¿Qué es la regulación de la IA en Palau?
Regulación de la IA: países y regiones
Palau no cuenta con ninguna ley, estrategia ni organismo regulador específico para la IA. La IA se rige de forma indirecta a través de instrumentos existentes: la Ley de Privacidad (Título 6 del Código Nacional de Palau, vinculante para los organismos gubernamentales), normas sectoriales y de telecomunicaciones, protecciones constitucionales de privacidad y seguridad, una Ley de Ciberseguridad pendiente de aprobación, y la Estrategia y Política Nacional de Ciberseguridad 2026-2030. Como miembro de la ONU y de UNESCO, Palau está asociado a la Recomendación de UNESCO sobre la Ética de la IA y a los compromisos digitales regionales del Pacífico, pero no ha adoptado ninguna norma vinculante en materia de IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Palau es una república insular del Pacífico de aproximadamente 17.700 habitantes (2024). No ha aprobado ningún estatuto, reglamento ni estrategia nacional que regule específicamente la inteligencia artificial. No existe un equivalente palauno del EU AI Act, ni un esquema de clasificación de riesgos, ni un organismo regulador de la IA, ni una estrategia nacional de IA publicada. Esto es habitual en el Pacífico: el informe de agosto de 2024 del AI Asia Pacific Institute señala que "actualmente no existe ninguna estrategia de IA activa en los 16 países insulares del Pacífico y la preparación para la IA sigue siendo débil, aunque todos reconocen su importancia potencial".
A falta de normas específicas, cualquier persona que desarrolle o implemente IA en Palau se rige por el derecho general: las protecciones constitucionales de la persona, las disposiciones de la Ley de Privacidad del Código Nacional de Palau (que limitan el tratamiento de información personal por parte de los organismos gubernamentales), la legislación sectorial y de telecomunicaciones, los deberes de confidencialidad del derecho consuetudinario y el derecho penal. La ciberseguridad ha avanzado con mayor rapidez: Palau adoptó una Estrategia y Política Nacional de Ciberseguridad 2026-2030 y su Senado aprobó una Ley de Ciberseguridad, ambas impulsadas por el ataque de ransomware de marzo de 2024 contra el Ministerio de Finanzas, que el presidente Surangel Whipps Jr describió como el primer ciberataque grave del país.
En el plano internacional, Palau es miembro de las Naciones Unidas, la Unión Internacional de Telecomunicaciones (UIT) y UNESCO, y forma parte de los marcos digitales regionales del Pacífico. Estas membresías conllevan compromisos no vinculantes y principios compartidos, más que obligaciones vinculantes en materia de IA, pero constituyen los principales puntos de referencia externos que orientarán el enfoque de Palau hacia la gobernanza de la IA.
Por qué es importante
Para un operador, fundador, asesor o comprador, el mensaje práctico es que Palau es una jurisdicción con escasa regulación en materia de IA. No es posible señalar un estatuto local de IA para determinar qué está permitido o prohibido, ni confiar en un organismo regulador dedicado que emita orientaciones o aprobaciones. Las obligaciones provienen, en cambio, de un conjunto heterogéneo de normas: reglas de tratamiento de datos que vinculan a los organismos públicos, licencias sectoriales, confidencialidad contractual, derechos constitucionales y obligaciones de ciberseguridad en rápido desarrollo.
Ese conjunto de normas cobra mayor relevancia cuando la IA afecta a datos personales, servicios públicos o sistemas críticos. El gobierno de Palau ha sufrido ataques repetidos: el Ministerio de Finanzas fue golpeado por un ransomware en marzo de 2024 y, en septiembre de 2025, el gobierno advirtió sobre una renovada actividad delictiva vinculada a ese ataque, que involucró aproximadamente 25.000 archivos robados. Por ello, cualquier sistema que procese datos gubernamentales o se conecte a infraestructuras públicas se enfrentará cada vez más a exigencias de ciberseguridad, aunque no existan obligaciones específicas en materia de IA. Las organizaciones activas en sectores regulados (finanzas, telecomunicaciones, salud) deben esperar que sus obligaciones sectoriales existentes, y no la legislación sobre IA, sean la restricción vinculante. Y dado que la base jurídica es ligera, las expectativas reputacionales, contractuales y de estándares internacionales (por ejemplo, los principios éticos de UNESCO) suelen tener más peso práctico que la legislación nacional.
Cómo funciona
Sin estatuto ni organismo regulador específico para la IA
Palau no ha promulgado ninguna ley que defina o regule la IA, clasifique los sistemas de IA por riesgo ni cree una autoridad en materia de IA. No existe una estrategia nacional de IA. Esta es una descripción deliberada de una ausencia, no un descuido: el país se encuentra en una etapa temprana de desarrollo digital y ha concentrado sus esfuerzos en la conectividad, el gobierno electrónico y la ciberseguridad, en lugar de en normas específicas para la IA.
La Constitución y el derecho general
La Constitución de Palau (en vigor desde 1981) es la ley suprema y establece los derechos fundamentales en el Artículo IV, incluidas protecciones relevantes en materia de datos y vigilancia. Estas protecciones constitucionales, junto con los deberes de confidencialidad del derecho consuetudinario y los tribunales, constituyen el respaldo aplicable a las actividades habilitadas por IA en ausencia de legislación específica.
La Ley de Privacidad y la información personal
Las normas de información personal de Palau se encuentran en las disposiciones de la Ley de Privacidad del Título 6 del Código Nacional Anotado de Palau. Las obligaciones operativas se articulan en torno a una "agencia gubernamental que mantiene información personal": dicha agencia debe proteger esa información frente a pérdidas, accesos no autorizados, modificaciones, divulgaciones o usos indebidos; no debe conservarla más tiempo del necesario; y no debe reutilizarla para un nuevo fin salvo en circunstancias definidas (por ejemplo, consentimiento, aplicación de la ley, amenaza grave para la salud o seguridad pública, uso estadístico o de investigación, u orden judicial). Es importante señalar que se trata de un capítulo existente del Código Nacional que vincula a los organismos públicos; no es un estatuto integral de protección de datos al estilo del GDPR que cubra a las empresas privadas, y Palau no cuenta con una autoridad dedicada a la protección de datos. Las afirmaciones sobre una "Ley de Privacidad de Palau de 2019" independiente con normas de consentimiento al estilo del GDPR, un deber de notificación de brechas en 72 horas y un comisionado de protección de datos aparecen únicamente en sitios agregadores de baja calidad y no pueden confirmarse a partir de ninguna fuente primaria.
Legislación sectorial y de telecomunicaciones
Para el tratamiento de datos en el sector privado, las restricciones vinculantes son sectoriales. Los operadores de telecomunicaciones y banca están sujetos a obligaciones de confidencialidad en virtud de sus licencias y la legislación sectorial, reforzadas por el deber de confidencialidad del derecho consuetudinario. Palau National Communications Corporation (PNCC) es el operador nacional. Estas normas sectoriales, y no ninguna ley de IA, rigen la mayoría de los usos comerciales de los datos de clientes, incluidos los impulsados por IA.
Ciberseguridad: el área de mayor avance
La ciberseguridad es el ámbito en el que Palau ha desarrollado la gobernanza más concreta. La República firmó una Estrategia y Política Nacional de Ciberseguridad 2026-2030, elaborada con apoyo técnico de la Oficina Regional de la UIT para Asia y el Pacífico, en colaboración con la Oficina de Comunicaciones de Palau y el Ministerio de Finanzas, tras talleres nacionales de cocreación celebrados en septiembre de 2025. Por separado, en octubre de 2025 el Senado aprobó por unanimidad el Proyecto de Ley del Senado n.º 12-9, SD1, la Ley de Ciberseguridad, que crearía una Oficina de Ciberseguridad bajo el Ministerio de Infraestructura Pública e Industrias, encabezada por un Director de Seguridad de la Información, establecería estándares mínimos de ciberseguridad, notificación de brechas y protección de datos por parte de los organismos, e impondría sanciones (multas civiles de hasta 10.000 dólares estadounidenses por infracción, o hasta cinco años de prisión por conducta dolosa); el proyecto pasó a la Cámara de Delegados para su consideración. La Ley fue elaborada con orientación de expertos en ciberseguridad, incluido MITRE.
Centralización de la tecnología gubernamental y la IA
En abril de 2026, el presidente Surangel Whipps Jr firmó un executive order por el que se creó una Oficina de Tecnología Aplicada y Estrategia dentro de la Oficina del Presidente, encabezada por un Director de Tecnología. Su mandato incluye el desarrollo de estándares y arquitecturas para todo el gobierno, la evaluación de riesgos como la ciberseguridad y la resiliencia de los sistemas, y el apoyo a la transformación digital. El presidente citó expresamente el uso de la IA como uno de los temas que abordaría la oficina, y el decreto señaló los problemas de protección de datos entre los riesgos de los sistemas gubernamentales fragmentados. Esta es la institución más cercana a un hogar institucional para las cuestiones de IA en Palau, aunque se trata de un órgano de coordinación del poder ejecutivo, no de un organismo regulador de la IA.
Alineación internacional y regional
Palau es miembro de UNESCO desde 1999. La Recomendación de UNESCO sobre la Ética de la Inteligencia Artificial, adoptada el 23 de noviembre de 2021 por los 193 Estados Miembros de UNESCO en la 41.ª Conferencia General, es por tanto un instrumento con el que Palau está asociado como miembro; se trata de un estándar no vinculante basado en valores centrados en los derechos humanos, principios como la proporcionalidad y el principio de no causar daño, y áreas de acción política. No existe evidencia pública de que Palau haya completado la Metodología de Evaluación de Preparación (RAM) de UNESCO, la herramienta de diagnóstico utilizada para evaluar la preparación de un país para implementar la Recomendación; los países con RAM publicadas hasta la fecha se encuentran en otras partes de Asia, no en el Pacífico. Palau también es miembro de la UIT y ha participado en el Pacto Digital Global de la ONU. A nivel regional, Palau forma parte de los marcos del Foro de las Islas del Pacífico, en particular la Estrategia 2050 para el Continente Azul del Pacífico y su eje de Tecnología y Conectividad, así como la agenda de transformación digital y TIC del Pacífico asociada a la Declaración de Lagatoi de 2023. Palau no figura entre los signatarios del Convenio Marco del Council of Europe sobre Inteligencia Artificial.
Ejemplos
Ejemplo 1: Un organismo gubernamental implementa una herramienta de IA para clasificar expedientes de ciudadanos. Al no existir ninguna ley de IA, las normas vinculantes son las disposiciones de la Ley de Privacidad del Título 6 del Código Nacional de Palau: el organismo debe proteger la información personal, limitar su conservación y evitar reutilizarla para un nuevo fin sin una base jurídica legítima. El marco de ciberseguridad en desarrollo añade expectativas sobre estándares y gestión de brechas.
Ejemplo 2: Un proveedor de telecomunicaciones o banca introduce detección de fraude basada en IA sobre datos de clientes. Las restricciones aplicables son la licencia sectorial del proveedor y los deberes de confidencialidad en virtud de la legislación de telecomunicaciones o banca y del derecho consuetudinario, no ningún estatuto de IA. El uso indebido de los datos de clientes conlleva consecuencias en materia de licencia y confidencialidad, ejecutadas por el organismo regulador sectorial o los tribunales.
Ejemplo 3: El Palau Community College adoptó en 2025 una política académica institucional sobre el uso ético de la IA. Esto ilustra cómo, en ausencia de normas nacionales, las instituciones públicas individuales elaboran sus propias políticas de uso de la IA. Dichas políticas son gobernanza interna, no legislación, y solo vinculan a la institución que las emite.
Malentendidos frecuentes
"Palau cuenta con una ley de privacidad al estilo del GDPR desde 2019." No está confirmado. Las normas de información personal son las disposiciones de la Ley de Privacidad del Título 6 del Código Nacional de Palau, que vinculan a los organismos gubernamentales. No existe ningún estatuto independiente de protección de datos de 2019 verificable, ni un ámbito de aplicación al sector privado al estilo del GDPR, ni una autoridad de protección de datos; esas afirmaciones provienen únicamente de sitios agregadores poco fiables.
"Debe de haber un organismo regulador de la IA en algún lugar del gobierno." No existe. La nueva Oficina de Tecnología Aplicada y Estrategia coordina la tecnología gubernamental y aborda la IA, pero es un órgano de coordinación ejecutiva, no un organismo regulador de la IA con poderes de ejecución.
"La Recomendación de UNESCO sobre ética de la IA es vinculante para Palau." Es un estándar no vinculante. Como miembro de UNESCO, Palau está asociado a ella, pero no crea obligaciones domésticas ejecutables.
"Palau firmó el tratado internacional de IA." Palau no figura entre los signatarios del Convenio Marco del Council of Europe sobre Inteligencia Artificial, el primer tratado internacional vinculante sobre IA.
"La legislación de ciberseguridad y la legislación de IA son lo mismo." Se solapan, pero son distintas. La estrategia de ciberseguridad de Palau y la Ley de Ciberseguridad pendiente abordan la seguridad digital y la protección de datos; ninguna de ellas regula los sistemas de IA como tales.
Riesgos y límites
Esta página describe el enfoque nacional de Palau hacia la gobernanza de la IA. No constituye asesoramiento jurídico ni una guía de cumplimiento en materia de protección de datos; las obligaciones genéricas de privacidad corresponden a páginas dedicadas a ese tema.
El límite central es que Palau no cuenta con ninguna ley específica sobre IA. Tratar las normas generales de datos, sectoriales o de ciberseguridad como si fueran regulación de la IA sobreestima la situación; a la inversa, asumir que "no hay ley de IA" equivale a "no hay obligaciones" la subestima, porque los derechos constitucionales, los deberes sectoriales y las expectativas de ciberseguridad son plenamente aplicables.
El estado jurídico está en parte pendiente y puede cambiar. La Ley de Ciberseguridad fue aprobada por el Senado en octubre de 2025 y pasó a la Cámara de Delegados; su forma definitiva y su entrada en vigor deben verificarse en fuentes oficiales antes de utilizarla como referencia. La Estrategia y Política Nacional de Ciberseguridad 2026-2030 es un documento estratégico, no un estatuto. La Oficina de Tecnología Aplicada y Estrategia es de reciente creación y su papel práctico aún está tomando forma. Dado que Palau es una jurisdicción con escasas fuentes primarias, varios detalles que circulan en línea (especialmente sobre una "Ley de Privacidad de 2019") son poco fiables y no deben tomarse como referencia.
Qué hacer a continuación
Identifique sus obligaciones reales, no las imaginadas. Si trata datos personales con IA en Palau, determine si es un organismo gubernamental (se aplican los deberes de la Ley de Privacidad del Título 6) o un operador privado (se aplican los deberes sectoriales y contractuales), y documente la base jurídica para cualquier reutilización de datos.
Trate la ciberseguridad como la frontera de cumplimiento activa. Siga el avance de la Ley de Ciberseguridad en la Cámara de Delegados y alinéese con la Estrategia y Política Nacional de Ciberseguridad 2026-2030, incluida la gestión de brechas y los estándares mínimos, especialmente si trabaja con datos gubernamentales o sistemas críticos.
Utilice los estándares internacionales como base de diseño. Ante la ausencia de un estatuto nacional de IA, ancle la gobernanza de la IA en referencias sólidas como la Recomendación de UNESCO sobre la Ética de la IA (supervisión humana, proporcionalidad, transparencia, protección de datos) y las prácticas reconocidas de gestión de riesgos.
Contacte con las instituciones adecuadas. La Oficina de Tecnología Aplicada y Estrategia, la Oficina de Comunicaciones y el Ministerio de Finanzas son los puntos de contacto prácticos para la tecnología gubernamental, la ciberseguridad y la política digital.
Esté atento a los factores que podrían cambiar el panorama: la presentación de cualquier proyecto de ley o estrategia específica sobre IA, la finalización de una Evaluación de Preparación de UNESCO, la promulgación de la Ley de Ciberseguridad o la creación de una autoridad de protección de datos. Cualquiera de estos hitos desplazaría a Palau de una gobernanza indirecta a una directa de la IA.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Palau una ley de IA?
No. Palau no cuenta con ningún estatuto específico de IA, ni normas de IA basadas en riesgos, ni un organismo regulador de la IA. La IA se rige de forma indirecta a través de los derechos constitucionales, las disposiciones de la Ley de Privacidad del Código Nacional de Palau, la legislación sectorial y de telecomunicaciones, y las normas de ciberseguridad en desarrollo.
¿Existe una estrategia nacional de IA en Palau?
No existe ninguna estrategia nacional de IA publicada. El informe de agosto de 2024 del AI Asia Pacific Institute no encontró ninguna estrategia de IA activa en los dieciséis países insulares del Pacífico. El desarrollo institucional más cercano es la Oficina de Tecnología Aplicada y Estrategia, creada en 2026, que aborda la tecnología y la IA, pero no es una estrategia ni un organismo regulador de la IA.
¿Qué ley protege los datos personales en Palau?
Las disposiciones de la Ley de Privacidad del Título 6 del Código Nacional de Palau, que exigen a los organismos gubernamentales proteger la información personal, limitar su conservación y evitar su reutilización no autorizada. No existe ninguna ley integral al estilo del GDPR que cubra a las empresas privadas ni ninguna autoridad de protección de datos.
¿Ha adoptado Palau la Recomendación de UNESCO sobre la Ética de la IA?
Como miembro de UNESCO desde 1999, Palau está asociado a la Recomendación, que todos los 193 estados miembros adoptaron en noviembre de 2021. Se trata de un estándar ético no vinculante, no de legislación doméstica ejecutable, y no existe evidencia pública de que Palau haya completado la Evaluación de Preparación de UNESCO.
¿Qué está haciendo Palau en materia de ciberseguridad?
Palau firmó una Estrategia y Política Nacional de Ciberseguridad 2026-2030 con el apoyo de la UIT, y su Senado aprobó una Ley de Ciberseguridad en octubre de 2025 que crearía una Oficina de Ciberseguridad, establecería estándares y notificación de brechas, e impondría sanciones. La Ley pasó a la Cámara de Delegados.
¿Por qué Palau ha experimentado tanta actividad en ciberseguridad pero no tiene ley de IA?
El gobierno de Palau sufrió graves ataques de ransomware a partir de marzo de 2024, lo que situó la ciberseguridad en lo más alto de la agenda. La regulación específica de la IA no ha sido una prioridad a corto plazo, dada la limitación de recursos y la etapa temprana de adopción de la IA.
¿Algún marco regional del Pacífico regula la IA en Palau?
No directamente. Palau forma parte de los marcos del Foro de las Islas del Pacífico, como la Estrategia 2050 para el Continente Azul del Pacífico y la agenda digital de la Declaración de Lagatoi, que establecen prioridades compartidas de conectividad y transformación digital en lugar de normas vinculantes sobre IA.
¿Es Palau parte del tratado internacional de IA?
No. Palau no figura entre los signatarios del Convenio Marco del Council of Europe sobre Inteligencia Artificial, el primer tratado internacional jurídicamente vinculante sobre IA.