Datos personales, vigilancia e inteligencia artificial bajo la nueva política hemisférica de Estados Unidos. Segunda de dos entregas.

En la primera entrega revisamos la letra chica económica del Escudo de las Américas: por qué la disputa de Estados Unidos con Brasil por Pix debería interesarnos a quienes usamos Yape y Plin, qué significa “proveedores de confianza” y qué podría implicar un control de inversiones. Ahora toca lo más delicado.

La declaración conjunta también propone ampliar el intercambio de inteligencia y facilitar el acceso a tecnologías y capacidades de seguridad. ¿Hasta dónde llegaría el intercambio de información? ¿Qué tecnologías de seguridad se pretende compartir? Y, más allá del texto del Escudo, ¿qué le está pidiendo ya Estados Unidos al Perú en materia de datos personales y regulación de inteligencia artificial?

Como en la primera entrega, las pistas están en lo que Estados Unidos ya viene haciendo en la región. Y apuntan a qué transformaciones regulatorias podrían venir después y qué límites constitucionales encontrarían si se pretendiera implementarlas en el Perú.

El gran problema con los datos personales

Quizás la problemática más delicada aparece en torno a las transferencias internacionales de datos personales. El acuerdo comercial firmado entre Estados Unidos y Argentina en febrero de 2026, que ya mencionamos en la primera entrega, establece que Argentina deberá brindar certeza para la transferencia de datos hacia Estados Unidos, incluso reconociéndolo como una jurisdicción que proporciona protección adecuada bajo la legislación argentina.

El problema jurídico sobre ello es bastante serio. Una declaración de adecuación debería ser la consecuencia de una evaluación acerca de si el país receptor efectivamente ofrece un nivel suficiente de protección. Si el resultado de esa evaluación se negocia previamente como una concesión comercial, la lógica se invierte: primero se promete el resultado y después el derecho interno debe encontrar la manera de producirlo. Se empieza por el final.

Para el caso peruano, cobra relevancia el régimen de protección de datos personales en este aspecto. La Ley N.º 29733 y su nuevo Reglamento establecen que el flujo transfronterizo de datos debe dirigirse a países que cuenten con un nivel adecuado de protección y, cuando ese nivel no existe, deben establecerse garantías adecuadas. La propia normativa señala criterios para evaluar esa adecuación y declara expresamente que está protegiendo un derecho fundamental reconocido por el artículo 2.6 de la Constitución.

Y el Gobierno de los Estados Unidos ya está presionando al Perú en esta materia. El National Trade Estimate Report 2026 de USTR dedica un apartado específico a nuestra normativa de protección de datos. Allí sostiene que el nuevo Reglamento peruano establece condiciones más estrictas para transferencias internacionales y señala que, pese a “repeated requests from the United States”, el Perú todavía no había iniciado, al 31 de diciembre de 2025, un procedimiento para evaluar si Estados Unidos proporciona protección adecuada. Para USTR, esta situación aumenta los costos de las empresas estadounidenses y puede conducir a localización de datos en el Perú.

Este documento es particularmente revelador porque traduce una garantía de derechos fundamentales hacia una posible barrera para servicios digitales y comercio. Además, el mismo informe cuestiona aspectos del marco peruano de confianza digital por sus posibles efectos sobre circulación transfronteriza de datos y localización. Es decir, antes siquiera de la firma del Escudo ya existían fricciones concretas entre la política comercial estadounidense y componentes de la regulación digital peruana.

La experiencia europea debería servir, como mínimo, para desconfiar de soluciones demasiado simples. En 2015, el Tribunal de Justicia de la Unión Europea invalidó el antiguo Safe Harbour para transferencias hacia Estados Unidos. En 2020 volvió a invalidar su sucesor, Privacy Shield, en el caso Schrems II, debido, entre otros asuntos, a problemas vinculados con acceso estatal a datos y garantías efectivas. El sistema vigente entre la Unión Europea y Estados Unidos no declara simplemente a todo Estados Unidos “adecuado”. La decisión cubre a organizaciones comerciales estadounidenses que participan y se certifican bajo el EU-US Data Privacy Framework y descansa sobre salvaguardas adicionales en materia de acceso gubernamental y mecanismos de reclamación.

Por eso, para el Perú, una eventual obligación de reconocer a Estados Unidos como jurisdicción adecuada no sería una cuestión puramente comercial: involucraría directamente el derecho fundamental a la protección de datos personales. Y, en este punto, el filtro constitucional es especialmente importante: el artículo 56 exige aprobación del Congreso para tratados que versen sobre derechos humanos, además de aquellos que requieran modificar una ley. Incluso si la legislación actual permitiera técnicamente a la Autoridad Nacional emitir una decisión administrativa de adecuación, sería problemático que el Poder Ejecutivo comprometiera internacionalmente de antemano cuál debe ser el resultado de una evaluación que nuestra normativa exige realizar con criterios propios.

Palantir, aduanas y la privatización tecnológica de la seguridad

De otro lado, la dimensión de seguridad del Escudo plantea un problema diferente. La declaración propone ampliar el intercambio de inteligencia y facilitar acceso a tecnologías y capacidades de seguridad. Lo primero a alertar es que estamos frente a una fórmula extremadamente amplia: no establece qué datos podrían compartirse, durante cuánto tiempo, con qué finalidades, bajo qué estándares de seguridad o con qué mecanismos de supervisión.

En este punto, Ecuador muestra una posible dirección hacia dónde podría orientarse la política peruana si sigue el mismo curso. Desde mayo de 2025, el Servicio Nacional de Aduana de Ecuador utiliza Palantir para realizar análisis masivos de datos, identificar riesgos de posibles ilícitos en importaciones y apoyar controles aduaneros. La propia Aduana ecuatoriana presenta la herramienta como una pieza central de su transformación tecnológica.

Si bien no se puede afirmar que el Escudo de las Américas tenga como objetivo introducir Palantir en los Estados participantes, sí muestra el tipo de ecosistema tecnológico privado que puede integrarse rápidamente a una política regional de intercambio de información, gestión fronteriza, inteligencia y seguridad. Aquí la pregunta sobre soberanía digital cambia ligeramente hacia ¿quién controla la infraestructura mediante la cual el Estado conoce, clasifica y perfila a las personas?

En el Perú habría que distinguir además entre defensa, seguridad nacional y control aduanero. Una plataforma de análisis de riesgo utilizada por SUNAT para control de mercancías no se convierte automáticamente en un sistema de defensa nacional, pero sí podría ser llamativo un sistema integrado al Sistema de Inteligencia Nacional, a las Fuerzas Armadas o utilizado para intercambio sistemático de inteligencia con gobiernos extranjeros. Allí entrarían normas de inteligencia, defensa, protección de datos, secreto, control parlamentario y eventualmente el artículo 56 de la Constitución.

Nuestra regulación de IA también hace una distinción relevante en este punto: si bien los usos de IA para defensa y seguridad nacional están exceptuados de parte del régimen general, incluso en esos casos deben respetarse principios de protección de derechos fundamentales, no discriminación, seguridad, proporcionalidad, supervisión y rendición de cuentas. Cualquier modificación o acuerdo en ese sentido requeriría aprobación previa del Congreso.

¿Y qué pasa con el modelo peruano de gobernanza de inteligencia artificial?

Como vimos en la primera entrega, en julio de 2025 Donald Trump aprobó la Executive Order 14320, Promoting the Export of the American AI Technology Stack. Esta política dice expresamente que busca que los “governance models” estadounidenses de IA sean adoptados mundialmente y encarga a su aparato diplomático apoyar la creación de entornos regulatorios favorables al despliegue de sistemas estadounidenses. También ordena identificar medidas regulatorias que puedan obstaculizar la competitividad de las empresas de Estados Unidos.

En este punto, conviene aclarar una cuestión: Perú ya tiene un modelo propio. La Ley N.º 31814 y su Reglamento utilizan una aproximación basada en riesgos, establecen usos prohibidos, obligaciones para sistemas de alto riesgo, supervisión humana, transparencia, privacidad desde el diseño, evaluaciones de impacto y protección de derechos fundamentales. Conceptualmente, es un modelo bastante más cercano al enfoque europeo basado en riesgo que al enfoque regulatorio actualmente promovido por Washington.

La pregunta que nos debemos hacer es si el Perú, al ser parte del Escudo de las Américas, debe modificar o cambiar determinados marcos regulatorios como, por ejemplo, evaluaciones de impacto, requisitos de transparencia, obligaciones sobre código fuente o restricciones para determinados usos. Y, en esa línea, el precedente en materia de protección de datos personales que señalamos previamente nos muestra que esta no es una mera situación abstracta: el Gobierno de los Estados Unidos ya observa normas peruanas concebidas aquí como salvaguardas de derechos desde el lente de sus efectos comerciales.

Si un eventual acuerdo exige modificar la Ley N.º 31814, requerirá intervención legislativa y, por el propio artículo 56, aprobación congresal del tratado que genere esa obligación. Si las modificaciones comprometen garantías de derechos fundamentales, el problema deja además de ser puramente económico o tecnológico.

La Constitución importa, incluso para la política exterior digital

Todo esto conduce a una cuestión que suele quedar relegada cuando se discute política tecnológica internacional: en el Perú el Ejecutivo no tiene una competencia ilimitada para comprometer internacionalmente cambios regulatorios internos. Si una obligación internacional asumida por el Estado requiere cambios internos es algo que debe evaluarse según su contenido.

Una cooperación técnica entre aduanas puede caber dentro de competencias administrativas existentes, o una norma técnica de ciberseguridad puede aprobarse administrativamente cuando exista habilitación legal. Sin embargo, un tratado que obligue a modificar la Ley de Protección de Datos, la Ley de Inteligencia Artificial, la Ley de Sistemas de Pagos o la legislación de telecomunicaciones es otra cosa. Lo mismo ocurre si el compromiso versa directamente sobre derechos humanos, soberanía o defensa nacional. En esos casos rige el artículo 56 y se necesita aprobación del Congreso; fuera de ellos, el artículo 57 permite al Presidente ratificar tratados solo dando cuenta al Congreso después. El riesgo es que un compromiso que debería ir por la primera vía termine tramitándose por la segunda.

La fórmula “el Escudo es únicamente una declaración política” tampoco resuelve el problema. Una declaración política puede no ser jurídicamente vinculante y aun así orientar negociaciones posteriores, decisiones regulatorias, contratación pública y acuerdos bilaterales. Además, en Derecho Internacional, las declaraciones de los Estados pueden, bajo ciertas circunstancias, generar obligaciones internacionales.

¿Qué soberanía estamos defendiendo?

La paradoja final del Escudo de las Américas está en su propio nombre. El documento propone defender la soberanía del hemisferio; sin embargo, varias de las políticas que lo rodean buscan también determinar qué proveedores son confiables, qué capitales son aceptables, por qué infraestructura deben circular los datos, qué reglas de transferencia internacional de información deben considerarse adecuadas y qué modelos tecnológicos y regulatorios deberían adoptar los países socios.

Si bien existen razones legítimas para preocuparnos por la seguridad de infraestructura crítica, dependencia tecnológica, ciberriesgos, integridad de las cadenas de suministro y uso de tecnologías, especialmente en contextos de crimen organizado, el problema aparece cuando la respuesta a esas preocupaciones consiste simplemente en sustituir una dependencia por otra.

Para el Perú, la soberanía digital debería significar algo más que escoger de qué potencia comprar infraestructura. También implica conservar capacidad regulatoria para proteger derechos, decidir cómo construir infraestructura pública, desarrollar capacidades tecnológicas propias, exigir transparencia a sistemas utilizados por el Estado y determinar, con nuestras propias normas, cuándo un país ofrece protección adecuada para los datos de los peruanos.

La infraestructura digital, los pagos, los datos y la inteligencia artificial aparecen ya dentro de una política de seguridad económica hemisférica y quizá allí esté su verdadera letra chica: una iniciativa diseñada para defender la soberanía puede terminar redefiniendo qué entendemos por ejercerla en el entorno digital.