La Red Iberoamericana de Protección de Datos (RIPD), que reúne a las autoridades de protección de datos de la región, aprobó por unanimidad unos estándares sobre el uso de datos personales en sistemas de inteligencia artificial (IA), informó el jueves 12 de noviembre de 2026 la Agencia Española de Protección de Datos (AEPD), que ejerce la secretaría permanente de la red. Uruguay integra la RIPD como miembro a través de la Unidad Reguladora y de Control de Datos Personales (URCDP).
Los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial no son obligatorios. El documento se define como de «naturaleza orientadora», complementario de las leyes de cada país, y se dirige también a las empresas que tratan datos personales y a los proveedores de IA.
Para una empresa que usa IA con datos de clientes, empleados o proveedores, marca varios criterios. Quien decide para qué y cómo se usan los datos es responsable del tratamiento «aunque no entrene ni controle técnicamente el modelo», también cuando usa la herramienta de un tercero. Si el proveedor quiere usar los datos de su cliente para entrenar o mejorar sus propios modelos, los estándares lo consideran una finalidad distinta, que necesita una habilitación expresa y una base jurídica. Que los datos estén disponibles en internet tampoco alcanza, por sí solo, para usarlos en el entrenamiento.
Ante las personas, pide explicar cómo funciona el sistema y qué factores pesan en el resultado: «La mera indicación de que se emplea inteligencia artificial o algoritmos no satisface el deber de informar». Para las decisiones automatizadas, aclara que no cuenta como intervención humana la de alguien que se limita a «formalizar o refrendar» lo que resolvió el sistema. Y recomienda una evaluación de impacto antes de poner en marcha un sistema con riesgo elevado.
Lo que ya exige la ley uruguaya
Varias de esas pautas ya tienen correlato en normas vigentes. El artículo 16 de la Ley 18.331, de protección de datos personales, establece que las personas tienen derecho a no verse sometidas a una decisión con efectos jurídicos que las afecte de manera significativa y que se base en un tratamiento automatizado destinado a evaluar aspectos como su rendimiento laboral, su crédito o su conducta. El afectado puede impugnarla y pedir los criterios de valoración y el programa utilizado, que el artículo 13 obliga a informar desde antes del tratamiento.
La Ley 19.670, de 2018, sumó la responsabilidad proactiva: privacidad desde el diseño, privacidad por defecto y evaluación de impacto. El Decreto 64/020 hace obligatoria esa evaluación, antes del tratamiento, cuando se evalúan aspectos personales para crear o usar perfiles, por ejemplo sobre rendimiento en el trabajo, situación económica o solvencia, y cuando se tratan datos de más de 35.000 personas. En ese último caso también hay que designar un delegado de protección de datos. Ante una vulneración de seguridad, el decreto da 72 horas para avisar a la URCDP.
En 2024, un informe de Agesic con recomendaciones para regular la IA sostuvo que la aplicación de esas disposiciones a los sistemas de IA que hacen perfiles de personas o se entrenan con grandes volúmenes de datos «resulta indiscutible». Es el caso de las herramientas que deciden sobre clientes, como las que McKinsey propone usar en la suscripción y los reclamos de las aseguradoras, según informó dnegocios sobre la inteligencia artificial en seguros.
Cuando una herramienta de IA envía datos a servidores en otro país, rige el artículo 23 de la Ley 18.331, que prohíbe transferirlos a países sin un nivel de protección adecuado, salvo excepciones como el consentimiento del titular o cláusulas contractuales que autorice la URCDP. La lista de destinos adecuados incluye a la Unión Europea y, desde 2023, a las empresas estadounidenses adheridas al Marco de Privacidad de Datos.
Uruguay no tiene una ley específica sobre IA. La Ley 20.212, de 2023, encargó a Agesic una estrategia nacional de datos e IA, que se aprobó en noviembre de 2024 para el período 2024-2030, y en marzo de 2026 Bruno Gili, de Uruguay Innova, dijo a Búsqueda que no había en la agenda un proyecto de ley. La Comisión Europea, que reconoce desde 2012 el nivel de protección de datos de Uruguay, lo confirmó en su revisión de enero de 2024.
