¿Qué debe revisar una institución financiera en Ecuador antes de automatizar un proceso con IA según la LOPDP?

Antes de automatizar un proceso con IA, una institución financiera en Ecuador necesita confirmar que cada uso de datos tiene base legal, que el sistema usa solo los datos necesarios y que sus proveedores y las transferencias al exterior están cubiertos. Si el proceso prepara o toma decisiones que afectan a clientes, como aprobar un crédito, también necesita una revisión humana real, una forma de explicar la decisión, una evaluación de impacto previa y un registro de lo que hizo el sistema.

La referencia es la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Registro Oficial el 26 de mayo de 2021, y su reglamento general, expedido en noviembre de 2023. En marzo de 2026 se publicó además una norma de la Superintendencia de Protección de Datos Personales (Resolución SPDP-SPD-2026-0009-R) que aplica esas reglas a los sistemas de inteligencia artificial. Entre otras cosas, esa norma obliga a informar a los titulares cuando sus datos se tratan con IA y a auditar el sistema según su nivel de riesgo. Aplica aunque el sistema o el proveedor estén fuera del país.

Imagina un banco mediano que quiere preaprobar créditos de consumo desde su app con un modelo que analiza los movimientos de cuenta de cada cliente. Antes de abrirlo a todos los clientes, el equipo debería poder responder las preguntas que siguen.

¿Qué base legal sostiene cada uso de datos?

La LOPDP enumera las condiciones que hacen lícito un tratamiento. Entre ellas están el consentimiento para fines específicos, el cumplimiento de una obligación legal, la ejecución de medidas precontractuales pedidas por el titular o de un contrato, y el interés legítimo del responsable cuando no prevalecen los derechos del titular. La pregunta práctica es cuál aplica a cada uso, porque un mismo dato puede tener varios fines.

En el ejemplo del banco, analizar los movimientos de un cliente para responder la solicitud de crédito que él mismo hizo puede apoyarse en medidas precontractuales. Usar el historial de todos los clientes para entrenar el modelo es un tratamiento distinto, con otra finalidad, y la ley exige que cada finalidad nueva tenga una causa que la habilite. Hay además reglas especiales para los datos sensibles, como la biometría, y para los datos crediticios.

¿El sistema usa solo los datos que necesita?

El principio de pertinencia y minimización pide que los datos se limiten a lo estrictamente necesario para la finalidad. En un proyecto de IA es fácil romperlo sin darse cuenta: se conecta la base completa porque es más rápido, se guardan conversaciones enteras por si acaso o se envían documentos con más información de la que el modelo necesita.

Estas preguntas ayudan a ordenar el punto:

• ¿Qué campos usa realmente el modelo para su tarea, y cuáles llegan solo porque estaban en la misma tabla?
• ¿Puedes enmascarar o seudonimizar los datos de identificación en las pruebas y en el entrenamiento?
• ¿Cuánto tiempo se guardan las entradas, las salidas y los registros, y quién los elimina?
• ¿El modelo podría inferir datos sensibles, como salud o etnia, a partir de datos que parecen inocuos?

¿Qué pasa con los proveedores de IA y los datos que salen del país?

Es habitual que un proyecto de IA dependa de proveedores externos, como un modelo en la nube o una plataforma de validación de identidad. Para la ley, ese proveedor suele ser un encargado del tratamiento, y su trabajo debe estar regulado por un contrato que diga que solo tratará los datos según tus instrucciones, que no los usará para otros fines ni los comunicará a otras personas, y que los devolverá o destruirá cuando termine el servicio.

Si los servidores están fuera de Ecuador, hay además una transferencia internacional. La LOPDP la permite hacia países u organizaciones que la autoridad declare con nivel adecuado de protección, o con garantías adecuadas recogidas en un instrumento jurídico vinculante, o mediante normas corporativas vinculantes. En los demás casos se requiere autorización de la autoridad. Antes de firmar, pide al proveedor por escrito dónde se procesan y almacenan los datos, si los usa para entrenar sus propios modelos, qué subcontratistas intervienen y cuánto tiempo conserva los registros.

¿Cuándo una decisión automatizada necesita revisión humana?

La LOPDP reconoce el derecho a no ser sometido a decisiones basadas solo o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles, cuando producen efectos jurídicos o atentan contra los derechos y libertades del titular. Para ejercerlo, la persona puede pedir una explicación motivada, presentar observaciones, conocer los criterios de valoración y los tipos de datos usados, e impugnar la decisión. La ley prevé excepciones, por ejemplo cuando la decisión es necesaria para celebrar o ejecutar un contrato o se basa en el consentimiento explícito del titular. Aun así, la norma de 2026 pide garantizar este derecho en todo momento cuando los datos se tratan directamente en sistemas de IA, así que lo prudente es diseñar la revisión humana desde el inicio.

Un crédito negado, un cupo reducido, una póliza rechazada o una cuenta bloqueada por sospecha de fraude son decisiones con efectos para el cliente. Para cada una, define:

• Una persona con autoridad real para cambiar la decisión.
• La información que usó el sistema y el motivo de su propuesta, en términos que esa persona pueda evaluar.
• Un canal claro para que el cliente pida la explicación o impugne, con plazos de respuesta conocidos.
• Revisiones por muestreo de las decisiones que el sistema tomó sin intervención, para detectar errores y sesgos.

¿Cuándo es obligatoria la evaluación de impacto?

La LOPDP pide una evaluación de impacto cuando un tratamiento probablemente conlleve un alto riesgo para los derechos y libertades del titular. La hace obligatoria, entre otros casos, cuando hay una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, de la que salen decisiones con efectos jurídicos. Un modelo que preaprueba créditos suele encajar en ese supuesto. La evaluación debe hacerse antes de iniciar el tratamiento; la norma de 2026 la pide incluso antes de desarrollar el sistema.

Una evaluación útil describe el proceso y sus datos, justifica por qué el tratamiento es necesario y proporcional, identifica riesgos concretos (errores de clasificación, sesgos contra ciertos grupos, filtraciones de datos sensibles, usos no previstos) y define medidas para reducirlos, con responsables y fechas. Si tienes delegado de protección de datos, involúcralo desde el comienzo.

¿Cómo demuestras después lo que hizo el sistema?

Entre los principios de la LOPDP está la responsabilidad proactiva y demostrada: la institución debe poder acreditar que cumple. En un sistema con IA, eso se traduce en trazabilidad. Para cada caso conviene saber qué datos entraron, qué versión del modelo respondió, qué propuso, quién revisó y qué se decidió. La norma de 2026 pide además incluir en el registro de actividades de tratamiento las decisiones automatizadas que generen impactos jurídicos o afecten derechos, y ponerlo a disposición de la Superintendencia.

Con ese registro puedes responder a un reclamo, a una solicitud de explicación o a una auditoría sin reconstruir la historia de memoria. También te ayuda a notar a tiempo si el modelo empezó a comportarse distinto. Mantenerlo es parte de operar el sistema, igual que los respaldos, y es una de las tareas que cubre Operación tecnológica.

Este resumen de obligaciones generales no reemplaza la revisión de tu área legal ni de tu delegado de protección de datos; en protección de datos puedes ver cómo tratamos la información. Si estás por automatizar un proceso, empieza por listar los datos que usará, sus fuentes y sus proveedores, y conversemos con esa lista a la mano. En la etapa de diagnóstico de nuestro modelo operativo revisamos estos puntos antes de integrar cualquier sistema.