¿Qué es la regulación de IA en Bután?
Regulación de la IA: países y regiones
Bután no cuenta con una AI Act específica ni con un regulador único de IA intersectorial en los materiales oficiales revisados. La gobernanza de la IA descansa actualmente en la National AI Strategy 2025 de GovTech, en orientaciones provisionales sobre IA generativa para la función pública, en la Information, Communications and Media Act 2018, en normas sectoriales de privacidad y ciberseguridad, y en marcos más amplios de identidad digital y transformación digital inspirados en la Felicidad Nacional Bruta.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Bután ha dado sus primeros pasos en política de IA, pero aún no cuenta con una ley específica sobre IA. El documento oficial más claro en esta materia es la National AI Strategy 2025 de GovTech. Enmarca la IA en torno a la Felicidad Nacional Bruta, el servicio público, la ética, la transparencia, la rendición de cuentas y el beneficio ciudadano. Para los usuarios del sector público, existe también una directriz provisional sobre IA generativa para la función pública.
Las normas vinculantes que hoy importan provienen principalmente de legislación más antigua sobre TIC, privacidad, protección de datos, ciberseguridad e identidad digital. La Information, Communications and Media Act 2018 contiene disposiciones relevantes sobre privacidad y protección de datos, y BICMA puede emitir códigos de práctica al amparo de dicha ley. El código de ciberseguridad y privacidad de Bután de 2024 ya se aplica a algunos operadores de TIC y telecomunicaciones.
En el contexto del Asia Meridional, Bután sigue desarrollando su capacidad básica de gobernanza. Su propio trabajo de referencia en materia de gobernanza de datos lo sitúa en la mitad del grupo SAARC en cuanto a preparación para la IA, y señala carencias en gobernanza de datos, privacidad y ciberseguridad. El panorama actual se entiende mejor como estrategia más legislación vigente, y no como un reglamento de IA acabado.
Por qué importa
Las organizaciones no deben tratar a Bután como un mercado sin reglas simplemente porque no existe una AI Act. Si su IA utiliza datos personales, presta servicios a la ciudadanía, forma parte de infraestructuras digitales críticas como las telecomunicaciones, o se conecta al sistema de identidad digital de Bután, las obligaciones vigentes en materia de privacidad, ciberseguridad e identidad pueden seguir siendo aplicables. El reto práctico es que el régimen está distribuido entre estrategia, orientaciones y legislación más antigua, por lo que los fallos de gobernanza pueden derivar de no identificar el nivel normativo correcto, más que de una prohibición explícita de IA.
Cómo funciona
Sin una AI Act específica, pero con una estrategia oficial
En los materiales oficiales revisados no se encontró ninguna ley de IA autónoma ni un regulador único de IA para Bután. El principal documento nacional sobre IA es la National AI Strategy 2025 de GovTech. Se trata de una política, no de una ley específica. Establece la visión, las áreas de enfoque y los principios rectores para el uso nacional de la IA, y vincula explícitamente la IA a un diseño centrado en la Felicidad Nacional Bruta, un enfoque orientado a la ciudadanía, y un desarrollo ético e inclusivo.
Igualmente importante es lo que la estrategia revela sobre lo que aún falta. Su sección sobre gobernanza y regulación reclama un marco nacional de gobernanza de datos, directrices éticas nacionales para una IA responsable, la revisión de la legislación vigente para la adopción de la IA, y un organismo y marco nacional de gobernanza de la IA. Esto es una prueba sólida de que Bután se encuentra todavía en una fase de construcción de marcos.
El derecho vinculante vigente proviene principalmente de las normas sobre TIC y datos
La principal capa jurídica vinculante de Bután es la Information, Communications and Media Act 2018. Esta ley crea la Bhutan InfoComm and Media Authority, o BICMA, y le otorga competencia para emitir instrucciones, directrices y códigos de práctica. La ley también contiene normas relevantes sobre privacidad y protección de datos.
Para los proyectos de IA, el punto más relevante es que la ICM Act ya regula de manera significativa la recopilación, el tratamiento, la divulgación, la seguridad y la eliminación de información personal. Exige autorización escrita expresa para la recopilación, compilación o tratamiento electrónico de información personal, salvo que otra ley lo permita; restringe la divulgación a terceros salvo que sea legalmente obligatoria o esté expresamente autorizada; y exige que los datos personales obsoletos sean eliminados o destruidos. Las disposiciones anteriores sobre privacidad de la misma ley también exigen políticas de privacidad, limitaciones de finalidad y protección de la información personal por parte de los proveedores y vendedores de TIC y medios de comunicación.
BICMA puede añadir obligaciones sectoriales sin necesidad de una nueva AI Act
Bután no necesita una nueva AI Act para que comiencen a aparecer controles más vinculantes. Dado que BICMA puede emitir códigos al amparo de la ICM Act, las obligaciones sectoriales pueden llegar por esa vía. Un buen ejemplo es el Code of Practice for Information Security, Cybersecurity and Privacy Protection for ICT and Telecommunication Service Providers, que entró en vigor el 10 de octubre de 2024.
Ese código se aplica a los proveedores de telecomunicaciones y otros servicios de TIC con infraestructura de información crítica. Exige gestión de la seguridad de la información, protección de datos personales y sensibles, controles de privacidad y medidas de cumplimiento relacionadas. Por tanto, si una funcionalidad de IA se integra en un servicio digital crítico de telecomunicaciones, alojamiento, plataforma u otro tipo, la pregunta pertinente no es solo "¿Existe una ley de IA?", sino también "¿Qué normas de TIC y seguridad ya vigentes se aplican a este servicio?"
El uso gubernamental está condicionado por la política digital y las orientaciones provisionales
Para el sector público, la arquitectura digital más amplia de Bután tiene una gran importancia. La Digital Strategy 2024 de GovTech, "Intelligent Bhutan", presenta la transformación digital como un proyecto de gobierno integral respaldado por infraestructura, personal cualificado y un entorno regulatorio propicio. También señala que GovTech desempeña un papel clave en el desarrollo de marcos jurídicos para tecnologías emergentes, incluida la IA, y considera la Identidad Digital Nacional como un pilar de la estrategia digital nacional.
El uso gubernamental también está condicionado por la Royal Civil Service Commission y la directriz de IA generativa de GovTech. Ese documento se describe a sí mismo como una norma provisional para la función pública y señala que Bután aún no cuenta con una política y regulación específicas sobre IA. En la práctica, indica a los funcionarios que deben verificar el material generado por IA, evitar introducir información personal o confidencial en herramientas públicas, anonimizar los datos personales cuando el uso sea inevitable, y mantener supervisión humana en decisiones de consecuencias relevantes, como contratación, planificación de recursos humanos, planificación financiera o evaluación de estudiantes.
La identidad digital y la gobernanza de datos añaden capas de control independientes
La National Digital Identity Act 2023 de Bután crea su propia estructura de gobernanza para los servicios vinculados a la identidad. Prevé un Governing Body, un Administrative Body, un Governance Framework, roles de servicios de confianza y normas sobre incidentes. Si un servicio habilitado por IA utiliza el sistema de identidad digital de Bután, la infraestructura de monedero o las credenciales verificables, las obligaciones de esa capa de identidad son relevantes junto con cualquier política de IA.
Al mismo tiempo, la arquitectura de gobernanza de datos de Bután sigue en construcción. El estudio de referencia sobre gobernanza de datos nacionales de GovTech señala que persisten lagunas legales y de política, compara a Bután con sus pares del SAARC y recomienda una legislación integral de protección de datos junto con un regulador específico o un papel de supervisión ampliado. Por eso Bután presenta actualmente un entorno mixto de derecho vinculante y normas no vinculantes, más que un régimen regulatorio de IA consolidado.
Ejemplos
Ejemplo 1: Un funcionario utiliza una herramienta pública de IA generativa para redactar una nota informativa o resumir material interno. La directriz provisional para la función pública de Bután indica que el usuario debe dejar claro que la IA generativa ha contribuido al contenido, verificar los hechos de forma independiente, evitar introducir datos gubernamentales, información personal o material confidencial en herramientas públicas, anonimizar los datos personales si el uso es inevitable, y mantener a una persona responsable de la toma de decisiones en asuntos de consecuencias relevantes.
Ejemplo 2: Un operador de telecomunicaciones o TIC desea incorporar IA para la supervisión de redes, la detección de fraudes o la atención al cliente. Aunque no exista una AI Act, ese servicio puede seguir estando sujeto a la ICM Act y al código de ciberseguridad y privacidad de BICMA de 2024. En la práctica, el operador sigue necesitando avisos de privacidad, tratamiento lícito de la información personal, controles de seguridad y gobernanza para la infraestructura crítica y el acceso de terceros.
Ejemplo 3: Un servicio público digital desea combinar IA con credenciales NDI de Bután o verificación basada en monedero. Ese proyecto no se rige únicamente por los documentos sobre IA. La National Digital Identity Act 2023 añade su propio marco de gobernanza, normas sobre servicios de confianza y obligaciones en materia de incidentes, por lo que el servicio debe diseñarse teniendo en cuenta tanto los requisitos de la ley de identidad como el panorama más amplio de IA y gobernanza de datos.
Malentendidos frecuentes
Idea errónea: Bután no tiene ley de IA, por lo que el uso de IA no está regulado. Corrección: Las normas vigentes sobre privacidad, protección de datos, ciberseguridad, TIC e identidad digital pueden seguir siendo aplicables.
Idea errónea: La National AI Strategy 2025 es en sí misma la ley vinculante sobre IA. Corrección: Es una estrategia y hoja de ruta oficial, no una ley autónoma con un sistema de aplicación único para toda la economía.
Idea errónea: Bután ya cuenta con un único organismo de vigilancia de la IA. Corrección: Ningún regulador único de IA está claramente designado en los materiales oficiales revisados.
Idea errónea: Solo el sector público necesita preocuparse por la gobernanza de la IA en Bután. Corrección: Los operadores privados pueden seguir estando sujetos a la ICM Act, los códigos de BICMA, las condiciones contractuales, las normas sectoriales y los requisitos del NDI.
Idea errónea: Una agenda de innovación con regulación ligera implica que desaparecen las obligaciones de privacidad y seguridad. Corrección: Los controles legales y técnicos vigentes deben identificarse antes del lanzamiento.
Riesgos y límites
El límite más claro es que Bután no parece contar todavía con una ley de IA única y completa ni con un régimen de riesgo de IA para toda la economía. Los materiales oficiales siguen apuntando hacia futuras directrices éticas, revisión legislativa, un organismo nacional de gobernanza de la IA y una arquitectura más amplia de gobernanza de datos. Por tanto, quien busque un código de IA único y ordenado no lo encontrará.
La cobertura también es desigual. La directriz de IA generativa para la función pública es de alcance limitado y se aplica a los funcionarios, no a todos los despliegues de IA del sector privado. La ICM Act y el código de BICMA son más relevantes cuando están implicados TIC, medios de comunicación, telecomunicaciones, privacidad en línea, datos personales o infraestructura de información crítica. La NDI Act es relevante cuando intervienen credenciales digitales, monederos o servicios de confianza. Otros casos de uso de IA pueden estar regulados solo de forma indirecta, a través del derecho general, contratos, condiciones de contratación pública, controles sectoriales y política interna.
Hay un matiz adicional relevante para los emprendedores. La estrategia digital de Bután señala que algunas empresas de tecnologías emergentes pueden ser abordadas bajo un enfoque de "permitir primero y regular después". Esto debe interpretarse como una postura de política, no como una exención. Las obligaciones vigentes en materia de privacidad, seguridad, identidad y sector deben verificarse antes del lanzamiento.
Próximos pasos
Comience con un mapa de casos de uso específico para Bután. Identifique si su sistema toca datos personales, servicios a la ciudadanía, regulación de TIC o telecomunicaciones, infraestructura crítica o el sistema de identidad digital de Bután. A continuación, identifique la capa jurídica adecuada: estrategia de IA, orientaciones para la función pública, ICM Act, código de BICMA, ley NDI y cualquier control sectorial que se superponga.
En la práctica, los responsables deben establecer una política escrita de uso de IA, clasificar los datos antes de introducirlos en cualquier modelo, bloquear el acceso de datos sensibles o vinculados a la identidad a herramientas de IA públicas salvo que exista una vía lícita y un control adecuado, exigir revisión humana para decisiones de consecuencias relevantes, y verificar las condiciones de los proveedores, los derechos de acceso y la gestión de incidentes. Dado que el régimen de Bután sigue en construcción, realizar una evaluación de impacto de IA de forma voluntaria es recomendable incluso cuando ninguna norma local lo exija todavía.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Bután una ley de IA?
No se identificó ninguna AI Act específica ni ninguna regulación de IA intersectorial en los materiales oficiales revisados. Bután se apoya actualmente en estrategia, orientaciones y legislación vigente sobre TIC, privacidad, ciberseguridad e identidad.
¿Tiene Bután una estrategia de IA?
Sí. GovTech ha publicado la National AI Strategy 2025, que vincula la IA a la Felicidad Nacional Bruta, el servicio público, la cultura, el medio ambiente y la gobernanza digital.
¿Es jurídicamente vinculante la National AI Strategy?
Conviene interpretarla como una hoja de ruta de política oficial, no como una ley autónoma con un sistema de aplicación único para toda la economía.
¿Quién es la principal autoridad en materia de IA en Bután?
No hay un único organismo de vigilancia de la IA claramente designado. GovTech lidera gran parte del trabajo de política digital y de tecnologías emergentes, BICMA regula partes del ecosistema de TIC y medios de comunicación, y la RCSC junto con GovTech ha emitido orientaciones para el uso gubernamental.
¿Existen normas de protección de datos relevantes para la IA?
Sí. La ICM Act 2018 contiene disposiciones sobre privacidad y protección de datos, y BICMA ha emitido un código de ciberseguridad y privacidad para determinados proveedores de TIC y telecomunicaciones. Esto no equivale a una ley integral única de privacidad, pero sí crea obligaciones reales.
¿Utiliza Bután un modelo de IA basado en riesgos?
Todavía no como ley nacional. La directriz de IA generativa para la función pública utiliza categorías de riesgo y advierte a los funcionarios sobre usos de riesgo inaceptable, pero su alcance es más limitado que una ley de IA basada en riesgos para toda la economía.
¿Qué ocurre si mi producto de IA utiliza el sistema de identidad digital de Bután?
En ese caso, la National Digital Identity Act 2023 también es relevante. Crea su propio marco de gobernanza, roles de proveedores de servicios y normas sobre incidentes, por lo que los proyectos de IA vinculados a la identidad requieren una verificación jurídica independiente.