IA, datos & compliance by design BRANDLEX
El mito del «freno» («La regulación frena la innovación»)
Existe una idea instalada en muchos equipos que crecen rápido: la regulación es un peaje que puede pagarse al final.
Primero el producto. Después los clientes. Y cuando exista tracción suficiente, «vemos lo legal».
Es una idea comprensible, sin embargo puede terminar siendo muy cara.
Porque el cumplimiento normativo no funciona como un impuesto que se paga en una fecha determinada. Funciona más bien como una deuda técnica (desde la mirada de desarrollo de producto y tecnológico): acumula intereses silenciosamente y aparece en el peor momento posible.
En una ronda de inversión. En la due diligence de un comprador. Al entrar a un mercado nuevo. O cuando el cliente corporativo que llevabas meses esperando finalmente dice que sí, pero condiciona la firma a que acredites cómo gestionas tus datos, tu tecnología y tu propiedad intelectual.En esta edición hablaremos sobre esto: el crecimiento sostenible basado en el » IA, data & compliance by design»
La matemática, en dos crifas.
En 2017, el Ponemon Institute estudió el costo de cumplir y el costo de no cumplir con las normas de protección de datos en 53 organizaciones multinacionales.
El resultado fue un múltiplo de 2,71.El costo promedio de cumplimiento fue de USD 5,47 millones. El costo promedio asociado al incumplimiento alcanzó los USD 14,82 millones.
Pero el dato más interesante no es el múltiplo. Es su composición.
De esos USD 14,82 millones, aproximadamente USD 1,96 millones correspondían a multas, penalizaciones y acuerdos. La mayor parte restante se vinculaba con interrupciones del negocio, pérdida de ingresos y pérdida de productividad.
La lección económica sigue siendo relevante: la sanción es solo una parte del costo.
El problema real suele ser el tiempo que el equipo dedica a corregir procesos, reconstruir documentación, renegociar contratos o rediseñar un producto que ya está en el mercado, en lugar de seguir construyendo.
Privacidad: El reloj ya suena en los dos hemisferios
En Europa, las multas acumuladas por infracciones del RGPD desde mayo de 2018 superan los 7.100 millones de euros, según la edición 2026 del informe de DLA Piper.
Durante el último período analizado, las organizaciones notificaron un promedio de 443 brechas de datos personales al día: un 22% más que el año anterior y la primera vez desde la aplicación del Reglamento que se supera la barrera de las 400 notificaciones diarias.
En Chile, la Ley 21.719 entrará en vigencia el 1 de diciembre de 2026.
La nueva normativa crea una Agencia de Protección de Datos Personales con facultades para fiscalizar, investigar, sancionar, ordenar la suspensión de operaciones de tratamiento y administrar un registro público de sanciones y cumplimiento.
Las infracciones podrán sancionarse con multas de hasta:
- 5.000 UTM para infracciones leves.
- 10.000 UTM para infracciones graves.
- 20.000 UTM para infracciones gravísimas.
Además, la ley establece un régimen especialmente severo para la reincidencia. Esta se configura cuando un responsable ha sido sancionado en dos o más ocasiones durante los últimos treinta meses, mediante resoluciones firmes.
En esos casos, la Agencia podrá aplicar una multa de hasta tres veces el monto correspondiente a la infracción. Para las empresas que no califican como empresas de menor tamaño y reinciden en infracciones graves o gravísimas, podrá aplicarse la alternativa más gravosa entre ese triple y hasta el 2% o el 4%, respectivamente, de sus ingresos anuales por ventas, servicios y otras actividades del giro.
Durante los primeros doce meses de vigencia, la Agencia podrá, atendiendo a las circunstancias del caso, sustituir la multa por una amonestación escrita en las primeras infracciones cometidas por empresas de menor tamaño.
No es una inmunidad. Es un régimen transitorio que no elimina la obligación de adecuarse.
Y el punto verdaderamente importante es otro: nada de esto se resuelve únicamente con una política de privacidad.
Se resuelve con arquitectura.
Qué datos recoges. Para qué los utilizas. Con qué base legal. Dónde se almacenan. Quién accede a ellos. Con qué proveedores se comparten. Durante cuánto tiempo se conservan. Y cómo se eliminan cuando dejan de ser necesarios.Esa arquitectura es relativamente económica cuando se diseña desde el inicio. Reformarla con miles de usuarios, múltiples proveedores y varios mercados activos es otra historia.
Inteligencia Artificial: El calendario se movió, la responsabilidad y obligación no.
El 24 de julio de 2026 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2026/1744, conocido como Digital Omnibus de IA. Entrará en vigor el 27 de julio.
El principal titular es el aplazamiento de determinadas obligaciones para los sistemas de IA de alto riesgo:
- Los sistemas incluidos en el Anexo III pasan al 2 de diciembre de 2027.
- Los sistemas integrados en productos regulados del Anexo I pasan al 2 de agosto de 2028.
Muchos pueden interpretar esta modificación como una autorización para posponer el trabajo. No lo es.
Las obligaciones de transparencia del artículo 50 no se aplazan y comenzarán a aplicarse el 2 de agosto de 2026.
Entre otras medidas, desde esa fecha deberá informarse cuando una persona interactúa directamente con un sistema de IA, salvo que resulte evidente por el contexto. Determinados contenidos sintéticos deberán incorporar un marcado técnico detectable y legible por máquina. También deberán revelarse los deepfakes y ciertos textos generados o manipulados mediante IA que se publiquen para informar sobre asuntos de interés público, con las excepciones previstas por el Reglamento.
Para determinadas obligaciones de marcado aplicables a sistemas generativos que ya se encontraban en el mercado, el Ómnibus contempla una transición de cuatro meses, hasta el 2 de diciembre de 2026.
Además:
- Las prohibiciones del artículo 5 ya son aplicables.
- Las obligaciones de alfabetización en IA están vigentes.
- Las obligaciones correspondientes a los modelos de propósito general comenzaron a aplicarse en 2025.
- El capítulo IX, relativo al seguimiento posterior a la comercialización, los incidentes graves y la vigilancia del mercado, será aplicable desde el 2 de agosto de 2026.
- Dos nuevas prohibiciones serán aplicables desde el 2 de diciembre de 2026: los sistemas destinados a generar o manipular material de abuso sexual infantil y los destinados a generar o manipular material íntimo no consentido de personas identificables.
El régimen sancionador da cuenta de la escala del riesgo:
- Hasta 35 millones de euros o el 7% de la facturación mundial anual por determinadas prácticas prohibidas.
- Hasta 15 millones de euros o el 3% por incumplimientos de obligaciones aplicables a proveedores, importadores, distribuidores, responsables del despliegue y obligaciones de transparencia.
- Hasta 7,5 millones de euros o el 1% por proporcionar información incorrecta, incompleta o engañosa a las autoridades.
El tamaño de la empresa no genera una exención, aunque puede modificar el límite máximo aplicable. Para las pymes y startups, en los supuestos establecidos por el Reglamento, se aplica la menor de las dos referencias. El Ómnibus extiende parcialmente este tratamiento a determinadas pequeñas empresas de mediana capitalización, sujeto a límites y exclusiones específicos.
El aplazamiento de los sistemas de alto riesgo es una oportunidad para prepararse mejor.Sirve para inventariar qué herramientas de IA utiliza ya la organización, incluida la IA no autorizada o shadow AI; determinar para qué se emplean; identificar quién adopta las decisiones; clasificar los riesgos; revisar contratos con proveedores; y comenzar a construir la documentación exigible.
No sirve para volver sobre el tema en 2027.
Propiedad Intelectual: El activo que puede dejar de estar disponible
En propiedad intelectual, el costo del «después» puede ser especialmente severo porque el retraso no solo encarece la solución: puede hacer que el activo deje de estar disponible.
- Alguien registra antes la marca en tu próximo mercado.
- Una divulgación en una feria o una publicación comercial destruye la novedad necesaria para solicitar una patente.
- Un fundador, empleado o contratista desarrolla una parte relevante del producto, pero nunca firma la correspondiente cesión de derechos.
- O el software incorpora componentes de terceros cuyas licencias son incompatibles con el modelo de explotación previsto.
Un caso reciente en India muestra, además, cómo una decisión corporativa aparentemente administrativa puede desencadenar consecuencias regulatorias y comerciales relevantes.
B9 Beverages, la empresa detrás de la cerveza Bira 91, cambió su denominación de «Private Limited» a «Limited» en preparación para una futura salida a bolsa.
La modificación obligó a volver a registrar etiquetas y solicitar nuevas aprobaciones en distintos estados de India, en un proceso que la empresa situó entre cuatro y seis meses. Esto generó meses sin ventas de determinados productos y un castigo de inventario cercano a ₹80 crore (≈ 7,3 millones de euros).
Durante el mismo ejercicio, los ingresos de la compañía cayeron un 22%, hasta ₹638 crore(58 M€), y la pérdida neta alcanzó ₹748 crore (~68 M€). En ese resultado también influyeron otros cambios regulatorios y comerciales, por lo que no puede atribuirse íntegramente al cambio de denominación.
La lección no está únicamente en la propiedad intelectual. Está en la secuencia.
Cambiar una denominación, expandirse, lanzar una nueva marca, modificar un producto o preparar una ronda puede activar simultáneamente exigencias societarias, regulatorias, contractuales y de PI.
El problema no fue haber cometido una infracción.
Fue haber ejecutado una decisión sin anticipar todas sus consecuencias operativas.En una due diligence ocurre algo parecido.
La titularidad difusa entre fundadores y contratistas, las cesiones que nunca se firmaron, las marcas registradas a nombre de una persona distinta de la empresa o las dependencias de software sin revisar rara vez terminan inmediatamente en un «no».
Con frecuencia terminan en retenciones, ajustes de precio, condiciones precedentes o procesos de remediación que retrasan la operación.
Y en 2026 los inversores y compradores están incorporando a esa revisión dos áreas adicionales: la gobernanza de datos y la documentación del uso de inteligencia artificial.
Consumidor y contratos: La nueva frontera del crecimiento.
En junio de 2026, la autoridad italiana de competencia sancionó con 2 millones de euros a la tienda online Deghi por prácticas comerciales engañosas relacionadas con la presentación de precios, promociones y cronómetros de cuenta atrás.
Los descuentos supuestamente limitados en el tiempo se renovaban bajo condiciones sustancialmente idénticas al finalizar el plazo, reforzando artificialmente una sensación de urgencia y escasez.
No es un caso aislado.
En diciembre de 2021, la CNIL francesa sancionó a Google con 150 millones de euros porque aceptar todas las cookies era inmediato, mientras que rechazarlas requería varias acciones adicionales.En 2025, la autoridad volvió a sancionar a Google, esta vez con 325 millones de euros, por publicidad insertada entre los correos de Gmail y por la instalación de cookies durante la creación de cuentas sin contar con un consentimiento válido.
- El fenómeno tampoco es marginal.
Cuando la Red de Cooperación para la Protección de los Consumidores examinó 399 tiendas online de 23 Estados miembros, Noruega e Islandia, identificó al menos una de las categorías de patrones oscuros analizadas en 148 de ellas.
Un 37%.
La Comisión Europea prevé presentar la Digital Fairness Act durante el cuarto trimestre de 2026. La iniciativa busca reforzar horizontalmente la protección de los consumidores frente a prácticas como los dark patterns, el diseño adictivo, determinadas formas de personalización y la presentación engañosa de precios.
Su contenido normativo definitivo todavía no se conoce, pero la dirección regulatoria es clara: la conversión ya no puede analizarse de forma separada de la transparencia y la libertad real de elección del usuario.
Esto importa especialmente a los equipos de growth.
Los patrones oscuros no siempre nacen de una decisión consciente de engañar. Muchas veces nacen de un test A/B que aumentó la conversión.
El equipo optimiza una métrica y nadie tiene el mandato de preguntar si la opción ganadora también cumple.
Ese es un problema de proceso y gobernanza.
En el frente contractual ocurre algo similar.
Cada integración de IA en un producto añade una capa de responsabilidad que los contratos tradicionales probablemente no cubren:
- ¿Quién responde si el sistema genera una recomendación incorrecta?
- ¿Puede el proveedor cambiar el modelo sin previo aviso?
- ¿Puede utilizar los datos de tu empresa o de tus clientes para entrenarlo?
- ¿Qué ocurre si el servicio deja de estar disponible?
- ¿Quién responde frente a una reclamación por infracción de propiedad intelectual?
- ¿Puedes auditar el cumplimiento del proveedor?
Son cláusulas relativamente sencillas cuando se negocian antes de implementar la tecnología.
Se convierten en disputas complejas cuando se analizan después de que algo salió mal.
Dónde el Compliance deja de ser un costo.
Hasta aquí, el argumento defensivo. El más interesante es el otro.
Una empresa con la casa ordenada, titularidad de PI documentada, tratamiento de datos mapeado, inventario de IA clasificado y contratos adaptados a su tecnología, puede cerrar una due diligence en semanas y no en trimestres.
Puede:
- Entrar a mercados regulados sin rediseñar completamente su producto.
- Responder con solvencia los cuestionarios de seguridad, privacidad y continuidad que exigen los grandes clientes.
- Demostrar a inversores, compradores y socios que sus principales activos pertenecen realmente a la compañía y pueden explotarse sin contingencias ocultas.
- Negociar desde una posición en la que la contraparte no encuentra una brecha que utilizar para exigir un descuento.
Eso no es burocracia. Es infraestructura de crecimiento. Y no se construye rápido. Se construye temprano.
¿Qué hacer durante los próximos 90 días?
Cinco movimientos que pueden integrarse al roadmap sin paralizarlo.
1. Crear un inventario de IA. Identificar cada herramienta de inteligencia artificial que utiliza la organización, incluida la que no ha sido formalmente autorizada. Registrar su finalidad, proveedor, usuarios, datos utilizados, resultados generados y nivel de intervención humana. Sin inventario no existe una clasificación seria bajo el AI Act.
2. Implementar la transparencia antes del 2 de agosto. Si la empresa tiene un chatbot orientado al público, utiliza asistentes que puedan confundirse con personas o genera determinados contenidos mediante IA, debe definir qué aviso, marcado o declaración resulta aplicable. No basta con añadir una referencia genérica a los términos y condiciones.
3. Construir el mapa de datos. Documentar qué datos se recogen, con qué finalidad y base legal, dónde se almacenan, quién los procesa, con quién se comparten y cuándo se eliminan. El mismo mapa servirá como base para el RGPD, la Ley 21.719 y la gobernanza de sistemas de IA.
4. Auditar la titularidad de la propiedad intelectual. Revisar si las marcas están registradas en los mercados relevantes. Confirmar que fundadores, empleados y contratistas hayan firmado cesiones adecuadas. Identificar posibles divulgaciones previas a solicitudes de patente. Revisar las licencias de software, código abierto, contenidos y bases de datos utilizados por el producto.
5. Revisar los contratos que concentran el riesgo. Comenzar por tres: el contrato con el principal proveedor de IA o tecnología, el contrato con el cliente más importante, y el contrato con el contratista o equipo que desarrolla el núcleo del producto. Las cláusulas de datos, propiedad intelectual, continuidad, seguridad, auditoría y responsabilidad deben reflejar cómo funciona realmente la operación.
6. Si la empresa opera en Chile, preparar el aterrizaje de la Ley 21.719. Faltan cuatro meses para el 1 de diciembre. Antes de esa fecha conviene: designar un responsable interno para las materias de protección de datos, revisar las bases legales y los flujos de consentimiento de cada tratamiento, actualizar las cláusulas de datos en los contratos con proveedores y clientes, y dejar redactado el procedimiento interno de notificación de brechas a la nueva Agencia y a los titulares afectados. El régimen de amonestación para empresas de menor tamaño durante el primer año reduce el riesgo de multa en las primeras infracciones, pero no reemplaza tener el proceso construido antes de la fecha, y la amonestación igual queda registrada para efectos de reincidencia.
Estos seis movimientos son manejables cuando una empresa todavía está consolidando sus procesos.
Se vuelven considerablemente más costosos cuando existen cincuenta mil usuarios, varios mercados, decenas de proveedores y una ronda en marcha.
La regulación no frena la innovación.
Lo que frena es descubrir, dieciocho meses después, que hay que rehacer lo que se construyó durante los primeros seis.
Hacerlo bien desde el inicio no significa avanzar más lento.
Significa no tener que pagarlo dos veces.
En BRANDLEX trabajamos en la intersección entre regulación, tecnología y negocio, acompañando a las empresas a crecer con valor y ventaja competitiva.
Porque cumplir no debería ser el final del proceso.
Debería ser parte de la arquitectura que permite escalar.