IA y protección de datos en Panamá según la Ley 81 de 2019

Pedirle a ChatGPT que resuma un pacto social o a Copilot que ordene la planilla de la quincena parece un trámite más. Si lo que pegas trae el nombre, la cédula o el celular de alguien, ya estás tratando datos personales.

Aquí va qué norma rige hoy en Panamá cuando usas IA con datos de clientes o colaboradores, qué cambia según la cuenta y qué contar en tu política de privacidad. Lo general de la ley (derechos, plazos, multas) va en la guía completa de la norma.

Ley de inteligencia artificial en Panamá: lo aprobado y lo pendiente

A noviembre de 2026 hay dos piezas sobre IA; ninguna regula lo que pegas en un chat. La Estrategia Nacional de Inteligencia Artificial la aprobó el Consejo de Gabinete con la Resolución N° 75 de 11 de agosto de 2026. Es un plan de Gobierno.

En la Asamblea, el Proyecto de Ley 588, de gobernanza adaptativa de la IA, pasó tercer debate el 19 de agosto de 2026. El 28 de septiembre el presidente lo objetó en parte. Al 10 de noviembre de 2026, el seguimiento legislativo lo sigue marcando «Objetado por Ejecutivo»: no hay ley de IA sancionada.

Mientras no se sancione y se publique, no le daría peso en una regla interna. Desde el 29 de marzo de 2021 obliga la Ley 81, que alcanza a la IA sin nombrarla, y con ella se escribe una política de uso de IA en la empresa.

ChatGPT, Copilot, Gemini y Claude: qué pasa con tus chats

La misma herramienta viene con dos juegos de condiciones. Con la cuenta personal aceptas las del producto de consumo, y varias permiten usar tus chats para entrenar modelos. Con la de empresa, el proveedor suele comprometerse por contrato a no hacerlo.

Ante la Ley 81, el proveedor que trata los datos por cuenta tuya es custodio de la base de datos (artículo 4, numeral 5). Para distinguirlo, la guía de la ANTAI sobre transferencias pregunta si puede quedarse con los datos para sus propios intereses.

Un proveedor que entrena con tus chats se parece más a un destinatario que a un custodio. Por eso, a un equipo que atiende clientes no le aprobaría cuentas personales, por bueno que sea el plan pagado.

¿Es legal pegar datos personales en ChatGPT? Lo que dice la Ley 81

Ninguna norma panameña lo prohíbe con esas palabras. Pero la Ley 81 llama transferencia a comunicar datos a alguien distinto del titular, de cualquier forma, dentro o fuera del país (artículo 4, numeral 19). Un chat con el nombre de un cliente cabe ahí.

Para transferir, el artículo 25 pide el consentimiento previo, informado e inequívoco del titular, salvo excepciones de ley. El artículo 33 enumera trece condiciones de licitud y cierra con otra regla: quien manda los datos y quien los recibe responden por ella.

Antes de buscar qué excepción te cubre, me haría una pregunta previa: qué datos necesita la respuesta. Casi nunca son el nombre, la cédula o el celular; el repaso campo por campo lo tienes en la lista de lo que conviene borrar.

Transferencia internacional: servidores fuera de Panamá

Los grandes chats de IA procesan fuera de Panamá. Microsoft lo dice en la documentación de su Copilot para empresas: a los clientes de fuera de la Unión Europea se les pueden procesar las consultas en Estados Unidos, la Unión Europea u otras regiones.

El Decreto Ejecutivo 285 permite mandar datos a otro país con una de las diez condiciones de su artículo 51. Para una oficina que usa IA, las realistas son dos: garantías adecuadas que puedas probar, como cláusulas contractuales (artículo 53), o el consentimiento.

Antes de aprobar un plan de empresa, mi recomendación es pedir el anexo de protección de datos del proveedor y archivarlo con la ficha técnica. Lo que tú pactas con tus propios clientes sobre IA va en la cláusula del contrato de servicios.

Decisiones automatizadas con IA: hojas de vida, crédito y reclamos

Redactar un correo con IA no es dejarla decidir. La Ley 81, en su artículo 19, te protege de que una decisión con efectos jurídicos negativos salga sólo de un tratamiento automatizado que mida tu salud, tu rendimiento laboral, tu crédito o tu conducta.

Esa decisión sólo cabe con consentimiento, si es necesaria para un contrato o relación jurídica con la persona, o si una ley especial la autoriza. Y el Decreto 285 pide informar su existencia, con información significativa sobre la lógica aplicada y sus consecuencias (artículo 14).

El documento de orientación que la ANTAI preparó para las empresas pone el ejemplo de algoritmos que analizan el crédito o el perfil profesional. En RR. HH. pondría un límite: ninguna hoja de vida se descarta sin que una persona la abra. Más en IA para Recursos Humanos.

Evaluación de impacto: lo que la ANTAI puede pedirte

El artículo 41 del Decreto 285 parece escrito para esto: según el riesgo y la novedad de la tecnología usada, la ANTAI puede ordenar un informe de evaluación de impacto. Describe los datos, cómo se recogen y protegen, y cómo se mitigan los riesgos.

En lo técnico, la ANTAI se apoya en la Autoridad Nacional para la Innovación Gubernamental (AIG), según el artículo 7 de la Ley 81 y el 58 del decreto. El artículo 8 del decreto invita a hacer estas evaluaciones por cuenta propia.

No esperaría a que la pidan: un informe de una página por herramienta sirve también ante un cliente. Las técnicas para reducir datos están en anonimización de datos personales.

Política de privacidad y uso de IA: qué informar a tus clientes

Al recoger los datos, el artículo 14 del Decreto 285 enumera lo que debes informar al titular. Tres puntos cambian el día que un proveedor de IA recibe datos de clientes: los destinatarios, la intención de transferir a un tercer país y las decisiones automatizadas.

El artículo 16 permite hacerlo por capas: arriba, quién eres, para qué usas los datos y cómo ejercer los derechos; el resto, a un clic. Con nombrar a los proveedores por categoría me quedo tranquilo; la lista concreta, tenla a mano para el cliente que la pida.

Los cuestionarios de bancos y aseguradoras preguntan lo mismo con otras palabras. Si tu empresa tiene póliza, revisa también si el seguro de ciberseguridad cubre una fuga por IA.

Tres caminos para los datos de clientes y el que prefiero

Hay tres formas de usar estos chats sin que los datos de tus clientes viajen de más. Mi veredicto es combinar dos: una cuenta de empresa sin datos tapados igual manda la cédula fuera del país, y tapar sin ella deja fuera las demás condiciones.

Piensa en una corredora de seguros: para explicar si la póliza de hogar cubre el agua que se cuela desde el apartamento de arriba, la IA no necesita el nombre del asegurado, su dirección ni su celular.

Para ese tercer camino está Nonimo: con el texto seleccionado y una tecla, los datos del cliente (nombre, cédula, correo) entran al chat convertidos en etiquetas y recuperan su valor cuando copias lo que respondió. Esa sustitución la hace la app en tu equipo; nosotros no recibimos el texto.

Para un contrato en PDF o un borrador de Word están las herramientas web: el archivo se procesa en nuestro servidor y vuelve sin nombres, cédula, RUC ni correos a la vista.

Es una guía para ordenar el uso de la IA en tu oficina; con datos de salud o de menores de por medio, que lo mire un abogado.

Fuentes

• Ley 81 de 26 de marzo de 2019, sobre protección de datos personales (copia LegisPan en la Superintendencia de Bancos). Arts. 2, 4, 5, 7, 13, 19, 25, 31 y 33: transferencia, decisiones automatizadas y apoyo de la AIG.
• Decreto Ejecutivo 285 de 28 de mayo de 2021, Gaceta Oficial 29296-A. Arts. 4, 8, 14, 16, 41, 51 a 53 y 58: información al titular, evaluación de impacto y transferencias a otro país.
• Gaceta Oficial 30592-A, de 18 de agosto de 2026. Resolución de Gabinete N° 75, que aprueba la Estrategia Nacional de Inteligencia Artificial.
• Asamblea Nacional, «Reglas de gobernanza en aplicación de la IA» (19 de agosto de 2026). Tercer debate del Proyecto de Ley 588.
• Asamblea Nacional, seguimiento legislativo. Proyecto 588, presentado el 26 de marzo de 2026: «Objetado por Ejecutivo» al 10 de noviembre.
• Panamá América, «Presidente Mulino objeta ocho proyectos de ley en solo dos días» (4 de octubre de 2026). Objeción parcial del Proyecto de Ley 588 el 28 de septiembre.
• ANTAI, «Protegiendo los datos personales», guía para el sector privado. Custodios de sistemas de IA y algoritmos que analizan crédito o perfil profesional.
• ANTAI, guía práctica sobre transferencias de datos personales a terceros (agosto de 2023). Cómo distinguir custodio y destinatario; transferencias a otro país.
• OpenAI, cómo se usan tus datos para mejorar los modelos. Planes individuales, chats temporales y planes de empresa.
• Microsoft, datos, privacidad y seguridad de Copilot para empresas. Sin entrenamiento de modelos base; consultas procesadas en EE. UU., la UE u otras regiones.
• Microsoft, preguntas frecuentes de privacidad de Copilot para personas. Entrenamiento y conservación por 18 meses en la app anterior; app nueva desde el 18 de agosto de 2026.
• Google, centro de privacidad de las Apps de Gemini. Revisores humanos, tres años y 72 horas.
• Google, privacidad de la IA generativa en Google Workspace. Sin entrenamiento fuera de tu dominio ni revisión humana.
• Anthropic, cambios en las condiciones de consumo. Elección de entrenamiento y conservación de cinco años en Free, Pro y Max.

Consultado el 10 de noviembre de 2026.