LGPD, habeas data y LOPDP: el grounding de IA ante tres marcos
El pipeline de grounding de IA frente a la LGPD, la Circular 002 de la SIC y la norma de IA de la SPDP de Ecuador: qué pregunta cada marco.
Un agente de atención abre el caso de un cliente residencial con paneles en el techo y pregunta por qué su última factura no descontó la energía que inyectó. Para responder, el asistente recupera la curva de consumo, las cláusulas del contrato de generación distribuida y el historial de lecturas. Una capa previa oculta lo que no debe salir, el modelo redacta y la respuesta vuelve a la pantalla del agente. Son cinco tramos para una sola consulta.
El recorrido es idéntico si el titular es brasileño, colombiano o ecuatoriano. Lo que cambia es la pregunta que cada marco le hace a cada tramo. Por eso este análisis no se ordena por país sino por tramo del pipeline de grounding, y en cada uno contrasta la LGPD brasileña, la Circular Externa 002 de 2024 de la SIC colombiana y la norma de IA de la SPDP ecuatoriana. El objetivo no es dictaminar cumplimiento, sino que el equipo de TI sepa qué evidencia preparar en cada punto del flujo.
Los cinco tramos, uno al lado del otro
Puestos en paralelo, los tres marcos cargan el peso en lugares distintos:
Las secciones siguientes recorren el mapa fila por fila.
Entrada y salida: el tratamiento empieza antes del modelo y termina después
La lectura brasileña es la que más estira los bordes del recorrido. Según el análisis que IAPP publicó sobre la Nota Técnica N.º 1/2026 de la ANPD, la LGPD alcanza las etapas del servicio y no solo el entrenamiento del modelo (IAPP, 2026). Para el agente de nuestro caso, eso significa que su pregunta y la respuesta que recibe pesan tanto como la inferencia.
Sobre esos dos bordes recae la transparencia. La LGPD exige informaciones claras y accesibles sobre el tratamiento y sobre quién lo ejecuta (Lei 13.709, art. 6, 2018). La norma ecuatoriana pide informar al titular con claridad sobre el tratamiento automatizado (Lexis, 2026). La Circular colombiana lo aborda como idoneidad: que el uso sea adecuado al fin legítimo que lo justifica (Cuatrecasas, 2024).
En la práctica, la evidencia de este tramo es un registro de qué consulta entró, con qué identidad y qué respuesta salió.
Recuperación de contexto: justificar cada campo, no el sistema
Es el tramo donde más pesa el criterio colombiano. La Circular exige que el tratamiento de datos personales en sistemas de IA se apoye en idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto (Cuatrecasas, 2024). Eso cambia la unidad de análisis: lo que se justifica no es el asistente en abstracto, sino cada campo que el recuperador trae a la consulta.
Brasil llega a la misma granularidad por otra vía. Si la autoridad ordena un relatório de impacto, este debe describir como mínimo los tipos de datos tratados, la metodología de seguridad y las salvaguardas de mitigación adoptadas (Lei 13.709, art. 38, 2018). Ecuador, por su parte, exige que esos tratamientos figuren en el Registro de Actividades de Tratamiento (Lexis, 2026). Por caminos distintos, los tres marcos terminan pidiendo el mismo insumo técnico.
Tratamiento previo: enmascarar no siempre saca el dato del marco
En la pieza anterior de esta serie vimos qué se enmascara antes de que el dato toque un modelo externo. Aquí la pregunta es qué efecto legal tiene ese enmascaramiento, y la respuesta varía según la jurisdicción.
En Brasil, la línea la traza la reversibilidad (Lei 13.709, art. 12, 2018). La prueba relevante no es que el campo esté oculto, sino que la propia utility no pueda volver a asociarlo al cliente. Colombia orienta hacia técnicas como la privacidad diferencial para proteger la identidad de los titulares en el análisis de datos (Cuatrecasas, 2024).
Ecuador es el más explícito: su reforma no deja que la forma de tratamiento del dato decida por sí sola si hay acceso (NMS, 2026). Según su texto, esa reforma rige desde su publicación en el Registro Oficial. Para quien diseña este tramo, enmascarar es una medida para reducir exposición, no un argumento para declarar que el proveedor no tiene acceso.
Modelo y proveedor: quién ve qué, y cómo se prueba
Para este tramo, la norma ecuatoriana ofrece el vocabulario más útil a un arquitecto. La Resolución SPDP-SPD-2026-0009-R, suscrita en febrero de 2026, define las figuras de desarrollador, desplegador, distribuidor e implementador como responsables o encargados del tratamiento (Lexis, 2026). Además, se aplica con independencia de dónde esté el sistema o el proveedor (Lexis, 2026).
La reforma posterior afinó las obligaciones del encargado en los términos que resume el recuadro (NMS, 2026). De ahí sale el ejercicio práctico para la utility: mapear, fase por fase, qué puede ver, inferir o condicionar el operador del modelo, y qué información y evidencia debe quedar documentada.
Colombia llega al mismo punto desde la responsabilidad demostrada, que obliga a responsables y encargados a demostrar el cumplimiento efectivo de las normas de protección de datos (Cuatrecasas, 2024). Brasil llega desde la transparencia sobre los agentes de tratamiento (Lei 13.709, art. 6, 2018). En los tres casos, la respuesta tiene que estar por escrito.
Decisión sobre el cliente: cuando la respuesta deja de ser informativa
El último tramo importa cuando la salida del asistente alimenta algo que afecta al cliente, como un ajuste de facturación o una gestión de cobro. Ahí se activan las exigencias que resume el recuadro: la revisión de decisiones automatizadas en Brasil (Lei 13.709, art. 20, 2018), el estudio de impacto previo en Colombia (Cuatrecasas, 2024) y, en Ecuador, la evaluación de impacto y la auditoría según el nivel de riesgo (Lexis, 2026), con el ajuste que introdujo la reforma (NMS, 2026).
Si la consulta sobre la factura con inyección cae o no en la categoría de alto riesgo es una calificación del asesor legal de cada utility. Lo que aporta el equipo técnico es un dato previo y verificable: si la respuesta del asistente se usa para decidir o solo para informar.
Un piso común, tres énfasis
Recorrido el flujo, el denominador común aparece al final y no al principio. En Brasil, las herramientas de IA pueden evaluarse con el marco jurídico vigente, y cuando el sistema trata datos personales se aplican los principios y obligaciones de la LGPD (IAPP sobre la Nota Técnica N.º 1/2026 de la ANPD, 2026). En Colombia, la SIC reiteró que las leyes de habeas data rigen sin importar el medio con que se trate la información (Cuatrecasas, 2024). Ecuador fue un paso más allá y lo plasmó en una norma específica.
Para una utility, la consecuencia es concreta: la curva de consumo de un cliente residencial o los términos de su contrato de generación distribuida no dejan de ser datos personales por viajar dentro de un prompt. Lo que varía es el tramo en que cada marco pide la prueba.
Lo que este mapa no hace
Este ejercicio no certifica que un despliegue cumpla. Ordena la evidencia técnica por tramo para que quien sí dictamina, sea el área jurídica o el oficial de protección de datos de cada país, pueda hacerlo con hechos y no con supuestos. En AGT acompañamos ese trabajo desde el lado de la arquitectura: identificamos qué objetos del core comercial alimentan el grounding y qué controles existen en cada tramo.
En la próxima y última pieza de la serie veremos cómo convertir este mapa en documentación del pipeline de grounding que sirva como evidencia de gobierno ante una auditoría.
Fuentes
- IAPP, «IA generativa y protección de datos en Brasil: posicionamiento de la ANPD en la Nota Técnica N.º 1/2026», 2026. https://iapp.org/news/a/ia-generativa-y-protecci-n-de-datos-en-brasil-posicionamiento-de-la-anpd-en-la-nota-t-cnica-n-1-2026
- Presidência da República do Brasil, Lei n.º 13.709 (LGPD), 2018, texto compilado. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- Cuatrecasas, «Guía para el uso responsable de IA y datos personales en Colombia», 2024. https://www.cuatrecasas.com/es/spain/tecnologia-medios-digitales/art/guia-uso-responsable-ia-datos-personales-colombia
- Lexis Ecuador, «Superintendencia de Protección de Datos Personales expide norma general para la protección de datos personales en el uso de inteligencia artificial», 2026. https://www.lexis.com.ec/noticias/superintendencia-de-proteccion-de-datos-personales-expide-norma-general-para-la-proteccion-de-datos-personales-en-el-uso-de-inteligencia-artificial
- NMS, «La SPDP reforma la norma general sobre inteligencia artificial y delimita las obligaciones de los encargados», 2026. https://nmslaw.com.ec/blog/2026/09/14/ecuador-spdp-reforma-norma-inteligencia-artificial-obligaciones/
Artículo de Edward Camacho Guerra, elaborado con apoyo de herramientas de inteligencia artificial y revisado y aprobado por el autor.
¿Este análisis mapea un mercado donde ya operas o estás evaluando entrar?
Revisamos tu caso específico, mapeamos los riesgos que aplican, y te decimos honestamente si es oportunidad para ti —sin pitch comercial, solo discusión técnica y estratégica.
