Serie · IA: entre la promesa y la evidencia · Parte 4 de 4

A inicios de 2023, cuando la mayoría apenas estaba descubriendo ChatGPT, la Superintendencia de Banca, Seguros y AFP de Perú publicó un reglamento de gestión de riesgos de modelo. No se llamaba "ley de IA". Aun así, ya exigía algo que hoy suena a vanguardia: que los modelos construidos con técnicas de inteligencia artificial pasen pruebas de interpretabilidad, y que la empresa responda plenamente por los modelos de sus proveedores (Res. SBS 00053-2023).

Cuando preguntamos "¿qué ley de IA tenemos en nuestro país?", la respuesta corta suele ser "ninguna todavía". La respuesta útil es otra: la IA ya está regulada, solo que no en un solo lugar. Se reparte entre la ley de datos, la circular del supervisor, el código de consumo, la reforma laboral y el contrato, a veces, con un cliente extranjero. A esto vamos a llamarle el Reglamento Disperso.

Hemos recorrido un buen trecho en esta serie. En la Parte 1 separamos la distorsión del valor; en la Parte 2, lo que conviene exigir antes de firmar con un proveedor; en la Parte 3, cómo medir la IA que ya usamos, incluida la que entró sin pedir permiso. Faltaba la pregunta que llega desde afuera: cuando alguien con autoridad pida pruebas, ¿qué vamos a poder mostrar?

¿Dónde está escrita hoy la regulación de la IA?

Si una herramienta decide, perfila o atiende a personas, casi seguro ya hay una norma que la alcanza, aunque no mencione la palabra "algoritmo". En la región, suele estar en cuatro cajones.

Datos personales. Es el cajón más grande de todos. En Chile, la Ley 21.719 se aplicará a partir del 1 de diciembre de 2026 y otorga derecho a oponerse a decisiones tomadas únicamente sobre la base de un tratamiento automatizado; exige explicación, intervención humana y revisión cuando procedan. En Brasil, la LGPD permite solicitar la revisión de esas decisiones y conocer los criterios empleados, y la autoridad puede auditar aspectos discriminatorios. Colombia (Circular 002 de 2024 de la SIC), México (ley de 2025) y El Salvador (ley de 2024) siguen la misma línea. En Guatemala no existe una ley de datos personales, lo cual no es igual a libertad: sus clientes y socios de otros países sí cuentan con esa legislación.

Consumo. Un chatbot no exime de la obligación de informar. En 2025, la SIC de Colombia recordó la práctica, al referirse al uso de IA en centros de contacto, de acuerdo con análisis de despachos locales. En Brasil, el decreto de atención al cliente de los servicios regulados (bancos, telecomunicaciones, aerolíneas, entre otros) obliga a tener atención humana por lo menos ocho horas al día. La PROFECO incluyó la IA y los algoritmos dentro de su programa 2026-2030.

Trabajo. Desde 2025, México exige a las plataformas digitales una “política de gestión algorítmica” para explicar la asignación de tareas y evitar la discriminación (LFT, art. 291-J). Con la Ley 21.431, Chile prohíbe la discriminación algorítmica en plataformas. El reglamento peruano de IA considera de alto riesgo a los sistemas de selección, evaluación y despido de personal, independientemente del sector.

Ciberseguridad. Una fuga de datos de entrenamiento se reporta por la ley de ciberseguridad (como la 21.663 de Chile), no por una ley de IA.

La ausencia de una ley de IA no es ausencia de reglas; es ausencia de un índice.

Si somos banca o seguros: el supervisor llegó antes

En el sector regulado, casi nunca hace falta una ley nueva para que alguien se pregunte por la IA. Los riesgos de modelos, riesgo tecnológico y tercerización, están ya cubiertos por las normas.

El caso peruano de apertura es el más explícito, pues llega a bancos y aseguradoras con inventario de modelos, validación y con un comité de riesgo de modelo. En Colombia, la Superintendencia Financiera señaló que el 31 % de sus entidades emplean IA, principalmente en riesgo de crédito, y ya han publicado estudios sobre scoring alternativo. En Brasil, el Banco Central ya advirtió, allá por 2026, sobre el riesgo de concentración cuando muchas instituciones dependen del mismo proveedor de IA, un tema que ya tocamos cuando hablamos de vendor lock-in.

Más cercano a Centroamérica y al Caribe, el enfoque llega por la vía de la tecnología. Guatemala cuenta con el reglamento de riesgo tecnológico (JM-104-2021); Costa Rica, con el reglamento de gestión de TI del CONASSIF; El Salvador, con las normas técnicas de seguridad de la información del BCR; y República Dominicana, con un reglamento de seguridad cibernética que exige requisitos de ciberseguridad en los contratos con terceros y una política documentada para el uso de la nube. No hay nadie que nombre la IA; sin embargo, todos alcanzan a quien la provee.

Para un banco o una aseguradora, el inventario de IA de la Parte 3 no parte de cero: es el inventario de modelos con nuevas entradas. La pregunta del supervisor no será si usan IA, sino si está en su inventario, quién la validó y quién responde por el modelo del proveedor. Un modelo comprado sigue siendo nuestro modelo; el proveedor firma el contrato, no la responsabilidad.

¿Y si nadie nos supervisa?

Pongamos por caso una maquiladora de ropa en una zona franca de El Salvador o de la República Dominicana. Utiliza inteligencia artificial para preseleccionar a los operarios y para revisar las costuras, y ningún supervisor local le ha preguntado sobre ello. Un día recibe de su cliente europeo un cuestionario de proveedores. Tres preguntas: ¿utilizan IA para tomar decisiones sobre personas?, ¿pueden explicarlas?, ¿quién las revisa?

No se trata de un capricho. El Reglamento Europeo de IA se aplica a proveedores y usuarios de terceros países, cuando el resultado del sistema se utiliza en la Unión. La propia UE retrasó a 2026 las obligaciones de alto riesgo, como empleo o crédito, hasta diciembre de 2027 (Reglamento 2026/1744), pero las preguntas llegan antes por vía contractual. El regulador más estricto de un exportador no siempre está en su país, a veces está en la orden de compra.

El mismo patrón se repite en otros sectores que no cuentan con supervisor propio:

• En el sector minorista, los precios dinámicos, los programas de fidelidad que realizan perfiles de los clientes y los chatbots de atención al cliente entran de lleno en la normativa de protección de datos y en la de consumo.
• En la agroindustria, a partir del 30 de diciembre de 2026, el reglamento europeo contra la deforestación obliga a demostrar con geolocalización de dónde provienen los envíos de café, cacao o palma. No es una norma de IA, pero si la trazabilidad la construye una plataforma con imágenes satelitales y modelos de terceros, auditar el cumplimiento es auditar esa cadena de datos.
• Para los proveedores de servicios tecnológicos y nearshore, quien desarrolla sistemas para clientes en Europa puede ser “proveedor” a efectos del reglamento europeo, con obligaciones propias.

Lo que sí dice "inteligencia artificial"

Hay unas pocas normas que nombran directamente a la IA. De los países más grandes, el único reglamento de IA con obligaciones para privados y plazos en marcha es el de Perú (DS 115-2025-PCM). Los sistemas se clasifican por riesgo, la evaluación crediticia y la gestión de personal entran en la zona de riesgo alto y se pide registro, transparencia y supervisión humana que detenga o corrija una decisión. Su calendario es escalonado y comenzó por finanzas, salud y educación. También recomienda, como referencia, las normas ISO/IEC 42001 e ISO/IEC 38507 ya vistas en esta serie.

Desde 2025 El Salvador cuenta con una ley de fomento, más orientada a promover que a controlar. El resto está tramitándose: El Brasil está esperando la aprobación de su Cámara de Diputados, el Chile lo hace con su Senado, el Senado dominicano fusionó dos proyectos en septiembre de 2026 y Colombia, Costa Rica, México, Argentina y Guatemala tienen iniciativas acumuladas.

Los textos más avanzados son bastante similares entre sí: clasificación por riesgo, evaluación de impacto, transparencia y supervisión humana. Es una lectura nuestra, no una armonización formal; pero prepararse para una ayuda con todas.

¿Ok, y ahora qué hacemos?

No tratemos de leernos todo. Lo que yo propongo es invertir la lógica: partir de lo que la organización debe poder demostrar, independientemente del país en el que esté.

Este mes. Que Cumplimiento y Legal nos envíe un mapa del Reglamento Disperso: una página por país donde hacemos operaciones, con los cajones que le aplican (datos, sector, consumo, trabajo, ciberseguridad, clientes del extranjero) y la fecha de revisión. Que alguien local lo confirme; este artículo no es asesoría legal.

Este trimestre. Hagamos cruce de ese mapa con el inventario de IA de la Parte 3. Los usos que se deciden sobre las personas (crédito, empleo, precios, atención al cliente) son la zona sensible de casi cualquier texto, actual o futuro.

Antes del próximo comité. Para cada uso delicado, tengamos a mano seis evidencias:

1. Que el sistema está en inventario, incluida la IA embebida en otras herramientas.
2. El criterio por el cual se clasificó su riesgo.
3. Una evaluación de impacto documentada, si bien todavía voluntaria.
4. Cómo explicar una decisión y quién la puede revisar o revertir.
5. Registros de datos, versiones y cambios del proveedor con las cláusulas que pedimos en la Parte 2.
6. Con qué información, cuándo y quién aceptó el riesgo.

Si alguna de esas evidencias no está, el hallazgo no es regulatorio; es de gobernanza.

Lo que queda al cerrar la serie

En la primera parte de esta serie nos preguntábamos si la IA distorsiona o aporta valor y ahora, en la última parte, vamos a ver qué podemos demostrar. Las cuatro partes, en el fondo, preguntaron lo mismo desde cuatro ángulos: ¿de qué evidencia disponemos?

Las leyes de IA van a llegar a ritmos distintos y con textos distintos. La organización que ya puede inventariar, clasificar, explicar y reportar, no tiene que esperarlas, estará lista para la primera que llegue. No se trata de adivinar qué va a ser la próxima ley, sino de poder demostrar lo que ya hacemos con la IA.

¿Te atreves a pedir esta semana una sola cosa: la lista de decisiones automatizadas que hoy afectan a clientes o empleados, país por país? Si cuesta montarla, ya sabemos por dónde empezar.

Y como sin buenos datos no hay IA que se pueda auditar, lo que viene es una nueva serie sobre gobernanza de datos: por dónde empezar y cómo auditarla. Síganos para las siguientes publicaciones y/o novedades de Auditoría Inteligente AICS.