RegTech para la gestión de ciberseguridad y del cumplimiento normativo

La gestión analógica de las obligaciones legales resulta insuficiente ante el volumen de disposiciones, plazos, autoridades competentes y estándares técnicos, por lo que se requieren herramientas capaces de ordenar, relacionar y actualizar la información regulatoria. 

La transformación digital de El Salvador avanza con rapidez, pero también plantea un nuevo reto para las empresas, las áreas de tecnología y las firmas legales: cumplir con un marco regulatorio cada vez más amplio, técnico y disperso. Esta complejidad impone una carga cognitiva y operativa significativa. La gestión analógica de las obligaciones legales resulta insuficiente ante el volumen de disposiciones, plazos, autoridades competentes y estándares técnicos, por lo que se requieren herramientas capaces de ordenar, relacionar y actualizar la información regulatoria.

El Departamento de Estudios Legales de FUSADES, bajo la iniciativa IA El Salvador, ha abordado este desafío al identificar cuarenta y cuatro normas vigentes y dos políticas públicas vinculadas al sector tecnológico (FUSADES, 2026, sección 4), sistematizándolas en un documento que funciona como una herramienta de navegación normativa, la cual permite comprender la problemática, reducir la incertidumbre y orientar la adopción de soluciones legales en el derecho de nuevas tecnologías. La investigación no se presenta como un PDF tradicional, sino que ha sido estructurado bajo una metodología específica que permite su aprovechamiento por cualquier sistema de IA accesible para todos (como ChatGPT, Gemini, Claude o Copilot). 

Su utilidad radica en convertir un ecosistema jurídico complejo en una base estructurada para la toma de decisiones, convirtiéndose en una solución tecnológica regulatoria o “RegTech” por medio de Gemini Notebook (antes NotebookLM) para optimizar la gestión del cumplimiento normativo, especialmente en un mercado nacional que aspira a consolidarse como “hub tecnológico” y que requiere estándares de seguridad comparables con jurisdicciones más avanzadas. El documento puede explorarse con el objetivo de reducir los riesgos legales y operativos, adoptando, por lo menos, los requerimientos mínimos de seguridad de la información que la legislación salvadoreña e instrumentos reglamentarios imponen (FUSADES, 2026, sección 6). 

Para ejemplificar todo lo anterior, a continuación, presenta un ejemplo de los resultados que pueden obtenerse con facilidad mediante el cuaderno de Gemini Notebook. Con un sencillo prompt, se puede obtener una primera mirada al ecosistema normativo: “Actúa como un consultor legal especializado en cumplimiento normativo en El Salvador. Tu objetivo es redactar un resumen ejecutivo e integrador sobre el marco regulatorio de seguridad de la información aplicable a las entidades corporativas y estatales. Basándote única y exclusivamente en la información provista en las fuentes de este cuaderno, redacta un texto de aproximadamente tres o cuatro párrafos que conecte las obligaciones de privacidad, ciberseguridad y prevención penal”. 

La respuesta generada fue revisada y adaptada a la extensión de este artículo. El resultado se presenta a continuación:

En protección de datos personales, la Ley para la Protección de Datos Personales (LPDP) dispone la asignación obligatoria de un delegado de protección de datos en las entidades que traten datos personales (art. 15 LPDP), así como la creación de procedimientos internos que garanticen el ejercicio de los derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación, denominados derechos ARCO-POL (arts. 24 a 31 LPDP). También, ante incidentes o brechas de seguridad en bases de datos, las entidades deben notificar el hecho a la Agencia de Ciberseguridad del Estado (ACE), a la Fiscalía General de la República (FGR) y a los titulares en un plazo máximo de setenta y dos horas; además, se exige elaborar y evaluar periódicamente planes de continuidad del negocio y protocolos de respuesta a incidentes (arts. 5 y 6 de las Políticas de Actuación y Manejo de Datos Personales).

En materia de ciberseguridad, la Ley de Ciberseguridad y Seguridad de la Información (LCSI) se aplica a la administración pública y a las entidades privadas que manejen recursos públicos u operen servicios en infraestructuras críticas (art. 2 LCSI). Para estos sujetos, exige la elaboración de planes de continuidad operacional, la realización de simulacros y la estructuración de mecanismos para gestionar incidentes tecnológicos. El ordenamiento también comprende la Ley de Fomento a la Inteligencia Artificial y Tecnologías, conforme con la cual las medidas de seguridad se aplican a sistemas de inteligencia artificial y a otras herramientas avanzadas.

Asimismo, la Ley Especial contra los Delitos Informáticos y Conexos (LECDIC) penaliza conductas como el acceso indebido a sistemas (art. 4 LECDIC), la estafa informática (art. 14 LECDIC) y la interrupción de servicios mediante programas informáticos como el “ransomware” (art. 8 LECDIC). El incumplimiento expone a las entidades a sanciones administrativas y responsabilidades penales por falta de supervisión.

El ejemplo muestra que la herramienta permite relacionar distintas normas (seis, en este caso) y advertir que la ciberseguridad comprende tanto las redes tradicionales como el procesamiento algorítmico. De este modo, facilita una lectura integrada del ecosistema regulatorio, en el cual la privacidad y la prevención inciden en las operaciones legales y tecnológicas de las entidades. La extensión y dispersión del ordenamiento jurídico salvadoreño respaldan, por tanto, la conveniencia de utilizar herramientas tecnológicas para gestionar el cumplimiento normativo.

En el desarrollo de la investigación de FUSADES, se aplicaron técnicas de optimización para motores generativos, conocidas como GEO, por sus siglas en inglés, Generative Engine Optimization. Esta metodología organiza el contenido legal mediante estructuras de datos estandarizadas que facilitan su procesamiento por grandes modelos de lenguaje y reducen las imprecisiones y las interpretaciones erróneas de los textos normativos (FUSADES, 2026, sección 1). La metodología se complementa con la publicación en formato HTML, procesada con el cuaderno interactivo disponible en NotebookLM, cuya interfaz de consulta permite utilizar el contenido sistematizado como una herramienta RegTech, de fácil acceso para cualquier persona.

La utilización de esta plataforma simplifica la elaboración de diagnósticos de cumplimiento y la actualización de matrices de riesgo corporativo. Los oficiales de cumplimiento, auditores y asesores legales pueden interactuar con el cuerpo normativo mediante consultas directas para analizar la relación entre las leyes de ciberseguridad, protección de datos y comercio electrónico; verificar plazos de cumplimiento obligatorio; sistematizar regímenes sancionatorios; e identificar las competencias de entidades reguladoras como la Agencia de Ciberseguridad del Estado, la Comisión Nacional de Activos Digitales y la Superintendencia del Sistema Financiero. Asimismo, la herramienta permite determinar la autoridad competente en cada sector y relacionar obligaciones transversales previstas en distintas normas (FUSADES, 2026, secciones 4 y 5).

En conclusión, hoy en día, la gestión manual de estas obligaciones resulta compleja debido a la cantidad de normas aplicables y a la diversidad de autoridades competentes. La investigación publicada por FUSADES IA El Salvador y el cuaderno interactivo desarrollado en NotebookLM, proporcionan instrumentos complementarios para el análisis del cumplimiento regulatorio corporativo. Se hace una atenta invitación para su utilización por profesionales del derecho, emprendimientos, empresas del sector tecnológico y firmas consultoras, en el examen del marco normativo nacional sobre nuevas tecnologías y la adecuación de sus políticas corporativas a las exigencias regulatorias vigentes.

Citas:

FUSADES IA El Salvador (2026). Derecho de nuevas tecnologías en El Salvador: una radiografía normativa. [Serie de investigación en HTML]. Departamento de Estudios Legales (DEL) de FUSADES. https://sites.google.com/view/derechonuevastecnologias-iasv/ 

FUSADES IA El Salvador. (2026). Derecho de nuevas tecnologías en El Salvador: una radiografía normativa [Cuaderno público de NotebookLM]. Departamento de Estudios Legales (DEL) de FUSADES. https://notebooklm.google.com/notebook/64d515d3-474d-4edd-9fe9-87952fb141d5