El 18 de febrero de 2026, la Superintendencia de Protección de Datos Personales (“SPDP”) emitió, mediante la Resolución No. SPDP-SPD-2026-0009-R, la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (“Norma IA”), con el fin de garantizar la aplicación de la Ley Orgánica de Protección de Datos Personales (“LOPDP”), su Reglamento de aplicación y demás normativa vigente en materia de protección de datos personales cuando los responsables y encargados desarrollen, entrenen, implementen, desplieguen y/o provean sistemas de inteligencia artificial (“Sistemas de IA”) en los que se traten datos personales de ecuatorianos, sin perjuicio de la ubicación del Sistema de IA o del proveedor.
A continuación, detallamos los aspectos más relevantes de la Norma IA:
- Definiciones:
- Desarrollador: responsable y encargado que genera o crea un Sistema de IA.
- Desplegador: responsable y encargado que, mediante el uso de un Sistema de IA, presta un servicio, salvo cuando dicho uso se enmarque en una actividad personal de carácter no profesional.
- Distribuidor: responsable y encargado que es parte de la cadena de suministro, distinta del desarrollador, desplegador o implementador, que comercializa o presta un Sistema de IA en el mercado.
- Implementador: responsable y encargado que encomienda el desarrollo o implementa un Sistema de IA en procedimientos o procesos internos.
- Los responsables o encargados que traten datos personales mediante Sistemas de IA deberán cumplir con las siguientes obligaciones:
- Cumplir con los principios establecidos en la LOPDP.
- Garantizar los derechos reconocidos en la LOPDP, en especial, los derechos a la información, oposición y a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas.
- Informar al titular respecto del tratamiento de sus datos personales realizado a través de Sistemas de IA, incluyendo sus finalidades y el carácter automatizado.
- Ejecutar análisis de riesgos y evaluaciones de impacto.
- Implementar medidas de seguridad adecuadas.
- Incluir los tratamientos de datos realizados mediante Sistemas de IA en el registro de actividades de tratamiento.
- Auditar el funcionamiento del Sistema de IA en función de su nivel de riesgo.
- La SPDP podrá auditar los Sistemas de IA en caso de que no se garanticen los principios y derechos, así como imponer medidas correctivas y/o medidas cautelares en caso de incumplimiento a las obligaciones establecidas en la LOPDP y demás normativa aplicable en la materia.
