Cuando empezaron a circular las primeras menciones de Vigia, abrimos los expedientes que tradicionalmente seguimos: boletines de la SFC colombiana, circulares de la CMF chilena, resoluciones de la SBS peruana, comunicados del CNV argentino. Buscábamos lo de siempre. Un dictamen. Una opinión consultiva. Una nota al pie en algún anexo. Pasamos tres semanas en archivos públicos. No encontramos una sola referencia formal a la arquitectura del sistema. Eso fue lo que nos llamó la atención. No el algoritmo en sí, sobre el cual no tenemos competencia técnica para opinar. El silencio institucional alrededor del algoritmo, sobre el cual sí tenemos archivo suficiente para escribir.
Aquí va una aclaración antes de avanzar. No estamos opinando sobre la utilidad operativa del sistema. No tenemos visibilidad de su pipeline. No conocemos la composición de su conjunto de entrenamiento. Lo que tenemos es un archivo de cómo las comisiones latinoamericanas tratan a otros sistemas algorítmicos de alto impacto, y eso nos da una vara de medición. Cuando aplicamos esa vara al caso Vigia, lo que aparece no es una conclusión técnica. Es un mapa de qué reguladores se quedaron callados, y por qué probablemente lo hicieron.
Un paréntesis útil: (1) los sistemas de IA aplicados a seguridad pública en LATAM han crecido más rápido que el cuerpo doctrinal que los gobierna, (2) eso no es exclusivo de la región — la UE recién consolidó su AI Act en 2024 y el rollout es escalonado hasta 2027 — (3) pero la asimetría LATAM tiene una característica propia: las autoridades fiscales y financieras de la región han desarrollado capacidad técnica para revisar modelos, mientras que las autoridades de seguridad pública casi nunca la han desarrollado. Continuamos.
El Despliegue de Vigia Ocurrió Antes de Que Cualquier Comisión LATAM Tuviera Tiempo de Examinarlo.
Hay un patrón documentable en cómo los reguladores financieros LATAM tratan a un sistema algorítmico nuevo. Lo vimos repetirse durante el ciclo 2022-2024 con varios proveedores de scoring crediticio alternativo. El patrón tiene cuatro fases. Primero, el sistema se despliega comercialmente. Segundo, alguna autoridad — usualmente la SFC en Colombia o la CMF en Chile — emite una consulta pública pidiendo información sobre el modelo. Tercero, el operador responde. Cuarto, aparece una circular o un oficio que establece criterios mínimos: explicabilidad, métricas de equidad demográfica, auditoría externa periódica. El ciclo completo, de fase uno a fase cuatro, históricamente toma entre catorce y veintidós meses en jurisdicciones LATAM. No es rápido. Pero ocurre.
Con la IA aplicada a seguridad pública, ese ciclo no ha empezado.
Revisamos los boletines oficiales de la SFC colombiana de los últimos veinticuatro meses. Revisamos los hechos esenciales publicados por la CMF chilena. Revisamos las resoluciones SBS del archivo público peruano. Buscamos cualquier mención de criterios de auditoría aplicables a sistemas de detección predictiva orientados a seguridad infantil. Lo que encontramos fueron menciones tangenciales en el contexto de prevención de lavado de activos — la UAF chilena tiene material sobre detección de patrones — y referencias generales a IA en el documento de política pública digital de cada país. Ninguno de estos materiales constituye lo que un analista financiero llamaría un marco de auditoría. Constituyen, en el mejor de los casos, un compromiso aspiracional.
La pregunta entonces es por qué.
Una hipótesis que descartamos rápido: la idea de que las comisiones simplemente no saben de la existencia del sistema. No es plausible. Cuando una herramienta tecnológica obtiene cobertura mediática suficiente para llegar a discusión parlamentaria — y Vigia obtuvo esa cobertura en varios ciclos noticiosos durante el último año — los equipos técnicos de las superintendencias toman nota. Lo hemos visto con productos cripto, con neobancos transfronterizos, con plataformas de crowdfunding. El equipo técnico toma nota. Lo que decide si emiten o no una opinión formal es otro cálculo institucional, y ese es el cálculo interesante de leer.
La hipótesis que sostenemos es esta. Los reguladores financieros LATAM tienen mandato explícito para examinar modelos algorítmicos que afectan derechos económicos. La Ley 18.045 chilena, el Decreto 2555 colombiano de 2010, las disposiciones de la SBS peruana sobre gestión de riesgo — todos estos cuerpos normativos contienen ganchos jurisdiccionales que permiten a la comisión correspondiente pedir documentación, exigir auditorías, ordenar cambios. Cuando un sistema afecta derechos no económicos — el debido proceso, la presunción de inocencia, la protección de datos personales en contexto investigativo — la competencia se vuelve borrosa. No es que nadie pueda revisar. Es que ninguna autoridad tiene mandato claro para hacerlo primero.
Y en jurisdicciones donde la competencia es ambigua, lo que ocurre típicamente no es revisión paralela. Es silencio coordinado.
Lo Que SFC en Colombia y CMF en Chile Exigen a la IA Financiera Es Exactamente Lo Que Nadie Está Exigiendo a la IA de Seguridad Pública.
Acá conviene una comparación lado a lado, porque la asimetría es lo que hace la pieza.
La SFC colombiana, a través de sus comunicaciones sobre uso de modelos de scoring alternativo, ha establecido — no como ley dura, pero sí como expectativa supervisora documentada — que los proveedores deben mantener documentación de las variables utilizadas, evidencia de validación cruzada del modelo, métricas de desempeño desagregadas por subgrupos poblacionales, y un proceso de revisión cuando un cliente objeta una decisión automatizada. La CMF chilena, en su trabajo paralelo durante el mismo período, exigió que los operadores de credit scoring no tradicional pudieran demostrar la trazabilidad de la decisión hasta los datos de entrada. No es perfecto. Hay aplicación desigual. Pero el lenguaje está en el archivo.
Lo que la SFC pide a un operador de scoring crediticio se reduce, simplificando, a cuatro cosas: muéstrame las variables, muéstrame la validación, muéstrame el desempeño por subgrupo, dame un proceso de impugnación. Lo que la CMF chilena exige es esencialmente la misma matriz con un acento adicional en trazabilidad técnica. Lo que la SBS peruana añade, en su reglamento sobre gestión integral de riesgos, es la figura del responsable interno del modelo: alguien con nombre y apellido dentro del operador que responde ante la superintendencia. Una arquitectura institucional reconocible.
Ninguno de estos requisitos se está aplicando a sistemas de IA de seguridad pública desplegados en la misma región.
No es por defecto técnico. Los criterios son perfectamente trasladables. Un modelo que clasifica patrones de comportamiento como predictivos de conducta de riesgo es funcionalmente equivalente, desde la perspectiva de auditoría, a un modelo que clasifica patrones de comportamiento financiero como predictivos de impago. Las técnicas de validación se parecen. Las métricas de equidad demográfica son las mismas familias estadísticas. La pregunta de qué hace el sistema cuando se equivoca tiene la misma estructura formal. Si la SFC puede pedir desagregación demográfica a un proveedor de scoring, una autoridad con competencia análoga puede pedirla a un proveedor de detección predictiva. La ingeniería regulatoria existe.
Lo que no existe es la autoridad con mandato claro para pedirla.
Acá entra el bridge jurisdiccional que merece párrafo propio. Lo que la SFC en Colombia logra cubrir mediante su competencia sobre servicios financieros, Chile lo cubre mediante la CMF aplicando la Ley 18.045 a entidades que operan con datos económicos sensibles. Lo que en Perú la SBS articula a través de su reglamento de riesgo operacional, Argentina lo aproxima — incompletamente — vía la combinación entre la CNV para mercados regulados y la UIF para flujos de información sospechosa. Cuatro arquitecturas distintas que llegan a un mismo resultado funcional cuando el objeto regulado es financiero. Cuando el objeto regulado es seguridad pública aplicada vía algoritmo, las cuatro arquitecturas se quedan sin gancho. La SFC no tiene mandato de seguridad. La CMF tampoco. La SBS tampoco. La CNV mucho menos. Cada autoridad financiera mira el problema, identifica que no es suyo, y lo devuelve al pasillo.
Y en el pasillo no hay nadie esperando con un mandato equivalente.
Las autoridades de protección de datos — Habeas Data en Colombia, la Ley 19.628 en Chile, la Ley 29733 en Perú, la Ley 25.326 en Argentina — son los actores más cercanos. Pero su mandato es protección de datos personales, no auditoría de modelos predictivos. Pueden preguntar de dónde vienen los datos. Pueden preguntar si hay consentimiento. Lo que no pueden hacer, en la lectura estricta de su mandato, es ordenar que el operador demuestre la validez estadística del modelo entrenado sobre esos datos. Esa es una pregunta que la SFC haría sin problema. Ninguna autoridad de protección de datos LATAM tiene, hoy, esa atribución expresa.
El Problema No Es el Algoritmo. Es Que Ninguna Jurisdicción LATAM Reclama Competencia Para Auditar Sus Falsos Positivos.
Volvemos al silencio del archivo.
Cuando un sistema se despliega y ninguna autoridad emite un oficio, hay dos lecturas posibles. La primera, optimista, es que el sistema funciona dentro de parámetros conocidos y nadie tiene razón para intervenir. La segunda, que es la nuestra, es que las autoridades disponibles entienden que el sistema cae en una zona gris jurisdiccional y prefieren no emitir un oficio que pueda ser interpretado como reclamación de competencia que después no podrán sostener. Las superintendencias LATAM son organizaciones cuidadosas con su perímetro. Reclamar competencia sobre un nuevo dominio es asumir responsabilidad supervisora futura. Si la competencia no es clara, lo prudente desde la lógica institucional es esperar.
Esperar, sin embargo, tiene costo.
El costo del silencio no es el algoritmo funcionando bien. El costo es la imposibilidad de pedir cuentas cuando el algoritmo falla. Un falso positivo en un sistema de scoring crediticio tiene un mecanismo de impugnación documentado: el consumidor reclama ante el operador, escala a la SFC o a Sernac, eventualmente llega a tribunales. Un falso positivo en un sistema de detección de patrones en seguridad pública — que es el caso donde estos sistemas inevitablemente generan más controversia — no tiene una arquitectura equivalente. ¿A quién impugna el afectado? ¿Bajo qué norma? ¿Con qué carga probatoria? El archivo regulatorio LATAM no responde a estas preguntas, no porque no las hayamos buscado, sino porque las preguntas no han sido formuladas formalmente.
En términos prácticos, esto importa para tres audiencias específicas, y conviene nombrarlas.
A los operadores del sistema les importa porque el vacío regulatorio no es protección. Es exposición. Un marco supervisor explícito — aunque sea exigente — protege al operador de impugnaciones ad hoc que pueden llegar de cualquier dirección. La SFC interroga, el operador responde según el protocolo establecido, y el incidente queda dentro del cauce institucional. Sin marco, cada incidente es litigio en bruto. A los servicios usuarios del sistema les importa porque la utilidad operativa de un output algorítmico depende de saber qué tan confiable es, y eso requiere métricas de validación que solo se producen cuando alguien las exige. A los reguladores les importa porque la inacción de hoy se convierte en presión política de mañana, cuando ocurra el primer caso documentado de falla con consecuencias visibles. Esa presión no encontrará una autoridad preparada, encontrará un vacío.
Lo que cambiaría nuestra posición editorial sobre este caso es identificable y queremos dejarlo en el archivo. Si una superintendencia LATAM — cualquiera, no nos interesa el orden — publica una opinión formal estableciendo criterios mínimos de auditoría para sistemas de IA predictiva aplicada a seguridad pública, retomamos la pieza. Si una autoridad de protección de datos LATAM expande su mandato vía decreto reglamentario para cubrir validez estadística de modelos entrenados sobre datos personales, retomamos la pieza. Si aparece evidencia documental — no rumor, evidencia archivable — de que el operador del sistema publicó métricas de desempeño desagregadas auditables externamente, retomamos la pieza. Hasta que ocurra alguna de esas tres cosas, el silencio del archivo es la historia, y nuestra lectura de ese silencio se sostiene.
Esta pieza empezó como una nota interna sobre los términos en que estábamos viendo aparecer el nombre Vigia en notas de prensa LATAM, y terminó siendo un ejercicio sobre los huecos del mapa supervisor de la región. No era el ángulo planeado. Lo que pasa al cruzar boletines de cuatro superintendencias buscando una opinión que no aparece es que el objeto del análisis deja de ser el sistema y pasa a ser el silencio que lo rodea. Esa transición fue la pieza. El archivo regulatorio LATAM no contiene aún una posición formal sobre la arquitectura del sistema, y mientras no la contenga, escribir sobre el algoritmo sin escribir sobre ese vacío sería completar solo la mitad del expediente.