Si en tu empresa alguien pega una lista de clientes en ChatGPT para que se la resuma, o tienes un bot que responde por WhatsApp, o un sistema que clasifica solo a los contactos que llegan, esto te aplica. No es una recomendación de buenas prácticas: es una norma vigente con capacidad de sanción.
Te la cuento como me hubiera gustado que me la contaran a mí: sin lenguaje de abogado y con la lista de lo que toca hacer.
Qué pasó y desde cuándo
La Superintendencia de Protección de Datos Personales expidió la Resolución N.º SPDP-SPD-2026-0009-R, una norma general para la protección de datos personales en el uso de inteligencia artificial. Se expidió el 12 de febrero de 2026 y se publicó el 19 del mismo mes.
Es decir: lleva meses en vigor. No hay periodo de gracia por delante ni una consulta pública pendiente. Si no te habías enterado, no eres el único — pasó bastante desapercibida fuera del mundo legal.
A quién le aplica, y por qué probablemente seas tú
Aquí está la parte que sorprende a casi todos. La norma aplica a los sistemas de inteligencia artificial que traten datos personales de ciudadanos ecuatorianos, sin importar dónde esté alojado el sistema ni quién lo provea.
Eso quiere decir que no te salvas porque la herramienta sea de una empresa de California y los servidores estén en Virginia. Si los datos son de tus clientes ecuatorianos, la norma te alcanza a ti, que eres quien decidió meterlos ahí.
Traducido a cosas que pasan todos los días en una oficina:
- Alguien de ventas pega la base de contactos en un chat de IA para que le redacte correos personalizados.
- Tienes un asistente que responde consultas por WhatsApp con datos de pedidos o historiales.
- Un flujo automático lee los correos que llegan, los clasifica y decide a quién se le contesta primero.
- Un sistema puntúa a los postulantes de una vacante, o a los clientes por riesgo de mora.
Los dos últimos son los más delicados, porque ahí no solo estás tratando datos: estás tomando decisiones sobre personas.
Las seis obligaciones, en cristiano
La norma trae seis exigencias. Las traduzco:
1. Transparencia
Tienes que decirle a la gente que hay un tratamiento automatizado de por medio. Si un bot atiende tu WhatsApp, el cliente debe saber que está hablando con un bot. Si un sistema evalúa su solicitud, debe saberlo.
2. Evaluación de riesgos e impacto
Antes de poner algo en producción, hay que analizar qué puede salir mal y a quién puede perjudicar. En una pyme esto no es un documento de cien páginas: es sentarse una hora, listar los tratamientos y anotar los riesgos reales de cada uno.
3. Seguridad
Medidas administrativas, técnicas, físicas y organizativas. En la práctica: quién tiene acceso a qué, con qué contraseñas, desde qué equipos, y qué pasa cuando esa persona se va de la empresa.
4. Registro de actividades de tratamiento
Si ya llevas ese registro por la LOPDP, hay que añadirle los tratamientos con IA. Si no lo llevas, ese es un problema anterior y más grande que este.
5. Auditorías según el nivel de riesgo
No todo se audita igual. Un chatbot que responde horarios de atención no es lo mismo que un sistema que decide a quién se le da un crédito. A mayor impacto sobre la persona, más control.
6. Derecho a no ser objeto de decisiones únicamente automatizadas
Esta es la más importante y la que casi nadie tiene resuelta. Si un sistema toma una decisión que afecta a una persona, esa persona tiene derecho a que intervenga un humano. En términos de diseño significa una cosa muy concreta: tu automatización necesita una puerta de salida hacia una persona, y alguien tiene que estar del otro lado.
Qué pasa si no haces nada
La Superintendencia puede auditar los sistemas, imponer medidas correctivas y sancionar conforme a la LOPDP.
Sobre las multas: la LOPDP las calcula como un porcentaje del volumen de negocio del ejercicio económico anterior — del orden de 0,1 % a 0,7 % para infracciones leves y de 0,7 % a 1 % para las graves, según la metodología que la propia Superintendencia publicó. Para servidores públicos el cálculo va sobre salarios básicos.
Un paréntesis honesto
Soy ingeniero de sistemas, no abogado. Lo que te cuento aquí es cómo se implementa esto en la práctica, que es mi oficio. Para la interpretación jurídica fina de tu caso concreto — y sobre todo si ya tienes un procedimiento abierto — habla con un abogado especializado en protección de datos. Y verifica los porcentajes contra el texto oficial antes de tomar decisiones basadas en ellos.
Los cinco pasos para ponerte al día
Esto es lo que haría yo, en este orden, y es perfectamente abordable en un par de semanas sin parar la operación.
- Inventaria dónde usas IA hoy. Y ojo: incluye las herramientas que tu equipo usa sin que tú lo sepas. En casi todas las empresas donde he preguntado, la lista real era más larga que la que tenía el gerente en la cabeza. Pregunta sin castigar, o no te van a contar.
- Anota qué datos personales entra en cada una. Nombres, cédulas, correos, historiales de compra, conversaciones. Si no sabes qué entra, no puedes protegerlo.
- Publica el aviso de transparencia. En tu web y en el canal donde atiendas. No hace falta un texto legal enorme: hace falta que sea claro y esté visible.
- Añade esos tratamientos a tu registro. Si no tienes registro, empieza por ahí — es una obligación anterior a esta norma.
- Define quién revisa y cada cuánto. Una persona con nombre y una fecha en el calendario. Sin eso, lo anterior se queda en un documento que nadie vuelve a abrir.
Cómo se ve esto en una empresa de verdad
Participé en la implementación de la LOPDP en una empresa del sector comercial, desde el lado técnico. Dos cosas que aprendí ahí y que aplican igual a esta norma:
Lo que más cuesta no es lo técnico, es el inventario. Nadie sabe con precisión dónde están todos los datos ni qué herramientas usa cada área. Levantar ese mapa es el 70 % del trabajo, y es aburrido. Pero sin él, todo lo demás es teatro.
Lo que resultó más fácil de lo esperado fue la parte de accesos. Cerrar permisos, ordenar quién ve qué y documentarlo se hace en menos tiempo del que parece, y es lo que más tranquilidad da cuando alguien pregunta.
Si vas a montar agentes o automatizaciones este año, la buena noticia es que hacerlo bien desde el principio cuesta casi lo mismo que hacerlo mal. Lo caro es tener que desarmarlo después.
Si quieres que lo revisemos juntos
En una llamada de treinta minutos podemos ver qué estás usando hoy, dónde hay riesgo real y por dónde conviene empezar. Sales con una lista priorizada, me contrates o no.