Ciberseguridad y Protección de Datos:
sin gobernanza, no hay Política Pública
By Gustavo Gazzaneo (*)
Un problema de Política de Estado, no de tecnología
Cuando el riesgo es sistémico, la respuesta no puede ser sectorial.
La ciberseguridad y la protección de los datos personales dejaron de ser un debate técnico para convertirse en un problema estructural de gobernanza del Estado. El crecimiento del ciberdelito, la automatización de fraudes mediante IA, la adopción descontrolada de IA, la explotación de identidades digitales y la fragilidad de los sistemas públicos y privados exponen una realidad incómoda: la capacidad institucional va muy por detrás del riesgo que enfrenta la sociedad.
Más normas, menos capacidad
Regular sin ejecutar es institucionalizar la ineficacia.
En Argentina, la respuesta predominante sigue siendo normativa. Nuevas leyes, proyectos de reforma, tipificaciones penales más amplias o principios inspirados en marcos europeos conviven con un problema de fondo no resuelto: la falta de una arquitectura de gobernanza capaz de prevenir, coordinar y ejecutar. El resultado es un Estado que regula más rápido de lo que puede gobernar.
Ciberdelito: cuando el foco penal llega tarde
Castigar después no compensa no haber prevenido antes.
Las distintas discusiones recientes sobre ciberdelito, estafas digitales y responsabilidad institucional muestran con claridad esta limitación. Se aspira a ampliar figuras penales, pero no se aborda la negligencia sistémica, la asimetría entre ciudadanos y grandes organizaciones, ni la debilidad de los mecanismos de prevención. El ciudadano queda expuesto, mientras las instituciones discuten encuadres legales.
Datos sensibles sin control ni trazabilidad
La acumulación sin gobierno es una forma de riesgo estructural.
A esto se suma un factor frecuentemente subestimado: el volumen y la sensibilidad de los datos que hoy administran tanto el Estado como numerosas empresas privadas. Bases con información personal, biométrica, imágenes, registros de geolocalización y perfiles de comportamiento se acumulan y circulan sin controles efectivos, sin trazabilidad real y, en muchos casos, sin claridad sobre accesos, finalidades y responsabilidades. En este contexto, hablar de protección de datos sin capacidad de gobierno, auditoría y control operativo no solo es insuficiente: expone a riesgos estructurales difíciles de revertir.
Para dimensionar la magnitud del problema se suma un hecho central difícil de dimensionar: el Estado, en sus tres niveles, es hoy uno de los mayores concentradores de información personal del país. Registros civiles, padrones, bases biométricas, historias clínicas, datos fiscales, educativos, previsionales, judiciales y sociales conviven sin una gobernanza integral que establezca responsabilidades claras, criterios homogéneos y trazabilidad efectiva sobre su uso. No se trata solo de cuántos datos se almacenan, sino de la ausencia de una visión de conjunto sobre quién gobierna ese ecosistema, cómo se gestiona el riesgo asociado y quién responde cuando esa información se utiliza de forma indebida o queda expuesta. En este contexto, la falta de gobernanza no es una omisión administrativa: es una vulnerabilidad estructural del Estado.
La complejidad institucional no se evita: se gobierna
La descoordinación entre poderes también genera daño.
El desafío no es solo técnico ni organizacional: es institucional y político. La ciberseguridad y la protección de datos requieren una política pública articulada entre los tres poderes del Estado y entre los distintos niveles de gobierno. Sin coordinación explícita entre Ejecutivo, Legislativo y Judicial (y sin alineación entre Nación, provincias y municipios) los esfuerzos se dispersan, se duplican o se neutralizan. Normas que no se implementan, sistemas que no interoperan y decisiones judiciales tardías o mal informadas son síntomas de esa desarticulación.
Ley 25.326: una base valiosa, pero insuficiente
Actualizar la ley sin fortalecer al Estado es repetir el error.
La Ley 25.326 fue pionera en su momento. Hoy responde a una realidad tecnológica y de riesgo completamente distinta. Su actualización es necesaria, pero sin fortalecimiento institucional y capacidad de implementación, el cambio normativo pierde efectividad real.
AAIP: rol clave, capacidades limitadas
La autoridad formal no reemplaza al poder efectivo.
La Agencia de Acceso a la Información Pública (AAIP) cumple una función central, pero enfrenta límites evidentes en alcance, recursos y capacidad operativa frente a la magnitud del desafío. El debate relevante no es su existencia, sino cómo dotarla de mayor autoridad efectiva, articulación interinstitucional y foco en riesgo, evitando que quede reducida a un rol meramente declarativo o reactivo.
En este punto, hay además una dimensión que suele quedar fuera del debate público: la necesidad de evaluar y controlar el cumplimiento de la misión y funciones asignadas a la AAIP. Como toda autoridad con responsabilidades críticas, su desempeño debería ser objeto de seguimiento sistemático, con métricas claras, transparencia en resultados y mecanismos efectivos de rendición de cuentas. Sin evaluación institucional, la política de protección de datos corre el riesgo de apoyarse en estructuras formales sin capacidad demostrable de impacto real.
Gobernanza no es cumplimiento formal
Auditar papeles no equivale a proteger personas.
Hablar de gobernanza de ciberseguridad y datos personales implica asumir que estamos frente a una política pública transversal, comparable a la gestión de infraestructura crítica o a la seguridad ciudadana. No es un problema del área legal, ni de sistemas, ni de un regulador aislado. Requiere conducción política clara, roles definidos y coordinación federal efectiva.
El patrón actual: reacción y fragmentación
Cuando el Estado llega tarde, el daño ya ocurrió.
El esquema vigente muestra superposición de organismos, responsabilidades difusas y una lógica mayormente reactiva. Se actúa después del incidente, no antes. Se controla el cumplimiento formal, no el riesgo real. Se protege el expediente, no al ciudadano.
Implementar es decidir
Sin decisiones incómodas, no hay política pública.
Gobernar ciberseguridad y datos personales implica priorizar, asignar presupuesto, profesionalizar roles críticos y medir resultados. La implementación es una decisión política, no un detalle técnico.
Liderazgo y continuidad
Las políticas sin conducción dependen de personas, no de instituciones.
Sin liderazgo ejecutivo y continuidad más allá del ciclo político, cualquier esquema de gobernanza se vuelve frágil. En un contexto de amenazas crecientes y automatizadas, esa fragilidad es un riesgo inaceptable.
Conclusiones
La confianza digital no se declama: se gestiona.
Argentina no parte de cero. Cuenta con profesionales, marcos de referencia internacionales y experiencia acumulada en el sector público y privado. Lo que falta es ordenar esas capacidades en una política pública coherente, ejecutable y sostenida en el tiempo, con responsabilidades claras, liderazgo efectivo y continuidad institucional
Reconocer que el riesgo digital es un problema de gobernanza es solo el primer paso. El desafío real comienza cuando el Estado debe construir las capacidades necesarias para gobernarlo: coordinar, priorizar, ejecutar y sostener esa política en el tiempo.
La discusión ya no debería centrarse en qué nueva ley sancionar ni en qué principio incorporar. La discusión de fondo es cómo se construye capacidad estatal para gobernar el riesgo digital, cómo se coordinan los poderes del Estado y cómo se protege de manera efectiva al ciudadano en un entorno cada vez más automatizado y asimétrico.
En el mundo digital, la confianza pública no se garantiza solo con normas. Se construye con gobernanza, decisión política y ejecución a la altura del problema.
Una conversación necesaria
Este no es un debate académico ni tecnológico. Es una discusión de capacidad estatal, gobernanza y responsabilidad institucional. La complejidad del riesgo digital no admite soluciones parciales ni enfoques aislados.
Quienes están trabajando estos desafíos desde el sector público, el ámbito legislativo, los organismos de control o espacios técnicos saben que avanzar exige liderazgo, coordinación y capacidad real de implementación. El intercambio serio, informado y orientado a resultados es parte necesaria de cualquier política pública que aspire a ser efectiva.
En el segundo artículo de la serie profundizo este punto aplicado específicamente a la Inteligencia Artificial y la transparencia algorítmica, analizando por qué el orden importa y qué riesgos implica intentar regular sin haber consolidado previamente las capacidades institucionales necesarias.
(*) Acerca del autor:
GUSTAVO GAZZANEO: Fractional / Interim CIO | Board Advisor | Digital Transformation | IT Strategy & Governance | Digital Risk & AI Governance | Latin America
Comentarios
Publicar un comentario
TU OPINIÓN: