Christian Paredes, Field Compliance Officer de SAP México, repasa con Líder Legal un año de transformaciones regulatorias: la nueva ley de datos personales sin reglamento todavía publicado, la integración de inteligencia artificial como Joule bajo nuevas reglas de transparencia, y un mosaico sectorial que se mueve mientras se intenta mapear, con la extinción del IFT y la desaparición del INAI de por medio. Paredes explica por qué ningún marco regulatorio -ni siquiera el europeo- debe ser el ancla de un programa de cumplimiento global, qué lección deja la transición mexicana para otros compliance officers de la región, y hasta dónde ha avanzado realmente la cooperación transfronteriza entre reguladores que él mismo pronosticó hace un año.
La nueva Ley Federal de Protección de Datos Personales cumplió su primer año de vigencia en marzo, pero su reglamento sigue sin publicarse. ¿Qué ha significado para SAP operar bajo el texto de la ley sin ese reglamento, y qué zona gris concreta le preocupa más mientras se resuelve?
Ha significado operar con una nueva ley vigente y, al mismo tiempo, con disposiciones secundarias anteriores que deben leerse a la luz del nuevo marco y únicamente en aquello que resulte compatible. Es una situación que requiere análisis cuidadoso, pero no impide avanzar. Para una compañía global como SAP, además, nuestro punto de referencia no es solamente el mínimo que establece una jurisdicción. Contamos con estándares globales de privacidad y protección de datos, y buscamos incorporar estos principios desde el diseño de productos y servicios. SAP, por ejemplo, establece públicamente que la protección de datos y la privacidad deben integrarse por diseño y por defecto.
Dicho eso, quiero ser claro en algo que se repite mucho en el mercado y es incorrecto: el vacío reglamentario no suspende la obligación. Lo que se perdió no es la exigencia; es la previsibilidad. Y el compliance no garantiza certeza jurídica absoluta -eso no existe-, sino previsibilidad operativa. Ese es el servicio real que ofrece.
¿La zona gris que más me preocupa? Los plazos de conservación y la supresión de datos. La ley introdujo el concepto, pero el detalle operativo -cómo se define el plazo, cómo se documenta, qué constituye una destrucción válida y cómo se acredita frente a la autoridad- es exactamente lo que un reglamento debería resolver. Cuando le pides a un negocio que fije plazos de conservación sin una referencia normativa precisa, cada área inventa el suyo.
Si tuviera que señalar un área que requiere especial atención, sería la gestión del ciclo de vida de los datos: conservación, bloqueo y supresión. La nueva ley establece que, cuando los datos dejan de ser necesarios para las finalidades previstas, deben suprimirse previo bloqueo, cuando corresponda, una vez concluido el plazo de conservación aplicable.
El reto para las organizaciones es traducir ese principio en procesos concretos: definir plazos, documentarlos, aplicarlos de manera consistente y poder demostrar que existen controles efectivos. Esto se vuelve todavía más relevante cuando hablamos de grandes volúmenes de información, respaldos y sistemas tecnológicos que forman parte de ciclos de vida complejos.
Una de las obligaciones más concretas de la nueva ley es declarar explícitamente en el aviso de privacidad cuándo se usan datos para decisiones automatizadas o perfilamiento, ya sin frases vagas tipo “entre otros”. Con productos de IA como Joule cada vez más integrados en el negocio de SAP, ¿cómo tradujeron esa obligación legal a la práctica?
Yo diría que la traducción de estas obligaciones no empieza en el aviso de privacidad. Empieza en el inventario y en la gobernanza. Y aquí aplico el mismo método de siempre: ver, ordenar y gobernar.
Primero necesitamos saber qué sistemas tratan datos personales, para qué los utilizan y, cuando existe automatización, qué papel juega el sistema en una decisión. No es lo mismo una herramienta que ayuda a redactar un documento que un sistema que participa en una decisión que puede tener un impacto significativo sobre una persona.
A partir de ahí viene la segunda parte: clasificar el riesgo y definir los controles adecuados. Eso incluye transparencia, protección de datos, trazabilidad y, cuando corresponde, supervisión humana efectiva.
Este enfoque está muy alineado con lo que hacemos en SAP. Nuestra Global AI Ethics Policy establece principios como privacidad y protección de datos, supervisión humana y determinación, transparencia y explicabilidad, responsabilidad y rendición de cuentas. Además, SAP cuenta con procesos de evaluación de impacto ético para casos de uso de IA y mecanismos de gobernanza para aquellos que presentan mayores riesgos.
Y para mí hay una idea fundamental: no podemos gobernar lo que no conocemos. Por eso, antes de preguntarnos cómo redactar el aviso de privacidad, tenemos que poder responder preguntas mucho más básicas: qué datos utiliza el sistema, para qué finalidad, qué hace el modelo, qué nivel de intervención humana existe y quién es responsable de esa decisión.
La transparencia no debería ser solamente una obligación de redacción. Debería ser consecuencia de conocer realmente nuestros propios procesos.
Y permíteme una precisión sobre el “entre otros”. Esa frase nunca fue un problema de redacción; fue el síntoma de un problema de conocimiento. Se escribía “entre otros” porque no se sabía con precisión qué hacía el sistema. La nueva ley cerró esa puerta y me parece correcto que lo haya hecho. Un aviso de privacidad es una declaración frente al titular y frente a la autoridad. Si es vago, lo que estás declarando en realidad es que no conoces tus propios procesos.
México sigue sin una ley federal de inteligencia artificial; en su lugar hay un mosaico de reglas sectoriales -COFEPRIS en salud, CNBV en finanzas, IFT en telecomunicaciones-. Para una empresa como SAP, que vende soluciones de IA a clientes de todos esos sectores a la vez, ¿ese mosaico regulatorio es más un riesgo de cumplimiento o una oportunidad de diferenciarse frente a competidores menos preparados?
Déjame empezar con una precisión, porque ilustra el punto mejor que cualquier argumento: el IFT ya no existe. Se extinguió en octubre de 2025 y sus funciones fueron asumidas por la Comisión Reguladora de Telecomunicaciones, órgano desconcentrado de la Agencia de Transformación Digital y Telecomunicaciones. Es decir, el mosaico no solo está fragmentado: se mueve mientras lo estás mapeando. Esa es la verdadera dificultad, más que la fragmentación en sí.
¿Riesgo u oportunidad? Yo diría que es las dos cosas, pero el orden importa. Primero es un reto de cumplimiento y de gestión de riesgos; después puede convertirse en una oportunidad de diferenciación.
Para las empresas que desarrollan o implementan tecnología, esto significa que necesitamos capacidad para monitorear los cambios y traducirlos rápidamente a nuestros procesos y soluciones.
Pero yo evitaría construir un programa de cumplimiento diferente para cada sector. Eso no escala. Lo que funciona mejor es construir un marco común de gobernanza -inventario de casos de uso, clasificación de riesgos, supervisión humana, trazabilidad, protección de datos y gestión de terceros- y después incorporar los requisitos específicos de cada industria.
En SAP, este enfoque forma parte de nuestro modelo de Responsible AI. Nuestra política global establece principios comunes para el desarrollo, implementación, venta y uso de sistemas de IA, y contempla procesos de evaluación de impacto y gobernanza para los casos de uso.
Ahí sí veo una oportunidad: las empresas que construyen confianza y gobernanza desde el diseño están mejor preparadas para adoptar IA de manera responsable y escalarla. La regulación puede cambiar; una buena capacidad de gobernanza permanece.
Usted participó el año pasado en el panel “Gobernanza Global y Riesgos Regulatorios” del Foro Gerencias Legales México 2025. Con todo lo ocurrido desde entonces -la nueva ley de datos, la desaparición del INAI, el vacío de regulación de IA-, ¿qué de lo que dijo hace un año ya no sostendría igual hoy?
Dos cosas han cambiado mi perspectiva.
La primera tiene que ver con la transición institucional en materia de protección de datos. Hace un año veía el cambio principalmente como una transición institucional: cambia la autoridad, pero la necesidad de proteger los datos permanece. Hoy diría que es más complejo.
Una autoridad no aporta únicamente facultades de supervisión. También genera con el tiempo criterios, experiencia, precedentes y una interpretación práctica de la regulación. Cuando existe una transición institucional, ese conocimiento tiene que reconstruirse y eso naturalmente toma tiempo.
La segunda me cuesta más, porque la sostuve con bastante convicción y tiene que ver con mi percepción de los marcos internacionales. Hace un año veía a Europa como un punto de referencia particularmente estable. Hoy creo que la lección es que ningún marco regulatorio debería ser nuestro único ancla. La tecnología evoluciona, las prioridades económicas cambian y las regulaciones también evolucionan. Por eso, para una compañía global, es más sostenible construir capacidades propias: identificar los casos de uso, evaluar riesgos, proteger los datos, mantener supervisión humana y documentar las decisiones.
En SAP tenemos precisamente ese enfoque. Nuestra política global de ética de IA se actualiza para reflejar la evolución tecnológica y regulatoria, y toma en consideración marcos internacionales como UNESCO, OECD, NIST, el EU AI Act e ISO/IEC 42001.
La lección que me llevo es sencilla: no hay que construir gobernanza para una ley; hay que construir capacidades que permitan responder responsablemente cuando las leyes cambien. No puedes anclar tu programa a una jurisdicción. Tienes que anclarlo a principios y a capacidades propias -inventario, clasificación de riesgo, supervisión humana, trazabilidad.
Hace un año usted predijo que la colaboración regulatoria transfronteriza entre reguladores sería una tendencia clave. Un año después, ¿ya vio algún ejemplo concreto de esa colaboración en la práctica, o sigue siendo más una expectativa que una realidad?
Vi ejemplos concretos, sí, pero no donde los esperaba.
Lo que sí ocurrió es convergencia normativa y coordinación declarativa. La Asamblea Global de Privacidad emitió a inicios de este año una declaración conjunta sobre privacidad e imágenes generadas con inteligencia artificial, con adhesión de decenas de autoridades, México incluido. La Red Iberoamericana de Protección de Datos ha empujado herramientas comunes para transferencias internacionales. Y en Europa el programa de trabajo del Comité Europeo de Protección de Datos para 2026-2027 contempla directrices conjuntas sobre la interacción entre el marco de IA y el régimen de datos. Eso no es poca cosa: es el andamiaje del que después salen los estándares.
Lo que no ocurrió, o al menos no todavía, es cooperación operativa: investigaciones coordinadas, intercambio real de expedientes, sanciones concertadas entre jurisdicciones sobre un mismo hecho. Ahí seguimos en la etapa del comunicado conjunto más que en la del caso conjunto.
Pero hay una tercera vía que sí funciona y que casi nadie llama cooperación regulatoria porque no es pública: la contractual. Hoy, el vehículo más eficaz de armonización de estándares en América Latina es un contrato con un cliente multinacional, con sus cláusulas, sus auditorías y sus requisitos de proveedor. El mercado va más rápido que los tratados.
Así que mi conclusión sería: la cooperación regulatoria está avanzando, pero la armonización de estándares también está siendo impulsada por el mercado. Y esa es precisamente la dirección que estamos viendo en SAP: construir estándares globales que puedan adaptarse a las exigencias locales. Nuestra política global de ética de IA, por ejemplo, establece principios comunes para el desarrollo, implementación, venta y uso de IA, y reconoce expresamente la necesidad de una gobernanza adaptativa y colaboración con múltiples actores.
Este año, el Foro Gerencias Legales México 2026 incluye un panel específico sobre “Gobernanza Global desde México: nuevos estándares de transparencia, fiscalidad y responsabilidad corporativa”. ¿Qué le va a decir a otros compliance officers de la región que todavía no hayan vivido en carne propia esta transición regulatoria mexicana?
Cuatro cosas, y las digo sin dramatismo, porque no es una advertencia apocalíptica sino un aprendizaje de campo.
- Primera: tu programa no puede depender de la existencia del regulador. Si tu marco de cumplimiento estaba diseñado alrededor de los criterios de una autoridad concreta, el día que esa autoridad desaparece te quedas sin brújula. El programa debe ser defendible frente a cualquier autoridad, incluida una que todavía no existe.
- Segunda: el riesgo vive en la transición, no en la norma nueva. Los peores incumplimientos que he visto no nacieron de una interpretación equivocada, sino de una pausa. “Esperemos el reglamento”, “esperemos a que nombren al titular”, “esperemos a ver cómo sanciona”. En cumplimiento, esperar no es una estrategia: es una decisión, y tiene consecuencias.
- Tercera: documenta el razonamiento, no solo el resultado. En un vacío normativo lo que te protege no es haber tenido razón -eso se sabrá después-, es poder demostrar que decidiste con método, con información y con criterio profesional. El expediente de la decisión vale tanto como la decisión.
- Cuarta: esto no es una anomalía mexicana. Es el nuevo normal regional. Varias jurisdicciones de América Latina están rediseñando sus arquitecturas institucionales al mismo tiempo que intentan regular inteligencia artificial. México simplemente llegó primero a esa combinación.
Y cierro con algo que repito hasta el cansancio: El compliance bien diseñado no frena la innovación; permite innovar con confianza y a escala. La ética no está peleada con el dinero. En un entorno de incertidumbre normativa, la organización que puede explicar sus decisiones es la que puede cerrar contratos, entrar a licitaciones y sostener una auditoría. Eso no es un costo. Es acceso a mercado.
La conversación con Christian Paredes traza un mismo patrón bajo distintos disfraces regulatorios: la ley de datos, la inteligencia artificial, las telecomunicaciones y los propios reguladores mexicanos cambiaron de forma simultánea durante el último año, y su lectura es que la certeza jurídica dejó de ser un punto de apoyo confiable para un programa de cumplimiento regional. De ahí que su tesis central -construir capacidades propias en lugar de anclarse a una ley o a una autoridad- atraviese cada respuesta, desde la gestión del ciclo de vida de los datos hasta la gobernanza de Joule.
Ese desplazamiento explica también por qué, para Paredes, la cooperación regulatoria transfronteriza avanza hoy más rápido por la vía contractual que por la institucional: mientras los reguladores coordinan comunicados conjuntos, son las cláusulas de un cliente multinacional las que terminan armonizando estándares en la región. El mensaje para otros compliance officers de América Latina que enfrentarán, tarde o temprano, su propia versión de la transición mexicana es documentar el razonamiento con el mismo rigor con que documentan el resultado: en un entorno regulatorio que se mueve mientras se mapea, ese expediente es lo único que permanece estable.
