Las nuevas reglas de IA de China ahora también son un reto de cumplimiento para ti.

Las normas de Pekín se detienen en la frontera. La obligación de mantener registros auditables, no.

El 16 de julio de 2026, delegados de 29 países se reunieron en Shanghái para lanzar la Organización Mundial de Cooperación en IA, un nuevo organismo con sede en China destinado a coordinar la gobernanza global de la IA. Indonesia, Brasil, Malasia, Rusia, Pakistán, Kazajistán y otras dos docenas de estados firmaron como miembros fundadores. El Secretario General de la ONU, António Guterres, asistió a la inauguración. Ninguna economía del G7 estuvo presente. Tampoco la Unión Europea.

Pero esa no es realmente la historia. La historia está en lo que ocurrió dentro del propio aparato regulatorio de China en las semanas alrededor de ese lanzamiento. Cuatro conjuntos de normas y un proyecto de ley llegaron en un periodo de cinco semanas, y se aplican a cualquier multinacional con una filial en China, un proveedor con base en China o una relación bancaria que involucre instituciones financieras chinas, sin importar si esa empresa alguna vez ha vendido un producto dentro de las fronteras chinas.

Esto es lo que no dejo de pensar: la gobernanza global de la IA dejó de converger hacia un estándar único este año. Se está dividiendo en bloques competidores, y el que avanza más rápido acaba de escribir normas que traspasan su propia frontera y llegan a tu escritorio de todas formas.

Resumen Ejecutivo

Idea principal: En un periodo de cinco semanas este verano, China emitió cuatro conjuntos de normas y un proyecto de ley que cubren servicios de interacción con IA, banca, transferencias de datos transfronterizas y acoso cibernético. Estas normas se aplican a cualquier multinacional con una filial en China, un proveedor con base en China o una relación bancaria que involucre instituciones financieras chinas, haya o no vendido productos dentro de China.

Por qué te debe importar: La gobernanza global de la IA se está dividiendo en bloques competidores en vez de converger en un solo estándar, y el bloque que avanza más rápido acaba de escribir normas que traspasan su frontera. Si tus datos, proveedores o relaciones bancarias tienen contacto con China o con cualquiera de los 29 miembros fundadores de su nuevo organismo de coordinación, ya respondes a más de un marco normativo, y los nuevos requisitos de China traen consigo obligaciones concretas de evidencia auditable en vez de principios generales.

Puntos Clave

1. China emitió cuatro conjuntos de normas y un proyecto de ley en cinco semanas, y ninguna requiere tener oficina en China para aplicar. El detonante es el cruce de datos por la frontera, no la presencia de la empresa: una filial, un contrato con proveedor o una relación bancaria son suficientes para quedar bajo el alcance de estas normas.
2. WAICO es un bloque regulatorio real, no solo una foto para la prensa. Veintinueve estados fundadores, sede permanente en Shanghái y el Secretario General de la ONU en el lanzamiento marcan un hito institucional. Ninguna economía del G7 ni miembro de la UE se unió.
3. Las nuevas normas de China exigen evidencia, no intenciones. La guía bancaria prohíbe usar información personal como datos de entrenamiento de IA y exige registrar modelos externos ante los reguladores, ambos comprobables en una fecha específica con una documentación concreta.
4. La exposición depende de por dónde fluyen tus datos, no de dónde opera tu empresa. Información personal, CVs, registros financieros y datos de entrenamiento que crucen hacia China por cualquier canal ponen a una empresa bajo alcance, sin importar si tiene presencia local.
5. Gobernar los propios datos escala mejor que perseguir cada nueva regulación. La clasificación de datos junto con políticas condicionadas por ubicación geográfica y evidencia de auditoría reemplazan los memos de política para cada nueva norma.

¿Qué Cambió Realmente en China Este Verano?

Empecemos por lo concreto, porque es más específico de lo que sugieren la mayoría de las coberturas sobre «regulación de IA». Las Medidas Provisionales para la Administración de Servicios de Interacción Antropomórfica con IA de China entraron en vigor el 15 de julio de 2026, un día antes del lanzamiento de WAICO. Estas medidas exigen evaluación de riesgos durante todo el ciclo de vida, revisión ética, monitoreo de contenido y programas de respuesta a incidentes para cualquier servicio de IA diseñado para simular interacción humana. También obligan a un «modo menor de edad», consentimiento de tutor con límites de gasto y uso para usuarios menores de 14 años, y una prohibición total de servicios de acompañante virtual o pariente virtual para menores, además de una prohibición general al diseño emocionalmente manipulador. Varias plataformas chinas importantes suspendieron funciones de rol y acompañante en vez de adaptar el cumplimiento a tiempo. No es una respuesta simbólica a una norma simbólica.

Un mes antes, el 18 de junio, la Administración Nacional de Regulación Financiera de China emitió sus Directrices sobre el Desarrollo Seguro y la Aplicación de la IA en Banca y Seguros: 32 principios bajo siete pilares. Ahora, bancos y aseguradoras necesitan aprobación del comité de control de riesgos antes de implementar IA en casos de alto riesgo, no pueden usar información personal como datos de entrenamiento de IA y deben registrar cualquier modelo de IA externo ante la Administración del Ciberespacio de China.

Además, la CAC publicó nuevas orientaciones de preguntas y respuestas aclarando la mecánica de transferencias transfronterizas: qué debe contener una divulgación válida de «consentimiento separado», cómo se aplica el criterio de «necesidad» a transferencias rutinarias como el CV de un candidato y qué condiciones rigen la renovación de una transferencia ya aprobada. El 29 de julio, China publicó un proyecto de Ley Nacional contra la Violencia Cibernética para consulta pública, prohibiendo los deepfakes y la segmentación basada en perfiles para acosar. Barbara Li de Reed Smith expuso toda esta secuencia para la cobertura Asia-Pacífico de IAPP el 6 de agosto de 2026. Leído en conjunto, parece menos un anuncio aislado y más un regulador apretando varios frentes a la vez.

El Problema de los Bloques

WAICO importa más de lo que sugiere una simple foto. Veintinueve estados miembros fundadores, sede permanente en Shanghái, un Secretario General de la ONU en la sala. Los medios estatales chinos cubrieron el lanzamiento como un hito institucional serio, y el análisis de The Diplomat lo trata igual. Ninguna economía del G7 se unió. Ningún miembro de la UE se unió.

Esa ausencia lo dice todo. La gobernanza de la IA no está convergiendo hacia un solo marco que la Ley de IA de la UE, el enfoque de EE. UU. y el marco chino terminen por reconciliar. Se está dividiendo en sistemas paralelos, y un bloque de grandes economías como Brasil e Indonesia se está alineando con Shanghái en vez de Bruselas o Washington. Si tu cadena de suministro, relaciones bancarias o flujos de datos tocan cualquiera de esos 29 países, ya estás bajo el marco normativo de más de una jurisdicción. Si tu equipo de cumplimiento ya lo ha mapeado o no, es otra cuestión.

Por Qué las Cuentas Empeoraron

La fragmentación por sí sola ya sería un dolor de cabeza. Lo que hace diferente a 2026 es que las nuevas normas de China añaden requisitos concretos y auditables de evidencia a esa fragmentación, en vez de dejarlo en principios generales.

La guía bancaria de la NFRA es el ejemplo más claro. «No uses información personal para entrenar modelos de IA» y «registra modelos externos ante la CAC» no son campañas de concientización. Son cosas que un regulador puede pedirte que pruebes, en una fecha específica, con documentación concreta. Las preguntas y respuestas de la CAC sobre transferencias transfronterizas tampoco suavizan el fondo de las normas de transferencia de China. Elimina la ambigüedad que antes permitía a las empresas argumentar en zonas grises, lo que significa reglas más claras y menos lugares donde esconder una distancia.

No es una preocupación exclusiva de China. El Informe de Pronóstico de Seguridad de Datos y Riesgo de Cumplimiento 2026 de Kiteworks encontró que el 34% de las organizaciones ya citan los mecanismos de transferencia de datos transfronterizos como una prioridad regulatoria principal, y el 29% cita las transferencias transfronterizas a través de proveedores de IA como una de las principales exposiciones de privacidad de datos, y eso es antes de que el segundo marco normativo divergente de Pekín entrara en escena. Una verdadera válvula de alivio llega el 1 de septiembre de 2026: las empresas que procesen datos personales de menos de 100.000 personas califican en China como «gestores de información personal a pequeña escala», con avisos simplificados, consentimiento y ciclos de auditoría más largos. Reclamar esa exención igual requiere saber tu conteo frente al umbral, así que el trabajo de clasificación ocurre de todas formas.

La Pregunta Arquitectónica

Kiteworks no vende en China, así que aquí no hay ángulo de proveedor. El punto es claro: la exposición creada por las normas de este verano no depende de si tu empresa tiene presencia en China. Depende de si los datos cruzan esa frontera, ya sea información personal, CVs, registros financieros, conjuntos de entrenamiento de modelos, a través de una filial, un contrato con proveedor o una relación bancaria. La presencia de la empresa no es la unidad de análisis correcta. El cruce de datos sí lo es.

Eso cambia la respuesta. Perseguir cada nueva regulación china con un memo de política no escala cuando tienes que seguir a los estados alineados con WAICO, las normas de la UE y las leyes estatales de EE. UU. al mismo tiempo. Lo que sí escala es gobernar los propios datos: clasificación que identifica lo que está bajo alcance, políticas condicionadas por ubicación geográfica que actúan automáticamente sobre esa clasificación y evidencia de auditoría que demuestre que la política se cumplió. Los reguladores cada vez más piden exactamente esta capa. Es la misma que el Informe de Pronóstico 2026 encontró que el 33% de las organizaciones aún no tienen en forma de evidencia de calidad, una distancia ligada a una madurez de gobernanza de IA mediblemente menor en todos los ámbitos.

En la práctica, esto se traduce en un motor de política de datos basado en atributos que condiciona sobre un valor documentado (por ejemplo, geolocalización «es» o «no es» China) y aplica una respuesta graduada: bloquear, requerir aprobación, etiquetar o solo permitir visualización, para enviar, compartir, subir y adjuntar archivos en correo electrónico, uso compartido de archivos, APIs, SFTP, transferencia de archivos gestionada y el Secure MCP Server que usan las aplicaciones de IA para acceder a los datos. Tanto las personas como los agentes de IA que acceden a un archivo quedan bajo esa misma política. Ningún lado queda sin gestionar. Un control separado de soberanía de datos que fija los datos de un usuario a su país asignado, tanto en almacenamiento como en tránsito, con informes de ubicación integrados, le da al auditor algo más que un documento de política para revisar. Nada de esto requiere operar en China. Requiere gobernar la frontera que cruzan los datos.

¿Qué Significa Esto para el Lunes por la Mañana?

• Mapea cada flujo de datos que toque China: filial, contrato con proveedor, relación bancaria, incluso el CV de un candidato enviado a un reclutador en China, antes de asumir que no tener oficina en China significa no tener exposición.
• Clasifica lo que se mueve: información personal frente a datos operativos, datos de entrenamiento frente a todo lo demás. La norma de la NFRA convierte «¿esto se usó para entrenar un modelo?» en una pregunta que necesitas responder con documentación.
• Crea una política condicionada por ubicación geográfica para ese corredor específico, no un bloqueo general que interrumpa operaciones legítimas.
• Si tienes banca en China o dependes de un modelo de IA de origen chino, confirma ahora tu estado de registro ante la CAC; esa norma de la NFRA ya está en vigor.
• Antes de reclamar la exención para gestores a pequeña escala del 1 de septiembre, cuenta. La exención requiere el trabajo de clasificación que deberías estar haciendo de todas formas.
• Genera la evidencia de auditoría antes de que el regulador la pida, no después.

Los 29 miembros de WAICO y la ausencia del G7 hacen una historia geopolítica ordenada. El marco normativo fragmentado debajo es el que realmente te pedirá tu auditor.

Para saber más sobre cómo proteger y gobernar tus datos confidenciales, solicita una demo personalizada.

Recursos adicionales

• Artículo del Blog
  Estrategias Zero‑Trust para una protección de privacidad en IA asequible
• Artículo del Blog
  Cómo el 77% de las organizaciones está fallando en la seguridad de datos de IA
• eBook
  Brecha de gobernanza en IA: por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025
• Artículo del Blog
  No existe «–dangerously-skip-permissions» para tus datos
• Artículo del Blog
  Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.