Ecuador ya tiene una norma de IA, y también alcanza a quien te provee la tecnología

Ecuador no tiene una ley de IA, pero sí una norma en vigor: desde marzo de 2026, los sistemas de IA que tratan datos de personas ecuatorianas deben cumplir la LOPDP, bajo control de la Superintendencia de Protección de Datos. Una reforma del 9 de septiembre extiende esas reglas a los proveedores que desarrollan o mantienen esos sistemas.

Una norma que no es ley, pero ya rige

La Resolución SPDP-SPD-2026-0009-R fue expedida por la Superintendencia de Protección de Datos Personales (SPDP) el 12 de febrero de 2026 y publicada en el Registro Oficial el 10 de marzo, con vigencia desde su publicación, según Lexis. Se aplica a quienes desarrollen, entrenen, implementen, desplieguen o provean sistemas de IA que traten datos de titulares ecuatorianos. Según NMS Abogados, esto ocurre “sin importar la ubicación del proveedor o de la infraestructura tecnológica”.

En la práctica, si tu empresa usa IA con datos de clientes, empleados o proveedores, tienes que poder demostrar:

que informas a las personas cuando una IA trata sus datos, con su finalidad y su carácter automatizado;
que hiciste gestión de riesgos y evaluaciones de impacto antes de ponerla en marcha;
que aplicas seguridad proporcional a los datos y los registras en tu RAT (Registro de Actividades de Tratamiento);
que auditas el sistema según su nivel de riesgo;
que las personas pueden ejercer su derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas.

Lo que cambió el 9 de septiembre

Ese día la SPDP expidió cuatro resoluciones. Dos te tocan de cerca si usas IA de un tercero:

La 0037-R reforma la norma de IA para incluir a los encargados del tratamiento. Quien provee, desarrolla o mantiene un sistema de IA debe darte información suficiente sobre su funcionamiento, limitaciones, riesgos y controles, sin revelar secretos comerciales. Si alega que no tiene acceso ni control sobre los datos, debe conservar evidencia que lo acredite ante la SPDP.

La 0040-R fija cómo se notifica una brecha de seguridad. La ruta, según el resumen de Meythaler Zambrano Abogados:

Ocurre la vulneración en el sistema del proveedor.
El proveedor se lo comunica a ti, como responsable, en un máximo de dos días.
Tú notificas a la SPDP en cinco días, a través del SISPDP.
No notificar es una infracción grave.

Las fuentes consultadas no indican la fecha de entrada en vigor de estas dos resoluciones. Confírmala en el texto oficial con tu equipo jurídico antes de fijar plazos internos.

Cinco documentos para revisar con tu proveedor

Los despachos que siguieron la reforma recomiendan revisar, con el proveedor de IA sentado a la mesa:

Tu matriz de riesgos: ¿incluye el sistema de IA y al proveedor que lo opera?
Tu RAT: ¿registra los tratamientos con IA y las decisiones automatizadas?
Tus evaluaciones de impacto: ¿se hicieron antes de la puesta en marcha y se actualizan?
Tu contrato de encargo: ¿dice cuánto tarda el proveedor en avisarte de una brecha y qué información te debe entregar?
Tu debida diligencia: ¿pediste al proveedor evidencia de cómo funciona y qué controles tiene?

Mientras tanto, en la Asamblea

Hay 12 propuestas sobre IA en la Asamblea Nacional, según El Diario (11 de octubre). El pleno archivó un proyecto previo el 15 de septiembre, con 88 votos, y una comisión había recomendado archivar otro el 31 de agosto, entre otros motivos por riesgo de sobrerregulación para las mipymes y por no definir la coordinación entre la autoridad de datos y el ministerio de tecnología. Una ley puede tardar. La autoridad que ya actúa es la SPDP, que impuso en diciembre de 2025 sus primeras multas por infracciones graves a la LOPDP, de hasta US$259.644, en dos casos de aplicaciones móviles.

Cómo lo abordamos en Ceiba

Quien responde por una decisión de IA no es el algoritmo ni, necesariamente, el proveedor: es la organización que la usa. Por eso partimos de un diagnóstico de gobernanza de IA, dentro del MOA, nuestro servicio para adoptar IA con criterio humano, en el que definimos quién responde por cada sistema, qué datos toca y cómo se supervisa.

Este contenido es una guía práctica, no una opinión legal. Para el alcance exacto de cada resolución, consulta el texto oficial con tu equipo jurídico.

Ceiba lleva 21 años desarrollando software, su unidad de software está evaluada en CMMI nivel 5 y tiene 4.7/5 en Clutch. Si quieres revisar con un Lead Architect qué preguntarle a tu proveedor de IA, conversemos 20 minutos.

Preguntas frecuentes

¿Hay una ley de inteligencia artificial en Ecuador? No hay una ley de IA en vigor. Hay 12 propuestas en la Asamblea Nacional, y el pleno archivó un proyecto previo el 15 de septiembre de 2026. Lo que sí rige es la Resolución SPDP-SPD-2026-0009-R de la Superintendencia de Protección de Datos Personales, que regula la IA cuando trata datos de personas.

¿Qué exige la norma de IA de la SPDP a mi empresa? Informar a las personas cuando una IA trata sus datos, hacer gestión de riesgos y evaluaciones de impacto, aplicar medidas de seguridad, registrar los tratamientos en el RAT, auditar el sistema según su riesgo y respetar el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas.

¿La norma aplica si mi proveedor de IA está fuera de Ecuador? Sí, según los resúmenes de NMS Abogados y Lexis: aplica a sistemas de IA que traten datos de titulares ecuatorianos, sin importar la ubicación del proveedor ni de la infraestructura. Confirma el alcance exacto con tu equipo jurídico.

¿En cuánto tiempo debo notificar una brecha de seguridad? Según la Norma Técnica SPDP-SPD-2026-0040-R, el proveedor (encargado) debe avisarte en un máximo de dos días, y tú, como responsable, debes notificar a la SPDP en cinco días a través del SISPDP. No notificar es una infracción grave.

¿Qué debo pedirle a mi proveedor de IA? Información suficiente sobre el funcionamiento, las limitaciones, los riesgos y los controles del sistema, según la reforma 0037-R, además de un contrato de encargo que fije plazos de aviso de incidentes y evidencia de cómo opera cuando alega no tener acceso a los datos.

¿Qué pasa si no cumplo? La SPDP puede auditar los sistemas de IA, ordenar medidas correctivas y cautelares y sancionar según el régimen de la LOPDP. En diciembre de 2025 impuso sus primeras multas por infracciones graves, de hasta US$259.644, en dos casos de aplicaciones móviles.

Fuentes (consultadas el 20 de octubre de 2026):