La SPDP amplía a proveedores de IA las obligaciones de protección de datos de titulares ecuatorianos

La Superintendencia de Protección de Datos Personales (SPDP) emitió el 9 de septiembre de 2026 la Resolución SPDP-SPD-2026-0037-R, que reforma la norma general sobre protección de datos personales en sistemas de inteligencia artificial. La reforma aparece en el Registro Oficial No. 373, publicado el 21 de septiembre, fecha desde la cual rige conforme a su disposición final.

El cambio ajusta la norma original SPDP-SPD-2026-0009-R y define con más precisión quién tiene obligaciones cuando desarrolla, entrena, implementa, despliega o provee IA que procesa datos personales de titulares ecuatorianos. No es una propuesta ni una guía no vinculante: la resolución establece obligaciones en el marco de la LOPDP, su Reglamento General y normativa secundaria.

La regla cubre a responsables del tratamiento y también a encargados que tengan acceso, visibilidad o control efectivo de los datos personales objeto de tratamiento. Su alcance puede abarcar a proveedores o sistemas fuera del Ecuador si procesan datos de titulares ecuatorianos, con independencia de la ubicación física del sistema o del proveedor, según la redacción de la reforma.

La norma define acceso como la posibilidad directa o indirecta de interactuar con datos; visibilidad incluye observar o inferir información sobre los datos o su tratamiento; y control efectivo comprende la capacidad de intervenir o influir técnica, contractual u organizativamente. Esto hace relevante revisar el flujo real de datos y las capacidades contractuales de cada proveedor, no solo dónde están alojados los servidores.

Los responsables y encargados dentro del alcance deben garantizar los derechos reconocidos en la LOPDP, identificar riesgos y adoptar medidas de seguridad pertinentes. Antes del desarrollo de un sistema de IA que trate datos personales deben realizar gestión de riesgos y, cuando corresponda conforme al marco legal aplicable, una evaluación de impacto del tratamiento. Las medidas deben mantenerse de forma permanente y continua para evaluar, prevenir, reducir y controlar riesgos, amenazas y vulnerabilidades.

Cuando un encargado provee, desarrolla o mantiene sistemas de IA, debe entregar al responsable información suficiente sobre el funcionamiento general, limitaciones relevantes, riesgos previsibles y controles implementados en la medida necesaria para que el responsable pueda cumplir. La resolución aclara que esto no exige revelar secretos comerciales, industriales o de propiedad intelectual; el objetivo es permitir una supervisión suficiente del tratamiento.

La reforma dispone que las obligaciones y efectos jurídicos para encargados se exigen únicamente respecto de operaciones o fases en las que tengan acceso, visibilidad o control efectivo, considerando la naturaleza del servicio y las instrucciones del responsable. La misma disposición advierte que esa delimitación no es una exoneración general.

Si un encargado sostiene que no tiene acceso, visibilidad ni control, debe implementar y conservar evidencia suficiente para acreditar esa circunstancia ante la SPDP si la autoridad la requiere. Además, la falta de acceso no lo libera de otras obligaciones legales, reglamentarias o de normativa secundaria que sí le resulten aplicables. Las organizaciones deben documentar esta asignación funcional en contratos, diagramas de datos y procedimientos, sin asumir que la etiqueta contractual por sí sola define la realidad técnica.

Las áreas de compras, privacidad, legal, seguridad y tecnología deberían revisar proveedores de modelos, plataformas de IA y servicios de inferencia. Las preguntas prácticas incluyen qué datos personales reciben, si el proveedor puede observarlos o acceder a ellos, qué operaciones realiza, qué controles aplica y qué información ofrece para que el responsable sustente su evaluación de riesgos.

La reforma también incide en el diseño de nuevas aplicaciones: antes de desarrollar o integrar IA con datos personales se debe valorar riesgos y determinar si corresponde una evaluación de impacto bajo la LOPDP y el Reglamento General. Para servicios transfronterizos, la ubicación extranjera del proveedor no resuelve por sí sola la aplicabilidad; hay que comprobar si el tratamiento involucra datos de titulares ecuatorianos y si se satisfacen las condiciones legales de alcance.

La reforma no implica que todo sistema de IA quede automáticamente sujeto a la norma: el propio texto excluye sistemas que no procesen datos personales, considerando el ámbito material y territorial de la LOPDP. Tampoco permite clasificar de forma uniforme a cada proveedor; el acceso, visibilidad y control efectivo dependen de la arquitectura, los contratos y la operación concreta.

Este resumen informa el contenido de la resolución, pero no sustituye una evaluación legal individual. Las organizaciones deben leer la norma reformada junto con la LOPDP, el Reglamento General y la resolución original, así como revisar cambios posteriores publicados por la SPDP. Para el sector financiero, las reglas de privacidad se suman a obligaciones regulatorias sectoriales y no las reemplazan.

Actualice inventarios de tratamiento con IA, registre si se usan datos personales de titulares ecuatorianos y determine qué proveedor actúa como encargado en cada fase. Revise contratos para incluir cooperación, información técnica, gestión de riesgos, controles y aviso de incidentes coherentes con el papel efectivo de cada parte.

Conserve evidencia de evaluaciones de riesgo, decisiones sobre EIPD, medidas de seguridad y limitaciones conocidas del sistema. Cuando un proveedor no tenga acceso o control, documente técnicamente por qué. Estas acciones ayudan a demostrar cumplimiento y a responder a titulares o requerimientos de la SPDP; no equivalen por sí solas a certificación de conformidad.