Nuevas leyes de privacidad exigen evaluaciones, y los equipos de auditoría deben demostrar su cumplimiento

Cada nueva ley de privacidad suma un documento que alguien debe poder presentar cuando se le solicite. Baja un umbral, se amplía una definición, surge una nueva evaluación y el equipo de cumplimiento hereda otro elemento que debe demostrar. Este patrón ya es visible en tres desarrollos recientes, y juntos describen una función a la que se le exige garantizar más con la misma capacidad que ya tiene.

El primero es una encuesta de Sikich. Su encuesta de prioridades de auditoría interna en EE. UU. para 2026, publicada el 20 de octubre de 2026, encontró que el 64% de los encuestados reportó presupuestos de auditoría interna más altos y el 43% espera sumar personal, pero el 77% ahora incluye evaluaciones de IA en sus planes de auditoría. El segundo es la legislación estatal. La ley de privacidad enmendada de Delaware entra en vigor el 1 de enero de 2027 con umbrales más bajos y reglas más amplias sobre datos sensibles, y las enmiendas de Connecticut ya entraron en vigor en 2026. El tercero es una resolución conjunta de los reguladores de privacidad de Canadá sobre el uso responsable de IA en salud, que exige marcos de gobernanza y rendición de cuentas basados en evaluaciones de riesgos.

Ninguno de estos puntos trata de un incidente aislado. Se refieren a la acumulación constante de obligaciones que deben evidenciarse y a quién probará esa evidencia. Este artículo explica qué exige cada desarrollo, por qué convergen en los mismos elementos y cómo un Chief Compliance Officer, un Responsable de Privacidad de Datos o el responsable de auditoría interna puede construir una sola trazabilidad que sirva para todos. También muestra cómo el intercambio seguro de datos de Kiteworks respalda esa trazabilidad para contenido sensible, sin reemplazar las evaluaciones que solo las personas pueden redactar.

Aspectos clave

1. Las obligaciones de privacidad convergen en evaluaciones y registros.

Delaware y Connecticut suman, y los reguladores de Canadá exigen, evaluaciones de riesgos, marcos de gobernanza y documentación lista para auditoría.

2. El alcance sigue ampliándose.

Umbrales de aplicabilidad más bajos y definiciones más amplias de datos sensibles incluyen a más organizaciones en regímenes que antes ignoraban.

3. La capacidad de auditoría no crece al mismo ritmo.

Sikich reporta presupuestos en aumento y cobertura de IA, pero también que muchas organizaciones aún no amplían la garantía más allá de la gobernanza y los controles de seguridad.

4. La IA ya es un tema de garantía.

Connecticut exige la divulgación del entrenamiento de modelos de lenguaje grande, Vermont exigirá lo mismo desde enero de 2028 y los reguladores de Canadá piden evaluaciones continuas específicas de IA.

5. Una sola trazabilidad de evidencia supera a cinco.

Un registro unificado de quién accedió a qué, bajo qué política, es el insumo común para cada evaluación y auditoría que exigen estos regímenes.

Lo que dice la encuesta de Sikich, y lo que no

La encuesta de prioridades de auditoría interna en EE. UU. de Sikich para 2026, publicada el 20 de octubre de 2026, informa que casi dos tercios de los encuestados (64%) tuvieron presupuestos de auditoría interna más altos y que más de cuatro de cada diez (43%) esperan aumentar la plantilla. También señala que más de ocho de cada diez (82%) usan socios externos y que el 77% incluye evaluaciones de IA en sus planes de auditoría. La firma indica que la gobernanza de IA, la privacidad de datos y la ciberseguridad son áreas de enfoque en crecimiento.

Hay dos advertencias. La encuesta la realiza una firma de servicios profesionales que vende servicios de auditoría y consultoría, y el resumen publicado no indica el tamaño de la muestra. Los encuestados son líderes de auditoría interna en una amplia gama de industrias, por lo que los hallazgos describen a la comunidad de auditoría de EE. UU. y no a todas las organizaciones.

La línea más útil para los responsables de cumplimiento es una discreta. La encuesta indica que muchas organizaciones aún no amplían la garantía más allá de la gobernanza y los controles de seguridad. En la práctica, esto significa que los equipos de auditoría verifican que existan políticas y controles, y apenas comienzan a probar si los sistemas de IA funcionan como se espera y si las decisiones son sólidas. Probar el rendimiento y los resultados requiere evidencia que un documento de política no puede aportar, como registros de a qué accedió un sistema y qué produjo.

Aquí es donde los números de presupuesto necesitan contexto. Un presupuesto mayor y más evaluaciones de IA en el plan no generan por sí solos los registros subyacentes. Si la organización no puede demostrar a qué datos accedió una herramienta de IA o qué proveedor los manejó, el auditor no tiene nada que probar, por muy bien financiada que esté la función de auditoría.

Delaware y Connecticut amplían la red

La legislación estatal de privacidad se ha vuelto un objetivo móvil. Según un resumen de Morgan Lewis sobre el Proyecto de Ley 380 de Delaware, las enmiendas entran en vigor el 1 de enero de 2027. El umbral de aplicabilidad baja a los controladores que controlan o procesan datos personales de 10,000 o más consumidores, excluyendo datos procesados únicamente para completar una transacción de pago, antes era de 35,000. El umbral para empresas que obtienen más del 20% de sus ingresos brutos por la venta de datos personales baja a 5,000 consumidores, antes era de 10,000.

El alcance de los datos sensibles también crece. El resumen señala que la información cubierta ahora incluye origen nacional, cierta información relacionada con la salud, datos neuronales, cierta información de cuentas financieras y números de identificación emitidos por el gobierno. Por lo general, un controlador no puede procesar datos sensibles sin el consentimiento del consumidor, y cualquier venta de datos sensibles debe ser estrictamente necesaria para proporcionar un producto o servicio solicitado, debiendo conservarse el registro de consentimiento por lo general durante cinco años.

Otras dos modificaciones son relevantes para la evidencia. Los controladores que procesan datos personales de 50,000 o más consumidores de Delaware y realizan perfiles para decisiones automatizadas con efectos legales o similares deben realizar una evaluación de impacto. Y la exención a nivel de entidad para instituciones financieras se reduce. La ley revisada solo exime a instituciones financieras específicas y sus afiliadas, por lo que otras entidades financieras podrían tener que cumplir por primera vez.

Connecticut se adelantó. El resumen de Foley y Lardner indica que las amplias enmiendas entraron en vigor el 1 de julio de 2026. El umbral de consumidores bajó de 100,000 a 35,000, y los disparadores vinculados a datos sensibles y ventas de datos ahora aplican sin importar el volumen. El rango de edad protegido para menores sube de 13 a 16 a 13 a 17 años, con una prohibición total de publicidad dirigida y venta de datos personales para ese grupo.

Connecticut también suma una divulgación de IA y una nueva evaluación. Los avisos de privacidad ahora deben informar si los datos personales se usan para entrenar modelos de lenguaje grande, y los controladores que perfilan para decisiones legalmente relevantes deben realizar una evaluación de impacto específica para actividades de procesamiento creadas o generadas a partir del 1 de agosto de 2026. Los consumidores también obtienen el derecho a solicitar una lista de terceros a quienes se vendieron sus datos personales.

El patrón se repite en las leyes integrales más recientes. Un análisis de Morgan Lewis sobre cuatro nuevas leyes estatales menciona Alabama (vigente el 1 de mayo de 2027), Luisiana y Oklahoma (ambas el 1 de enero de 2027) y Vermont (1 de enero de 2028). Los períodos de subsanación varían: 45 días en Alabama, 30 días en Luisiana y Oklahoma, y 60 días en Vermont. Vermont también exigirá que los controladores informen en sus avisos de privacidad si los datos personales se usan para entrenar modelos de lenguaje grande.

Para un equipo de cumplimiento, el resultado práctico es un mosaico de umbrales, fechas y períodos de subsanación que deben monitorearse, con un núcleo común de evaluaciones documentadas, registros de consentimiento y controles de terceros. Cada uno de esos núcleos es un elemento que un auditor puede solicitar.

Los reguladores de Canadá ponen la gobernanza de IA en el registro

El tercer desarrollo viene de fuera de Estados Unidos y muestra la misma tendencia. Los reguladores federales, provinciales y territoriales de privacidad de Canadá adoptaron una resolución conjunta sobre el uso responsable de la inteligencia artificial en salud e investigación en salud. La resolución está fechada el 15 de septiembre de 2026 y la página de la Oficina del Comisionado de Privacidad muestra una modificación el 29 de octubre de 2026. Es una posición conjunta y un llamado a la acción, no una ley.

La resolución pide a los desarrolladores adoptar un enfoque de protección de datos desde el diseño y establece seis principios. Los sistemas de IA deben ser protectores de la privacidad, válidos y fiables, seguros, afirmadores de derechos humanos, transparentes y responsables. Insta a los gobiernos a revisar, modificar o adoptar legislación para que la IA en salud cumpla esos principios y a exigir marcos de gobernanza y rendición de cuentas basados en evaluaciones de riesgos sólidas.

El detalle para las organizaciones es instructivo. Se pide a los desarrolladores realizar evaluaciones continuas de privacidad, seguridad y específicas de IA durante todo el ciclo de vida de cada sistema, y habilitar capacidades de auditoría y pruebas rutinarias en el mundo real. Se pide a los proveedores de salud mantener actualizado un marco de gestión de riesgos de IA, gestionar cuidadosamente los contratos con terceros, incluyendo auditoría y mantenimiento de registros, capacitar al personal y prevenir el uso no aprobado de IA en la sombra, y asegurar la supervisión y verificación humana de los resultados.

Aunque la resolución está dirigida al sector salud, su estructura es general. Pide evaluaciones, marcos de gobernanza, cláusulas contractuales que permitan auditoría y registros que demuestren supervisión humana. Son los mismos elementos que señalan las leyes estatales de EE. UU. y la encuesta de auditoría interna.

La convergencia: evaluaciones, registros y terceros

Si se ponen los tres desarrollos uno al lado del otro, la coincidencia es clara, y es el tipo de coincidencia que un programa maduro de gobierno, riesgo y cumplimiento está preparado para absorber. Cada uno pide a la organización que evalúe un riesgo, documente el resultado y demuestre que el proceso se repite y supervisa.

Delaware y Connecticut exigen evaluaciones de impacto para el perfilado y las decisiones automatizadas. Los reguladores de Canadá piden evaluaciones continuas específicas de IA. Sikich informa que los planes de auditoría incluyen cada vez más evaluaciones de IA. El hilo conductor es que una evaluación solo es tan buena como los hechos en los que se basa, y esos hechos viven en los sistemas que manejaron los datos.

Los terceros son el segundo hilo. El resumen de Delaware indica que el contrato debe permitir al controlador tomar medidas razonables y apropiadas para asegurar que un tercero cumpla sus obligaciones. La resolución de Canadá dice que los contratos con proveedores deben abordar la auditoría y el mantenimiento de registros. Connecticut otorga a los consumidores el derecho a una lista de terceros a quienes se vendieron sus datos. Cada uno de estos exige que la organización sepa qué proveedores accedieron a qué datos, lo cual es una cuestión de registros antes que legal.

El tercer hilo es la divulgación de IA. Connecticut y Vermont exigen que los avisos de privacidad indiquen si los datos personales se usan para entrenar modelos de lenguaje grande. Un aviso es una promesa, y un regulador puede pedir evidencia de que la promesa coincide con lo que hacen los sistemas. Una organización que no puede demostrar qué conjuntos de datos llegaron a qué herramientas de IA no puede confirmar que su aviso sea preciso.

Por qué auditoría interna siente la presión

La auditoría interna está donde se cruzan estos hilos. Se espera que pruebe si se realizaron evaluaciones, si los controles de proveedores funcionan y si los sistemas de IA se comportan como se describe. Los datos de Sikich muestran una función en crecimiento, pero el aumento de presupuesto no elimina el problema estructural: la evidencia está dispersa.

Pensemos en una pregunta rutinaria de auditoría. ¿Qué herramientas de IA accedieron a registros de clientes el último trimestre, a través de qué canales y bajo la aprobación de quién? En muchas organizaciones, la respuesta requiere reunir registros de correo electrónico, uso compartido de archivos, transferencia de archivos gestionada, formularios y registros de aplicaciones, cada uno en un formato diferente y bajo la responsabilidad de un equipo distinto. El auditor dedica la auditoría a recolectar evidencia y le queda poco tiempo para probarla.

Ese costo lo asumen ambos lados. El equipo de cumplimiento pasa semanas respondiendo solicitudes y la función de auditoría informa sobre brechas de documentación en lugar de la eficacia de los controles. El resultado es el patrón que describe Sikich, donde la garantía se mantiene centrada en la gobernanza y los controles de seguridad porque las pruebas más profundas requieren datos difíciles de obtener.

El Informe anual de seguridad de datos y riesgos de cumplimiento de Kiteworks 2026 apunta a la misma tensión. En esa encuesta autoinformada a proveedores, el 63% de sus 459 encuestados experimentó una consecuencia de cumplimiento, como un hallazgo de auditoría, un plan de remediación, una escalada al consejo, una penalización contractual o una investigación regulatoria. La muestra es autoinformada y abarca varias regiones e industrias, así que léela como una señal sobre consecuencias de cumplimiento en general y no como una medida de una ley específica.

Construye una sola trazabilidad de evidencia

La respuesta eficiente a obligaciones convergentes es una sola trazabilidad de evidencia que alimente cada evaluación, auditoría y solicitud de reguladores. Cinco elementos la hacen funcionar.

El primero es un inventario de flujos de datos sensibles. Enumera dónde entran, se mueven y salen los datos regulados y sensibles, incluyendo correo electrónico, uso compartido de archivos, SFTP, transferencia de archivos gestionada, formularios y APIs. Esto es la base para cualquier análisis de umbral de ley estatal y para cualquier evaluación de IA, y es la misma disciplina que sustenta la protección de datos de confianza cero. Un flujo de datos que nadie ha registrado es un flujo que nadie puede evaluar, y un auditor detectará primero los flujos no registrados.

El segundo es un registro consistente de acceso y uso compartido. Para cada flujo, captura quién accedió a qué contenido, cuándo, por qué canal y bajo qué política. Un registro de auditoría unificado entre canales convierte una reconstrucción de varias semanas en un informe. El intercambio seguro de datos de Kiteworks proporciona ese registro para el contenido que circula por su plataforma, con claves de cifrado controladas por el cliente y un solo motor de políticas para todos los canales.

El tercero es un registro de terceros que conecte proveedores con datos. Por cada proveedor que reciba datos sensibles, registra las cláusulas contractuales sobre auditoría y mantenimiento de registros, las categorías de datos compartidas y la fecha de la última revisión. Esto respalda tanto los requisitos contractuales al estilo Delaware como la expectativa canadiense de gestión cuidadosa de contratos, y alimenta la administración de riesgos de terceros y la gestión de riesgos de la cadena de suministro en general. Incluye a los cuartos proveedores cuando el contrato lo permita, porque los subprocesadores de un proveedor suelen ser donde un flujo de datos se vuelve inrastreable.

El cuarto es una biblioteca de evaluaciones. Conserva las evaluaciones de impacto en la privacidad, evaluaciones de impacto de perfilado y evaluaciones específicas de IA en un solo lugar, cada una vinculada a la evidencia que la respalda. Una evaluación de impacto en la privacidad que no puede señalar sus insumos es difícil de defender.

El quinto es una política de acceso a IA. Indica qué herramientas de IA pueden acceder a qué clases de datos, cómo el acceso se limita a los permisos del usuario autorizado y cómo se registran las actividades. Este es el control que permite que un aviso de privacidad sobre entrenamiento de IA sea veraz y respalda la gobernanza de datos de IA en sentido amplio. Kiteworks compliant AI aplica las mismas reglas de acceso y registro de auditoría cuando un cliente de IA accede a contenido, así que el registro de una interacción de IA se ve igual que el de una interacción humana.

Qué hacer en los próximos noventa días

Empieza por las leyes que entran en vigor antes. Las enmiendas de Delaware entran en vigor el 1 de enero de 2027, igual que las nuevas leyes de Luisiana y Oklahoma, así que el primer trimestre del año es cuando comenzarán a aplicarse los nuevos umbrales. Usa los próximos noventa días para confirmar cuáles de ellas afectan a tu organización y trata las leyes estatales de privacidad de datos como un solo programa con un anexo por estado.

Luego, prueba la evidencia. Elige un conjunto de datos regulados y pregunta cuánto tiempo llevaría producir una vista consolidada de quién accedió a él en el último trimestre. Si la respuesta es días o semanas, la brecha es estructural y no se cerrará sumando horas de auditoría.

Después, alinea auditoría y cumplimiento. Aclara qué evaluaciones gestiona cada función, dónde vive la evidencia y cómo se canalizan las solicitudes. La propiedad compartida de la trazabilidad de evidencia evita que ambas funciones recopilen los mismos registros dos veces.

No olvides el factor humano. Capacita al personal que gestiona evaluaciones y solicitudes de acceso para que los registros se creen en el momento de la decisión y no se reconstruyan después. Un registro de decisión escrito el mismo día vale mucho más para un auditor que uno armado un año después a partir de la memoria y correos electrónicos.

Por último, informa al consejo con evidencia. Una vista de una página sobre cambios regulatorios, evaluaciones completadas, proveedores revisados y excepciones abiertas dirá más que un recuento de políticas. La pregunta del consejo es si la organización puede demostrar control, y la respuesta debe venir de los registros.

Para saber más sobre cómo construir una sola trazabilidad de evidencia para evaluaciones de privacidad y solicitudes de auditoría, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog La batalla por tus datos: cómo las leyes CLOUD y SHIELD enfrentan seguridad y privacidad
• Artículo del Blog Protege datos sensibles mapeando DSPM a tus objetivos de cumplimiento
• Resumen Las 3 principales infracciones FERPA y cómo evitarlas
• Artículo del Blog Orden Ejecutiva 14117: Protegiendo los datos personales sensibles de los estadounidenses
• Artículo del Blog ¿Necesitas cumplimiento NIS2? Empieza con ISO 27001