Inteligencia artificial y protección de datos en Uruguay

Un estudio jurídico que le pide a ChatGPT que resuma un expediente. Una contadora que pega un recibo de sueldo en Copilot para que le explique un descuento del BPS. Un corredor de seguros que le pide a Gemini un correo para un asegurado molesto. Pasa todos los días en oficinas de Montevideo, Salto o Maldonado, y casi nunca alguien se pregunta qué dice la ley.

La respuesta corta es que en Uruguay no hay una ley de inteligencia artificial que reemplace a la de datos personales. Hay un marco de promoción de la IA, la Ley 20.212 con su Decreto 276/025, y hay una ley que de verdad se aplica cuando pegás en un chat el nombre, el correo o el celular de un cliente: la Ley 18.331, con sus decretos.

Esta guía explica qué dice cada una, qué conviene revisar del proveedor de IA, qué informar en tu política de privacidad y cómo usar estas herramientas sin que los datos de tus clientes salgan de la oficina.

¿Hay una ley de inteligencia artificial en Uruguay?

No hay una ley general de IA con obligaciones para las empresas que la usan, como las que existen en otros lugares. Lo que hay es un mandato y una estrategia.

El artículo 74 de la Ley 20.212, la Rendición de Cuentas del ejercicio 2022, promulgada en noviembre de 2023, atribuye a AGESIC el cometido de diseñar y desarrollar una estrategia nacional de datos e inteligencia artificial, basada en estándares internacionales, para los ámbitos público y privado. Tres frases de ese artículo importan acá:

• En todo lo que respecta al tratamiento de datos personales, será preceptiva la actuación conjunta con la URCDP.
• La estrategia se funda en principios de equidad, no discriminación, responsabilidad, rendición de cuentas, transparencia, auditoría e innovación segura, y los principios de la Ley 18.331 forman parte de ella.
• AGESIC hace recomendaciones a entidades públicas y privadas para desarrollar e implementar sistemas de IA, sin perjuicio de las competencias propias de la URCDP.

El mismo artículo fijó un plazo de ciento ochenta días para presentar al Poder Legislativo un informe con recomendaciones para una regulación legal de la IA. Es decir, la ley previó que la regulación específica, si llega, vendrá después. Mientras tanto, lo que se aplica a los datos que pegás en un chat es la Ley 18.331.

Ley 20.212 y el Decreto 276/025: lo esencial

El artículo 75 de la Ley 20.212 encarga a AGESIC proponer medidas en favor de la innovación y, en especial, promover entornos controlados de prueba: espacios donde probar proyectos tecnológicos innovadores con entidades interesadas. Para ejecutarlos hace falta el informe favorable de un comité técnico con AGESIC y la URCDP, y los proyectos tienen que presentar, entre otras cosas, la evaluación de impacto en la protección de datos personales.

El Decreto 276/025, promulgado el 2 de diciembre de 2025, reglamenta esos dos artículos. Para una empresa interesan cuatro puntos:

Una definición de IA. El artículo 2 define el sistema de inteligencia artificial como un sistema basado en máquinas que, con objetivos explícitos o implícitos, infiere a partir de la entrada que recibe salidas como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales. ChatGPT, Claude, Copilot y Gemini encajan sin discusión.

Un comité técnico. El artículo 3 crea el Comité Técnico de Evaluación de Entornos Controlados, con representantes de AGESIC, que lo preside, de la URCDP, del Ministerio de Industria, Energía y Minería y de la Agencia Nacional de Investigación e Innovación.

Entornos con plazo y requisitos. Un entorno controlado no puede durar más de dos años (artículo 7), y quien quiera participar presenta el plazo del proyecto, a quiénes alcanza, la evaluación de impacto del Decreto 64/020 cuando corresponda, y los posibles perjuicios con sus garantías (artículo 12). Las excepciones no pueden vulnerar la ley ni la Constitución (artículo 9).

Espacios de datos. Para crear espacios de datos que usen información personal se requiere la opinión favorable de la URCDP (artículo 14).

Nada de esto obliga a una oficina que usa ChatGPT para redactar cartas. Es un marco para proyectos de innovación. Lo que sí deja claro es que, en Uruguay, la IA y la protección de datos van juntas y que la URCDP está en la mesa.

Inteligencia artificial y protección de datos personales: la ley que ya se aplica

La Ley 18.331 no nombra la IA, pero se aplica de punta a punta. Pegar en un chat el expediente de un cliente es un tratamiento de datos (artículo 4, literal M) y una comunicación de datos, porque revela esos datos a una persona distinta del titular (literal B). Y cada principio tiene algo que decir:

• Veracidad (artículo 7): los datos tienen que ser no excesivos para la finalidad. Para pedir un resumen, la IA no necesita el nombre ni el celular.
• Finalidad (artículo 8): el cliente te dio sus datos para que lo atiendas, no para que viajen a un servicio de IA.
• Seguridad (artículo 10): hay que evitar la consulta o el tratamiento no autorizado, y detectar desviaciones de información, intencionales o no. Un trabajador que pega una planilla en un chat es justo esa desviación.
• Reserva (artículo 11): quien obtiene datos de una base los usa en forma reservada y no los difunde a terceros, con secreto profesional para el personal.
• Responsabilidad proactiva (artículo 12): hay que adoptar medidas, como privacidad desde el diseño y por defecto, y poder demostrarlas.

El resumen general de la ley está en Ley 18.331 de protección de datos personales.

¿Es ilegal poner datos personales en ChatGPT?

No hay una norma uruguaya que diga «prohibido pegar datos en ChatGPT». Pero hay varias que hacen difícil justificarlo cuando los datos no hacían falta.

La comunicación de datos necesita, como regla, el consentimiento previo del titular, informándole la finalidad y quién los recibe (artículo 17). Hay excepciones, por ejemplo cuando la comunicación entra en los supuestos del artículo 9, como una relación contractual que la necesite. Pero es difícil sostener que para atender a un cliente fuera necesario mandar su nombre y su correo a un chat.

Además, quien recibe los datos queda sujeto a las mismas obligaciones que el que los manda, y el que los mandó responde solidaria y conjuntamente por su cumplimiento ante la URCDP y ante el titular (artículo 17). No es un detalle: si el proveedor hace algo indebido con esos datos, la empresa que los pegó no queda afuera.

La salida práctica no es dejar de usar la IA, sino no mandarle lo que no necesita. Una consulta casi siempre funciona igual con el caso contado y los datos cambiados por etiquetas. Qué conviene dejar afuera, uno por uno, lo contamos en qué datos no compartir con ChatGPT.

El proveedor de IA: ¿encargado o destinatario?

La respuesta cambia las obligaciones y depende del plan y del contrato.

Si contratás un servicio de IA para tu empresa, con condiciones que dicen que el proveedor trata los datos por tu cuenta y no para sus propios fines, el proveedor funciona como encargado del tratamiento (artículo 4, literal H). En ese caso, el Decreto 414/009 dice que su acceso no es una comunicación de datos, siempre que sea necesario para prestar el servicio (artículo 14). Y la ley le pone límites (artículo 30): no puede usar los datos para un fin distinto del contrato ni cederlos, y al terminar los destruye.

Si en cambio un trabajador usa una cuenta personal, con condiciones que aceptó él y que pueden permitir usar las conversaciones para entrenar modelos, el proveedor se parece más a un destinatario que recibe una comunicación de datos (literal F). Ahí entra de lleno el artículo 17.

Por eso la primera pregunta a cualquier herramienta de IA es: ¿qué contrato tengo con ella, con qué cuenta se usa y qué dice sobre los datos que recibe? Las respuestas para cada herramienta están en las guías sobre lo que hace Claude con tus datos, Copilot y Gemini.

Transferencias internacionales: el servidor está fuera del Uruguay

Casi todos los servicios de IA procesan los datos en servidores fuera del país. Para la Ley 18.331 eso es una transferencia internacional, y el artículo 23 la prohíbe hacia países u organismos que no tengan un nivel de protección adecuado según los estándares del derecho internacional o regional.

La transferencia es posible, entre otros casos, cuando el titular dio su consentimiento inequívoco, cuando es necesaria para ejecutar un contrato con él, o cuando la URCDP la autoriza porque el responsable ofrece garantías suficientes, que pueden derivarse de cláusulas contractuales apropiadas. El Decreto 414/009 regula esa solicitud (artículos 34 y 35) y la URCDP la tiene entre sus trámites en línea.

En la práctica, para una pyme esto se traduce en dos tareas. Saber a qué país van los datos de cada servicio que usás. Y, si van a un destino sin nivel adecuado, apoyarte en una de las bases del artículo 23. La más sencilla de todas es no transferir datos personales: si lo que llega al chat ya no identifica a nadie, el problema se achica mucho.

La ley también mira al proveedor extranjero

La Ley 19.670 (artículo 37) y el Decreto 64/020 (artículo 1) hacen que la Ley 18.331 alcance a responsables y encargados que no están en Uruguay cuando ofrecen bienes o servicios dirigidos a habitantes de la República o analizan su comportamiento, incluida la elaboración de perfiles. El decreto da pistas para saber si la oferta está dirigida a Uruguay: el idioma, la referencia al pago en moneda nacional o servicios conexos en el país.

Y el artículo 2 del decreto agrega que esos responsables y encargados del exterior tienen que cumplir la ley, inscribir sus bases y dar su información de contacto ante la URCDP. La Unidad publica incluso una guía para el cumplimiento de obligaciones por entidades extranjeras. Para tu empresa, eso es un argumento más al revisar un proveedor: la ley uruguaya no se queda en la frontera.

Decisiones automatizadas: seleccionar postulantes, evaluar clientes

El uso de la IA que más cuidado pide no es el de redactar un correo, sino el de decidir sobre personas.

El artículo 16 de la Ley 18.331 da a toda persona el derecho a no verse sometida a una decisión con efectos jurídicos que la afecte de manera significativa, basada en un tratamiento automatizado destinado a evaluar aspectos de su personalidad, como su rendimiento laboral, crédito, fiabilidad o conducta. El afectado puede impugnar esa decisión y pedir información sobre los criterios de valoración y el programa usado.

Otras tres normas completan el cuadro:

• El artículo 13, literal G, con la redacción de la Ley 20.075, exige informar al titular, en los tratamientos automatizados del artículo 16, los criterios de valoración, los procesos aplicados y la solución tecnológica o el programa usado.
• El artículo 34, literal I, agregado por la misma ley, faculta a la URCDP a fijar criterios y procedimientos para esos tratamientos.
• El Decreto 64/020 (artículo 6, literal c) exige una evaluación de impacto previa cuando el tratamiento implica evaluar aspectos personales para crear o usar perfiles, en particular sobre rendimiento en el trabajo, situación económica, salud, fiabilidad o solvencia.

Si usás IA para ordenar currículums o para puntuar clientes, la regla práctica es que la decisión final la tome una persona que pueda explicarla, y que lo puedas mostrar. Lo vemos aplicado a personal en IA para recursos humanos.

Responsabilidad proactiva con IA

El artículo 12 de la Ley 18.331, con la redacción de la Ley 19.670, y el Decreto 64/020 piden que la empresa pueda demostrar que trata bien los datos. Aplicado a la IA, eso significa cuatro cosas:

1. Documentar qué herramientas se usan, para qué y con qué datos (Decreto 64/020, artículo 5).
2. Privacidad desde el diseño: elegir procesos que usen la menor cantidad de datos posible; el decreto nombra la seudonimización y la minimización entre las medidas (artículo 8).
3. Privacidad por defecto: que por defecto sólo se traten los datos necesarios para cada fin, incluida su comunicación (artículo 9).
4. Evaluación de impacto cuando el uso de IA cae en alguno de los supuestos del artículo 6: datos sensibles como negocio principal, perfiles, menores, grandes volúmenes o transferencias a países sin nivel adecuado.

Una política escrita de uso de IA es la forma más directa de cumplir el primer punto. Tenés un modelo en política de uso de IA en empresas.

La URCDP y la IA

La URCDP es la autoridad a la que se reclama cuando el problema son datos personales, con o sin IA de por medio. Tiene potestades de fiscalización amplias: puede exigir la exhibición de documentos y archivos, inspeccionar y requerir información a terceros (artículo 34), y sancionar con observación, apercibimiento, multa de hasta 500.000 unidades indexadas, suspensión o clausura de la base (artículo 35).

Con la Ley 20.212 la Unidad gana además un lugar fijo en la política de IA: la actuación conjunta con AGESIC es preceptiva en todo lo que refiere a datos personales, integra el comité técnico de entornos controlados, y su opinión favorable es requisito para los espacios de datos con información personal.

Qué poner en tu política de privacidad si usás IA

Si los datos personales de tus clientes llegan a un proveedor de IA, el artículo 13 de la Ley 18.331 pide informarlo. Lo mínimo:

• Para qué se usan los datos y quiénes pueden ser sus destinatarios o clase de destinatarios (literal A): por ejemplo, «proveedores de servicios de inteligencia artificial que trabajan por nuestra cuenta».
• Si hay transferencias internacionales (literal F) y en qué se apoyan.
• Si hay decisiones automatizadas del artículo 16, los criterios, los procesos y el programa usado (literal G).
• Cómo ejercer los derechos de acceso, rectificación y supresión (literal E).

Si los datos se tapan antes de llegar a la IA, a la herramienta no le llegan los nombres ni los datos de contacto de tus clientes. Es una diferencia que vale la pena tener en cuenta al redactar la política, con tu asesor.

Cinco preguntas antes de aprobar una herramienta de IA

Antes de que una herramienta entre a la oficina, conviene contestar por escrito estas cinco preguntas. Las respuestas son la base de la documentación que pide el Decreto 64/020 y de lo que vas a poner en tu política de privacidad.

1. ¿Con qué cuenta se usa? Personal o de empresa, y qué plan. Las condiciones sobre los datos cambian mucho entre uno y otro.
2. ¿El proveedor usa lo que escribimos para sus propios fines? Por ejemplo, para entrenar sus modelos. Si la respuesta es sí, lo que hay se parece más a una comunicación de datos que a un encargo.
3. ¿Dónde se procesan los datos? Si es fuera del Uruguay, en qué se apoya la transferencia según el artículo 23.
4. ¿Cuánto tiempo se guardan las conversaciones y quién las ve? Incluido el administrador de la cuenta de la empresa.
5. ¿Qué datos personales le van a llegar de verdad? Si la respuesta es «ninguno, porque se tapan antes», las otras cuatro pierden buena parte de su peso.

Qué contestar si un cliente pregunta si usás IA

Cada vez más clientes, sobre todo empresas, mandan cuestionarios de seguridad que preguntan por la IA. La respuesta que mejor funciona es la que podés mostrar:

• Qué herramientas usa el equipo, con cuenta de la empresa.
• Qué datos no se pegan nunca, por escrito.
• Cómo se tapan los datos antes de pegar.
• Quién revisa lo que escribe la IA antes de que salga.
• Qué pasa si algo sale mal: a quién se avisa y en qué plazo, con las 72 horas del Decreto 64/020 presentes.

Si alguna respuesta todavía es «no», decilo y poné la fecha en que va a estar resuelta. Un «sí» que no podés mostrar es peor que un «todavía no».

Un ejemplo: el correo de la corredora

Una corredora de seguros recibe una consulta y quiere que la IA la ayude a contestar. Esto es lo que pegaría tal cual:

Cliente: Martina Acosta Rivero
Dirección: Calle Inexistente 0, Montevideo
Correo: cliente@example.com
Celular: +598 99 000 000
Quiere asegurar el apartamento y pregunta si la póliza cubre la rotura del calefón.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Cliente: [PERSONA_1]
Dirección: [DIRECCION_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Quiere asegurar el apartamento y pregunta si la póliza cubre la rotura del calefón.

Para explicar qué suele cubrir una póliza de hogar ante la rotura de un calefón, la IA no necesita saber quién es la clienta, dónde vive ni cómo contactarla. Con la respuesta copiada, los datos vuelven a su lugar en la pantalla de la corredora, y lo que salió de la oficina fue la pregunta, no la persona. Es lo que la ley pide cuando exige datos no excesivos y privacidad por defecto. Lo vemos para el oficio en corredores de seguros.

Cómo usar IA con datos de clientes sin que salgan de tu computadora

Hay tres caminos, y se pueden combinar:

Escribir el caso sin datos. Contar la situación con «el cliente», «la empresa», «el inmueble». Funciona, pero depende de la memoria de cada persona y se vuelve lento con veinte correos al día.

Usar una cuenta de empresa con buenas condiciones. Reduce el riesgo de que el proveedor use los datos para sus propios fines, pero los datos igual viajan y se transfieren al exterior.

Tapar los datos antes de pegar. Para eso hicimos Nonimo, una app para Windows y Mac. Seleccionás el texto, presionás una tecla, y los nombres, correos, celulares y teléfonos con el +598, direcciones, el pasaporte y el número de historia clínica pasan a ser etiquetas como [PERSONA_1]. Pegás en ChatGPT, Claude, Copilot o Gemini. Cuando copiás la respuesta y presionás la misma tecla, los datos vuelven a su lugar. Tu texto se tapa en tu computadora; a Nonimo no le llega.

Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Para archivos, las herramientas web tapan los datos de un PDF, un Word, un Excel, un PowerPoint o un CSV.

IA y protección de datos según tu actividad

• Estudios jurídicos. Expedientes, escritos y correos con datos de las partes, más el secreto profesional. Lo vemos en estudios jurídicos.
• Estudios contables. Recibos de sueldo, planillas del BPS, declaraciones ante la DGI y estados de cuenta.
• Salud. La historia clínica es dato sensible y reservada por la Ley 18.335; cualquier uso de IA con ella pide el máximo cuidado.
• Inmobiliarias. Contratos de alquiler, garantías y datos de inquilinos que circulan entre varias partes.

Fuentes

Consultadas el 24 de octubre de 2026 en IMPO y gub.uy.

• Ley 18.331, de Protección de Datos Personales, Documento Actualizado. Texto en IMPO. Artículos 4, 7, 8, 10 a 13, 16, 17, 23, 30, 34 y 35.
• Ley 20.212, artículos 74 y 75. Artículo 74 y artículo 75 en IMPO.
• Decreto 276/025, reglamento de los artículos 74 y 75 de la Ley 20.212. Texto en IMPO. Artículos 1 a 3, 7, 9, 12 y 14.
• Decreto 414/009. Texto en IMPO. Artículos 14, 34 y 35.
• Decreto 64/020. Texto en IMPO. Artículos 1, 2, 5, 6, 8 y 9.
• Ley 19.670, artículo 37. Texto en IMPO.
• Unidad Reguladora y de Control de Datos Personales: trámites y publicaciones.

Esta guía resume la normativa y no reemplaza la asesoría de un abogado.