La frase que más se escucha en los directorios uruguayos en 2026 es “todavía no hay ley de IA”. Es cierta y es irrelevante. La norma que te alcanza hoy no regula la inteligencia artificial: regula los datos personales, y está vigente desde 2008. Si tu equipo carga nombres, cédulas, historiales o legajos en una herramienta alojada en el exterior, estás haciendo una transferencia internacional de datos sin la autorización que exige la Ley 18.331. Esta guía, verificada en fuentes oficiales a setiembre de 2026, explica qué te exige la URCDP hoy, cómo usar IA cumpliendo, qué se puede y qué no se puede cargar, y cómo escribir la política interna que ordena todo.
Respuesta corta: En Uruguay no hay ley de IA a setiembre de 2026, pero la Ley 18.331 y el Decreto 64/020 ya exigen finalidad, consentimiento, delegado de protección de datos cuando corresponde, evaluación de impacto previa y notificación de vulneraciones en 72 horas. Usar un modelo alojado fuera del país con datos de clientes es una transferencia internacional que requiere garantías contractuales y la valoración y eventual autorización de la URCDP, conforme al artículo 23 y a la Resolución 8/026.
- ¿Puedo usar ChatGPT o Claude con datos de clientes en Uruguay?
- ¿Por qué la falta de una ley de IA no te exime de nada?
- Transferencia internacional: el punto que casi nadie resuelve
- Delegado de protección de datos: ¿tu empresa está obligada?
- Evaluación de impacto (EIPD): cuándo la IA la vuelve obligatoria
- Qué puedo y qué no puedo cargar en un LLM: la tabla
- Anonimización y seudonimización: qué funciona de verdad
- ChatGPT, Claude, Copilot y Gemini: qué verificar antes de firmar
- Residencia de datos: por qué los datacenters no resuelven el problema jurídico
- Plantilla de política interna de uso de IA
- Consentimiento, finalidad y el caso particular de los empleados
- La Estrategia de IA de AGESIC y los sandboxes: qué mirar
- ¿Cuánto cuesta no cumplir?
- Qué hacer esta semana: checklist y calendario
¿Puedo usar ChatGPT o Claude con datos de clientes en Uruguay?
Sí, pero casi con seguridad no de la forma en que lo estás haciendo hoy. En Uruguay no hay todavía una ley de inteligencia artificial, y esa ausencia generó una falsa tranquilidad. La ley que te aplica ya existe desde 2008: es la Ley 18.331 de Protección de Datos Personales, con su reglamentación de 2020 y una resolución de la URCDP de abril de 2026 que cierra el punto más delicado.
La respuesta corta: cargar datos personales de clientes o empleados en un modelo alojado fuera de Uruguay es una transferencia internacional de datos. El artículo 23 de la Ley 18.331 la prohíbe hacia países sin nivel adecuado de protección, salvo excepciones tasadas, y la vía habilitada exige garantías contractuales y la valoración y eventual autorización previa de la URCDP. La Resolución URCDP N° 8/026, de 17 de abril de 2026, recomienda las cláusulas modelo del Consejo de Europa del Convenio 108+, pero aclara expresamente que no exime de ese trámite.
Esto no significa "no uses IA". Significa que el camino correcto tiene cuatro pasos: clasificar qué datos entran, contratar bien, documentar una evaluación de impacto y tramitar la transferencia. Este artículo recorre los cuatro.
¿Por qué la falta de una ley de IA no te exime de nada?
Porque las obligaciones que hoy alcanzan a un sistema de IA no vienen de una norma de IA: vienen de la normativa de datos personales, que es tecnológicamente neutra. Si el sistema trata datos de personas identificadas o identificables, ya está adentro.
| Norma vigente | Qué exige | Cuándo se dispara con IA |
|---|---|---|
| Ley 18.331 (2008) | Principios de finalidad, consentimiento, seguridad y proporcionalidad; derechos de acceso, rectificación y supresión; artículo 23 sobre transferencia internacional; artículo 35 sobre sanciones | Siempre que el prompt, el archivo adjunto o la base conectada contengan datos personales |
| Ley 19.670, artículos 37 a 40, y Decreto 64/020 | Responsabilidad proactiva, privacidad por diseño y por defecto, delegado de protección de datos, evaluación de impacto previa y comunicación de vulneraciones en 72 horas | Perfilado, grandes volúmenes, datos sensibles o transferencia sin protección adecuada |
| Resolución URCDP N° 41/021 (8/9/2021) | Cláusulas contractuales tipo para transferir a países sin nivel adecuado, con garantías suficientes | Al contratar cualquier proveedor de IA con procesamiento en el exterior |
| Resolución URCDP N° 8/026 (17/4/2026) | Recomienda las cláusulas modelo del Consejo de Europa (Convenio 108+), en módulos responsable-responsable, responsable-encargado y encargado-encargado | Ídem, y no exime de la valoración y eventual autorización de la URCDP |
| Decreto 66/025 (20/2/2025) | Marco de Ciberseguridad de AGESIC, responsable de seguridad de la información y reporte de incidentes en 24 horas | Si la empresa presta servicios o pertenece a sectores críticos (artículo 3, literal j) |
A eso se suma el marco internacional: Uruguay aprobó el Protocolo de enmienda al Convenio 108 —el Convenio 108+— por la Ley N° 19.948, promulgada el 16 de abril de 2021, según la propia URCDP. Ese es el instrumento del que salen las cláusulas modelo que la URCDP recomienda hoy.
¿Y la ley de IA? Está en camino: AGESIC impulsa un anteproyecto y su director ejecutivo, Daniel Mordecki, declaró en noviembre de 2025 que el objetivo es equilibrar las fuerzas entre las grandes corporaciones y los ciudadanos, con ejes de ética, seguridad y transparencia. Cuando llegue, va a sumarse a lo anterior, no a reemplazarlo. Quien ordene hoy su gobierno del dato llega con la tarea hecha; quien espere, resolverá dos capas a la vez.
Transferencia internacional: el punto que casi nadie resuelve
Es el incumplimiento más extendido y el menos consciente del mercado uruguayo. Prácticamente todos los modelos comerciales de lenguaje procesan fuera de Uruguay; por lo tanto, casi todo uso corporativo de IA con datos personales es una transferencia internacional.
Qué dice el artículo 23 de la Ley 18.331
El artículo 23 prohíbe la transferencia de datos personales a países u organismos internacionales que no proporcionen niveles de protección adecuados de acuerdo con los estándares del derecho internacional o regional. Las excepciones que enumera son tasadas y muy específicas: cooperación judicial internacional; intercambio de datos médicos por razones sanitarias; transferencias bancarias o bursátiles; acuerdos en tratados internacionales suscritos por Uruguay; y cooperación contra el crimen organizado, el terrorismo y el narcotráfico.
Léase con atención: ninguna de esas excepciones cubre "subí la base de clientes a una herramienta de IA para segmentar campañas". Esa es toda la discusión.
La vía habilitada: garantías contractuales más autorización
La Resolución URCDP N° 41/021, de 8 de setiembre de 2021, estableció que esas transferencias son admisibles cuando el responsable ofrece garantías suficientes mediante cláusulas contractuales apropiadas. Su anexo detalla qué deben contener: finalidad y normativa aplicable, listado de los datos transferidos, medidas de seguridad, comunicación de vulneraciones, resolución de disputas sin afectar los derechos de los titulares y acceso a la información solo mediante orden judicial, con variantes según se trate de transferencias entre responsables, de responsable a encargado o entre encargados.
La Resolución N° 8/026, de 17 de abril de 2026, dio el paso siguiente: recomienda usar las cláusulas contractuales modelo del Consejo de Europa del Convenio 108+, en sus módulos de responsable a responsable, de responsable a encargado y de encargado a encargado. El punto crítico está en su propio texto: su implementación no exime a responsables y encargados de la valoración y eventual autorización por parte de la URCDP, y las garantías deben ser iguales o superiores a las de las cláusulas modelo. Las resoluciones de transferencia dictadas caso por caso se publican en la sección de transferencias del sitio de la URCDP.
El trámite, paso a paso
La Solicitud de transferencias internacionales se presenta únicamente por internet y no tiene costo. Requisitos: usuario gub.uy u otro medio de identificación electrónica (cédula digital, Identidad Digital Abitab o TuID Antel); los datos de la solicitud con documentación respaldatoria; certificado notarial que acredite representación o titularidad; y el contrato con el proveedor de alojamiento.
La consecuencia práctica: no puedes tramitar la transferencia si tienes al proveedor contratado con los términos de consumo, aceptados con un clic. El trámite pide un contrato. Ese es el primer filtro real entre "usar IA" y "usar IA en regla".
Hablemos de tu caso concreto
Diagnóstico gratuito de 30 minutos. Uniamos es una agencia remota de automatización con IA (Austin y Ciudad de México) que trabaja por videollamada y WhatsApp.
Delegado de protección de datos: ¿tu empresa está obligada?
El delegado de protección de datos es obligatorio para tres grupos, según el artículo 40 de la Ley 19.670 y el artículo 10 del Decreto 64/020: entidades públicas estatales y no estatales y privadas total o parcialmente de propiedad estatal; entidades privadas que traten datos sensibles como negocio principal; y quienes realicen tratamiento de grandes volúmenes, entendido como datos personales de más de 35.000 personas.
Ese umbral sorprende a muchos directorios. Una mutualista, una financiera, una cadena de retail con programa de fidelidad, un colegio grande o un e-commerce con cinco años de historia lo superan sin esfuerzo.
Qué hay que hacer
- Designar a la persona. Los requisitos y condiciones de designación y cese están en la Resolución URCDP N° 32/020, de 19 de mayo de 2020.
- Comunicarlo a la URCDP dentro de los 90 días del inicio del tratamiento, a través del Sistema de Registro de Bases de Datos, con los datos identificatorios y la documentación que acredita la designación.
- Darle posición y recursos. Asesora en el diseño y aplicación de las políticas de protección de datos, es el nexo con la URCDP e interviene en las medidas de seguridad y en las comunicaciones ante una vulneración.
En IA, el delegado es quien debe firmar el criterio de qué se puede cargar en qué herramienta. Si no estás obligado, designá igual un responsable interno de gobierno del dato: alguien tiene que decidir y quedar registrado decidiendo.
Evaluación de impacto (EIPD): cuándo la IA la vuelve obligatoria
La evaluación de impacto en la protección de datos debe hacerse antes de iniciar el tratamiento, según los artículos 5 a 7 del Decreto 64/020. Los casos que la exigen son precisamente los que describen un proyecto típico de IA:
- Tratamiento de datos sensibles como actividad principal.
- Tratamiento permanente de datos especialmente protegidos.
- Elaboración de perfiles personales.
- Datos de personas vulnerables o de menores de edad.
- Grandes volúmenes de datos.
- Transferencias internacionales sin protección adecuada.
Un motor de scoring, una segmentación automática, un asistente que lee el historial del cliente o una selección de personal asistida por IA suelen caer en más de una categoría a la vez.
Cómo se hace, sin reinventar la rueda
La URCDP publicó junto con la autoridad argentina una Guía de Evaluación de Impacto en la Protección de Datos que sirve de metodología. Una EIPD útil responde, como mínimo, ocho preguntas:
- ¿Qué problema de negocio resuelve el sistema y con qué finalidad declarada?
- ¿Qué datos personales entran, de quiénes y con qué base legitimadora?
- ¿Hay decisiones automatizadas con efecto sobre las personas?
- ¿Dónde se procesan y dónde se almacenan los datos?
- ¿Qué riesgos concretos hay —reidentificación, sesgo, filtración, uso secundario— y con qué probabilidad e impacto?
- ¿Qué medidas técnicas y organizativas los mitigan?
- ¿Qué riesgo residual queda y quién lo acepta, por escrito?
- ¿Cómo se ejercen los derechos de acceso, rectificación y supresión sobre lo que el sistema procesó?
Por qué conviene aunque no sea obligatoria: la EIPD es la evidencia documentada del principio de responsabilidad proactiva. Ante un incidente o una inspección, es la diferencia entre mostrar un criterio y explicar una improvisación. Si te interesa el otro lado de esa moneda, lo desarrollamos en el playbook de las primeras 72 horas ante un ciberataque.
Qué puedo y qué no puedo cargar en un LLM: la tabla
La regla de fondo es simple: si el contenido permite identificar a una persona, directa o indirectamente, entra en el régimen de la Ley 18.331. Y la ley uruguaya protege, en lo pertinente, también los datos de personas jurídicas. Lo que sigue es una guía de clasificación para bajar a la práctica; adaptala a tu realidad y validala con tu asesor.
| Contenido | Herramienta de consumo (cuenta personal, sin contrato) | Plan empresarial con contrato y transferencia tramitada |
|---|---|---|
| Texto general, ideas, borradores sin datos de personas | Sí | Sí |
| Documentos públicos de la empresa (folletos, web, catálogos) | Sí | Sí |
| Código fuente propio o de clientes | No (secreto comercial y, a menudo, contractual) | Según el contrato con tu cliente |
| Nombres, cédulas, teléfonos o correos de clientes | No | Sí, con finalidad declarada y base legitimadora |
| Bases de datos de clientes o de leads | No | Sí, con EIPD y transferencia tramitada |
| Historias clínicas, datos de salud, biométricos, origen racial, opiniones políticas, afiliación sindical, vida sexual | No | Solo con consentimiento expreso y escrito, y análisis jurídico específico |
| Legajos, evaluaciones de desempeño o sueldos de empleados | No | Sí, con información previa al personal y finalidad acotada |
| Currículums de postulantes | No | Sí, con aviso en la convocatoria y sin decisión automatizada sin revisión humana |
| Contratos con cláusula de confidencialidad | No | Revisar la cláusula antes; muchas prohíben procesamiento por terceros |
| Datos agregados y estadísticos sin posibilidad de reidentificación | Sí | Sí |
| Grabaciones de llamadas o de videollamadas con clientes | No | Sí, si hubo aviso y consentimiento en la grabación |
| Información financiera no pública de la empresa | No | Sí, con acuerdo de confidencialidad del proveedor |
Dos aclaraciones que evitan discusiones internas: la columna del medio no dice "prohibido usar ChatGPT", dice que una cuenta personal sin contrato no da las garantías que la normativa exige para tratar datos de terceros; y la columna de la derecha no es automática, requiere el trabajo de contrato, EIPD y trámite.
Anonimización y seudonimización: qué funciona de verdad
Anonimizar bien es la única forma de sacar un dato del régimen de la Ley 18.331. Seudonimizar —reemplazar el nombre por un código— no lo saca: si vos conservás la tabla que permite volver a la persona, el dato sigue siendo personal. La ley alcanza expresamente a la información que hace al titular identificable, aunque no lo identifique de forma directa.
Qué hacer antes de que el texto salga hacia el modelo
- Supresión: quitar nombres, cédulas, teléfonos, correos, direcciones, patentes, números de cuenta y de póliza.
- Generalización: reemplazar fecha de nacimiento por rango etario, dirección por departamento, monto exacto por tramo.
- Tokenización reversible del lado de tu empresa: el modelo ve "CLIENTE_0143"; la tabla de equivalencias nunca sale de tus sistemas.
- Control de combinaciones: el riesgo no está en un campo, está en el cruce. "Mujer, 41 años, gerenta de una empresa de logística de Colonia" puede identificar a una sola persona en el país.
- Revisión de adjuntos: los PDF y las planillas arrastran metadatos, hojas ocultas y comentarios.
La forma robusta de sostener esto no es pedirle a cada persona que borre datos a mano: es poner la anonimización en el flujo, con una capa que limpie antes de llamar al modelo. Es el tipo de trabajo que resolvemos con automatización de procesos y integraciones y APIs: el usuario final no debería tener que acordarse.
Prueba de realidad: tomá los últimos veinte prompts reales de tu equipo comercial y de atención. Si en más de tres aparece un nombre, un teléfono o un número de documento, no tienes un problema de capacitación: tienes un problema de diseño del proceso.
ChatGPT, Claude, Copilot y Gemini: qué verificar antes de firmar
Los cuatro proveedores más usados en empresas uruguayas ofrecen planes de consumo y planes empresariales con condiciones distintas. La diferencia no es de calidad del modelo: es contractual, y es exactamente lo que la URCDP va a mirar. No tomes por cierto lo que diga un vendedor ni un blog: verifica en la documentación oficial del proveedor y dejá constancia de la versión y la fecha que consultaste.
| Qué verificar | Por qué importa en Uruguay | Dónde queda documentado |
|---|---|---|
| ¿Se usan tus datos para entrenar modelos? | El uso secundario contradice el principio de finalidad de la Ley 18.331 | Términos del plan empresarial y adenda de tratamiento de datos |
| ¿Cuánto tiempo se retienen las conversaciones y los archivos? | Condiciona el ejercicio de los derechos de supresión del titular | Política de retención y controles de administrador |
| ¿Existe retención cero para API o endpoints específicos? | Reduce drásticamente el riesgo residual de la EIPD | Documentación técnica del proveedor |
| ¿Dónde se procesan y almacenan los datos? | Define el país de destino de la transferencia internacional | Anexo de subencargados y de regiones |
| ¿Quiénes son los subencargados y se puede objetar su cambio? | La Resolución 41/021 exige identificar la cadena | Listado de subprocesadores |
| ¿Acepta las cláusulas modelo del Convenio 108+? | Es el mecanismo que recomienda la Resolución 8/026 | Adenda contractual firmada |
| ¿En cuántas horas notifica un incidente de seguridad? | Tenés 72 horas para comunicar a la URCDP; si él tarda 5 días, no llegás | Cláusula de notificación de incidentes |
| ¿Qué certificaciones y auditorías tiene? | Alimenta la sección de medidas de seguridad de la EIPD | Centro de confianza o informes de auditoría |
| ¿Cómo se exportan o eliminan los datos al terminar? | Derecho de supresión y continuidad del negocio | Cláusula de terminación |
Los proveedores publican esta información en sus centros de confianza y páginas de privacidad empresarial: OpenAI, Anthropic, Microsoft y Google Cloud. Como ejemplo de lo que hay que leer, OpenAI declara en su página de privacidad empresarial que no entrena sus modelos con datos de clientes por defecto, que retiene datos de la plataforma de API hasta 30 días para prestación del servicio y detección de abusos, y que ofrece retención cero para determinados endpoints que cumplan los criterios. Verifica el equivalente en cada proveedor y guarda el documento con fecha: es prueba para tu expediente.
Residencia de datos: por qué los datacenters no resuelven el problema jurídico
Con Google construyendo su centro de datos en el Parque de las Ciencias, en Canelones, y otros proyectos en evaluación, es tentador pensar que la residencia local resuelve el cumplimiento. Conviene separar tres cosas que no son lo mismo.
- Dónde se almacena el dato en reposo. Puede ser local y aun así el procesamiento del modelo ocurrir en otra región.
- Dónde se procesa la inferencia. Es lo que define, en los hechos, si hay transferencia internacional.
- Quién controla la entidad que trata el dato. Una casa matriz extranjera puede estar sujeta a requerimientos de su propia jurisdicción, y por eso las cláusulas de la Resolución 41/021 exigen que el acceso a la información solo proceda mediante orden judicial.
La conclusión operativa es menos romántica y más útil: la residencia de datos mejora latencia, costo y a veces el riesgo, pero el cumplimiento se documenta con contrato, EIPD y trámite, no con un mapa. Analizamos la infraestructura y sus cuellos de botella energéticos en datacenters, IA y energía en Uruguay. Lo que sí cambia con cómputo regional es el abanico de opciones: modelos abiertos ejecutados en infraestructura bajo tu control reducen el problema de transferencia a una sola relación contractual, y a veces lo eliminan.
Plantilla de política interna de uso de IA
Una política de uso de IA no necesita cuarenta páginas: necesita doce decisiones tomadas y escritas. Esta es la estructura mínima que resiste una pregunta de la URCDP, de un cliente corporativo o de un auditor.
- Alcance y definiciones. A quiénes alcanza (empleados, pasantes, contratistas y proveedores) y qué se entiende por herramienta de IA.
- Herramientas autorizadas. Lista cerrada de plataformas y planes aprobados, con nombre y versión del plan. Todo lo demás está prohibido hasta nueva aprobación.
- Clasificación de la información. Las categorías de la tabla anterior, adaptadas a tu negocio, con ejemplos propios.
- Prohibiciones explícitas. Datos sensibles, credenciales, código de clientes, información sujeta a confidencialidad contractual y cuentas personales para trabajo.
- Anonimización obligatoria. Qué hay que quitar antes de enviar y qué herramienta interna lo hace.
- Revisión humana. Ninguna decisión con efecto sobre personas —crédito, contratación, precios individuales, sanciones— se toma sin revisión humana documentada.
- Trazabilidad. Qué se registra de cada uso: usuario, herramienta, finalidad y, cuando aplique, el caso al que se asocia.
- Verificación de resultados. Prohibición de publicar o enviar a un cliente contenido generado sin control humano, y responsabilidad de quien firma.
- Propiedad intelectual y confidencialidad. Reglas sobre contenido de terceros y sobre lo generado con IA.
- Incidentes. Qué hacer si alguien cargó algo que no debía: a quién avisar, en cuánto tiempo, y conexión con el procedimiento de vulneraciones de seguridad y el plazo de 72 horas.
- Formación. Capacitación obligatoria al ingreso y actualización anual, con registro de asistencia.
- Gobierno y revisión. Responsable de la política, frecuencia de revisión (semestral es razonable en 2026) y procedimiento para incorporar una herramienta nueva.
Error clásico: publicar la política y no dar alternativa. Si prohibís las cuentas personales sin ofrecer una herramienta empresarial que funcione, el equipo va a seguir usando la personal y ahora, además, sin contarlo. La política se cumple cuando la vía legítima es más cómoda que la clandestina. Si quieres acelerar esa parte, la formación de equipos en IA está pensada exactamente para eso.
Hablemos de tu caso concreto
Diagnóstico gratuito de 30 minutos. Uniamos es una agencia remota de automatización con IA (Austin y Ciudad de México) que trabaja por videollamada y WhatsApp.
Consentimiento, finalidad y el caso particular de los empleados
Dos principios de la Ley 18.331 gobiernan todo lo anterior: el de finalidad —los datos se usan para el fin declarado al recolectarlos y no para otro— y el de consentimiento previo e informado del titular, salvo excepciones legales. Traducido a IA: si recolectaste el correo de un cliente "para gestionar su pedido", usarlo para alimentar un sistema de perfilado comercial es una finalidad distinta, y hay que revisar la base legitimadora.
Qué revisar en tus textos legales
- Cláusula informativa en formularios web, contratos y avisos de privacidad: ¿menciona el uso de proveedores en el exterior y la posibilidad de transferencia internacional?
- Política de privacidad del sitio: ¿está actualizada a las herramientas que efectivamente usás hoy?
- Contratos con clientes corporativos: muchos prohíben el procesamiento por subencargados no aprobados. Usar IA sobre sus datos sin avisar puede ser un incumplimiento contractual antes que regulatorio.
Empleados: el punto ciego
El personal también es titular de datos. Usar IA para analizar productividad, correos internos, grabaciones de reuniones o desempeño implica tratamiento de datos de trabajadores, con un plus de sensibilidad por la relación de subordinación. Tres reglas: informar antes, con documento firmado; acotar la finalidad, sin decisiones disciplinarias automáticas; y cruzarlo con la normativa laboral, sobre todo con teletrabajo, donde el sistema de control debe constar en el acuerdo escrito. Lo desarrollamos en la guía de teletrabajo y Ley 19.978. Antes de diseñar cualquier política de monitoreo, vale leer la Encuesta Nacional sobre Sistemas Digitales Avanzados y Trabajo, publicada por AGESIC el 17 de agosto de 2026 y elaborada por el Departamento de Sociología de la Udelar con financiamiento de ANII.
La Estrategia de IA de AGESIC y los sandboxes: qué mirar
Uruguay tiene una Estrategia Nacional de Inteligencia Artificial 2024-2030, publicada el 22 de noviembre de 2024 y aprobada el día anterior por el Comité Estratégico del Sector Público para IA y Datos. Se organiza en tres objetivos: gobernanza —marcos que aseguren un desarrollo ético, responsable y seguro, con claridad regulatoria—, capacidades —infraestructura, gestión de datos y habilidades— y desarrollo sostenible. Se elaboró con participación de 45 organizaciones del sector privado, más de 40 instituciones estatales, 11 organizaciones de la sociedad civil y la academia. Está disponible en el portal de publicaciones de AGESIC.
La lectura útil de ese documento es la de anticipación regulatoria: lo que hoy figura como principio de gobernanza tiende a convertirse en requisito. Transparencia, trazabilidad y supervisión humana conviene incorporarlos ya a la política interna.
Los entornos controlados de prueba
El 25 de mayo de 2026 se lanzó el instrumento de entornos controlados de prueba —sandboxes regulatorios— de Uruguay Innova, según la comunicación oficial de Uruguay Innova. Son espacios de experimentación temporales para impulsar proyectos innovadores, especialmente en datos e inteligencia artificial. Pueden participar entidades públicas o privadas, personas físicas, la academia y la sociedad civil. Participan AGESIC, la URCDP, el MIEM, la ANII y Uruguay Innova, hay un Comité Técnico de Evaluación y las postulaciones se canalizan por formulario, con convocatoria vigente en 2026. La información y el acceso están en la página de entornos controlados de AGESIC.
¿Cuándo tiene sentido? Cuando el proyecto no encaja limpiamente en la normativa vigente y el bloqueo es regulatorio, no técnico. No es un atajo para evitar el cumplimiento ordinario, pero sí una vía para construirlo con la autoridad adentro en lugar de enfrente.
El ecosistema que fija el estándar privado
El 9 de junio de 2026 se lanzó el Consejo Empresarial por la Ética de la Inteligencia Artificial, el primero de su tipo a nivel nacional, según la UNESCO. La presidencia está a cargo de CUTI, con Carlos Acle como presidente y José C. Nordmann (Quanam) como vicepresidente; el directorio incluye representantes de Tigo, Microsoft y ANTEL. Sus prioridades declaradas para 2026 son integrar la ética de la IA en las prácticas empresariales, fortalecer capacidades técnicas y posicionar a Uruguay como referente regional en gobernanza de IA. Traducido al directorio: el estándar privado se está escribiendo ahora, y va a ser la vara con la que te midan tus clientes corporativos antes que el regulador. Podés seguir las publicaciones y estudios en el portal temático de inteligencia artificial de AGESIC.
¿Cuánto cuesta no cumplir?
El artículo 35 de la Ley 18.331 habilita a la URCDP a aplicar observación, apercibimiento, multa de hasta 500.000 UI, suspensión de la base de datos por cinco días y clausura de la base, graduadas según gravedad, reiteración o reincidencia. Las resoluciones que imponen sanciones pecuniarias constituyen título ejecutivo.
A valor de la Unidad Indexada de setiembre de 2026 —$6,6377 al 4 de setiembre, según la serie publicada por la DGI— el tope equivale a unos $U 3,3 millones. Pero la multa rara vez es el costo principal: la suspensión o clausura de una base que alimenta tu operación comercial es un evento de continuidad de negocio, y perder un cliente corporativo que exige por contrato el listado de subencargados aprobados cuesta bastante más. Hay además un costo asimétrico que conviene explicitar en el directorio: el incumplimiento es barato de empezar y caro de deshacer, porque los datos que ya salieron no vuelven. El orden correcto es política primero, herramienta después.
Qué hacer esta semana: checklist y calendario
Un plan de cuatro semanas que una empresa mediana uruguaya puede ejecutar sin proyecto formal ni presupuesto extraordinario.
Semana 1: inventario de la realidad
- Preguntar, sin sanción, qué herramientas de IA usa hoy cada área y con qué cuentas. La lista siempre es más larga de lo que el directorio cree.
- Identificar qué datos personales están entrando a esas herramientas y con qué frecuencia.
- Verificar si la empresa está obligada a designar delegado de protección de datos (umbral de 35.000 personas).
- Revisar si hay contratos con clientes que prohíban subencargados no aprobados.
Semana 2: decidir y escribir
- Aprobar la lista cerrada de herramientas y planes autorizados.
- Redactar la política interna de uso de IA con las doce cláusulas de la plantilla y aprobarla en directorio, con fecha.
- Definir la tabla de clasificación de qué se puede cargar, con ejemplos del propio negocio.
Semana 3: contratar bien
- Migrar de cuentas personales a planes empresariales con contrato.
- Pedir al proveedor la adenda de tratamiento de datos con las cláusulas modelo del Convenio 108+ y el listado de subencargados.
- Guardar, con fecha, la documentación de privacidad del proveedor que respalda tu evaluación.
Semana 4: documentar y tramitar
- Elaborar la EIPD del o de los tratamientos principales.
- Reunir los requisitos del trámite: usuario gub.uy, certificado notarial y contrato con el proveedor, y presentar la solicitud de transferencia internacional.
- Actualizar la cláusula informativa y la política de privacidad del sitio.
- Agendar la capacitación del equipo y la revisión semestral de la política.
Calendario de referencia 2026
| Fecha | Hito | Qué implica |
|---|---|---|
| 17/02/2020 | Decreto 64/020 | DPO, EIPD, 72 horas y responsabilidad proactiva: vigente y exigible |
| 08/09/2021 | Resolución URCDP 41/021 | Cláusulas contractuales para transferir a países sin nivel adecuado |
| 22/11/2024 | Estrategia Nacional de IA 2024-2030 | Marco de gobernanza que anticipa la futura regulación |
| 14/03/2025 | Publicación del Decreto 66/025 | Marco de Ciberseguridad obligatorio para sectores críticos |
| 17/04/2026 | Resolución URCDP 8/026 | Cláusulas modelo del Convenio 108+; no eximen de autorización |
| 25/05/2026 | Lanzamiento de los entornos controlados de prueba | Vía para proyectos que no encajan en la normativa vigente |
| 09/06/2026 | Consejo Empresarial por la Ética de la IA | El estándar privado que van a exigirte tus clientes |
| 20/07/2026 | Marco de Ciberseguridad 5.0 de AGESIC | Base técnica para las medidas de seguridad de tu EIPD |
Checklist de directorio
- ¿Tenemos inventario de herramientas de IA en uso y de los datos que entran?
- ¿Tenemos política interna aprobada, con fecha y responsable?
- ¿Estamos obligados a designar delegado y lo comunicamos a la URCDP?
- ¿Hicimos la EIPD de los tratamientos de riesgo?
- ¿Contratamos planes empresariales, con adenda de tratamiento de datos?
- ¿Presentamos la solicitud de transferencia internacional?
- ¿Nuestra cláusula informativa menciona proveedores en el exterior?
- ¿Hay revisión humana obligatoria en toda decisión que afecte a personas?
- ¿El personal está capacitado y firmó la política?
- ¿Quién revisa esto cada seis meses y lo reporta al directorio?
Si el cuello de botella es técnico —conectar sistemas, limpiar datos antes de que salgan, hacer que la vía legítima sea la cómoda—, en Uniamos ordenamos esa capa. Y si quieres entrar por los casos de uso y el retorno, empezá por la guía de automatización con IA para empresas uruguayas.
Aviso: este artículo tiene fines informativos y no constituye asesoría legal. La normativa citada está verificada en fuentes oficiales a setiembre de 2026, pero su aplicación depende del caso concreto y la interpretación corresponde a la URCDP y a los tribunales. Validá cada decisión con tu abogado y con tu delegado de protección de datos.
Preguntas frecuentes
¿Hay una ley de inteligencia artificial en Uruguay en 2026?
No. A setiembre de 2026 no hay una ley de IA vigente. AGESIC impulsa un anteproyecto y existe una Estrategia Nacional de IA 2024-2030, pero las obligaciones exigibles hoy provienen de la Ley 18.331, de la Ley 19.670 con el Decreto 64/020, de las resoluciones de la URCDP y, para sectores críticos, del Decreto 66/025.
¿Usar ChatGPT con datos de clientes es una transferencia internacional?
Si el procesamiento ocurre fuera de Uruguay, sí. El artículo 23 de la Ley 18.331 prohíbe transferir a países sin nivel adecuado salvo excepciones tasadas —cooperación judicial, datos médicos por razones sanitarias, transferencias bancarias o bursátiles, tratados y cooperación contra crimen organizado, terrorismo y narcotráfico—, ninguna de las cuales cubre el uso comercial de una herramienta de IA.
¿Las cláusulas modelo del Convenio 108+ me eximen de pedir autorización?
No. La Resolución URCDP N° 8/026, de 17 de abril de 2026, recomienda esas cláusulas, pero aclara que su implementación no exime a responsables y encargados de la valoración y eventual autorización por parte de la URCDP. Las garantías ofrecidas deben ser iguales o superiores a las de las cláusulas modelo.
¿Cómo se pide la autorización de transferencia internacional?
Por el trámite en línea Solicitud de transferencias internacionales, sin costo y únicamente por internet. Requiere usuario gub.uy u otro medio de identificación electrónica, la solicitud con documentación respaldatoria, certificado notarial que acredite representación o titularidad y el contrato con el proveedor de alojamiento.
¿Mi empresa necesita delegado de protección de datos?
Están obligadas las entidades públicas estatales y no estatales, las privadas de propiedad estatal total o parcial, las que traten datos sensibles como negocio principal y quienes traten datos personales de más de 35.000 personas (artículo 40 de la Ley 19.670 y artículo 10 del Decreto 64/020). La designación se comunica a la URCDP dentro de los 90 días.
¿Anonimizar los datos me saca del régimen de la ley?
Solo si es efectiva e irreversible. Reemplazar el nombre por un código y conservar la tabla de equivalencias es seudonimización: el dato sigue siendo personal porque el titular sigue siendo identificable. Cuidado con las combinaciones de atributos, que reidentifican aunque ningún campo lo haga por sí solo.
¿Puedo usar IA para analizar el desempeño de mis empleados?
Es tratamiento de datos personales de trabajadores, con el plus de sensibilidad que da la relación de subordinación. Hay que informar previamente y por escrito, acotar la finalidad, evitar decisiones disciplinarias automáticas sin revisión humana y, si hay teletrabajo, dejar el sistema de control asentado en el acuerdo escrito conforme a la Ley 19.978 y al Decreto 86/022.
¿Qué pasa si alguien de mi equipo ya cargó datos de clientes en una IA?
Evaluá si constituye una vulneración de seguridad conforme al artículo 3 del Decreto 64/020: si hubo comunicación o acceso no autorizados a datos personales, corre el plazo de 72 horas para comunicar a la URCDP. En paralelo, revocá el acceso, solicitá la eliminación al proveedor, documenta lo ocurrido y usá el caso para cerrar la brecha de proceso.
¿Qué es un sandbox regulatorio y me sirve?
Es un espacio de experimentación temporal bajo supervisión estatal, lanzado el 25 de mayo de 2026 por Uruguay Innova junto con AGESIC, la URCDP, el MIEM y la ANII, dirigido especialmente a datos e IA. Sirve cuando el bloqueo es regulatorio y no técnico; no reemplaza el cumplimiento ordinario.
¿Cuál es la multa máxima por incumplir la Ley 18.331?
El artículo 35 prevé observación, apercibimiento, multa de hasta 500.000 UI, suspensión de la base de datos por cinco días y clausura. A valor de la UI de setiembre de 2026 el tope equivale a unos $U 3,3 millones. Para la mayoría de las empresas, sin embargo, pesan más la suspensión de una base operativa y la pérdida de clientes corporativos.
¿Quieres aplicarlo en tu empresa?
En 30 minutos revisamos tu operación y te decimos qué automatizar primero, sin compromiso.
Artículos relacionados
- Ciberataque en Uruguay: el playbook de las primeras 72 horas
- Guía de automatización con IA para empresas uruguayas 2026
- Datacenters, IA y energía en Uruguay: qué significa para tu empresa
- Teletrabajo en Uruguay: la evaluación de riesgos que la IGT puede exigirte
- Qué es un agente de IA en WhatsApp y cómo funciona
- Formación en IA y Claude para equipos de empresa
- IA predictiva: qué se puede anticipar con tus propios datos
- Más artículos del blog de Uniamos