La discusión pública sobre el avance de la inteligencia artificial suele centrarse en los algoritmos, sus capacidades de automatización y los posibles escenarios de cara al futuro, pero deja de lado un aspecto igual de relevante: la regulación y protección de los datos que la IA utiliza para funcionar. Proteger esos datos no es un detalle técnico menor: de su calidad, seguridad y buen resguardo depende que los sistemas de inteligencia artificial sean confiables, justos y respetuosos de los derechos de las personas, las empresas y las instituciones, entre otras muchas cosas.

Aunque suelen confundirse, regular la IA y proteger los datos personales no es la misma tarea. La primera apunta a los usos, las decisiones y los algoritmos de la tecnología; la segunda, a la información que la alimenta y la hace posible. En ese contexto, Martín Colombo y Bárbara Peñaloza coincidieron, en diálogo con Unidiversidad, en que cualquier regulación será insuficiente si antes no se fortalece el régimen de protección de datos.

Colombo, director senior regional de Veeam, insiste en que no podemos hablar seriamente de inteligencia artificial sin hablar primero de los datos que la hacen posible. El directivo explicó que cuando esos datos están mal protegidos, incompletos, expuestos o no pueden recuperarse después de un incidente, el riesgo no solo permanece: se amplifica.

Según indicó el empresario, el último Informe de Tendencias de Protección de Datos de Veeam —una plataforma de copias de seguridad, recuperación de datos y ciberresiliencia para proteger la información de empresas en entornos virtuales, físicos y en la nube— reveló que la adopción de IA avanza más rápido que la capacidad de muchas organizaciones para proteger esa información.

Peñaloza, abogada y especialista en derecho informático, coincidió en el diagnóstico y afirmó que se está construyendo la regulación de IA sobre una base de protección de datos desactualizada, ya que la Ley 25.326 —norma de Protección de Datos Personales y el Hábeas Data— cumple 25 años sin reforma integral, mientras avanzan varios proyectos de IA en paralelo.

Especialistas coincidieron en que Argentina no podrá regular la IA sin blindar antes sus datos personales. Foto: Magnific.

Los datos personales: el activo más valioso y el más vulnerable

Comprender la gravedad de las vulnerabilidades informáticas exige reconsiderar qué representa un dato en el ecosistema digital. Colombo explicó que los datos personales deben protegerse “desde todo su ciclo de vida”, y que no alcanza con pedir consentimiento: también hay que aplicar minimización de datos, cifrado y capacidad de recuperación ante incidentes.

Peñaloza definió a los datos personales como la materia prima de cualquier sistema de IA, el activo más valioso y el punto más vulnerable de toda la cadena, y enfatizó sobre el llamado “derecho a la explicación” frente a decisiones automatizadas.

Además, el empresario declaró que el costo de no proteger los datos puede ser enorme, tanto para una empresa privada como para un organismo público, y afirmó que proteger los datos no debe verse como un gasto, sino como una inversión en resiliencia. Peñaloza coincidió en que la falta de protección tiene un costo económico, jurídico y reputacional enorme, y advirtió que en el sector público las consecuencias pueden ser aún más graves, porque cada filtración suele involucrar datos sensibles de millones de personas.

Para la abogada, la conclusión es clara: “La inteligencia artificial no puede ser más confiable que los datos sobre los cuales fue construida, por lo que fortalecer el régimen jurídico que protege esos datos es la verdadera infraestructura legal sobre la que debería edificarse cualquier política pública en materia de IA”.

Los datos personales son la base de cualquier sistema de IA, y también su punto más vulnerable. Foto: Magnific.

Una ley de IA que no puede sostenerse sin proteger los datos

Ambos especialistras señalaron que Argentina necesita una ley de IA específica no para frenar la innovación, sino para darle un marco de confianza, ya que la tecnología ya impacta en sectores críticos como finanzas, salud, educación y gobierno, para lo cual hace falta una regulación específica, moderna y flexible, basada en el nivel de riesgo.

Peñaloza explicó que hoy el uso de sistemas de inteligencia artificial en el país opera solo bajo los principios generales de la Constitución Nacional y la Ley de Protección de Datos Personales, pero remarcó que no hay una norma que defina responsabilidades, niveles de riesgo ni autoridad de control para la IA como tal. Según la abogada, ese vacío ya tiene consecuencias concretas: afecta derechos como el acceso al crédito, la salud y el empleo.

En efecto, ambos especialistas coincidieron en que la ley no debería regular la tecnología en sí, sino sus usos según el nivel de riesgo. Colombo expresó que deberían aplicarse reglas más estrictas cuando la IA pueda afectar derechos, datos sensibles, decisiones financieras, empleo, salud, educación, seguridad o servicios públicos, mientras que la abogada enfatizó que el modelo más adecuado es una regulación basada en principios, con evaluación de impacto y auditorías independientes, y que esta debería otorgar protección reforzada cuando estén involucrados niños, niñas y adolescentes.

Argentina carece de una norma que fije riesgos y responsabilidades en materia de IA. Foto: Magnific.

Una responsabilidad compartida entre el Estado y las empresas

Sobre quién debería controlar y hacer cumplir la nueva ley, Colombo planteó que Argentina necesitaría una autoridad con capacidad técnica, pero trabajando junto con los reguladores sectoriales, mientras que Peñaloza puso el foco en fortalecer lo existente y consideró que la protección de datos necesariamente debe ser una responsabilidad compartida entre el sector público y el privado.

En este marco, el director regional de Veeam afirmó: “Ningún sector puede abordarlos de forma aislada, ya que el sector público administra información sensible, tiene la obligación de establecer reglas claras, supervisar su cumplimiento y sancionar cuando corresponda, mientras que las empresas privadas desarrollan gran parte de las soluciones tecnológicas para protegerla”.

Para la abogada, el verdadero desafío no es crear más organismos, sino dotar de independencia, recursos técnicos y capacidad sancionatoria a quienes ya tienen la responsabilidad de proteger los datos de las personas.

Controlar la IA exige una tarea conjunta entre el Estado y las empresas privadas. Foto: Magnific.

Los riesgos de no regular y los de regular de más

Para Colombo, si no se regula la IA, el principal riesgo es que su adopción avance más rápido que la capacidad de controlar sus impactos. Esto llevaría a más exposición de datos personales, decisiones automatizadas sin transparencia, sesgos difíciles de auditar y pérdida de confianza en la tecnología.

Peñaloza agregó que sin regulación aumentan los riesgos de “discriminación algorítmica”, decisiones opacas, utilización abusiva de datos personales, vigilancia masiva y afectación de derechos fundamentales.

Sin embargo, ambos advirtieron sobre el riesgo opuesto. Colombo mencionó que una regulación excesivamente rígida podría frenar la innovación y esto podría ser muy negativo para el país. Por su parte, Peñaloza indicó que una norma excesivamente rígida puede quedar obsoleta rápidamente y convertirse en un obstáculo para la innovación, especialmente para universidades, pymes y startups. El equilibrio, coincidieron, pasa por una regulación basada en el riesgo, con principios claros y obligaciones proporcionales.

El desafío: ni una ley débil que exponga datos, ni una rígida que frene la innovación. Foto: Magnific.

Qué hacen Europa y Latinoamérica, y qué debería hacer Argentina

En el plano global, los modelos regulatorios muestran avances marcados con distintas velocidades y abordajes. Para el empresario tecnológico, el enfoque europeo es el más estructurado hasta el momento, aunque aclaró que no es necesariamente un modelo para copiar de forma automática. Sobre la región, señaló que el escenario está más fragmentado, con países como Brasil, Chile, Perú o Colombia, que ya avanzaron con leyes o políticas nacionales, sin un marco regional común.

Peñaloza aportó precisiones normativas: el AI Act europeo (ley de inteligencia artificial), vigente desde 2024 y en implementación escalonada durante 2025 y 2026, crea una Oficina Europea de IA y prevé multas de hasta el 7 % de la facturación global, sobre la base del Reglamento General de Protección de Datos vigente desde 2018. Por otro lado, en la región, Brasil aprobó su marco legal (PL 2338/2023), Chile discute un proyecto con once principios éticos y Perú ya reglamentó su ley de promoción del uso de IA en 2025. Sobre la Argentina, analizó que el país, pese a liderar en cantidad de proyectos presentados, todavía no sancionó ninguno.

Al analizar este rezago legislativo local, Colombo hizo un llamado a construir una hoja de ruta con sello propio. “Argentina debería tomar lo mejor de esas experiencias, pero adaptarlas a su realidad. Necesita una regulación flexible, basada en riesgos, que no frene la innovación, pero que dé reglas claras sobre transparencia, responsabilidad, protección de datos, ciberseguridad y auditoría”, concluyó.