# Regulación de IA en LATAM: qué debe poder demostrar

- Link: https://auditoriainteligente.com/regulacion-ia-latam-que-debe-poder-demostrar/
- Published: 2026-10-22T00:46:59-04:00
- Author: Christian Vargas

_Serie · IA: entre la promesa y la evidencia · Parte 4 de 4_

**TL;DR**

Aunque la mayoría de los países latinoamericanos carece de una ley explícita de 
inteligencia artificial, la tecnología ya está regulada mediante normativas dispersas.
Leyes de datos personales, consumo, ámbito laboral, ciberseguridad y supervisión
bancaria exigen rendición de cuentas, explicabilidad y gestión de riesgos en sistemas
automatizados.

Las organizaciones deben identificar sus obligaciones legales locales e internacionales
y documentar sus usos de inteligencia artificial. Preparar evidencias sobre inventario
de modelos, evaluación de impacto, supervisión humana y criterios de clasificación
permite mitigar riesgos normativos y contractuales antes de que se aprueben nuevas
legislaciones específicas.

A inicios de 2023, cuando la mayoría apenas estaba descubriendo ChatGPT, la Superintendencia
de Banca, Seguros y AFP de Perú publicó un reglamento de gestión de riesgos de modelo.
No se llamaba "ley de IA". Aun así, ya exigía algo que hoy suena a vanguardia: que
los modelos construidos con técnicas de inteligencia artificial pasen pruebas de
interpretabilidad, y que la empresa responda plenamente por los modelos de sus proveedores(
[Res. SBS 00053-2023](https://busquedas.elperuano.pe/dispositivo/NL/2141173-1)).

Cuando preguntamos "¿qué ley de IA tenemos en nuestro país?", la respuesta corta
suele ser "ninguna todavía". La respuesta útil es otra: la IA ya está regulada, 
_solo que no en un solo lugar_. Se reparte entre la ley de datos, la circular del
supervisor, el código de consumo, la reforma laboral y el contrato, a veces, con
un cliente extranjero. A esto vamos a llamarle el **Reglamento Disperso**.

Hemos recorrido un buen trecho en esta serie. En la [Parte 1](https://auditoriainteligente.com/distorsion-o-valor-que-hace-realmente-la-ia/)
separamos la distorsión del valor; en la [Parte 2](https://auditoriainteligente.com/auditar-la-promesa-que-exigir-antes-de-comprar-ia/),
lo que conviene exigir antes de firmar con un proveedor; en la [Parte 3](https://auditoriainteligente.com/auditoria-ia-beneficios-shadow-ai-comite/),
cómo medir la IA que ya usamos, incluida la que entró sin pedir permiso. Faltaba
la pregunta que llega desde afuera: cuando alguien con autoridad pida pruebas, ¿
qué vamos a poder mostrar?

### ¿Dónde está escrita hoy la regulación de la IA?

Si una herramienta decide, perfila o atiende a personas, casi seguro ya hay una 
norma que la alcanza, aunque no mencione la palabra "algoritmo". En la región, suele
estar en cuatro cajones.

**Datos personales.** Es el cajón más grande de todos. En Chile, la [Ley 21.719](https://bcn.cl/gJo3hf)
se aplicará a partir del 1 de diciembre de 2026 y otorga derecho a oponerse a decisiones
tomadas únicamente sobre la base de un tratamiento automatizado; exige explicación,
intervención humana y revisión cuando procedan. En Brasil, la [LGPD ](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)
permite solicitar la revisión de esas decisiones y conocer los criterios empleados,
y la autoridad puede auditar aspectos discriminatorios. Colombia (Circular 002 de
2024 de la SIC), México (ley de 2025) y El Salvador (ley de 2024) siguen la misma
línea. En Guatemala no existe una ley de datos personales, lo cual no es igual a
libertad: sus clientes y socios de otros países sí cuentan con esa legislación.

**Consumo.** Un chatbot no exime de la obligación de informar. En 2025, la SIC de
Colombia [recordó la práctica](https://www.bu.com.co/es/insights/noticias/sic-emite-recomendaciones-sobre-uso-de-ia-por-call-centers),
al referirse al uso de IA en centros de contacto, de acuerdo con análisis de despachos
locales. En Brasil, el [decreto de atención al cliente](https://planalto.gov.br/ccivil_03/_Ato2019-2022/2022/Decreto/D11034.htm)
de los servicios regulados (bancos, telecomunicaciones, aerolíneas, entre otros)
[obliga ](https://planalto.gov.br/ccivil_03/_Ato2019-2022/2022/Decreto/D11034.htm)
a tener atención humana por lo menos ocho horas al día. La PROFECO incluyó la IA
y los algoritmos dentro de su [programa 2026-2030](https://www.legal500.com/developments/press-releases/profeco-institutional-program-2026-2030-compliance-takeaways-for-companies-operating-in-mexico/).

**Trabajo.** Desde 2025, México exige a las plataformas digitales una “política 
de gestión algorítmica” para explicar la asignación de tareas y evitar la discriminación(
[LFT, art. 291-J](https://mley.mx/LFT/articulo/291-j/)). Con la Ley 21.431, Chile
prohíbe la discriminación algorítmica en plataformas. El [reglamento peruano de IA](https://www.gob.pe/110224-conoce-el-reglamento-de-la-ley-de-inteligencia-artificial-en-el-peru)
considera de alto riesgo a los sistemas de selección, evaluación y despido de personal,
independientemente del sector.

**Ciberseguridad.** Una fuga de datos de entrenamiento se reporta por la ley de 
ciberseguridad (como la [21.663 de Chile](https://bcn.cl/3isi2)), no por una ley
de IA.

La ausencia de una ley de IA no es ausencia de reglas; **es ausencia de un índice**.

### Si somos banca o seguros: el supervisor llegó antes

En el sector regulado, casi nunca hace falta una ley nueva para que alguien se pregunte
por la IA. Los riesgos de modelos, riesgo tecnológico y tercerización, están ya 
cubiertos por las normas.

El caso peruano de apertura es el más explícito, pues llega a bancos y aseguradoras
con inventario de modelos, validación y con un comité de riesgo de modelo. En Colombia,
la Superintendencia Financiera señaló que el [31 % de sus entidades emplean IA](https://www.superfinanciera.gov.co/publicaciones/10115904/retos-y-oportunidades-del-sistema-financiero-la-vision-de-la-sfc/),
principalmente en riesgo de crédito, y ya han publicado estudios sobre scoring alternativo.
En Brasil, el Banco Central ya advirtió, allá por 2026, sobre el [riesgo de concentración](https://www.letsmoney.com.br/noticias/bc-risco-concentracao-fornecedores-ia/)
cuando muchas instituciones dependen del mismo proveedor de IA, un tema que ya tocamos
cuando hablamos de [vendor lock-in](https://auditoriainteligente.com/vendor-lock-in-el-caballo-de-troya-de-la-innovacion-acelerada-en-ia/).

Más cercano a Centroamérica y al Caribe, el enfoque llega por la vía de la tecnología.
Guatemala cuenta con el reglamento de riesgo tecnológico ([JM-104-2021](https://banguat.gob.gt/sites/default/files/banguat/Publica/Res_JM/2021/Res_JM-104-2021.pdf));
Costa Rica, con el [reglamento de gestión de TI del CONASSIF](https://www.sugef.fi.cr/informacion_relevante/manuales/manual_sicveca/020ReglaGTI.aspx);
El Salvador, con las [normas técnicas de seguridad de la información del BCR](https://ssf.gob.sv/descargas/upload/NRP-32.pdf?v=1676879161);
y República Dominicana, con un [reglamento de seguridad cibernética](https://sb.gob.do/media/dtydqoiv/20181101_segunda-resolucion_reglamento_seguridad_cibernetica_de_la_informacion.pdf)
que exige requisitos de ciberseguridad en los contratos con terceros y una política
documentada para el uso de la nube. No hay nadie que nombre la IA; sin embargo, 
todos alcanzan a quien la provee.

Para un banco o una aseguradora, el inventario de IA de la Parte 3 no parte de cero:
es el inventario de modelos con nuevas entradas. La pregunta del supervisor no será
si usan IA, sino si está en su inventario, quién la validó y quién responde por 
el modelo del proveedor. Un modelo comprado sigue siendo nuestro modelo; el proveedor**
firma el contrato, no la responsabilidad.**

### ¿Y si nadie nos supervisa?

Pongamos por caso una maquiladora de ropa en una zona franca de El Salvador o de
la República Dominicana. Utiliza inteligencia artificial para preseleccionar a los
operarios y para revisar las costuras, y ningún supervisor local le ha preguntado
sobre ello. Un día recibe de su cliente europeo un cuestionario de proveedores. 
Tres preguntas: ¿utilizan IA para tomar decisiones sobre personas?, ¿pueden explicarlas?,¿
quién las revisa?

No se trata de un capricho. El [Reglamento Europeo de IA](https://eur-lex.europa.eu/eli/reg/2024/1689/spa)
se aplica a proveedores y usuarios de terceros países, cuando el resultado del sistema
se utiliza en la Unión. La propia UE retrasó a 2026 las obligaciones de alto riesgo,
como empleo o crédito, hasta diciembre de 2027 ([Reglamento 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj?locale=en)),
pero las preguntas llegan antes por vía contractual. El regulador más estricto de
un exportador no siempre está en su país, **a veces está en la orden de compra**.

El mismo patrón se repite en otros sectores que no cuentan con supervisor propio:

 * En el **sector minorista**, los precios dinámicos, los programas de fidelidad
   que realizan perfiles de los clientes y los chatbots de atención al cliente entran
   de lleno en la normativa de protección de datos y en la de consumo.
 * En **la agroindustria,** a partir del 30 de diciembre de 2026, el [reglamento europeo contra la deforestación](https://www.arendt.com/news-insights/news/eudr-simplification-review-published-what-the-2026-package-means-for-in-scope-companies/)
   obliga a demostrar con geolocalización de dónde provienen los envíos de café,
   cacao o palma. No es una norma de IA, pero si la trazabilidad la construye una
   plataforma con imágenes satelitales y modelos de terceros, auditar el cumplimiento
   es auditar esa cadena de datos.
 * Para los proveedores de servicios tecnológicos y nearshore, quien desarrolla 
   sistemas para clientes en Europa puede ser “proveedor” a efectos del reglamento
   europeo, con obligaciones propias.

### Lo que sí dice "inteligencia artificial"

Hay unas pocas normas que nombran directamente a la IA. De los países más grandes,
el único reglamento de IA con obligaciones para privados y plazos en marcha es el
de Perú ([DS 115-2025-PCM](https://www.gob.pe/institucion/pcm/normas-legales/7133522-115-2025-pcm)).
Los sistemas se clasifican por riesgo, la evaluación crediticia y la gestión de 
personal entran en la zona de riesgo alto y se pide registro, transparencia y supervisión
humana que detenga o corrija una decisión. Su calendario es escalonado y comenzó
por finanzas, salud y educación. También recomienda, como referencia, las normas
ISO/IEC 42001 e ISO/IEC 38507 ya vistas en esta serie.

Desde 2025 El Salvador cuenta con una ley de fomento, más orientada a promover que
a controlar. El resto está tramitándose: El Brasil está esperando la aprobación 
de su Cámara de Diputados, el Chile lo hace con su Senado, el Senado dominicano 
fusionó dos proyectos en septiembre de 2026 y Colombia, Costa Rica, México, Argentina
y Guatemala tienen iniciativas acumuladas.

Los textos más avanzados son bastante similares entre sí: clasificación por riesgo,
evaluación de impacto, transparencia y supervisión humana. Es una lectura nuestra,
no una armonización formal; pero prepararse para una ayuda con todas.

### ¿Ok, y ahora qué hacemos?

![](https://auditoriainteligente.com/wp-content/uploads/2026/10/imagen_4.2_libreta-
1024x579.png)

No tratemos de leernos todo. Lo que yo propongo es invertir la lógica: partir de
lo que la organización debe poder demostrar, independientemente del país en el que
esté.

**Este mes.** Que Cumplimiento y Legal nos envíe un mapa del Reglamento Disperso:
una página por país donde hacemos operaciones, con los cajones que le aplican (datos,
sector, consumo, trabajo, ciberseguridad, clientes del extranjero) y la fecha de
revisión. Que alguien local lo confirme; _este artículo no es asesoría legal_.

**Este trimestre.** Hagamos cruce de ese mapa con el inventario de IA de la Parte
3. Los usos que se deciden sobre las personas (crédito, empleo, precios, atención
al cliente) son la zona sensible de casi cualquier texto, actual o futuro.

**Antes del próximo comité.** Para cada uso delicado, tengamos a mano seis evidencias:

 1. Que el sistema está en inventario, incluida la IA embebida en otras herramientas.
 2. El criterio por el cual se clasificó su riesgo.
 3. Una evaluación de impacto documentada, si bien todavía voluntaria.
 4. Cómo explicar una decisión y quién la puede revisar o revertir.
 5. Registros de datos, versiones y cambios del proveedor con las cláusulas que pedimos
    en la Parte 2.
 6. Con qué información, cuándo y quién aceptó el riesgo.

Si alguna de esas evidencias no está, el hallazgo no es regulatorio; es de gobernanza.

### Lo que queda al cerrar la serie

En la primera parte de esta serie nos preguntábamos si la IA distorsiona o aporta
valor y ahora, en la última parte, vamos a ver qué podemos demostrar. Las cuatro
partes, en el fondo, preguntaron lo mismo desde cuatro ángulos: ¿de qué evidencia
disponemos?

Las leyes de IA van a llegar a ritmos distintos y con textos distintos. La organización
que ya puede inventariar, clasificar, explicar y reportar, no tiene que esperarlas,
estará lista para la primera que llegue. No se trata de adivinar qué va a ser la
próxima ley, sino de poder demostrar lo que ya hacemos con la IA.

¿Te atreves a pedir esta semana una sola cosa: la lista de decisiones automatizadas
que hoy afectan a clientes o empleados, país por país? Si cuesta montarla, ya sabemos
por dónde empezar.

_Y como sin buenos datos no hay IA que se pueda auditar, lo que viene es una nueva
serie sobre gobernanza de datos: por dónde empezar y cómo auditarla._ _Síganos para
las siguientes publicaciones y/o novedades de [Auditoría Inteligente AICS](https://auditoriainteligente.com)._