individual: robo de identidad, fraude, acoso, exposición no autorizada, daño reputacional o pérdida de control sobre información íntima. El segundo es el riesgo colectivo: discriminación algorítmica, exclusión financiera, manipulación política o segmentación abusiva. El tercero es el riesgo organizacional: sanciones, litigios, pérdida de confianza, daño de marca y paralización operativa. El cuarto es el riesgo sistémico: normalización de prácticas de vigilancia, erosión de la autonomía y debilitamiento de la confianza en el entorno digital.
Frente a esos riesgos, los titulares cuentan con derechos que permiten recuperar cierto control sobre su información. Entre los más relevantes se encuentran el acceso, la rectificación, la cancelación o eliminación, la oposición, la portabilidad y la supresión. El acceso permite saber qué datos se tratan; la rectificación corrige información inexacta; la eliminación permite solicitar el borrado cuando proceda; la oposición permite resistir determinados tratamientos; la portabilidad facilita recibir o transferir datos en formato estructurado; y la supresión conecta con el llamado derecho al olvido. En el caso Google Spain, el Tribunal de Justicia de la Unión Europea reconoció la relevancia de la desindexación frente a resultados de búsqueda que afectaban derechos de protección de datos, privacidad y reputación.
Las obligaciones de los responsables del tratamiento incluyen definir finalidades legítimas, informar de manera comprensible, obtener una base jurídica adecuada, limitar la conservación, aplicar medidas de seguridad, atender derechos, documentar tratamientos y evaluar riesgos. En tratamientos de alto riesgo, como los que involucran datos sensibles, vigilancia sistemática, menores o decisiones automatizadas, las evaluaciones de impacto se vuelven herramientas centrales de prevención. En el modelo europeo, la responsabilidad no se agota en cumplir formalmente, sino en poder demostrar cumplimiento ante autoridades, titulares y terceros interesados.
Los encargados del tratamiento, por su parte, no deciden necesariamente las finalidades, pero procesan datos por cuenta del responsable. Esto ocurre, por ejemplo, con proveedores de nube, plataformas de mailing, servicios de analítica, software de gestión de clientes, procesadores de pago, empresas de ciberseguridad o proveedores de inteligencia artificial empresarial. Su rol exige contratos, instrucciones documentadas, confidencialidad, medidas de seguridad, apoyo en el ejercicio de derechos, asistencia en incidentes y restricciones para subencargar servicios sin autorización. En entornos de nube, esta relación se vuelve especialmente delicada porque los datos pueden circular entre jurisdicciones, infraestructuras, subprocesadores y centros de datos.
Las transferencias internacionales de datos añaden otro nivel de complejidad. Cuando la información cruza fronteras, el titular puede quedar expuesto a marcos de protección distintos o a accesos estatales incompatibles con el nivel de protección esperado. En el caso Schrems II, el Tribunal de Justicia de la Unión Europea invalidó la Decisión 2016/1250 sobre el Escudo de Privacidad UE-EE. UU., reforzando la necesidad de evaluar el nivel de protección en transferencias internacionales y no asumir que una cláusula contractual resuelve por sí sola todos los riesgos.
El primer desafío contemporáneo es la inteligencia artificial. Los sistemas de IA dependen de grandes volúmenes de datos para entrenar, ajustar, personalizar o automatizar decisiones. Esto genera tensiones con los principios de minimización, finalidad, transparencia y exactitud, especialmente cuando los datos se reutilizan para fines distintos a los originalmente informados. El Reglamento de Inteligencia Artificial de la Unión Europea introduce un enfoque basado en niveles de riesgo, pero no sustituye las obligaciones de protección de datos: más bien las complementa cuando el sistema procesa información personal.
El segundo desafío se relaciona con redes sociales, publicidad conductual y economía de la atención. Las plataformas digitales no solo almacenan información declarada por los usuarios, sino que infieren intereses, emociones, hábitos, vulnerabilidades y patrones de comportamiento. En el caso de niños, niñas y adolescentes, estos riesgos se intensifican porque la capacidad de comprender las consecuencias del tratamiento puede ser limitada. El documento cargado sobre privacidad infantil destaca que la verificación de edad, el diseño seguro desde el principio, la protección en dispositivos conectados y las obligaciones de auditoría son dimensiones críticas en la regulación comparada de la UE, el G7 y China.
El tercer desafío es el comercio electrónico. Comprar en línea implica entregar datos de identidad, contacto, dirección, medios de pago, historial de consumo, preferencias, ubicación y, en algunos casos, información biométrica para autenticación. El riesgo no se limita al robo de datos: también incluye patrones oscuros, consentimiento forzado, reutilización de datos para publicidad no esperada, transferencia a terceros y conservación excesiva. En este contexto, la transparencia debe ser material y no meramente formal: una política de privacidad extensa, incomprensible o escondida no garantiza una decisión informada.
El cuarto desafío se encuentra en los servicios en la nube. La nube permite eficiencia, escalabilidad y reducción de costos, pero obliga a revisar ubicación de servidores, subencargados, cifrado, copias de seguridad, control de accesos, notificación de incidentes, transferencias internacionales y reversibilidad de la información. La contratación tecnológica ya no puede limitarse a precio y funcionalidad; debe incorporar cláusulas de protección de datos, seguridad, auditoría, continuidad, eliminación segura y cooperación ante solicitudes de titulares o autoridades.
El quinto desafío es cultural e institucional. Muchas organizaciones creen cumplir porque tienen una política de privacidad publicada, pero la protección de datos exige procesos vivos: inventario de tratamientos, matrices de riesgo, capacitación interna, protocolos de respuesta, revisión de proveedores, gestión de consentimiento, seguridad técnica y actualización permanente. La tendencia internacional apunta hacia modelos de responsabilidad proactiva, seguridad por diseño y cooperación regulatoria. Los principios del G7 sobre un espacio digital más seguro para menores, por ejemplo, refuerzan la idea de seguridad y privacidad desde el diseño, verificación de edad respetuosa de derechos y sistemas de recomendación que prioricen bienestar sobre mera interacción.
La protección de datos personales debe entenderse como una garantía de autonomía en sociedades profundamente digitalizadas. Su propósito no es impedir el uso de información, sino asegurar que dicho uso sea legítimo, necesario, transparente, seguro y compatible con los derechos de las personas. En este sentido, los datos personales no son un recurso neutro: pueden habilitar innovación, eficiencia y nuevos servicios, pero también vigilancia, discriminación y manipulación si se tratan sin límites adecuados.
El marco ecuatoriano, especialmente a partir de la Ley Orgánica de Protección de Datos Personales y su Reglamento General, incorpora una lógica moderna de derechos, obligaciones y autoridad de control. Sin embargo, el verdadero reto no está únicamente en la existencia de la norma, sino en su implementación organizacional. Las empresas e instituciones deben pasar de una cultura de cumplimiento documental a una cultura de gobernanza de datos, donde cada tratamiento tenga finalidad, base jurídica, responsables, controles y evidencia de cumplimiento.
En el plano internacional, el GDPR, los estándares de la OCDE, el Convenio 108+, los Estándares Iberoamericanos, la DSA y el AI Act muestran que la protección de datos se está integrando con otras áreas: ciberseguridad, inteligencia artificial, comercio digital, infancia, consumo, competencia y derechos humanos. Esta convergencia confirma que la privacidad ya no puede tratarse como un asunto aislado del departamento legal, sino como una responsabilidad transversal que involucra tecnología, diseño, comunicación, negocio y ética.
Finalmente, el futuro de la protección de datos dependerá de la capacidad de equilibrar innovación y dignidad humana. Las organizaciones que integren privacidad desde el diseño, minimización, transparencia real, seguridad efectiva y rendición de cuentas no solo reducirán riesgos legales, sino que construirán confianza. En una economía donde la confianza es un activo estratégico, proteger datos personales no es simplemente cumplir la ley: es demostrar respeto por las personas que hacen posible el ecosistema digital.
Asamblea Nacional del Ecuador. 2021. Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento No. 459, 26 de mayo de 2021. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2021/06/Ley-Organica-de-Datos-Personales.pdf
Presidencia de la República del Ecuador / Ministerio de Telecomunicaciones y de la Sociedad de la Información. 2023. Decreto Ejecutivo No. 904: Reglamento General de la Ley Orgánica de Protección de Datos Personales. MINTEL. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2023/11/Decreto-Ejecutivo-No.-904.pdf
Ministerio de Telecomunicaciones y de la Sociedad de la Información. 2023. Reglamento a Ley Orgánica de Protección de Datos Personales. MINTEL. Link: https://www.telecomunicaciones.gob.ec/ley-y-reglamento-de-la-ley-de-proteccion-de-datos-personales/
Superintendencia de Protección de Datos Personales del Ecuador. 2026. Sitio institucional de la autoridad de control de protección de datos personales. SPDP. Link: https://spdp.gob.ec/
Unión Europea. 2016. Regulation (EU) 2016/679: General Data Protection Regulation. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
European Data Protection Board. 2020. Guidelines 05/2020 on consent under Regulation 2016/679. EDPB. Link: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en
European Data Protection Board. 2020. Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. EDPB. Link: https://www.edpb.europa.eu/documents/guideline/guidelines-42019-on-article-25-data-protection-by-design-and-by-default_en
Unión Europea. 2022. Regulation (EU) 2022/2065: Digital Services Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng
Comisión Europea. 2025. Guidelines on measures to ensure a high level of privacy, safety and security for minors online, pursuant to Article 28 of the Digital Services Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/C/2025/5519/oj/eng
Unión Europea. 2024. Regulation (EU) 2024/1689: Artificial Intelligence Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
Consejo de Europa. 2018. Convention 108+: Modernised Convention for the Protection of Individuals with regard to the Processing of Personal Data. Council of Europe. Link: https://www.coe.int/en/web/data-protection/home
OECD. 2013. Recommendation concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. OECD Legal Instruments. Link: https://legalinstruments.oecd.org/public/doc/114/114.en.pdf
OECD. 2021. Recommendation on Children in the Digital Environment. OECD Legal Instruments. Link: https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389
Red Iberoamericana de Protección de Datos. 2017. Standards for Personal Data Protection for Ibero-American States. RIPD. Link: https://www.redipd.org/sites/default/files/2022-04/standars-for-personal-data.pdf
Tribunal de Justicia de la Unión Europea. 2014. Case C-131/12, Google Spain SL and Google Inc. v Agencia Española de Protección de Datos and Mario Costeja González. InfoCuria. Link: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-131%2F12
Tribunal de Justicia de la Unión Europea. 2020. Case C-311/18, Data Protection Commissioner v Facebook Ireland and Maximillian Schrems. InfoCuria. Link: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-311%2F18
Comisión Europea. 2026. Commission welcomes G7 agreement on common principles for protecting minors online. European Commission, Digital Strategy. Link: https://digital-strategy.ec.europa.eu/en/news/commission-welcomes-g7-agreement-common-principles-protecting-minors-online
UNICEF. 2026. First-ever G7 principles to protect children online. UNICEF. Link: https://www.unicef.org/press-releases/note-correspondents-first-ever-g7-principles-protect-children-online
¿Qué ocurre cuando una empresa publica contenido generado por inteligencia artificial sin supervisión humana real? Pierde el control editorial, asume riesgos legales y reputacionales, y expone a sus audiencias a información sin validación. La automatización no elimina la responsabilidad corporativa; simplemente la vuelve más difícil de rastrear. Para mantener la confianza y el cumplimiento normativo, las marcas deben tratar la IA como una herramienta de apoyo, nunca como un sustituto del juicio editorial.
Históricamente, el control editorial implicaba una cadena humana clara: alguien redactaba, otro revisaba y un tercero asumía la responsabilidad pública sobre lo publicado. Existía criterio, intención y comprensión del contexto. Hoy, este concepto se ha transformado. Ya no se trata solo de corregir ortografía o ajustar el tono, sino de verificar que cada pieza refleje los valores institucionales, cumpla con la legislación vigente y aporte valor real al lector. Cuando un modelo generativo produce texto con apariencia profesional, pero sin comprensión contextual, la empresa delega su voz en un sistema que no entiende ética, consecuencias legales ni matices sociales. Reemplazar la comprensión humana por velocidad de producción es el primer paso hacia la pérdida de autoridad temática y la erosión de la credibilidad institucional.
La presión por publicar rápido, escalar la producción de contenido y alimentar tanto motores de búsqueda tradicionales como generativos ha normalizado la aprobación automática. Muchas plataformas de marketing ya crean artículos, respuestas a clientes y campañas con intervención mínima. Esto genera un fenómeno preocupante conocido como la ilusión de supervisión. Un responsable revisa rápidamente, verifica que el texto suene profesional y pulsa el botón de publicar. Sin embargo, no valida precisión factual, cumplimiento legal, sesgos implícitos ni posibles interpretaciones públicas negativas. La automatización empieza a desplazar la comprensión. El problema no es la tecnología en sí, sino la falsa sensación de seguridad que otorga un texto bien estructurado, pero vacío de intencionalidad humana verificable.
Revisar implica leer críticamente, cuestionar supuestos, contrastar fuentes primarias y adaptar el mensaje al contexto regulatorio y cultural actual. Aprobar automáticamente es delegar la responsabilidad en un algoritmo que opera con probabilidades estadísticas, no con verdad verificada. La diferencia es operativa y estratégica. Un contenido revisado alinea el mensaje con la realidad de la marca, su sector y su audiencia específica. Un texto solo aprobado puede incluir afirmaciones desactualizadas, promesas comercialmente incumplibles o tonos inapropiados para el contexto normativo. La inteligencia artificial no sabe si un dato cambió hace una semana, ni mide el impacto reputacional de una frase mal contextualizada. Ese juicio crítico sigue siendo una tarea exclusivamente humana que no puede externalizarse sin consecuencias.
Publicar sin validación no es un error técnico, es un fallo de gobernanza comunicacional. La mayoría de usuarios aún asume que el contenido corporativo fue escrito o validado por expertos. Cuando las empresas no aclaran cuándo usan sistemas generativos, ni qué nivel de revisión humana existe, se rompe el contrato implícito de confianza. Si aparece desinformación o una afirmación legalmente problemática, la responsabilidad pública recae sobre la marca, no sobre el modelo que generó el texto. Recuperar el control editorial requiere institucionalizar la supervisión mediante procesos claros. Primero, se debe definir un protocolo de validación que identifique qué contenido exige aprobación legal o estratégica. Segundo, es necesario auditar constantemente las fuentes y el contexto que utiliza la IA para evitar alucinaciones o datos obsoletos. Tercero, se debe implementar datos estructurados o schema markup para declarar explícitamente autoría, fecha de revisión y proceso editorial, lo que facilita que los motores generativos interpreten la procedencia y citen con precisión. Cuarto, cada publicación debe conectarse con guías pilares, estudios internos y casos reales para demostrar autoridad temática semántica. La transparencia operativa y la coherencia editorial son los únicos antídotos efectivos contra la desinformación automatizada.
¿La inteligencia artificial puede reemplazar completamente al editor humano?
No. La IA acelera la producción y sugiere estructuras, pero carece de criterio ético, comprensión contextual y responsabilidad legal. Sin supervisión humana, el contenido pierde intencionalidad y genera riesgos operativos que ninguna herramienta puede asumir.
¿Por qué los textos generados por IA parecen tan confiables si no comprenden lo que escriben?
Porque están entrenados para producir lenguaje estadísticamente coherente y profesional. Esa fluidez simula veracidad, pero la IA predice palabras, no valida hechos, por lo que errores y sesgos pasan desapercibidos sin una revisión crítica que contraste fuentes y contexto.
¿Qué consecuencias legales enfrenta una organización que publica contenido automatizado sin supervisión?
La responsabilidad recae en la organización que autoriza la publicación, no en la herramienta utilizada para generarla. La falta de trazabilidad editorial puede debilitar la capacidad de respuesta frente a reclamaciones por desinformación, publicidad engañosa o incumplimiento normativo. En muchos contextos regulatorios, la automatización no exime a las organizaciones de sus obligaciones legales y reputacionales.
Incorpora firmas editoriales visibles, fechas de última revisión, enlaces a fuentes primarias verificables y utiliza schema markup para declarar formalmente el proceso de revisión. La transparencia construye autoridad temática y aumenta la probabilidad de que las IA citen tu contenido como referencia confiable.
La automatización no elimina el riesgo humano; lo redistribuye y lo oculta tras una interfaz impecable. El verdadero desafío de la IA en comunicación no es técnico, sino editorial: las organizaciones están entrando en una etapa donde pueden hablar públicamente sin comprender lo que publican. Recuperar el control no significa rechazar la tecnología, sino gobernarla con criterio verificable y supervisión documentada. Las organizaciones que entienden que los motores generativos son herramientas de apoyo y no sustitutos del criterio editorial humano conservarán su credibilidad, protegerán su reputación institucional y fortalecerán su capacidad para ser reconocidas como fuentes confiables de información.
¿La IA reemplaza completamente el control editorial humano?
No. Aunque automatiza producción de contenido, la responsabilidad pública, ética y legal sigue dependiendo de supervisión humana real.
¿Por qué los textos generados por IA parecen tan confiables?
Porque están entrenados para producir lenguaje estadísticamente coherente y profesional, aunque no comprendan el contenido que generan.
¿Qué riesgo reputacional enfrentan las empresas?
Publicar información falsa, confusa o manipulada mediante IA puede afectar credibilidad, confianza del cliente y exposición legal.
¿La transparencia sobre uso de IA será importante en el futuro?
Sí. Cada vez más consumidores exigen saber cuándo interactúan con contenido automatizado y qué nivel de supervisión humana existe detrás.
Chin, T., Li, Q., Mirone, F., & Papa, A. (2025). Conflicting impacts of shadow AI usage on knowledge leakage in metaverse-based business models: A Yin-Yang paradox framing. Technology in Society, 81, 102793. https://doi.org/10.1016/j.techsoc.2024.102793.
Anine, N. (s.f.). Shadow AI in Organizations: The Hidden Risk No One Owns. Google Books.
Puthal, D., Mishra, A. K., Mohanty, S. P., Longo, A., & Yeun, C. Y. (2025). Shadow AI: Cyber Security Implications, Opportunities and Challenges in the Unseen Frontier. SN Computer Science, 6(405). https://doi.org/10.1007/s42979-025-03962-x
Liu, F., & Mikhaeil, C. A. (2026). Shadow AI: Risks, opportunities, and governance [Preprint]. HAL Open Science. https://hal.science/hal-05456543
La reciente sanción impuesta por la Superintendencia de Protección de Datos Personales (SPDP) de Ecuador a LIGAPRO, una multa de USD 95,502.63 y la obligación de rediseñar su aplicación FAN ID en un plazo de 30 días, no es simplemente una noticia regulatoria. Es una señal de alerta contundente para todo el tejido empresarial del país: la protección de datos personales dejó de ser un tema técnico para convertirse en un imperativo estratégico.
Y los casos recientes van mucho más allá: la Federación Ecuatoriana de Fútbol (FEF) enfrentó una multa de casi USD 200,000 por deficiencias en su gestión de riesgos, mientras que ambas entidades ya habían recibido sanciones previas superiores a los USD 250,000 por fallas estructurales en el tratamiento de datos biométricos.
¿Qué nos enseñan estos precedentes? Que el cumplimiento normativo no es opcional, ni tampoco un trámite burocrático. Es el cimiento sobre el cual se construye la confianza digital, la sostenibilidad operativa y la reputación corporativa en un mercado cada vez más exigente.
El corazón de la sanción a LIGAPRO radica en un concepto fundamental: la protección de datos debe integrarse desde el diseño y por defecto (Privacy by Design & by Default). La SPDP no sancionó un error puntual, sino la ausencia de una arquitectura preventiva. La aplicación FAN ID manejaba datos biométricos, considerados datos sensibles según la Ley Orgánica de Protección de Datos Personales (LOPDP), sin garantizar, de forma verificable, el cumplimiento de principios esenciales como la minimización, la pertinencia y la finalidad.
Para las empresas, esto implica un cambio de paradigma:
Ignorar este principio no solo expone a multas, que pueden alcanzar hasta el 2% del volumen de negocio según la gravedad, sino a la obligación de reconstruir sistemas enteros bajo presión regulatoria, con el consiguiente impacto operativo y financiero.
El caso de la FEF revela otra brecha: tener una metodología de gestión de riesgos no equivale a gestionar riesgos efectivamente. La institución presentó evaluaciones de impacto que concluyeron erróneamente en "riesgo cero", evidenciando una aplicación mecánica y descontextualizada de herramientas que deberían ser dinámicas y realistas.
Las empresas deben entender que:
Las sanciones económicas, aunque significativas, representan solo una fracción del costo total del incumplimiento:
| Componente | Impacto |
| Multas regulatorias | Desde el 0,1% hasta el 2% del volumen de negocio (infracciones leves a graves) |
| Costos correctivos | Rediseño de sistemas, eliminación de datos, notificaciones masivas a titulares |
| Daño reputacional | Pérdida de confianza de clientes, patrocinadores y socios estratégicos |
| Riesgo legal | Demandas individuales o colectivas por vulneración de derechos fundamentales |
| Paralización operativa | Medidas cautelares que pueden suspender servicios críticos para el negocio |
En el caso de LIGAPRO, además de pagar una multa, debió notificar a más de 14,000 usuarios que su consentimiento era inválido y eliminar sus datos. Esta operación masiva, además de costosa, erosionó la base de usuarios de su aplicación y generó titulares negativos en medios nacionales.
La SPDP está enviando un mensaje inequívoco: el derecho a la protección de datos personales es fundamental, no negociable, y su tutela es una prioridad institucional. Pero más allá de la coerción regulatoria, existe una oportunidad estratégica: las empresas que adopten la privacidad como valor diferencial ganarán la confianza de consumidores cada vez más conscientes de sus derechos digitales.
En un entorno donde los datos son el nuevo petróleo, quien los gestione con rigor, transparencia y respeto no solo evitará sanciones. Construirá ventaja competitiva sostenible, fidelizará clientes y posicionará su marca como referente de responsabilidad digital. La protección de datos ya no es un costo operativo: es una inversión en confianza, y la confianza es el activo más valioso de cualquier empresa en el siglo XXI.
Superintendencia de Protección de Datos Personales del Ecuador (SPDP), Boletines de Prensa Nros. 1 al 5, 2025-2026. Ley Orgánica de Protección de Datos Personales (LOPDP), Ecuador.
La escisión empresarial se ha consolidado como una de las herramientas más relevantes dentro de las estrategias de reorganización corporativa, especialmente en el contexto post-pandemia, donde factores como la especialización operativa, la necesidad de captar inversión y la presión de los mercados por mayor eficiencia y transparencia han llevado a las grandes corporaciones a redefinir su estructura organizativa. Este artículo analiza, desde una óptica jurídica, financiera y estratégica, los distintos modelos de escisión —spin-off, split-off, carve-out—, evaluando sus implicaciones en la generación de valor accionario, los marcos normativos aplicables y las transformaciones que conllevan en la gobernanza empresarial.
Para ilustrar estos procesos, se analizan cuatro casos recientes y representativos: General Electric y Johnson & Johnson/Kenvue en Estados Unidos, Siemens Energy en Europa, y Grupo Televisa en América Latina. A través de estos casos se destacan las motivaciones detrás de cada escisión, los desafíos normativos enfrentados, las estrategias adoptadas y los resultados observados tanto en términos de mercado como de estructura corporativa.
El análisis muestra que una escisión correctamente planificada y ejecutada puede significar una oportunidad importante para redefinir objetivos corporativos, focalizar inversiones y reducir la complejidad organizativa. Sin embargo, también revela que estos procesos no están exentos de riesgos, los cuales van desde contingencias legales y fiscales, hasta fallos en la comunicación interna o desequilibrios en la distribución de activos. Este artículo proporciona una guía clara y completa para abogados, ejecutivos estratégicos, inversionistas y reguladores, interesados en comprender las claves del nuevo ciclo de reorganización empresarial global.
La escisión de compañías, definida como la división jurídica y operativa de una entidad en una o más organizaciones independientes, ha ganado tracción como alternativa estratégica en entornos corporativos que buscan adaptarse a transformaciones aceleradas. Entre 2023 y 2025, diversas empresas en todo el mundo han recurrido a este mecanismo no solo como una respuesta táctica a crisis sectoriales o exigencias regulatorias, sino también como parte de una visión de largo plazo orientada a maximizar el rendimiento del capital invertido.
Las transformaciones digitales, las nuevas exigencias medioambientales, la presión de accionistas activistas, la necesidad de atraer capital de riesgo y los cambios en los hábitos de consumo, han creado un entorno donde las organizaciones con estructuras más simples y especializadas son mejor valoradas por el mercado. La escisión aparece entonces como un instrumento para crear lo que se conoce como pure plays: entidades centradas en un solo rubro, con foco operacional claro, mejor gobernanza y mayor transparencia contable.
Este artículo tiene como propósito analizar de forma detallada el fenómeno de la escisión empresarial, integrando un enfoque jurídico-comparado, una lectura estratégica de los casos más recientes y un análisis financiero del impacto que estas decisiones tienen en la estructura de capital, la gestión de riesgos y el posicionamiento bursátil. Asimismo, se revisan las normativas clave que habilitan o restringen estas operaciones en regiones como EE.UU., la Unión Europea y América Latina.
La relevancia de este estudio radica en que la escisión ya no es una figura excepcional sino una práctica corporativa frecuente con profundas implicaciones en el diseño de negocios. Comprender sus ventajas, riesgos, requerimientos y escenarios de éxito o fracaso es esencial para quienes participan en la toma de decisiones empresariales o en el diseño regulatorio.
Desde la perspectiva económica, la escisión permite eliminar el "conglomerate discount" asociado a empresas que agrupan negocios disímiles. Este descuento refleja la dificultad de los analistas para valorar correctamente conglomerados, lo que termina afectando negativamente su cotización. Además, el spin-off facilita el acceso independiente a mercados de capital, mejora la asignación de recursos y permite una gestión autónoma del talento directivo.
Jurídicamente, el proceso implica cumplir con las normas corporativas y fiscales del país donde opera la entidad matriz, así como aquellas jurisdicciones donde se constituyan las empresas escindidas. Generalmente requiere aprobación de accionistas, elaboración de informes financieros y legales, auditoría externa, y notificación a acreedores. Los regímenes fiscales, por su parte, condicionan la neutralidad tributaria a requisitos como la continuidad accionarial, la permanencia en la actividad y la existencia de una razón de negocios clara.
General Electric (GE), emblema histórico del conglomerado industrial estadounidense, anunció en 2021 su escisión en tres compañías independientes: GE Aerospace, GE HealthCare y GE Vernova. La decisión se basó en años de bajo rendimiento bursátil, presión de inversionistas y complejidad operativa creciente. El objetivo era generar foco, transparencia y rentabilidad diferenciada.
La escisión fue ejecutada en dos fases: primero se separó GE HealthCare, empresa centrada en tecnología médica, que comenzó a cotizar en enero de 2023. Luego, en abril de 2024, se completó la escisión de GE Vernova, orientada al sector energético. El proceso se realizó conforme a IRC - Internal Revenue Code, permitiendo una distribución fiscalmente neutra. GE retuvo participaciones menores de forma temporal.
El impacto fue positivo: las tres empresas cotizan de forma independiente y han captado inversionistas con intereses sectoriales distintos. El valor agregado de mercado superó el del antiguo conglomerado, y GE Aerospace emergió como el nuevo pilar de crecimiento.
Johnson & Johnson optó por escindir su negocio de productos de consumo —que incluía marcas como Tylenol, Listerine y Neutrogena— creando Kenvue. El proceso inició con un carve-out del 10% de sus acciones en mayo de 2023 y culminó con un split-off mediante canje accionario en agosto del mismo año.
La operación se amparó en la Sección 355 del IRC, beneficiándose de neutralidad fiscal. Kenvue comenzó a operar como empresa pública independiente, enfocada exclusivamente en salud del consumidor, con sus propias políticas de gobernanza y estructura financiera.
J&J redujo su exposición a riesgos legales y logró un enfoque total en sus negocios farmacéuticos y de dispositivos médicos. Los mercados recibieron positivamente la escisión, considerando que ambas compañías podrían desarrollarse con mayor libertad.
En 2020, Siemens AG llevó a cabo la escisión de su división de energía, formando Siemens Energy AG. Esta decisión obedeció a la necesidad de alinear la estrategia del grupo con las nuevas tendencias industriales y energéticas, separando los negocios más tradicionales y de menor margen del núcleo innovador.
El proceso se ajustó al derecho corporativo alemán y a la normativa europea sobre movilidad empresarial. Se aprobó con una mayoría del 99% de los accionistas y contempló la transferencia de activos, pasivos y talento clave.
Si bien Siemens Energy comenzó con buenas perspectivas, enfrentó desafíos derivados de la crisis en su filial Siemens Gamesa, lo cual afectó su cotización y obligó a gestiones de refinanciamiento. No obstante, Siemens AG logró aislar dichos riesgos de su balance consolidado.
En 2023, el conglomerado mexicano Grupo Televisa decidió escindir sus negocios no estratégicos —incluidos el club América, sorteos y publicaciones— en una nueva sociedad cotizada, a fin de concentrarse en telecomunicaciones y contenidos.
La escisión se realizó conforme a la Ley General de Sociedades Mercantiles de México y bajo las directrices del CFF para mantener la neutralidad fiscal. Los accionistas conservaron su participación proporcional en ambas empresas.
Con esta reestructuración, Televisa buscó elevar su valorización bursátil y otorgar visibilidad a segmentos tradicionalmente opacados dentro del conglomerado. La nueva empresa escindida obtuvo independencia para atraer capital e implementar su propia estrategia.
Los casos analizados presentan patrones comunes: búsqueda de valor accionario, especialización, mejora en gobernanza y atracción de inversionistas con perfiles más definidos. Sin embargo, también muestran contrastes importantes:
Jurídicamente, los cuatro casos destacan la necesidad de una planeación regulatoria anticipada, con asesoría especializada en derecho corporativo, fiscalidad internacional y compliance. Desde la óptica reputacional, las escisiones transmiten una señal de modernización y transparencia, siempre que se comuniquen correctamente al mercado y stakeholders.
Las escisiones de compañías se han consolidado como instrumentos multifuncionales dentro de la estrategia corporativa global. Las experiencias de GE, J&J, Siemens y Televisa demuestran que, cuando están bien estructuradas, permiten alinear mejor los intereses de accionistas, clientes y empleados.
Entre las principales recomendaciones se encuentran:
Para directivos empresariales, las escisiones representan una vía para transformar modelos de negocio y reconfigurar el portafolio corporativo. Para abogados, suponen un desafío técnico que requiere precisión normativa y visión integral. Para reguladores, el reto es mantener marcos que incentiven la competitividad sin sacrificar la transparencia y la equidad.
La industria de los hidrocarburos ha sido, durante décadas, el eje financiero del Estado ecuatoriano. En este contexto, la existencia de dos empresas estatales operando de forma paralela —EP Petroecuador y Petroamazonas EP— representó por años una anomalía administrativa con altos costos y escasa eficiencia. La decisión de fusionarlas, oficializada en enero de 2021, marcó un hito no solo en la gestión energética nacional, sino también en la aplicación del derecho corporativo y empresarial en el ámbito público.
Esta fusión fue presentada como un mecanismo para reducir costos, mejorar la transparencia, atraer inversión y reorganizar el modelo operativo del sector. Pero su ejecución también planteó desafíos técnicos, jurídicos, laborales y estratégicos, cuya evaluación es fundamental para comprender su verdadero impacto. El análisis que sigue ofrece una visión integral de este proceso desde la lógica de la gestión corporativa pública, integrando referencias legales, económicas y comparadas con experiencias similares en América Latina.
La Corporación Estatal Petrolera Ecuatoriana (CEPE), establecida en 1972, fue la entidad pionera en la gestión estatal de los recursos hidrocarburíferos. En 1989, CEPE fue transformada en Petroecuador, una empresa estatal con varias filiales: Petroproducción, Petroindustrial y Petrocomercial, cada una especializada en diferentes eslabones de la cadena de valor del petróleo.
En 2008, mediante la Ley Orgánica de Empresas Públicas, Petroecuador fue reestructurada como empresa pública, y sus filiales se convirtieron en gerencias internas. Sin embargo, en 2010, se creó Petroamazonas EP, escindiendo las funciones de exploración y producción de Petroecuador. Esta nueva empresa pública asumió las operaciones de la Unidad del Bloque 15, anteriormente gestionada por Petroproducción, y posteriormente expandió su responsabilidad a otros bloques petroleros en el país.
El proceso de fusión se formalizó con el Decreto Ejecutivo N.º 1158, emitido el 24 de septiembre de 2020, que autorizó la fusión por absorción de Petroamazonas EP por parte de Petroecuador. Esta medida fue parte de una política gubernamental orientada a optimizar la estructura empresarial del Estado, buscando reducir duplicidades y mejorar la eficiencia operativa.
Desde la perspectiva del derecho corporativo, esta decisión respondía a criterios de racionalidad económica, pero también a una necesidad de rediseñar los marcos legales y contractuales de gestión pública, generando una nueva estructura que integre funciones antes separadas bajo una misma personería jurídica, reduciendo fricciones operativas y conflictos de competencias.
La fusión se ejecutó mediante los Decretos Ejecutivos 723 y 1221, conforme a la Ley Orgánica de Empresas Públicas (LOEP). Se optó por la figura jurídica de la fusión por absorción, en la cual Petroecuador asumió el control total de Petroamazonas, incluidos sus activos, contratos y obligaciones. Desde el punto de vista corporativo, esto supuso una transición compleja que debía cumplir con normas de control de mercado, transparencia institucional y debido proceso administrativo.
La creación de una Unidad Temporal de Fusión (UTF) y un Comité Estratégico Interinstitucional respondió a la necesidad de gobernanza temporal, garantizando la trazabilidad y legalidad del proceso. Se respetaron principios del derecho empresarial, como la continuidad de los contratos, la transparencia en la administración de activos, y la protección de derechos laborales adquiridos. Petroecuador notificó formalmente a la Superintendencia de Control del Poder de Mercado (SCPM) y obtuvo su aprobación para proceder, consolidando la seguridad jurídica de la operación.
Desde el punto de vista económico, la fusión pretendía reducir estructuras duplicadas. En 2022, Petroecuador reportó un ahorro de alrededor de USD 80 millones en costos operativos, cifra significativa en un contexto de restricciones fiscales. Este ahorro fue detallado en el Informe Estadístico Anual 2022 de EP Petroecuador, donde se especifica que los costos operativos promedio por barril se mantuvieron en niveles competitivos, reflejando las eficiencias logradas tras la fusión.
Además, el informe destaca la optimización de procesos y la reducción de gastos administrativos como factores clave para alcanzar este resultado. No obstante, el proceso supuso también asumir los pasivos laborales y contractuales de Petroamazonas, lo que tensionó su flujo financiero.
Desde una óptica de gestión corporativa, uno de los desafíos fue la integración de sistemas, políticas y cultura organizacional. La empresa unificada debió armonizar sus plataformas tecnológicas, marcos normativos y procesos internos. Esto implicó una transformación digital sustancial, que si bien generó eficiencias, también evidenció la falta de planificación estratégica a largo plazo, típica en fusiones mal dirigidas en el ámbito público.
En términos de responsabilidad contractual, Petroecuador asumió compromisos con grandes proveedores como Schlumberger, Tecpetrol y Halliburton, sin renegociación inicial. Cumplir con esos compromisos exigió financiamiento externo y ajustes operativos, reafirmando la importancia de un análisis jurídico previo que evalúe riesgos y contingencias. Complementariamente, informes del Ministerio de Energía y la ARCERNNR ofrecen cifras actualizadas sobre producción y desempeño, útiles para valorar la sostenibilidad real del proceso de fusión.
El mayor desafío post-fusión ha sido la gestión del talento humano. Aunque inicialmente se aseguró la estabilidad laboral, estudios técnicos, parte del Plan de Optimización Empresarial implementado por la empresa,  redundancias, particularmente en áreas administrativas. Esto motivó un plan de retiro voluntario financiado por el Banco Interamericano de Desarrollo, aunque no logró reducir la nómina como se esperaba por acciones judiciales promovidas por sindicatos.
La fusión también dejó al descubierto conflictos salariales entre el personal proveniente de ambas entidades. Petroecuador arrastraba contratos colectivos con más beneficios que los de Petroamazonas, lo cual generó reclamos por nivelación salarial, abriendo un frente de tensión interna que sigue vigente.
Desde una visión corporativa, este proceso pone en evidencia la necesidad de incorporar criterios de gobierno corporativo moderno, incluyendo evaluaciones de desempeño, comités de auditoría independientes y revisión periódica de estructura organizacional, para evitar la duplicidad de funciones y el uso ineficiente de recursos humanos. A ello se suma una debilidad estructural clave: la ausencia de estados financieros auditados y de un inventario actualizado —elementos indispensables para decisiones empresariales de alto nivel—, lo cual contrasta con experiencias como la de Ecopetrol, cuya transparencia contable ha sido clave para acceder a mercados bursátiles y atraer inversión.
Casos como el de Petrobras (Brasil) y Ecopetrol (Colombia) muestran que una petrolera estatal puede ser rentable y eficiente si se somete a disciplina de mercado y gobierno corporativo transparente y a una adecuada gobernanza. Ambas empresas cotizan en bolsa y han diversificado sus operaciones. Petroecuador aún no ha dado ese paso y sería el primer escalón hacia una apertura controlada de capital que le permita atraer inversiones y modernizarse (RecursosyEnergia.gob.ec).
Los organismos multilaterales como el Banco Mundial y la CEPAL han recomendado a los países de la región consolidar empresas públicas para evitar la dispersión institucional. Asimismo, instan a la adopción de planes estratégicos de largo plazo con metas claras, inversión en exploración y diversificación de operaciones hacia energías limpias (Documents World Bank).
En este sentido, Petroecuador deberá complementar la fusión con una transformación integral: revisión de su gobernanza, digitalización de procesos, apertura a alianzas estratégicas y fortalecimiento de su autonomía presupuestaria sin comprometer su rol social.
Más que una decisión administrativa, la fusión de Petroecuador y Petroamazonas representó un punto de inflexión en la manera en que el Estado ecuatoriano concibe la gestión corporativa de sus empresas estratégicas. El proceso logró consolidar funciones dispersas, generar una plataforma jurídica común y simplificar el mapa institucional del sector petrolero. Desde una óptica legal, el uso de la fusión por absorción conforme a la LOEP, acompañado de decretos ejecutivos y revisión por parte de entes de control, configuró un procedimiento cuya finalidad era obtener una empresa pública eficiente y transparente, sin embargo, es un proceso que tomará tiempo e involucrará la toma de decisiones oportunas y adecuadas.
Sin embargo, la verdadera prueba no estuvo solo en la legalidad, sino en la ejecución: problemas laborales, desequilibrios operativos y la persistencia de una burocracia pesada han limitado el potencial transformador del proceso. Las cifras de producción no han mejorado de forma sustancial, y el gasto en personal sigue siendo elevado, con una estructura que aún requiere ajustes delicados desde lo humano y lo financiero. A ello se suma la falta de estados financieros auditados actualizados —los últimos disponibles corresponden al año 2021— y la ausencia de un inventario consolidado de activos, lo que debilita la capacidad institucional para tomar decisiones estratégicas informadas. Este vacío documental contrasta con modelos como Ecopetrol, cuya transparencia contable y control patrimonial han sido claves para acceder a mercados bursátiles e implementar reformas sostenidas.
En el terreno corporativo, la experiencia deja una lección clara: una reestructuración corporativa pública no se agota en la emisión de decretos o la unificación de logos, sino que exige visión estratégica, profesionalización y voluntad de transformar la cultura organizacional. Es indispensable dotar a la nueva Petroecuador de métricas claras de rendimiento, control financiero riguroso y una estructura de gobernanza que trascienda el ciclo político.
Finalmente, si Ecuador aspira a contar con una petrolera estatal moderna y competitiva —capaz de operar con eficiencia, atraer inversión y prepararse para un futuro de transición energética—, la fusión deberá verse como el primer paso de una reforma más amplia. La consolidación legal e institucional ya está hecha. Ahora corresponde consolidar la eficiencia y sostenibilidad del modelo de negocio, sin perder de vista que, más allá de la rentabilidad de los hidrocarburos, lo que está en juego es la capacidad del Estado para gestionar con visión empresarial su patrimonio estratégico.
Banco Mundial. (2024). Ecuador: Crecimiento resiliente para un futuro mejor. Informe de diagnóstico del país. Capítulo 1. Banco Internacional de Reconstrucción y Fomento.
CEPAL. (2021). Perfil energético de Ecuador 2021. Comisión Económica para América Latina y el Caribe.
Diario El Comercio. (2020, 14 de diciembre). Ortiz: Hasta el 31 de diciembre no habrá desvinculaciones.
Ecuavisa. (2023). La fracasada fusión entre Petroecuador y Petroamazonas: hay un exceso de 1.500 empleados.
Energy Analytics Institute. (2020, 28 de agosto). EP PetroEcuador and PetroAmazonas EP to merge.
EP Petroecuador. (2022). Auditoría de Estados Financieros 2019, 2020 y 2021 de EP Petroecuador y Petroamazonas EP. Quito: EP Petroecuador.
EP Petroecuador. (2023). Cifras Institucionales – Estados Financieros. Quito: EP Petroecuador.
EP Petroecuador. (2023). Informe de Rendición de Cuentas 2022. Quito: EP Petroecuador.
EP Petroecuador. (2023). Plan General de Negocios, Expansión e Inversión 2023. Quito: EP Petroecuador.
EP Petroecuador. (s.f.). Procedimiento: Certificar existencias de materiales en inventario de bodega. Quito: EP Petroecuador.
EP Petroecuador. (s.f.). Aplicativo “Certificar Existencias de Materiales en Inventario”. Quito: EP Petroecuador.
GK Ciudad. (2021, 1 de enero). Petroecuador y Petroamazonas se fusionaron por decreto presidencial.
LegalEcuador. (2021, 4 de febrero). Fusión por absorción de Petroamazonas EP a EP Petroecuador.
Periódico Opción. (2020, 27 de agosto). Fusión de Petroamazonas y Petroecuador: ¿subasta?.
Primicias. (2020–2023).
Reuters. (2020, 2 de noviembre). Executives at Ecuador’s state oil companies resign ahead of merger.
Swissinfo. (2022, 20 de julio). Ecuador tiene reservas de petróleo para 47 años al ritmo de producción actual.
La dinámica empresarial a menudo implica transformaciones profundas, como la fusión de compañías o, por el contrario, la escisión (división) de las mismas. En este artículo explicaremos en qué consisten estos procesos, por qué ocurren y cómo pueden afectar a distintos actores (consumidores, empleados y el mercado en general), usando casos recientes para ilustrar los conceptos. Abordaremos también las implicaciones legales y económicas de estas decisiones y los desafíos que presentan, en un lenguaje claro y accesible.
Un ejemplo reciente de fusión empresarial es la integración de Disney+ y Star+ en Latinoamérica. Desde junio de 2024, ambos servicios se unificaron en una sola plataforma, permitiendo a los suscriptores acceder a todo el contenido en un solo lugar.
La estrategia detrás de esta fusión busca simplificar la experiencia del usuario y consolidar la oferta de Disney en el mercado del streaming. Sin embargo, también trajo consigo ajustes en los planes de suscripción y aumentos de precios, lo que generó reacciones mixtas entre los consumidores.
En términos operativos, la fusión requirió integrar tecnologías y sistemas de gestión de suscriptores, además de implementar nuevos controles parentales para garantizar la seguridad del contenido en la plataforma. Este tipo de retos evidencian que una fusión empresarial no solo consiste en sumar catálogos o servicios, sino en una reconfiguración profunda de los procesos internos y de la relación con los clientes.
En Ecuador, el sector asegurador también ha sido testigo de un proceso de fusión relevante. Seguros Equinoccial y Ecuatoriano Suiza anunciaron su integración en octubre de 2024, buscando fortalecer su posición en el mercado y ampliar su oferta de servicios.
Uno de los objetivos principales de esta fusión es la creación de una aseguradora más robusta y competitiva, capaz de ofrecer mejores coberturas y optimizar sus operaciones. No obstante, esta transacción está sujeta a la aprobación de los entes reguladores, que evaluarán su impacto en la competencia y en los derechos de los consumidores.
El reto operativo de esta fusión radica en la integración de sistemas, la unificación de carteras de clientes y la redefinición de estrategias comerciales. Además, la consolidación de ambas estructuras podría generar cambios en la plantilla laboral, con reasignaciones de personal o ajustes en puestos redundantes.
Mientras que las fusiones buscan la consolidación de empresas, las escisiones permiten que unidades de negocio operen de manera independiente. Un caso emblemático de escisión fue la separación de PayPal y eBay en 2015.
Por años, PayPal funcionó como el principal sistema de pagos de eBay, pero con el auge de los pagos digitales y la creciente competencia en el sector, se decidió que ambas compañías operarían de manera separada. Como resultado, PayPal pudo expandirse más allá de la plataforma de eBay, estableciendo acuerdos con otras empresas de e-commerce y fortaleciendo su presencia en el sector financiero.
Esta escisión demuestra cómo una empresa puede ganar flexibilidad y crecimiento al separarse de su matriz. Sin embargo, también implica desafíos, como la necesidad de construir infraestructura propia y redefinir su modelo de negocios de manera independiente.
La decisión de fusionar dos sociedades o de escindir una no se toma a la ligera: suele obedecer a estrategias empresariales bien definidas. Entre los principales motivos de una fusión se encuentran:
En cuanto a las escisiones, algunas razones clave incluyen:
Estos procesos no solo afectan a las empresas, sino también a sus clientes y empleados:
Los casos analizados muestran que las fusiones pueden generar entidades más fuertes y diversificadas, mientras que las escisiones pueden impulsar el crecimiento y la autonomía de las empresas involucradas. Sin embargo, ambos procesos requieren una planificación meticulosa para superar los desafíos regulatorios, operativos y financieros.
Si bien estos movimientos estratégicos pueden beneficiar a las compañías y sus clientes, también pueden traer incertidumbre y cambios significativos en el mercado. El éxito de una fusión o escisión no solo depende de su justificación económica, sino de cómo se gestione su ejecución para garantizar estabilidad y crecimiento a largo plazo.
El Universo. (2024). Todas las dudas sobre la fusión de Disney+ y Star+ respondidas por una ejecutiva de la compañía.
El Universo. (2024). Seguros Equinoccial y Ecuatoriano Suiza llegaron a un acuerdo con miras a una fusión.
Reason Why. (2015). PayPal y eBay separan sus caminos para potenciar sus negocios.
Leialta. (2023). Fusiones y escisiones: claves y diferencias.
La transacción tributaria es una figura jurídica introducida en Ecuador mediante la Ley Orgánica para el Desarrollo Económico y Sostenibilidad Fiscal tras la Pandemia COVID-19 (Registro Oficial No. 587, 2021) que incorporó al Código Tributario la Sección 6a, constituyendo un avance hacia la modernización de la administración tributaria. Este mecanismo legal permite resolver conflictos fiscales mediante acuerdos entre la administración tributaria y los contribuyentes, integrando principios de suficiencia recaudatoria, simplicidad administrativa y reserva de ley. A continuación, se analizan las características de este instrumento, los retos que plantea y su impacto en el sistema tributario ecuatoriano.
En América Latina, varios países han adoptado mecanismos similares para resolver conflictos tributarios. En Colombia, Brasil y Chile, por ejemplo, la transacción tributaria ha demostrado ser una herramienta efectiva para reducir la carga judicial y fomentar la colaboración entre contribuyentes y administraciones tributarias. Ecuador, al implementar este mecanismo, sigue una tendencia regional, adaptándola a su marco normativo específico.
Definición y Objeto
La transacción tributaria es un acuerdo entre la administración tributaria y el contribuyente que busca extinguir obligaciones fiscales en controversia. Este instrumento, fundamentado en concesiones recíprocas, permite transigir respecto de:
La ley prevé dos formas principales de transacción tributaria:
Determinando el Código Tributario las regulaciones específicas para cada una de ellas, en cuanto a suspensión de términos, plazos de procedimientos y requisitos para sus efectos.
El acta transaccional, una vez suscrita, tiene carácter vinculante, definitivo e inimpugnable, salvo casos de nulidad por transgresión de elementos no transigibles. Este efecto refuerza la seguridad jurídica, la eficiencia administrativa y la suficiencia recaudatoria.
Exclusiones
La transacción no puede abordar ciertos aspectos como:
Compatibilidad con el Principio de Reserva de Ley
El principio de reserva de ley exige que todos los aspectos fundamentales del sistema tributario (hecho imponible, sujetos obligados, base imponible, tarifa) sean definidos exclusivamente mediante normas legales. La flexibilidad inherente a la transacción puede entrar en conflicto con esta rigidez normativa, comprometiendo potencialmente la integridad del sistema tributario.
Si bien se determina, que la transacción podrá implicar concesiones sobre aspectos fácticos de valoración incierta o conceptos jurídicos indeterminados, será la Administración Tributaria que, de acuerdo con los hechos del caso y la norma aplicable, defina el sustento y motivación de sus concesiones.
La administración tributaria debe garantizar que los acuerdos no contravengan disposiciones legales preexistentes ni vulneren derechos de los contribuyentes. Este equilibrio requiere una regulación precisa que defina claramente los límites de la transacción.
Impacto Fiscal y Sustentabilidad
Si bien la transacción agiliza la recaudación y reduce los costos administrativos, puede generar incertidumbre sobre los ingresos fiscales. Los ajustes en las obligaciones tributarias inicialmente determinadas pueden comprometer la previsión presupuestaria, afectando la capacidad del Estado para financiar servicios públicos.
Simplicidad Administrativa vs. Seguridad Jurídica
La transacción promueve la eficiencia al reducir la litigiosidad y facilitar acuerdos rápidos. Sin embargo, existe el riesgo de que esta simplificación administrativa se perciba como una flexibilización excesiva, erosionando la confianza en el sistema tributario.
Confianza y Transparencia
Para que la transacción sea efectiva, debe desarrollarse en un entorno de confianza mutua. La confidencialidad de las negociaciones es esencial, pero también lo es la transparencia en los criterios utilizados por la Administración Tributaria para aprobar acuerdos.
Suficiencia Recaudatoria
La transacción tributaria debe ser utilizada como medio de prevención oportuna de controversias, con la finalidad de alcanzar los principios que rigen al Derecho Tributario en particular de suficiencia recaudatoria, equidad, igualdad y proporcionalidad.
Este principio busca:
Reserva de Ley
La reserva de ley garantiza que los elementos esenciales de la tributación estén claramente definidos por normas legislativas. Este principio es crucial para:
La interacción entre estos principios plantea un desafío: lograr un sistema que sea eficiente y flexible sin comprometer la equidad y seguridad jurídica.
La transacción tributaria es una herramienta con un enorme potencial para modernizar y hacer más eficiente el sistema tributario ecuatoriano. Sin embargo, su éxito depende de:
En síntesis, la transacción tributaria tiene el potencial de transformar la relación entre contribuyentes y administración tributaria, fomentando un sistema más justo y colaborativo. Sin embargo, su implementación debe ser cuidadosamente equilibrada para garantizar que los beneficios de la simplificación administrativa no comprometan la legalidad y sostenibilidad del sistema tributario ecuatoriano.
Ley Orgánica para el Desarrollo Económico y Sostenibilidad Fiscal tras la Pandemia COVID-19.
Código Tributario.
Llanos, G. V. (2019). La transacción como medio de extinción de la obligación tributaria. Revista Análisis Tributario, 373(4).
Jiménez Lafebre, F. I. (2023). Transacción como medio para la solución eficaz de los conflictos tributarios. Tesis de la Pontificia Universidad Católica del Ecuador.
Pérez, M. A., & Pico, S. O. (2020). El principio de simplicidad administrativa aplicado a través del sistema de facturación. Revista Investigación Aplicada en Ciencias Empresariales, 9(1), 118-131.
Peña Toledo, T. G. (2009). Evolución de los principios de legalidad y reserva de ley tributarios en el constitucionalismo ecuatoriano. Tesis de maestría, Universidad Andina Simón Bolívar.
Etman, G. E. (2003). La transacción en materia tributaria. Escritos Contables, (44), 121-156.
Linares Prado, D. M. (2006). La transacción y el arbitraje en materia tributaria. Fondo Editorial Universidad de Lima.