¿Qué es la regulación de la IA en Canadá?
Regulación de la IA: países y regiones
Canadá aún no cuenta con una ley específica de IA en vigor para el sector privado. La principal propuesta ha sido la Ley de Inteligencia Artificial y Datos, o AIDA, presentada por primera vez en el proyecto de ley C-27 en 2022, pero ese proyecto no llegó a convertirse en ley antes de que el Parlamento fuera prorrogado y disuelto. En la práctica, la gobernanza de la IA en Canadá descansa actualmente en la legislación vigente sobre privacidad, derechos humanos, protección al consumidor, normativa sectorial y derecho penal, además de un código federal voluntario para la IA generativa avanzada.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Canadá, la "regulación de la IA" significa actualmente una combinación de legislación federal de IA propuesta y leyes que ya se aplican a la forma en que las organizaciones recopilan datos, toman decisiones, comercializan productos y gestionan riesgos. La propuesta más destacada fue AIDA, un marco federal basado en riesgos para los sistemas de IA de alto impacto. Era importante, pero sigue siendo solo una propuesta.
Esto importa porque muchas personas dan por sentado que Canadá ya tiene un AI Act en vigor. No es así. Si hoy se está desarrollando, adquiriendo o desplegando IA en Canadá, el panorama de cumplimiento vigente sigue estando determinado principalmente por la legislación sobre privacidad, las normas provinciales, la supervisión sectorial, la protección al consumidor, la legislación sobre derechos humanos y el derecho penal ordinario. Para la IA generativa avanzada, el gobierno federal también ha publicado un código voluntario que las empresas pueden adoptar desde ahora.
Este tema es también más acotado que el conjunto de la "regulación digital". No equivale a la reforma del derecho de autor, la legislación sobre daños en línea, la normativa de ciberseguridad ni las reglas de contratación pública, aunque esas áreas pueden solaparse con la IA en la práctica.
Por qué importa
Para quienes lideran organizaciones, la cuestión práctica es el momento. El marco de IA propuesto por Canadá sigue siendo influyente y constituye un anticipo razonable de hacia dónde podría dirigirse la legislación federal, pero no es el reglamento en el que se puede confiar como derecho vinculante hoy. Si se espera a AIDA antes de abordar la gobernanza, es posible que se pasen por alto obligaciones que ya se aplican en virtud de la legislación sobre privacidad y normas relacionadas.
Las implicaciones son tanto operativas como jurídicas. Los sistemas de IA pueden afectar a la contratación, el acceso a servicios, el control del fraude, la seguridad, la salud, la atención al cliente y la confianza pública. En Canadá, los reguladores ya están examinando cómo se entrenan los modelos, qué información personal utilizan, cuán transparentes son, si los resultados sobre personas son precisos y si las personas afectadas pueden impugnar o corregir errores. Esto convierte la gobernanza de la IA en un asunto de gestión del presente, no solo en una cuestión legislativa futura.
Cómo funciona
La situación actual de Canadá
A 4 de junio de 2026, Canadá no ha promulgado una ley general de IA para el sector privado. AIDA se presentó en junio de 2022 como parte del proyecto de ley C-27, superó la segunda lectura en la Cámara de los Comunes en abril de 2023 y quedó después en fase de comité. Cuando el Parlamento fue prorrogado el 6 de enero de 2025, los asuntos gubernamentales pendientes quedaron sin concluir, y la disolución del 23 de marzo de 2025 cerró el asunto para ese Parlamento. El material federal oficial que permanece en línea sigue describiendo AIDA como propuesta, o la conserva como material de referencia archivado.
Esto significa que el régimen actual de IA en Canadá es fragmentado, pero real. Las empresas no se enfrentan a un único AI Act en vigor a nivel federal, pero tampoco operan en un vacío legal.
Qué pretendía hacer la vía AIDA
AIDA fue diseñada como un marco federal intersectorial para los sistemas de IA utilizados en el comercio internacional e interprovincial. Su modelo básico era basado en riesgos. En lugar de intentar regular todos los usos de la IA de la misma manera, habría concentrado sus principales obligaciones en los sistemas de "alto impacto" y en los usos indebidos especialmente graves.
El material complementario oficial muestra la lógica de política prevista. Los sistemas de alto impacto debían identificarse mediante reglamento para que el gobierno pudiera actualizar el ámbito de aplicación con el tiempo y evitar congelar la ley en torno a una generación de tecnología. Los ejemplos gubernamentales de sistemas de interés incluían la IA utilizada para filtrar el acceso a servicios o al empleo, la identificación biométrica e inferencia, los sistemas que influyen en el comportamiento humano a escala y los sistemas que realizan funciones críticas de salud o seguridad.
Obligaciones principales en el modelo AIDA propuesto
En virtud del modelo propuesto, las organizaciones responsables de un sistema de alto impacto habrían tenido que identificar, evaluar y mitigar los riesgos de daño y de resultados sesgados, supervisar si las medidas de mitigación funcionaban, mantener registros, publicar información en lenguaje claro sobre el uso de los sistemas cubiertos y notificar al Ministro si el uso de un sistema causaba, o era probable que causara, un daño material.
La propuesta también intentaba distribuir la responsabilidad a lo largo de la cadena de valor de la IA. El material complementario describía distintas obligaciones previstas para las organizaciones que diseñan o desarrollan un sistema, las que lo ponen a disposición para su uso y las que gestionan su funcionamiento tras el despliegue. En otras palabras, Canadá no pretendía un reglamento que solo alcanzara al desarrollador original del modelo.
AIDA también proponía prohibiciones penales para conductas especialmente graves. El material oficial describía tres delitos principales: utilizar a sabiendas información personal obtenida ilegalmente para construir o usar un sistema de IA; poner a disposición un sistema de IA sabiendo o siendo imprudente respecto a que es probable que cause daños graves o daños materiales sustanciales cuando dichos daños se produzcan; y poner a disposición un sistema de IA con intención de defraudar al público y causar pérdidas económicas sustanciales cuando dichas pérdidas se produzcan.
Instituciones y aplicación en el modelo federal propuesto
El modelo institucional federal propuesto era inusual. En lugar de crear un regulador de IA completamente independiente desde el principio, AIDA habría sido administrada por el Ministro de Innovación, Ciencia e Industria, con el apoyo de un nuevo Comisionado de IA y Datos. El material de política oficial indicaba que el énfasis inicial habría sido la educación, la orientación y el cumplimiento gradual, con una aplicación más estricta que se iría desarrollando con el tiempo.
El conjunto de herramientas propuesto incluía poderes para ordenar la entrega de registros, exigir auditorías independientes, ordenar la suspensión del uso de un sistema cuando existiera un riesgo grave de daño inminente y publicar información de interés público. El marco también contemplaba sanciones monetarias administrativas mediante reglamentos posteriores, además de infracciones reglamentarias perseguibles y delitos penales separados para conductas más graves.
Esto importa para la planificación aunque la ley nunca entrara en vigor. El modelo propuesto muestra que Canadá avanzaba hacia un enfoque liderado por el regulador, con documentación exhaustiva y basado en el ciclo de vida, en lugar de un modelo de autodeclaración con supervisión mínima.
Qué hace ahora el código voluntario de IA generativa
El principal instrumento federal de IA vigente en Canadá es el Código de Conducta Voluntario sobre el Desarrollo y la Gestión Responsables de Sistemas Avanzados de IA Generativa, anunciado en septiembre de 2023. No es legislación. Es un puente voluntario destinado a orientar a las organizaciones que desarrollan o gestionan sistemas avanzados de IA generativa con capacidades de uso general mientras la regulación formal sigue ausente.
El código se articula en torno a seis principios: responsabilidad, seguridad, equidad e igualdad, transparencia, supervisión y seguimiento humanos, y validez y solidez. Espera que las organizaciones implementen un marco de gestión de riesgos, evalúen los usos dañinos o maliciosos previsibles, realicen pruebas de sesgo y vulnerabilidades, utilicen pruebas adversariales, gestionen el riesgo cibernético y supervisen los incidentes tras el despliegue.
El código es más estricto para los sistemas puestos a disposición del público en general. Para esos sistemas, las medidas publicadas incluyen mayor transparencia sobre capacidades y limitaciones, una descripción de los tipos de datos de entrenamiento utilizados, un método para detectar el contenido generado y múltiples líneas de defensa, como auditorías de terceros antes del lanzamiento. La lista de signatarios publicada ya incluye decenas de organizaciones del ecosistema de IA de Canadá y grandes empresas tecnológicas y financieras.
El límite clave es sencillo: el código es un andamiaje de gobernanza útil, pero no crea por sí mismo obligaciones legales. El código dice expresamente que no modifica las obligaciones legales existentes, incluidas las derivadas de PIPEDA.
La capa de legislación sobre privacidad que ya vincula el uso de la IA
Para la mayoría de los despliegues comerciales de IA en Canadá, la capa de privacidad es el principal estrato legal vigente. A nivel federal, la Ley de Protección de Información Personal y Documentos Electrónicos, o PIPEDA, sigue siendo la ley de privacidad fundamental para el sector privado. Continúa en vigor porque el proyecto de ley de privacidad para el sector privado incluido en el proyecto de ley C-27 no fue aprobado. PIPEDA también reconoce órdenes de exención para Alberta, Columbia Británica y Quebec, donde leyes de privacidad para el sector privado sustancialmente similares se aplican a gran parte de la actividad intraprovincial.
La Oficina del Comisionado de Privacidad de Canadá ha sido explícita en que la IA generativa no queda fuera de la legislación de privacidad existente. Sus directrices establecen que las organizaciones que desarrollan, proporcionan o utilizan IA generativa deben contar con autoridad legal para recopilar, usar y divulgar información personal, deben obtener un consentimiento válido y significativo cuando el consentimiento es la vía utilizada, y deben mantenerse abiertas, explicables, precisas y respetuosas con la privacidad. Las mismas directrices también tratan las inferencias sobre una persona identificable como recopilación de información personal, lo que es relevante para los sistemas generativos y predictivos modernos.
La investigación conjunta de 2026 sobre OpenAI muestra cómo se traduce esto en la práctica de aplicación. Los reguladores de privacidad canadienses examinaron el entrenamiento con datos web de acceso público y conversaciones de usuarios, la transparencia, la exactitud de la información personal en los resultados, los derechos de acceso y corrección, la retención y la responsabilidad. La investigación detectó múltiples infracciones de las leyes de privacidad aplicables. La lección más amplia es que la aplicación canadiense actual ya puede alcanzar el entrenamiento de modelos, el despliegue y el comportamiento de los resultados sin necesidad de esperar a un nuevo AI Act.
Dónde eleva el listón Quebec
Quebec es especialmente importante porque su ley de privacidad para el sector privado añade obligaciones muy relevantes para la adquisición y el despliegue de IA. Una empresa debe realizar una evaluación de impacto sobre la privacidad para un proyecto de adquisición, desarrollo o renovación de un sistema de información o de un sistema de prestación electrónica de servicios que implique información personal. También debe ofrecer el nivel más alto de confidencialidad por defecto para los productos o servicios con configuraciones de privacidad, excepto en el caso de las cookies del navegador.
Quebec también cuenta con una norma directa para las decisiones automatizadas en exclusiva. Si una empresa utiliza información personal para tomar una decisión basada exclusivamente en el procesamiento automatizado, debe informar a la persona a más tardar cuando le comunique la decisión. A petición, debe explicar la información personal utilizada, los motivos y los principales factores que llevaron a la decisión, y los derechos de corrección de la persona. La persona también debe poder presentar observaciones a un miembro del personal que pueda revisar la decisión.
Para cualquier organización activa en Quebec, estas no son buenas prácticas de IA orientadas al futuro. Ya forman parte del entorno legal.
Ejemplos
Una empresa que lanza un sistema de IA generativa de cara al público en Canadá puede utilizar el código voluntario federal como plantilla operativa desde ahora. Las medidas publicadas incluyen un marco de gestión de riesgos, pruebas de usos dañinos o maliciosos, pruebas de sesgo, pruebas adversariales, registro de incidentes, controles de ciberseguridad, transparencia hacia el usuario sobre capacidades y límites, y un método para detectar contenido generado en los sistemas disponibles públicamente. Eso no es derecho obligatorio en sí mismo, pero sí es un punto de referencia práctico para el diseño de la gobernanza.
Una empresa de Quebec que se basa únicamente en el procesamiento automatizado para tomar una decisión sobre una persona tiene obligaciones legales vigentes hoy. Debe informar a la persona de que se utilizó el procesamiento automatizado, explicar la información personal y los factores principales que fundamentaron la decisión si se le solicita, y ofrecer una vía de revisión humana. Si la herramienta forma parte de un sistema de información nuevo o renovado que implica información personal, una evaluación de impacto sobre la privacidad también es parte del panorama legal desde el principio.
La investigación sobre OpenAI es el ejemplo más claro de aplicación de la normativa de IA en Canadá en la actualidad. Los reguladores de privacidad federales y provinciales examinaron el entrenamiento del modelo con datos web públicos e interacciones de usuarios, la transparencia hacia los usuarios, la información personal en los resultados, la exactitud, la retención, el acceso, la corrección y la responsabilidad. La investigación demuestra que los reguladores canadienses están dispuestos a someter los sistemas de IA modernos a las leyes de privacidad vigentes, incluso sin que AIDA esté en vigor.
Malentendidos frecuentes
Malentendido: Canadá ya tiene un AI Act en vigor.
Corrección: No. AIDA fue propuesta, pero no llegó a convertirse en ley.
Malentendido: Si una empresa sigue el código voluntario de IA generativa, cumple con la ley.
Corrección: No. El código es voluntario y se sitúa junto a las obligaciones legales existentes; no las reemplaza.
Malentendido: Entrenar modelos con datos de internet de acceso público es automáticamente lícito en Canadá.
Corrección: No. Los reguladores de privacidad canadienses tratan la accesibilidad pública, la autoridad legal y el consentimiento significativo como cuestiones separadas.
Malentendido: La regulación de la IA en Canadá es básicamente solo legislación sobre privacidad.
Corrección: No. La privacidad es el principal estrato vigente para muchas empresas, pero los derechos humanos, la protección al consumidor, el derecho penal y la regulación sectorial también son relevantes, y AIDA fue diseñada como una capa federal adicional.
Malentendido: Quebec funciona igual que el resto de Canadá.
Corrección: No. Quebec añade obligaciones como las evaluaciones de impacto sobre la privacidad, la privacidad por defecto y los derechos de notificación y revisión para las decisiones basadas exclusivamente en el procesamiento automatizado.
Riesgos y límites
El límite más importante es el estatus legal. AIDA sigue entendiéndose mejor como una propuesta y una orientación de política, no como una ley vigente. Su documento complementario archivado y el material federal relacionado siguen siendo útiles para la planificación de la gobernanza, pero cualquier proyecto de ley futuro podría modificar el ámbito de aplicación, las obligaciones, las instituciones o las sanciones.
El código voluntario de IA generativa también tiene un alcance limitado. Fue diseñado para la IA generativa avanzada con capacidades de uso general, no para cualquier herramienta de automatización específica o función analítica. Aun así, muchos de sus controles son razonables en un sentido más amplio, especialmente para los sistemas de cara al público.
La legislación sobre privacidad no es toda la historia, pero sí es la vía más clara en la actualidad para la supervisión de la IA comercial. Si una herramienta utiliza información personal, infiere información sobre una persona identificable o puede generar información sobre personas reales, la legislación sobre privacidad ya es aplicable. Si el sistema afecta al empleo, el crédito, los seguros, la salud, el transporte u otras áreas supervisadas, las normas sectoriales pueden añadir requisitos adicionales.
Este artículo es una visión general para la planificación de la gobernanza y la gestión operativa. No constituye asesoramiento jurídico sobre un sistema, transacción o investigación regulatoria específicos.
Qué hacer a continuación
Conviene comenzar separando las obligaciones obligatorias actuales del objetivo de diseño probable para el futuro. Las obligaciones obligatorias actuales suelen estar en la legislación sobre privacidad, protección al consumidor, derechos humanos, normativa sectorial y derecho penal. El objetivo de diseño probable para el futuro es el modelo al estilo AIDA de clasificación de riesgos, documentación, seguimiento, transparencia e información de incidentes.
Mapee su patrimonio de IA por función, no solo por producto. Identifique qué sistemas desarrolla, cuáles adquiere, cuáles ajusta, cuáles opera y cuáles dependen de información personal. Ese mapeo de la cadena de valor es esencial porque tanto la vía AIDA propuesta como las directrices de privacidad actuales parten de que la responsabilidad se comparte entre el diseño, el despliegue y la operación.
Para la IA generativa, adopte los controles del código voluntario aunque no sea signatario. Construya un marco de riesgos proporcionado, realice pruebas de uso indebido y sesgo, documente capacidades y limitaciones, registre incidentes, establezca puntos de supervisión humana, gestione el riesgo cibernético y decida cómo etiquetará la interacción con IA o el contenido generado cuando pueda haber confusión.
Si opera en Quebec, trate las evaluaciones de impacto sobre la privacidad, la configuración de privacidad por defecto y los derechos de revisión de decisiones automatizadas como requisitos del producto, no como añadidos legales de última hora.
Por último, siga de cerca el reinicio del proceso legislativo federal. El marco de IA de Canadá evoluciona rápidamente, y el próximo proyecto de ley podría reutilizar gran parte de la arquitectura de AIDA modificando detalles importantes sobre el ámbito de aplicación, la IA de uso general y la transparencia.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es AIDA actualmente ley en Canadá?
No. AIDA fue propuesta en el proyecto de ley C-27, pero no completó el proceso legislativo y no está en vigor.
¿Regula Canadá la IA en este momento?
Sí. Canadá ya regula muchas actividades de IA a través de la legislación sobre privacidad, la legislación sobre derechos humanos, la protección al consumidor, la supervisión sectorial y el derecho penal. La IA generativa avanzada también está cubierta por un código voluntario federal.
¿Cuál es el estrato legal vigente más importante para la IA comercial en Canadá?
En muchos casos es la legislación sobre privacidad. A nivel federal, eso suele significar PIPEDA, con las leyes de privacidad provinciales para el sector privado desempeñando un papel importante en Alberta, Columbia Británica y especialmente Quebec.
¿Se aplica el código voluntario federal a todas las herramientas de IA?
No. Está orientado a los sistemas avanzados de IA generativa con capacidades de uso general, aunque muchos de sus controles son útiles para una gama más amplia de sistemas.
¿Qué tiene de especial Quebec?
Quebec exige evaluaciones de impacto sobre la privacidad para muchos proyectos de sistemas que implican información personal, configuraciones de protección de la privacidad por defecto para productos o servicios con ajustes de privacidad, y notificación más una vía de revisión humana para las decisiones basadas exclusivamente en el procesamiento automatizado.
¿Pueden los reguladores canadienses ya examinar el entrenamiento de modelos de IA?
Sí. La investigación conjunta sobre OpenAI de 2026 demuestra que los reguladores están dispuestos a examinar los datos de entrenamiento extraídos de la web, el entrenamiento con conversaciones de usuarios, la transparencia, la exactitud, la retención, el acceso y la corrección utilizando las leyes de privacidad actuales.
¿Quién habría aplicado AIDA si hubiera sido aprobada?
El modelo propuesto atribuía la administración y la aplicación principalmente al Ministro de Innovación, Ciencia e Industria, con el apoyo de un nuevo Comisionado de IA y Datos.
¿Deben las organizaciones ignorar AIDA hasta que se presente un nuevo proyecto de ley?
No. AIDA no es derecho vinculante, pero su estructura sigue siendo una señal de planificación sólida sobre los probables requisitos federales futuros y es útil para construir la gobernanza ahora.