¿Qué es la regulación de la IA en Costa Rica?
Regulación de la IA: países y regiones
Costa Rica aún no cuenta con una ley de IA única y promulgada. A 5 de junio de 2026, su modelo de gobernanza de la IA se construye a partir de la Estrategia Nacional de Inteligencia Artificial 2024-2027, leyes vigentes como las normas de protección de datos personales, orientaciones sectoriales y dos proyectos de ley de IA en competencia: el Expediente 23.771 y el Expediente 23.919. En otras palabras, Costa Rica tiene un enfoque nacional emergente en materia de gobernanza de la IA, pero no un régimen regulatorio de IA plenamente establecido y promulgado.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Costa Rica, la "regulación de la IA" significa actualmente una combinación de política pública, legislación horizontal vigente y propuestas legislativas. El marco oficial más claro es la Estrategia Nacional de Inteligencia Artificial, conocida como ENIA, lanzada en octubre de 2024 y que establece una hoja de ruta 2024-2027 para el uso ético, seguro y responsable de la IA.
Eso es distinto de contar con una ley específica de IA. Costa Rica ya dispone de normas vinculantes relevantes para la IA, especialmente en materia de datos personales, y algunas instituciones públicas han comenzado a emitir sus propias reglas internas sobre IA. Al mismo tiempo, el Congreso ha estado examinando dos amplios proyectos de ley de IA que regularían el campo de maneras bastante diferentes.
La situación práctica es, por tanto, la siguiente: las organizaciones no pueden asumir que no existen reglas, pero tampoco pueden tratar a Costa Rica como si ya contara con un AI Act definitivo. Es mejor entenderla como una jurisdicción en transición, con una estrategia en vigor, obligaciones legales de base ya activas y legislación aún en debate.
Por qué importa
Esto importa porque las organizaciones que despliegan IA en Costa Rica deben tomar decisiones antes de que el Congreso resuelva el debate legislativo más amplio. Fundadores, compradores, organismos públicos, asesores y proveedores pueden estar ya gestionando datos personales, automatizando partes de servicios, probando IA generativa en flujos de trabajo del personal o vendiendo productos habilitados con IA en sectores regulados. En todos esos casos, el trabajo de gobernanza no puede esperar a una futura ley marco.
Costa Rica también utiliza la política de IA como parte de una agenda más amplia de Estado digital y desarrollo económico. ENIA vincula la IA con la modernización de los servicios públicos, el talento, la infraestructura, el 5G, la investigación, la cooperación internacional y un eventual entorno de pruebas regulatorio. Eso hace que el país sea relevante no solo para el cumplimiento normativo local, sino también para la entrada al mercado, la contratación pública, los proyectos público-privados y la comparación de políticas regionales.
El riesgo estratégico es malinterpretar la jurisdicción. Si se asume que Costa Rica ya cuenta con una ley de IA consolidada, se pueden sobreestimar las obligaciones legales actuales. Si se asume que no tiene ninguna gobernanza de la IA significativa, se pueden pasar por alto las obligaciones vigentes de protección de datos, las normas sectoriales y los pasos de preparación para el futuro que ambos proyectos pendientes harían más importantes.
Cómo funciona
Situación jurídica actual
Costa Rica no parece contar con una ley específica de IA en vigor a 5 de junio de 2026. El panorama jurídico oficial se compone, en cambio, de tres capas. En primer lugar, está ENIA 2024-2027, que es política gubernamental y no un acto parlamentario. En segundo lugar, existen normas vinculantes vigentes, sobre todo el régimen de datos personales establecido en la Ley N.° 8968 y la autoridad de PRODHAB. En tercer lugar, hay propuestas legislativas pendientes que, de aprobarse, crearían un marco de IA más explícito.
Esa distinción es importante. Una estrategia puede orientar ministerios, presupuestos, proyectos públicos y regulaciones futuras, pero no tiene el mismo efecto jurídico que una ley promulgada. Por ahora, el modelo de IA de Costa Rica se describe mejor como liderado por políticas e institucionalmente activo, con legislación aún sin resolver.
ENIA es la columna vertebral de la política
La Estrategia Nacional de Inteligencia Artificial 2024-2027 es la declaración oficial más clara sobre la dirección que toma Costa Rica. MICITT la presenta como la hoja de ruta del país para la adopción y el desarrollo responsable de la IA. Se enmarca en torno al uso ético, inclusivo y sostenible, con fuerte énfasis en la dignidad humana, la transparencia, la equidad, la supervisión humana, la gestión de riesgos y la ciberseguridad.
El plan de acción publicado otorga a esta estrategia un contenido operativo real. Se organiza en siete ejes: IA ética, segura y responsable; articulación territorial y desarrollo económico; investigación, desarrollo e innovación; gobierno inteligente; talento y formación; infraestructura digital y tecnologías habilitadoras; y liderazgo internacional. Por eso ENIA importa aunque no sea en sí misma una ley. Indica qué instituciones deben actuar, qué tipos de proyectos se esperan y qué plazos y métricas utiliza el gobierno para hacer seguimiento del progreso.
El plan de acción también muestra que Costa Rica intenta construir un modelo de gobernanza de la IA, no solo enunciar principios. Incluye trabajo sobre un entorno de pruebas regulatorio de IA, un marco ético y normativo propuesto para el diagnóstico clínico asistido por IA en salud, políticas institucionales de IA, formación para funcionarios públicos, despliegues de IA en gobiernos locales, un centro nacional de excelencia y vínculos con el 5G y la infraestructura digital.
La legislación vinculante vigente ya condiciona el uso de la IA
La base vinculante más importante en la actualidad es el régimen de datos personales de Costa Rica. La Ley N.° 8968 se aplica al tratamiento automatizado y manual de datos personales en bases de datos tanto públicas como privadas. Protege la autodeterminación informativa, exige notificación sobre la recopilación de datos y su finalidad, requiere en general el consentimiento expreso salvo que se aplique una excepción legal, y reconoce a las personas derechos de acceso, rectificación y supresión. También restringe las transferencias de datos y faculta a PRODHAB para inspeccionar, ordenar medidas correctivas e imponer sanciones.
Para la gobernanza de la IA, eso implica un punto sencillo pero importante: si su sistema de IA utiliza datos personales, la legislación costarricense ya es aplicable. Las organizaciones no necesitan esperar a una futura ley de IA para abordar la base jurídica, los avisos, la calidad de los datos, la disciplina de almacenamiento, los derechos de acceso y la responsabilidad interna.
Las instituciones sectoriales también pueden avanzar por su cuenta. Un buen ejemplo es el poder judicial. En febrero de 2026, la Corte Suprema de Justicia emitió reglas éticas y directrices para el personal judicial que utiliza herramientas de IA generativa como ChatGPT, Gemini y NotebookLM. Eso no crea una ley nacional general de IA, pero sí muestra cómo Costa Rica ya está produciendo gobernanza de IA a nivel sectorial en la práctica.
Qué haría el proyecto 23.771
El Expediente 23.771, "Ley de Regulación de la Inteligencia Artificial en Costa Rica", es la propuesta más reconociblemente basada en riesgos de las dos amplias propuestas. El texto sustitutivo descrito en los materiales de consulta universitaria oficial convertiría a MICITT en el rector de la política, los planes y las orientaciones en materia de IA, y le otorgaría funciones de registro, supervisión y auditoría de los sistemas de IA. En los ámbitos de su competencia, SUTEL aportaría criterios técnicos, y el proyecto prevé el desarrollo reglamentario para definir algunos detalles.
Su arquitectura es comparativamente compacta. Incluye principios éticos, supervisión humana, protección de datos, ámbitos de aplicación sectoriales, evaluación de impacto para sistemas de alto riesgo y una taxonomía de riesgos. Las categorías se asemejan a la lógica de otros proyectos de ley de IA comparados: riesgo inaceptable, alto riesgo, riesgo limitado y riesgo mínimo. Con ese enfoque, ciertas prácticas manipuladoras o que amenacen derechos quedarían prohibidas; los sistemas de alto riesgo enfrentarían obligaciones más estrictas; los chatbots y los deepfakes requerirían divulgación; y los sistemas de bajo riesgo recibirían un tratamiento más ligero.
El atractivo práctico del 23.771 es la claridad de su estructura. Ofrece a los operadores un mapa de cumplimiento más familiar: identificar el nivel de riesgo, documentar el caso de uso, evaluar los impactos sobre los derechos humanos y la discriminación, establecer supervisión humana, respetar las normas de datos y aplicar reglas de transparencia para los sistemas orientados al cliente o que generen contenido sintético. La debilidad práctica es que detalles importantes quedan pendientes de regulación posterior y las sanciones están menos desarrolladas que en algunos otros modelos.
Qué haría el proyecto 23.919
El Expediente 23.919, "Ley para la Promoción Responsable de la Inteligencia Artificial en Costa Rica", sigue un camino diferente. Es más amplio, más institucional y con mayor peso en gobernanza. También otorga a MICITT el papel de rector, pero va más lejos al crear la Comisión Interinstitucional para el Desarrollo de la Inteligencia Artificial, o CIDIA, y un comité asesor ético, técnico y científico independiente.
Esta propuesta no se limita a enunciar principios. Construye un aparato de gobernanza. Según el texto sustitutivo descrito en los materiales de consulta oficial, CIDIA podría promover iniciativas de IA, proponer reglamentos, apoyar la cooperación público-privada, mantener un registro nacional para proyectos de IA de interés público, apoyar la formación y aprobar un certificado de alto riesgo para determinados proyectos. El comité asesor examinaría las propuestas y produciría la base ética y técnica necesaria para las decisiones de CIDIA.
El proyecto también profundiza en la gobernanza operativa. Incluye obligaciones de transparencia y explicabilidad para las instituciones públicas y los receptores de fondos públicos, informes a CIDIA e informes anuales a la Contraloría General, registro de proyectos declarados de interés público, obligaciones de ciberseguridad, procedimientos de reclamación a través de MICITT, protecciones e información para los trabajadores, y multas administrativas, incluso por operar sin el certificado de alto riesgo requerido o por utilizar IA para desinformar o producir medios sintéticos engañosos.
Para los operadores, eso hace que el 23.919 se parezca menos a una simple ley de principios de IA y más a un sistema de gobernanza procedimental. Probablemente importaría más cuando la IA esté financiada con fondos públicos, declarada de interés público, utilizada en entornos sensibles o vinculada al ámbito laboral, la transparencia o la administración pública.
Instituciones y aplicación práctica
Hoy, la institución pública más importante para la política nacional de IA es MICITT. Para las cuestiones vinculantes de privacidad, PRODHAB es central. Los organismos sectoriales también importan donde ya supervisan flujos de trabajo relevantes, como los tribunales. Si el proyecto 23.771 se convirtiera en ley, MICITT y SUTEL pasarían a ser más centrales en la supervisión basada en riesgos. Si el proyecto 23.919 se convirtiera en ley, MICITT seguiría siendo central, pero CIDIA y su comité asesor se convertirían en pasarelas procedimentales clave.
Esto importa en la práctica porque el mismo sistema de IA puede estar en más de un carril de gobernanza. Una herramienta del sector público puede involucrar a ENIA como política, a la Ley 8968 como ley de privacidad vinculante, a normas sectoriales internas, a normas de contratación pública y, eventualmente, a una nueva ley de IA si se aprueba alguna. Esa es otra razón por la que Costa Rica debe tratarse como un modelo emergente y no como un régimen de código único.
Aspectos del modelo aún sin resolver
El modelo actual de Costa Rica no está consolidado por tres razones. En primer lugar, los dos grandes proyectos de ley no apuntan exactamente en la misma dirección. Uno está más orientado a la clasificación de riesgos y la supervisión. El otro es más institucional y procedimental. En segundo lugar, los organismos oficiales ya han señalado problemas de coordinación. La Contraloría General advirtió que el proyecto 23.919 necesitaba una mejor alineación con las estructuras digitales de gobierno existentes y con la política pública más amplia, en lugar de simplemente añadir nuevos órganos sin un diseño sistémico claro. En tercer lugar, algunas partes del plan de acción de ENIA son más fáciles de identificar como compromisos de política que como instrumentos vinculantes definitivos.
Un ejemplo práctico es la salud. El plan de acción de ENIA fijó un objetivo para un marco normativo y ético para el diagnóstico clínico asistido por IA en salud, pero ese objetivo es más fácil de rastrear como meta de política que como instrumento final claramente promulgado en la base de datos jurídica oficial en el momento de la investigación. Lo mismo ocurre con el entorno de pruebas regulatorio de IA. La estrategia apunta claramente hacia él, y los documentos de planificación gubernamental muestran trabajo en su diseño, pero eso no es lo mismo que un entorno de pruebas plenamente operativo con criterios de acceso y normas publicadas.
Ejemplos
Un hospital, clínica o proveedor de tecnología médica que utilice diagnóstico asistido por IA en Costa Rica no puede esperar a que el Congreso concluya el debate más amplio sobre IA. Las obligaciones en materia de datos personales ya se aplican en virtud de la Ley N.° 8968, y el plan de acción de ENIA reserva específicamente un marco normativo y ético para el software de diagnóstico clínico que utiliza IA. La lectura práctica es que la privacidad, la revisión humana, la seguridad y la responsabilidad clínica deben incorporarse ahora, aunque el instrumento de IA específico para la salud no fuera claramente identificable como norma general promulgada durante esta investigación.
Un ministerio, municipio o proveedor estatal que pilote IA para la prestación de servicios ya opera dentro de la implementación de ENIA. El plan de acción oficial incluye mejoras de servicios municipales con IA, funcionalidades de IA para el Ministerio de Hacienda y preevaluaciones habilitadas por IA en la gestión de emergencias. Si cualquiera de los dos grandes proyectos avanza, este tipo de proyectos son exactamente los que con mayor probabilidad enfrentarán expectativas formales de gobernanza, ya sea a través de un modelo de impacto basado en riesgos bajo el proyecto 23.771 o de una vía de aprobación e informes liderada por CIDIA bajo el proyecto 23.919.
El poder judicial ya ha avanzado con sus propias salvaguardas. En febrero de 2026, la Corte Suprema de Justicia emitió normas para el uso de IA generativa por parte del personal judicial. Ese es un ejemplo concreto del modelo actual de Costa Rica en acción: el país aún no tiene una ley de IA consolidada, pero las instituciones ya están estableciendo normas de gobernanza de la IA donde detectan necesidades operativas.
Malentendidos frecuentes
Un error habitual es afirmar que Costa Rica ya tiene "la ley de IA". No es así. Lo que tiene es una estrategia de IA, legislación de base vigente, orientaciones sectoriales y propuestas legislativas pendientes.
Otro error es tratar ENIA como si fuera equivalente a un acto parlamentario. Es importante y operativamente útil, pero sigue siendo un marco de política e implementación, no una ley única que cree un código completo de cumplimiento en materia de IA.
También es incorrecto asumir que los dos grandes proyectos de ley son básicamente duplicados. Se solapan, pero su lógica de diseño es diferente. El proyecto 23.771 se acerca más a un modelo de supervisión basado en riesgos. El proyecto 23.919 es más amplio e institucional, con nuevos órganos, registro, gobernanza de proyectos de interés público y sanciones administrativas específicas.
Algunas organizaciones asumen que solo los desarrolladores de IA necesitan seguir de cerca Costa Rica. Eso es demasiado restrictivo. Compradores, desplegadores, organismos públicos, empleadores y proveedores transfronterizos pueden verse afectados, especialmente cuando los sistemas tratan datos personales o condicionan servicios importantes.
Un último malentendido es que la ausencia de una ley de IA promulgada implica que no hay trabajo de cumplimiento actual. En realidad, la ley de privacidad ya es aplicable, los organismos sectoriales pueden emitir sus propias normas de IA y la dirección legislativa es lo suficientemente clara como para que la documentación de gobernanza elaborada ahora difícilmente resulte inútil.
Riesgos y límites
El límite principal es el estatus jurídico. A 5 de junio de 2026, el marco amplio de IA de Costa Rica sigue siendo emergente. ENIA está en vigor como política. Los dos grandes proyectos de ley de IA siguen siendo propuestas. Dado que los textos en tramitación pueden cambiar, las organizaciones deben evitar tratar cualquier obligación pendiente como si ya fuera derecho vinculante.
También existe un riesgo de coordinación. Los comentarios oficiales sobre el proyecto 23.919 han advertido sobre posibles solapamientos con las estructuras digitales de gobierno existentes y la necesidad de alinear la legislación de IA con los planes más amplios de modernización del Estado. Eso es un recordatorio de que Costa Rica aún está definiendo no solo qué normas de IA desea, sino también qué instituciones deben ser responsables de ellas.
Otro límite es la visibilidad de la implementación. El plan de acción de ENIA es detallado y ambicioso, pero no todos los instrumentos previstos son fáciles de verificar como normas definitivas en vigor. La lectura más prudente es que la estrategia marca la dirección y los compromisos públicos, mientras que el borde jurídico más firme sigue dependiendo de las leyes vigentes, las directivas sectoriales y cualquier legislación o reglamento futuro.
Este artículo explica el marco público en un momento determinado. No constituye asesoramiento jurídico y no sustituye la revisión específica por sector para casos de uso en salud, finanzas, justicia, trabajo, educación o contratación pública.
Qué hacer a continuación
Trate Costa Rica como una jurisdicción de gobernanza de la IA emergente, ni una pizarra en blanco ni un código terminado. Comience por identificar cuáles de sus sistemas utilizan datos personales, automatizan decisiones, generan contenido sintético, apoyan servicios públicos u operan en sectores sensibles. Aplique la Ley N.° 8968 ahora, especialmente en lo relativo a avisos, consentimiento cuando sea necesario, calidad de los datos, derechos de los interesados y flujos de datos con proveedores.
A continuación, prepárese para las obligaciones futuras probables que aparecen en ambos proyectos, aunque aún no sean ley: supervisión humana, explicabilidad, evaluación de riesgos, ciberseguridad, registros de gobernanza y líneas claras de responsabilidad. Si trabaja con el sector público o en proyectos que puedan enmarcarse como de alto impacto o de interés público, mantenga documentación reutilizable lista, incluidas declaraciones de finalidad, revisiones de riesgos, registros de pruebas, procedimientos de revisión humana, mapas de datos, rutas de escalada de incidentes y prácticas de etiquetado de contenido sintético.
Por último, haga seguimiento de MICITT, las actualizaciones de implementación de ENIA y las normas sectoriales específicas. En Costa Rica, la señal práctica de cumplimiento proviene tanto del despliegue de políticas y las orientaciones institucionales como del Congreso.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Costa Rica una ley de IA en vigor?
No existe una ley nacional específica de IA, según las fuentes oficiales revisadas a 5 de junio de 2026. El marco vigente es ENIA, las leyes existentes como la Ley N.° 8968, las orientaciones sectoriales y los proyectos de ley de IA pendientes.
¿Es ENIA jurídicamente vinculante?
ENIA es una estrategia nacional y un plan de acción. Es muy relevante para la política pública, la implementación y la elaboración futura de normas, pero no equivale a una ley parlamentaria de IA promulgada.
¿Cuál de los proyectos de ley de IA de Costa Rica se acerca más a un modelo basado en riesgos?
El proyecto 23.771. Utiliza categorías de riesgo, evaluación de impacto, supervisión humana y obligaciones de transparencia para usos de mayor riesgo o de contenido sintético.
¿Qué proyecto crearía nuevos órganos de gobernanza de la IA?
El proyecto 23.919. Crearía CIDIA y un comité asesor ético, técnico y científico, junto con mecanismos de registro, informes y certificación de alto riesgo.
¿Cuáles son las principales instituciones a seguir?
MICITT es el actor central de política. PRODHAB es relevante para los datos personales. Los organismos sectoriales también importan, y el poder judicial ya ha emitido sus propias normas sobre IA generativa. Si el proyecto 23.771 se aprobara, SUTEL adquiriría un papel técnico más claro en determinados ámbitos.
¿Necesitan los proveedores extranjeros de IA adaptarse ahora, incluso antes de que se apruebe una nueva ley de IA?
Sí. Si tratan datos personales, apoyan servicios públicos o despliegan herramientas en entornos sensibles, ya deben localizar sus prácticas de privacidad, transparencia, seguridad, mantenimiento de registros y revisión humana.
¿Existe ya un entorno de pruebas regulatorio de IA en Costa Rica?
El plan de acción de ENIA lo contempla claramente, y los documentos de planificación oficial muestran trabajo en su diseño. Sin embargo, no se confirmó durante esta investigación la existencia de un entorno de pruebas nacional de IA plenamente operativo con normas públicas definitivas.
¿Pueden las organizaciones esperar a que el Congreso concluya el debate?
Sería arriesgado. La legislación vigente ya es aplicable, las normas sectoriales están apareciendo y la dirección de ambas propuestas legislativas favorece a las organizaciones que ya han desarrollado disciplina de gobernanza.