| Materia | Gobernanza de IA · protección de datos · derecho laboral |
|---|---|
| Jurisdicción | Ecuador |
| Fecha de corte | 7 de julio de 2026 |
| Versión | V1.0 · DFF7DE4 |
| Estado | PUBLICADO |
| Alcance | Documento de trabajo general. No constituye asesoría legal del caso concreto. |
Una política interna de uso de IA en Ecuador debe prohibir cargar datos de clientes, empleados o secretos comerciales en herramientas gratuitas; exigir planes empresariales con contrato de no entrenamiento; documentar supervisión humana de cada resultado; incorporar la evaluación de impacto y el registro de tratamientos que ya exige la Norma de IA de la SPDP; y, sobre todo, quedar incorporada al Reglamento Interno de Trabajo aprobado por el Ministerio del Trabajo. Sin ese paso, no habilita sanción.
Gobierna el uso — no lo prohíbe: la propia Norma de IA de la SPDP condiciona el tratamiento con IA al cumplimiento permanente de la LOPDP, no lo veta.
Ecuador no tiene ley de IA, pero la LOPDP (Registro Oficial Quinto Suplemento 459, 26-may-2021), su Reglamento (Decreto Ejecutivo 904, R.O. Tercer Suplemento 435, 13-nov-2023) y la Norma de IA de la SPDP (SPDP-SPD-2026-0009-R, R.O. 240, 10-mar-2026, vigente desde su publicación, sin transitorias) ya obligan a la PYME.
La PYME que usa ChatGPT en sus procesos internos es «implementador» según el art. 2.4 de la Norma de IA de la SPDP: sujeto obligado, no espectador. Si presta servicios apoyada en IA, es además «desplegador» (art. 2.2).
Las versiones de consumo de ChatGPT, Gemini y Copilot entrenan sus modelos con lo que el equipo pega, salvo que se desactive esa opción; las empresariales, Workspace y la API, no. Anthropic exige una elección expresa desde el 28-ago-2025. (Documentación oficial de cada proveedor, consulta 2-jul-2026.)
Una política interna sin Reglamento Interno de Trabajo aprobado por el Ministerio del Trabajo no habilita sanción ni visto bueno: «sin tal aprobación, los reglamentos no surtirán efecto en todo lo que perjudiquen a los trabajadores, especialmente en lo que se refiere a sanciones» (art. 64 del Código del Trabajo).
Pegar conocimiento técnico reservado (know-how), listas de clientes o código en una IA pública puede destruir las «medidas razonables de reserva» que exige el Código Ingenios (arts. 506-510, R.O. Sup. 899, 9-dic-2016) para proteger un secreto empresarial — sin que haga falta un solo dato personal en el prompt.
Los cinco hallazgos describen el marco general. El Acuerdo Conceptual toma el caso de tu empresa y ordena, en 20 minutos, qué te aplica, qué falta documentar y dónde reducir exposición.
La asistente contable de una empresa de 22 personas tiene el estado financiero de un cliente abierto en una hoja de cálculo. Necesita un resumen ejecutivo para la reunión de las 11:00 y no le alcanza el tiempo para redactarlo a mano. Copia las cifras, las pega en su cuenta gratuita de ChatGPT y escribe: «resume esto en cinco puntos para gerencia».
Nadie se lo prohibió. No existe una política que distinga entre pegar una lista de tareas y pegar el balance de un cliente. La cuenta es personal, la sesión es de consumo y, salvo que alguien haya desactivado esa opción en la configuración, la herramienta puede usar ese contenido para mejorar el modelo.
El resumen sale bien. Se envía por correo a las 10:52. Nadie lo audita, nadie lo registra, nadie sabe que ese estado financiero ya salió de los sistemas de la empresa hacia un servidor de un tercero, en un país distinto, bajo términos que la empresa nunca leyó.
La pregunta no es si el resumen fue útil. Es otra: si ese cliente pregunta mañana dónde estuvieron sus datos, ¿quién en la empresa puede responderle con precisión?
En Ecuador el fenómeno también está documentado. La Estrategia Nacional de Inteligencia Artificial (EFIA-EC, 2026) registra que en 2024 el 36% de los trabajadores ya había usado herramientas de IA en sus tareas, según el estudio de la plataforma Multitrabajos que la propia Estrategia cita. La misma conducta que miden los casos internacionales se mide dentro del país.
48%
20%
+USD 670.000
AI Incident Database. (2023). Incident 768: ChatGPT Reportedly Implicated in Samsung Data Leak. https://incidentdatabase.ai/cite/768/
Bloomberg News. (2023, 2 de mayo). Samsung Bans Staff's AI Use After Spotting ChatGPT Data Leak. https://www.bloomberg.com/news/articles/2023-05-02/samsung-bans-chatgpt-and-other-generative-ai-use-by-staff-after-leak (consultados el 2 de julio de 2026)
Cisco Systems. (2024, enero). Cisco 2024 Data Privacy Benchmark Study. https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-privacy-benchmark-study-2024.pdf (consultado el 2 de julio de 2026)
IBM. (2025). Cost of a Data Breach Report 2025 (datos compilados por Ponemon Institute). https://www.ibm.com/reports/data-breach (consultado el 2 de julio de 2026)
La Estrategia Nacional de IA (Acuerdo MINTEL-MINTEL-2025-0030, publicado en el Registro Oficial Suplemento 206) recoge textualmente que «en el 2024 se evidenciaba con un 36% de trabajadores, que habían usado herramientas de IA en sus tareas (estudio de la plataforma Multitrabajos, 2024)» y fija en 0,00156% la concentración de profesionales con habilidades en IA. Ese 36% es el único dato de adopción de esta pieza, y se cita a través de la Estrategia, fuente oficial del dato dentro del país.
Desde el mundo empresarial, la 29ª Encuesta Global Anual de CEO de PwC (corte Ecuador, 2026) registra que el 44% de los directores ejecutivos ecuatorianos reporta al menos una mejora atribuida a la IA en los últimos doce meses (24% en reducción de costos, 26% en aumento de ingresos). Ese 44% mide impacto, no adopción: describe mejoras percibidas, no el porcentaje de empresas que usan IA. Es una encuesta de opinión ejecutiva de una consultora, con perfil de empresa mediana y grande y con el tamaño de la muestra ecuatoriana sin divulgar; no es una cifra de adopción ni un dato de PYME nacional. Lo más relevante para este expediente es lo que piden los propios CEO: señalan el uso de datos y la privacidad (20%) como su principal inquietud y reclaman procesos formales de IA responsable y gestión de riesgos (11%). La audiencia que dirige las empresas pide gobernanza.
El diagnóstico de país lo aporta la evaluación AILA del PNUD y el MINTEL (2025): sitúa a Ecuador en una etapa «sistemática» de preparación para la IA, con un puntaje global de 2,5 sobre 5, y documenta el vacío regulatorio de fondo. No hay ley específica de IA, la LOPDP no cubre de forma explícita las decisiones automatizadas y no existe un sistema formal de clasificación de riesgos. AILA no mide adopción de IA en empresas —su encuesta es a 201 funcionarios públicos—; entra como marco del vacío de gobernanza que este expediente cubre puertas adentro.
Un estudio de la ESPOL sobre el sector público ecuatoriano (educación y salud, muestra no probabilística, en difusión) respalda el mismo patrón: los funcionarios adoptan herramientas de IA por iniciativa propia, sin reglas de responsabilidad ni guías institucionales.
Cuatro fuentes de distinto alcance convergen en un solo hecho: en Ecuador hay uso de IA y falta gobierno. La adopción se mide con el 36% de la Estrategia; PwC, el PNUD y la ESPOL no lo reemplazan ni son dato de PYME nacional. Aportan el contexto de negocio y de país que sostiene la necesidad de capacitación, protocolos y controles de privacidad de este expediente.
Ministerio de Telecomunicaciones y de la Sociedad de la Información. (2026, 19 de enero). Acuerdo Ministerial Nro. MINTEL-MINTEL-2025-0030: Estrategia para el Fomento del Desarrollo y Uso Ético y Responsable de la Inteligencia Artificial en el Ecuador (EFIA-EC). Registro Oficial, Suplemento 206. https://asobanca.org.ec/wp-content/uploads/2026/01/ACUERDO-Nro.-MINTEL-MINTEL-2025-0030-Estrategia-IA.pdf (consultado el 2 de julio de 2026).
PwC Ecuador. (2026). Liderar en tiempos de incertidumbre en la era de la IA: 29ª Encuesta Global Anual de CEO de PwC | Ecuador. PwC. https://www.pwc.ec/es/assets/Ecuador-29-CEO-Survey.pdf (consultado el 3 de julio de 2026).
Programa de las Naciones Unidas para el Desarrollo. (2025). AILA: Evaluación del panorama de la inteligencia artificial en Ecuador. PNUD Ecuador. https://www.undp.org/sites/g/files/zskgke326/files/2025-06/aila_ecuador.pdf (consultado el 3 de julio de 2026).
Méndez-Prado, S. M., & Meza, J. (2026). En Ecuador la Inteligencia Artificial avanza, las instituciones públicas no: El problema de no tener reglas claras [Informe / prepublicación autoarchivada]. Escuela Superior Politécnica del Litoral (ESPOL). https://doi.org/10.13140/RG.2.2.30672.26884 (consultado el 3 de julio de 2026).
No. Y no hace falta para que la PYME ya esté obligada.
La Ley Orgánica de Protección de Datos Personales (LOPDP, R.O. Quinto Suplemento 459, 26-may-2021) obliga desde antes de que existiera cualquier norma específica de IA. Pegar el estado financiero de un cliente en una IA de consumo compromete, en la misma operación, los principios de finalidad, minimización y confidencialidad del art. 10 LOPDP.
Con una cuenta gratuita no existe contrato de encargo de tratamiento entre la PYME y el proveedor de IA: sin ese contrato, la PYME sigue siendo la única «responsable» del dato (art. 4 LOPDP) y el envío a un tercero sin base legal puede constituir una comunicación de datos no autorizada. Es un argumento que sostienen analistas locales (Abreu IP); no depende de que el proveedor esté fuera de Ecuador.
El Reglamento General a la LOPDP (Decreto Ejecutivo 904, R.O. Tercer Suplemento 435, 13-nov-2023) exige una evaluación de impacto (EIPD) antes de tratamientos de riesgo (art. 29) y protección de datos desde el diseño y por defecto (arts. 59-60).
La Norma de IA de la SPDP (SPDP-SPD-2026-0009-R, firmada el 12-feb-2026, R.O. 240 del 10-mar-2026, vigente desde su publicación sin transitorias) es la pieza que cierra la excusa de «esto es zona gris»: obliga con independencia de la ubicación del sistema o del proveedor (art. 1), y define a la PYME que usa IA en sus procesos internos como «implementador» (art. 2.4): sujeto directo de las obligaciones de informar (art. 5.1), gestionar riesgos y EIPD (art. 5.2), aplicar medidas de seguridad en cinco dimensiones (art. 5.3), incluir los tratamientos en el Registro de Actividades de Tratamiento o RAT (art. 5.4) y auditar el sistema (art. 5.5).
La SPDP puede auditar sistemas de IA e imponer medidas correctivas o cautelares (art. 10); la norma no crea multas propias, remite al régimen sancionatorio de la LOPDP (art. 8).
Transferencias internacionales. No existe, a la fecha de corte, una decisión de adecuación de la SPDP para Estados Unidos ni para los proveedores de IA con sede allí; la Norma General de Transferencias (SPDP-SPD-2026-0004-R, 28-ene-2026) fija el procedimiento para declarar adecuación y las garantías exigibles cuando no la hay, pero no menciona a Estados Unidos en su texto. La ausencia de adecuación es una inferencia mientras no exista declaratoria expresa, no una cita textual.
Delegado de Protección de Datos (DPD). La LOPDP (arts. 47.13 y 48) obliga a designar un DPD en tres supuestos: tratamiento por el sector público, control permanente y sistematizado, o tratamiento a gran escala de categorías especiales de datos, con la advertencia de que el numeral 4 del art. 48 faculta a la Autoridad a definir nuevas condiciones por vía reglamentaria, cláusula redactada de forma amplia.
El Reglamento del DPD (Res. SPDP-SPD-2025-0028-R, 30-jul-2025) obliga en 14 categorías del sector privado; el numeral 10.13 alcanza a quienes ofertan o prestan servicios de TI/IA, no al mero usuario de herramientas de IA. La PYME que solo usa ChatGPT para sus procesos internos, por regla general, no está obligada a designar DPD por esta vía, salvo que caiga en alguna de las otras 13 categorías del art. 10 (menores, salud, financiero, seguros, publicidad con perfiles, entre otras).
Constitución de la República, arts. 66.19 (derecho a la protección de datos personales) y 92 (garantía de hábeas data), R.O. 449.
LOPDP, R.O. Quinto Suplemento 459.
Reglamento General a la LOPDP, Decreto Ejecutivo 904, R.O. Tercer Suplemento 435.
SPDP-SPD-2025-0022-R, metodología de cálculo de multas leves y graves.
Primeras sanciones firmes de la SPDP (LigaPro, FEF) — cifras más abajo en esta misma sección, y en el anexo [05]-[06].
Norma General de IA de la SPDP (SPDP-SPD-2026-0009-R), R.O. 240.
Entre diciembre de 2025 y enero de 2026 la SPDP impuso las primeras sanciones firmes del régimen LOPDP, ambas al fútbol profesional ecuatoriano. A LigaPro (aplicación FAN ID), por infracción grave del art. 68.1 (protección de datos desde el diseño): USD 259.644,01 (RES-SPDP-ICS-2025-0002), con obligación de informar a los 14.398 titulares afectados y eliminar sus datos en un mes; una segunda resolución sobre el mismo caso, ya recalificada como infracción leve del art. 67.2, fijó USD 95.502,63 (RES-SPDP-ICS-2025-0005).
A la Federación Ecuatoriana de Fútbol (FEF), por infracción grave del art. 68.4 (carecer de metodología adecuada de análisis de riesgos): USD 194.496,85 (RES-SPDP-ICS-2025-0006). Son las primeras multas firmes bajo la LOPDP: la prueba de que la SPDP audita y sanciona, no solo publica normas.
| Norma | Qué exige | A quién | Consecuencia |
|---|---|---|---|
| Constitución, arts. 66.19 y 92 (R.O. 449, 20-oct-2008) | Autorización del titular o mandato legal para tratar datos personales; garantía de hábeas data | Toda persona/entidad | Acción constitucional de hábeas data |
| LOPDP, art. 71.2 y 72.1 (R.O. Quinto Sup. 459, 26-may-2021) | Multas leves 0,1%-0,7% y graves 0,7%-1% del volumen de negocio | Responsables y encargados | Sanción económica proporcional |
| Reglamento LOPDP, art. 29 (Decreto 904, R.O. 435, 13-nov-2023) | Evaluación de impacto (EIPD) previa a tratamientos de riesgo | Responsables | Obligación documental exigible en auditoría |
| Norma IA SPDP, arts. 1-2 y 5 (SPDP-SPD-2026-0009-R, R.O. 240, 10-mar-2026) | Rol de implementador/desplegador; informar, EIPD, RAT, auditoría | PYME que usa o presta servicios con IA | Sanción vía régimen LOPDP; auditoría/medidas SPDP |
| Código del Trabajo, arts. 64 y 172.2 | Aprobación del RIT ante el MDT; visto bueno por desobediencia a reglamento aprobado | Empleadores con establecimientos de trabajo colectivo | Reglamento inoponible sin aprobación; sanción inoponible (ver capa laboral) |
| Código Ingenios, arts. 506-510 (R.O. Sup. 899, 9-dic-2016) | Régimen de información no divulgada (secreto + valor + medidas razonables de reserva) | Titulares de información no divulgada | Pérdida de la protección si se destruye la reserva (ver capa de secretos) |
| COIP, arts. 178/229/234 | Tipos penales de violación a la intimidad, revelación de bases de datos y acceso no consentido | Cualquier persona | Pena privativa de libertad, según tipo (ver capa penal) |
| Ley 67, arts. 2 y 14 (R.O. Sup. 557, 17-abr-2002) | Validez jurídica de mensajes de datos y firma electrónica | Toda persona/entidad | Exigibilidad probatoria de documentos firmados electrónicamente |
| Infracción | Rango | Base |
|---|---|---|
| Leve (art. 67, responsable · art. 69, encargado) | 0,1% – 0,7% del volumen de negocio del ejercicio anterior (art. 71.2) | Volumen de negocio definido en art. 73 |
| Grave (art. 68, responsable · art. 70, encargado) | 0,7% – 1% del volumen de negocio del ejercicio anterior (art. 72.1) | Volumen de negocio definido en art. 73 |
Régimen sancionatorio vigente desde el 26-may-2023 (Disposición Transitoria Primera de la LOPDP). No existe techo del 2% ni del 5%: ambas cifras, atribuidas a la LOPDP en versiones preliminares, no constan en su texto oficial.
El Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación (Código Ingenios, R.O. Suplemento 899, 9-dic-2016) protege la «información no divulgada» que cumpla tres requisitos concurrentes: ser secreta, tener valor comercial precisamente por serlo, y estar sujeta a medidas razonables de reserva (arts. 506-510). El régimen sustantivo de secretos empresariales, en sentido estricto, está en la Decisión 486 de la Comunidad Andina, arts. 260-266.
Pegar una lista de clientes, una fórmula, código fuente o una lista de precios en una IA pública puede destruir el tercer requisito (las medidas razonables de reserva) y, con él, la protección legal del secreto. Este argumento no depende de que exista un solo dato personal en el prompt: funciona incluso cuando el contenido no identifica a ninguna persona.
El Código del Trabajo refuerza el deber del lado del empleado: el art. 45 lit. h) obliga a «guardar escrupulosamente los secretos técnicos, comerciales o de fabricación de los productos a cuya elaboración concurra, directa o indirectamente, o de los que él tenga conocimiento por razón del trabajo que ejecuta». El art. 46 lit. f) prohíbe, además, usar las herramientas suministradas por el empleador «en objetos distintos del trabajo a que están destinados».
Es un anclaje adicional contra el uso de recursos corporativos con herramientas de IA no autorizadas. La consolidación oficial del COIP registra una concordancia expresa entre el art. 179 penal y este art. 45 CT: el deber laboral de sigilo y el tipo penal de revelación de secreto están enlazados por el propio sistema normativo.
Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación. (2016, 9 de diciembre). Registro Oficial, Suplemento No. 899. https://www.gobiernoelectronico.gob.ec/wp-content/uploads/2018/10/Codigo-Organico-de-la-Economia-Social-de-los-Conocimientos-Creatividad-e-Innovacion.pdf (consultado el 2 de julio de 2026)
Ecuador reformó en 2021 buena parte de su capa penal informática. La Ley Orgánica Reformatoria del COIP para Prevenir y Combatir la Violencia Sexual Digital y Fortalecer la Lucha contra los Delitos Informáticos (R.O. Suplemento 526, 30-ago-2021) sustituyó los arts. 179, 230, 232 y 234, y agregó los arts. 234.1 a 234.4. El art. 178 y el art. 229 conservan su texto de 2014.
| Art. | Tipo (rúbrica vigente) | Pena | Escenario de uso de IA |
|---|---|---|---|
| 178 | Violación a la intimidad | 1-3 años | Cargar en una IA pública datos personales, comunicaciones privadas o información de soportes informáticos de terceros, sin consentimiento ni autorización legal. |
| 179 | Revelación de secreto o información personal de terceros (rúbrica sustituida en 2021) | 6 meses-1 año (inciso 1, exige que la divulgación cause daño; excepción de interés público); 1-3 años (inciso 2, contenido íntimo sexual) | Profesional que revela a un sistema de IA de terceros un secreto conocido por razón de su oficio, empleo o profesión. |
| 229 | Revelación ilegal de base de datos | 1-3 años; 3-5 años agravado (servidor público, empleados bancarios, contratistas) | El tipo nuclear del escenario: empleado que, en provecho propio o de un tercero, revela una base de clientes a un sistema de IA externo. Exige dolo reforzado; no cubre la mera negligencia. |
| 232 | Ataque a la integridad de sistemas informáticos | 3-5 años; 5-7 años sobre bienes de servicio público o seguridad ciudadana | Riesgo perimetral (sabotaje/malware), no el caso típico de fuga por uso ordinario de IA. |
| 234 | Acceso no consentido a un sistema informático | 3-5 años | Conectar sistemas internos con IA de terceros vulnerando controles de acceso corporativos; desde 2021 el tipo castiga el mero acceso sin autorización, sin exigir ánimo de aprovechamiento. |
El Código Civil, art. 2220, hace responsable al empresario por el hecho de sus dependientes mientras están bajo su cuidado: una presunción de culpa in vigilando. La presunción es desvirtuable: cesa si el empleador prueba que, con la autoridad y el cuidado que le corresponden, no pudo impedir el hecho. Una política interna documentada, con controles y capacitación, es exactamente lo que permite ese descargo; su ausencia lo hace inalegable.
Código Civil, Codificación 10, arts. 2214, 2220 y 2229. (2005, 24 de junio). Registro Oficial, Suplemento 46 (Ecuador). https://www.presidencia.gob.ec/wp-content/uploads/2022/09/a2.-COD_CIVIL.pdf (consultado el 2 de julio de 2026)
Solo si la falta está tipificada en un Reglamento Interno de Trabajo aprobado por el Ministerio del Trabajo.
El art. 64 del Código del Trabajo obliga a los establecimientos de trabajo colectivo a elevar el reglamento interno a la Dirección Regional del Trabajo para su aprobación, y es explícito en la consecuencia de no hacerlo: «sin tal aprobación, los reglamentos no surtirán efecto en todo lo que perjudiquen a los trabajadores, especialmente en lo que se refiere a sanciones». El art. 42.12 obliga al empleador a «sujetarse al reglamento interno legalmente aprobado».
El umbral operativo de «más de 10 trabajadores» no está escrito en ninguno de esos dos artículos: es el criterio del trámite oficial del Ministerio del Trabajo (Acuerdo Ministerial MDT-2023-140, R.O. 447, 29-nov-2023, reformado por el MDT-2025-053, R.O. Cuarto Suplemento 39, 15-may-2025). El trámite es en línea, vía el Sistema Único de Trabajo (SUT), con verificación por código hash sobre los documentos cargados.
La aprobación del Ministerio del Trabajo habilita la sanción — no la sola redacción de la política. El art. 172.2 del Código del Trabajo permite el visto bueno del empleador «por indisciplina o desobediencia graves a los reglamentos internos legalmente aprobados»: la palabra «aprobados» hace todo el trabajo de esta tesis. Una política de IA por fuera del RIT tiene valor orientador y contractual, pero no habilita, por sí sola, ni sanción disciplinaria ni visto bueno.
La Corte Nacional de Justicia (Sala Especializada de lo Laboral, juicio 23303-2018-00508) confirma el criterio en un caso concreto: el tribunal no casó la sentencia que había declarado improcedente un visto bueno porque la conducta imputada no se subsumía en ninguna norma del reglamento interno.
El fallo sostiene, de manera principal, que además faltó prueba fehaciente de la infracción: la falta de subsunción en el RIT es uno de los fundamentos, no el único. Se cita como criterio de la Sala en un caso concreto, no como precedente de aplicación obligatoria.
Código del Trabajo, arts. 42 num. 12 y 64. Registro Oficial, Suplemento 167 (2005, 16 de diciembre) (Ecuador). https://www.ces.gob.ec/lotaip/2020/Junio/Literal_a2/C%C3%B3digo%20del%20Trabajo.pdf
Corte Nacional de Justicia del Ecuador, Sala Especializada de lo Laboral. (s.f.). Sentencia de casación, juicio n.º 23303-2018-00508. https://www.cortenacional.gob.ec/cnj/images/pdf/bitacora/3.-23303-2018-00508.pdf (consultados el 2 de julio de 2026)
En plan de consumo, sí por defecto salvo que se desactive; en plan empresarial o API, no.
| Proveedor / plan | ¿Entrena con tus datos? | Detalle | Fecha de consulta |
|---|---|---|---|
| OpenAI — ChatGPT Free/Plus/Pro (consumo) | SÍ , por defecto | Exclusión (opt-out) desde «Data Controls» → «Improve the model for everyone»; chats eliminados en 30 días. | 2026-07-02 |
| OpenAI — ChatGPT Business/Team/Enterprise/Edu | NO , por defecto | Sin entrenamiento con inputs/outputs de usuarios de negocio; DPA disponible. | 2026-07-02 |
| OpenAI — API Platform | NO , por defecto | Sin entrenamiento salvo consentimiento expreso (opt-in) desde el 1-mar-2023; sin retención de datos (Zero Data Retention) en los puntos de conexión (endpoints) elegibles. | 2026-07-02 |
| Google — Gemini Apps (consumo) | SÍ , con «Keep Activity» («Conservar actividad») activada | Lo revisado por humanos se retiene hasta 3 años; con la actividad desactivada, los chats futuros no entrenan (según la fuente oficial). | 2026-07-02 |
| Google — Workspace / Vertex AI | NO | Sin entrenamiento con datos del cliente; aislamiento contractual. | 2026-07-02 |
| Microsoft — Copilot (consumo, cuenta personal) | SÍ , con exclusión (opt-out) | Excluye cuentas organizacionales Entra ID, menores de 18 y usuarios de seis países (Brasil, China sin Hong Kong, Israel, Nigeria, Corea del Sur, Vietnam). | 2026-07-02 |
| Microsoft — M365 Copilot (empresarial) | NO | Las instrucciones (prompts) y los datos de Microsoft Graph no entrenan los modelos fundacionales (función «Enterprise Data Protection»). | 2026-07-02 |
| Anthropic — Claude Free/Pro/Max (consumo) | SÍ , si el usuario lo acepta | Desde el 28-ago-2025, elección expresa (no una simple exclusión, opt-out): retención de 5 años si acepta, 30 días si no. | 2026-07-02 |
| Anthropic — Work/Government/Education/API | NO | Excluidos textualmente del cambio de 2025; política comercial separada. | 2026-07-02 |
| País | Instrumento | Estado |
|---|---|---|
| Perú | Ley 31814 (2023) + Reglamento por Decreto Supremo 115-2025-PCM, vigente desde el 22-ene-2026 | VIGENTE |
| Brasil | PL 2338/2023, aprobado por el Senado el 10-dic-2024, en comisión especial de la Cámara | EN TRÁMITE |
| Colombia | Sentencia T-323/24 de la Corte Constitucional (uso de IA por un juez; principio de no sustitución de la racionalidad humana) | PRECEDENTE |
| Chile | Proyecto «Regula los sistemas de inteligencia artificial», Boletín 16821-19 refundido con el 15869-19, en segundo trámite constitucional (Senado) | EN TRÁMITE |
| Ecuador | Sin ley de IA; Norma General de IA de la SPDP (infralegal); ILIA 2025: posición 10 de 19, categoría «Adoptantes», puntaje total 40,68, gobernanza 34,93 (promedio regional de gobernanza de 47,57, media de los 19 puntajes del índice) | INFRALEGAL |
Ecuador no encabeza la región, pero tampoco parte de cero: cumplir hoy, con lo que ya existe, cuesta menos que adaptarse después a un marco regulatorio que en la región avanza hacia mayor exigencia.
El mínimo que una política interna de uso de IA debe poner por escrito en Ecuador. No es un sello ni una certificación: es la lista de control que un inspector del Ministerio del Trabajo, la SPDP o un juez esperarían encontrar documentada.
Lista de control de trabajo, sin puntaje ni veredicto: marca los componentes que tu empresa ya tiene por escrito.
Sin política escrita ni reglamento interno aprobado: empieza por anclar las reglas al RIT y validarlas ante el MDT. → Auditoría laboral y reglamento interno
Con RIT, pero sin clasificación de datos ni contratos con tus encargados: ordena el frente de privacidad y genera evidencia de diligencia. → DPA y Privacidad para Contratos B2B
IA en procesos que tocan a clientes o decisiones sobre personas: documenta la gobernanza completa con acta fechada de cada decisión. → IA Gobernada con Acta Fechada
Documento de trabajo general. No constituye asesoría legal del caso concreto. Ordena el riesgo — no lo hace desaparecer.
No existe, a la fecha de corte, jurisprudencia laboral ecuatoriana específica sobre sanciones por uso de IA: se declara el vacío con honestidad, no se rellena con precedentes que no existen. Tampoco existe una tipología oficial de riesgo de IA al estilo del AI Act europeo en la norma ecuatoriana. Si la empresa usuaria de IA está o no obligada a designar DPD fuera de las 14 categorías nominadas depende de la lectura del numeral 4 del art. 48 LOPDP, redactado de forma amplia. Es una zona que la SPDP puede seguir precisando.
| # | Referencia | R.O. / fecha | Fuente |
|---|---|---|---|
| [01] | Constitución de la República del Ecuador, arts. 66.19 y 92 | R.O. 449, 20-oct-2008 | Revisar fuente |
| [02] | Ley Orgánica de Protección de Datos Personales (LOPDP) | R.O. Quinto Sup. 459, 26-may-2021 | Revisar fuente |
| [03] | Reglamento General a la LOPDP, Decreto Ejecutivo 904 | R.O. Tercer Sup. 435, 13-nov-2023 | Revisar fuente |
| [04] | Norma General de IA de la SPDP, SPDP-SPD-2026-0009-R | R.O. 240, 10-mar-2026 | Revisar fuente |
| [05] | Resoluciones sancionatorias SPDP — LigaPro (RES-SPDP-ICS-2025-0002 y -0005) | dic-2025 / ene-2026 | Revisar fuente |
| [06] | Resoluciones sancionatorias SPDP — FEF: RES-SPDP-ICS-PASN-2025-0003 (grave, art. 68.1, USD 194.856,16) y RES-SPDP-ICS-2025-0006 (grave, art. 68.4, USD 194.496,85) — expedientes distintos, no una rectificación entre sí | dic-2025 / ene-2026 | Revisar fuente |
| [07] | Reglamento del Delegado de Protección de Datos, SPDP-SPD-2025-0028-R | 30-jul-2025 | Revisar fuente |
| [08] | Código Orgánico Integral Penal, art. 178 | Texto 2014 vigente (consolidación may-2024) | Revisar fuente |
| [09] | Código Orgánico Integral Penal, art. 179 | Sustituido por R.O. Sup. 526, 30-ago-2021 | Revisar fuente |
| [10] | Código Orgánico Integral Penal, art. 229 | Texto 2014 vigente | Revisar fuente |
| [11] | Código Orgánico Integral Penal, art. 234 | Sustituido por R.O. Sup. 526, 30-ago-2021 | Revisar fuente |
| [12] | Código Civil, art. 2220 | R.O. Sup. 46, 24-jun-2005 | Revisar fuente |
| [13] | Código del Trabajo, art. 45 lit. h) | R.O. Sup. 167, 16-dic-2005 | Revisar fuente |
| [14] | Código del Trabajo, arts. 64 y 42.12 | R.O. Sup. 167, 16-dic-2005 | Revisar fuente |
| [15] | Código del Trabajo, art. 172.2 | R.O. Sup. 167, 16-dic-2005 | Revisar fuente |
| [16] | Acuerdo Ministerial MDT-2023-140, reformado por MDT-2025-053 | R.O. 447, 29-nov-2023 / R.O. Cuarto Sup. 39, 15-may-2025 | Revisar fuente |
| [17] | Corte Nacional de Justicia, juicio 23303-2018-00508 | Sala Especializada de lo Laboral | |
| [18] | Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación, arts. 506-510 y 545 | R.O. Sup. 899, 9-dic-2016 | Revisar fuente |
| [19] | Decisión 486, Comunidad Andina, arts. 260-266 | 2000 | Revisar fuente |
| [20] | Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (Ley 67), arts. 2 y 14 | R.O. Sup. 557, 17-abr-2002 | Revisar fuente |
| [21] | AI Incident Database, Incident #768 (Samsung) + Bloomberg News | 2023 | Revisar fuente |
| [22] | Cisco 2024 Data Privacy Benchmark Study | enero de 2024 | Revisar fuente |
| [23] | IBM Cost of a Data Breach Report 2025 | 2025 | Revisar fuente |
| [24] | Microsoft & LinkedIn, Work Trend Index 2024 | 2024 | Revisar fuente |
| [25] | Documentación oficial de retención/entrenamiento — OpenAI, Google, Microsoft, Anthropic | consulta 2-jul-2026 | Revisar fuente |
| [26] | ILIA 2025, CEPAL | 2025 | Revisar fuente |
| [27] | Proyecto de ley de IA de Chile, boletín 16821-19 refundido con 15869-19 | 7-may-2024 (mensaje) | Revisar fuente |
| [28] | Perú — Ley 31814 + Reglamento, Decreto Supremo 115-2025-PCM | 5-jul-2023 (ley) / 9-sep-2025, vigente 22-ene-2026 (reglamento) | Revisar fuente |
| [29] | Brasil — PL 2338/2023, Marco Legal da Inteligência Artificial | Aprobado por el Senado 10-dic-2024; sin promulgar a 2-jul-2026 | Revisar fuente |
| [30] | Colombia — Sentencia T-323/24, Corte Constitucional, Sala Segunda de Revisión | 2-ago-2024 | Revisar fuente |
| [31] | Estrategia Nacional de IA (EFIA-EC), Acuerdo MINTEL-MINTEL-2025-0030 | R.O. Sup. 206, 19-ene-2026 | Revisar fuente |
| [32] | PwC 29ª Encuesta Global Anual de CEO — corte Ecuador | 2026 | Revisar fuente |
| [33] | PNUD/MINTEL — AILA: Evaluación del panorama de la IA en Ecuador | 2025 | Revisar fuente |
| [34] | ESPOL — Méndez-Prado & Meza, La IA avanza, las instituciones públicas no (prepublicación, DOI) | 2026 | Revisar fuente |
| [35] | Ley Orgánica para el Fortalecimiento de la Ciberseguridad — reforma del art. 43 LOPDP: la notificación de vulneraciones suma al CSIRT correspondiente | R.O. Quinto Sup. 290, 22-may-2026 | Revisar fuente |
Abogado por la Universidad Técnica Particular de Loja. Cursando Maestría en Derecho Digital e Innovación con mención en Economía, Confianza y Transformación Digital en la Universidad de Las Américas. Especialización aplicada en inteligencia artificial generativa para investigación, redacción jurídica y soporte documental bajo revisión profesional.
Chacaguasay Jaramillo, A. G. (2026). Tu equipo ya usa ChatGPT sin reglas: qué debe contener una política interna de uso de IA (Expediente de trabajo 01, v1.1, corte 7 de julio de 2026). Ravelant. https://ravelant.com/expedientes/politica-interna-ia/
Este expediente ordena el marco normativo. El frente que lo implementa dentro de tu empresa —con acta fechada de cada decisión— es IA Gobernada.
Un expediente relacionado ordena, capa por capa, cuándo es lícito usar ChatGPT con datos de un cliente bajo la LOPDP: el Expediente 02.
El Acuerdo Conceptual valida el frente propio de tu empresa en 20 minutos.