Usar ChatGPT, Claude, Copilot o Gemini con datos de clientes en Paraguay: lo que la Ley 7593/2025 ya define

En los directorios paraguayos circula una idea tranquilizadora y equivocada: “como todavía no hay ley de inteligencia artificial, podemos usar lo que queramos”. La norma que te alcanza no regula la IA: regula los datos personales, es tecnológicamente neutra y ya está promulgada. Si tu equipo pega en un modelo el nombre de un cliente, una cédula, un legajo o un historial de compras, estás haciendo un tratamiento de datos personales —y, casi siempre, también una transferencia internacional—. Esta guía está escrita sobre el texto oficial de la Ley N° 7593/2025 publicado por la BACN, cita artículo por artículo, y separa con cuidado lo que la ley dice de lo que todavía depende de una reglamentación pendiente.

¿Puedo usar ChatGPT, Claude, Copilot o Gemini con datos de clientes en Paraguay?

La frase que más se escucha en los comités de dirección paraguayos es “todavía no hay ley de IA”. Es cierta y es incompleta. La norma que te alcanza no regula la inteligencia artificial: regula los datos personales, y es tecnológicamente neutra. Si el sistema trata datos de personas identificadas o identificables, ya está dentro del perímetro, sea una planilla, un CRM o un modelo de lenguaje.

El propio MITIC lo dice en su comunicado sobre el alcance de la ley: la normativa “establece reglas claras que brindan seguridad jurídica, favoreciendo el desarrollo tecnológico y el uso responsable de herramientas como la inteligencia artificial”. No es una prohibición, es un marco.

La pregunta correcta, entonces, no es “¿puedo usar IA?”. Son tres:

1. ¿Qué datos entran al modelo, y con qué base legal los tienes.
2. Qué hace el modelo con ellos: ¿solo redacta, o decide algo sobre una persona?
3. Dónde se procesan y quién más los ve: proveedor, subencargados, país.

Esta guía responde esas tres preguntas con el texto oficial de la Ley N° 7593/2025 en la mano, citando artículos. Para el panorama completo de la norma —plazos, sanciones y plan de adecuación— está la guía de la Ley 7593 para empresas.

¿Qué te exige hoy la ley y qué te exigirá desde noviembre de 2027?

Hay un matiz que cambia la planificación: la ley es del todo exigible en 2027, pero los sistemas que construyas en 2026 son los que van a estar corriendo en 2027. Rediseñar un flujo de aprobación de crédito, un filtro de currículums o un agente de atención después de puesto en producción cuesta bastante más que diseñarlo bien la primera vez. De ahí que convenga tratar la 7593 como un requisito de arquitectura y no como un trámite futuro.

Elaboración de perfiles y decisiones automatizadas: el artículo 33

Este es el artículo que convierte cualquier automatización con IA en un asunto de gobierno corporativo. Conviene leer dos definiciones del artículo 3 antes.

Elaboración de perfiles: “el resultado del tratamiento de datos personales realizado de forma automatizada y semi automatizada para evaluar determinados aspectos de una persona física, para analizar o predecir, cuestiones relativas al rendimiento profesional o laboral, situación económica, salud, preferencias personales, comportamientos, intereses y otras que podrán contemplarse en la Reglamentación”.

Fíjate en “semi automatizada”. No hace falta que la máquina decida sola: alcanza con que la decisión se apoye en un resultado automatizado. El clásico “el modelo sugiere y una persona aprueba” no te saca del artículo 33 si esa persona se limita a validar lo que el sistema propuso.

El artículo 33 alcanza expresamente las decisiones “encaminadas a definir sus aspectos personales, profesionales, de consumo, de crédito, de su personalidad”. En una empresa mediana paraguaya eso incluye, como mínimo:

• Preselección o descarte automático de currículums.
• Scoring de crédito, de cobranza o de riesgo de fraude que bloquea o restringe a un cliente.
• Priorización de reclamos o tickets que deja a alguien esperando más que a otro.
• Precios o descuentos personalizados por segmento de comportamiento.
• Evaluación de desempeño o de productividad asistida por sistemas.

Lo que hay que construir es concreto: un inventario de decisiones automatizadas con, para cada una, quién es la persona que puede revisarla, con qué información, en qué plazo y dejando qué constancia. El artículo 26 fija el plazo general de respuesta en treinta días corridos. Y el artículo 27 exige informarlo antes: el aviso de privacidad debe declarar la existencia de decisiones automatizadas e “información significativa sobre la lógica aplicada”.

¿Cuándo la IA vuelve obligatoria la evaluación de impacto?

Traducido a proyectos concretos: si el sistema de IA decide algo sobre personas, la evaluación de impacto es obligatoria. Si solo redacta correos, resume actas o traduce, en principio no lo es —aunque siga siendo un tratamiento que necesita base legal—.

Y hay un freno con nombre propio. El artículo 15 obliga a consultar previamente a la autoridad de control cuando la evaluación demuestre que el tratamiento implicaría un riesgo si no se toman medidas de mitigación. Entonces: “El responsable del tratamiento no podrá iniciar el tratamiento hasta tanto la autoridad de control se pronuncie sobre el informe”. La autoridad tiene treinta días hábiles, suspendibles por causa justificada.

Seis semanas de espera, como mínimo, para poner en producción un modelo que decide sobre personas. Ese hito tiene que estar en el cronograma desde el día uno, no descubrirse en la semana previa al lanzamiento.

El contenido de la evaluación lo fijará la reglamentación, que sigue pendiente. Mientras tanto, una evaluación defendible responde por escrito:

1. Qué hace el sistema, con qué datos y con qué finalidad.
2. Por qué es necesario y proporcional, y qué alternativa menos invasiva se descartó y por qué.
3. Base legal del artículo 5 y, si es interés legítimo, la ponderación del artículo 8.
4. Riesgos concretos para las personas: error, sesgo, exclusión, filtración, reidentificación.
5. Medidas de mitigación: umbrales, revisión humana efectiva, registro de decisiones, pruebas de sesgo, minimización de datos de entrada.
6. Riesgo residual y decisión de seguir, ajustar o no hacerlo.

El artículo 45 tipifica como falta grave tanto tratar sin evaluación cuando era exigible como tratar sin consulta previa cuando correspondía: dos infracciones por el mismo proyecto.

Transferencia internacional: qué pasa cuando el modelo corre fuera de Paraguay

Hay ocho supuestos en los que la exigencia de garantías apropiadas no se aplica. Dos importan aquí:

• Ejecución de la relación contractual con el titular: la ley incluye expresamente “la autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del servicio, soporte para el mantenimiento y facturación de la cuenta y aquellas actividades que el manejo de la relación contractual requiera”. Cuidado con la lectura fácil: la relación contractual relevante es la que tienes con la persona cuyos datos viajan, no la que tienes con el proveedor de IA.
• Consentimiento previo, informado, expreso e inequívoco del titular. Sirve, pero es la base más frágil: se revoca y hay que poder probarla (art. 6).

Lo que queda, para el uso empresarial habitual, es la octava vía: acreditar garantías mediante cláusulas contractuales, normas corporativas globales o certificaciones. Esa es la ruta a preparar durante 2026.

¿Y si el proveedor ofrece procesamiento “en la región”?

Ayuda, pero no resuelve por sí solo. Que un dato se procese en São Paulo en vez de en Iowa sigue siendo transferencia internacional a efectos del artículo 3: lo que importa no es la distancia sino si la jurisdicción de destino tiene nivel adecuado y si existen garantías contractuales. Elegir región es una medida de latencia y de riesgo operativo; la base jurídica sigue siendo el contrato.

En el horizonte hay un factor local: el proyecto de Centro de Cómputo Soberano impulsado por el MITIC junto con Taiwán, cuya fase piloto informó la prensa paraguaya en mayo de 2026. Es un proyecto de infraestructura en curso, no una solución de cumplimiento disponible hoy, y conviene no construir planes sobre él hasta que exista.

Qué puedo cargar y qué no en un LLM: la tabla

Dos advertencias operativas. La primera: la tabla vale para el plan corporativo de una herramienta contratada por la empresa, no para la cuenta personal gratuita que alguien usa desde su celular. La segunda: el mayor riesgo no está en el proyecto de IA formal —ese suele tener supervisión— sino en el uso informal, no declarado, que ya está ocurriendo en tu empresa. Empieza por preguntarlo sin sancionar; después regúlalo.

Anonimización y seudonimización: qué funciona de verdad

La distinción importa porque muchas empresas creen que borrando el nombre ya cumplieron. No es así: el artículo 3 define dato personal como el referido a personas “determinadas o determinables”, e incluye a quien pueda identificarse “directa o indirectamente, mediante algún identificador o por uno o varios elementos característicos”. En un país de siete millones de habitantes, un registro con edad, ciudad, cargo y rubro suele bastar para identificar a alguien.

Qué funciona, en orden de eficacia real:

1. No enviar el dato. Si la tarea es redactar una respuesta modelo, envía la plantilla y no el caso concreto.
2. Seudonimización antes del envío: reemplazar nombres, cédulas, RUC, teléfonos y correos por etiquetas ([CLIENTE_1], [CI_1]), procesar, y revertir en tu propio sistema. Es lo que hace un buen conector; no lo dejes a criterio de cada usuario.
3. Agregación: trabajar sobre totales y segmentos en lugar de registros individuales, sobre todo en análisis y tableros.
4. Minimización de campos: mandar tres columnas en vez de la tabla entera. El principio de minimización del artículo 4 lo exige de todos modos.

Una advertencia importante del artículo 45: es falta grave “la reversión deliberada de un procedimiento de anonimización o seudonimización a fin de permitir la reidentificación de los titulares”. Si tu equipo de datos reidentifica un conjunto que alguien anonimizó, eso no es ingenio: es una infracción tipificada.

Contratos con proveedores de IA: qué exige el artículo 11

La responsabilidad no se terceriza. El artículo 11 solo permite contratar a quien “ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas”, y el artículo 44 tipifica como falta leve contratar a un encargado que no las ofrezca. Además, si el encargado determina por su cuenta los fines y medios del tratamiento, la ley lo considera responsable frente a quien reclame.

Cláusulas que deberían estar en tu contrato o adenda con cualquier proveedor de IA:

• Finalidad limitada: el proveedor trata los datos solo para prestarte el servicio y conforme a tus instrucciones.
• Uso para entrenamiento: definido expresamente, en un sentido o en otro. No lo dejes al silencio del contrato.
• Subencargados: lista, autorización previa y aviso de cambios. Subcontratar sin autorización es falta grave (art. 45).
• Aviso de incidentes en 24 horas o menos. Si te avisan a las 70 horas, tú ya no llegas a las 72 del artículo 17.
• Asistencia para derechos de titulares: acceso, rectificación, supresión, portabilidad, con plazos compatibles con tus 30 días.
• Ubicación del procesamiento y garantías de transferencia internacional (art. 19).
• Devolución o borrado al terminar el contrato, con constancia.
• Auditoría: derecho a recibir informes de certificación o a auditar.

Un apunte práctico: los términos gratuitos o de consumidor de la mayoría de las herramientas no incluyen nada de esto. Si vas a trabajar con datos de clientes, necesitas el plan empresarial y su acuerdo de tratamiento de datos, y alguien de Legales tiene que leerlo. Integrar bien esas herramientas con tus sistemas —y no pegando texto a mano— también es lo que permite aplicar seudonimización y registro automáticos; es una decisión de integración, no de licencias.

Qué verificar en las páginas oficiales de OpenAI, Anthropic, Microsoft y Google

Las seis preguntas que hay que responder, con la respuesta impresa y archivada junto al contrato:

1. ¿Los datos que envío se usan para entrenar modelos? ¿Cambia según el plan o según una configuración de administrador?
2. ¿Cuánto tiempo se retienen los prompts y las salidas, y puedo configurarlo?
3. ¿En qué países o regiones se procesan y almacenan, y puedo elegirlo?
4. ¿Existe un acuerdo de tratamiento de datos firmable, y quiénes son los subencargados?
5. ¿En qué plazo notifican incidentes de seguridad?
6. ¿Qué certificaciones y reportes de auditoría publican, y con qué vigencia?

Tres criterios para leer cualquiera de esos documentos sin perderte. Primero, identifica el producto exacto: las condiciones de una API y las de la aplicación de consumo rara vez coinciden. Segundo, identifica el plan: gratuito, profesional y empresarial suelen tener tratamientos distintos. Tercero, guarda la versión con fecha: cuando la autoridad te pregunte por qué confiaste, la respuesta útil es “esto decía el contrato el día que lo firmamos”.

Datos de empleados: el punto ciego de Recursos Humanos

Los cuatro usos que más problemas generan:

• Filtrado automático de currículums. Es elaboración de perfiles con efecto significativo: evaluación de impacto obligatoria (art. 14), información previa sobre la lógica aplicada (art. 27) y derecho a impugnar (art. 33). Y si el filtro usa variables crediticias, se cruza con la prohibición del artículo 15 de la Ley 6534/2020.
• Análisis de productividad a partir de registros de sistemas, mensajería o tiempos de atención. Hay que revisar base legal, proporcionalidad y transparencia: el empleado tiene derecho a saber que existe.
• Resumen de entrevistas o de evaluaciones con un LLM. Puede contener datos sensibles que el entrevistado mencionó sin que nadie los pidiera.
• Biometría para control de acceso o de jornada. Dato sensible del artículo 3; registrar la jornada es obligación, hacerlo con huella es una elección que hay que justificar.

La base legal correcta casi nunca es el consentimiento. El artículo 20 habilita el tratamiento de datos sensibles cuando sea necesario “para el cumplimiento de obligaciones y el ejercicio de derechos específicos… en el ámbito del derecho laboral y de la seguridad social”, y para medicina preventiva o laboral por profesional sujeto a secreto. Para el resto, obligación legal o interés legítimo debidamente ponderado.

Y una regla que evita el 80% de los incidentes: ningún dato de empleado entra en una cuenta personal de una herramienta de IA. Ni para redactar una carta de despido, ni para resumir una evaluación, ni para “pedirle una opinión” sobre un caso disciplinario. Si el equipo necesita esas capacidades, se contratan en el plan corporativo y se entrena a la gente para usarlas bien; es parte de lo que cubre una formación interna en IA seria.

Scoring, cobranza y crédito: dónde manda la Ley 6534/2020

Si tu empresa otorga crédito, financia ventas o gestiona cobranza, el modelo de scoring vive bajo dos regímenes a la vez y conviene no mezclarlos:

Lo que esto exige en el diseño del modelo es menos dramático de lo que parece, pero no es opcional: guardar las variables que pesaron en cada decisión, poder explicarlas en lenguaje comprensible sin revelar secretos industriales, tener una instancia humana real que pueda revertir, y registrar cada revisión con fecha, criterio y resultado. Esa trazabilidad, además, es lo que después permite medir si el modelo funciona; es el mismo trabajo que exige cualquier proyecto serio de IA predictiva.

Plantilla de política interna de uso de IA

1. Alcance y definiciones. A quién aplica (empleados, pasantes, contratistas), qué se entiende por herramienta de IA y qué por dato personal, remitiendo al artículo 3 de la Ley 7593/2025.

2. Herramientas autorizadas. Lista cerrada, con nombre de producto y plan. Regla explícita: está prohibido usar cuentas personales para trabajo con datos de la empresa o de sus clientes. Procedimiento para pedir el alta de una herramienta nueva, con quién aprueba y en cuánto tiempo.

3. Qué se puede cargar y qué no. La tabla de este artículo, adaptada a tus datos reales. Incluye la regla de seudonimización obligatoria y la prohibición absoluta de credenciales y datos de tarjeta.

4. Revisión humana. Ningún contenido generado por IA se envía a un cliente, se publica o se usa para decidir sobre una persona sin revisión de alguien que responde por él. Identifica los procesos donde la revisión es obligatoria y quién la hace.

5. Decisiones automatizadas. Inventario de las que existen, con la persona que puede revisarlas, el plazo de respuesta (30 días corridos, art. 26) y el registro de cada revisión.

6. Proveedores. Nadie contrata una herramienta de IA sin contrato de encargo (art. 11) revisado por Legales, y sin que quede registrada en el inventario de tratamientos.

7. Incidentes. Qué hacer si alguien cargó por error datos que no debía: a quién avisar, en cuánto tiempo, y cómo se conecta con el procedimiento de 72 horas del artículo 17 y con el playbook de incidentes.

8. Transparencia con clientes. Cuándo se informa que hay IA en el proceso, y qué se declara en el aviso de privacidad conforme al artículo 27.

9. Formación y vigencia. Capacitación obligatoria al ingreso y anual; revisión de la política cada seis meses o cuando cambie la normativa. Registro de quién la firmó.

¿Habrá una ley de inteligencia artificial en Paraguay?

El estado del debate, con fuentes:

• Audiencia pública sobre el anteproyecto de ley de IA: hay un expediente en el sistema de información legislativa del Congreso, consultable en SILpy. En el Senado se socializó en 2025 un proyecto para regular el desarrollo e implementación de la IA.
• Junio de 2026: el senador Ignacio Iramain propuso cinco ejes —regulación por niveles de riesgo, prohibición de la vigilancia biométrica indiscriminada, derecho del ciudadano a saber si una decisión fue asistida por IA y a impugnarla ante una autoridad humana, registro público de sistemas de IA y protección de la soberanía digital—. La senadora Lizarella Valiente respaldó el planteo y exhortó al Ejecutivo a reglamentar la Ley de Protección de Datos (Última Hora).
• Mayo de 2026: se impulsó un proyecto para proteger a niños, niñas y adolescentes en el entorno digital y regular el uso de IA (La Tribuna).
• Política pública: el MITIC presentó el informe de metodología de evaluación del estado de preparación en inteligencia artificial, participó en una cumbre regional sobre ética de la IA y Paraguay adhirió a una declaración estratégica en Washington en junio de 2026.

Lo relevante para una empresa es que el eje del debate coincide con lo que la Ley 7593 ya dispone: saber que hay IA detrás de una decisión, poder impugnarla ante una persona, y límites a la biometría. Quien construya hoy con esos tres principios no tendrá que rehacer nada cuando llegue una ley de IA.

Prudencia editorial: cualquier afirmación sobre el estado de un proyecto legislativo caduca rápido. Verifica en SILpy y en el portal del MITIC antes de tomar decisiones basadas en una norma que aún no existe.

Sanciones, y qué hacer esta semana

El jornal mínimo es de G. 117.077 desde el 1 de julio de 2026, junto con el salario mínimo de G. 3.044.000, por el Decreto N° 6225 (ABC Color). Como las multas se expresan en jornales, el techo sube con cada reajuste anual.

Vale la pena leer el artículo 47 al revés: entre los criterios de graduación están la adopción demostrada de mecanismos internos que minimicen el daño, la existencia de una política de buenas prácticas y la pronta adopción de medidas correctivas. Es decir, la política de IA que escribas no solo evita infracciones: también reduce la multa si algo sale mal.

Checklist: qué hacer esta semana

1. Lunes: preguntar sin sancionar. Un formulario anónimo de tres preguntas: qué herramientas de IA usas, para qué, y si alguna vez cargaste datos de clientes o empleados.
2. Martes: listar las decisiones automatizadas o semiautomatizadas que hoy afectan a personas —crédito, selección, precios, priorización— y anotar quién puede revisarlas.
3. Miércoles: revisar qué plan tienes contratado en cada herramienta de IA y si existe un acuerdo de tratamiento de datos firmado.
4. Jueves: escribir la versión 1 de la política interna con la estructura de nueve puntos de este artículo. Dos páginas.
5. Viernes: dar de alta al menos una herramienta corporativa autorizada, comunicarla y agendar la capacitación. Sin alternativa legítima, la prohibición no se cumple.

Si quieres el marco completo de la norma —plazos, Agencia, derechos y plan de adecuación en doce meses—, está en la guía de la Ley 7593/2025 para empresas paraguayas. Si lo que quieres es empezar a automatizar con estas reglas ya puestas, el panorama de automatización con IA en Paraguay ordena por dónde conviene arrancar, y los agentes de atención suelen ser el primer caso donde aparecen datos de clientes. Uniamos trabaja estos proyectos de forma remota con empresas de la región y se puede plantear el caso sin compromiso. La experiencia uruguaya, con una autoridad de datos que lleva años funcionando, anticipa varios de estos problemas: la resumimos en la guía sobre IA y datos personales en Uruguay.

Preguntas frecuentes

Artículos relacionados

• Ley 7593/2025 de datos personales: guía completa para empresas paraguayas
• Guía de automatización con IA para empresas paraguayas 2026
• Ciberataque en tu empresa: el playbook de las primeras 72 horas en Paraguay
• IA y datos de clientes en Uruguay: qué exige la URCDP
• Qué es un agente de IA en WhatsApp y cómo funciona
• Formación en IA y Claude para equipos de empresa
• IA predictiva: qué se puede anticipar con tus propios datos
• Más artículos del blog de Uniamos