LOPDP en Ecuador: qué implica para empresas que usan IA y chatbots

Resumen de la LOPDP para equipos de negocio y tecnología

• Principios: licitud, finalidad, minimización, proporcionalidad, transparencia, seguridad y responsabilidad proactiva, entre otros.
• Bases de legitimación: consentimiento y otras bases previstas en la ley.
• Derechos del titular: acceso, rectificación, eliminación, oposición, portabilidad y a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, con las condiciones de la ley.
• Obligaciones del responsable: medidas de seguridad, protección desde el diseño y por defecto, evaluación de impacto en ciertos casos, notificación de vulneraciones y delegado de protección de datos en los supuestos del reglamento.
• Transferencias internacionales: sujetas a reglas específicas (la SPDP emitió normativa sobre esto en 2025).
• Régimen sancionador: multas calculadas sobre el volumen de negocio para entidades privadas, según la metodología de la SPDP.

Si quieres implementarlo con IA, mira cómo trabajamos con empresas en Ecuador y nuestro desarrollo de software a medida.

Qué ha emitido la SPDP (2025–2026)

Entre las resoluciones publicadas por la SPDP en 2025 están:

• Guía de gestión de riesgos y evaluación de impacto del tratamiento de datos personales.
• Reglamento que obliga a incorporar cláusulas de protección de datos en contratos celebrados en Ecuador.
• Reglamento del delegado de protección de datos personales.
• Reglamento de seudonimización, anonimización, bloqueo y eliminación de datos.
• Normativa sobre transferencias nacionales e internacionales.
• Metodología de cálculo de multas para infracciones leves y graves (Res. SPDP-SPD-2025-0022-R).

En enero de 2026 la SPDP informó una sanción a LIGAPRO por no implementar protección de datos desde el diseño y por defecto en una aplicación. Es una señal clara para quien construye software y agentes.

Dónde se cruzan la LOPDP y la IA

• Chatbots y agentes de WhatsApp: recolectan datos en conversación; deben informar y pedir solo lo necesario.
• Decisiones automatizadas: scoring, filtros de candidatos o aprobaciones requieren cuidado con el derecho a no ser objeto de decisiones únicamente automatizadas.
• Modelos en la nube fuera de Ecuador: implican transferencia internacional de datos.
• Proveedores: los contratos deben incluir cláusulas de protección de datos.
• Entrenamiento con datos de clientes: requiere base legal y, preferentemente, anonimización.

Checklist LOPDP para proyectos de IA

1. Inventario de datos personales por caso de uso.
2. Base de legitimación definida y aviso de privacidad claro.
3. Minimización: el agente ve solo lo necesario.
4. Evaluación de riesgos e impacto cuando corresponda (guía SPDP).
5. Cláusulas de protección de datos con cada proveedor de IA y nube.
6. Revisión de transferencias internacionales.
7. Supervisión humana en decisiones que afectan a personas.
8. Registro de acciones, seguridad y plan ante vulneraciones.
9. Canal para atender derechos de los titulares.
10. Coordinación con el delegado de protección de datos, si aplica.

Escenario de ejemplo: agente de cobranza en Guayaquil

Escenario ilustrativo, no corresponde a un cliente real.

Una empresa quiere un agente que recuerde pagos por WhatsApp. El diseño conforme a la LOPDP envía mensajes solo a clientes con relación contractual y aviso informado, no revela montos a terceros si el número cambió de dueño (verifica identidad antes), registra cada envío y ofrece un canal para oponerse a mensajes no esenciales.

Fuentes

• LOPDP
• Reglamento General a la LOPDP (DE 904, 2023)
• SPDP, resoluciones
• SPDP, Res. SPDP-SPD-2025-0022-R (cálculo de multas).
• SPDP, prensa (20-01-2026, sanción a LIGAPRO)