Argentina sancionó su ley de Hábeas Data en el año 2000, cuando proteger la privacidad significaba resguardar un archivo. Ahora, la Inteligencia Artificial (IA), no guarda archivos: construye patrones, predice conductas y aprende de datos que muchas veces fueron subidos a internet mucho antes de que esta tecnología existiera. El desfasaje entre la norma y la máquina ya no es una hipótesis académica: es el problema regulatorio central de la década.
Cuando la Argentina sancionó la Ley 25.326 en el año 2000, el país se ubicó entre los más avanzados de la región en materia de protección de datos personales. La norma nació para un mundo de fichas, bases y archivos: un universo donde el dato era estático y su recorrido, más o menos previsible.
Nunca llegó a aplicarse en toda su dimensión, la falta de supervisión activa del organismo de control fue erosionando su eficacia con los años, y hoy, con la inteligencia artificial (IA), procesando información a una escala y velocidad impensadas hace un cuarto de siglo, esa distancia entre la letra de la ley y la realidad tecnológica se volvió abismal.
No es un problema exclusivamente argentino. De Bogotá a Bruselas, de Londres a Brasilia, gobiernos, empresas y organismos de control enfrentan la misma pregunta de fondo: ¿puede una norma pensada para “archivos” regular sistemas que aprenden, infieren y toman decisiones sobre las personas sin que un humano intervenga?
El consentimiento, de check-box a caja de Pandora
El corazón de cualquier sistema de protección de datos es el consentimiento: la idea de que una persona controla qué se hace con su información porque autorizó, de manera libre e informada, un uso específico.
El artículo 5 de la ley argentina lo exige en términos claros. El problema es que la IA generativa quiebra esa lógica en al menos dos frentes.
El primero es la imposibilidad práctica de informar con precisión. Ninguna empresa, ni siquiera los propios desarrolladores de un modelo, puede anticipar con exactitud cómo se conectará un dato personal con los demás miles de millones de parámetros de una red neuronal.
El segundo es lo que podría llamarse la retroactividad del entrenamiento: millones de personas subieron fotos, textos y datos a internet mucho antes de que existiera la IA generativa. La pregunta que hoy divide a juristas es si ese consentimiento original, dado, por ejemplo, para “compartir una foto” en una red social en 2010, alcanza para justificar el uso de esa misma imagen en el entrenamiento de un modelo en 2026. La doctrina dominante responde que no.
A esto se suma el fenómeno de la “caja negra”: muchos sistemas de aprendizaje profundo llegan a un resultado sin que sea posible reconstruir, ni siquiera para sus propios creadores, el camino que los llevó hasta ahí. Especialistas en la materia coinciden en que el derecho a la información no exige “abrir” ese mecanismo interno, revelar cómo funciona técnicamente el algoritmo, pero sí garantizar que la persona sepa qué se hizo con sus datos, pueda oponerse a una decisión automatizada y exigir la intervención de un humano en el proceso.
Argentina: una ley del año 2000 frente a un problema del 2026
En Argentina, la Agencia de Acceso a la Información Pública (AAIP), intentó achicar esa brecha a través de resoluciones, como la 161/2023, que fijan pautas para el uso de IA tanto en el sector público como en el privado. Pero ese esfuerzo choca con dos límites concretos.
El primero es la soberanía de los datos. La mayor parte de los sistemas de inteligencia artificial que usan los argentinos, de OpenIA, Microsoft o Google, residen en servidores fuera del país.
La ley 25.326 contempla cláusulas sobre transferencia internacional de datos en su artículo 12, pero en la práctica, una vez que un dato cruza la frontera digital para entrenar un modelo, el Estado argentino pierde toda capacidad real de control sobre ese fragmento de información.
El segundo límite es la prueba. El artículo 15 de la ley habilita a cualquier persona a pedir la rectificación de un dato si considera que un sistema la perjudicó o discriminó, por ejemplo, en la asignación de un subsidio social basado en un modelo predictivo.
Religión
Título original: Inferno
Museo: Museu Nacional de Arte Antiga, Lisboa (Portugal)
Técnica: Óleo (119 x 217,5 cm)
Pero si el algoritmo es opaco, ¿cómo prueba el ciudadano que hubo sesgo? Es en ese punto donde la doctrina argentina empuja hacia la idea de “transparencia algorítmica” como una extensión directa del derecho de defensa.
La distancia entre lo que la ley imaginó y lo que la tecnología produce hoy se puede resumir en tres conceptos que cambiaron de naturaleza. Lo que en el año 2000 era un “dato personal”, información que identifica a alguien en una lista, hoy es un patrón de comportamiento capaz de predecir una conducta futura.
Lo que era una “finalidad” acotada, el dato se usa para X, hoy se diluye en finalidades prácticamente infinitas, porque cada dato sirve para mejorar el modelo en su conjunto. Y lo que en materia de seguridad significaba evitar que alguien robara un archivo, hoy significa evitar que la propia IA “filtre” información confidencial a través de un prompt bien diseñado.
Las sanciones, mientras tanto, siguen ancladas en multas administrativas de escaso valor disuasivo, mientras el verdadero riesgo para una empresa pasa por perder su estatus de “adecuación” ante la Unión Europea, condición que le permite intercambiar datos con el bloque europeo.
Desde 2023 existe en el Congreso un proyecto para reemplazar la 25.326 por una norma alineada al Reglamento General de Protección de Datos (RGPD), europeo. Incorporaría tres piezas que hoy faltan en el sistema argentino: evaluaciones de impacto obligatorias antes de lanzar cualquier sistema de IA que use datos de argentinos, privacidad “desde el diseño”, no como opción sino como requisito técnico de cualquier desarrollo, y responsabilidad proactiva, es decir, la obligación de demostrar activamente que se protegen los datos, y no simplemente evitar violar la ley.
Un tablero desparejo en el resto del mundo
La tensión entre innovación y privacidad no es pareja entre países, y esa asimetría es, en sí misma, parte del problema. Samer Atassi, vicepresidente para América Latina y el Caribe de la firma de verificación de identidad Jumio, lo describió con crudeza: “Veo países con regulaciones muy maduras y otros con marcos legales atrasados.
Hay sectores como el de apuestas en línea en Brasil, donde el control es estricto y se verifica identidad, origen de fondos y se solicita prueba de vida para evitar fraudes. En otras jurisdicciones, solo piden el documento, lo que resulta insuficiente dados los avances en IA y deepfakes”.
Atassi apunta a un problema de velocidad: “La regulación no se puede cambiar cada cinco años. En ese período, la tecnología evoluciona de forma radical. Se requieren adaptaciones anuales para responder a los desafíos emergentes”. Su diagnóstico coincide con el de Lorenzo Villegas, socio de la firma CMS Rodríguez-Azuero, que sigue de cerca el proceso regulatorio en Colombia, donde avanza un Proyecto de Ley Unificado de Inteligencia Artificial con foco en datos sensibles como la voz, la imagen y la biometría. Una circular de 2024 ya obliga a las organizaciones colombianas a hacer evaluaciones de impacto antes de implementar sistemas con IA y a recolectar consentimiento informado para datos sensibles.
El mapa internacional muestra movimientos en direcciones distintas pero con un mismo trasfondo de urgencia: en 2024 el Consejo de Europa abrió a la firma el primer tratado internacional vinculante sobre IA y derechos humanos; India discute ajustes normativos frente al fenómeno de los deepfakes; el Reino Unido propone nuevas reglas para tecnologías biométricas como el reconocimiento facial; y Brasil y Chile avanzan con actualizaciones legislativas sectoriales, particularmente en salud y finanzas.
La Unión Europea, con su Reglamento de IA basado en niveles de riesgo, y el RGPD como columna vertebral de la protección de datos, sigue siendo la referencia que buena parte del mundo, incluida la Argentina de su proyecto de reforma, intenta emular.
Cuando el algoritmo discrimina: el problema del sesgo en la Inteligencia Artificial
Detrás del debate normativo hay un riesgo concreto que ya tiene antecedentes documentados: el sesgo algorítmico. Un sistema de IA aprende de los datos con los que fue entrenado, y si esos datos arrastran los prejuicios humanos, de género, de raza, de clase, el algoritmo los reproduce y, muchas veces, los amplifica.
El caso más citado en la literatura especializada es el de un software de etiquetado de imágenes que clasificó erróneamente a una persona afroamericana por no haber sido entrenado con suficiente diversidad de rostros.
Otro caso testigo, el de un chatbot que en menos de 24 horas de interacción con usuarios de redes sociales terminó reproduciendo discursos de odio, mostró cuán rápido un sistema “neutral” puede reflejar lo peor de los datos con los que se lo alimenta.
El affaire Cambridge Analytica, la consultora que usó datos de decenas de millones de usuarios de Facebook, obtenidos a través de un test de apariencia inofensiva, para construir perfiles psicométricos con fines de manipulación electoral, sigue siendo el ejemplo de manual de lo que ocurre cuando se viola el principio de finalidad: los datos se recolectan para un uso declarado y terminan destinados a otro completamente distinto.
Ese episodio, que derivó en una multa de 5.000 millones de dólares de la Comisión Federal de Comercio de Estados Unidos a Facebook, es hoy la referencia obligada de cualquier discusión sobre los límites del Big Data y el aprendizaje automático frente al derecho a la privacidad.
La mirada de las empresas: de la obligación legal a la ventaja competitiva
Del otro lado del mostrador, las empresas que desarrollan o implementan soluciones de IA describen un escenario donde el cumplimiento normativo tradicional, basado en reglas fijas y procesos bien delimitados, dejó de alcanzar.
Los flujos de datos de un sistema de IA cambian constantemente, los modelos se reentrenan y aparecen nuevas fuentes de información todo el tiempo; ese dinamismo choca de frente con sistemas de gobierno de datos diseñados para un mundo estático, de controles manuales y repositorios fijos.
El sector identifica tres frentes de riesgo específicos: el uso masivo de datos personales y de comportamiento para entrenar modelos, la opacidad de los procesos de decisión automatizada, especialmente sensible en contratación laboral, otorgamiento de crédito o salud, y un consentimiento cada vez más frágil, porque los usuarios no pueden autorizar de manera informada usos que ni siquiera las propias empresas pueden anticipar con precisión.
Frente a ese diagnóstico, la respuesta que promueven las firmas especializadas en gobernanza de datos pasa por incorporar la privacidad desde el diseño mismo del sistema, y no como un parche posterior, apostar por la explicabilidad de los modelos para poder justificar sus decisiones ante usuarios y reguladores, minimizar la recolección de datos al mínimo indispensable y auditar de forma periódica los sesgos.
En el plano técnico, ganan terreno herramientas como la privacidad diferencial, que introduce ruido estadístico para impedir identificar a individuos sin perder la utilidad de los datos, el aprendizaje federado, que entrena modelos sin mover los datos de su ubicación original, y los datos sintéticos, que imitan patrones reales sin exponer información de personas reales.
El argumento de fondo que esgrime la industria ya no es puramente defensivo. La transparencia en el uso de datos e IA se plantea como un activo de marca capaz de fidelizar clientes, y el cumplimiento de estándares éticos, como una condición cada vez más exigida por socios comerciales y compradores corporativos a la hora de cerrar contratos.
En ese sentido, la privacidad dejó de ser vista únicamente como un costo de cumplimiento para convertirse, según el discurso empresarial dominante, en una ventaja competitiva.
Un problema sin resolver, en tiempo real
Ninguna de las piezas de este tablero, ni la ley argentina de hace 25 años, ni los proyectos de reforma en danza, ni las normativas más avanzadas de Europa o Colombia, ni las buenas prácticas que promueven las empresas, logra todavía una respuesta definitiva a la pregunta de fondo: cómo regular una tecnología cuyo funcionamiento cambia más rápido que cualquier proceso legislativo.
Mientras los parlamentos debaten, los modelos de IA siguen entrenándose con los datos que millones de personas dejaron circulando en internet, muchas veces sin saber, ni poder saber, qué uso tendrán en el futuro. Esa es, en definitiva, la tensión que define esta etapa: la de una tecnología que avanza en tiempo real contra una arquitectura legal que todavía piensa en años.
