¿Qué es la regulación de la IA en Singapur?
Regulación de la IA: países y regiones
Singapur regula la IA mediante un modelo que prioriza la gobernanza, no a través de una única ley general de IA. En la práctica, esto significa que los marcos voluntarios pero influyentes de IMDA y PDPC, en especial el Model AI Governance Framework, AI Verify y las directrices de 2026 sobre IA agéntica, conviven con leyes vinculantes como la PDPA y otras normas vigentes sobre daños en línea, contratos, responsabilidad civil y supervisión sectorial. Para las organizaciones, la tarea real consiste en demostrar responsabilidad, realizar pruebas, mantener supervisión humana, garantizar la protección de datos y comunicarse con claridad con los usuarios.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Singapur, "regulación de la IA" no se refiere únicamente a leyes formales. Abarca legislación vinculante, orientaciones oficiales, marcos de prueba y prácticas de garantía. El Estado ha construido deliberadamente una arquitectura práctica que indica a las organizaciones cómo gobernar la IA de forma responsable, y recurre a las leyes existentes cuando están en juego los datos personales, la seguridad, las conductas engañosas, los daños en línea o las obligaciones sectoriales específicas.
Esto diferencia a Singapur de las jurisdicciones que comenzaron con una única ley de IA. El enfoque singapurense partió de un marco general para el uso de la IA a escala, que luego se amplió para la IA generativa y, posteriormente, para la IA agéntica. AI Verify y las herramientas de prueba relacionadas traducen las ideas de gobernanza en evidencia auditable, de modo que las organizaciones puedan ir más allá de las declaraciones genéricas sobre uso responsable.
Por qué importa
Las organizaciones a veces interpretan mal la situación en Singapur porque buscan únicamente una ley de IA de referencia y pasan por alto el resto del sistema. Eso es arriesgado. Si se despliega IA en Singapur, especialmente con datos personales, recomendaciones dirigidas a clientes, apoyo a la toma de decisiones automatizada o agentes que pueden invocar herramientas y actuar sobre otros sistemas, sigue siendo necesario contar con responsables designados, políticas escritas, controles de seguridad, registros de pruebas, controles sobre proveedores y procesos de gestión de incidentes.
Esto importa más allá del cumplimiento normativo. Los consejos de administración, los equipos de compras, los compradores empresariales y los clientes regulados exigen cada vez más pruebas de que la IA se ha gobernado de forma sensata. El modelo de Singapur está diseñado precisamente para generar esa evidencia. Ofrece a las organizaciones un vocabulario común para la rendición de cuentas, un camino hacia las pruebas técnicas y una forma de alinear la práctica interna con las expectativas de gobernanza reconocidas internacionalmente, sin necesidad de esperar a una nueva ley específica.
Cómo funciona
Singapur utiliza un sistema de gobernanza por capas
A junio de 2026, el régimen de IA de Singapur se entiende mejor como un sistema de capas. En una de ellas se encuentran los marcos voluntarios de gobernanza y los mecanismos de prueba. En otra, las leyes vinculantes que ya se aplican a los hechos de un despliegue concreto. Por eso, cuando se pregunta "¿qué es la regulación de la IA en Singapur?", la respuesta no es un único documento, sino una combinación de marcos oficiales de gobernanza, herramientas de garantía y derecho ordinario.
Esa distinción es importante. Los marcos de gobernanza no crean por sí mismos un régimen de licencias ni un sistema general de aprobación previa a la comercialización para la IA. Sin embargo, condicionan de forma significativa lo que constituye una práctica responsable en Singapur. La legislación vigente, en especial la ley de protección de datos, sigue siendo el instrumento vinculante cuando se recopilan, utilizan, divulgan, conservan, transfieren o exponen datos personales, y cuando los usos inseguros o perjudiciales de la tecnología activan otros regímenes jurídicos.
El marco modelo de 2020 sigue siendo la referencia de base
La arquitectura de referencia de Singapur es el Model Artificial Intelligence Governance Framework, cuya segunda edición se publicó en enero de 2020. Es una referencia voluntaria concebida para evolucionar con el tiempo, y deliberadamente amplia: el marco es agnóstico respecto al algoritmo, a la tecnología y al sector, por lo que puede aplicarse a distintos casos de uso e industrias.
El marco de 2020 se articula en torno a dos ideas de alto nivel. La primera: la toma de decisiones asistida por IA debe ser tan explicable, transparente y justa como sea razonable en cada contexto. La segunda: la IA debe seguir siendo centrada en las personas. Operativamente, el marco se concentra en cuatro áreas: estructuras y medidas de gobernanza interna, grado de participación humana en la toma de decisiones aumentada por IA, gestión de operaciones, e interacción y comunicación con las partes interesadas.
Esto es relevante porque Singapur no trata la IA responsable como una cuestión meramente técnica. El marco de 2020 pide a las organizaciones que designen responsables internos claros, integren la IA en la gestión de riesgos empresariales, determinen dónde se necesita revisión humana, gestionen los datos y las operaciones del modelo a lo largo de su ciclo de vida, y se comuniquen con las partes interesadas afectadas de un modo que genere confianza. También deja claro que seguir el marco no exime del cumplimiento de la legislación vigente; al contrario, ayuda a demostrar una práctica basada en la rendición de cuentas.
El marco de referencia también tiene un límite de alcance que suele pasarse por alto. Está dirigido principalmente a organizaciones que despliegan IA a escala en productos, servicios u operaciones, y no está escrito principalmente para quienes adquieren un paquete de software estándar que simplemente incluye una función de IA. Aun así, eso no significa que esos compradores estén exentos de obligaciones legales. El uso concreto que hagan de la herramienta puede seguir generando cuestiones relacionadas con la PDPA, la seguridad, la contratación y la divulgación.
La IA generativa amplió el modelo hacia una visión de ecosistema
En 2024, Singapur amplió la arquitectura con el Model AI Governance Framework for Generative AI. Esto no supuso descartar el marco anterior, sino expandirlo. El marco de IA generativa pasa de una lista de verificación organizativa más estrecha a una visión de ecosistema más amplia, reconociendo que el riesgo de la IA generativa se distribuye entre desarrolladores, desplegadores, anfitriones, investigadores, responsables de políticas y usuarios finales.
El marco de IA generativa se organiza en torno a nueve dimensiones: responsabilidad, datos, desarrollo y despliegue de confianza, notificación de incidentes, pruebas y garantía, seguridad, procedencia del contenido, investigación y desarrollo en materia de seguridad y alineación, e IA para el bien público. Esto importa por dos razones.
En primer lugar, demuestra que Singapur no concibe la gobernanza de la IA generativa únicamente como una cuestión de comportamiento del modelo. También trata la divulgación, la calidad de los datos, la gestión de incidentes, las señales de procedencia y las pruebas de terceros como parte de la misma arquitectura. En segundo lugar, mantiene la durabilidad del régimen: aunque cambien los modelos concretos y los tipos de amenaza, las dimensiones de gobernanza siguen siendo reconocibles.
El marco de IA generativa también se presenta como un primer paso, no como un código definitivo. Es decir, está concebido para ampliarse mediante orientaciones de implementación, prácticas de prueba y recursos adicionales, y no debe tratarse como un reglamento cerrado.
Las directrices sobre IA agéntica se centran en la autonomía, los permisos y el control
En enero de 2026, IMDA publicó el primer Model AI Governance Framework for Agentic AI, y en mayo de 2026 se publicó una versión actualizada tras recibir comentarios de más de 60 empresas. Este es uno de los indicios más claros del estilo regulatorio de Singapur: en lugar de precipitarse hacia una nueva ley, publicó orientaciones de gobernanza más detalladas para la siguiente clase de sistemas en cuanto la experiencia práctica comenzó a aflorar.
El marco agéntico resulta útil porque define el problema con mayor precisión que el lenguaje genérico de "IA generativa". Se centra en los agentes construidos sobre modelos de IA generativa e indica a las organizaciones que piensen en términos de dos variables: espacio de acción y autonomía. El espacio de acción es el conjunto de acciones que el agente puede realizar efectivamente, incluidas las herramientas que puede invocar, los sistemas a los que puede acceder y si puede solo leer o también escribir, realizar transacciones o modificar un entorno. La autonomía es el grado en que el agente decide cómo actuar para alcanzar un objetivo.
Una vez enmarcada la IA agéntica de este modo, la tarea de gobernanza se vuelve más clara. Las directrices de Singapur se articulan en torno a cuatro dimensiones: evaluar y acotar los riesgos desde el principio; hacer que los seres humanos sean responsables de forma significativa; implementar controles técnicos y procesos; y habilitar la responsabilidad del usuario final. El marco subraya que la responsabilidad humana no desaparece porque un agente pueda actuar por sí solo. La responsabilidad debe asignarse con claridad entre los roles de producto, seguridad, negocio y usuario, y la supervisión humana debe mantenerse efectiva a lo largo del tiempo, en lugar de convertirse en un mero trámite formal.
Las directrices agénticas también son más operativas que el material anterior en algunos aspectos. Orientan a las organizaciones hacia permisos acotados, acceso restringido a herramientas, despliegue por fases, registro y monitorización continuos, gestión del cambio, pruebas posteriores al despliegue y formación de usuarios. Presta especial atención a lo que ocurre cuando los agentes se conectan a sistemas internos, herramientas de terceros, navegadores, archivos, pagos u otras acciones de alto impacto.
Las obligaciones vinculantes provienen principalmente de la PDPA y la legislación vigente
Para la mayoría de las organizaciones privadas, el primer punto de contacto con el derecho vinculante sigue siendo la Personal Data Protection Act 2012. La PDPA exige a las organizaciones designar a una o más personas responsables del cumplimiento, mantener políticas y prácticas, proteger los datos personales con medidas de seguridad razonables, y evaluar y notificar determinadas brechas notificables. La PDPC puede emitir instrucciones e imponer sanciones económicas por incumplimiento.
En el ámbito de la IA, la PDPA es relevante en una fase más temprana del ciclo de vida de lo que muchos equipos esperan. Las Advisory Guidelines on Use of Personal Data in AI Recommendation and Decision Systems de 2024 de Singapur lo dejan claro: explican cómo se aplica la PDPA no solo en el despliegue, sino también durante el desarrollo, las pruebas y la monitorización, así como en la contratación de sistemas de IA a medida.
Esas directrices son operativamente importantes. Explican cuándo se necesita un consentimiento significativo y cuándo pueden invocarse excepciones legales, en especial las relativas a la mejora empresarial y la investigación. Fomentan la minimización de datos, la anonimización cuando sea viable, las evaluaciones de impacto cuando resulten útiles, y la elaboración de políticas escritas que expliquen las prácticas y las salvaguardias. También vinculan la gobernanza de la IA con la transparencia: en contextos de mayor impacto, se anima a las organizaciones a explicar cómo se han abordado la equidad, la razonabilidad, la supervisión, la seguridad y la solidez.
Esta parte del régimen también es relevante para proveedores e integradores. Cuando un proveedor de servicios desarrolla un sistema de IA a medida o totalmente personalizable utilizando los datos personales del cliente, puede convertirse en intermediario de datos en virtud de la PDPA. Eso implica obligaciones reales de protección y conservación, además de expectativas prácticas en materia de mapeo de datos, registros de procedencia y apoyo a las propias obligaciones del cliente en materia de consentimiento, notificación y rendición de cuentas.
Más allá de la protección de datos, Singapur ha confirmado que la legislación vigente y los principios jurídicos ordinarios siguen aplicándose a los daños relacionados con la IA. El Gobierno ha señalado expresamente las normas sobre daños en línea y desinformación, así como el derecho contractual y de responsabilidad civil, al tiempo que ha indicado que sigue estudiando si las lagunas en materia de rendición de cuentas podrían justificar medidas de política, regulación o legislación más específicas en el futuro.
AI Verify convierte las declaraciones de gobernanza en evidencia
AI Verify es fundamental para entender el modelo de Singapur porque se sitúa entre la gobernanza y la garantía. No es una ley, una licencia ni un puerto seguro legal. Es un marco de pruebas que ayuda a las organizaciones a evaluar la implementación responsable de la IA conforme a 11 principios: transparencia, explicabilidad, repetibilidad y reproducibilidad, seguridad, protección, solidez, equidad, gobernanza de datos, rendición de cuentas, agencia humana y supervisión, y bienestar social y medioambiental más amplio.
Lo que hace distintivo a AI Verify es su modelo de evidencia. No se detiene en declaraciones de principios de alto nivel, sino que vincula los principios a procesos concretos y documentación acreditativa. Las organizaciones pueden registrar las verificaciones de proceso y generar un informe resumen que muestre cómo han implementado el marco. Esto resulta útil para los equipos internos de cumplimiento, los revisores externos y las contrapartes que exigen algo más que eslóganes de política.
AI Verify también ha evolucionado con la tecnología. El marco se actualizó en mayo de 2025 para poder utilizarse tanto en aplicaciones de IA tradicional como de IA generativa. Está mapeado con otros instrumentos internacionales, incluidos el US NIST AI RMF, el perfil de IA generativa, el código de conducta del Proceso de Hiroshima y la norma ISO/IEC 42001. Esa correspondencia es importante para las empresas que operan en varias jurisdicciones, ya que reduce la necesidad de tratar el trabajo de gobernanza en Singapur como un ejercicio local sin proyección exterior.
Las pruebas y la garantía forman parte de la arquitectura, no son un añadido posterior
Singapur ha apostado decididamente por las pruebas prácticas. En 2024, IMDA lanzó el Proyecto Moonshot, un conjunto de herramientas de código abierto destinado a reunir en una plataforma utilizable las pruebas de referencia, el red teaming y las pruebas de base para aplicaciones de modelos de lenguaje grande. IMDA publicó posteriormente orientaciones de prueba más detalladas para aplicaciones basadas en LLM, presentando ese material como complemento técnico de la dimensión de pruebas y garantía del marco de IA generativa y de las verificaciones de proceso de AI Verify.
El mensaje práctico es claro. En el modelo de Singapur, la IA responsable no consiste únicamente en redactar políticas. Implica pruebas previas al despliegue, umbrales claros de tolerancia al riesgo y monitorización posterior al despliegue. Esto cobra aún más importancia en los sistemas agénticos, porque el entorno que los rodea cambia constantemente y pequeñas alteraciones pueden tener efectos en cascada sobre múltiples herramientas o agentes.
Así, la mecánica del cumplimiento y la gobernanza en Singapur tiene cada vez más este aspecto: definir el caso de uso y el perfil de riesgo, determinar qué capa del marco es aplicable, asignar la responsabilidad humana, documentar el uso de datos, probar el sistema de forma estructurada, divulgar la información adecuada a usuarios y partes interesadas, y mantener la monitorización una vez que el sistema esté en funcionamiento.
Ejemplos
Un ejemplo útil de divulgación proviene de los propios materiales de la PDPC. En RE HSBC [2021] SGPDPC 3, citado en las directrices de IA de 2024, se consideró que HSBC había cumplido sus obligaciones de rendición de cuentas y divulgación al proporcionar información sobre cómo utilizaba los datos personales y la tecnología de IA en la evaluación de solicitudes de crédito. La lección práctica es que en Singapur la gobernanza no es solo interna: las explicaciones dirigidas al público pueden ser relevantes.
Un ejemplo útil de IA agéntica aparece en el marco de IMDA de 2026 a través de OCBC. Los gestores de relaciones y el personal de cumplimiento del Bank of Singapore utilizan un sistema agéntico que analiza documentos financieros y redacta un memorando sobre el origen del patrimonio. El sistema está concebido únicamente como apoyo a la decisión: su objetivo es mejorar la coherencia y reducir el trabajo manual, pero la validación y aprobación finales corresponden al personal humano. Esto se ajusta al énfasis de Singapur en la autonomía acotada y la responsabilidad humana significativa.
Un ejemplo útil de garantía proviene del caso práctico del Global AI Assurance Sandbox relativo a CDL y Knovel. El sistema agéntico interno de CDL podía recuperar conocimiento interno y ejecutar flujos de trabajo de varios pasos. El riesgo prioritario seleccionado para las pruebas fue la fuga de datos entre usuarios. El trabajo de garantía se centró en verificar si los controles de acceso y los límites se aplicaban realmente, es decir, si un usuario podía obtener únicamente la información a la que tenía derecho. Este es un ejemplo claro de cómo Singapur vincula el lenguaje de gobernanza con las pruebas técnicas concretas.
Malentendidos frecuentes
"Singapur no tiene regulación de IA porque no tiene un AI Act." Esto es incorrecto. El modelo de Singapur combina marcos oficiales de gobernanza con leyes vinculantes que ya se aplican.
"El Model AI Governance Framework es legislación obligatoria." No lo es. Se trata de orientación voluntaria, pero es influyente y se utiliza habitualmente como referencia práctica.
"AI Verify es una certificación o un escudo legal." No es ninguna de las dos cosas. Es un marco de pruebas y documentación que ayuda a generar evidencia.
"La PDPA solo importa después del lanzamiento." No es así. Según las propias directrices de Singapur, las cuestiones relacionadas con la PDPA surgen durante el desarrollo, las pruebas, la monitorización, el despliegue y la contratación a medida.
"Si un agente actúa de forma autónoma, el propietario humano deja de ser responsable." Las directrices de 2026 dicen lo contrario: la responsabilidad humana sigue siendo aplicable y debe asignarse con claridad.
Riesgos y límites
El modelo de Singapur tiene fortalezas reales, pero también límites. Los marcos no son leyes, no crean inmunidad automática y no sustituyen al análisis jurídico específico por sector o por hechos concretos. Los informes de AI Verify pueden respaldar las declaraciones de gobernanza, pero no constituyen una aprobación gubernamental ni prueban por sí solos la legalidad del despliegue.
El modelo también sigue siendo evolutivo. Los marcos de IA generativa y agéntica son explícitamente documentos vivos. El Gobierno ha señalado que la legislación vigente y el derecho privado ordinario continúan aplicándose, mientras estudia si las lagunas en materia de rendición de cuentas pueden requerir medidas adicionales de política, regulación o legislación. Por tanto, la conclusión duradera es esta: Singapur espera actualmente que las organizaciones gobiernen la IA de forma responsable dentro del marco jurídico existente, manteniéndose preparadas para cambios normativos específicos si determinados riesgos así lo exigen.
Próximos pasos
Conviene comenzar con un inventario. Hay que separar las funciones de software ordinarias de los sistemas de IA que se configuran, despliegan o utilizan genuinamente para procesos de negocio. A continuación, clasificar esos sistemas según el uso de datos personales, el grado de autonomía, el acceso a sistemas externos, el posible daño y si apoyan o sustituyen el juicio humano en algún paso relevante.
Después, conviene mapear cada caso de uso con la capa correspondiente del sistema singapurense. El marco de 2020 sirve como referencia de base. Se añade el marco de IA generativa si el sistema genera contenido o utiliza modelos fundacionales. Se añade el marco agéntico si puede planificar, invocar herramientas, navegar, escribir, realizar transacciones u operar mediante flujos de trabajo de varios pasos. Ese mapa de gobernanza debe vincularse a los controles de la PDPA, la rendición de cuentas interna designada, las condiciones con proveedores, los controles de seguridad, las prácticas de divulgación, la gestión de incidentes y la evidencia de pruebas.
Por último, conviene exigir pruebas. Para los sistemas de mayor riesgo, no basta con presentaciones de política. Es necesario recurrir a pruebas estructuradas, documentación acreditativa, registros, control de versiones, despliegue por fases y formación de usuarios. Para los despliegues agénticos, conviene comenzar con permisos acotados y puertas de aprobación claras, especialmente cuando los agentes pueden acceder a datos sensibles o modificar sistemas en producción.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Singapur un único AI Act como el EU AI Act?
Actualmente no. El modelo vigente de Singapur se construye a partir de marcos voluntarios de gobernanza y leyes vinculantes existentes, en especial la PDPA y otros regímenes jurídicos aplicables.
¿Es obligatorio el Model AI Governance Framework?
No. La familia de marcos es orientación voluntaria. Su importancia radica en que proporciona la referencia oficial para la práctica responsable de la IA en el modelo de gobernanza prioritaria de Singapur.
¿Es obligatorio AI Verify?
No. AI Verify es un marco de pruebas y documentación. Ayuda a las organizaciones a evaluar sus prácticas y generar evidencia, pero no es en sí mismo un requisito legal.
¿Cuándo resulta relevante la ley de protección de datos de Singapur para la IA?
En cuanto se recopilan, utilizan o divulgan datos personales en el desarrollo, las pruebas, la monitorización, el despliegue o la contratación a medida. Eso puede generar obligaciones en materia de análisis del consentimiento, excepciones, seguridad, políticas, responsabilidad del DPO y gestión de brechas.
¿Qué cambia cuando un sistema se vuelve "agéntico"?
El enfoque de gobernanza se vuelve más estricto. Singapur espera un control más riguroso sobre los permisos de herramientas, el acceso a datos, las acciones de escritura, las aprobaciones, el registro, la monitorización, la gestión del cambio y la formación de usuarios, porque los agentes pueden afectar al mundo de forma más directa que un simple chatbot.
¿Tienen los proveedores de IA a medida obligaciones propias en virtud de la legislación singapurense?
Con frecuencia, sí. Si procesan datos personales de un cliente mientras desarrollan un sistema a medida o totalmente personalizable, pueden ser tratados como intermediarios de datos en virtud de la PDPA, con obligaciones de protección y conservación y un papel práctico en el apoyo al propio cumplimiento del cliente.
Si solo adquirimos software de IA estándar, ¿podemos ignorar los marcos?
No. El marco de referencia de 2020 está dirigido principalmente a organizaciones que despliegan IA a escala, pero el uso concreto que se haga del software puede seguir planteando cuestiones relacionadas con la PDPA, la seguridad, la contratación y la divulgación. Sigue siendo necesaria una gobernanza proporcionada.
¿Es probable que Singapur añada más legislación específica sobre IA en el futuro?
Es posible, pero no se ha confirmado nada de carácter general. El Gobierno ha indicado que sigue estudiando si las lagunas en materia de rendición de cuentas justifican medidas adicionales de política, regulación o legislación.