Buena parte de la inteligencia artificial que hoy utilizan las empresas no se desarrolla dentro de ellas: se contrata, se integra o se consume a través de proveedores. La primera reforma a la norma ecuatoriana que regula el uso de datos personales en sistemas de IA parte de esa realidad y pone la lupa sobre el papel que cada proveedor cumple en la práctica.
Pensemos en un chatbot que atiende a los clientes de una empresa. Detrás de él pueden intervenir el desarrollador del software, el proveedor del modelo de IA, el proveedor de nube, un integrador que conecta los sistemas y otras capas de infraestructura. Todos participan, de alguna manera, en el tratamiento de datos personales.
Cuando algo falla, o cuando la autoridad pregunta, surge una duda concreta: ¿quién tiene realmente poder sobre esos datos?
Esa es la cuestión de fondo que aborda la Resolución N.º SPDP-SPD-2026-0037-R de la Superintendencia de Protección de Datos Personales (SPDP), publicada en el Registro Oficial N.º 373 el 21 de septiembre de 2026.
Se trata de la primera reforma a la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (Resolución N.º SPDP-SPD-2026-0009-R), vigente desde marzo de 2026. Esa norma aplica los principios y obligaciones de la Ley Orgánica de Protección de Datos Personales (LOPDP) a los sistemas de IA que tratan datos personales de titulares ecuatorianos, incluso cuando el sistema o su proveedor están fuera del país, dentro de los supuestos territoriales previstos en la ley.
Responsable y encargado: una frontera que la IA vuelve difusa
La reforma ajusta, sobre todo, las obligaciones de los encargados del tratamiento.
En términos sencillos, el responsable es quien decide para qué y cómo se usan los datos; el encargado los trata por cuenta del responsable.
En los ecosistemas de IA, sin embargo, esa separación puede volverse difusa, porque una misma solución combina actores con niveles de intervención muy distintos sobre la información.
Tres conceptos para medir el poder real sobre los datos
Para aportar mayor precisión, la reforma introduce tres conceptos: acceso, visibilidad y control efectivo.
Acceso: ¿puedes interactuar con los datos?
La pregunta ya no es solo si alguien “descarga” una base de datos. El acceso puede ser directo o indirecto y adoptar distintas formas de interacción con la información.
Visibilidad: ¿puedes conocer o inferir algo sobre ellos?
Un proveedor puede no tener acceso completo al contenido original y, aun así, contar con información suficiente para observar ciertas características, flujos o resultados del tratamiento.
Control efectivo: ¿puedes influir en lo que ocurre?
Aquí la mirada se amplía todavía más. La reforma considera la capacidad real de intervenir o influir en los datos, en las operaciones de tratamiento o en el propio sistema, ya sea por vías técnicas, contractuales u organizacionales.
La distinción es relevante porque traslada la discusión del papel que asigna el contrato a la realidad operativa.
La pregunta deja de ser solo:
¿Qué dice el contrato que hacemos?
Y pasa a ser:
¿Qué capacidad tenemos realmente sobre esos datos?
Ser “solo el proveedor” ya no es explicación suficiente
Este es uno de los aspectos más interesantes de la reforma.
Los encargados que desarrollen, provean o mantengan determinados sistemas deberán entregar al responsable información suficiente sobre su funcionamiento general, sus limitaciones relevantes, sus riesgos previsibles y sus medidas de control, sin que ello implique necesariamente revelar secretos comerciales o propiedad intelectual.
La consecuencia práctica es clara: para gestionar bien un sistema de IA, una organización necesita información de sus proveedores. No es posible gestionar adecuadamente los riesgos de una tecnología de la que casi no se sabe nada.
Así, la relación entre la empresa y su proveedor tecnológico deja de ser únicamente una compra de software.
Se convierte también en una relación de gobernanza.
¿Y si el proveedor afirma que no tiene acceso a los datos?
Tendrá que poder demostrarlo.
La reforma establece que el encargado que sostenga no tener acceso, visibilidad ni control efectivo deberá conservar evidencia suficiente para acreditarlo cuando la SPDP lo requiera.
Este cambio, aparentemente menor, encierra una idea poderosa: en protección de datos, la ausencia de control también necesita evidencia.
Afirmaciones como “nosotros no vemos esos datos” o “el modelo no conserva información” dejan de ser suficientes por sí solas. No basta con suponer que una arquitectura impide el acceso a la información. Hay que poder probarlo.
Una evaluación de impacto más proporcional
Otro ajuste importante afecta a la gestión de riesgos.
La versión original de la norma exigía, de forma conjunta, la gestión de riesgos y la evaluación de impacto antes del desarrollo del sistema. La reforma mantiene la obligación de gestionar los riesgos, pero precisa que la evaluación de impacto debe realizarse cuando corresponda, conforme al marco aplicable.
Con ello se refuerza una lógica presente en otras normas recientes de la SPDP: no todos los tratamientos implican el mismo riesgo, por lo que la gobernanza debe ajustarse a la realidad de cada sistema.
¿Qué deberían revisar ahora las organizaciones que utilizan IA?
Antes de redactar una nueva política, yo empezaría por trazar un mapa real del ecosistema de IA de la organización:
- qué herramientas de inteligencia artificial se usan y en qué procesos;
- cuáles reciben datos personales y qué categorías de información tratan;
- quién actúa como responsable y quién como encargado;
- qué proveedores tienen acceso, visibilidad o control efectivo;
- qué decisiones o resultados genera cada sistema;
- qué riesgos existen para los titulares;
- qué información contractual y técnica entrega cada proveedor;
- qué tratamientos deben documentarse en el Registro de Actividades de Tratamiento y qué evaluaciones corresponden;
- qué controles, auditorías y evidencias existen;
- y qué ocurre con los datos cuando dejan de ser necesarios.
No se trata solo de un inventario tecnológico.
Es un mapa de responsabilidades.
La verdadera pregunta no es si usar IA
La inteligencia artificial seguirá incorporándose a los procesos empresariales, probablemente cada vez más rápido.
Por eso, la conversación verdaderamente estratégica no consiste en elegir entre innovar o proteger los datos, sino en aprender a diseñar sistemas donde ambas cosas ocurran al mismo tiempo.
Una organización que sabe qué información utiliza, entiende cómo circula, identifica quién ejerce control sobre ella y conserva evidencia de sus decisiones no solo está mejor preparada para cumplir la regulación. También lo está para adoptar nuevas tecnologías sin perder el control de su propia infraestructura de datos.
Quizá ese sea el cambio más importante detrás de la nueva regulación: la gobernanza de la inteligencia artificial comienza mucho antes del algoritmo.
Empieza con los datos que decidimos confiarle.
Este artículo tiene fines informativos y no constituye asesoría legal.