{"id":4878,"date":"2026-10-31T10:00:26","date_gmt":"2026-10-31T15:00:26","guid":{"rendered":"https:\/\/logtecgroup.com.co\/conocimiento\/?p=4878"},"modified":"2026-10-30T15:51:56","modified_gmt":"2026-10-30T20:51:56","slug":"regulacion-de-ia-y-tratamientos-a-gran-escala-en-ecuador-auditoria-algoritmica-y-nuevo-rol-del-dpd","status":"publish","type":"post","link":"https:\/\/logtecgroup.com.co\/conocimiento\/data-protected\/proteccion-datos-ecuador\/regulacion-de-ia-y-tratamientos-a-gran-escala-en-ecuador-auditoria-algoritmica-y-nuevo-rol-del-dpd\/","title":{"rendered":"Regulaci\u00f3n de IA y tratamientos a gran escala en Ecuador: auditor\u00eda algor\u00edtmica y nuevo rol del DPD"},"content":{"rendered":"

A las nueve de la ma\u00f1ana de un martes ordinario, la pantalla del director de tecnolog\u00eda de una de las mayores plataformas de comercio electr\u00f3nico y servicios crediticios de Ecuador qued\u00f3 congelada ante una notificaci\u00f3n digital de la Superintendencia de Protecci\u00f3n de Datos Personales (SPDP). No se trataba de un requerimiento informativo de rutina. El oficio ordenaba la suspensi\u00f3n cautelar inmediata de su motor algor\u00edtmico de puntuaci\u00f3n crediticia y perfilamiento comercial, junto con la apertura de un proceso sancionatorio formal. En un instante, el mecanismo automatizado que procesaba m\u00e1s de quince mil solicitudes diarias y originaba el setenta por ciento de las ventas a cr\u00e9dito qued\u00f3 inhabilitado. El motivo no fue una filtraci\u00f3n maliciosa de contrase\u00f1as ni un ciberataque externo, sino una omisi\u00f3n interna cr\u00edtica: la empresa operaba modelos de aprendizaje autom\u00e1tico sobre cientos de miles de usuarios sin registro formal del algoritmo, sin evaluaci\u00f3n de impacto y sin haber designado un Delegado de Protecci\u00f3n de Datos (DPD), asumiendo err\u00f3neamente que la optimizaci\u00f3n comercial con inteligencia artificial estaba al margen del rigor regulatorio.<\/span><\/p>\n

La crisis desnud\u00f3 una complacencia corporativa generalizada en el mercado ecuatoriano. Durante los primeros compases de la transformaci\u00f3n digital, diversas juntas directivas y comit\u00e9s de innovaci\u00f3n adoptaron herramientas de inteligencia artificial generativa y predictiva bajo la premisa de que la eficiencia operativa justificaba la opacidad t\u00e9cnica de las llamadas \u00abcajas negras\u00bb. Sin embargo, el despliegue de las resoluciones vinculantes emitidas por la SPDP \u2014encabezadas por la Resoluci\u00f3n SPDP-SPD-2026-0009-R para el uso de inteligencia artificial y la Resoluci\u00f3n SPDP-SPD-2026-0005-R para tratamientos a gran escala\u2014 transform\u00f3 radicalmente las reglas del juego. En el marco de la Ley Org\u00e1nica de Protecci\u00f3n de Datos Personales (LOPDP), el tratamiento automatizado de informaci\u00f3n biom\u00e9trica, transaccional o de comportamiento individualizado ha dejado de ser un terreno de libre experimentaci\u00f3n para convertirse en una actividad de alto riesgo bajo vigilancia estatal estricta.<\/span><\/p>\n

La agitaci\u00f3n operativa de este escenario trasciende el pago de multas pecuniarias. Cuando la SPDP interviene una infraestructura algor\u00edtmica no registrada, el impacto patrimonial es fulminante: la par\u00e1lisis forzosa del motor de conversi\u00f3n comercial genera p\u00e9rdidas de liquidez inmediatas, mientras que las investigaciones administrativas exponen a la alta gerencia a sanciones por negligencia en la debida diligencia de gobernanza digital. A esto se suma el riesgo de da\u00f1o reputacional irreversible. Si un algoritmo de asignaci\u00f3n de cupos o contrataci\u00f3n deniega derechos de manera opaca o incurre en sesgos discriminatorios sistem\u00e1ticos, la entidad no solo incumple la LOPDP, sino que vulnera el derecho constitucional del titular a no ser objeto de decisiones basadas \u00fanicamente en tratamientos automatizados sin el respaldo de una explicaci\u00f3n comprensible y la posibilidad de intervenci\u00f3n humana calificada.<\/span><\/p>\n

Paralelamente, la omisi\u00f3n en el nombramiento del DPD constituye un detonante regulatorio insostenible. La normativa ecuatoriana ha delimitado con precisi\u00f3n t\u00e9cnica el umbral del tratamiento a gran escala, atendiendo no solo al volumen nominal de datos, sino a la concurrencia de un control permanente y sistematizado sobre las conductas de los usuarios. Aquellas organizaciones del sector bancario, asegurador, retail masivo, telecomunicaciones o salud que superan estos par\u00e1metros t\u00e9cnicos y contin\u00faan operando sin un Delegado de Protecci\u00f3n de Datos formalmente acreditado ante la autoridad, incurren en una infracci\u00f3n grave y flagrante. El DPD ya no puede concebirse como un cargo honorario o una designaci\u00f3n protocolaria asignada al departamento legal sin recursos ni autonom\u00eda; representa una figura con facultades expresas de control, independencia t\u00e9cnica y canal de articulaci\u00f3n directa con el ente de control.<\/span><\/p>\n

Para conjurar este escenario de vulnerabilidad patrimonial, las organizaciones deben abandonar la improvisaci\u00f3n e implementar un modelo de adecuaci\u00f3n t\u00e9cnica articulado en tres ejes sustantivos:<\/span><\/p>\n