Nueva regulación sobre el uso de inteligencia artificial y protección de datos personales en Ecuador

En este contexto, la Superintendencia de Protección de Datos Personales expidió la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, que desarrolla y complementa lo dispuesto en la Ley Orgánica de Protección de Datos Personales (LOPDP) y en su Reglamento General (RGLOPDP) sobre el tratamiento de datos personales. Esta regulación fue emitida mediante la Resolución N.º SPDP-SPD-2026-0009-R, de 12 de febrero de 2026.

La norma pone especial énfasis en las obligaciones de los responsables y encargados del tratamiento que desarrollen, entrenen, implementen, desplieguen y/o provean sistemas de inteligencia artificial que traten datos personales de titulares ecuatorianos.

La resolución introduce una regulación específica, aunque de alcance limitado, respecto del uso de sistemas de inteligencia artificial cuando estos intervienen en el tratamiento de datos personales.

Alcance de la nueva regulación

Aunque la LOPDP ya establecía la obligación general de proteger los datos personales independientemente de la tecnología utilizada, esta norma introduce criterios específicos para el uso de sistemas de inteligencia artificial, estableciendo disposiciones concretas de transparencia, gestión de riesgos y control del funcionamiento de estos sistemas.

Principales obligaciones establecidas por la norma

Transparencia en el uso de inteligencia artificial

Las organizaciones deberán informar al titular de los datos, de forma clara, específica y transparente, cuando sus datos personales sean tratados mediante sistemas de inteligencia artificial.

Esta información deberá incluir las finalidades del tratamiento y el hecho de que dicho tratamiento se realiza mediante procesos automatizados.

Evaluaciones de impacto y gestión de riesgos

Las organizaciones deberán realizar análisis de riesgos y evaluaciones de impacto respecto del tratamiento de datos personales mediante sistemas de inteligencia artificial.

El objetivo de estas evaluaciones es identificar y mitigar posibles riesgos para los derechos de los titulares antes de implementar estos sistemas.

Implementación de medidas de seguridad

La norma exige la adopción de medidas técnicas, administrativas, físicas, organizativas y jurídicas que garanticen la seguridad de los datos personales tratados mediante sistemas de inteligencia artificial.

Estas medidas deberán definirse considerando factores como el tipo de datos tratados, el volumen de información, el estado de la técnica y los riesgos asociados al tratamiento.

Registro de actividades de tratamiento con inteligencia artificial

Los tratamientos de datos personales realizados mediante sistemas de inteligencia artificial deberán incorporarse en el Registro de Actividades de Tratamiento (RAT).

Esto incluye las decisiones automatizadas que puedan producir efectos jurídicos o afectar los derechos y libertades de los titulares.

Auditoría y supervisión de sistemas de inteligencia artificial

La normativa establece la obligación de auditar periódicamente el funcionamiento de los sistemas de inteligencia artificial, especialmente cuando el tratamiento implique riesgos relevantes para los derechos de los titulares.

Estas auditorías permiten verificar el cumplimiento de la normativa y detectar posibles vulnerabilidades o sesgos en el sistema.

Protección de datos desde el diseño del sistema

Cuando se desarrollen o implementen sistemas de inteligencia artificial que traten datos personales, los responsables deberán evaluar los riesgos y adoptar medidas de protección desde las etapas iniciales de diseño y desarrollo.

Este enfoque responde al principio de protección de datos desde el diseño y por defecto.

Derechos de los titulares frente a decisiones automatizadas

La norma también refuerza la obligación de garantizar que los titulares puedan ejercer sus derechos frente a decisiones automatizadas.

En particular, se reconoce el derecho a no ser sometidos a decisiones basadas única o parcialmente en procesos automatizados que produzcan efectos jurídicos o afecten significativamente sus derechos.

Asimismo, la Superintendencia enfatiza la necesidad de garantizar los derechos de información y oposición.

Supervisión y sanciones

El incumplimiento de estas obligaciones puede dar lugar a sanciones conforme al régimen sancionatorio de la LOPDP. La Superintendencia de Protección de Datos Personales también se reserva la facultad de auditar sistemas de inteligencia artificial e imponer medidas correctivas o cautelares cuando se detecten incumplimientos.

¿Cómo podemos ayudarle?

Para cualquier consulta o acompañamiento en el tratamiento de datos personales mediante sistemas de inteligencia artificial y en el cumplimiento de esta normativa, nuestro equipo se encuentra a su disposición para brindar asesoría especializada y apoyo en la implementación de estas nuevas obligaciones regulatorias.

Contáctenos