En 2026 en Ecuador ya no es correcto hablar de inteligencia artificial y protección de datos como si fuera una tendencia futura. La SPDP ya tiene publicada una norma específica sobre IA y el enfoque ecuatoriano ya exige gestión de riesgos, trazabilidad y análisis preventivo en los tratamientos que pueden afectar derechos y libertades. 

Una gran cantidad de empresas y compañías ya usa inteligencia artificial, sin nombrarla de esa forma. Desde el chatbot que responde a clientes, la herramienta que perfila clientes potenciales (leads), el sistema que prioriza candidatos, el CRM que segmenta campañas hasta el software que automatiza decisiones comerciales.

El problema es que muchas de esas empresas usan la IA como una forma eficiente de generar soluciones, sin tener en cuenta que en Ecuador la IA se encuentra bajo un tema regulatorio concreto en 2026.

La SPDP mantiene publicada la Resolución SPDP-SPD-2026-0009-R sobre inteligencia artificial y datos personales. Debe leerse con su reforma, Resolución SPDP-SPD-2026-0037-R, vigente desde el 21 de septiembre de 2026. El ámbito incluye a responsables y a encargados con acceso, visibilidad o control efectivo sobre los datos en las operaciones correspondientes; la falta de ese acceso o control debe poder acreditarse y no supone una exoneración general.

La propia SPDP ha presentado esta norma dentro de su paquete regulatorio de 2026 y la vincula directamente con la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial. Eso significa que la empresa que utiliza IA para tratar datos personales ya no puede limitarse a decir que “la herramienta funciona bien” o que “el proveedor lo resuelve”. La organización usuaria debe cumplir las responsabilidades jurídicas que le correspondan.  

Qué cambia para las empresas en 2026

Antes, muchas áreas de negocio podían considerar que la IA era una capa tecnológica independiente, externa a cualquier cumplimiento. Hoy, ese argumento ya no se sostiene. Si una empresa utiliza sistemas de IA para tratar datos personales, tiene que revisar licitud, transparencia, finalidad, proporcionalidad, seguridad, trazabilidad y gestión de riesgos. Y si el tratamiento entra en escenarios de mayor riesgo, la exigencia aumenta.

De hecho, la guía de gestión de riesgos y evaluación de impacto publicada por la SPDP en 2026 recuerda que la LOPDP se fundamenta en gestión de riesgos para proteger derechos y libertades. Eso dialoga directamente con el uso de IA, porque este tipo de herramientas puede influir en decisiones automatizadas, perfilamiento y tratamientos más intrusivos.  

Cuándo corresponde una evaluación de impacto

La regulación ecuatoriana ya venía trabajando esta lógica antes de la norma específica de IA. La guía de riesgos de 2026 refuerza que ciertos tratamientos exigen un análisis preventivo serio cuando pueden comprometer derechos y libertades. En escenarios de perfilamiento, automatización y uso intensivo de información personal, la empresa ya no puede tratar la evaluación de impacto como una buena práctica puramente voluntaria. Tiene que analizar si realmente corresponde y, de ser así, estructurarla correctamente.  

El artículo 6 reformado exige gestionar riesgos antes del desarrollo del sistema cuando se tratan datos personales y realizar EIPD cuando corresponda conforme a la ley y la normativa secundaria. Usar IA no activa automáticamente una EIPD en todo supuesto. Revise también los supuestos de gran escala.

Por eso, la IA no debe evaluarse de forma abstracta. No es lo mismo una herramienta interna que no toca datos personales, que un sistema que perfila clientes, analiza comportamiento, usa biometría, puntúa riesgo o influye en decisiones laborales, comerciales o de acceso a servicios.

A qué empresas afecta

Este tema no afecta a todas las empresas por igual. En la práctica, debería preocupar más a empresas que usan IA en marketing, ventas, recursos humanos, salud, educación, finanzas, seguros, e-commerce o servicios digitales. Si una organización utiliza chatbots, segmentación automatizada, scoring, analítica avanzada, predicción o asistentes con acceso a información personal, ya tiene una razón objetiva para revisar su cumplimiento de la normativa vigente. La resolución sobre IA y la guía de riesgos muestran que el enfoque regulatorio ecuatoriano apunta precisamente a este tipo de escenarios.  

Los errores más comunes

El primero es creer que la responsabilidad es del proveedor. No completamente. El proveedor puede tener su rol, pero la empresa que decide usar la herramienta sigue siendo responsable de revisar la base legal, información al titular, contratos, riesgos y medidas de seguridad.

• ¿El proveedor usa entradas y resultados para entrenamiento o finalidades propias?
• ¿Quién accede, dónde interviene y cuánto conserva la información?
• ¿Qué subproveedores actúan y con qué instrucciones?
• ¿Cómo atenderá corrección, eliminación e incidentes?
• ¿Qué información ofrece sobre limitaciones, riesgos y controles del sistema?

Documente las respuestas y compruebe contrato y configuración. Si hay operaciones internacionales, distinga encargos y transferencias conforme a la guía de nube y proveedores extranjeros.

El segundo error es usar IA para perfilar, segmentar o automatizar decisiones sin revisar previamente si el tratamiento puede afectar derechos y libertades de los titulares. La lógica regulatoria ecuatoriana es preventiva, no reactiva.

El tercer error es pensar que basta con una política interna o un documento genérico. La SPDP ya ha desarrollado normas sobre delegado, gran escala, interés legítimo, riesgos, multas e IA. Eso demuestra que el estándar esperado en 2026 no es meramente documental, sino estructural.  

Cómo debería reaccionar una empresa que ya usa IA

La mejor ruta no es frenar toda innovación, sino ordenar el uso. Primero, identificar qué sistemas de IA están activos y qué datos personales tratan. Segundo, clasificar finalidades, bases de legitimación y riesgos. Tercero, revisar contratos y roles con proveedores. Cuarto, determinar si corresponde evaluación de impacto, controles reforzados, registro del tratamiento o incluso la intervención del delegado. Quinto, ajustar la transparencia y gobernanza interna. Ese enfoque es consistente con la regulación publicada por la SPDP y con la lógica de gestión de riesgos desarrollada por la propia autoridad.  

Derechos frente a decisiones automatizadas

El artículo 20 de la LOPDP protege frente a decisiones apoyadas total o parcialmente en valoraciones automatizadas que produzcan efectos jurídicos o afecten derechos y libertades, con las condiciones y excepciones legales. El titular puede pedir explicación, criterios de valoración, información sobre datos y fuentes, presentar observaciones e impugnar. Informe el carácter automatizado y habilite un canal efectivo para ejercer esos derechos.

Por ejemplo, si una herramienta descarta a un candidato por clasificar mal su experiencia, la empresa debe poder tramitar su solicitud y revisar la decisión conforme al régimen aplicable. Asigne quién examina el caso; la firma de alguien que no lo evalúa no demuestra una revisión efectiva.

En TempoLegal ayudamos a empresas a revisar el uso de inteligencia artificial desde la perspectiva de protección de datos personales: diagnóstico legal, evaluación de riesgos, cumplimiento LOPDP y diseño preventivo para evitar sanciones y contingencias.

Fuentes oficiales

• Ley Orgánica de Protección de Datos Personales, art. 20
• Norma de inteligencia artificial, Resolución 2026-0009-R
• Reforma vigente, Resolución 2026-0037-R
• Registro Oficial: publicación del 21 de septiembre de 2026
• Norma de tratamiento a gran escala, Resolución 2026-0005-R
• Guía de gestión de riesgos y evaluación de impacto de la SPDP

Revisión normativa: 12 de octubre de 2026.