¿Qué es la regulación de IA en El Salvador?
Regulación de la IA: países y regiones
A diferencia de la mayoría de los países de Centroamérica, El Salvador cuenta con una ley específica sobre IA. La Ley de Fomento a Inteligencia Artificial y Tecnologias (Decreto Legislativo 234), aprobada en febrero de 2025, es una norma explícitamente orientada a la innovación que creó la Agencia Nacional de Inteligencia Artificial (ANIA) bajo la Presidencia de la República. Se complementa con la Ley de Protección de Datos Personales de 2024. El marco normativo favorece la promoción con intervención mínima, el registro voluntario y las obligaciones sectoriales específicas, en lugar del modelo de la EU AI Act basado en prohibiciones amplias.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
El Salvador es uno de los pocos países del mundo, y el primero en Centroamérica, en promulgar una ley específica sobre inteligencia artificial en lugar de apoyarse únicamente en una estrategia o en normas generales de datos y consumo. La Asamblea Legislativa aprobó la Ley de Fomento a Inteligencia Artificial y Tecnologias el 26 de febrero de 2025. Se publicó en el Diario Oficial el 3 de marzo de 2025 y entró en vigor el 11 de marzo de 2025. El propósito declarado de la ley es promover el desarrollo, la investigación y la aplicación de la IA para impulsar el avance tecnológico y el crecimiento económico, gestionando los riesgos asociados y estableciendo salvaguardas para los desarrolladores.
La ley creó un único regulador, la Agencia Nacional de Inteligencia Artificial (ANIA), adscrita a la Presidencia de la República. ANIA gestiona un Registro Nacional para el Desarrollo, la Innovación y la Aplicación de la IA, diseña un marco de evaluación de riesgos y actúa como ventanilla única de contacto para los trámites. En agosto de 2025, ANIA emitió disposiciones de implementación detalladas (Resolución 0001/2025) que establecen los criterios de registro, las obligaciones sectoriales y las vías de cumplimiento. Estas disposiciones entraron en vigor el 2 de septiembre de 2025.
Por su parte, El Salvador aprobó su primera Ley de Protección de Datos Personales integral (Decreto 144) en noviembre de 2024, supervisada por la Agencia Estatal de Ciberseguridad (ACE). Junto con la antigua Ley de Acceso a la Información Pública y la agenda digital más amplia, estos instrumentos conforman el marco jurídico en el que se gobierna la IA. La orientación general es deliberadamente permisiva: El Salvador se posiciona como una jurisdicción "IA-first" que contrasta su modelo con los regímenes más estrictos de otros países.
Por qué es importante
Para las organizaciones que despliegan o gobiernan IA, El Salvador presenta ahora una superficie de cumplimiento concreta en lugar de un vacío regulatorio. Las implicaciones prácticas son tres. En primer lugar, existen obligaciones reales de registro: los operadores de sistemas de IA que toman "decisiones de consecuencia" en sectores definidos (salud, finanzas y seguros, biometría pública, servicios gubernamentales, empleo, y educación o habilitación profesional) deben registrarse ante ANIA antes del despliegue y realizar evaluaciones de impacto algorítmico. En segundo lugar, cualquier tratamiento de datos personales debe cumplir también con la Ley de Protección de Datos de 2024, que contempla multas escalonadas y la obligación de notificar brechas en un plazo de 72 horas, aplicada por la ACE. En tercer lugar, el régimen está diseñado expresamente para atraer inversión, por lo que ofrece salvaguardas de responsabilidad, un entorno de pruebas regulatorio y el reconocimiento de estándares internacionales (como ISO/IEC 42001) como presunción de conformidad. Las empresas que identifiquen sus casos de uso frente a estos criterios con antelación pueden ganar certeza jurídica, mientras que quienes asuman que "no aplica ninguna norma" se arriesgan a incumplir un marco que ya está en vigor.
Cómo funciona
La norma rectora
El instrumento central es la Ley de Fomento a Inteligencia Artificial y Tecnologias, promulgada como Decreto Legislativo 234 del 26 de febrero de 2025 y publicada en el Diario Oficial No. 43, Tomo 446, el 3 de marzo de 2025, con entrada en vigor el 11 de marzo de 2025. El artículo 1 establece el objeto de la ley: contribuir al avance tecnológico y al crecimiento económico promoviendo el desarrollo, la investigación y la aplicación de la IA, mediante un marco regulatorio integral que gestione los riesgos asociados y genere salvaguardas pertinentes. El artículo 5 enumera los principios rectores: equidad, transparencia, responsabilidad, consentimiento informado, minimización de datos, inclusión y no discriminación. La ley se aplica a toda persona natural o jurídica, nacional o extranjera, que desarrolle, investigue, implemente, procese o utilice IA, aprendizaje automático, modelos generativos y tecnologías similares en relación con El Salvador. Se trata de derecho vinculante (hard law), no de una estrategia ni de un documento de política. El artículo 27 otorgó a ANIA un plazo de 90 días desde la fecha de entrada en vigor para emitir criterios técnicos de seguridad y normas de registro.
El regulador: ANIA
El artículo 7 creó la Agencia Nacional de Inteligencia Artificial (ANIA) como autoridad rectora para la promoción del desarrollo, la investigación y la aplicación de la IA, vinculada al Ejecutivo a través de la Presidencia de la República. Una reforma de julio de 2025 (Decreto 363) reforzó el estatus de ANIA, definiéndola como institución de derecho público descentralizada con personalidad jurídica propia, patrimonio y autonomía administrativa, presupuestaria, funcional y técnica, encabezada por un Director Ejecutivo. El presidente Nayib Bukele nombró a Mario Jose Flamenco Rivas, quien había dirigido el programa CUBO+ de la Oficina Nacional de Bitcoin y formado a más de 300 salvadoreños, como primer director de ANIA el 23 de junio de 2025. Las disposiciones de implementación de ANIA la organizan en divisiones de Normas Técnicas, Registro y Apoyo, Innovación y Educación, y Cooperación Internacional, respaldadas por un Comité Técnico Asesor integrado por representantes de la academia, la industria y el sector público.
Registro: voluntario y obligatorio
La Resolución 0001/2025 de ANIA (las disposiciones de implementación, en vigor desde el 2 de septiembre de 2025) divide el registro en dos modalidades. El registro voluntario permite a las entidades obtener las salvaguardas legales previstas en la ley, como la exención de responsabilidad por uso indebido de terceros cuando se acrediten esfuerzos razonables en materia de seguridad y ética. El registro obligatorio se aplica únicamente a los operadores cuyo sistema tome una "decisión de consecuencia" (aquella en la que la IA es el factor determinante que afecta materialmente el estatus jurídico, los derechos o el acceso a bienes y servicios esenciales de una persona) en seis usos enumerados: diagnóstico y tratamiento de salud; elegibilidad crediticia, de préstamos, de precios o de seguros; identificación biométrica en tiempo real en espacios públicos; ejercicio de potestades públicas o acceso a servicios y prestaciones gubernamentales; contratación, despido, promoción o remuneración sin supervisión humana significativa; y admisiones, calificaciones a gran escala, progresión académica o habilitación profesional. Los proveedores de modelos de uso general, la infraestructura y las herramientas para desarrolladores, las fases de investigación y formación puras, y el software de productividad de consumo ordinario quedan expresamente excluidos del registro obligatorio.
Evaluación de riesgos y vías de cumplimiento
Los operadores sujetos a registro obligatorio deben realizar una evaluación de impacto algorítmico que identifique los riesgos para las personas afectadas, evalúe la probabilidad y la gravedad, documente las medidas de mitigación, establezca procedimientos de seguimiento e incluya pruebas de sesgo y equidad adecuadas al sector. El cumplimiento puede acreditarse mediante autocertificación conforme a estándares reconocidos por ANIA (revisados anualmente), certificación por un organismo aprobado, o participación en el entorno de pruebas regulatorio supervisado por ANIA. Las disposiciones de implementación otorgan una presunción de conformidad a las entidades certificadas bajo estándares internacionales reconocidos, mencionando ISO/IEC 42001 (sistemas de gestión de IA), ISO/IEC 23894 (gestión de riesgos de IA), el NIST AI Risk Management Framework y varios estándares de la serie IEEE 7000. El entorno de pruebas ofrece un período de gracia de doce meses sin sanciones más una vía de certificación acelerada.
Decisiones automatizadas y revisión humana
Cuando la IA se utilice con fines comerciales o para conceder acceso a derechos o servicios, se debe informar a los usuarios si la decisión fue tomada íntegramente por IA o si simplemente fue influenciada por ella, y deben existir mecanismos que permitan a la persona recurrir la decisión ante una autoridad humana competente que pueda confirmarla, modificarla o revocarla. Se trata de una versión más acotada y sectorialmente condicionada de las protecciones de supervisión humana conocidas en el derecho de protección de datos de otros países.
Protección de datos y ciberseguridad como base
La Ley de Protección de Datos Personales (Decreto 144), publicada en el Diario Oficial No. 219, Tomo 445, el 15 de noviembre de 2024 y en vigor desde el 23 de noviembre de 2024, es la primera norma integral de protección de datos de El Salvador, tras el veto del presidente Bukele a un proyecto anterior de 2021. Establece los derechos ARCO-POL (acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación), exige consentimiento informado y la designación de un Delegado de Protección de Datos, impone la notificación de brechas en un plazo de 72 horas, y es aplicada por la Agencia Estatal de Ciberseguridad (ACE), creada por la Ley de Ciberseguridad y Seguridad de la Información (Decreto 143). Su régimen sancionador es escalonado: las infracciones leves conllevan multas de 1 a 10 salarios mínimos mensuales (sector comercio), las graves de 11 a 25, y las muy graves de 26 a 40. Cualquier uso de IA que implique datos personales debe cumplir con esta ley y con las normas de seguridad de la ACE. Cabe destacar que la propia ley de datos no exige evaluaciones de impacto en la protección de datos, por lo que esa obligación llega a través del marco de IA.
La agenda digital y el contexto de innovación
La ley de IA se apoya en un impulso digital preexistente. La Agenda Digital Nacional 2020-2030, desarrollada por la Secretaría de Innovación de la Presidencia, organiza la transformación digital en torno a la identidad digital, la innovación, la educación y la competitividad, y la gobernanza digital y la modernización del Estado. El Salvador cuenta también con una Ley de Fomento a la Innovacion y Manufactura Tecnologica que ofrece incentivos fiscales. La agenda de IA está estrechamente vinculada al posicionamiento tecnológico de alto perfil del país, incluidas sus iniciativas Bitcoin y el Laboratorio Nacional de Inteligencia Artificial, que en noviembre de 2025 convirtió a El Salvador en el primer país latinoamericano en recibir los chips de IA B300 (Blackwell Ultra) de NVIDIA, desplegados en una planta geotérmica. Flamenco ha citado a NVIDIA, Google AI y ARK como socios de ANIA.
Ejemplos
Un banco que despliega un modelo de IA para aprobar o denegar préstamos de consumo en El Salvador está tomando una decisión de consecuencia en virtud del artículo 11 de las disposiciones de implementación de ANIA. El operador debe registrarse ante ANIA antes del despliegue, completar una evaluación de impacto algorítmico que cubra sesgo y equidad, elegir una vía de cumplimiento (autocertificación, certificación por terceros o entorno de pruebas) y garantizar que el tratamiento de datos personales cumple con la Ley de Protección de Datos de 2024. Los clientes afectados deben ser informados de que intervino una IA y tener la posibilidad de recurrir ante un revisor humano.
Una empresa de software extranjera que ofrece un modelo de IA de uso general o una API en la nube a clientes salvadoreños queda expresamente excluida del registro obligatorio por ese solo motivo. Si esa misma empresa despliega posteriormente el sistema para alguno de los seis usos de consecuencia enumerados, deberá registrarse antes del despliegue. Las entidades extranjeras pueden registrarse sin constituir una filial local designando un Representante Designado ante ANIA.
Una empresa emergente que prueba una herramienta novedosa de IA generativa puede acceder al entorno de pruebas regulatorio de ANIA presentando una carta de intención, un plan básico de mitigación de riesgos y un compromiso de compartir las lecciones aprendidas. A cambio, obtiene un período de gracia de doce meses sin sanciones, retroalimentación regulatoria continua y una vía de certificación acelerada, antes de pasar a la vía de cumplimiento estándar.
Malentendidos frecuentes
"El Salvador no tiene ley de IA, solo una estrategia." Incorrecto. Cuenta con una norma vinculante (Decreto 234) en vigor desde marzo de 2025, con disposiciones de implementación detalladas en vigor desde septiembre de 2025.
"La ley es como la EU AI Act." Engañoso. La ley salvadoreña es de carácter promocional y de intervención mínima, basada en el registro voluntario, las salvaguardas de responsabilidad y un entorno de pruebas, y se contrapone explícitamente a los regímenes más estrictos. No impone la amplia lista de prácticas prohibidas de la UE ni sus obligaciones horizontales de alto riesgo.
"Todo despliegue de IA debe registrarse ante ANIA." No. El registro es obligatorio únicamente para los operadores que toman decisiones de consecuencia en seis sectores definidos. La mayoría de los usos, incluidos los proveedores de uso general y el software de productividad ordinario, no están sujetos al registro obligatorio.
"En El Salvador no existe protección de datos." Desactualizado. Una Ley de Protección de Datos Personales integral entró en vigor en noviembre de 2024, aplicada por la Agencia Estatal de Ciberseguridad, tras el veto a un proyecto anterior en 2021.
"ANIA es un organismo puramente promocional sin capacidad sancionadora." Parcialmente incorrecto. ANIA promueve y apoya la IA, pero también gestiona el registro obligatorio, establece el marco de evaluación de riesgos, reconoce estándares y supervisa el cumplimiento sectorial.
Riesgos y límites
El marco es reciente y aún está madurando, por lo que conviene señalar varios límites con claridad. La ley principal es pro-innovación por diseño: hace hincapié en la promoción, la participación libre y las salvaguardas para los desarrolladores más que en la aplicación coercitiva, y gran parte del detalle operativo reside en las disposiciones de implementación de ANIA más que en la propia norma. Las orientaciones técnicas secundarias de ANIA (por ejemplo, sobre excepciones a la minimización de datos y estándares reconocidos) siguen emitiéndose, por lo que las obligaciones específicas pueden evolucionar. El régimen no es un sistema integral de clasificación de riesgos como la EU AI Act; su ámbito obligatorio se limita a los sectores de decisión de consecuencia enumerados. La ley de protección de datos es aplicada por la Agencia Estatal de Ciberseguridad y no por una autoridad de privacidad independiente, y Human Rights Watch ha criticado las leyes de ciberseguridad y datos; su directora para las Américas, Juanita Goebertus, advirtió que "estas nuevas leyes podrían utilizarse para eliminar publicaciones en línea críticas con el gobierno bajo el pretexto de la protección de datos. Esto es una receta para la censura y la opacidad", señalando que los medios infractores podrían enfrentarse a multas de hasta 40 salarios mínimos mensuales. El Salvador no se ha adherido a los Principios de IA de la OECD y no ha firmado el Convenio Marco del Council of Europe sobre IA; en lo que respecta a la Recomendación de la UNESCO sobre la Ética de la IA, se encuentra en una fase inicial de "en preparación" de la Metodología de Evaluación de Preparación y no ha publicado un informe de país completo. Los lectores deben considerar los arreglos institucionales como susceptibles de cambio, dado que el estatus de ANIA ya fue reformado una vez en julio de 2025.
Próximos pasos
Conviene comenzar por mapear los casos de uso de IA frente a los seis sectores de registro obligatorio de ANIA y el criterio de "decisión de consecuencia"; si algún sistema es el factor determinante en una decisión que afecta a los derechos de residentes salvadoreños o a su acceso a servicios esenciales, es necesario planificar el registro antes del despliegue. Para esos sistemas, se debe realizar una evaluación de impacto algorítmico que cubra sesgo, equidad, mitigación y seguimiento. La Ley de Protección de Datos Personales de 2024 debe tratarse como una obligación paralela e independiente: designar un Delegado de Protección de Datos, documentar las bases jurídicas y el consentimiento, y establecer un proceso de notificación de brechas a la ACE en un plazo de 72 horas. Cuando proceda, conviene considerar el registro voluntario para obtener salvaguardas de responsabilidad, y valorar el entorno de pruebas regulatorio de ANIA para sistemas novedosos. Obtener la certificación conforme a estándares internacionales reconocidos, como ISO/IEC 42001, permite acceder a la presunción de conformidad. Por último, es recomendable seguir de cerca las orientaciones de ANIA y los indicadores que podrían modificar la postura adoptada: nuevos criterios sectoriales, directrices técnicas publicadas, calendarios de tasas y cualquier evolución desde un modelo promocional hacia una aplicación activa.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene El Salvador una ley específica sobre IA?
Sí. La Ley de Fomento a Inteligencia Artificial y Tecnologias (Decreto 234) fue aprobada el 26 de febrero de 2025, publicada el 3 de marzo de 2025 y entró en vigor el 11 de marzo de 2025. Es derecho vinculante, no solo una estrategia.
¿Quién regula la IA en El Salvador?
La Agencia Nacional de Inteligencia Artificial (ANIA), institución pública autónoma vinculada a la Presidencia de la República, es la autoridad rectora. La Agencia Estatal de Ciberseguridad (ACE) aplica las leyes de protección de datos y ciberseguridad.
¿Es siempre obligatorio el registro ante ANIA?
No. El registro es obligatorio únicamente para los operadores que toman decisiones de consecuencia en seis sectores definidos. Para los demás es voluntario, y pueden registrarse para obtener salvaguardas legales. Los proveedores de uso general y el software de productividad ordinario están excluidos.
¿En qué se diferencia el enfoque de El Salvador del de la EU AI Act?
Es deliberadamente pro-innovación y de intervención mínima: se apoya en el registro voluntario, las salvaguardas de responsabilidad, un entorno de pruebas y el reconocimiento de estándares internacionales, en lugar de las amplias prohibiciones y las obligaciones horizontales de alto riesgo de la UE.
¿Tiene El Salvador una ley de protección de datos?
Sí. La Ley de Protección de Datos Personales (Decreto 144) entró en vigor el 23 de noviembre de 2024, estableciendo los derechos ARCO-POL, requisitos de consentimiento, la obligación de designar un Delegado de Protección de Datos y la notificación de brechas en 72 horas, aplicada por la Agencia Estatal de Ciberseguridad.
¿Existen derechos frente a las decisiones automatizadas?
Sí, en contextos definidos. Cuando la IA se utilice con fines comerciales o para conceder acceso a derechos o servicios, las personas deben ser informadas de que intervino una IA y pueden recurrir ante una autoridad humana competente que puede confirmar, modificar o revocar la decisión.
¿Se ha adherido El Salvador a instrumentos internacionales sobre IA?
No se ha adherido a los Principios de IA de la OECD ni ha firmado el Convenio Marco del Council of Europe sobre IA. Como Estado miembro de la UNESCO, está cubierto por la Recomendación de 2021 sobre la Ética de la IA y se encuentra en una fase inicial de la Evaluación de Preparación correspondiente.
¿Cuándo entraron en vigor las normas detalladas de ANIA?
Las disposiciones de implementación de ANIA (Resolución 0001/2025), que establecen los criterios de registro, las obligaciones sectoriales y las vías de cumplimiento, entraron en vigor el 2 de septiembre de 2025.