IA y protección de datos en Uruguay: qué debe cumplir tu empresa
eglows Team
Agencia de IA en Montevideo · Meta Tech Provider
Si tu empresa usa IA con datos de clientes en Uruguay, tiene que cumplir la Ley 18.331 de Protección de Datos Personales y sus decretos: usar los datos solo para la finalidad informada, tener una base legal (en general, el consentimiento), protegerlos, inscribir las bases ante la URCDP y controlar las transferencias a proveedores del exterior. A la fecha no hay una ley general de IA: las reglas que aplican son las de datos personales, más algunas normas recientes de política pública.
Aviso: este artículo es informativo y no constituye asesoramiento legal. Para decisiones concretas sobre tu empresa, consultá con un profesional especializado en protección de datos.
¿Qué normas aplican al uso de IA con datos personales en Uruguay?
El marco principal es la Ley 18.331, de 2008, complementada por decretos y leyes posteriores que la actualizaron. El órgano de control es la Unidad Reguladora y de Control de Datos Personales (URCDP), que funciona en la órbita de AGESIC con autonomía técnica.
| Norma | Qué regula | Por qué importa si usás IA |
|---|---|---|
| Ley 18.331 | Principios, derechos, datos sensibles, transferencias, registro y sanciones | Es la base de cualquier tratamiento de datos personales |
| Decreto 414/009 | Consentimiento, registro de bases, ejercicio de derechos y transferencias | Detalla cómo pedir el consentimiento e inscribir bases |
| Ley 19.670 (arts. 37 a 40) y Decreto 64/020 | Alcance territorial, incidentes, evaluación de impacto, privacidad desde el diseño, delegado | Alcanza también a empresas extranjeras que ofrecen servicios en Uruguay |
| Ley 20.075 (art. 62) | Nueva redacción del artículo 13 de la Ley 18.331 | Obliga a informar transferencias internacionales y criterios de tratamientos automatizados |
| Ley 19.948 | Aprueba el protocolo que moderniza el Convenio 108 del Consejo de Europa | Alinea a Uruguay con estándares internacionales |
| Ley 20.212 (arts. 74 y 75) | Estrategia nacional de datos e IA y entornos de prueba | Marco de política pública sobre IA |
Un punto clave del Decreto 64/020: la ley aplica aunque el responsable no esté establecido en Uruguay si ofrece bienes o servicios a habitantes del país o analiza su comportamiento, por ejemplo mediante perfiles.
¿Qué principios tenés que respetar cuando usás IA?
Los mismos que para cualquier tratamiento de datos, pero la IA los pone a prueba con más frecuencia.
Finalidad
Según el artículo 8, los datos no pueden usarse para finalidades distintas o incompatibles con aquellas para las que se recogieron. Si los obtuviste para responder consultas, usarlos para entrenar un modelo o armar perfiles comerciales es otra finalidad, y requiere un análisis propio.
Consentimiento
El artículo 9 exige un consentimiento libre, previo, expreso e informado, y que quede documentado. Tiene excepciones, como los datos necesarios para una relación contractual. El Decreto 414/009 agrega que hay que ofrecer opciones claras y no premarcadas, y guardar prueba de la respuesta.
Información
Desde la reforma de la Ley 20.075, el artículo 13 obliga a informar, además de la finalidad, el responsable y los derechos, si existen transferencias internacionales y, en los tratamientos automatizados que valoran a personas, los criterios, los procesos y la solución tecnológica utilizada.
Decisiones automatizadas
El artículo 16 da derecho a no quedar sujeto a decisiones con efectos jurídicos significativos basadas solo en un tratamiento automatizado que evalúe aspectos como el rendimiento laboral, el crédito, la fiabilidad o la conducta. Si usás IA para preseleccionar candidatos o evaluar riesgo crediticio, incorporá revisión humana y preparate para explicar los criterios.
Seguridad, confidencialidad y minimización
Los artículos 10 y 11 exigen medidas de seguridad y deber de secreto. El Decreto 64/020 suma la privacidad desde el diseño y por defecto: tratar solo los datos necesarios, con seudonimización o disociación cuando sea posible y plazos de conservación definidos.
¿Qué pasa con los datos sensibles?
Los datos sensibles tienen un régimen reforzado. La ley los define como los que revelan origen racial o étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical, salud o vida sexual.
- Consentimiento: como regla general, el artículo 18 exige consentimiento expreso y escrito. El artículo 19 regula el tratamiento de datos de salud por establecimientos y profesionales, bajo secreto profesional.
- Evaluación de impacto: el Decreto 64/020 la exige antes de tratar datos sensibles cuando son el negocio principal o se tratan de forma permanente, y también cuando se elaboran perfiles, se tratan datos de grupos vulnerables o grandes volúmenes, o se transfieren datos a países sin nivel adecuado.
- Delegado de protección de datos: obligatorio para entidades privadas cuyo negocio principal son los datos sensibles y para las que tratan datos de más de 35.000 personas.
Si trabajás en salud, mirá además IA para clínicas y consultorios.
¿Usar un proveedor de IA del exterior es una transferencia internacional?
En general, sí: si los datos se procesan en servidores fuera de Uruguay, hay transferencia internacional. El artículo 23 la prohíbe hacia países sin nivel adecuado de protección, salvo excepciones.
- Destinos adecuados: la URCDP mantiene una lista de jurisdicciones adecuadas. Con la Resolución 63/023, según el análisis de Guyer & Regules, se incorporaron las organizaciones estadounidenses incluidas en la lista del Data Privacy Framework. Verificá en la lista oficial si la empresa concreta que procesa tus datos figura activa.
- Excepciones del artículo 23: entre otras, el consentimiento inequívoco del titular o que la transferencia sea necesaria para ejecutar un contrato con él.
- Autorización de la URCDP: puede autorizar transferencias a destinos no adecuados si hay garantías suficientes, por ejemplo cláusulas contractuales. La Resolución 8/026, de abril de 2026, habilita usar las cláusulas modelo del Convenio 108+, pero aclara que eso no sustituye la valoración y autorización previa de la Unidad.
Un matiz que suele confundirse: la Unión Europea reconoce a Uruguay como país con nivel adecuado desde 2012, y la Comisión Europea lo confirmó en su revisión de enero de 2024. Eso facilita que lleguen datos desde Europa a Uruguay, pero no habilita el envío de datos desde Uruguay a Estados Unidos ni a otros destinos.
En la práctica: usá planes empresariales o APIs con acuerdo de tratamiento de datos, confirmá que el proveedor no use tu información para entrenar, preguntá dónde la procesa y avisale a tus clientes que hay transferencia internacional.
¿Tenés que registrar tus bases de datos?
Sí. Toda base de datos pública o privada debe inscribirse en el registro de la URCDP. El Decreto 414/009 da 90 días desde el inicio de actividades y pide incluir, entre otros datos, cómo se obtienen los datos, las medidas de seguridad y los destinos. Si un agente de IA genera nuevas bases, como historiales de chat, o cambia finalidades o transferencias, actualizá la inscripción.
¿Qué medidas de seguridad y qué derechos tenés que garantizar?
Seguridad: ante un incidente, el Decreto 64/020 exige empezar a mitigar dentro de las 24 horas, notificar a la URCDP en un máximo de 72 horas e informar a los titulares afectados de forma significativa. Además, tenés que documentar las medidas que tomás (responsabilidad proactiva).
Derechos de los titulares: en Uruguay suele hablarse de derechos ARCO, aunque la ley los enumera de otra forma.
| Derecho | Qué permite | Plazo de respuesta |
|---|---|---|
| Acceso | Saber qué datos tenés sobre la persona (gratis cada seis meses) | 5 días hábiles |
| Rectificación, actualización, inclusión y supresión | Corregir, actualizar, incorporar o eliminar datos | 5 días hábiles |
| Impugnación de valoraciones automatizadas | Cuestionar decisiones basadas solo en tratamientos automatizados | Según el caso |
Tu agente de WhatsApp puede recibir estas solicitudes, pero tiene que derivarlas a un responsable que las registre y las responda en plazo.
¿Qué normas sobre IA se aprobaron entre 2023 y 2026?
No hay una ley general de IA, pero sí normas de política pública:
- Ley 20.212, artículo 74 (noviembre de 2023): encarga a AGESIC una estrategia nacional de datos e IA para los ámbitos público y privado, con actuación conjunta obligatoria con la URCDP cuando haya datos personales, y le pidió un informe con recomendaciones de regulación, presentado en junio de 2024.
- Ley 20.212, artículo 75: promueve la creación de entornos controlados de prueba (sandboxes) para proyectos innovadores; quienes participen deben presentar una evaluación de impacto en protección de datos. Fue reglamentado por el Decreto 276/025.
- Estrategia Nacional de IA 2024-2030, elaborada por AGESIC.
- Convenio Marco del Consejo de Europa sobre IA: Uruguay lo firmó el 2 de septiembre de 2025. La firma no equivale a ratificación, y no encontramos registro de que ya haya sido ratificado.
Para un panorama más amplio del ecosistema local, mirá IA en Uruguay 2026.
Checklist para usar IA y WhatsApp cumpliendo la ley
- Mapeá qué datos personales procesa cada herramienta de IA y con qué finalidad.
- Definí la base legal de cada tratamiento y, si es consentimiento, cómo lo pedís y dónde guardás la prueba.
- Actualizá tu política de privacidad: finalidad, responsable, derechos, transferencias internacionales y, si corresponde, criterios de decisiones automatizadas.
- Avisá en el primer mensaje que la persona habla con un asistente virtual y enlazá la política.
- Pedí aceptación previa para mensajes proactivos por WhatsApp y respetá las bajas.
- Minimizá: no pidas por chat lo que no necesitás y usá enlaces seguros para documentos.
- Datos sensibles: consentimiento expreso y escrito, y analizá si te corresponden evaluación de impacto y delegado.
- Revisá los contratos con proveedores: acuerdo de tratamiento, no uso para entrenamiento, ubicación, subencargados y borrado.
- Validá cada transferencia: destino adecuado, excepción del artículo 23 o autorización de la URCDP.
- Inscribí o actualizá tus bases en la URCDP.
- Asegurá accesos, registros y plazos de conservación, con un plan de incidentes que permita notificar en 72 horas.
- Prepará un procedimiento de derechos con respuesta en cinco días hábiles.
- Mantené supervisión humana en decisiones con efectos significativos sobre personas.
Si estás diseñando un agente, te pueden servir nuestra guía de agentes de IA en WhatsApp y la nota sobre chatbots con documentos de la empresa, donde el control de qué información ve cada usuario es central.
¿Qué sanciones puede aplicar la URCDP?
El artículo 35 prevé, según la gravedad y la reiteración: observación, apercibimiento, multa de hasta 500.000 unidades indexadas, suspensión de la base por cinco días y clausura de la base, esta última promovida ante la justicia. Más allá de la multa, el daño reputacional de un incidente con datos de clientes suele ser mayor.
Por dónde seguir
Cumplir con la protección de datos no frena la adopción de IA: la ordena. En eglows diseñamos agentes de IA y automatizaciones con la privacidad pensada desde el diseño: minimización, proveedores con acuerdos de tratamiento y derivación humana. Si querés revisar cómo encaja tu proyecto en este marco, contanos qué estás planeando. Y recordá validar las decisiones legales con tu asesor.
Fuentes
- Ley 18.331 de Protección de Datos Personales, IMPO
- Decreto 414/009, IMPO
- Ley 19.670, IMPO
- Decreto 64/020, IMPO
- Ley 18.331, artículo 13 (redacción de la Ley 20.075), IMPO
- Ley 18.331, artículo 23, IMPO
- Ley 20.212, artículos 74 y 75, IMPO
- Decreto 276/025, IMPO
- Resolución 8/026 sobre cláusulas contractuales, URCDP
- Cambios en transferencia internacional de datos: Resolución 63/2023, Guyer & Regules
- Data Privacy Framework List, Departamento de Comercio de EE.UU.
- Informe de la Comisión Europea sobre decisiones de adecuación, COM(2024) 7
- Estrategia Nacional de Inteligencia Artificial 2024-2030, AGESIC
- Uruguay signs Council of Europe's global AI treaty, Consejo de Europa
Preguntas frecuentes
¿Necesito consentimiento para usar IA con los datos de mis clientes?
Depende de la finalidad. La Ley 18.331 exige como regla un consentimiento libre, previo, expreso e informado, con excepciones como los datos necesarios para una relación contractual. Si usás IA para atender las consultas de un cliente, eso puede encuadrar en la relación existente. Si querés usar esos mismos datos para otra finalidad, como perfilar o entrenar un modelo, necesitás analizar si es compatible y, en general, pedir un consentimiento específico.
¿Puedo usar ChatGPT u otra IA con datos personales de clientes?
Se puede, con cuidado. Conviene usar versiones empresariales o la API con un acuerdo de tratamiento de datos, verificar que el proveedor no use tus datos para entrenar, saber dónde se procesan y si el destino es adecuado, y enviar solo los datos imprescindibles. Las cuentas personales gratuitas no son el lugar para cargar bases de clientes. Las transferencias internacionales deben cumplir el artículo 23 de la Ley 18.331.
¿Tengo que registrar mis bases de datos ante la URCDP?
Sí. La Ley 18.331 establece que toda base de datos pública o privada debe inscribirse en el registro de la URCDP, y el Decreto 414/009 da 90 días desde el inicio de actividades para hacerlo. Si incorporás un agente de IA que genera nuevas bases, como historiales de conversaciones, o cambia la finalidad o las transferencias de una base existente, también corresponde actualizar la inscripción.
¿Qué hago si mi chatbot de WhatsApp sufre una filtración de datos?
El Decreto 64/020 establece que, al constatar una vulneración de seguridad, el responsable debe empezar a tomar medidas para minimizar el impacto dentro de las 24 horas y notificar a la URCDP en un plazo máximo de 72 horas. Si los titulares se ven afectados de forma significativa, también hay que informarles en un lenguaje claro. Después, se elabora un informe detallado del incidente.
¿Hay una ley de inteligencia artificial en Uruguay?
No hay una ley general de IA. La Ley 20.212 de 2023 encargó a AGESIC una estrategia nacional de datos e IA y previó entornos de prueba regulados, reglamentados por el Decreto 276/025. En 2024 se aprobó la Estrategia Nacional de IA 2024-2030, y en 2025 Uruguay firmó el Convenio Marco del Consejo de Europa sobre IA. Las obligaciones concretas para empresas siguen saliendo de la normativa de datos personales.
¿Querés aplicar esto en tu empresa?
En eglows diseñamos agentes de IA, chatbots para WhatsApp y automatizaciones a medida. Contanos tu caso y te decimos por dónde empezar.
Seguí leyendo
IA en Uruguay 2026: ¿Por qué las empresas locales están automatizando masivamente?
Desde Montevideo hasta el interior, las PyMEs uruguayas están descubriendo que la Inteligencia Artificial no es solo para Silicon Valley. Es la clave para competir globalmente desde acá.
15 procesos que podés automatizar con IA: ejemplos por área
15 procesos que podés automatizar con IA en ventas, atención, finanzas, RR.HH. y operaciones: qué se automatiza, con qué solución y qué impacto esperar.
Agente de IA para WhatsApp: guía completa para empresas
Agente de IA para WhatsApp: qué es, qué puede hacer, cómo se arma con la Cloud API, cuánto cuesta y cómo implementarlo cumpliendo las políticas de Meta.