¿Qué es la regulación de la IA en Afganistán?
Regulación de la IA: países y regiones
Afganistán no cuenta con una ley específica sobre inteligencia artificial, ni con una estrategia nacional de IA ni con un organismo regulador de la IA. Tampoco dispone de una ley general de protección de datos ni de una autoridad de protección de datos. La administración de facto talibán gobierna las comunicaciones a través del Ministerio de Comunicaciones y Tecnología de la Información (MCIT) y la Autoridad Reguladora de Telecomunicaciones de Afganistán (ATRA), al amparo de la Ley de Regulación de Servicios de Telecomunicaciones de 2005. En la práctica, la tecnología está condicionada por decretos basados en la sharia, la censura y los cortes de internet, más que por un marco estructurado de IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
No existe un reglamento específico sobre IA en Afganistán. A diferencia de la Unión Europea, el Reino Unido o muchos países vecinos, Afganistán no ha aprobado ninguna ley de IA, no ha publicado ninguna estrategia de IA ni ha designado ningún organismo para supervisar los sistemas de IA. Tampoco existe una ley general de protección de datos ni un regulador de privacidad, lo que significa que los datos personales que alimentan los sistemas de IA no están regulados por un marco específico.
Lo que sí existe es un régimen de telecomunicaciones creado antes de la era de la IA. La Ley de Regulación de Servicios de Telecomunicaciones de 2005 creó ATRA, el regulador del sector, que opera dentro del MCIT. Esa ley regula la concesión de licencias, el espectro, la competencia y algunas obligaciones de confidencialidad para los usuarios, pero no menciona la IA. Un capítulo sobre ciberdelincuencia añadido al Código Penal de 2017 tipificó determinadas conductas en línea, y tanto la Estrategia Nacional de Ciberseguridad de 2014 como un borrador de Ley TIC son también anteriores a la administración actual.
La complicación más importante es la toma del poder por los talibanes en agosto de 2021. Las autoridades de facto suspendieron la Constitución de 2004 y anunciaron que las leyes de la época republicana serían revisadas para verificar su conformidad con su interpretación de la sharia. Las instituciones y los textos normativos siguen existiendo nominalmente, y ATRA y MCIT continúan operando, pero su estatus jurídico, su aplicación y su continuidad son inciertos. La gobernanza tecnológica se articula ahora principalmente a través de decretos del liderazgo y normas de moralidad, en lugar de una regulación codificada y predecible.
Por qué es importante
Para fundadores, operadores, asesores y compradores, la ausencia de un marco de IA no es una luz verde; es un riesgo. No existe una base legal en la que apoyarse para el tratamiento lícito de datos, ningún regulador que conceda autorizaciones o resuelva disputas de forma predecible, ni ningún régimen de evaluación de impacto con el que demostrar el cumplimiento normativo. Al mismo tiempo, las autoridades de facto ejercen un control amplio y discrecional sobre la conectividad y los contenidos, incluida la facultad de ordenar cortes de internet y de exigir acceso a las comunicaciones. Esa combinación, poder estatal omnímodo con mínima protección jurídica para las personas, es precisamente el entorno en el que la recopilación de datos, la elaboración de perfiles o la vigilancia impulsadas por IA pueden causar daños graves con escasos recursos legales. Las organizaciones que valoren cualquier despliegue, programa de donantes o transferencia de datos que afecte a Afganistán deben planificar teniendo en cuenta la incertidumbre jurídica, la exposición a sanciones, el riesgo para los derechos humanos y la posibilidad real de que los servicios sean interrumpidos sin previo aviso.
Cómo funciona
Sin ley ni regulador específicos de IA
Afganistán no tiene ninguna ley de IA, ningún proyecto de ley de IA en ningún proceso legislativo visible, ninguna estrategia nacional de IA y ninguna autoridad encargada de supervisar la IA. Los registros internacionales así lo reflejan: la entrada del Portal de Políticas de IA de UNIDIR para Afganistán, revisada por última vez en agosto de 2025, no recoge ninguna estrategia nacional, ningún organismo de gobernanza ni contenido sobre IA militar, y Afganistán no figura entre los países que participan en la Metodología de Evaluación de Preparación de UNESCO. La IA queda, por tanto, sujeta por defecto al derecho general y a los decretos que emitan las autoridades de facto.
El marco de telecomunicaciones
Lo más parecido a una regulación relevante es el régimen de telecomunicaciones. La Ley de Regulación de Servicios de Telecomunicaciones, publicada en el Boletín Oficial en 2005, creó ATRA como regulador sectorial dentro del MCIT, con competencias sobre licencias, espectro, homologación de equipos, competencia y tarifas. La ley contiene cláusulas de datos limitadas: el artículo 53 obliga a los operadores y proveedores de servicios a mantener la confidencialidad de la información de los usuarios y a no divulgarla sin consentimiento o base legal, mientras que otras disposiciones permiten la vigilancia del tráfico mediante orden judicial y exigen a los operadores que faciliten el acceso a las autoridades en asuntos de seguridad nacional o penales. Se trata de obligaciones propias del sector de las telecomunicaciones, no de un régimen general de protección de datos, y fueron redactadas para la internet anterior a la IA.
Protección de datos: una laguna, no un marco
Afganistán no cuenta con una ley integral de protección de datos personales ni con una autoridad de protección de datos. La Constitución de 2004 protegía la confidencialidad de la correspondencia y las comunicaciones en su artículo 37, y las normas sectoriales de telecomunicaciones y banca abordan la confidencialidad, pero no existe ninguna ley horizontal de protección de datos comparable al GDPR del Reino Unido. Human Rights Watch, en su informe del 30 de marzo de 2022, afirmó sin ambages que "Afganistán no tiene actualmente ninguna ley de protección de datos" y documentó cómo esa laguna dejó expuestos sistemas biométricos sensibles, construidos con apoyo de donantes, cuando los talibanes tomaron el control de ellos en 2021.
Ciberdelincuencia y control de contenidos
Un capítulo sobre ciberdelincuencia fue incorporado al Código Penal que entró en vigor en 2018, tipificando actos como el acceso no autorizado, la interrupción de redes y determinados contenidos en línea. En 2014 se adoptó una Estrategia Nacional de Ciberseguridad. Bajo las autoridades de facto, los contenidos y la conectividad están siendo regulados cada vez más por decretos del liderazgo, entre ellos la Ley sobre la Propagación de la Virtud y la Prevención del Vicio, un código de 35 artículos firmado por el líder supremo Hibatullah Akhundzada el 21 de agosto de 2024, que la agencia Associated Press describió como la primera declaración formal de leyes sobre el vicio y la virtud en Afganistán desde la toma del poder, y que regula la conducta personal y los medios de comunicación. La conectividad también está sujeta a órdenes directas de restricción o corte del acceso a internet.
Las instituciones existentes
MCIT es el ministerio de comunicaciones; ATRA es el regulador de telecomunicaciones dentro de él; Afghan Telecom (Salaam) opera la red troncal de fibra estatal; y el Centro Nacional de Datos de Afganistán proporciona alojamiento al gobierno. Todos operan ahora bajo la administración de facto. Ninguno tiene un mandato publicado en materia de IA, y el orden jurídico más amplio en el que se encuadran es objeto de controversia tras la suspensión de la Constitución de 2004.
Ejemplos
Despliegue de un servicio de IA que trata datos de usuarios afganos
Una empresa que ofrezca una aplicación basada en IA a usuarios afganos no encontrará ninguna ley local de protección de datos que cumplir ni ningún regulador ante el que registrarse, pero tampoco contará con protección legal si las autoridades exigen los datos o estos quedan expuestos. Las obligaciones de confidencialidad de la ley de telecomunicaciones vinculan a los operadores con licencia, no a los proveedores de software extranjeros, y los poderes de vigilancia y las órdenes de corte implican que no se puede dar por garantizada la continuidad ni la confidencialidad. La práctica recomendable es aplicar estándares externos (por ejemplo, una base de referencia reconocida en materia de protección de datos y una evaluación de impacto de la IA) como controles autoimpuestos.
Datos biométricos y de identidad ya presentes en el país
Human Rights Watch informó en 2022 de que los sistemas de identidad digital y nóminas construidos por donantes, incluido el Sistema Afgano de Identificación Biométrica Automática y el Sistema de Personal y Nóminas Afgano, quedaron bajo control talibán tras agosto de 2021, sin que existiera ninguna ley de protección de datos que limitara su uso. Esos sistemas contenían, en palabras de HRW, "escaneos de iris, huellas dactilares, fotografías, ocupación, domicilios y nombres de familiares", y un excomandante relató cómo los talibanes le escanearon el iris con un dispositivo biométrico portátil durante una detención de 12 días. Como señaló Belkis Wille, investigadora sénior de HRW: "Los gobiernos y las organizaciones que contribuyeron a acumular grandes cantidades de datos personales sobre un gran número de afganos pueden estar ayudando inadvertidamente a la represión talibán". Esto ilustra las consecuencias prácticas del vacío legal para cualquier sistema intensivo en datos o habilitado por IA: son los fallos de gobernanza, no la tecnología por sí sola, los que generan el daño.
Riesgo de conectividad durante los cortes
A partir del 16 de septiembre de 2025, comenzando en Balkh, las autoridades de facto prohibieron el internet por fibra óptica en hasta 15 provincias alegando motivos de moralidad, lo que escaló hasta un apagón nacional de aproximadamente 48 horas entre el 29 de septiembre y el 1 de octubre que el grupo de monitoreo NetBlocks describió como un "apagón total de internet" en un país de 43 millones de habitantes, con la conectividad cayendo a alrededor del uno por ciento de lo normal. Según informó CNN, "los servicios bancarios se paralizaron, los negocios se detuvieron, los vuelos hacia y desde los principales aeropuertos fueron cancelados y los mercados de divisas colapsaron" antes de que se restableciera el acceso. Cualquier servicio alojado en la nube o basado en IA que dependa de la conectividad afgana debe tratar los cortes abruptos e inexplicados como un riesgo operativo real.
Malentendidos frecuentes
"Afganistán ya debe de tener alguna norma sobre IA." No es así. No existe ninguna ley, estrategia ni regulador de IA, ni ningún proyecto de ley de IA visiblemente en tramitación.
"Sin ley de IA, todo está permitido." Lo contrario se acerca más a la realidad: amplios poderes estatales sobre la conectividad y las comunicaciones coexisten con una protección jurídica muy débil para las personas y las empresas, por lo que el riesgo es alto, no bajo.
"Al menos la ley de protección de datos protege a los usuarios." No existe ninguna ley general de protección de datos ni ninguna autoridad de protección de datos. Solo existen cláusulas sectoriales limitadas y disposiciones constitucionales, y la propia posición constitucional es incierta.
"Las leyes anteriores a 2021 siguen claramente en vigor." Las autoridades de facto suspendieron la Constitución de 2004 y declararon que las leyes de la época republicana serían revisadas para verificar su conformidad con la sharia. Muchos instrumentos subsisten nominalmente, pero su estatus, aplicación y continuidad son inciertos.
"ATRA es un regulador de IA o de datos." ATRA es el regulador de telecomunicaciones. Concede licencias a los operadores y gestiona el espectro; no tiene ningún mandato en materia de IA y no es una autoridad de protección de datos.
Riesgos y limitaciones
Este artículo describe la situación de gobernanza, no un código legal consolidado, y no constituye asesoramiento jurídico. Varios aspectos son inciertos y podrían cambiar. El estatus jurídico de las leyes anteriores a 2021 es controvertido: la Constitución de 2004 fue suspendida y las leyes de la época republicana están sujetas a revisión de conformidad con la sharia, por lo que incluso donde una ley sigue existiendo sobre el papel, su aplicabilidad es incierta. No existe ningún régimen específico de IA que describir, por lo que el análisis se apoya en fragmentos de telecomunicaciones, ciberdelincuencia y disposiciones constitucionales, además de decretos de facto. La información procedente del interior del país es limitada, la publicación oficial es irregular y los decretos pueden emitirse o aplicarse de forma imprevisible. Las sanciones y el no reconocimiento de la administración de facto añaden restricciones jurídicas y prácticas adicionales para las organizaciones extranjeras. Los lectores deben verificar la situación actual antes de actuar y no deben asumir que la existencia de una institución como ATRA implica una regulación de la IA o los datos que funcione de manera predecible.
Qué hacer a continuación
Tratar Afganistán como un entorno sin marco regulatorio y de alto riesgo, y regirse por los propios estándares en lugar de depender del derecho local. Aplicar una base de referencia reconocida en materia de protección de datos y una evaluación de impacto de la IA documentada a cualquier sistema que trate datos afganos, partiendo de la premisa de que ningún régimen local protegerá a los interesados ni a la organización. Identificar explícitamente el riesgo para los derechos humanos, especialmente en el caso de datos biométricos, de localización, de identidad o de elaboración de perfiles que puedan exponer a personas vulnerables si las autoridades acceden a ellos. Diseñar para la interrupción: asumir que los cortes de internet y telecomunicaciones pueden producirse sin previo aviso, y planificar la continuidad, la minimización de datos y alternativas sin conexión. Verificar la exposición a sanciones y la identidad de las contrapartes antes de relacionarse con MCIT, ATRA u operadores estatales. Por último, monitorear las fuentes primarias (MCIT, ATRA, organismos de la ONU) para detectar cualquier avance hacia un marco formal de datos o IA, y revisar la posición si este llega a materializarse.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Afganistán una ley de IA?
No. No existe ninguna ley específica de IA, ninguna estrategia nacional de IA ni ningún regulador de IA.
¿Existe una ley de protección de datos en Afganistán?
No. No existe ninguna ley integral de protección de datos personales ni ninguna autoridad de protección de datos; solo existen cláusulas sectoriales limitadas y disposiciones constitucionales.
¿Quién regula las comunicaciones y la tecnología?
El Ministerio de Comunicaciones y Tecnología de la Información (MCIT) y, dentro de él, la Autoridad Reguladora de Telecomunicaciones de Afganistán (ATRA), al amparo de la Ley de Regulación de Servicios de Telecomunicaciones de 2005.
¿Siguen aplicándose las leyes anteriores a 2021 bajo los talibanes?
Es incierto. Las autoridades de facto suspendieron la Constitución de 2004 y declararon que las leyes de la época republicana serían revisadas para verificar su conformidad con la sharia, por lo que el estatus de muchos instrumentos es incierto.
¿Ha participado Afganistán en la gobernanza internacional de la IA?
No hay evidencia de una participación sustantiva. Afganistán no figura entre los países de la Metodología de Evaluación de Preparación de UNESCO, y la entrada del Portal de Políticas de IA de UNIDIR está prácticamente vacía.
¿Puede el gobierno cortar el acceso a internet?
Sí. En septiembre de 2025, las autoridades de facto cortaron el internet por fibra óptica e impusieron un apagón de aproximadamente 48 horas que NetBlocks describió como un apagón total de internet en un país de 43 millones de habitantes, con la conectividad cayendo a alrededor del uno por ciento de lo normal, alegando motivos de moralidad.
¿Existe alguna norma sobre datos personales en la ley de telecomunicaciones?
Sí, pero es limitada. La ley de 2005 exige a los operadores que mantengan la confidencialidad de la información de los usuarios, al tiempo que permite la vigilancia ordenada judicialmente y el acceso estatal en asuntos de seguridad o penales.
¿Deben las organizaciones apoyarse en el derecho local para el cumplimiento normativo en materia de IA?
No. Al no existir ningún marco de IA ni de datos, las organizaciones deben aplicar sus propios estándares externos, incluidas las bases de referencia en materia de protección de datos y las evaluaciones de impacto de la IA.