Regulación de la inteligencia artificial en Ecuador

Qué rige hoy, qué está firmado y todavía no rige, y qué se discute en la Asamblea Nacional. Página viva, revisada contra fuentes oficiales.

Por Oscar Obando Chaves · Senior AI Counsel · CAIO · Última revisión: 17 de septiembre de 2026 · Parte del capítulo de Ecuador de The Legal 500

Respuesta corta

Esta página describe el estado de las normas. No reemplaza el análisis de un caso concreto.

Estado de cada norma al 17 de septiembre de 2026

Qué rige hoy

La protección de datos personales hace de regulador de la IA

La base está en la Ley Orgánica de Protección de Datos Personales (LOPDP). Su artículo 20 da a toda persona el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas que produzca efectos jurídicos o afecte sus derechos fundamentales. También le da derecho a pedir una explicación motivada, conocer los datos y los criterios de valoración del programa, presentar observaciones e impugnar la decisión. La fórmula "única o parcialmente" es más amplia que la del artículo 22 del Reglamento General de Protección de Datos europeo, que se limita a las decisiones basadas únicamente en el tratamiento automatizado.

La Norma General de IA de la Superintendencia (Resolución SPDP-SPD-2026-0009-R) convierte esos principios en obligaciones para quien usa IA con datos personales:

• informar al titular, de forma clara, que el tratamiento se hace con sistemas de IA y con qué fines (art. 5.1);
• hacer la gestión de riesgos y la evaluación de impacto antes de desarrollar el sistema (arts. 5.2 y 6);
• anotar en el registro de actividades de tratamiento los tratamientos con IA y las decisiones automatizadas que produzcan efectos jurídicos o afecten los derechos y libertades de los titulares (arts. 5.4 y 7.1);
• auditar el sistema en proporción a su nivel de riesgo (arts. 5.5 y 7.3).

La Superintendencia puede auditar los sistemas de IA e imponer medidas correctivas y cautelares cuando no se garanticen los principios, derechos y obligaciones de la LOPDP (art. 10). La norma distingue cuatro roles (desarrollador, desplegador, distribuidor e implementador), pero no define qué es un sistema de IA, y tampoco trae categorías legales de riesgo ni una lista de prácticas prohibidas como las del Reglamento europeo de IA.

Las multas son las de la LOPDP. Para entidades privadas y empresas públicas, las infracciones leves se sancionan con entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior, y las graves con entre el 0,7 % y el 1 %. La Superintendencia ha publicado cuatro sanciones, dictadas entre el 28 de noviembre y el 31 de diciembre de 2025, por USD 744.499,65 en total: dos contra la Liga Profesional de Fútbol del Ecuador por su aplicación FAN ID, que usaba reconocimiento facial para el control de acceso a los estadios, y dos contra la Federación Ecuatoriana de Fútbol por su aplicación FAN FEF, de venta de entradas y membresías, que según la propia Superintendencia trataba datos personales de carácter general. Ninguna se basó en la norma de IA.

Dos piezas más completan el cuadro. La Guía de Gestión de Riesgos y Evaluación de Impacto, segunda versión (Resolución SPDP-SPD-2026-0012-R), tiene un capítulo I de cumplimiento obligatorio y un capítulo II referencial, que orienta, entre otras cosas, a considerar grupos vulnerables por edad, género, nivel educativo, nivel socioeconómico, discapacidad y etnia. Y el Reglamento del Delegado de Protección de Datos Personales (Resolución SPDP-SPD-2025-0028-R, art. 10.13) obliga a designar delegado a las personas jurídicas privadas que se dediquen de forma habitual a servicios de tecnologías de la información, incluidas las de desarrollo, implementación o despliegue de inteligencia artificial.

Ciberseguridad

La Ley Orgánica para el Fortalecimiento de la Ciberseguridad rige desde su publicación en el Quinto Suplemento del Registro Oficial Nº 290, el 22 de mayo de 2026, y reforma la Ley Orgánica para la Transformación Digital y Audiovisual. Es neutral frente a la tecnología, así que sus obligaciones alcanzan también a los sistemas de IA de los sujetos obligados. Las entidades públicas y los operadores de infraestructura crítica digital deben notificar al ente rector los incidentes de seguridad relevantes de inmediato y, a más tardar, dentro de las 72 horas siguientes a su detección; en los sectores con órgano de control especializado, la notificación va por ese órgano. Mientras el ente rector no clasifique la infraestructura crítica digital, no está cerrado qué empresas privadas quedan obligadas.

Para entidades privadas y empresas públicas, las multas van del 0,1 % al 0,7 % del volumen de negocio del ejercicio anterior en infracciones leves, del 0,7 % al 1 % en graves y del 1 % al 1,5 % en muy graves. En sectores con órgano de control especializado y normativa previa de seguridad digital, como el financiero y las telecomunicaciones, ese régimen se puede exigir desde la vigencia de la ley; en los demás, solo 24 meses después de que se expida la normativa técnica básica.

Al 17 de septiembre de 2026 no se ha publicado en el Registro Oficial ningún reglamento de la ley ni el catálogo de servicios esenciales. El primer plazo, de seis meses, vence hacia el 22 de noviembre de 2026.

Si el incidente compromete datos personales corre además otro reloj. El artículo 43 de la LOPDP, reformado por esta ley, obliga al responsable a notificar la vulneración a la Superintendencia de Protección de Datos Personales, al organismo de regulación y control competente y, con fines informativos y de coordinación, al CSIRT correspondiente, tan pronto sea posible y a más tardar en el término de cinco días, salvo que sea improbable que constituya un riesgo para los derechos de las personas. El término de cinco días ya existía; la reforma cambió los destinatarios. El encargado debe avisar al responsable en el término de dos días.

Contratación pública

El Decreto Ejecutivo 461 (Tercer Suplemento del Registro Oficial Nº 337, 30 de julio de 2026) añadió el artículo 426.1 al Reglamento General de la Ley Orgánica del Sistema Nacional de Contratación Pública. Ese artículo obliga al SERCOP a implementar de forma progresiva minería de datos, alertas tempranas, inteligencia artificial, aprendizaje automático y procesamiento de lenguaje natural para detectar patrones de riesgo e irregularidades en la contratación. Es la primera norma de rango reglamentario que conozco que ordena a una entidad pública incorporar IA en el ejercicio de una potestad de control.

El 27 de agosto de 2026 la Resolución R.E-SERCOP-2026-0006 puso en régimen de transición los numerales 1 y 2 y los literales c) y d) del numeral 3 del artículo 426.1, entre ellos el uso de IA y los modelos predictivos de riesgo, hasta que el SERCOP desarrolle las herramientas y notifique que están operativas. La obligación sigue escrita y su aplicación quedó diferida.

Otras autoridades

El Ministerio de Telecomunicaciones y de la Sociedad de la Información (MINTEL) expidió la Estrategia EFIA-EC y anunció en marzo de 2026, con el PNUD, un sandbox regulatorio de IA que sigue en fase de estructuración. El Decreto Ejecutivo 426 (Cuarto Suplemento del Registro Oficial Nº 312, 24 de junio de 2026) dispuso que el Ministerio de Infraestructura y Transporte absorbiera al MINTEL con todas sus competencias y que, concluida la fusión, pasara a llamarse Ministerio de Infraestructura y Tecnología. Desde agosto de 2026 el Registro Oficial ya publica actos con ese nombre.

La Superintendencia de Bancos, en la norma de canales de atención al consumidor financiero sustituida por la Resolución SB-2026-1691 del 27 de mayo de 2026, define el chatbot como un canal que usa inteligencia artificial o procesamiento de lenguaje natural, sin imponer deberes de transparencia propios de la IA. La Superintendencia de Competencia Económica adoptó un código de ética de IA para su personal (Resolución SCE-DS-2025-34, Registro Oficial Nº 60, 16 de junio de 2025) y un reglamento interno de gobernanza del uso de herramientas de IA (Resolución SCE-DS-2026-5, Registro Oficial Nº 234, 2 de marzo de 2026).

Responsabilidad por daños

No hay un régimen especial para la IA. El artículo 54 de la Constitución hace civil y penalmente responsables a quienes presten servicios públicos o produzcan o comercialicen bienes de consumo, por la deficiente prestación del servicio o la calidad defectuosa del producto, y a toda persona por la mala práctica en su profesión. Frente a consumidores, el artículo 28 de la Ley Orgánica de Defensa del Consumidor hace solidariamente responsables por los daños causados por vicio o defecto de bienes o servicios a productores, fabricantes, importadores, distribuidores, comerciantes, a quien puso su marca y, en general, a todos aquellos cuya participación haya influido en el daño, así que la víctima puede dirigirse contra cualquiera de ellos, que luego podrá repetir contra los demás.

Entre empresas sin contrato de por medio rige la responsabilidad extracontractual del Código Civil (arts. 2214 y 2229), con la carga de probar el daño, la culpa y el nexo causal en quien demanda (art. 169 del COGEP); si hay contrato con el proveedor, rige primero ese contrato. La matiza el fallo de casación del caso Delfina Torres (Corte Suprema de Justicia, 2002), que en un caso de actividad peligrosa aplicó la teoría del riesgo y presumió la culpa de quien la explota; extenderlo a la IA es una lectura doctrinal que ningún tribunal ha hecho todavía. La responsabilidad penal puede recaer en las personas naturales que diseñan, despliegan o usan el sistema cuando su conducta encaje en un tipo penal y, en los delitos en que el COIP lo prevé, en las personas jurídicas de derecho privado (art. 49).

Propiedad intelectual

Solo una persona natural puede ser autora, según el artículo 3 de la Decisión Andina 351 y el artículo 108 del Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación (COESCCI). Un resultado generado por la IA de forma autónoma no tiene autor ni protección por derecho de autor, sin perjuicio de otras vías como los secretos empresariales o los contratos. Una obra hecha con ayuda de IA se protegería cuando una persona hace un aporte creativo relevante, y la autoría sería de esa persona; la ley no fija cuánto aporte humano basta. No encontré jurisprudencia ecuatoriana ni criterio del SENADI sobre obras generadas con IA.

En patentes rige la Decisión Andina 486, que reconoce el derecho al inventor y exige consignar su nombre. Una solicitud que nombre a una IA como inventora previsiblemente no superaría el examen de forma. En la invención asistida por IA se consigna como inventora a la persona natural que la concibió, y la titular de la patente puede ser esa persona o quien adquiera el derecho, incluida una persona jurídica.

Firmado y todavía sin vigencia: las resoluciones del 9 de septiembre de 2026

Estas cuatro resoluciones de la Superintendencia de Protección de Datos Personales están firmadas y publicadas en su sitio web, pero cada una dispone que entra en vigencia con su publicación en el Registro Oficial. Revisé las ediciones del Registro Oficial hasta la Nº 369, del 15 de septiembre de 2026, y ninguna las trae.

Reforma de la Norma General de IA (SPDP-SPD-2026-0037-R)

• Acota a quién obliga. Los responsables del tratamiento siguen obligados como hasta ahora; los encargados, solo si tienen acceso, visibilidad o control efectivo sobre los datos, y únicamente respecto de las operaciones o fases en que lo tengan, sin que eso sea una exoneración general. La reforma define esos tres conceptos y aclara que el control efectivo puede existir aunque no se ejerza, porque basta la posibilidad real de ejercerlo.
• El encargado que alegue no tener acceso, visibilidad ni control debe conservar evidencia suficiente ante la Superintendencia, y esa falta de acceso no lo libera de las demás normas aplicables.
• El encargado que provea, desarrolle o mantenga sistemas de IA debe dar al responsable información suficiente sobre el funcionamiento general del sistema, sus limitaciones relevantes, sus riesgos previsibles y las medidas de control implementadas, en la medida necesaria para que el responsable cumpla sus obligaciones y sin difundir secretos comerciales, industriales o de propiedad intelectual.
• El artículo 6 sigue exigiendo la gestión de riesgos antes del desarrollo del sistema, pero la evaluación de impacto pasa a exigirse "cuando correspondiere". El numeral 5.2, que no cambia, sigue mencionando las evaluaciones de impacto, y su obligatoriedad se rige por el artículo 42 de la LOPDP.
• El artículo 4 pierde el inciso que garantizaba "en todo momento" el derecho a no ser objeto de decisiones automatizadas, el derecho a la información y el de oposición. Desaparece la mención expresa de esos tres derechos, no la garantía: el nuevo artículo 4 sigue obligando a garantizar los derechos de la LOPDP, y el artículo 9, que no se reforma, solo permite tratar datos con IA si se cumplen "en todo momento" los principios, derechos y obligaciones de esa ley.

Datos biométricos (SPDP-SPD-2026-0039-R)

• Prohíbe los sistemas biométricos de identificación masiva e indiscriminada de personas en espacios públicos, salvo mandato expreso de una norma con rango de ley y con justificación motivada (art. 20). Para la norma, espacio público es todo lugar de acceso general, aunque sea de propiedad privada, como centros comerciales, estaciones de transporte o estadios (art. 4.4).
• Las decisiones que produzcan efectos jurídicos o afecten derechos y libertades fundamentales no pueden basarse exclusivamente en sistemas automatizados de identificación biométrica, ni mayoritariamente en biometría con una intervención humana solo formal o testimonial, y el titular puede pedir una explicación motivada (art. 18).
• Para el reconocimiento facial exige cumplir el artículo 26 de la LOPDP, hacer análisis de riesgos y evaluación de impacto y aplicar medidas de seguridad reforzadas, y aclara que el reconocimiento facial no es, por sí mismo, tratamiento a gran escala, aunque obliga a verificar si lo es según el Reglamento de la LOPDP (art. 19).
• Todo tratamiento biométrico debe estar precedido de análisis de riesgos y evaluación de impacto, y son de alto riesgo la identificación unívoca, la evaluación sistemática con decisiones que afecten derechos y la observación sistemática a gran escala de zonas de acceso público (art. 5). La evaluación de impacto se hace antes de implementar el sistema y se revisa cada doce meses o cuando cambie el nivel de riesgo (art. 15).
• Da doce meses de adecuación, contados desde su publicación en el Registro Oficial, a quienes ya usen sistemas biométricos cuando entre en vigencia. Los sistemas que se implementen después deben cumplirla desde el primer día.

Notificación de vulneraciones (SPDP-SPD-2026-0040-R)

Ordena notificar por el sistema SISPDP. El encargado avisa al responsable en un máximo de dos días y el responsable notifica a la Superintendencia en el término de cinco días. No notificar a la Superintendencia o a los titulares es infracción grave. La norma regula además AIxSPDP, el sistema experto auxiliar de IA de la propia Superintendencia, con intervención humana en todas sus instancias y que no constituye un sistema de decisiones automatizadas, y obliga a la Superintendencia a publicar sus modelos de riesgo y ontologías dentro de los seis meses siguientes a la vigencia.

Denuncias ante la Superintendencia (SPDP-SPD-2026-0038-R)

Permite a la Superintendencia usar sistemas de IA como apoyo para tramitar denuncias, solicitudes y actuaciones previas. Ninguna decisión con efectos jurídicos puede sustentarse exclusivamente en el resultado de una herramienta de IA, y cuando sus insumos se usen en informes, el expediente debe identificar la herramienta y al servidor que revisó el resultado.

Qué se discute en la Asamblea Nacional

El proyecto de ley de IA de 2024

El Proyecto de Ley Orgánica de Regulación y Promoción de la Inteligencia Artificial en Ecuador, de la asambleísta Patricia Núñez (trámite 450889), se presentó el 20 de junio de 2024 y el Consejo de Administración Legislativa lo calificó el 18 de julio de 2024 (Resolución CAL-HKK-2023-2025-0376). El 13 de febrero de 2025 el Consejo autorizó unificarlo, junto con el proyecto de ley para el fomento y desarrollo de la IA de Karina Subía, con el Proyecto de Ley Orgánica de Inteligencia Artificial que ya tramitaba la comisión (Resolución CAL-RVVR-2023-2025-0216). El texto proponía una autoridad nacional de control de IA, cuatro niveles de riesgo y prohibiciones absolutas como la calificación social masiva.

El 31 de agosto de 2026 la Comisión de Educación, Cultura, Ciencia, Tecnología, Innovación y Saberes Ancestrales aprobó con siete votos el informe para primer debate, que recomienda al Pleno archivar el proyecto. Según la nota oficial de la Asamblea, entre los motivos están la falta de mecanismos de gobernanza adaptativos, un posible aumento del gasto público contrario al artículo 135 de la Constitución, el riesgo de sobrerregulación temprana y un régimen sancionatorio que deja al reglamento los rangos de las sanciones. El informe sugiere tomar como referencia la norma ISO/IEC 42001:2023 y el Convenio Marco del Consejo de Europa sobre inteligencia artificial y derechos humanos, democracia y Estado de derecho.

El Pleno aprobó el archivo el 15 de septiembre de 2026, en su sesión 123, con 88 votos y a moción de la presidenta de la Comisión de Educación, Cecilia Baltazar. Tras el archivo, el proyecto general de IA que sigue en trámite es el que ella misma presentó el 1 de septiembre.

El proyecto nuevo de Cecilia Baltazar

El 1 de septiembre de 2026, un día después del informe, la presidenta de la Comisión de Educación, Cecilia Baltazar, presentó el Proyecto de Ley Orgánica para el Desarrollo, Uso Ético y Gobernanza de la Inteligencia Artificial. Según la nota oficial, incluye definiciones, principios rectores, clasificación y gestión de riesgos, derechos de las personas, mecanismos de gobernanza, fomento de la innovación y un régimen de responsabilidad, además de reformas al COIP. Deja la rectoría en el ministerio rector de la transformación digital y las telecomunicaciones, sin perjuicio de las autoridades sectoriales, y debe aplicarse junto con la LOPDP. Al 15 de septiembre de 2026 no encontré resolución del Consejo de Administración Legislativa que lo califique.

Proyectos sectoriales

Hasta donde pude verificar, ninguno tiene todavía informe propio para primer debate. Según la prensa, el proyecto de Paola Cabezas se habría sumado al texto unificado del proyecto de 2024; no encontré resolución del Consejo de Administración Legislativa que lo confirme. Si esa unificación es real, el archivo del 15 de septiembre también lo alcanza.

Función Judicial

Ninguna resolución del Consejo de la Judicatura regula todavía el uso de IA por jueces, fiscales y defensores. El 16 de junio de 2026 el Comité de Ética de la Función Judicial aprobó un documento de 23 principios para el uso responsable de la IA, y en julio la prensa informó, citando los cronogramas del Comité, que se esperaba que el Consejo lo adoptara por resolución en las semanas siguientes y publicara una lista de herramientas autorizadas. Al 17 de septiembre de 2026 esa resolución no aparece en el listado oficial de resoluciones del Pleno del Consejo, y el texto de los principios no se ha publicado.

El Plan Estratégico de la Función Judicial 2026-2031 (Resolución 082-2026, Registro Oficial Nº 302, 10 de junio de 2026) prevé incorporar IA en módulos de monitoreo y control. La Resolución 164-2026, del 7 de agosto de 2026, aprobó un protocolo de avatares digitales para proteger la identidad de los jueces en audiencias telemáticas, que menciona entre las amenazas el uso de IA por organizaciones criminales; no regula el uso de IA por los operadores de justicia.

El proyecto de Mónica Salazar permitiría la IA en la justicia solo como apoyo, sin sustituir la valoración de la prueba, la motivación ni la potestad jurisdiccional, con deber de informar su uso y verificar la información. El uso indebido sería infracción grave para los servidores judiciales, y para los abogados habría una prohibición expresa de incorporar en escritos judiciales información generada con IA sin verificar su veracidad, pertinencia y actualidad, cuando pueda inducir a error a la autoridad judicial.

Si tu empresa usa IA en Ecuador

Con las normas que rigen hoy, esto es lo que reviso primero en una empresa que usa IA con datos personales.

1. Inventario. Qué sistemas de IA tratan datos personales de titulares ecuatorianos, incluidos los que se contratan como servicio en la nube.
2. Rol. Si la empresa desarrolla, despliega, distribuye o implementa sistemas de IA, y si actúa como responsable o como encargada. Cuando la reforma 0037-R se publique, el encargado que diga no tener acceso, visibilidad ni control sobre los datos tendrá que poder probarlo.
3. Gestión de riesgos y evaluación de impacto. Antes de desarrollar el sistema, no solo antes de ponerlo en producción (art. 6 de la Norma General de IA), con la guía de la Superintendencia, cuyo capítulo I es obligatorio.
4. Aviso a las personas. Informar que el tratamiento se hace con IA y con qué fines.
5. Decisiones automatizadas. Si una decisión basada única o parcialmente en valoraciones automatizadas produce efectos jurídicos o afecta derechos fundamentales, la persona puede pedir una explicación motivada, conocer los datos y criterios usados, presentar observaciones e impugnarla (art. 20 de la LOPDP), salvo las excepciones de ese artículo. Una revisión humana real es la forma práctica de atender esos derechos.
6. Registro y auditoría. Anotar los tratamientos con IA en el registro de actividades y auditarlos en proporción a su riesgo.
7. Delegado de protección de datos. Obligatorio para la persona jurídica privada que tenga por objeto o se dedique de forma habitual a desarrollar, implementar o desplegar IA (art. 10.13 del Reglamento del Delegado). Si la empresa solo usa herramientas de IA de terceros, conviene revisar si encaja en ese u otro supuesto de designación obligatoria.
8. Contratos con proveedores. Pedir por contrato la información sobre funcionamiento, limitaciones y riesgos que la reforma obligará a entregar al encargado que provea, desarrolle o mantenga el sistema, y fijar cómo avisará el encargado de una vulneración dentro del término legal de dos días.
9. Biometría. Si usa reconocimiento facial o huella dactilar, empezar la adecuación ahora. El artículo 26 de la LOPDP ya rige, y el plazo de doce meses de la norma biométrica corre desde su publicación y solo ampara a los sistemas que ya estén en uso cuando entre en vigencia.

Ninguna norma ecuatoriana exige certificarse en ISO/IEC 42001, oficializada como NTE INEN con carácter voluntario, pero su sistema de gestión da un orden útil para todo lo anterior.

Preguntas frecuentes

¿Existe una ley de inteligencia artificial en Ecuador?

No. Ecuador no tiene una ley de inteligencia artificial. La principal norma vinculante específica es la Resolución SPDP-SPD-2026-0009-R de la Superintendencia de Protección de Datos Personales, vigente desde el 10 de marzo de 2026, que regula el uso de sistemas de IA que tratan datos personales. El proyecto de ley de IA presentado en 2024 recibió el 31 de agosto de 2026 un informe de la Comisión de Educación que recomienda archivarlo. El Pleno de la Asamblea lo archivó el 15 de septiembre de 2026, con 88 votos. El 1 de septiembre de 2026 se presentó un proyecto nuevo.

¿Qué norma regula la inteligencia artificial en Ecuador?

La Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (Resolución SPDP-SPD-2026-0009-R, Registro Oficial Nº 240, 10 de marzo de 2026). Aplica a los responsables y encargados del tratamiento que desarrollen, entrenen, implementen, desplieguen o provean sistemas de IA que traten datos personales de titulares ecuatorianos, esté donde esté el sistema o el proveedor. Exige informar el uso de IA, gestionar riesgos y evaluar el impacto antes del desarrollo, registrar los tratamientos y auditar en proporción al riesgo. Se complementa con el artículo 20 de la Ley Orgánica de Protección de Datos Personales, sobre decisiones automatizadas.

¿Qué autoridad supervisa la inteligencia artificial en Ecuador?

Ninguna ley crea un regulador de IA. En la práctica supervisa la Superintendencia de Protección de Datos Personales, que puede auditar sistemas de IA, ordenar medidas correctivas y sancionar cuando hay datos personales de por medio. La política pública la llevaba el MINTEL, que expidió la Estrategia EFIA-EC; por el Decreto Ejecutivo 426 de 2026 el MINTEL fue absorbido por el Ministerio de Infraestructura y Transporte, que ya actúa como Ministerio de Infraestructura y Tecnología.

¿Qué multas hay en Ecuador por incumplir las normas sobre IA?

Las de la Ley Orgánica de Protección de Datos Personales, porque la norma de IA se apoya en ella. Para entidades privadas y empresas públicas, las infracciones leves se sancionan con entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior y las graves con entre el 0,7 % y el 1 %. La Ley Orgánica para el Fortalecimiento de la Ciberseguridad prevé para sus infracciones muy graves multas de hasta el 1,5 % del volumen de negocio, exigibles desde ya solo en sectores con órgano de control especializado, como el financiero y las telecomunicaciones. Las cuatro sanciones publicadas por la Superintendencia suman USD 744.499,65, recayeron sobre la aplicación FAN ID de la LigaPro, que usaba reconocimiento facial, y la aplicación FAN FEF de la Federación Ecuatoriana de Fútbol, y ninguna se basó en la norma de IA.

¿Qué pasó con el proyecto de ley de inteligencia artificial en la Asamblea Nacional?

El Proyecto de Ley Orgánica de Regulación y Promoción de la Inteligencia Artificial en Ecuador (trámite 450889), presentado por Patricia Núñez en 2024, pasó dos años en la Comisión de Educación. El 31 de agosto de 2026 la comisión aprobó con siete votos el informe para primer debate, con recomendación de archivo, entre otros motivos por falta de gobernanza adaptativa, posible aumento del gasto público, riesgo de sobrerregulación y un régimen sancionatorio impreciso. El Pleno de la Asamblea lo archivó el 15 de septiembre de 2026, con 88 votos. El 1 de septiembre de 2026 Cecilia Baltazar presentó el Proyecto de Ley Orgánica para el Desarrollo, Uso Ético y Gobernanza de la Inteligencia Artificial.

¿Está prohibido el reconocimiento facial en Ecuador?

No en general, pero los datos biométricos son sensibles y su tratamiento está prohibido salvo las excepciones del artículo 26 de la LOPDP, que ya rige. La Norma General para el Tratamiento de Datos Biométricos (Resolución SPDP-SPD-2026-0039-R), firmada el 9 de septiembre de 2026, prohibirá la identificación biométrica masiva e indiscriminada en espacios de acceso público, incluidos los de propiedad privada como estadios o centros comerciales, salvo mandato de una norma con rango de ley, y exigirá análisis de riesgos, evaluación de impacto y seguridad reforzada para el reconocimiento facial. Entrará en vigencia con su publicación en el Registro Oficial y dará doce meses de adecuación a los sistemas biométricos que ya estén en uso.

¿Una obra creada con inteligencia artificial tiene derechos de autor en Ecuador?

Solo si hay aporte creativo humano. La Decisión Andina 351 (art. 3) y el COESCCI (art. 108) reconocen como autor únicamente a la persona natural. Un resultado generado de forma autónoma por IA no tiene autor ni protección por derecho de autor. Una obra hecha con ayuda de IA se protegería cuando una persona hace un aporte creativo relevante, y esa persona sería la autora; la ley no fija cuánto aporte humano basta. No encontré jurisprudencia ecuatoriana ni criterio del SENADI sobre el tema.

¿Quién responde si un sistema de inteligencia artificial causa un daño en Ecuador?

No hay un régimen especial para la IA. Frente a consumidores, el artículo 28 de la Ley Orgánica de Defensa del Consumidor hace solidariamente responsables a productores, fabricantes, importadores, distribuidores, comerciantes y, en general, a todos aquellos cuya participación haya influido en el daño. Entre empresas sin contrato de por medio se aplica la responsabilidad extracontractual del Código Civil (arts. 2214 y 2229), que el fallo de casación del caso Delfina Torres (2002) matizó para las actividades peligrosas al presumir la culpa de quien las explota. La responsabilidad penal puede recaer en las personas naturales que diseñan, despliegan o usan el sistema y, en los delitos en que el COIP lo prevé, en las personas jurídicas de derecho privado (art. 49).

Registro de cambios

• 17 de septiembre de 2026. Registra que el Pleno de la Asamblea archivó el 15 de septiembre, en su sesión 123 y con 88 votos, el Proyecto de Ley Orgánica de Regulación y Promoción de la Inteligencia Artificial en Ecuador, según la nota oficial de la Asamblea. Confirma que las resoluciones de la Superintendencia del 9 de septiembre siguen sin publicarse en el Registro Oficial, que la ley de ciberseguridad sigue sin reglamentos y que el Consejo de la Judicatura no ha adoptado los principios de IA.
• 15 de septiembre de 2026. Primera versión. Parte del capítulo de Ecuador de la Artificial Intelligence Comparative Guide 2026 de The Legal 500 (información al 4 de agosto de 2026) y añade lo ocurrido después: la Resolución 164-2026 del Consejo de la Judicatura (7 de agosto), la Resolución R.E-SERCOP-2026-0006 (27 de agosto), el informe de la Comisión de Educación (31 de agosto), el proyecto de Cecilia Baltazar (1 de septiembre) y las cuatro resoluciones de la Superintendencia de Protección de Datos Personales (9 de septiembre). Incorpora también la fusión del MINTEL dispuesta por el Decreto Ejecutivo 426. Registra que el informe estaba en el orden del día del Pleno de ese mismo día.

Fuentes y cómo citar

Esta página parte del capítulo Ecuador: Artificial Intelligence de The Legal 500 Country Comparative Guides 2026, escrito por Oscar Obando Chaves y Andrés Terán, y lo actualiza con estas fuentes oficiales:

• Asamblea Nacional, nota oficial sobre el informe de la Comisión de Educación acerca del proyecto de Regulación y Promoción de la IA, 31 de agosto de 2026: asambleanacional.gob.ec/es/node/118898
• Asamblea Nacional, nota oficial "Pleno archiva Proyecto de Ley de Inteligencia Artificial", 15 de septiembre de 2026: asambleanacional.gob.ec/es/noticia/119354
• Asamblea Nacional, presentación del proyecto de Cecilia Baltazar, 1 de septiembre de 2026: asambleanacional.gob.ec/es/noticia/118939
• Consejo de Administración Legislativa, resoluciones CAL-HKK-2023-2025-0376, CAL-HKK-2023-2025-0461, CAL-RVVR-2023-2025-0216, CAL-NAOP-2025-2027-207, CAL-NAOP-2025-2027-406, CAL-NAOP-2025-2027-407, CAL-TCLE-2025-2027-496 y CAL-TCLE-2025-2027-502
• Superintendencia de Protección de Datos Personales, resoluciones SPDP-SPD-2026-0037-R, SPDP-SPD-2026-0038-R, SPDP-SPD-2026-0039-R y SPDP-SPD-2026-0040-R, firmadas el 9 de septiembre de 2026
• Superintendencia de Protección de Datos Personales, Reglamento del Delegado de Protección de Datos Personales (SPDP-SPD-2025-0028-R) y procedimientos sancionatorios
• Registro Oficial del Ecuador, buscador de ediciones: registroficial.gob.ec
• SERCOP, Decreto Ejecutivo 461 y Resolución R.E-SERCOP-2026-0006
• Consejo de la Judicatura, resoluciones del Pleno de 2026, Resolución 082-2026 y Resolución 164-2026
• Superintendencia de Bancos, norma de canales de atención sustituida por la Resolución SB-2026-1691
• MINTEL, anuncio del sandbox regulatorio de IA, 24 de marzo de 2026

Para citar esta página:

Obando Chaves, O. (2026, 17 de septiembre). Regulación de la inteligencia artificial en Ecuador. oscarobando.ai. https://oscarobando.ai/es/regulacion-ia-ecuador/