F11 - 11.0 EL VACÍO REGULATORIO EN LATAM: UNA VENTANA QUE SE CIERRA

§11.0 El Vacío Regulatorio en LATAM — Tabla de los cinco vectores regulatorios (marcos nacionales, EU AI Act extraterritorial, reforma Ley 25.326, regulación sectorial BCRA/CNV, presión del mercado) mostrando la evolución de 2020-2023 al estado actual 2026. Dato clave CEPAL/CENIA ILIA 2025: LATAM es el 14% de visitas globales a soluciones de IA pero la capacidad regulatoria sigue rezagada.

§11.1 Mapa Regulatorio LATAM 2026: Estado por País — Análisis detallado de cada jurisdicción con clasificación Pioneer / Adopter / Explorer:

• Brasil (Pioneer): LGPD vigente desde 2020. PL 2338/2023 aprobado por el Senado en diciembre de 2024, en revisión de la Cámara con Comisión Especial de 33 miembros desde abril 2025. Multas hasta BRL 50M o 2% de facturación. ANPD como autoridad supervisora. Sandboxes regulatorios para fintech, healthtech y smart cities activos hasta diciembre 2026.

• Chile (Pioneer): Proyecto de ley de IA aprobado por la Cámara de Diputados el 13 de octubre de 2025, actualmente en el Senado. Ley Marco de Ciberseguridad 21.663 ya vigente — crea la ANCI con poderes de supervisión sobre sistemas de IA en infraestructura crítica. Nueva Ley de Datos con Agencia de Protección de Datos operacional en 2026.

• Colombia, México, Perú, Uruguay, Panamá, Ecuador — Estado legislativo y nivel de impacto para operaciones argentinas.

§11.2 EU AI Act Extraterritorial — Seis escenarios concretos para determinar si aplica a una organización argentina (proveedor de software a la UE, procesadora de datos de europeos, filial de empresa europea, cadena de suministro B2B, sin exposición UE, caso específico Microsoft Argentina). Calendario de deadlines: prácticas prohibidas vigentes desde febrero 2025, sistemas de alto riesgo en agosto 2026 — a menos de 6 meses del corte de este informe.

§11.3 Argentina en Detalle — Dos capas: (1) Ley 25.326 vigente con 7 principios y sus implicancias específicas para sistemas de IA (consentimiento, datos sensibles, derecho a impugnar decisiones automatizadas, registro ante AAIP, transferencia internacional); (2) Reforma propuesta 2025 con 7 novedades críticas (accountability proactiva, portabilidad, oposición a decisiones automatizadas, sandbox, datos biométricos como sensibles, EIMPD, plazo de adecuación de solo 6 meses); (3) Proyecto S-0071/2025: clasificación de 4 niveles de riesgo, Registro Nacional de Sistemas de IA.

§11.4 Análisis de Brechas — Compliance matrix en 4 dimensiones (Gobernanza y Documentación, Derechos de los Titulares, Seguridad Técnica y Operacional, Transferencia Internacional) con estado ✅ / ⚠️ / ❌ para Ley 25.326 vigente, Reforma ARG 2025 y EU AI Act, más la acción prioritaria para cada brecha. Incluye tabla completa de transferencia internacional con el caso específico de DeepSeek (BLOQUEADO por incompatibilidad con Ley 25.326 y GDPR).

§11.5 Estrategia de Compliance: 12 Meses — 18 acciones distribuidas en 4 trimestres, con el marco regulatorio específico que justifica cada acción y el output esperado: Trimestre 1 (inventario, clasificación de riesgo, auditoría de contratos, registro AAIP, evaluación de exposición EU); Trimestre 2 (EIMPDs, revisión humana de decisiones automatizadas, logs inmutables, bias testing, AI Usage Policy); Trimestre 3 (documentación EU AI Act Art. 11 para sistemas de alto riesgo, monitoreo post-deployment, registro EU si aplica, tabletop de inspección regulatoria); Trimestre 4 (ISO 42001, scorecard actualizado, monitoreo legislativo, business case de certificación).

11.0 EL VACÍO REGULATORIO EN LATAM: UNA VENTANA QUE SE CIERRA

Las Fases 1 a 10 de este informe construyeron el marco completo de due diligence para IA enterprise, cubriendo los grandes bloques regulatorios globales — EU AI Act, GDPR, HIPAA, FedRAMP, DORA, SOC 2. Sin embargo, existe un vacío que el CISO que opera en Argentina no puede permitirse ignorar: el paisaje regulatorio propio de América Latina, que en 2025-2026 está en una transformación sin precedentes.

A diferencia de 2020-2023, cuando LATAM era un espacio de principios voluntarios y estrategias nacionales no vinculantes, en 2026 la región tiene tres vectores regulatorios convergentes que crean obligaciones reales: (1) los marcos nacionales emergentes —Brasil con PL 2338/2023, Chile con su proyecto aprobado por la Cámara de Diputados—, (2) el impacto extraterritorial del EU AI Act para organizaciones con exposición a datos europeos o contratos con empresas europeas, y (3) la reforma inminente del marco de protección de datos argentino —Ley 25.326— con proyectos activos en el Congreso Nacional.

VECTOR REGULATORIO	2020-2023	2024-2025	2026 →
Marcos nacionales LATAM	Principios voluntarios, estrategias sin enforcement	Brasil aprueba PL 2338/2023 en el Senado. Chile avanza proyecto de ley. 109 iniciativas en 8 países.	Brasil: en revisión de la Cámara — sanción esperada 2026. Chile: en el Senado. Argentina: proyecto S-0071/2025 activo.
EU AI Act extraterritorial	No vigente	Publicado (Reg. UE 2024/1689). Vigencia agosto 2024. Prácticas prohibidas: febrero 2025.	Sistemas de alto riesgo: agosto 2026. Deadline crítico. Plena aplicación supervisión post-market.
Reforma Ley 25.326 Argentina	Marco de año 2000 sin actualización mayor	Proyectos AAIP pierden estado parlamentario 2024. Nuevos proyectos en 2025.	Dos proyectos activos (Carro/Doñate 2025). Proyecto IA S-0071/2025 en el Senado. Ventana de 6-12 meses.
Regulación sectorial BCRA/CNV	Circulares de protección de datos existentes	Comunicaciones BCRA sobre ciberseguridad para entidades financieras. Sin norma específica de IA.	Expectativa de normas sectoriales de IA para sector financiero en LATAM. BCRA monitoreando desarrollos regionales.
Presión del mercado (clientes/socios globales)	Cláusulas de privacidad estándar	DPAs requeridos por socios europeos. Cuestionarios de seguridad cada vez más complejos.	EU AI Act compliance como requisito de cadena de suministro. ISO 42001 como estándar de facto en licitaciones enterprise.

🌎 Dato CEPAL/CENIA ILIA 2025: América Latina representa el 14% de las visitas globales a soluciones de IA y ocupa el 3er lugar mundial en descargas de aplicaciones de IA generativa. La adopción supera la capacidad regulatoria — y esa brecha es exactamente el riesgo que este análisis aborda para el CISO en Argentina.

11.1 MAPA REGULATORIO LATAM 2026: ESTADO POR PAÍS

Clasificación de madurez regulatoria: Pioneer (marco avanzado con enforcement), Adopter (marco en proceso legislativo activo), Explorer (principios y estrategias, sin ley vinculante). Fuente: CEPAL/CENIA ILIA 2025, análisis White & Case 2024, Niubox 2025.

🇧🇷 BRASIL — Pioneer | Marco Más Avanzado de la Región

DIMENSIÓN	DETALLE
Marco vigente	LGPD (Lei Geral de Proteção de Dados, No. 13.709/2018): vigente desde septiembre 2020. Es la base legal para el procesamiento de datos personales, incluidos los de sistemas de IA. Autoridad de aplicación: ANPD (Autoridade Nacional de Proteção de Dados). Multas: hasta 2% de la facturación en Brasil o BRL 50 millones por infracción. La LGPD reconoce el derecho a revisión humana de decisiones automatizadas que afecten al individuo.
PL 2338/2023 (AI Act brasileño)	El Senado Federal aprobó el proyecto el 10 de diciembre de 2024. Fue remitido a la Cámara de Diputados el 17 de marzo de 2025. El 4 de abril de 2025, el presidente de la Cámara constituyó una Comisión Especial de 33 miembros para revisar el proyecto. Sanción esperada: 2025-2026 con posibles enmiendas. Enfoque riesgo-based, alineado con EU AI Act: sistemas de riesgo excesivo (prohibidos), alto riesgo (obligaciones adicionales), bajo riesgo (requisitos mínimos). Multas: hasta BRL 50 millones (~USD 9M) o 2% de facturación. ANPD asumirá rol de autoridad supervisora. Sandboxes regulatorios para innovación en fintech, healthtech y smart cities.
Impacto para operaciones en/con Brasil	Organizaciones con presencia en Brasil o que procesen datos de ciudadanos brasileños ya están bajo LGPD. Con PL 2338/2023 aprobado, deberán: (1) clasificar todos sus sistemas de IA por nivel de riesgo, (2) implementar evaluaciones de impacto (DPIA) para sistemas de alto riesgo, (3) establecer supervisión humana en decisiones automatizadas de alto impacto, (4) cooperar con la ANPD en auditorías.
Timeline crítico	Sanción del PL 2338/2023: estimado 2026. Entrada en vigor: plazo de adaptación de 2 años propuesto en la ley — posible vigencia plena: 2027-2028. Sandbox regulatorio piloto: activo hasta diciembre 2026.

🇨🇱 CHILE — Pioneer | Liderazgo Regional en IA y Ciberseguridad

DIMENSIÓN	DETALLE
Proyecto de ley IA	El proyecto general de regulación de sistemas de IA fue aprobado por la Cámara de Diputados el 13 de octubre de 2025 y remitido al Senado para segunda revisión constitucional. Se encuentra actualmente en debate en el Senado. No hay fecha fija de promulgación. Enfoque riesgo-based inspirado en EU AI Act y principios OCDE. Categorías: riesgo inaceptable (prohibido), alto riesgo (obligaciones reforzadas), riesgo limitado y sin riesgo evidente. Obligaciones para sistemas de alto riesgo: transparencia, auditabilidad, supervisión humana, evaluaciones de impacto.
Ley Marco de Ciberseguridad No. 21.663	Vigente desde 2024. Establece obligaciones de ciberseguridad para organismos públicos y entidades privadas que prestan servicios esenciales o críticos. Crea la Agencia Nacional de Ciberseguridad (ANCI) con poderes de supervisión y sanción. CRÍTICO para el CISO: los sistemas de IA desplegados en infraestructura crítica, servicios financieros, telecomunicaciones, salud, energía o gobierno están directamente bajo esta ley. Requiere: gestión de riesgos, notificación de incidentes, seguridad por diseño.
Agencia de Protección de Datos Personales	La Ley No. 21.719 de Protección de Datos (aprobada 2024) moderniza el marco de privacidad chileno, creando la Agencia de Protección de Datos Personales. Aplica a sistemas de IA que procesan datos personales, incluyendo decisiones automatizadas, perfilamiento y procesamiento biométrico. Estará plenamente operativa en el curso de 2026.
Posición regional	Chile lidera el Índice Latinoamericano de Inteligencia Artificial (ILIA 2025) junto con Brasil y Uruguay, con puntajes superiores a 60 puntos. El CENIA (Centro Nacional de IA de Chile) coordina la gobernanza nacional. Para el CISO con operaciones o clientes en Chile: la Ley Marco de Ciberseguridad 21.663 ya está vigente y es de aplicación inmediata.

Otros Países LATAM: Estado Legislativo 2026

PAÍS	MADUREZ	INSTRUMENTO CLAVE	ESTADO ACTUAL	IMPACTO PARA CISO ARG
🇨🇴 Colombia	Adopter	Nuevo proyecto de ley (2025)	Marco de autorregulación, ética y transparencia. Múltiples proyectos previos fallidos. Propuesta 2025 centrada en innovación y derechos fundamentales.	Bajo impacto directo. Monitorear si hay operaciones en Colombia.
🇲🇽 México	Explorer	Estrategia Nacional de IA (no vinculante)	Propuestas en el Congreso pero sin avance legislativo concreto. El INAI (autoridad de datos) aplica marco de protección de datos existente a sistemas de IA.	Bajo impacto normativo directo. Ley Federal de Protección de Datos vigente aplica a operaciones con datos mexicanos.
🇵🇪 Perú	Adopter	Ley No. 31814 (2023, vigente)	Primera ley de IA vinculante de la región en sentido amplio. Marco de tres niveles: prohibido, alto riesgo, bajo riesgo. Énfasis en derechos humanos y desarrollo económico.	Monitorear si hay clientes/operaciones en Perú. Ley vigente con enforcement limitado.
🇺🇾 Uruguay	Pioneer	Ley de Datos vigente + Estrategia IA	Uno de los tres 'pioneros' según ILIA 2025. Marco de protección de datos robusto reconocido por UE como adecuado. Sin ley específica de IA pero gobernanza madura.	Uruguay tiene reconocimiento de adecuación UE — datos de ciudadanos uruguayos tienen protecciones más fuertes.
🇵🇦 Panamá	Explorer	Propuestas en Asamblea Nacional	Iniciativas legislativas de IA en consideración. Derechos digitales del ciudadano como foco central.	Sin impacto directo inmediato.
🇪🇨 Ecuador	Adopter	Estrategia Nacional IA + PDPA	Adoptador según ILIA 2025. Marco de protección de datos existente. Sin ley específica de IA.	PDPA ecuatoriana aplica a datos de ciudadanos ecuatorianos procesados por organizaciones argentinas.

11.2 EL IMPACTO EXTRATERRITORIAL DEL EU AI ACT EN ARGENTINA

El EU AI Act (Reglamento UE 2024/1689, vigente desde agosto de 2024) tiene un alcance extraterritorial similar al del GDPR: aplica a sistemas de IA que son utilizados en la Unión Europea, independientemente de donde se desarrollen o desplieguen. Para una organización argentina con clientes europeos, partners con sede en la UE, o datos de ciudadanos europeos en sus sistemas, el EU AI Act no es una regulación ajena — es una obligación activa.

11.2.1 ¿A Qué Organizaciones Argentinas Aplica el EU AI Act?

ESCENARIO	APLICA EU AI ACT
Proveedor argentino que vende software con IA a empresas o usuarios en la UE	SÍ. El proveedor es un 'provider' bajo el EU AI Act. Debe cumplir los requisitos del nivel de riesgo del sistema, incluyendo documentación técnica, evaluaciones de conformidad y marcado CE para sistemas de alto riesgo.
Empresa argentina que usa un sistema de IA para procesar datos de empleados o clientes europeos	SÍ para sistemas de alto riesgo (ej: scoring crediticio, decisiones de RRHH, biometría). La empresa actúa como 'deployer' y tiene obligaciones de supervisión humana, transparencia con el afectado, y cumplimiento con la política de uso del proveedor.
Empresa argentina que procesa datos de ciudadanos europeos como parte de su servicio (ej: filial de empresa europea, BPO con clientes europeos)	SÍ, combinando GDPR (datos personales) y EU AI Act (si los sistemas de IA usados son de alto riesgo o afectan a europeos).
Empresa argentina con socios europeos que exigen compliance contractual como parte de su cadena de suministro	DE FACTO. Aunque no haya obligación legal directa, los contratos B2B con socios europeos incorporarán cada vez más cláusulas de compliance EU AI Act como requisito para la relación comercial. Ya ocurre con GDPR desde 2018.
Empresa argentina sin exposición a la UE — sin clientes, empleados ni datos europeos	NO directamente. Sin embargo: ISO 42001 (el estándar de gestión de IA más influyente) está alineado con el EU AI Act y se está convirtiendo en requisito de facto en licitaciones globales y enterprise.
Microsoft Argentina como filial de empresa europea (Microsoft Corp. tiene base en UE)	El CISO de Microsoft Argentina opera bajo las obligaciones EU AI Act de Microsoft Corp., que aplica como provider de M365, Defender y Security Copilot. Las políticas de Microsoft ya están alineadas con EU AI Act. El CISO debe entender este alineamiento para sus propias políticas derivadas.

11.2.2 Calendario EU AI Act: Deadlines Críticos para el CISO

FECHA	EVENTO REGULATORIO	OBLIGACIÓN OPERACIONAL
Agosto 2024	Entrada en vigor (publicación)	El Reglamento es ley de la UE. El reloj de los plazos de implementación comienza.
Febrero 2025	Prácticas de IA PROHIBIDAS vigentes	PROHIBIDO desde esta fecha en la UE: (1) sistemas de puntuación social por autoridades públicas, (2) IA que manipule el comportamiento mediante técnicas subliminales, (3) explotación de vulnerabilidades de grupos específicos, (4) reconocimiento biométrico en tiempo real en espacios públicos (con excepciones), (5) inferencia de emociones en trabajo/educación, (6) categorización biométrica por características sensibles. Verificar que ningún sistema propio caiga en estas categorías si se usa para europeos.
Agosto 2025	Normas de Governance de GPAI vigentes	Los modelos de propósito general de alto impacto sistémico (como GPT-4, Claude, Gemini) tienen nuevas obligaciones. Como deployer, entender los compromisos de los proveedores bajo este capítulo.
Agosto 2026	Sistemas de ALTO RIESGO (Anexos III y IV)	Sistemas de IA de alto riesgo deben cumplir todos los requisitos: documentación técnica, evaluación de conformidad, supervisión humana, logs de auditoría, data governance. ¿Cuáles son de alto riesgo? Infraestructura crítica, biometría, empleo y RRHH (scoring, selección), crédito y scoring financiero, justicia, acceso a servicios públicos esenciales. DEADLINE: 12 meses. Hoja de ruta de compliance debe comenzar HOY.
Agosto 2027	Plena aplicación de supervisión post-market	Vigilancia de mercado y mecanismos de intercambio de información. Autoridades nacionales con poderes de inspección. Las multas se vuelven operativas: hasta €35M o 7% de facturación global para incumplimientos graves.

⚠️ Agosto 2026 es el deadline más urgente: Los sistemas de IA de alto riesgo deben estar en cumplimiento en agosto de 2026 — a 6 meses de la fecha de corte de este informe. El CISO con exposición a la UE debe iniciar el inventario de sistemas de alto riesgo de inmediato. No hacerlo a tiempo expone a la organización a sanciones de hasta €35M o 7% de facturación global.

11.3 ARGENTINA EN DETALLE: MARCO VIGENTE Y REFORMA 2025

Argentina tiene uno de los marcos de protección de datos personales más antiguos de América Latina — la Ley 25.326 data del año 2000 — pero también uno de los más desactualizados frente a los desafíos de la IA, el cloud y la economía de datos. En 2025, se abrió por primera vez una ventana legislativa seria para la modernización. El CISO necesita entender tanto el régimen vigente como el que viene.

11.3.1 Marco Vigente: Ley 25.326 y sus Implicancias para Sistemas de IA

PRINCIPIO / OBLIGACIÓN	TEXTO VIGENTE (LEY 25.326)	IMPACTO EN SISTEMAS DE IA
Consentimiento informado	Art. 5: El tratamiento de datos personales requiere el consentimiento libre, expreso e informado del titular.	Los sistemas de IA que procesen datos personales (incluyendo comportamiento, perfiles, decisiones crediticias) requieren base legal válida. El consentimiento no puede ser implícito. Los sistemas de decisión automatizada basados en datos de clientes sin consentimiento explícito son observables.
Calidad de los datos	Art. 4: Los datos deben ser exactos, completos, actualizados y adecuados al fin para el que fueron recopilados.	Obliga a políticas de data quality para los datasets usados en entrenamiento o inferencia. Datos desactualizados o incorrectos en modelos de IA pueden generar liability bajo la ley.
Datos sensibles	Art. 2: Los datos que revelan origen racial, étnico, opiniones políticas, religiosas, filosóficas, sindicales, información sobre salud o vida sexual requieren protección reforzada.	Los proyectos de IA que usen datos biométricos, de salud o de comportamiento que infiera características sensibles requieren análisis especial. La Ley 25.326 es más restrictiva que el GDPR en este punto.
Derecho de acceso y corrección	Arts. 14-16: El titular tiene derecho a acceder, rectificar, actualizar y suprimir sus datos en cualquier momento.	Los sistemas de IA deben ser diseñados para responder a solicitudes de acceso y supresión. Si un sistema de IA tomó una decisión basada en datos incorrectos, el titular puede impugnar esa decisión.
Derecho a impugnar decisiones automatizadas	Art. 16 inc. 3: El titular puede impugnar las evaluaciones sobre su conducta o personalidad efectuadas mediante tratamientos automatizados.	Aplicable a scoring crediticio, evaluaciones de riesgo, perfiles de comportamiento generados por IA. El sistema de IA debe poder ser explicado y la decisión revisada por un humano. Compliance actual: muchos sistemas de IA argentinos no tienen este mecanismo implementado.
Autoridad de aplicación	AAIP (Agencia de Acceso a la Información Pública): Registro, fiscalización, sanciones (apercibimiento, multas, suspensión de base de datos).	La AAIP tiene jurisdicción sobre el uso de datos en sistemas de IA. El CISO debe registrar las bases de datos ante la AAIP (Registro Nacional de Bases de Datos) — incumplimiento es infracción sancionable.
Transferencia internacional	Art. 12: La transferencia de datos a países sin nivel de protección adecuado está prohibida sin autorización de la AAIP.	Relevante para sistemas de IA que envíen datos a proveedores cloud en EE.UU., Asia o cualquier país sin reconocimiento de adecuación. Microsoft, Google y AWS tienen mecanismos de transferencia aprobados — pero el CISO debe verificar la configuración específica (ZDR, data residency). NOTA: Argentina tiene reconocimiento de adecuación por parte de la UE (Decisión 2003/490/CE) — esto facilita transferencias en ambas direcciones.

11.3.2 Reforma Propuesta: Proyectos Carro/Doñate 2025

Dos proyectos de ley presentados en 2025 proponen la reforma integral de la Ley 25.326. Ambos se inspiran en el anteproyecto de la AAIP (que perdió estado parlamentario en 2024) y buscan alinear Argentina con el GDPR europeo y la LGPD brasileña.

NOVEDAD RESPECTO A LEY VIGENTE	TEXTO PROPUESTO	IMPACTO PARA EL CISO Y SISTEMAS DE IA
Responsabilidad proactiva y demostrada (accountability)	El responsable del tratamiento debe poder demostrar el cumplimiento, no solo declararlo. Incorpora Privacy by Design y Privacy by Default como obligaciones.	El CISO debe poder documentar que todos los sistemas de IA fueron diseñados con privacidad desde el inicio. Los registros de actividades de procesamiento (RAP) son ahora obligatorios y exigibles.
Portabilidad de datos	Nuevo derecho: el titular puede solicitar que sus datos sean transferidos a otro responsable en formato estructurado y de uso común.	Los sistemas de IA que usen datos de clientes deben diseñarse para exportar esos datos en formato portable. Impacto en arquitectura de datos y sistemas core.
Oposición a decisiones automatizadas	Derecho explícito a oponerse a decisiones que produzcan efectos jurídicos o que le afecten negativamente, tomadas exclusivamente por sistemas automatizados.	Los modelos de IA que toman decisiones de alto impacto (crédito, RRHH, precios, acceso a servicios) deben tener una vía de revisión humana habilitada. El CISO debe inventariar estos sistemas y documentar el proceso de revisión.
Sandbox regulatorio	Autorización temporal a proyectos piloto de innovación tecnológica en un entorno controlado, bajo supervisión de la AAIP.	Oportunidad para proyectos de IA que requieran flexibilidad regulatoria transitoria. El CISO puede proponer casos de uso innovadores para el sandbox antes de la implementación a escala.
Datos biométricos como datos sensibles	Los datos biométricos se incorporan explícitamente al listado de datos sensibles con protección reforzada.	Sistemas de IA que usen reconocimiento facial, huella dactilar, voz u otras características biométricas requerirán consentimiento explícito y evaluación de impacto. Impacto en sistemas de acceso físico, autenticación y monitoreo.
Evaluación de Impacto de Datos Personales (EIMPD)	Obligatoria cuando el tratamiento pueda causar grave afectación a los titulares.	Todos los sistemas de IA de alto impacto deben tener una EIMPD documentada antes del deployment. Similar al DPIA del GDPR pero adaptado al contexto argentino.
Plazo de adecuación	Los proyectos proponen solo 6 meses de período de adecuación tras la aprobación (vs. 2 años del GDPR y la LGPD).	Si la ley se aprueba en 2025-2026, el CISO tiene un plazo muy corto para adaptar todos los sistemas. Es imperativo comenzar el compliance ANTES de la aprobación, usando como guía el texto de los proyectos actuales.

11.3.3 Proyecto S-0071/2025: Regulación de IA en Argentina

ELEMENTO	DESCRIPCIÓN
Presentación	Presentado en el Senado el 5 de marzo de 2025. Primer proyecto integral de regulación de IA en Argentina con estado parlamentario activo en 2025-2026.
Objeto	Establecer controles y principios rectores para el desarrollo, implementación y utilización de sistemas de IA dentro del territorio argentino. Foco en salvaguardar la dignidad, los derechos humanos y el bienestar.
Clasificación de riesgo	Cuatro niveles: (1) Riesgo mínimo, (2) Riesgo limitado, (3) Riesgo alto, (4) Riesgo inaceptable. Similar a EU AI Act. Los sistemas de riesgo inaceptable están prohibidos.
Registro Nacional	Obliga a entidades públicas y privadas a registrarse en un Registro Nacional de Sistemas de IA y someterse a evaluaciones de impacto.
Prohibiciones explícitas	Prohíbe IA en prácticas que amenacen derechos fundamentales, incluyendo vigilancia biométrica masiva en tiempo real en espacios públicos.
Enfoque Argentina 2026	Argentina busca deliberadamente un enfoque menos regulado que la UE para atraer inversión extranjera y fomentar la innovación. Sin embargo, el proyecto S-0071/2025 introduce mínimos de protección que las empresas deben anticipar.
Estado actual	En comisiones del Senado. Sin fecha definida de tratamiento en pleno. Los proyectos de ley de IA en Argentina tienen tendencia histórica a perderse entre sesiones. El CISO debe monitorear pero no depender de su aprobación para 2026.

11.4 ANÁLISIS DE BRECHAS: COMPLIANCE MATRIX PARA EL CISO EN ARGENTINA

Esta matriz consolida los requisitos de los marcos regulatorios más relevantes para el CISO que opera en Argentina con potencial exposición a Brasil, Chile y la Unión Europea. Para cada obligación, se indica el estado típico de compliance de una organización argentina que aún no ha iniciado un programa formal de compliance de IA, y la acción prioritaria.

Leyenda: ✅ Generalmente cumplido con controles existentes | ⚠️ Parcialmente — requiere mejora | ❌ Brecha — requiere acción prioritaria

Dimensión 1: Gobernanza y Documentación

OBLIGACIÓN	Ley 25.326(ARG vigente)	Reforma ARG(proyectos 2025)	EU AI Act(si aplica)	ACCIÓN PRIORITARIA
Inventario de todos los sistemas de IA	⚠️	❌	❌	Ejecutar inventario de IA en 30 días. Para cada sistema: nombre, proveedor, datos que procesa, nivel de riesgo estimado, usuarios. Base para todo el compliance.
Registro de Actividades de Procesamiento (RAP)	⚠️	❌	❌	Extender el registro de bases de datos ante la AAIP para incluir todos los sistemas de IA que procesan datos personales. Bajo ley vigente ya es obligatorio el registro en RNBD.
Evaluación de Impacto de Datos Personales (EIMPD/DPIA)	❌	❌	❌ (alto riesgo)	Implementar proceso de DPIA para todos los sistemas de IA existentes y nuevos. Priorizar: sistemas que procesan datos de empleados, clientes y datos financieros.
Documentación técnica de sistemas de IA	❌	❌	❌ (alto riesgo)	Crear 'fichas de sistema de IA' para cada herramienta en producción: propósito, datos de entrenamiento, precisión, limitaciones, sesgos identificados, versión del modelo.
Política de uso aceptable de IA	⚠️	❌	⚠️	Publicar y comunicar política de uso de IA que cubra: herramientas aprobadas, usos prohibidos, Shadow AI, datos que no pueden compartirse con IA externas.
AI Governance Committee activo	❌	❌	⚠️	Formalizar el comité con mandato, quórum, frecuencia de reunión y documentación de decisiones. Sin este cuerpo, el resto del compliance no tiene ancla institucional.

Dimensión 2: Derechos de los Titulares

OBLIGACIÓN	Ley 25.326	Reforma ARG 2025	EU AI Act	ACCIÓN PRIORITARIA
Información al titular sobre decisiones automatizadas	⚠️	❌	❌	Actualizar avisos de privacidad para incluir mención explícita de sistemas de IA y decisiones automatizadas. Lenguaje claro, no técnico.
Derecho a impugnar decisiones automatizadas	⚠️	❌	❌ (alto riesgo)	Implementar proceso de revisión humana para todas las decisiones automatizadas de alto impacto. Documentar el proceso y comunicarlo al titular antes de la decisión.
Portabilidad de datos	❌	❌	N/A (requisito sectorial EU)	Aunque no es obligatorio aún bajo ley argentina vigente, preparar la arquitectura de datos para soportar portabilidad. La reforma lo requerirá con solo 6 meses de plazo.
Derecho de acceso / supresión en sistemas de IA	⚠️	❌	N/A	Verificar que los sistemas de IA puedan responder a solicitudes de acceso, rectificación y supresión. Datos de entrenamiento que incluyan PII requieren un proceso de 'olvido' técnicamente complejo.
Transparencia sobre uso de datos biométricos	❌	❌	❌	Si la organización usa reconocimiento facial, huella digital o voz para identificación: implementar consentimiento explícito y separado del consentimiento general.

Dimensión 3: Seguridad Técnica y Operacional de Sistemas de IA

OBLIGACIÓN	Ley 25.326	Reforma ARG 2025	EU AI Act	ACCIÓN PRIORITARIA
Seguridad de los datos usados por sistemas de IA	⚠️	❌	❌ (alto riesgo)	Extender el framework de seguridad de datos (BCRA, ISO 27001) explícitamente a los data pipelines de IA: datos de entrenamiento, datos de inferencia, outputs del modelo.
Logs inmutables de decisiones automatizadas	❌	❌	❌ (alto riesgo)	Implementar audit logs inmutables para todas las decisiones automatizadas de alto impacto. Retención mínima: 3 años. Incluir: input, output, versión del modelo, timestamp, usuario afectado.
Monitoreo de drift y degradación del modelo	❌	❌	❌ (alto riesgo)	Implementar monitoreo continuo de performance de modelos en producción. Alert thresholds para detección de drift. Proceso de revalidación cuando el modelo se degrada.
Pruebas de sesgo (bias testing)	❌	❌	❌	Antes del deployment de cualquier sistema de IA que afecte decisiones sobre personas: ejecutar pruebas de sesgo sistemáticas. Documentar metodología y resultados.
Notificación de brechas de seguridad (AI systems)	⚠️	❌	⚠️	Extender el proceso de breach notification (Ley 25.326 + BCRA si aplica) a incidentes específicos de seguridad en sistemas de IA: prompt injection exitoso, data poisoning, exfiltración vía agente.
Supervisión humana de sistemas de alto riesgo	❌	❌	❌	Para cada sistema de IA de alto impacto: definir explícitamente quién es el responsable humano, con qué frecuencia revisa las decisiones, y cómo puede anular o corregir una decisión del sistema.

Dimensión 4: Transferencia Internacional de Datos en Sistemas de IA

ESCENARIO	MARCO APLICABLE	CONTROL REQUERIDO
Datos de clientes argentinos procesados en Azure (Microsoft)	Ley 25.326 Art. 12 + Claúsulas Contractuales Tipo. Argentina tiene adecuación EU reconocida en Decisión 2003/490/CE.	Verificar que la región de Azure configurada sea argentina (South America) o que exista DPA firmado. Microsoft Argentina tiene compromisos de datos con el gobierno. Ver Fase 6 del informe para análisis contractual.
Datos de ciudadanos europeos procesados por la organización argentina	GDPR (obligatorio si la org procesa datos de europeos). EU AI Act si el sistema es de alto riesgo.	DPA con todos los proveedores sub-encargados. ZDR (Zero Data Retention) para inferencias con datos europeos. Cláusulas contractuales tipo entre la entidad argentina y el responsable europeo.
Datos de ciudadanos brasileños procesados en Argentina	LGPD (Lei Geral de Proteção de Dados brasileña) aplica extraterritorialmente.	La LGPD aplica si los datos son de personas en Brasil o si la actividad tiene por objeto ofertar bienes/servicios a personas en Brasil. DPA con la organización brasileña. Registros de actividad de tratamiento bajo LGPD.
Uso de APIs de IA (Anthropic/OpenAI/Google) que transmiten datos	Ley 25.326 Art. 12 requiere que el país destinatario tenga nivel adecuado de protección o que se usen mecanismos alternativos.	ZDR addendum con el proveedor (Fase 6). Verificar que el DPA del proveedor esté vigente. No enviar datos sensibles sin ZDR confirmado. Revisar configuración de data residency en las APIs.
DeepSeek o cualquier proveedor con datos almacenados en China	Incompatible con Ley 25.326 (China no tiene nivel adecuado de protección de datos). Incompatible con GDPR si hay datos europeos.	PROHIBIDO para datos personales de cualquier jurisdicción analizada. Bloqueo a nivel de Entra Internet Access (AI web category filter). Política explícita en el AI Usage Policy.

11.5 ESTRATEGIA DE COMPLIANCE: 12 MESES PARA EL CISO EN ARGENTINA

El plan de 12 meses integra los requisitos regulatorios de la Fase 11 con las capacidades técnicas del ecosistema Microsoft (Fases 7-10) y el framework de gobernanza de la Fase 7. Está diseñado para organizaciones que operan bajo la Ley 25.326 vigente, con exposición potencial al EU AI Act (agosto 2026) y que anticipan la reforma argentina del marco de datos.

TRIMESTRE 1 (Meses 1-3): Visibilidad y Baseline Regulatorio

	ACCIÓN	MARCO REGULATORIO	OUTPUT
1	Inventario completo de sistemas de IA: herramientas internas, SaaS con componente de IA, APIs de proveedores, agentes de Copilot Studio. Para cada sistema: datos procesados, usuarios afectados, decisiones que genera, proveedor, contrato.	Ley 25.326 (RNBD), Reform ARG (accountability), EU AI Act (documentación técnica)	Registro maestro de sistemas de IA. Base para toda la clasificación de riesgo y el compliance.
2	Clasificación de riesgo de cada sistema usando la taxonomía de cuatro niveles (alineada con EU AI Act y S-0071/2025): Inaceptable / Alto / Limitado / Mínimo. Criterios: impacto en personas, uso de datos sensibles, nivel de autonomía, reversibilidad de decisiones.	EU AI Act Anexos I y III, S-0071/2025, Guía OCDE	Tabla de clasificación de riesgos aprobada por el AI Governance Committee.
3	Auditoría de contratos con proveedores de IA: verificar que todos tengan DPA firmado, ZDR para datos sensibles, cláusula de indemnización IP, y definición de qué datos se usan para entrenamiento.	Ley 25.326 Art. 12 (transferencia), GDPR (si hay datos europeos), análisis de Fase 6	Matriz de contratos: provider / DPA firmado / ZDR / residencia datos / vencimiento.
4	Registro ante la AAIP de todas las bases de datos de sistemas de IA que procesen datos personales. Verificar que el RNBD esté actualizado con todos los sistemas actuales.	Ley 25.326 Art. 21 (obligación vigente e inmediata)	Inscripciones actualizadas en RNBD. Evidencia de cumplimiento regulatorio ante cualquier auditoría de la AAIP.
5	Evaluación del impacto del EU AI Act: ¿La organización tiene sistemas que operen para/con usuarios en la UE? ¿Hay contratos con empresas europeas que impliquen procesamiento de datos de europeos? Determinar el nivel de exposición real.	EU AI Act Artículo 2 (ámbito de aplicación extraterritorial)	Dictamen jurídico sobre exposición EU AI Act. Define la urgencia del compliance europeo.

TRIMESTRE 2 (Meses 4-6): Controles Técnicos para Sistemas de Alto Impacto

	ACCIÓN	MARCO REGULATORIO	OUTPUT
6	Implementar EIMPD (Evaluación de Impacto de Datos Personales) para todos los sistemas de IA clasificados como alto riesgo o con uso de datos sensibles. Priorizar: scoring crediticio, sistemas de RRHH, perfilamiento de clientes, biometría.	Reforma ARG 2025 (EIMPD), EU AI Act Art. 9 y 10 (DPIA)	EIMPDs documentadas para sistemas de alto riesgo. Archivo permanente con metodología y resultados.
7	Diseñar e implementar el proceso de revisión humana para decisiones automatizadas de alto impacto. ¿Quién es el responsable? ¿En qué plazo? ¿Cómo se comunica al afectado? Actualizar avisos de privacidad.	Ley 25.326 Art. 16 inc. 3 (vigente), Reforma ARG 2025, EU AI Act Art. 22	Proceso documentado de revisión humana. Avisos de privacidad actualizados con mención de IA.
8	Implementar logs inmutables de decisiones automatizadas para sistemas de alto riesgo. En Microsoft Purview: configurar retención de audit logs (mínimo 3 años) para acciones críticas de sistemas de IA.	EU AI Act Art. 12 (alto riesgo), Reforma ARG 2025 (accountability)	Audit logs configurados y verificados para sistemas de alto riesgo. Evidencia de inmutabilidad.
9	Ejecutar pruebas de sesgo (bias testing) en los modelos de IA de mayor impacto social. Documentar metodología, resultados y plan de mitigación para los sesgos identificados.	EU AI Act Art. 10 (datos de entrenamiento), S-0071/2025 (principios de no discriminación)	Informe de bias testing por sistema. Plan de mitigación con responsables y plazos.
10	Actualizar el AI Usage Policy con: lista aprobada de herramientas, clasificación de datos que pueden y no pueden compartirse, proceso de aprobación de nuevas herramientas (SLA 48h para bajo riesgo), consecuencias de Shadow AI.	Ley 25.326 (base legal para tratamiento), Reforma ARG 2025	Política publicada, comunicada y firmada por todos los empleados. Training obligatorio documentado.

TRIMESTRE 3 (Meses 7-9): EU AI Act — Sistemas de Alto Riesgo

	ACCIÓN	MARCO REGULATORIO	OUTPUT
11	Para cada sistema identificado como de alto riesgo bajo EU AI Act: preparar la documentación técnica requerida (Art. 11): descripción del sistema, datos de entrenamiento, metodología, limitaciones, medidas de supervisión humana, indicadores de rendimiento.	EU AI Act Art. 11 y Anexo IV	Expedientes técnicos de sistemas de alto riesgo. Listos para revisión de autoridad supervisora.
12	Implementar el proceso de monitoreo post-deployment para sistemas de alto riesgo: métricas de rendimiento, detección de drift, incidentes adversos, escalación a proveedor cuando corresponda.	EU AI Act Art. 9 (sistema de gestión de riesgos), Art. 61 (monitoreo post-market)	Dashboard de monitoreo de sistemas de alto riesgo. Proceso de reporte de incidentes activado.
13	Preparar el proceso de registro de sistemas de alto riesgo ante la base de datos EU (EU Database for High-Risk AI, Art. 71 EU AI Act), si la exposición europea lo requiere.	EU AI Act Art. 71 (GPAI model registration)	Análisis de qué sistemas requieren registro EU. Proceso iniciado con el equipo legal europeo si corresponde.
14	Realizar tabletop exercise de respuesta a incidente regulatorio: ¿Cómo respondería la organización ante una inspección de la AAIP? ¿Ante una notificación de la autoridad supervisora europea?	Ley 25.326, EU AI Act Art. 79 (market surveillance)	Playbook de respuesta a inspección regulatoria. Identificación de gaps en documentación disponible.

TRIMESTRE 4 (Meses 10-12): ISO 42001, Scorecard y Anticipación

	ACCIÓN	MARCO REGULATORIO	OUTPUT
15	Iniciar la implementación de ISO 42001 (AI Management System) como marco de gobernanza transversal. ISO 42001 es el estándar internacional de gestión de IA, alineado con EU AI Act, NIST AI RMF y los marcos nacionales emergentes. Se convierte en requisito de facto en licitaciones enterprise y contratos con grandes corporaciones.	ISO/IEC 42001:2023, EU AI Act (conformidad alternativa), NIST AI RMF	Plan de implementación ISO 42001. Definición del alcance, gap analysis ISO, designación del AI Management System Owner.
16	Actualizar el Scorecard de Madurez de Gobernanza de IA (de la Fase 7.8) con los resultados del año de compliance. Presentar al Board: progreso desde el baseline, brechas residuales, plan del próximo año.	Todas las fases del informe	Scorecard actualizado. Presentación Board: estado de compliance, riesgos residuales, inversión requerida.
17	Monitorear el avance de la reforma de la Ley 25.326 y el proyecto S-0071/2025. Si hay aprobación: activar el plan de adecuación de 6 meses de forma inmediata. Si no hay aprobación: las acciones previas ya anticipan el 80% de los requisitos.	Reforma ARG 2025, S-0071/2025	Estado de la legislación en el Congreso. Plan contingente de adecuación listo para activarse.
18	Preparar el caso de negocio para ISO 42001 y/o SOC 2 Type II como credenciales de compliance de IA para el mercado: diferenciadores en licitaciones, reducción de prima de seguro cibernético, habilitación de contratos con empresas europeas.	ISO 42001, SOC 2, EU AI Act (confianza del mercado)	Business case para certificación de compliance de IA. Con datos de la Fase 9 (ROI de la gobernanza).

🏆 Resultado del plan de 12 meses: Al completar este plan, el CISO habrá: (1) cerrado las brechas críticas bajo la Ley 25.326 vigente, (2) anticipado el 80% de los requisitos de la reforma argentina 2025 antes de su aprobación, (3) cumplido con EU AI Act para sistemas de alto riesgo antes del deadline de agosto 2026, y (4) establecido la base para ISO 42001 como ventaja competitiva. La gobernanza de IA deja de ser un costo regulatorio y se convierte en un diferenciador de mercado.

11.6 REFERENCIAS (R271–R300)

Regulación de IA y Datos Personales en Argentina:

R271. AAIP, 'Proyecto de Ley de Protección de Datos Personales', argentina.gob.ar, 2025. Reforma de la Ley 25.326 propuesta por la autoridad de aplicación. Perdió estado parlamentario en 2024.

R272. IAPP, 'Novedades legislativas en Argentina sobre protección de datos personales e inteligencia artificial', 2025. Proyectos Carro y Doñate: reforma de Ley 25.326 con alineación GDPR/LGPD. Novedad: datos biométricos como sensibles, EIMPD, sandbox regulatorio, plazo de adecuación 6 meses.

R273. Allende & Brea, 'Iniciativas legislativas y normativa sobre IA en América Latina', marzo 2025. Proyecto S-0071/2025: sistema de riesgo en 4 niveles, Registro Nacional de Sistemas de IA, prohibición vigilancia biométrica masiva.

R274. DataGénero, 'En Argentina ¿se busca regular la Inteligencia Artificial?', febrero 2025. Análisis de 9 proyectos de ley activos. Cámara de Diputados iniciando reuniones informativas.

R275. UTDT/CEPE & GIDE, 'AI Regulatory Frameworks: Emerging Trends in Argentina's Legislative Agenda', 2025. Working paper sobre tendencias legislativas de IA en Argentina.

R276. InfoProtección, 'Argentina: Ley 25.326 y reformas necesarias en ciberseguridad', septiembre 2025. El desfase de la Ley 25.326 frente a las amenazas de 2025. Riesgo de pérdida de estatus de adecuación EU.

R277. White & Case, 'Foster Innovation or Mitigate Risk? AI Regulation in Latin America', 2024. Argentina busca deliberadamente un ecosistema menos regulado para atraer inversión extranjera.

R278. Abogados.com.ar, 'Perspectivas Regulatorias de IA en Nuestra Región', 2025. Análisis de la EU AI Act como modelo no replicable directamente en LATAM. Enfoque sectorizado como el más probable para Argentina.

Brasil y Chile — Marcos Más Avanzados:

R279. Chambers & Partners, 'Artificial Intelligence 2025 — Brazil', 2025. PL 2338/2023: aprobado Senado diciembre 2024, Comisión Especial en Cámara de Diputados desde abril 2025. Multas: BRL 50M o 2% facturación. ANPD como autoridad supervisora.

R280. Library of Congress / Eduardo Soares, 'Brazil: Senate Advances Discussions on Bill to Regulate AI', mayo 2025. Forwarded to Chamber of Deputies 17 marzo 2025. Special Committee of 33 members established 29 April 2025.

R281. Leonardi Advogados, 'Updates on the Artificial Intelligence Bill (PL 2338/2023)', mayo 2025. Estado del proceso legislativo en la Cámara.

R282. SIDI, 'PL 2338/2023: the Impacts of Regulating Artificial Intelligence in Brazil', octubre 2025. Principios: transparencia, seguridad, protección de datos, accountability, clasificación por riesgo.

R283. AI Governance Brazil / Nemko, 'Navigating Policies & Compliance', 2025. Tres categorías de riesgo bajo el proyecto. Sandboxes para fintech, healthtech, smart cities. Armonización regional con Chile, Argentina, México.

R284. CMS Expert Guides, 'AI Laws and Regulations in Chile', febrero 2026. Proyecto aprobado por Cámara de Diputados el 13 octubre 2025. Actualmente en el Senado. Sin fecha fija de promulgación. Ley Marco de Ciberseguridad 21.663 vigente: crea ANCI.

R285. Compliance & Risks, 'Latin America AI Legislative Initiatives', septiembre 2025. Chile: segunda lectura en Senado. Brasil: Comisión Especial en Cámara. Perú: Ley 31814 vigente. Colombia: nuevo proyecto 2025. Panamá: propuestas en Asamblea.

Panorama Regional y EU AI Act Extraterritorial:

R286. CEPAL/CENIA, 'ILIA 2025: Consolidated as a Policy-Design Instrument for AI in the Region', octubre 2025. 19 países evaluados. Pioneers: Chile, Brasil, Uruguay (>60 pts). LATAM: 14% visitas globales a IA. 3er lugar mundial en descargas GenAI.

R287. Americas Quarterly, 'Regulating AI on Latin America's Terms', julio 2025. Ventana estrecha para regular antes de convertirse en 'dumping ground' de sistemas de IA no probados. EE.UU.: pivot a desregulación con órdenes ejecutivas Trump 2025. UE: EU AI Act + CAIDA en preparación.

R288. Bloomberg Línea / Niubox, 'Las dudas que dejan los proyectos de ley sobre IA en LATAM en 2025', febrero 2025. 109 iniciativas analizadas en 8 países. 98 en trámite. Solo 4 centradas en innovación. LATAM: adoptora, no productora de tecnología de IA.

R289. White & Case, 'AI Watch: Global Regulatory Tracker — Brazil', actualizado 2025. Sin fecha esperada para próximos desarrollos legislativos en Brasil. Multas finales sujetas a cambios en Cámara.

R290. Future of Privacy Forum, 'AI Regulation in Latin America: Overview and Emerging Trends', 2025. Derecho a revisión humana de decisiones automatizadas: diferencias entre LGPD y propuestas regionales.

R291. Corporate Compliance Insights, '2026 Operational Guide to Cybersecurity, AI Governance & Emerging Risks', enero 2026. Compliance de IA: SEC examinations 2026 priorizan cybersecurity y IA sobre cripto. IT + Compliance: alianza estratégica. AI washing como nuevo riesgo.

R292. EU AI Act — Reglamento (UE) 2024/1689. Vigente desde agosto 2024. Prácticas prohibidas: febrero 2025. Sistemas de alto riesgo (Anexo III): agosto 2026. Plena aplicación supervisión: agosto 2027. Multas: €35M o 7% facturación global para infracciones graves.

R293. Decisión de la Comisión Europea 2003/490/CE. Argentina: reconocida como país con nivel adecuado de protección de datos por la UE. Facilita transferencias de datos entre Argentina y países de la UE sin mecanismos adicionales.

R294. NIST AI RMF (AI 100-1), enero 2023. Cuatro funciones: Govern, Map, Measure, Manage. Marco de referencia internacional para gestión de riesgos de IA. Adoptado como base por múltiples reguladores LATAM.

R295. ISO/IEC 42001:2023. International Standard for AI Management Systems. Requisito de facto emergente en licitaciones enterprise globales. Alineado con EU AI Act, NIST AI RMF y marcos LATAM emergentes.

Seguridad y Regulación Sectorial en LATAM:

R296. Center for Cybersecurity Policy and Law, 'AI Governance in Latin America', 2025. IA como vector de ataque y defensa en ciberseguridad. Gobiernos de LATAM: equilibrio entre innovación y regulación responsable.

R297. SentinelOne, 'AI Security Standards: Key Frameworks for 2026', febrero 2026. NIST AI RMF, OWASP LLM Top-10, MITRE ATLAS, Google SAIF: los 5 marcos esenciales para el CISO. Compliance chaos: demasiados marcos convergentes.

R298. Global Solutions Journal, 'AI Governance in Latin America', 2025. Análisis de brechas entre gobernanza de IA y capacidad institucional regional.

R299. ANPD Brasil, 'Pilot Regulatory Sandbox for AI and Data Protection', junio 2025. Activo hasta diciembre 2026. Selección de proyectos piloto anunciada desde octubre 2025.

R300. White & Case, 'Latin America Focus 2024: AI Regulation'. Análisis comparativo: Brasil, México, Chile y Argentina. Argentina: enfoque deliberadamente menos restrictivo para atraer IED en IA.