Por Sara María Maridueña Orellana ·
Abogada – Derecho Digital e Inteligencia Artificial
La transformación digital dejó de ser una aspiración de futuro para convertirse en una condición de supervivencia: hoy ninguna empresa ecuatoriana, sin importar su tamaño o su sector, opera al margen de la tecnología, y esa dependencia (que atraviesa desde la facturación electrónica hasta la relación diaria con los clientes) trae consigo grandes oportunidades, pero también riesgos que muchas organizaciones todavía no dimensionan.
Los retos tecnológicos que enfrenta el sector productivo del país no son un asunto únicamente informático que pueda delegarse por completo al área de sistemas o tecnologías de la información; son, en realidad, complejidades estratégicas, jurídicas y humanas que comprometen la continuidad, la reputación y la competitividad del negocio. Desde mi experiencia en Derecho Digital, observo que las empresas que prosperan no son las que compran más herramientas, sino las que comprenden estos retos de manera integral y actúan con anticipación.
Este artículo recorre los cinco frentes más urgentes (ciberseguridad, cumplimiento normativo, brecha digital, talento y gobernanza de la inteligencia artificial) y ofrece una ruta práctica para empezar a cerrarlos.
Ciberseguridad: el riesgo que ya toca la puerta.
Ecuador se ha consolidado como uno de los principales objetivos de los ciberataques en América Latina, y las cifras confirman que la amenaza no es hipotética sino cotidiana: según el estudio «Ciberseguridad en Ecuador: riesgos, tendencias y resiliencia digital», presentado por PwC en octubre de 2025, el 70 % de las empresas del país ya ha sufrido un ciberataque y cada incidente cuesta, en promedio, tres millones de dólares.
El dato más inquietante, sin embargo, no es cuántas son atacadas, sino cuán poco preparadas están: apenas el 6 % se considera capaz de resistir un incidente y solo una de cada cuatro (26 %) invierte antes de que ocurra. El panorama regional refuerza la urgencia; de acuerdo con Check Point Research, las organizaciones latinoamericanas enfrentan más de 2 600 ataques semanales en promedio, una tasa que ya supera la media mundial.
En el plano local, datos de la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) registraron durante 2025 quince víctimas de ransomware (definido más adelante) y treinta y dos filtraciones de datos en sectores estratégicos como energía, salud y finanzas.
Entre los vectores de ataque que toda empresa debería reconocer se encuentran:
- Phishing: correos o mensajes que suplantan a una entidad confiable para robar credenciales o dinero.
- Ransomware: secuestro de sistemas mediante cifrado, con frecuentes esquemas de doble extorsión.
- Robo de credenciales: acceso indebido a cuentas corporativas y a sesiones de correo o banca en línea.
- Deepfakes: audios o videos falsos, generados con IA, que imitan a un directivo para ordenar transferencias.
El impacto trasciende lo técnico: un solo incidente puede paralizar la operación, erosionar la confianza de los clientes y derivar en sanciones. No en vano se advierte que más del 60 % de las pequeñas y medianas empresas que sufren un ataque severo cierra dentro de los seis meses siguientes.
El cumplimiento normativo: La Protección de Datos que ya sanciona.
Si la ciberseguridad protege la información desde lo técnico, el cumplimiento normativo la protege desde lo jurídico, y en Ecuador ese marco dejó de ser una promesa en el papel. La Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Registro Oficial en mayo de 2021 y complementada por su Reglamento General (Decreto Ejecutivo 904, de 2023), tiene plenamente vigente su régimen sancionatorio desde mayo de 2023: el incumplimiento puede acarrear multas de hasta el 1 % del volumen de negocio anual de la empresa infractora.
Ese riesgo no es solo teórico. La Superintendencia de Protección de Datos Personales (SPDP) comenzó a ejercer su potestad sancionadora a finales de 2025, con procedimientos contra organizaciones de alto perfil (como la Federación Ecuatoriana de Fútbol) por no informar adecuadamente a los titulares ni implementar las medidas exigidas por la ley. En paralelo, fijó como plazo el 31 de diciembre de 2025 para que las organizaciones registraran a su Delegado de Protección de Datos y consolidaran su sistema de cumplimiento.
Toda empresa que trate datos de clientes, empleados o proveedores (incluidas las pymes, pues el tamaño no exime de la obligación) debe atender, como mínimo, estos deberes:
- Consentimiento: obtenerlo de forma libre, específica e informada antes de tratar los datos.
- Registro de Actividades de Tratamiento (RAT): mantenerlo documentado y actualizado.
- Evaluaciones de impacto: realizarlas antes de emprender tratamientos de alto riesgo.
- Delegado de Protección de Datos (DPD): designarlo y registrarlo cuando la norma lo exige.
- Notificación de brechas: reportar los incidentes de seguridad a la SPDP dentro de los plazos previstos.
Conviene subrayar que cumplir la LOPDP no consiste únicamente en evitar multas, sino que representa una inversión estratégica en confianza que fortalece la relación con clientes y aliados en un mercado cada vez más exigente.
Brecha digital y adopción desigual de la inteligencia artificial
El tercer reto tecnológico es más silencioso, pero igual de determinante: la desigualdad en el acceso y el aprovechamiento de la tecnología. Aunque cerca del 40 % de las empresas ecuatorianas ya incorporó inteligencia artificial en sus procesos, según datos difundidos por El Telégrafo, la brecha digital del país ronda el 26 %, lo que significa que buena parte de las pymes (sobre todo fuera de Quito y Guayaquil como ciudades principales) todavía enfrenta dificultades para conectarse y competir en igualdad de condiciones.
Además, adoptar tecnología no equivale a adoptarla bien. El Índice Latinoamericano de Inteligencia Artificial (ILIA) 2025, elaborado por la CEPAL y el CENIA, ubica a Ecuador entre los países “adoptantes”, por detrás de los pioneros regionales, y advierte sobre la subinversión y la fuga de talento especializado. Cuando la adopción ocurre, suele ser superficial: diagnósticos empresariales reportados por Diario Extra estiman que cerca del 70 % de las organizaciones mantiene iniciativas de IA sin políticas ni controles internos, y apenas entre el 12 % y el 18 % cuenta con normas formalizadas sobre su uso responsable.
Las barreras que explican esta adopción desigual son recurrentes: costos iniciales percibidos como elevados pese a la existencia de soluciones escalables en la nube; escasez de talento especializado en datos e inteligencia artificial; conectividad e infraestructura limitadas en zonas rurales; y desconocimiento de los beneficios concretos y del retorno real de la inversión.
Talento y cultura digital: el factor humano
Ninguno de los retos tecnológicos anteriores se resuelve solo con software, porque aún el elemento más importante sigue siendo la persona. Los especialistas coinciden en que la enorme mayoría de las brechas de seguridad tiene su origen en errores humanos (un clic desprevenido, una contraseña reutilizada, un correo abierto sin verificar), de modo que la capacitación continua del personal es, probablemente, la inversión de mayor rentabilidad en ciberseguridad.
A esa necesidad de formación se suma un reto de cultura organizacional. La 29.ª Encuesta Global de CEO de PwC, en su edición para Ecuador, identifica como principales obstáculos internos para la transformación los procesos burocráticos innecesarios (40 %) y las estructuras organizacionales poco óptimas (34 %); en otras palabras, la tecnología suele avanzar más rápido que las organizaciones que deben absorberla. Cerrar esta brecha exige articular academia, sector público y empresa privada para formar y retener especialistas, y también liderazgo desde la alta dirección, porque la seguridad y la innovación no prosperan cuando se delegan por completo a un departamento técnico.
Gobernanza en el uso de la IA: del entusiasmo al uso responsable.
El reto que sintetiza a todos los anteriores es la gobernanza de la inteligencia artificial, es decir, el conjunto de reglas, roles y controles que aseguran que la tecnología se use de forma ética, transparente y conforme a derecho. No se trata de un lujo reservado a las grandes corporaciones: cuando una empresa emplea IA para decidir a quién concede un crédito, a quién contrata o cómo perfila a un cliente, esas decisiones automatizadas inciden en derechos de las personas y quedan alcanzadas por la LOPDP y por principios como la privacidad desde el diseño.
Ecuador ha empezado a construir ese andamiaje: en agosto de 2025, el MINTEL y el PNUD presentaron la evaluación AILA, base de una Estrategia Nacional de Inteligencia Artificial proyectada para el período 2025-2029, con un eje explícito de gobernanza ética y regulatoria. Para las empresas, anticiparse a ese marco —adoptando políticas internas de uso responsable, criterios de transparencia y mecanismos de control— no es solo prudencia jurídica, sino una ventaja competitiva que consolida la confianza de clientes y colaboradores.
Una ruta práctica para empezar.
Frente a un panorama tan amplio, la parálisis es el peor consejero; conviene avanzar de manera progresiva y ordenada. Estos primeros pasos permiten a cualquier empresa (de cualquier tamaño) empezar a enfrentar sus retos tecnológicos con criterio:
- Diagnosticar: Identificar qué datos se manejan, qué sistemas son críticos y dónde están las mayores vulnerabilidades.
- Priorizar: Destinar recursos a los riesgos más probables y de mayor impacto, con enfoque preventivo.
- Cumplir: Adecuarse a la LOPDP con políticas, consentimientos y un DPD cuando corresponda.
- Capacitar: Formar de manera continua a todo el personal, no solo al área de sistemas.
- Gobernar la IA: Fijar reglas claras de uso responsable antes de escalar cualquier proyecto.
Conclusión
Los retos tecnológicos de las empresas ecuatorianas (ciberseguridad, cumplimiento de la LOPDP, brecha digital, talento y gobernanza de la inteligencia artificial) no son compartimentos aislados, sino piezas de un mismo rompecabezas: descuidar una debilita a las demás. La evidencia es contundente en un punto: las organizaciones que tratan la tecnología como una prioridad estratégica, y no como un gasto que se posterga, son las que protegen su operación, su reputación y su futuro. La buena noticia es que no hace falta transformarlo todo de golpe; hace falta empezar, con diagnóstico, prevención y una decisión firme desde la dirección. En un entorno donde la pregunta ya no es si una empresa será desafiada por la tecnología, sino cuándo, anticiparse es la forma más rentable de competir.
Referencias bibliográficas
- PwC Ecuador (2025). Ciberseguridad en Ecuador: riesgos, tendencias y resiliencia digital. Reseñado en Primicias, 23 de octubre de 2025. primicias.ec
- Ecuador Comunicación (2025). Puntonet alerta sobre el aumento de ciberataques en Ecuador (datos ARCOTEL 2025). ecuadorcomunicacion.com
- IT ahora (2025). Ecuador, tercer país más atacado de la región (Check Point) y cierre de pymes tras un ataque (INCIBE). itahora.com
- Ecuador. Ley Orgánica de Protección de Datos Personales, Registro Oficial Suplemento N.º 459, 26 de mayo de 2021; Reglamento General, Decreto Ejecutivo N.º 904, 6 de noviembre de 2023 (MINTEL). telecomunicaciones.gob.ec
- El Telégrafo (2025). Inteligencia artificial: el 40 % de las empresas en Ecuador ya la implementó (brecha digital del 26 %). eltelegrafo.com.ec
- Centro Nacional de Inteligencia Artificial [CENIA], & Comisión Económica para América Latina y el Caribe [CEPAL]. (2025). Índice Latinoamericano de Inteligencia Artificial (ILIA) 2025: El estado de la IA en América Latina y el Caribe. CEPAL / CENIA. https://indicelatam.cl/
- Diario Extra (2026). El crecimiento de la IA en empresas ecuatorianas plantea nuevos desafíos en datos y decisiones automatizadas. extra.com.ec
- PNUD Ecuador & MINTEL (2025). Ecuador impulsa la adopción responsable de la inteligencia artificial (evaluación AILA; Estrategia Nacional de IA 2025-2029). undp.org
- PwC Ecuador (2026). 29.ª Encuesta Global Anual de CEO — edición Ecuador. Reseñado en IT ahora. itahora.com