En mi entrega anterior advertí que las empresas están entrando en una etapa de fiscalización silenciosa, donde clientes, auditores y autoridades pueden exigirles demostrar cómo gobiernan la inteligencia artificial. Prometí dedicar esta entrega al marco legal salvadoreño y a las obligaciones concretas que las organizaciones deben responder. A continuación, presento el mapa normativo actual y su impacto directo en la toma de decisiones empresariales. 

1. El contexto: Liderazgo internacional y los tres planos normativos: Como proyecto de país, El Salvador ha vinculado el desarrollo nacional con la innovación tecnológica. Esta trayectoria inició con la Ley de Comercio Electrónico (2020), la Ley Bitcoin (2021), la Ley de Emisión de Activos Digitales y la Ley de Fomento a la Innovación y Manufactura de Tecnologías (2023) y se consolidó en noviembre de 2024 con la Ley de Ciberseguridad y la Ley para la Protección de Datos Personales. 

Esta evolución permitió al país conquistar el puntaje máximo en Iniciativa Legal en el Índice Latinoamericano de Inteligencia Artificial (ILIA) 2025. El hito se reconfirmó en junio de 2026 con el Informe Nacional UNESCO-ANIA y en julio de 2026 durante el Primer Diálogo Global de la ONU sobre Gobernanza de la IA en Ginebra, copresidido por El Salvador y Estonia. Este ecosistema se ordena en tres planos normativos: 

• Primer plano (La ley habilitante): La Ley de Fomento a Inteligencia Artificial y Tecnologías (Decreto Legislativo 234 de febrero de 2025) creó la Agencia Nacional de Inteligencia Artificial (ANIA) como autoridad rectora, fortalecida por el Decreto 363 como institución descentralizada con autonomía técnica, administrativa y patrimonial. 

• Segundo plano (Las disposiciones operativas): La Resolución ANIA 0001/2025 (vigente desde el 2 de septiembre de 2025) dicta las reglas del juego para desarrolladores y especialmente para operadores. 

• Tercer plano (Legislación confluente): La Ley para la Protección de Datos Personales (DL 144, vigente desde noviembre de 2024 y fiscalizada por la Agencia de Ciberseguridad del Estado) sanciona infracciones muy graves con hasta 40 salarios mínimos mensuales del sector comercio, sumándose a la Ley de Comercio Electrónico y regulaciones sectoriales. 

2. Del «¿usa IA?» al «¿cómo la gobierna?»: El concepto de Operador: Para la alta dirección, el cambio regulatorio más trascendental es la figura del operador: definido como la persona natural o jurídica que utiliza un sistema de IA bajo su autoridad para fines profesionales o corporativos. Una empresa no necesita programar algoritmos; basta con contratar la solución de un tercero para quedar sujeta a regulación. La unidad de análisis regulatoria no es la herramienta adquirida, sino el caso de uso. 

Cuando la IA actúa como factor controlante en una decisión consecuencial —aquella que afecta materialmente derechos, estatus jurídico o acceso a servicios esenciales—, el registro ante la ANIA es obligatorio. Los seis ámbitos de registro obligatorio son: Diagnóstico o tratamiento en salud, Evaluaciones de crédito, solvencia y seguros, Biometría en espacios de acceso público, Ejercicio de poderes públicos y acceso a beneficios estatales, Contratación, despido, promoción o compensación laboral sin supervisión humana significativa, Admisión, calificación o certificación académica y profesional. 

El artículo 29 concedió una ventana de transición de 12 meses para los sistemas que ya operaban antes de la norma; este plazo vence indefectiblemente el 2 de septiembre de 2026). Adicionalmente, el Artículo 24 establece el derecho a notificación: implica comunicar al usuario cuando una decisión automatizada afecte sus derechos o situación económica en áreas sensibles, informando el papel de la IA y ofreciendo un canal de impugnación. 

3. Lo que la autoridad preguntará y el peligro del Shadow AI: En una verificación documental, auditoría remota o visita in situ, las autoridades no preguntarán intenciones generales, sino evidencias de control. Entre las preguntas regulatorias previsibles destacan: ¿Qué sistemas de IA se utilizan en la empresa y quién autorizó formalmente cada uso? ¿Qué datos personales o confidenciales se están introduciendo en herramientas públicas de IA? ¿Cuáles sistemas participan en decisiones sobre contratación, créditos o clientes, y cómo opera la supervisión humana? ¿Cómo se gestionan los errores, sesgos e incidentes algorítmicos? 

El mayor riesgo inmediato para muchas organizaciones es el Shadow AI: que se refiere a aquellos colaboradores que emplean herramientas abiertas de IA e introducen datos de clientes, contratos, finanzas o expedientes laborales sin inventario, autorización ni garantías de privacidad. 

4. Matriz de riesgo y las evidencias indispensables para el Directorio: Aunque no contar con una «Política de IA» formal no es una infracción automática por sí sola, el no disponer de gobernanza documentada impide demostrar el cumplimiento de la ley. A nivel ejecutivo, el riesgo debe clasificarse según el caso de uso: 

Nivel de Riesgo	Caso de Uso Empresarial
Bajo – Medio	Uso de IA para redacción o productividad interna sin procesar datos sensibles
Medio – Alto	Ingreso de datos personales, financieros o información confidencial de clientes
Alto	Automatización en selección de personal, gestión laboral o decisiones de RRHH
Muy Alto	Scoring crediticio, evaluación de seguros, precios dinámicos o decisiones clínicas
Crítico	Operación de un sistema sujeto a registro obligatorio sin inscripción ni controles ante la ANIA

Para asegurar una posición sólida ante auditorías, la empresa debe estructurar-como mínimo- un expediente con evidencias fundamentales: 

1. Inventario actualizado de sistemas, herramientas de IA y casos de uso. 

2. Clasificación de riesgo e identificación de decisiones consecuenciales. 

3. Evaluaciones de impacto algorítmico y evidencia de supervisión humana. 

4. Protocolos de minimización de datos personales y respuesta a incidentes. 

5. Procedimiento de evaluación de proveedores e implementación del derecho a notificación e impugnación. 

Conclusión: De la adopción informal a la gobernanza demostrable: Contar con una normativa avanzada en la región es una ventaja real y una responsabilidad directa para el sector privado. La respuesta adecuada de la alta gerencia no es redactar un documento estático, sino desplegar un Programa Corporativo de Gobernanza de IA donde la política sea parte de un ciclo continuo de inventario, controles, evidencias, monitoreo y auditoría, como le hemos venido sosteniendo en nuestros artículos. Se trata de una nueva era, donde debe constar latrazabilidad, responsabilidad y evidencia de control en el uso de la AI.

Para evaluar la situación actual de su organización, he preparado una lista de verificación ejecutiva con los puntos mínimos de control regulatorio, que puede solicitar escribiendo a: mireya@vortexai-solutions.com

Dra. Mireya Rodríguez

Experta en gobernanza ética y transformación digital · CEO de VORTEX AI Solutions, S.A. de C.V.