En 2019, “soberanía de datos” era un tema académico — algo que mencionaban consultores de gobierno y que rara vez pesaba en decisiones de tecnología. En 2026 dejó de ser académico.
Lo que cambió
Tres fuerzas convergieron:
1. Regulación más estricta. Colombia, Perú, México y Brasil endurecieron sus regímenes de protección de datos. Habeas Data (Ley 1581) ya no se cumple con un párrafo en términos y condiciones — los reguladores piden evidencia operativa.
2. Cross-border risk concreto. Tres incidentes en los últimos 24 meses donde datos de ciudadanos latinoamericanos terminaron en jurisdicciones extranjeras vía proveedor SaaS. En todos, la empresa local cargó la responsabilidad legal, no el SaaS.
3. La IA cambió la pregunta. Antes la pregunta era “¿dónde están los datos?”. Ahora también es “¿dónde corre la inferencia?” — porque el prompt, el contexto y la respuesta también son datos. Un modelo en us-east que procesa una historia clínica de un paciente colombiano expone esa historia al marco legal estadounidense.
Lo que esto significa operativamente
Para una entidad que maneja datos sensibles en LatAm (gobierno, salud, defensa, financiero), la pregunta razonable hoy es:
- ¿Dónde se almacenan los datos crudos? (Respuesta obvia desde hace años: jurisdicción local.)
- ¿Dónde se procesan? (La pregunta nueva.)
- ¿Dónde corre la inferencia de IA? (La pregunta más nueva.)
- Si hay subprocesadores, ¿en qué jurisdicción están? (Cadena completa, no solo el primer eslabón.)
Si las tres últimas respuestas son “us-east-1” o “Azure West Europe”, hay un problema regulatorio latente — no de cumplimiento técnico, sino de exposición legal cuando algo salga mal.
Lo que estamos haciendo
Operamos uno de los pocos datacenters en Colombia con servidores de IA de última generación en producción. Para clientes regulados, esto significa que todo el ciclo — datos, procesamiento, inferencia — puede vivir en suelo colombiano bajo Ley 1581.
Esto no aplica a todos. Para una startup B2C con datos no sensibles, AWS us-east funciona perfecto. Para un operador de servicios públicos atendiendo 800K personas con sus números de cédula y direcciones — el cálculo es diferente.
Lo que viene
Probable: leyes específicas para IA en países de LatAm en los próximos 18-24 meses, alineadas parcialmente con el AI Act europeo pero con sabor local. Posible: requisitos explícitos de cómputo en jurisdicción para ciertas categorías de uso (salud, infraestructura crítica, defensa).
Si tu negocio depende de procesar datos sensibles, vale la pena tener una respuesta concreta a “¿dónde corre la IA?” antes que el regulador la pida.