Ecuador dio un paso decisivo en la construcción de su marco de gobernanza digital con la entrada en vigor de la Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Publicada el 22 de mayo en el Registro Oficial, la norma fue aprobada por la Asamblea Nacional pese al veto parcial del presidente Daniel Noboa y modifica la Ley Orgánica para la Transformación Digital y Audiovisual para reforzar, dentro del ecosistema digital, la protección de servicios esenciales y los derechos fundamentales de los ciudadanos.
La nueva ley también reforma las leyes orgánicas de Educación Intercultural, de Comunicación, de Telecomunicaciones, de Protección de Datos Personales; de Transporte Terrestre, Tránsito y Seguridad Vial y el Código Orgánico Integral Penal. Su meta es reforzar la defensa contra incidentes de ciberseguridad y la infraestructura crítica digital y el ciberespacio.
Por ejemplo, y a grandes rasgos, en educación dispone la incorporación en el currículo nacional de contenidos sobre seguridad y ética digital y el uso responsable de la tecnología; en comunicación, dispone que los medios establezcan un horario para transmitir contenido sobre derechos y seguridad digital; en tránsito, ordena que el ente de transporte terrestre, tránsito y seguridad vial analice, verifique y revise las acreditaciones nacionales emitidas a favor de los laboratorios con competencia; mientras al artículo 232 del Código Penal le añade la salvedad de que “no constituyen delito las acciones de acceso, prueba o evaluación realizadas con el consentimiento expreso del titular o responsable del sistema, siempre que se ejecuten con fines de verificación o fortalecimiento de la seguridad”.
Argentina ratifica Acuerdo Mercosur-UE, ¿cuáles son los puntos importantes?
Entre sus novedades, la Ley Orgánica para el Fortalecimiento de la Ciberseguridad habilita el hacking ético (o pruebas de penetración) para que las entidades públicas y los operadores de infraestructura crítica digital hagan pruebas controladas de seguridad para identificar, evaluar y mitigar vulnerabilidades de sus sistemas, redes y servicios, siempre que haya consentimiento expreso y se haga con fines legítimos.
Esta nueva ley se cruza con la resolución N° SPDP-SPD-2026-0009-R (Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial), emitida por la Superintendencia de Protección de Datos Personales (SPDP) en febrero, que obliga a todas las entidades que desarrollan, implementan, proveen y entrenan sistemas de IA que traten datos personales (sin importar la ubicación del proveedor) a garantizar que el uso de estas tecnologías no vulnere lo establecido en la Ley Orgánica de Protección de Datos Personales (LOPDP).
La Norma General define los roles y ámbito de aplicación sujetos a responsabilidades dentro del ciclo de vida de la IA; las garantías fundamentales para los titulares de datos, con especial énfasis en que la automatización de los sistemas de IA no debe ir por encima de los derechos consagrados en la LOPDP. A su vez, define las obligaciones de los responsables y encargados del tratamiento en materia de gestión de riesgos, evaluación de impacto y de registro de actividades de tratamiento. Además, impone auditorías de los sistemas de IA en función del nivel de riesgo detectado, la implementación de controles proporcionales al volumen de datos y al estado de la técnica y una serie de sanciones derivadas del derecho de la SPDP a auditar los sistemas de IA e imponer medidas correctivas o cautelares.
Ricardo Fischer: El reto es diseñar reglas para que la IA fortalezca el sistema de justicia
¿Qué norma prevalece cuando una herramienta de ciberseguridad utiliza inteligencia artificial para perfilar personas?
Ambos cuerpos normativos redefinen por completo las reglas del juego para las empresas y el sector público de Ecuador, puesto que mientras la ley de ciberseguridad obliga a blindar infraestructuras críticas y responder de forma coordinada ante incidentes, la norma de IA impone estrictas responsabilidades a los desarrolladores, desplegadores, distribuidores e implementadores de algoritmos. Y es en este cruce donde vale la pena detenerse, específicamente, ante la pregunta de si una IA de ciberseguridad empieza a perfilar empleados o clientes, ¿cuáles de ambas normas prevalece?
Para Miguel Maldonado Ruiz, director del área de tecnología, telecomunicaciones y protección de datos personales de Spingarn, lo importante no es definir cuál norma prevalece automáticamente sobre la otra sino identificar que la LOFC y la normativa de protección de datos personales regulan planos distintos y complementarios, por lo que conviene analizarlos de forma conjunta y sistémica caso por caso.
La normativa de ciberseguridad puede justificar que una empresa monitoree su red, detecte anomalías y actúe frente a amenazas, pero si ese monitoreo implica tratar datos personales, entran los límites de la LOPDP y de la norma de la SPDP sobre IA para garantizar que se respeten los derechos de información, oposición y de no ser objeto de decisiones basadas total o parcialmente en valoraciones automatizadas.
Lo importante es saber que esto no debería entenderse como una pelea entre normas donde una desplaza automáticamente a la otra, apunta Andrés Terán, socio de tecnología y TMT de Heka Law Firm, porque lo correcto es armonizarlas. En la práctica, las empresas pueden monitorear datos para sus fines de ciberseguridad, pero no pueden usar esa justificación para implementar vigilancia masiva o perfilamiento indiscriminado.
"Este tipo de herramienta debería estar respaldada por una evaluación de impacto, una matriz de riesgos, reglas internas claras, controles de acceso, períodos de conservación definidos y documentación que justifique que no se trata de una herramienta de vigilancia generalizada de empleados o clientes, sino de un mecanismo preventivo, proporcional y controlado", aclara.
Por supuesto, la efectividad del modelo dependerá de los mecanismos concretos que se desarrollen mediante normativa secundaria, protocolos interinstitucionales y criterios administrativos que permitan delimitar responsabilidades, evitar solapamientos y garantizar una respuesta coherente frente a incidentes complejos, aclara Ricardo Peñaherrera, socio de LexValor Ecuador, quien asegura que el punto crítico será evitar que un mismo hecho sea sancionado dos veces bajo fundamentos idénticos, sin perjuicio de que un mismo incidente pueda generar consecuencias jurídicas distintas cuando afecte bienes jurídicos diferentes.
En principio, la existencia de distintas autoridades no debería traducirse automáticamente en una duplicidad sancionatoria. Como lo dispone expresamente la ley, cada entidad debería actuar dentro de su propia competencia: por ejemplo, una autoridad podría analizar el cumplimiento de obligaciones de ciberseguridad, mientras otra podría revisar el tratamiento de datos personales y las eventuales infracciones a la normativa de protección de datos personales.
Esto, trasladado a la IA de ciberseguridad, significa que el tratamiento de datos personales derivado del monitoreo de red debe estar respaldado por una base de licitud clara, consignada en políticas internas documentadas y comunicadas al personal, con la posibilidad real de que el titular ejerza sus derechos de acceso, rectificación y oposición ante el responsable del tratamiento. “La frase sería: ciberseguridad sí, vigilancia ilimitada no”, añade Maldonado Ruiz.
Entonces, la respuesta sería esta: la ley de ciberseguridad habilita el monitoreo para proteger sistemas, pero la LOPDP y la norma de IA fijan los límites de ese monitoreo cuando hay datos personales. "No hay jerarquía automática; hay complementariedad", apunta.
Monitoreo legítimo versus intromisión desproporcionada
Lo que no se puede perder de vista es que el monitoreo legítimo es aquel que busca proteger la red, prevenir incidentes y responder a amenazas concretas, recuerda Juan Felipe Rivas Bock, abogado sénior del área de tecnología, telecomunicaciones y protección de datos de Spingarn, y que dicha vigilancia se basa en datos técnicos como logs de acceso, intentos fallidos, horarios de conexión, direcciones IP, volúmenes de tráfico o alertas de comportamiento anómalo, por lo que es importante guiarse por un concepto de taxonomía de datos, como el recogido en las discusiones de la Organización para la Cooperación y el Desarrollo Económico (Ocde) y que distingue entre datos proporcionados, observados, derivados e inferidos.
“Esa diferencia importa porque no todos los datos tienen el mismo nivel de riesgo ni generan la misma expectativa de privacidad”, explica el experto.
Esta diferenciación también les permite a las empresas responder a tres preguntas básicas, antes de implementar cualquier herramienta de monitoreo de seguridad:
1. ¿Qué dato o evento específico necesito para detectar la amenaza que quiero prevenir?
2. ¿Existe una alternativa técnica menos invasiva que permita alcanzar el mismo nivel de protección?
3. ¿Cuál es el período mínimo de retención de estos datos para la gestión del incidente?
Si la empresa no puede responder estas tres preguntas, el monitoreo probablemente no supere un test de proporcionalidad antes de aclarar que la intromisión desproporcionada ocurre cuando se va más allá de lo necesario al revisar el contenido de comunicaciones privadas, monitorear permanentemente a una persona sin una razón objetiva o recolectar información que no tiene relación con la seguridad, por ejemplo.
El límite entre el monitoreo legítimo y el desproporcionado está en la necesidad técnica, considera Andrés Terán. Entonces, el monitoreo legítimo debe enfocarse en eventos, tráfico, alertas, indicadores de compromiso y logs necesarios para prevenir, detectar o responder a un incidente y no derivar en un acceso indiscriminado al contenido de comunicaciones, bases completas de clientes o información personal que no tenga relación con el incidente.
El principio rector debe ser la minimización en la recolección, análisis y uso de la información estrictamente necesaria para prevenir, detectar, contener o reportar el incidente y esto exige que las empresas delimiten previamente qué información es indispensable para fines de ciberseguridad y cuál excede esa finalidad, comenta Peñaherrera.
De acuerdo con el especialista, en la práctica, los límites no parecen estar completamente definidos en el texto del ordenamiento jurídico, por lo que será necesario que la normativa técnica proporcione criterios más claros. Mientras ello ocurre, la actuación de las organizaciones debería apoyarse en los principios de finalidad, proporcionalidad, minimización y seguridad.
La recomendación práctica es no entregar información en bloque sin revisión previa. Lo adecuado es documentar la solicitud de la autoridad, delimitar el alcance, preparar un paquete técnico de respuesta, proteger datos personales no relevantes y dejar trazabilidad de todo lo entregado. La cooperación con la autoridad es obligatoria, pero no elimina los deberes de confidencialidad, minimización y protección de información sensible, explica.
Desde la perspectiva de la ciberdefensa, el monitoreo legítimo de tráfico frente a una intromisión desproporcionada en las redes de los usuarios se delimita cuando la empresa entrega información técnica pertinente, suficiente y documentada que muestre qué ocurrió, cuándo se detectó, qué sistemas fueron afectados, qué medidas se adoptaron, qué evidencia técnica existe y qué riesgos permanecen abiertos.
Una nueva etapa para la propiedad intelectual en las Américas: la visión de Matías Noetinger
Si un sistema de IA mal protegido sufre un ciberataque y, además, se comprometen datos personales, pueden activarse dos frentes: el de ciberseguridad y el de protección de datos personales; y esto nos lleva a revisar si existe algún principio de coordinación institucional bajo la nueva ley y por vulneración de datos bajo la LOPDP en caso de un ciberataque a un sistema de IA mal protegido por un implementador.
Y sí existe: la nueva Ley Orgánica para el Fortalecimiento de la Ciberseguridad trabaja al mismo tiempo en la coordinación institucional y non bis in idem, ergo una entidad no debería ser sancionada dos veces por los mismos hechos y con el mismo fundamento jurídico aunque existan responsabilidades distintas según cada norma. “Lo correcto sería que las autoridades coordinen para evitar duplicidad de requerimientos, criterios contradictorios o doble sanción por el mismo hecho”, indica Andrés Terán.
Al final, a criterio de Miguel Maldonado Ruiz, los problemas se reducen ante la presencia de reglas claras, protocolos comunes e incluso gracias a la posible existencia de una ventanilla única para reportar incidentes que involucren tanto ciberseguridad como datos personales; sobre todo porque, cuando ocurre un ciberataque que compromete datos personales, no se está solo ante un problema técnico sino también ante una posible vulneración de derechos de los titulares de los datos, lo que obligaría a las entidades a reportar incidentes tanto desde la perspectiva de ciberseguridad como desde la perspectiva de protección de datos.
Peñaherrera: Con una correcta aplicación, entonces, la notificación y entrega de logs no debería convertirse en una transferencia indiscriminada de información, sino en una comunicación técnica, justificada y limitada al incidente concreto.
Ambas materias son estrictas, ¿esto desincentiva la innovación o genera confianza?
El socio de Heka Law Firm cree que, si bien una regulación estricta sí puede generar costos iniciales de cumplimiento, especialmente para startups o empresas que aún no tienen equipos legales, de seguridad o compliance robustos, la aparente rigidez de ambas normas no debería ser un obstáculo para los innovadores o los inversores extranjeros si son bien aplicadas y que, más que verse como un freno, son una condición mínima para competir en mercados más maduros.
Los recientes casos de hackeos, filtraciones y uso indebido de datos demuestran que una empresa tecnológica no solo compite por innovación, sino también por seguridad, trazabilidad y reputación. Un inversionista extranjero va a mirar precisamente si existe un marco claro, si hay autoridades coordinadas y si las empresas pueden demostrar gestión de riesgos, afirma.
El riesgo real para la innovación no es que exista regulación, sino en que las reglas se apliquen de forma desproporcionada o sancionatoria antes de que existan lineamientos técnicos claros. Para los abogados de Spingarn la tensión entre regulación e innovación es un debate que acompaña al derecho tecnológico desde siempre y que, lejos de resolverse, se renueva con cada nueva ola tecnológica. Para el experto de LexValor, el riesgo no está en regular, sino en que la regulación se convierta en una camisa de fuerza que bloquee la innovación. “Por ello, el desafío consiste en elevar los estándares de seguridad sin imponer cargas desproporcionadas que impidan el desarrollo tecnológico local.”
El riesgo real para la innovación no es que exista regulación, sino en que las reglas se apliquen de forma desproporcionada o sancionatoria antes de que existan lineamientos técnicos claros. Para los abogados de Spingarn la tensión entre regulación e innovación es un debate que acompaña al derecho tecnológico desde siempre y que, lejos de resolverse, se renueva con cada nueva ola tecnológica.
Ambos coinciden con Terán en que si estas dos nuevas normas ecuatorianas se aplican bien pueden generar más confianza y mejorar los estándares del mercado, especialmente en uno como el tecnológico, donde la confianza es clave. Apuntan que los posibles inversores y proveedores internacionales siempre prefieren operar en un país donde existen reglas claras sobre el uso de datos, IA y ciberseguridad; entretanto, el hecho de que Ecuador cuente con un marco claro puede ayudar a que sea visto como un mercado más serio y predecible.
Dicho esto, conviene ser honestos sobre una realidad que distingue a las economías emergentes de las desarrolladas: en contextos como el ecuatoriano, la sobrerregulación frena la innovación. Mientras que en mercados maduros las empresas cuentan con equipos legales robustos, áreas de cumplimiento consolidadas y capacidad financiera para absorber los costos regulatorios, en economías emergentes el peso del cumplimiento recae sobre estructuras empresariales más pequeñas, con menor músculo técnico y financiero, analiza Maldonado Ruiz.
Ahora, en materia de resguardo de los secretos comerciales y la información confidencial de las empresas, a criterio de Ricardo Peñaherrera, el equilibrio entre estas variables se logra al elevar los estándares de confidencialidad aplicables al ente regulador y a los servidores públicos que tengan acceso a información sensible. Para esto, no basta con una obligación general de reserva sino que se requieren deberes concretos, exigibles y trazables, incluso a título personal, para quienes intervengan en procesos de análisis, supervisión, fiscalización o respuesta ante incidentes.
Entonces, el punto de equilibrio se encuentra en permitir que los servidores públicos y todos los involucrados accedan a la información estrictamente necesaria para cumplir sus funciones, pero sin habilitar un acceso amplio, innecesario o ajeno a la finalidad regulatoria. Para ello, deberían existir controles internos y la información entregada no debería utilizarse para fines distintos a aquellos que justificaron su recolección.
Entonces, la regulación debe atender cualquier asimetría que surja y evitar expulsar del mercado formal a quienes no pueden costear el ajuste. Se trata, como dice Rivas Bock, de tomar en cuenta el tamaño de las empresas y la realidad nacional al momento de aplicar las reglas, ya que la rigidez puede convertirse en una carga difícil de soportar para startups, pymes o emprendimientos locales.
Por eso, la aplicación de la norma debe cumplir parámetros de necesidad y proporcionalidad al riesgo que se pretende mitigar y capacidad económica del actor y que la aplicación del principio de proporcionalidad se traduzca.
Add new comment