Saltar al contenido
AI Policy Generator

ENQué me toca

Ecuador · Resolución

Norma general de protección de datos en el uso de IA

VigenteNorma SPDP de IA

Resumen

La norma vinculante de Ecuador sobre IA. Exige informar el tratamiento con IA, gestionar riesgos, evaluar el impacto cuando corresponda, incluir la IA en el registro de actividades, aplicar medidas de seguridad y auditar los sistemas según su riesgo. La reforma de 2026 precisa qué proveedores quedan obligados y les exige informar a sus clientes sobre el sistema.

A quién se dirige

Responsables y encargados que desarrollan, entrenan, despliegan o proveen IA que trata datos de personas en Ecuador, sin importar dónde esté el sistema o el proveedor.

Sanciones

Se sanciona con el régimen de la LOPDP (hasta 1 % del volumen de negocio). La Superintendencia puede auditar sistemas e imponer medidas correctivas o cautelares.

Nombre oficial
Resolución N.° SPDP-SPD-2026-0009-R, Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (reformada por la Resolución N.° SPDP-SPD-2026-0037-R)
Referencia oficial
Registro Oficial N.° 240, 10 de marzo de 2026 (firmada el 12 de febrero de 2026); reformada por la Res. SPDP-SPD-2026-0037-R, firmada el 9 de septiembre de 2026 y vigente desde su publicación en el Registro Oficial (fecha no confirmada)
Autoridad
Superintendencia de Protección de Datos Personales (SPDP)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Informar a las personas que sus datos se tratan con IARes. SPDP-SPD-2026-0009-R, arts. 4 y 5.1Vigente10 de marzo de 2026Responsables y encargados cuyos sistemas de IA tratan datos de personas en Ecuador, aunque el sistema o el proveedor estén fuera del país.Verificado en fuente oficial el 4 de noviembre de 2026
Gestionar los riesgos antes de desarrollar o desplegar IARes. SPDP-SPD-2026-0009-R, arts. 5.2, 6 y 7, reformados por la SPDP-SPD-2026-0037-RVigente10 de marzo de 2026Responsables y encargados que desarrollan, entrenan o despliegan IA con datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Evaluación de impacto de IA cuando corresponda según el riesgoRes. SPDP-SPD-2026-0009-R, arts. 6 y 7.2, reformados por la SPDP-SPD-2026-0037-R; LOPDP, art. 42Vigente10 de marzo de 2026Sistemas de IA que perfilan personas con efectos relevantes o tratan datos sensibles, biométricos o de menores.Verificado en fuente oficial el 4 de noviembre de 2026
Incluir los tratamientos con IA en el registro de actividadesRes. SPDP-SPD-2026-0009-R, arts. 5.4 y 7.1Vigente10 de marzo de 2026Responsables que usan IA con datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Aplicar medidas de seguridad a los sistemas de IARes. SPDP-SPD-2026-0009-R, arts. 5.3 y 7Vigente10 de marzo de 2026Responsables y encargados que usan IA con datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Auditar los sistemas de IA según su nivel de riesgoRes. SPDP-SPD-2026-0009-R, arts. 5.5, 7.3 y 10Vigente10 de marzo de 2026Responsables y encargados que usan IA con datos personales. Además, la Superintendencia puede auditar los sistemas e imponer medidas correctivas.Verificado en fuente oficial el 4 de noviembre de 2026
Suprimir o anonimizar los datos al cumplir la finalidadLOPDP, arts. 10 (principio de conservación) y 15; Res. SPDP-SPD-2026-0009-R, art. 3Vigente10 de marzo de 2026Responsables y encargados que usan o entrenan IA con datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Deberes del proveedor de IA frente a su clienteRes. SPDP-SPD-2026-0037-R, arts. 1, 5, 8 y disposiciones generales, que reforma la SPDP-SPD-2026-0009-RVigente14 de septiembre de 2026Empresas que proveen, desarrollan o mantienen sistemas de IA que tratan datos de sus clientes.Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)
Pedir al proveedor información sobre el sistema de IARes. SPDP-SPD-2026-0037-R, arts. 5 y 8, que reforma la SPDP-SPD-2026-0009-RVigente14 de septiembre de 2026Organizaciones que usan sistemas de IA de terceros con datos personales.Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)

Informar a las personas que sus datos se tratan con IA

Res. SPDP-SPD-2026-0009-R, arts. 4 y 5.1Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables y encargados cuyos sistemas de IA tratan datos de personas en Ecuador, aunque el sistema o el proveedor estén fuera del país.
Qué prevé la norma
  • Informar que el tratamiento se basa en IA, sus fines y si es automatizado.
  • Garantizar los derechos de información, oposición y a no ser objeto de decisiones automatizadas.
Evidencias habituales
  • Aviso de privacidad o de IA con la información exigida
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, arts. 4 (derechos de información, oposición y a no ser objeto de decisiones automatizadas) y 5.1 (informar el uso de IA, sus fines y su carácter automatizado). La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Gestionar los riesgos antes de desarrollar o desplegar IA

Res. SPDP-SPD-2026-0009-R, arts. 5.2, 6 y 7, reformados por la SPDP-SPD-2026-0037-RVigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables y encargados que desarrollan, entrenan o despliegan IA con datos personales.
Qué prevé la norma
  • Analizar y gestionar los riesgos del tratamiento antes del desarrollo, de forma documentada.
  • Revisar el análisis cuando cambie el sistema, los datos o la finalidad; ayuda a documentar la gestión permanente y continua que pide el art. 7.
Evidencias habituales
  • Análisis de riesgos fechado por sistema
Documentos base relacionados
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, arts. 5.2, 6 (gestión de riesgos previa al desarrollo, redacción de la 0037-R) y 7 (medidas permanentes y continuas). Revisar el análisis ante cambios es una práctica sugerida. La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Evaluación de impacto de IA cuando corresponda según el riesgo

Res. SPDP-SPD-2026-0009-R, arts. 6 y 7.2, reformados por la SPDP-SPD-2026-0037-R; LOPDP, art. 42Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Sistemas de IA que perfilan personas con efectos relevantes o tratan datos sensibles, biométricos o de menores.
Qué prevé la norma
  • Hacer la evaluación de impacto cuando el nivel de riesgo lo requiera, antes del tratamiento.
Evidencias habituales
  • Evaluación de impacto del sistema de IA
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, art. 7.2 (evaluación de impacto "cuando sea procedente") y art. 6 en la redacción de la 0037-R ("cuando correspondiere, la evaluación de impacto"), con LOPDP art. 42. La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Incluir los tratamientos con IA en el registro de actividades

Res. SPDP-SPD-2026-0009-R, arts. 5.4 y 7.1Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables que usan IA con datos personales.
Qué prevé la norma
  • Anotar en el registro de actividades cada tratamiento con IA y describir las decisiones automatizadas que produce.
Evidencias habituales
  • Registro de actividades con anexo de IA
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, arts. 5.4 (incluir los tratamientos con IA en el registro de actividades) y 7.1 (incluir las decisiones automatizadas con efectos jurídicos o que afecten derechos). La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Aplicar medidas de seguridad a los sistemas de IA

Res. SPDP-SPD-2026-0009-R, arts. 5.3 y 7Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables y encargados que usan IA con datos personales.
Qué prevé la norma
  • Adoptar medidas administrativas, técnicas, físicas, organizativas y jurídicas proporcionales al riesgo del sistema de IA.
Evidencias habituales
  • Controles de seguridad documentados para cada sistema
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, arts. 5.3 y 7 (medidas administrativas, técnicas, físicas, organizativas y jurídicas según categorías y volumen de datos). La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Auditar los sistemas de IA según su nivel de riesgo

Res. SPDP-SPD-2026-0009-R, arts. 5.5, 7.3 y 10Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables y encargados que usan IA con datos personales. Además, la Superintendencia puede auditar los sistemas e imponer medidas correctivas.
Qué prevé la norma
  • Auditar el funcionamiento general de cada sistema de IA según su nivel de riesgo (arts. 5.5 y 7.3).
  • Conservar la evidencia de las auditorías para entregarla si la Superintendencia la pide; la Superintendencia también puede auditar los sistemas e imponer medidas correctivas o cautelares (art. 10).
Evidencias habituales
  • Plan de auditoría e informes
Documentos base relacionados
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la Res. SPDP-SPD-2026-0009-R publicado por la SPDP, art. 5.5 ("Auditarán el funcionamiento general del sistema… en función del nivel de riesgos"), art. 7.3 ("Realizarán auditorías a los sistemas") y art. 10 (auditoría de la SPDP). La 0037-R confirma su publicación en el Registro Oficial N.° 240 del 10-mar-2026.

Suprimir o anonimizar los datos al cumplir la finalidad

LOPDP, arts. 10 (principio de conservación) y 15; Res. SPDP-SPD-2026-0009-R, art. 3Vigente

Aplicable desde 10 de marzo de 2026

Cuándo se relaciona
Responsables y encargados que usan o entrenan IA con datos personales.
Qué prevé la norma
  • Suprimir, bloquear o anonimizar los datos cuando se cumpla la finalidad o venza el plazo de conservación, también los usados para entrenar modelos, ya que la norma de IA remite a los principios de la LOPDP.
Evidencias habituales
  • Política de conservación y registros de supresión
Documentos base relacionados
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias oficiales publicadas por la SPDP: LOPDP, art. 10 (principio de conservación: plazos de supresión o revisión periódica) y art. 15 (derecho de eliminación). La Res. SPDP-SPD-2026-0009-R no regula la supresión por sí misma; su art. 3 remite a los principios de la LOPDP.

Deberes del proveedor de IA frente a su cliente

Res. SPDP-SPD-2026-0037-R, arts. 1, 5, 8 y disposiciones generales, que reforma la SPDP-SPD-2026-0009-RVigente

Aplicable desde 14 de septiembre de 2026

Cuándo se relaciona
Empresas que proveen, desarrollan o mantienen sistemas de IA que tratan datos de sus clientes.
Qué prevé la norma
  • Cumplir la norma en las fases en que se tenga acceso, visibilidad o control efectivo sobre los datos.
  • Si se alega no tener ese acceso, conservar pruebas para la Superintendencia.
  • Informar al cliente sobre el funcionamiento general del sistema, sus limitaciones relevantes, los riesgos previsibles y las medidas de control, sin revelar secretos comerciales.
Evidencias habituales
  • Informe de funcionamiento, limitaciones y riesgos entregado al cliente
  • Evidencia del alcance de acceso a los datos
Verificación
Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)Contenido comprobado en el texto de la Res. SPDP-SPD-2026-0037-R publicado por la SPDP: arts. 1 y 3 a 8 (encargados con acceso, visibilidad o control efectivo), art. 5 (informar al responsable) y disposiciones generales primera y segunda. Falta la fecha de publicación de la 0037-R en el Registro Oficial, de la que depende su vigencia; la fecha usada es la del primer reporte público (14-sep-2026).

Pedir al proveedor información sobre el sistema de IA

Res. SPDP-SPD-2026-0037-R, arts. 5 y 8, que reforma la SPDP-SPD-2026-0009-RVigente

Aplicable desde 14 de septiembre de 2026

Cuándo se relaciona
Organizaciones que usan sistemas de IA de terceros con datos personales.
Qué prevé la norma
  • Exigir y conservar el informe del proveedor sobre funcionamiento, limitaciones, riesgos y controles, y definir en el contrato qué acceso tiene a los datos.
Evidencias habituales
  • Informe del proveedor y cuestionario de evaluación
Verificación
Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)Contenido comprobado en el texto de la 0037-R publicado por la SPDP: el art. 5 obliga al encargado a dar al responsable información sobre funcionamiento, limitaciones, riesgos y controles; pedirla, conservarla y fijar en el contrato el acceso a los datos ayuda a documentarlo. Falta la fecha de publicación de la 0037-R en el Registro Oficial, de la que depende su vigencia; la fecha usada es la del primer reporte público (14-sep-2026).

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)