¿Qué es la regulación de la IA en Ecuador?
Regulación de la IA: países y regiones
Ecuador aún no cuenta con una ley específica sobre IA. A junio de 2026, la IA se rige principalmente por la Ley Orgánica de Protección de Datos Personales de 2021, su reglamento de aplicación de 2023 y la supervisión de la Superintendencia de Protección de Datos Personales. Esa base jurídica convive ahora con una estrategia nacional de IA de 2026, trabajos de entorno de pruebas liderados por MINTEL y una norma de la SPDP relacionada con la IA para sistemas que tratan datos personales. En la práctica, el enfoque de Ecuador es incipiente, orientado a la protección de datos y basado en riesgos.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Ecuador aún no opera bajo un único estatuto de IA. Las normas transversales más sólidas y confirmadas provienen hoy del derecho de datos personales. Si un sistema de IA utiliza datos personales, las organizaciones ya necesitan una base jurídica, avisos claros, seguridad adecuada y respeto por los derechos en materia de perfilado y decisiones automatizadas.
La Superintendencia de Protección de Datos Personales, habitualmente abreviada como SPDP, es el principal regulador a seguir donde la IA y los datos personales se cruzan. Puede investigar, sancionar, emitir normas técnicas y exigir medidas correctivas. Esto significa que la gobernanza de la IA en Ecuador ya se está ejerciendo a través de la supervisión en materia de protección de datos, incluso sin una ley de IA completa.
Al mismo tiempo, el Ministerio de Telecomunicaciones y de la Sociedad de la Información, MINTEL, está construyendo la capa de política pública. Su estrategia de IA de 2026 y el entorno de pruebas regulatorio planificado muestran que Ecuador está pasando del diagnóstico y el diseño de políticas a una gobernanza de la IA más estructurada. En términos latinoamericanos, se trata de un marco incipiente, no de un código terminado.
Por qué importa
Si desarrolla, adquiere o despliega IA en Ecuador, la ausencia de una ley específica sobre IA no significa que no haya regulación. La pregunta clave es si su sistema trata datos personales, especialmente datos sensibles, de salud, biométricos o de menores, o si contribuye a tomar decisiones sobre personas. Si es así, el régimen de datos personales de Ecuador ya genera obligaciones en materia de base jurídica, transparencia, privacidad desde el diseño, seguridad, análisis de riesgos y evaluación de impacto.
Esto tiene efectos prácticos para fundadores, compradores empresariales, organismos públicos y asesores. La contratación exige una mayor diligencia con los proveedores. Los equipos de producto deben entender si un modelo perfila personas o apoya decisiones con efectos jurídicos o consecuencias igualmente graves. Los equipos de cumplimiento deben saber cuándo se requiere un delegado de protección de datos, cuándo una evaluación de impacto se vuelve obligatoria y cuándo un proveedor extranjero puede quedar dentro del alcance de la normativa ecuatoriana.
También importa porque los reguladores ecuatorianos no están esperando a una futura ley de IA para actuar. La SPDP ya ha ejercido sus poderes sancionadores en casos digitales y biométricos, y ha comenzado a emitir instrumentos de protección de datos relacionados con la IA. Por tanto, el riesgo práctico no es solo la legislación futura, sino también la aplicación actual, las órdenes de corrección y las sanciones económicas.
Cómo funciona
Aún no existe una ley específica sobre IA
Ecuador no cuenta actualmente con un único estatuto de IA transversal que resuelva todo por sí solo. La capa jurídica más exigente sigue siendo el marco de datos personales. La capa más flexible es la política digital nacional, que incluye los documentos de planificación de MINTEL, su estrategia de IA de 2026 y sus trabajos de entorno de pruebas. Esa distinción importa. La estrategia y la actividad del entorno de pruebas muestran dirección e intención, pero las obligaciones vinculantes a las que la mayoría de las organizaciones pueden remitirse hoy siguen derivando de la ley de datos personales y de los instrumentos de aplicación de la SPDP.
La ley de datos personales realiza la mayor parte del trabajo jurídico
La Ley Orgánica de Protección de Datos Personales de 2021 se aplica en los sectores público y privado. Establece bases jurídicas para el tratamiento, exige que las personas sean informadas sobre las finalidades, la base jurídica, la conservación, las transferencias y las vías de reclamación, y requiere específicamente que se notifique sobre valoraciones y decisiones automatizadas, incluido el perfilado. La ley también reconoce el derecho de las personas a no ser objeto de determinadas decisiones basadas total o parcialmente en valoraciones automatizadas cuando esas decisiones tienen efectos jurídicos o amenazan sus derechos fundamentales. Una persona puede solicitar una explicación motivada, presentar observaciones, pedir los criterios utilizados por el programa automatizado, preguntar qué datos se usaron y de dónde procedían, y recurrir la decisión.
Esto hace que la ley sea directamente relevante para los sistemas de IA utilizados en crédito, seguros, contratación, prestación de servicios públicos, puntuación conductual, verificación de identidad y cualquier otro contexto en que la inferencia basada en datos afecte a las personas. La ley también trata los datos sensibles, los datos de salud, los datos de menores y los datos relacionados con discapacidades como categorías especiales, lo que eleva aún más el listón del cumplimiento.
La misma ley incorpora un modelo de gobernanza que resultará familiar a quienes hayan trabajado con regímenes modernos de privacidad. Exige la protección de los datos personales desde la fase de diseño y por defecto. Requiere el análisis de riesgos, amenazas y vulnerabilidades. Exige una evaluación de impacto cuando el tratamiento pueda conllevar un alto riesgo. La evaluación de impacto es obligatoria en casos específicos, incluida la evaluación personal sistemática y exhaustiva basada en tratamiento automatizado, como el perfilado, cuando de ella se derivan decisiones con efectos jurídicos. Los organismos públicos deben designar un delegado de protección de datos, y algunos actores del sector privado también deben hacerlo, especialmente cuando existe supervisión sistemática o tratamiento a gran escala de datos de categorías especiales.
El reglamento de 2023 hace el marco más operativo
El reglamento de aplicación de 2023, aprobado mediante el Decreto 904, desarrolla el funcionamiento práctico de la ley. Aclara el alcance territorial, incluidos los casos en que actores fuera de Ecuador pueden quedar dentro del régimen y pueden necesitar designar un representante especial en el país. Explica el tratamiento a gran escala y ofrece ejemplos relevantes para los sistemas digitales, como la publicidad conductual y la geolocalización a gran escala. También añade detalle sobre el interés público y el interés legítimo como bases jurídicas, reforzando que el tratamiento debe mantenerse proporcional y transparente.
Para la gobernanza de la IA, esto importa porque significa que las normas ecuatorianas no se limitan a productos alojados localmente o a empresas nacionales. Si un proveedor extranjero de IA o un suministrador de modelos participa en el tratamiento de datos personales de ciudadanos ecuatorianos, el reglamento puede resultar aplicable.
La SPDP es el regulador práctico a seguir
La SPDP es la autoridad de control y aplicación en materia de protección de datos personales. La ley le otorga amplias funciones: supervisión, control, gestión de reclamaciones, auditorías técnicas, poderes sancionadores, potestad normativa, administración del Registro Nacional de Protección de Datos Personales y supervisión de las transferencias internacionales.
Por eso la regulación de la IA en Ecuador ha comenzado a desarrollarse a través de la actuación de la SPDP. La autoridad publica una norma de 2026 sobre protección de datos personales en el uso de sistemas de IA. En sus propias comunicaciones públicas, la SPDP señala que esta norma implica que cualquier organización que utilice sistemas de IA para tratar datos personales de ciudadanos ecuatorianos debe cumplir los principios, derechos y obligaciones de la ley, aplicando un enfoque basado en riesgos y medidas de seguridad proporcionales. En otras palabras, el movimiento regulatorio específico sobre IA en Ecuador se está produciendo actualmente dentro del perímetro de la protección de datos.
La postura de aplicación de la SPDP también demuestra que el marco está vigente. En enero de 2026 anunció sanciones contra LIGAPRO y la Federación Ecuatoriana de Fútbol por aplicaciones de tipo FAN ID. El mensaje de la autoridad fue claro: la privacidad desde el diseño, el tratamiento de datos biométricos, una metodología de riesgos adaptada y una evaluación de impacto correctamente calibrada no son extras opcionales de cumplimiento. Son obligaciones legales.
La política nacional de IA avanza más rápido que la legislación primaria
El trabajo de política de IA de MINTEL no surgió de la noche a la mañana. Documentos de planificación anteriores ya reclamaban un marco flexible para las tecnologías emergentes y vinculaban la IA a la ética, la imparcialidad, la transparencia, la responsabilidad, la seguridad, la privacidad y la no discriminación. El plan sectorial de MINTEL señala que un diagnóstico nacional de IA de 2021 sirvió de insumo para trabajos estratégicos posteriores, que se creó un comité consultivo de IA para apoyar la coordinación y que la recomendación ética de UNESCO se estaba utilizando como punto de referencia para el diseño de políticas.
En 2025, MINTEL también realizó trabajos participativos sobre lineamientos de IA ética y responsable, apoyándose en la metodología RAM de UNESCO y en la evaluación AILA del PNUD. Luego, en 2026, el panorama de política pública se concretó. MINTEL indica que la estrategia nacional para la promoción de la IA ética y responsable en Ecuador fue emitida mediante Acuerdo Ministerial No. 0030 de 19 de enero de 2026 y presentada públicamente el 10 de marzo de 2026. Sus tres pilares son gobernanza, capacidades y tecnología, y adopción y desarrollo. El 24 de marzo de 2026, MINTEL anunció un entorno de pruebas regulatorio para la IA. Eso es importante, pero debe leerse como infraestructura de gobernanza y experimentación controlada, no como sustituto de un estatuto integral de IA.
Su contexto latinoamericano es el de una construcción por etapas
UNESCO señaló que Ecuador se convirtió en 2025 en el tercer país de América Latina en implementar su Metodología de Evaluación de Preparación. Eso ayuda a explicar el camino de Ecuador. En lugar de comenzar con una única ley de IA, el país ha avanzado a través del diagnóstico, la consulta, las referencias éticas, la aplicación de la protección de datos, la orientación del regulador, la estrategia nacional y la planificación del entorno de pruebas. Ecuador no está inactivo, pero tampoco es aún una jurisdicción con una ley de IA plenamente codificada. Se encuentra en la fase de construcción.
Ejemplos
Una aseguradora, entidad de crédito o empleador utiliza un modelo de IA para puntuar a personas. En Ecuador, la pregunta clave de cumplimiento no es si la herramienta lleva la etiqueta "IA", sino si trata datos personales y contribuye a tomar una decisión sobre una persona. Si apoya una decisión con efectos jurídicos o consecuencias graves, la persona tiene derechos en materia de decisiones automatizadas y perfilado, y el tratamiento también puede activar una evaluación de impacto obligatoria.
Un ministerio, municipio u otro organismo público despliega IA para prestar servicios, priorizar casos o gestionar solicitudes. El uso en el sector público no está exento. Las autoridades públicas necesitan una base jurídica adecuada vinculada al interés público o a las potestades públicas, deben respetar la proporcionalidad y la necesidad, y quedan sujetas a las normas sobre designación de delegados. En la práctica, la IA en el sector público ecuatoriano debe tratarse como un proyecto de gobernanza desde el inicio, no como un piloto técnico rápido.
Una aplicación de identidad digital o de acceso utiliza reconocimiento facial u otras verificaciones biométricas. Ecuador ya ofrece una señal concreta de aplicación en este ámbito. En enero de 2026, la SPDP sancionó a LIGAPRO por la aplicación FAN ID por no implementar la protección de datos desde el diseño y por defecto, especialmente en el tratamiento biométrico. El mismo día sancionó a la FEF por una metodología de riesgos inadecuada y una evaluación de impacto mal calibrada vinculada a su aplicación FAN FEF. Aunque esos casos no representan una ley de IA completa en acción, muestran exactamente cómo el marco actual de Ecuador actúa en despliegues digitales de alto riesgo.
Malentendidos frecuentes
Malentendido: "Ecuador ya tiene una ley de IA completa." Corrección: No. Ecuador cuenta con una gobernanza de la IA incipiente, pero el principal marco vinculante sigue siendo la ley de datos personales, su reglamento y la normativa de la SPDP.
Malentendido: "Si no hay ley de IA, la IA está básicamente sin regular." Corrección: Incorrecto. Si hay datos personales de por medio, Ecuador ya impone obligaciones de base jurídica, transparencia, seguridad, protección desde el diseño, análisis de riesgos y evaluación de impacto.
Malentendido: "Solo importa la IA del sector público por ahora." Corrección: No. La ley cubre a actores públicos y privados, y las sanciones de la SPDP ya muestran la exposición del sector privado.
Malentendido: "El consentimiento es siempre la única base jurídica para la IA." Corrección: No. La ley ecuatoriana reconoce varias bases jurídicas, pero cada una debe ajustarse a los hechos y utilizarse de forma transparente y proporcional.
Malentendido: "Una estrategia equivale a una ley." Corrección: No. La estrategia y el entorno de pruebas de MINTEL son instrumentos de política importantes, pero no sustituyen las obligaciones vinculantes que ya existen en el régimen de datos personales.
Riesgos y límites
El marco actual de Ecuador no es una copia local de una única ley de IA. Las fuentes oficiales revisadas no muestran un estatuto publicado de alcance nacional que clasifique todos los sistemas de IA en la economía en categorías de prohibidos, de alto riesgo y de bajo riesgo bajo un mismo paraguas. Las obligaciones vinculantes más claras hoy se encuentran dentro de la protección de datos personales, especialmente cuando los sistemas perfilan personas, utilizan datos biométricos u otras categorías especiales, u operan a gran escala.
Esto significa que el marco es más sólido donde hay datos personales de por medio y más débil donde no los hay. No debe asumirse que la estrategia nacional de IA por sí sola responde a todas las preguntas sobre derechos de autor, trabajo, seguridad de productos, competencia, contratación pública o responsabilidad sectorial específica. No es así.
También existe el problema de las partes en movimiento. La estrategia, los trabajos del entorno de pruebas y las normas secundarias de la SPDP pueden desarrollarse más rápido que la legislación primaria. Por tanto, la lectura más prudente es esta: Ecuador ya regula partes importantes de la IA a través de la ley de protección de datos y la actuación del regulador, pero aún está construyendo una arquitectura de gobernanza de la IA más completa.
Qué hacer a continuación
Mapear todos los casos de uso de IA que impliquen datos personales, incluidos el entrenamiento, las pruebas, el despliegue, la supervisión y el soporte de proveedores.
Separar los usos de baja sensibilidad de los usos de alto riesgo. Prestar especial atención a los sistemas que perfilan personas, utilizan datos biométricos u otras categorías especiales, o apoyan decisiones con efectos jurídicos o consecuencias igualmente graves.
Verificar la base jurídica, los avisos y los flujos de derechos de los usuarios. En Ecuador, esto incluye asegurarse de que las personas sean informadas sobre las valoraciones automatizadas y el perfilado cuando proceda, y de que las vías de impugnación y explicación funcionen realmente.
Determinar si se requiere un delegado de protección de datos, si una evaluación de impacto es obligatoria y si el análisis de riesgos es específico para el tratamiento real y no un mero ejercicio formal.
Revisar los contratos con proveedores, las estructuras transfronterizas y las líneas de responsabilidad. El reglamento de 2023 puede alcanzar a algunos actores fuera de Ecuador y puede exigir un representante local en determinados casos.
Tratar la estrategia de MINTEL y la normativa de la SPDP relacionada con la IA como una señal para madurar la gobernanza ahora. Esperar a una futura ley de IA es una premisa operativa equivocada.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Ecuador una ley específica sobre IA?
No. Ecuador aún no cuenta con un estatuto autónomo sobre IA. La columna vertebral actual es la ley de protección de datos personales, su reglamento de aplicación, la supervisión de la SPDP y medidas de política y secundarias más recientes.
¿Qué autoridad importa más hoy para el cumplimiento en materia de IA?
Cuando la IA implica datos personales, la principal autoridad es la Superintendencia de Protección de Datos Personales. MINTEL importa para la estrategia nacional y la política del entorno de pruebas, pero la SPDP es el principal órgano de supervisión.
¿Protege la ley ecuatoriana a las personas frente a las decisiones automatizadas?
Sí. La ley de datos personales reconoce derechos cuando las decisiones se basan total o parcialmente en valoraciones automatizadas, incluido el perfilado, si esas decisiones tienen efectos jurídicos o amenazan derechos fundamentales.
¿Cuándo es probable que se exija una evaluación de impacto?
Es obligatoria cuando el tratamiento pueda crear un alto riesgo, y la ley la exige en determinados casos, incluida la evaluación personal sistemática y exhaustiva basada en tratamiento automatizado que conduzca a decisiones con efectos jurídicos.
¿Deben preocuparse tanto las empresas privadas como los organismos públicos?
Sí. El marco de Ecuador se aplica a ambos sectores. Los organismos públicos tienen obligaciones de gobernanza adicionales, pero las empresas privadas también pueden ser investigadas, sancionadas y obligadas a adoptar medidas correctivas.
¿Alcanza el marco de Ecuador a los proveedores extranjeros de IA?
Potencialmente, sí. El reglamento de 2023 otorga al régimen alcance extraterritorial en algunos casos y puede exigir un representante especial en Ecuador.
¿Es la estrategia de IA de MINTEL jurídicamente vinculante del mismo modo que un estatuto?
No. Es una hoja de ruta de política oficial y una señal importante de la dirección del Estado, pero las obligaciones vinculantes más claramente en vigor hoy siguen derivando del marco de datos personales y de los instrumentos de la SPDP.