Mediante la Resolución No. SPDP-SPD-2026-0037-R, la Superintendencia de Protección de Datos Personales (SPDP) reformó la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, expedida mediante la Resolución No. SPDP-SPD-2026-0009-R y publicada en el Registro Oficial No. 240 de 10 de marzo de 2026.
El eje de la reforma es precisar cuándo un encargado del tratamiento queda sujeto a las obligaciones de la norma: ya no basta con desarrollar, desplegar o proveer el sistema, sino que se exige que tenga acceso, visibilidad o control efectivo sobre los datos. Entrará en vigencia con su publicación en el Registro Oficial.
Qué cambió
| Tema | Norma anterior (Res. 0009-R) | Texto reformado (Res. 0037-R) |
| A qué encargados obliga | A todo encargado que desarrolle, entrene, implemente, despliegue o provea sistemas de inteligencia artificial que traten datos de titulares ecuatorianos. | Solo a los encargados que tengan acceso, visibilidad o control efectivo sobre los datos objeto de tratamiento. Para los responsables, la regla se mantiene. |
| Definiciones | Desarrollador, desplegador, distribuidor e implementador. | Se suman tres: acceso a datos personales, visibilidad de datos personales y control efectivo de datos personales. |
| Información al responsable | Sin previsión expresa. | El encargado que provea, desarrolle o mantenga el sistema debe informar al responsable sobre su funcionamiento general, limitaciones relevantes, riesgos previsibles y medidas de control, sin difundir secretos comerciales, industriales o de propiedad intelectual. |
| Carga de acreditación | Sin previsión expresa. | El encargado que alegue no tener acceso, visibilidad ni control efectivo debe implementar y conservar evidencia suficiente para acreditarlo ante la SPDP cuando esta lo requiera. |
| Evaluación de impacto | Gestión de riesgos y evaluación de impacto, previas al desarrollo del sistema. | Gestión de riesgos previa al desarrollo y evaluación de impacto cuando correspondiere. |
| Garantía de derechos (art. 4) | Garantía de los derechos de la LOPDP, con un inciso expreso sobre el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas, el derecho a la información y el de oposición. | Garantía de los derechos de la LOPDP y del acceso a los mecanismos para su ejercicio conforme al Reglamento General. El inciso expreso no consta en la nueva redacción. |
| Alcance de las obligaciones del encargado | Sin previsión expresa. | Nuevas disposiciones generales: las obligaciones son exigibles al encargado únicamente respecto de las operaciones o fases sobre las que tenga acceso, visibilidad o control efectivo, sin que ello constituya exoneración general de responsabilidad. |
Ámbito de aplicación
El texto anterior hacía obligatoria la norma para los responsables y encargados del tratamiento siempre que desarrollaran, entrenaran, implementaran, desplegaran o proveyeran sistemas de inteligencia artificial que trataran datos de titulares ecuatorianos.
El texto reformado mantiene esa regla para los responsables, pero respecto de los encargados la condiciona a que tengan acceso, visibilidad o control efectivo de los datos. La SPDP caracteriza esa modificación, en la nueva disposición general primera, como una delimitación funcional y proporcional de las obligaciones.
La misma disposición aclara que no constituye una exoneración general de responsabilidad para los encargados, quienes tampoco quedan eximidos del cumplimiento de la LOPDP, su Reglamento General y la normativa secundaria aplicable.
Definiciones nuevas
- Acceso a datos personales: la posibilidad, directa o indirecta, permanente, temporal u ocasional, de conocer, consultar, recibir, recuperar, extraer, utilizar, comunicar, transferir, almacenar o interactuar de cualquier forma con los datos tratados mediante sistemas de inteligencia artificial, con independencia del medio, la interfaz o el nivel de acceso, y de que los datos se traten de forma individualizada, agregada, seudonimizada o cifrada.
- Visibilidad de datos personales: la posibilidad de identificar, observar, conocer, inferir o consultar la existencia, el contenido, las características, la estructura, el comportamiento, la ubicación, el flujo o los resultados asociados a datos tratados mediante estos sistemas, aun cuando no exista posibilidad de acceder directamente a la totalidad de los datos.
- Control efectivo de datos personales: la capacidad, facultad o influencia, directa o indirecta, de carácter técnico, contractual, jurídico, económico u organizativo, para intervenir, determinar, modificar, limitar, autorizar, condicionar, supervisar o influir sobre los datos, las operaciones de tratamiento, los sistemas o sus finalidades, medios y resultados. Puede existir aun cuando no se ejerza materialmente la facultad, pues basta la posibilidad real de ejercerla, por sí mismo o a través de terceros.
Obligaciones del encargado
Cuando el encargado provea, desarrolle o mantenga sistemas de inteligencia artificial, debe proporcionar al responsable información suficiente sobre el funcionamiento general del sistema, sus limitaciones relevantes, los riesgos previsibles y las medidas de control implementadas, en la medida necesaria para que el responsable cumpla sus obligaciones. La norma precisa que ese deber no implica la difusión de secretos comerciales, industriales o de propiedad intelectual.
El artículo 8 incorpora, además, una carga de acreditación: el encargado que alegue la inexistencia de acceso, visibilidad o control efectivo sobre los datos debe implementar y conservar evidencia suficiente para acreditar esa circunstancia ante la SPDP cuando ella lo requiera.
