¿Qué es la regulación de la IA en Uruguay?
Regulación de la IA: países y regiones
Uruguay no cuenta actualmente con un AI Act único y específico. En cambio, la gobernanza de la IA se construye a partir de una estrategia nacional de IA, orientaciones sobre gobierno digital y la legislación vigente, en especial el régimen de datos personales de la Ley N.º 18.331 y sus decretos reglamentarios. AGESIC lidera la política y la gobernanza del sector público, mientras que la URCDP aplica las normas de protección de datos. En la práctica, las organizaciones gestionan la IA en Uruguay a través de la privacidad, la transparencia, las evaluaciones de impacto y una gobernanza basada en riesgos, en lugar de un código de IA independiente.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
El marco de IA de Uruguay está orientado por políticas, no por un código normativo. El país pasó de una estrategia de IA de 2020 centrada en el gobierno digital a una estrategia nacional de IA 2024-2030 que abarca una agenda de política pública más amplia. AGESIC ocupa el centro de ese trabajo y utiliza su rol en el gobierno digital para definir estándares prácticos para el Estado.
Las principales normas vinculantes para muchos sistemas de IA siguen proviniendo de la ley de protección de datos. Si una herramienta de IA utiliza datos personales, el régimen de privacidad de Uruguay se vuelve central: la base legal, la limitación de finalidad, la seguridad, los derechos de los titulares, las normas sobre transferencias internacionales y los controles sobre determinadas decisiones automatizadas son todos aspectos relevantes.
Para el sector público, la transparencia también es importante. Uruguay cuenta con orientaciones oficiales sobre transparencia algorítmica, que incluyen la notificación de casos de uso de IA en el observatorio estatal, la documentación adecuada de los sistemas y la realización de evaluaciones de impacto cuando los proyectos de IA afectan a personas o implican datos personales.
Por qué importa
Esto importa porque muchos proyectos de IA en Uruguay estarán regidos por normas que no mencionan la IA por su nombre. Un modelo crediticio, un sistema de selección de personal, un sistema antifraude, un bot de atención al cliente, un sistema biométrico o un asistente para el sector público pueden generar obligaciones en materia de datos personales, transparencia, documentación, revisión humana y transferencias internacionales.
Para fundadores, compradores y responsables de gobernanza, el riesgo de cumplimiento real no es solo una futura ley de IA. Es construir mal la arquitectura de privacidad y gobernanza actual. Uruguay puede resultar atractivo por ofrecer un entorno de privacidad relativamente maduro para la región, incluida la adecuación con la UE, pero eso también implica mayor escrutinio para los sistemas que afectan derechos, servicios o decisiones significativas.
Cómo funciona
Uruguay aplica un modelo por capas
El marco oficial de Uruguay no se asemeja aún a un código de IA único y de propósito general. El artículo 74 de la Ley N.º 20.212 encomendó a AGESIC el diseño y desarrollo de una estrategia nacional de datos e IA basada en estándares internacionales, con trabajo conjunto con la URCDP en materia de datos personales. La Estrategia Nacional de IA 2024-2030 establece la arquitectura de política pública: principios, líneas de gobernanza, desarrollo de capacidades y desarrollo sostenible.
Esto es relevante porque la propia estrategia apunta hacia un desarrollo regulatorio ulterior. Menciona expresamente futuras medidas basadas en riesgos, marcos sectoriales, obligaciones de transparencia, modelos de auditoría, normas de contratación pública y otros instrumentos. El panorama actual combina, por tanto, legislación vinculante ya en vigor y una hoja de ruta para futuras normas.
AGESIC ocupa el centro de la gobernanza
AGESIC es la agencia de gobierno digital de Uruguay, y la política de IA ha surgido de ese rol institucional. Uruguay encuadró inicialmente la IA para la administración pública en su estrategia de gobierno digital de 2020 y luego amplió ese trabajo hacia una estrategia nacional construida con la participación de organismos públicos, empresas privadas, academia, sociedad civil y ciudadanía.
AGESIC también elabora herramientas prácticas de gobernanza para el Estado, entre ellas el Observatorio de IA en el Estado, orientaciones sobre transparencia y herramientas de evaluación de impacto. AGESIC no es un regulador de IA único y de propósito general, pero sí es el principal organismo coordinador de estrategia, estándares, práctica del sector público y diseño de políticas futuras.
La ley de protección de datos realiza la mayor parte del trabajo jurídico
Para las organizaciones que utilizan IA con datos personales, las principales normas vinculantes provienen de la Ley N.º 18.331 y sus actualizaciones posteriores. El régimen se aplica tanto al sector público como al privado y alcanza ahora a algunos responsables y encargados del tratamiento extranjeros que dirigen bienes o servicios a personas en Uruguay o utilizan medios ubicados en el país. Las obligaciones fundamentales incluyen el tratamiento lícito, la limitación de finalidad, la calidad de los datos, la seguridad, la confidencialidad y el consentimiento u otra base legal reconocida.
La arquitectura de privacidad más reciente de Uruguay es especialmente relevante para la IA. Incluye la responsabilidad proactiva, la privacidad desde el diseño, la privacidad por defecto, la gestión de incidentes de seguridad, la notificación de brechas a la URCDP en un plazo de 72 horas desde que se tiene conocimiento de una brecha relevante, y las evaluaciones de impacto en la protección de datos obligatorias en los casos especificados. También exige delegados de protección de datos en determinadas circunstancias, especialmente cuando la escala o la sensibilidad del tratamiento justifican un control interno más riguroso. La URCDP puede investigar y sancionar el incumplimiento.
Las personas también tienen derechos directamente relevantes para los sistemas de IA. Pueden acceder, rectificar y suprimir sus datos. Asimismo, pueden impugnar decisiones basadas únicamente en evaluaciones personales automatizadas que les afecten de manera significativa. En esos casos, tienen derecho a recibir información sobre los criterios de valoración y el programa utilizado.
La IA en el sector público también debe responder a las normas de transparencia
En el Estado, la gobernanza de la IA no se limita a la privacidad. AGESIC y la UAIP han emitido recomendaciones de transparencia algorítmica para que los organismos públicos notifiquen los casos de uso de IA al Observatorio de IA en el Estado, publiquen información básica de forma proactiva, mantengan documentación detallada y gestionen las solicitudes de acceso a la información caso por caso, en lugar de aplicar una reserva generalizada.
Las mismas orientaciones vinculan la transparencia con la evaluación de impacto. Si se involucran datos personales, los organismos deben realizar la evaluación de impacto en la protección de datos exigida por el régimen de privacidad. AGESIC también recomienda un estudio de impacto algorítmico para que los equipos analicen el nivel de automatización, los grupos afectados, los riesgos, los controles y la supervisión humana antes de la implantación y durante la operación.
Los flujos transfronterizos de datos condicionan las operaciones de IA
El régimen de privacidad de Uruguay también es relevante cuando los sistemas de IA transfieren datos al exterior para alojamiento, desarrollo de modelos o procesamiento en la nube. La ley restringe las transferencias a países u organizaciones internacionales sin protección adecuada, salvo que se aplique una excepción o la URCDP autorice garantías adecuadas, como cláusulas contractuales.
Al mismo tiempo, Uruguay destaca en la región porque la Comisión Europea lo ha reconocido como país que ofrece un nivel adecuado de protección para los datos personales transferidos desde la UE. Eso no convierte a Uruguay en una copia del EU AI Act, pero sí sitúa el debate sobre IA en Uruguay dentro de una tradición de gobernanza basada en derechos y alineada internacionalmente, y no en un modelo de autorregulación pura.
Ejemplos
Un hotel extranjero, una empresa de reparto o un servicio habilitado con IA que comercializa sus productos específicamente a residentes en Uruguay no queda automáticamente fuera del marco legal por el hecho de estar radicado en el exterior. Las orientaciones oficiales de protección de datos de Uruguay ponen como ejemplo un servicio extranjero dirigido a personas en Uruguay, con funciones en idioma local y moneda local, como un caso que puede quedar dentro del ámbito territorial de la ley. Si ese servicio transfiere luego datos personales a una jurisdicción sin nivel adecuado de protección, debe analizar las condiciones de transferencia y, cuando sea necesario, establecer garantías antes de trasladar los datos.
Un organismo público que introduce un sistema de IA para un servicio orientado a la ciudadanía no debe tratarlo como un simple proyecto tecnológico interno. Las orientaciones de AGESIC y la UAIP esperan que la organización notifique el caso en el Observatorio de IA en el Estado, publique información básica de forma proactiva, mantenga documentación sobre el sistema y evalúe si los datos personales implicados requieren una evaluación de impacto en la protección de datos. AGESIC también recomienda un estudio de impacto algorítmico para que el equipo pueda verificar la explicabilidad, el nivel de automatización y la supervisión humana antes de un uso más amplio.
Un prestamista, empleador, aseguradora u organización similar que utilice una evaluación personal automatizada debe tener en cuenta que el régimen de privacidad de Uruguay protege a la persona frente a decisiones significativas basadas únicamente en perfiles automatizados. La persona puede impugnar esa valoración y solicitar información sobre los criterios y el programa utilizados. Si el sistema emplea datos biométricos, la necesidad de una evaluación de impacto previa se vuelve aún más importante, ya que Uruguay trata los datos biométricos como especialmente protegidos.
Malentendidos frecuentes
"Uruguay ya tiene un AI Act como el EU AI Act." No. El marco de Uruguay sigue siendo por capas y está construido principalmente a partir de estrategia, ley de privacidad, ley de transparencia y orientaciones.
"Solo los organismos públicos necesitan pensar en la gobernanza de la IA." No. Las organizaciones privadas, incluidas algunas empresas extranjeras que se dirigen a personas en Uruguay, también pueden quedar dentro del régimen de privacidad.
"Si una herramienta de IA solo asiste a una persona, las obligaciones legales desaparecen." No. Las cuestiones de documentación, transparencia, privacidad y derechos humanos pueden seguir surgiendo cuando el sistema influye en una decisión significativa.
"La protección de datos se refiere únicamente al consentimiento." No. Uruguay utiliza ampliamente el consentimiento, pero también impone obligaciones más amplias como la seguridad, la limitación de finalidad, la responsabilidad proactiva y los controles sobre transferencias.
"La adecuación con la UE significa que Uruguay puede ignorar sus propias normas locales." No. La adecuación facilita algunos flujos de datos entrantes desde Europa, pero la ley local, la supervisión de la URCDP y las condiciones de transferencia siguen siendo aplicables.
Riesgos y límites
El marco de Uruguay está más desarrollado que un vacío normativo, pero aún no es un código de IA acabado y completo. Tanto la estrategia de 2024 como el informe de recomendaciones de 2024 apuntan hacia un desarrollo regulatorio futuro, que incluye medidas basadas en riesgos, normas sectoriales, normas de contratación pública, modelos de auditoría y posibles prohibiciones o moratorias para usos que la sociedad pueda considerar inaceptables. Esas orientaciones son importantes, pero no equivalen a obligaciones generales ya promulgadas y de aplicación universal.
Esto significa que la certeza jurídica sigue dependiendo del contexto. Los datos personales, la biometría, los menores, los servicios públicos, el empleo, el crédito, la salud, los usos relacionados con la seguridad y las transferencias transfronterizas plantean cuestiones distintas. Las orientaciones del sector público sobre transparencia y evaluación de impacto son influyentes y tienen una importancia práctica real, pero no convierten automáticamente cada recomendación en una norma vinculante para todos los actores privados. Si un sistema de IA puede afectar materialmente a derechos, prestaciones, precios, acceso o reputación, las organizaciones deben tratarlo como un proyecto de alto escrutinio, aunque ninguna ley utilice exactamente esa etiqueta.
Próximos pasos
Mapear todos los casos de uso de IA ya en producción, en proceso de contratación o en fase piloto.
Identificar dónde aparecen datos personales, sensibles, biométricos o de menores.
Identificar cualquier sistema que influya de manera significativa en el empleo, el crédito, los seguros, el acceso a servicios, la detección de fraude, la elegibilidad u otra decisión relevante.
Realizar una evaluación de impacto en la protección de datos cuando la ley lo exija, y utilizar un estudio de impacto algorítmico de forma más amplia para sistemas con automatización significativa.
Asignar a una persona responsable de alto nivel la documentación, las condiciones con proveedores, la revisión humana, la gestión de incidentes y las comunicaciones públicas.
Verificar las rutas de transferencia, las ubicaciones de alojamiento y las garantías contractuales antes de trasladar datos de entrenamiento, de usuarios u operativos al exterior.
Seguir de cerca los desarrollos de AGESIC, la URCDP y el ámbito legislativo para la próxima fase de regulación basada en riesgos y sectorial.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Uruguay una ley de IA específica?
Todavía no como estatuto general único. Uruguay regula actualmente la IA mediante una combinación de estrategia, ley de protección de datos, normas de transparencia y orientaciones para el sector público.
¿Quién regula la IA en Uruguay?
No existe un regulador de IA único y de propósito general. AGESIC lidera la estrategia y la gobernanza del sector público, mientras que la URCDP aplica las normas de protección de datos. Otros organismos sectoriales también pueden ser relevantes según el caso de uso.
¿Se aplica la ley de protección de datos de Uruguay a empresas extranjeras?
Sí, en algunos casos. La ley puede aplicarse a responsables o encargados del tratamiento extranjeros cuando dirigen bienes o servicios a personas en Uruguay o utilizan medios ubicados en el país.
¿Son obligatorias las evaluaciones de impacto para la IA?
Las evaluaciones de impacto en la protección de datos son obligatorias en los casos especificados por el régimen de privacidad de Uruguay. AGESIC también recomienda un estudio de impacto algorítmico, especialmente para sistemas del sector público y sistemas con automatización significativa.
¿Puede alguien impugnar una decisión basada en IA en Uruguay?
Sí. Una persona puede impugnar determinadas decisiones basadas únicamente en evaluaciones personales automatizadas que le afecten de manera significativa, y puede solicitar información sobre los criterios de valoración y el programa utilizado.
¿Cómo funcionan las transferencias transfronterizas de datos?
Las transferencias desde Uruguay a lugares sin protección adecuada están restringidas, salvo que se aplique una excepción o se utilicen garantías adecuadas, y puede ser necesaria la intervención de la URCDP. Las transferencias desde la UE a Uruguay se ven facilitadas por la decisión de adecuación de la UE respecto a Uruguay.
¿Está Uruguay cerca del modelo de la UE?
En materia de privacidad, Uruguay está más próximo a los estándares europeos que muchos países de la región, especialmente gracias a la adecuación con la UE. Sin embargo, aún no cuenta con un marco específico de IA equivalente al EU AI Act.