¿Puedo usar inteligencia artificial con datos personales? Lo que exige la LOPDP en Ecuador

¿Se puede usar inteligencia artificial con datos personales en Ecuador?

Sí. La norma de la Superintendencia de Protección de Datos Personales sobre sistemas de inteligencia artificial (Resolución SPDP-SPD-2026-0009-R, publicada en el Registro Oficial el 10 de marzo de 2026) permite tratar datos personales con IA siempre que se cumplan en todo momento los principios, derechos y obligaciones de la LOPDP y su Reglamento (art. 9). Aplica a quien desarrolle, entrene, implemente, despliegue o provea sistemas de IA con datos de titulares ecuatorianos, sin importar dónde esté el sistema o el proveedor (art. 1, reformado en septiembre de 2026).

Sus obligaciones concretas (art. 5):

¿Qué base legal necesito?

Cada finalidad necesita una de las ocho condiciones del artículo 7 de la LOPDP. El consentimiento es solo una de ellas; estas son las que más aparecen en proyectos con IA:

Los datos sensibles (salud, datos biométricos, etnia, entre otros) tienen una prohibición general con excepciones tasadas, como el consentimiento explícito con fines claros (art. 26). Y si una decisión automatizada usa datos sensibles o de niñas, niños y adolescentes, se necesita autorización expresa del titular o de su representante, salvo un interés público esencial (art. 21). Más en datos sensibles.

¿Cómo aplicar la minimización y la seudonimización?

La LOPDP exige que los datos sean pertinentes y limitados a lo estrictamente necesario (art. 10, letra e), proporcionales a la finalidad (letra f) y conservados solo el tiempo necesario (letra i). Para usarlos en un fin nuevo hace falta una causa de tratamiento legítimo y que ese fin sea compatible con el original, considerando el contexto, la información dada al titular, sus expectativas razonables y las garantías existentes (letra d). El artículo 60 del Reglamento lo lleva a la configuración: por defecto, solo se tratan los datos necesarios y no quedan accesibles a un número indefinido de personas.

La seudonimización reemplaza los identificadores de modo que el dato ya no pueda atribuirse a alguien sin información adicional guardada por separado (art. 4). Reduce el riesgo, pero el dato sigue siendo personal: por eso la ley la cita como medida de seguridad junto con la anonimización y el cifrado (art. 37). Los datos anonimizados, en cambio, quedan fuera de la LOPDP mientras no sea posible identificar al titular (art. 2). Hay más detalle en seudonimización.

En un agente de IA conectado a tus sistemas, esto se traduce en:

• Enviar al modelo solo los campos que la tarea necesita: el saldo y la fecha de vencimiento, no la cédula ni la dirección.
• Reemplazar nombres y cédulas por códigos antes de que salgan de tus sistemas, con la tabla de equivalencias guardada aparte.
• Cifrar los datos en tránsito y en reposo, y dar al agente solo los permisos de la persona que haría esa tarea.
• Elegir planes con retención mínima y compromiso de no entrenar con tus datos, como se explica en seguridad de datos al usar inteligencia artificial.

En Advise, por ejemplo, los datos crudos se quedan en la nube o los servidores del cliente y al modelo solo llegan seudonimizados o cifrados; la evaluación de impacto, el registro de actividades y la auditoría de los agentes forman su módulo de cumplimiento LOPDP.

¿El proveedor de IA es encargado o hay transferencia internacional?

El encargado es quien trata datos a nombre y por cuenta del responsable (art. 4). Su acceso para prestar un servicio no se considera transferencia (art. 34 de la LOPDP), y la norma de transferencias de enero de 2026 lo confirma: el encargo no es transferencia ni comunicación, por lo que las cláusulas modelo entre responsable y encargado de la Red Iberoamericana de Protección de Datos no son aplicables en Ecuador, aunque usarlas se considera una buena práctica (arts. 23 y 24).

Lo que sí es obligatorio es el contrato. Debe fijar el objeto, la duración, la naturaleza, la finalidad, las categorías de datos, los titulares y las obligaciones del encargado (Reglamento, art. 41); el proveedor solo puede subcontratar si el contrato lo prevé o con autorización escrita (art. 45) y debe devolver o eliminar los datos al terminar (art. 46). Con la reforma firmada el 9 de septiembre de 2026 (según su disposición final, rige desde su publicación en el Registro Oficial), el encargado que provea, desarrolle o mantenga el sistema de IA debe darte información suficiente sobre su funcionamiento, limitaciones relevantes, riesgos previsibles y controles, sin tener que revelar sus secretos comerciales (norma de IA, art. 5).

El escenario cambia si el proveedor usa tus datos para fines propios, por ejemplo entrenar sus modelos: al determinar fines y medios, el Reglamento lo considera responsable de ese tratamiento (art. 43), y entregarle datos pasa a ser una comunicación que, por regla general, necesita una causa legítima y el consentimiento del titular, salvo las excepciones del artículo 36 (art. 33 de la LOPDP). Si el destinatario está fuera del país, aplican además las reglas de transferencia internacional:

Las transferencias internacionales se reportan al Registro Nacional (LOPDP, art. 59; Reglamento, art. 78): con un reporte anual consolidado en el primer trimestre si hay nivel adecuado o garantías, o con inscripción individual, en un término mínimo de 10 días antes de la operación, para las transferencias autorizadas en casos excepcionales y los flujos dentro de la Comunidad Andina (norma de transferencias, art. 64). La documentación de respaldo se guarda al menos tres años (art. 4). Más en transferencia internacional de datos.

¿Qué dice la LOPDP sobre decisiones automatizadas?

El artículo 20 de la LOPDP protege a las personas frente a decisiones basadas única o parcialmente en procesos automatizados, incluidos los perfiles, que produzcan efectos jurídicos o afecten sus derechos. Basta con que la valoración automatizada pese en parte. La persona puede:

1. Pedir una explicación motivada de la decisión.
2. Presentar observaciones.
3. Solicitar los criterios de valoración del programa automatizado.
4. Conocer los tipos de datos usados y su fuente.
5. Impugnar la decisión ante el responsable o el encargado.

No aplica cuando la decisión es necesaria para un contrato con el titular, está autorizada por la normativa o por orden competente con salvaguardas, se basa en su consentimiento explícito o no conlleva impactos graves ni riesgos verificables. Ese derecho no puede renunciarse por adelantado en contratos de adhesión masivos y debe informarse a más tardar en la primera comunicación. El artículo 12 obliga además a informar la existencia de decisiones automatizadas y de perfiles.

Hay consecuencias adicionales: los perfiles automatizados de los que salen decisiones con efectos jurídicos exigen evaluación de impacto (art. 42) y son tratamiento a gran escala directo según la norma de 2026 (art. 14), con delegado, registro ampliado y auditoría al menos anual. En el diseño, eso significa revisión humana real de las decisiones con efectos jurídicos y un canal para explicar e impugnar; ver human in the loop.

Lista de control antes de conectar un agente de IA a datos de clientes

• Base legal identificada para cada finalidad (art. 7).
• Solo los datos necesarios; datos sensibles fuera, salvo una excepción del artículo 26.
• Seudonimización o cifrado antes de enviar datos al modelo.
• Contrato de encargo con el proveedor y lista de subencargados autorizados.
• Si el proveedor usa datos para fines propios: base legal, reglas de transferencia y registro.
• Aviso de privacidad que explique el uso de IA y las decisiones automatizadas.
• Revisión humana y canal de impugnación para decisiones con efectos jurídicos.
• Gestión de riesgos, evaluación de impacto cuando corresponda y registro de actividades al día.
• Plan de incidentes: notificar en máximo cinco días a la Superintendencia, al organismo de regulación y control competente y, con fines informativos, al CSIRT, como exige el artículo 43 reformado; el encargado avisa al responsable en máximo dos días y, si hay riesgo para las personas, se les notifica en tres días (arts. 43 y 46).