Regulación y cumplimiento en América Latina — Septiembre 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 849 hechos con fecha en septiembre 2026 · 143 de meses anteriores (marco comparativo, no volumen del mes) · 8 posteriores al período (excluidos). Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo

El período analizado mostró una combinación poco habitual de movimiento regulatorio y refinamiento institucional en tres frentes que se vuelven cada vez más interdependientes para los equipos de seguridad y cumplimiento: protección de datos, fiscalización de plataformas y criminalidad informática. La novedad más visible estuvo en Brasil, donde la ANPD avanzó con una audiencia pública y una consulta pública para recalibrar su marco de fiscalización y sanción, mientras la cobertura periodística siguió mostrando una aplicación cada vez más activa de facultades preventivas en casos vinculados con menores y entornos digitales. En paralelo, Argentina consolidó una agenda de política criminal y de modernización estatal con la creación del PRONACIB y con un proyecto de ley que incorpora seguridad cibernética e infraestructura crítica dentro de un Sistema de Seguridad Nacional. A eso se sumaron señales relevantes en Perú, Ecuador, Paraguay y Entre Ríos, donde los cronogramas de adecuación, los debates legislativos y las reformas de administración digital empujan a las organizaciones a revisar gobernanza, trazabilidad y responsabilidad interna.

Desde una perspectiva CISO, el punto de fondo no es solo que haya más normas o proyectos, sino que se están definiendo con mayor nitidez los mecanismos de intervención del Estado: notificación de incidentes en plazos breves, facultades cautelares sobre funcionalidades, criterios de transparencia y auditabilidad para IA, y obligaciones de preservación de evidencia digital. Eso implica que los controles ya no se evalúan únicamente por su existencia documental, sino por su capacidad para sostener decisiones regulatorias, responder a incidentes y demostrar diligencia razonable ante eventuales investigaciones. La convergencia entre protección de datos, ciberseguridad, consumo digital y política criminal crea un entorno donde una misma debilidad técnica puede generar consecuencias administrativas, reputacionales y procesales al mismo tiempo.

Panorama

El mapa regulatorio del mes confirmó que América Latina sigue alejándose de una visión fragmentada de la seguridad digital. En Brasil, la ANPD puso en marcha una discusión explícita sobre cómo fiscalizar de modo más proporcional, preventivo y escalable, con ritos diferenciados según la gravedad de la infracción y el tamaño económico del agente de tratamiento. La propuesta no se limita a sanciones; también introduce medidas preventivas cautelares, términos de ajuste de conducta y planes prioritarios de cumplimiento, lo que sugiere un regulador menos centrado en la sanción ex post y más orientado a modificar comportamiento en tiempo real. Para las empresas, el mensaje operativo es claro: la ausencia de un incidente grave no elimina el escrutinio si existen riesgos inminentes para usuarios, especialmente niños y adolescentes.

Argentina, por su parte, mostró una doble vía de intervención estatal. Por un lado, el Ministerio de Justicia creó el PRONACIB para ordenar diagnósticos, preservar evidencia y articular capacidades contra la ciberdelincuencia con una mirada basada en evidencia. Por otro, el Poder Ejecutivo envió al Congreso un proyecto de 133 artículos para crear un Sistema de Seguridad Nacional con funciones expresas sobre seguridad cibernética e infraestructura crítica. Esa combinación es relevante porque une la respuesta operativa a los delitos con una arquitectura normativa más amplia para proteger activos e instalaciones cuyo impacto sistémico podría afectar salud, economía, defensa o funcionamiento del Estado. La señal para los sectores regulados es que la ciberseguridad deja de ser una función técnica aislada y pasa a ser un componente de seguridad nacional y continuidad de servicios esenciales.

Perú aportó una referencia de madurez en cumplimiento de datos personales: bajo el reglamento de la Ley 29733, las medianas empresas tienen como fecha de referencia el 30 de noviembre de 2026 para culminar la designación del Oficial de Datos Personales. Más allá de la fecha concreta, el dato muestra que la adecuación se está consolidando por capas, según tamaño y naturaleza organizacional, y no como una obligación uniforme para todo el mercado. Para un CISO o un responsable de privacidad, esto implica que el cumplimiento no se resuelve solo con una política general; exige asignación clara de roles, inventario de tratamientos, respuesta a incidentes y capacidad real de supervisión interna.

En paralelo, la prensa y los organismos de Brasil reflejaron una discusión especialmente sensible sobre protección de menores y plataformas digitales. Aunque parte de la cobertura se apoyó en expedientes concretos y parte en propuestas todavía en debate, el patrón es consistente: los reguladores se muestran dispuestos a exigir medidas más intrusivas cuando perciben riesgos relevantes para niños y adolescentes, incluyendo controles parentales reforzados, configuraciones de privacidad más estrictas y facultades de suspensión temporal de funcionalidades específicas. Para las plataformas y sus proveedores tecnológicos, la implicancia es directa: los diseños por defecto, la segmentación por edad y la trazabilidad de decisiones algorítmicas están pasando de ser buenas prácticas a convertirse en expectativas verificables.

Indicadores

Indicadores de volumen y alcance

Los indicadores del período deben leerse como una foto acotada al material analizado y no como una medición exhaustiva de toda la actividad regional. En esta edición, la señal principal no fue la cantidad bruta de incidentes tecnológicos, sino la densidad regulatoria y la variedad de mecanismos estatales activados. Cuando el material no muestra un dato, eso no significa que el hecho no haya existido en la región; significa únicamente que no apareció en el corpus relevado para este informe. En particular, si algún indicador se reporta en cero, debe interpretarse como ausencia de aparición en el material analizado, no como inexistencia regional de ese fenómeno.

En materia de telemetría, toda cifra de intentos, bloqueos, escaneos o detecciones debe entenderse como ruido de fondo automatizado y no como intrusión confirmada. Por eso, incluso cuando vendors o fuentes técnicas muestran números llamativos, no deben mezclarse con incidentes acreditados ni usarse para inferir por sí solos un aumento del riesgo operativo. El informe preserva esa separación: la telemetría describe presión ambiental; los incidentes describen eventos con impacto verificable o con respuesta institucional definida.

Indicadores regulatorios

La actividad regulatoria del período se concentró en Argentina y Brasil, con extensiones relevantes en Perú y otros países con agenda legislativa o administrativa en curso. La ANPD brasileña abrió una audiencia pública y luego una consulta pública sobre la actualización de sus reglamentos de fiscalización y del proceso administrativo sancionador, mientras el debate público se amplió a medidas cautelares y ritos diferenciados. En Argentina, la creación del PRONACIB y el proyecto de Sistema de Seguridad Nacional apuntaron a institucionalizar una política de combate a la ciberdelincuencia y de protección de infraestructura crítica con enfoque en evidencia digital. En Perú, la fecha de referencia para el Oficial de Datos Personales consolidó la lógica de cronograma gradual según el tamaño de la organización.

La lectura operativa de estos movimientos es que la región está convergiendo hacia una matriz de cumplimiento más documentada y más sensible al riesgo. Ya no alcanza con declarar que una empresa "tiene" un programa de seguridad o de privacidad; ahora se espera que pueda demostrar cómo detecta, evalúa, contiene, registra y reporta. El crecimiento de la trazabilidad como requisito regulatorio afecta tanto a instituciones financieras como a plataformas digitales, organismos públicos y proveedores tecnológicos. Esto obliga a revisar registros de tratamiento, matrices de riesgo, planes de respuesta a incidentes, controles sobre terceros y mecanismos de evidencia.

Indicadores de respuesta estatal

La respuesta estatal mostró un sesgo cada vez más operativo. En Argentina, el PRONACIB fue concebido para identificar, rastrear, asegurar, incautar y analizar activos virtuales y evidencia digital asociada, además de elaborar diagnósticos sobre modalidades de ciberdelincuencia. Eso sugiere una intención de construir capacidades permanentes, no solo de reaccionar caso por caso. La posibilidad de mesas de trabajo interinstitucionales con organismos públicos, autoridades judiciales, fuerzas de seguridad, empresas y otros actores privados apunta a una gobernanza más transversal, algo especialmente relevante para sectores con alta exposición a fraude, abuso de infraestructura y delitos digitales.

En Brasil, la ANPD evidenció una lógica de intervención preventiva. Las medidas cautelares, la suspensión temporal de funcionalidades algorítmicas específicas y la posibilidad de formalizar términos de ajuste de conducta indican que el regulador no quiere limitarse a sancionar después del daño. Quiere intervenir antes, cuando el riesgo es identificable y potencialmente dañino para usuarios vulnerables. Ese cambio modifica la gestión del riesgo en plataformas, porque el tiempo de reacción regulatorio puede ser más corto que el ciclo tradicional de remediación técnica.

Incidentes

Brasil: fiscalización de plataformas, protección de menores y evolución del caso TikTok/Discord

Brasil fue el país con mayor densidad de señales de enforcement y debate regulatorio en el período. La ANPD anunció y luego realizó una audiencia pública para actualizar su Reglamento del Proceso de Fiscalización y del Proceso Administrativo Sancionador, y explicó que el proceso de revisión se divide en dos etapas: primero la audiencia pública y luego una consulta pública en la plataforma Brasil Participativo. La discusión no quedó en términos abstractos; la cobertura especializada indicó que la propuesta incluye ritos diferenciados según gravedad de la infracción y tamaño económico del agente de tratamiento, además de medidas preventivas cautelares para casos con riesgos inminentes para la integridad física o psicológica de usuarios. Para equipos de compliance, esto exige pensar en proporcionalidad no solo como defensa ante el regulador, sino como diseño interno: procesos diferenciados de escalamiento, priorización y evidencia.

La misma agenda regulatoria se enlazó con la protección de niños y adolescentes en entornos digitales. La cobertura especializada reportó que la ANPD había determinado la suspensión, en Brasil, de la funcionalidad de transmisión de video de Discord y de recursos equivalentes de intercambio de video, en el contexto de controles destinados a prevenir y mitigar riesgos para los derechos de niños y adolescentes. Aunque el detalle del expediente excede el alcance de este informe, la lectura operativa es contundente: un regulador de datos puede llegar a restringir funcionalidades específicas cuando considera que el diseño de una plataforma o su modelo de control no ofrece garantías suficientes. Eso obliga a las empresas a preparar respuestas que no se limiten al área jurídica; deben involucrar producto, ingeniería, experiencia de usuario, trust & safety y atención al usuario.

En el caso vinculado con TikTok, la cobertura periodística sobre el caso brasileño indicó que las cuentas de usuarios menores de 16 años deberían adoptar automáticamente configuraciones de privacidad más restrictivas, modificables con autorización de responsables, junto con controles parentales reforzados. Esa formulación no debe leerse como una obligación genérica de toda plataforma en Brasil, sino como el tipo de medida que el debate regulatorio y judicial está instalando en el mercado. El valor analítico está en la dirección del cambio: defaults más restrictivos, supervisión parental más fuerte y menor tolerancia al diseño opaco en productos masivos para menores. Para los CISOs y líderes de privacidad, esto significa revisar cómo se documentan decisiones algorítmicas, qué datos se recolectan de adolescentes y qué controles existen para minimizar exposición innecesaria.

La relevancia del caso no se agota en la sanción o en la medida cautelar. También muestra la forma en que el ecosistema de fiscalización brasileño está integrando protección de datos, seguridad y protección de la infancia. La referencia a reportes semestrales de transparencia para proveedores con más de un millón de usuarios infantojuveniles, aunque no debe atribuirse automáticamente a una obligación vigente del caso TikTok, sí refleja el tipo de expectativa que el regulador está dispuesto a colocar sobre el mercado. En términos prácticos, el desafío para las plataformas es construir capacidad de rendición de cuentas sobre perfiles de riesgo, moderación, incidentes y decisiones de mitigación.

Brasil: consulta sobre fiscalización de plataformas y posibles medidas cautelares

La consulta pública de la ANPD sobre nuevas reglas de fiscalización de plataformas digitales merece un análisis separado porque marca un desplazamiento desde el enforcement reactivo hacia una ingeniería regulatoria más sofisticada. La cobertura de Portal do Holanda señaló que el alcance propuesto podría incluir proveedores de productos tecnológicos dirigidos a niños y adolescentes, plataformas digitales y empresas con acceso probable a menores, además de posibles investigaciones sobre derechos de usuarios de internet y protección de mujeres en el entorno digital. A nivel de política pública, esto revela que la ANPD está pensando en categorías de riesgo y no solo en tipos de servicios.

Un punto importante es la posibilidad de exigir la divulgación de facturación o del número de usuarios brasileños, junto con multas diarias de hasta R$ 50 millones por incumplir medidas cautelares. Esos mecanismos aparecen como parte de una propuesta todavía sujeta a cambios, por lo que no deben describirse como reglas vigentes. Sin embargo, su presencia en la discusión ya tiene efectos operativos: obliga a las empresas a anticipar cómo podrían responder a requerimientos de información financiera, a eventuales órdenes de suspensión y a medidas de cumplimiento acelerado. Para el CISO, esto significa que la continuidad de servicio y la capacidad de producción de evidencia regulatoria se vuelven tan importantes como la seguridad técnica clásica.

La audiencia pública registró 43 inscriptos entre especialistas y representantes del sector público y privado. Ese dato, aunque no es un indicador de riesgo, sí revela que existe masa crítica de interés en el tema y que la ANPD busca insumos técnicos, no solo jurídicos. La participación de expertos y actores empresariales es relevante porque puede terminar cristalizando estándares de facto sobre proporcionalidad, legitimidad de medidas cautelares y criterios de verificación. Quien espere a la publicación final para empezar a adaptarse probablemente llegue tarde.

Brasil: LGPD, incidentes de seguridad y deber de registro

La discusión brasileña sobre fiscalización no puede separarse de las obligaciones ya consolidadas en materia de incidentes de seguridad. Una publicación especializada en cumplimiento de la LGPD señaló que la Resolución CD/ANPD n.º 15/2024 establece la comunicación a la ANPD y a los titulares, en un plazo de hasta tres días hábiles, de incidentes que puedan ocasionar riesgo o daño relevante; también señaló la obligación de registrar los incidentes, incluidos los que no sean comunicados. Esa referencia es central para la práctica de respuesta a incidentes porque introduce una disciplina doble: reportar cuando corresponda y registrar siempre.

Para los equipos de seguridad, esto cambia la forma de trabajar el playbook de incidentes. No basta con contener el evento; hay que dejar trazabilidad de las decisiones, de los criterios que llevaron a reportar o a no reportar, de la evaluación de riesgo y de los pasos de remediación. En otras palabras, la documentación ya no es un subproducto administrativo sino un activo de defensa. Si un incidente se discute después ante una autoridad, la empresa necesitará reconstruir tiempos, responsables, análisis de impacto y evidencia de mitigación. La obligación de registrar incidentes no comunicados es especialmente relevante porque evita que la organización seleccione solo los casos "presentables" y omita eventos menores que, en conjunto, revelan debilidades sistémicas.

Argentina: creación del PRONACIB y salto institucional en ciberdelito

El 25 de septiembre de 2026, el Ministerio de Justicia argentino creó el Programa Nacional de Política Criminal en Materia de Ciberdelincuencia y Evidencia Digital, conocido como PRONACIB, dependiente de la Subsecretaría de Política Criminal de la Secretaría de Justicia. La resolución fue firmada por el ministro de Justicia Juan Bautista Mahiques y publicada en el Boletín Oficial, donde además se indicó que todo tratamiento de datos personales realizado en el marco del programa debe ajustarse a la Ley 25.326, su decreto reglamentario y la normativa complementaria aplicable. Ese detalle es importante porque marca un límite explícito: incluso en una política criminal enfocada en evidencia digital, el tratamiento de datos no queda exento de privacidad.

El PRONACIB incorpora líneas de trabajo sobre identificación, rastreo, trazabilidad, aseguramiento, incautación y análisis de activos virtuales y de evidencia digital. También incluye la preservación y el análisis de prueba digital, la ciberseguridad aplicada a investigaciones, los activos virtuales y el impacto de la inteligencia artificial y otras tecnologías emergentes en las modalidades delictivas. En términos de política pública, esto indica que el Estado argentino reconoce que la investigación penal ya no puede depender solo de herramientas tradicionales; necesita competencias forenses digitales, capacidad de análisis técnico y comprensión de nuevas superficies de delito.

La designación de Mariano Tomás Rivas como coordinador ad honorem agrega otro dato relevante: el programa no parece pensado como una estructura puramente burocrática, sino como un nodo de articulación con liderazgo específico. Además, la posibilidad de conformar mesas de trabajo interinstitucionales con actores públicos y privados sugiere que el gobierno busca construir capacidad de respuesta coordinada. Para las empresas, esto tiene una consecuencia concreta: la cooperación con investigaciones y requerimientos de evidencia digital será cada vez más estructurada, y convendrá preparar procesos internos para preservación, cadena de custodia y respuesta a oficios.

Argentina: proyecto de Sistema de Seguridad Nacional e infraestructura crítica

En paralelo al PRONACIB, el Poder Ejecutivo argentino envió al Congreso un proyecto de 133 artículos organizado en ocho capítulos que crea un Sistema de Seguridad Nacional e incorpora funciones de seguridad cibernética y protección de infraestructuras críticas públicas y privadas. Según la cobertura consultada, el proyecto ingresó a Diputados el 17 de septiembre de 2026, comenzó su debate en comisión el 30 de septiembre y el oficialismo prevé una segunda reunión el 6 de octubre para llevarlo al recinto el 21 de octubre. Ese cronograma legislativo importa porque permite estimar cuándo podría empezar a ordenarse la discusión sobre alcance institucional y obligaciones sobre actores críticos.

La definición de infraestructura crítica incluida en el proyecto abarca instalaciones, redes, sistemas, servicios y activos públicos o privados cuya interrupción o destrucción pueda afectar significativamente la seguridad, la defensa, la salud, la economía, los servicios esenciales o el funcionamiento del Estado. Esa redacción es lo suficientemente amplia como para abarcar sectores con distintos perfiles de exposición, desde energía y salud hasta telecomunicaciones y servicios financieros. La amplitud también obliga a pensar en interdependencias: una falla en un actor tecnológico puede derramarse sobre cadenas logísticas, servicios básicos o funciones estatales.

La lectura crítica consultada por algunas fuentes sostiene que el nuevo Sistema de Seguridad Nacional y su Consejo de Seguridad Nacional, presidido por el Presidente, también abarcarían la protección de infraestructuras críticas, aunque ese alcance institucional debe contrastarse con el texto legislativo completo. Por eso conviene ser prudentes al interpretar la arquitectura final. No obstante, incluso con esa cautela, el mensaje es inequívoco: la seguridad cibernética está siendo incorporada a una lógica de seguridad nacional y no solo a una agenda de delitos informáticos. Para sectores estratégicos, esto puede traducirse en mayores expectativas de coordinación, continuidad operativa y reporte de incidentes significativos.

Argentina: programa contra la ciberdelincuencia, evidencia digital e IA

La cobertura sobre PRONACIB también mostró una dimensión metodológica: el programa prevé elaborar diagnósticos sobre modalidades de ciberdelincuencia, detectar problemas prioritarios y promover una política criminal basada en evidencia. Ese enfoque es relevante porque sugiere que las autoridades no quieren trabajar a ciegas ni solo bajo presión mediática. Pretenden producir información estructurada sobre patrones de delito, técnicas usadas por los atacantes y vacíos de capacidad institucional. A mediano plazo, eso podría volver más frecuentes las solicitudes de datos, la cooperación técnica y la articulación con actores privados que administran plataformas, servicios en la nube, pasarelas de pago o infraestructura de evidencia.

La referencia explícita a inteligencia artificial y tecnologías emergentes también merece atención. La resolución contempla su uso en prevención, detección e investigación de delitos, bajo criterios de legalidad, transparencia, trazabilidad, auditabilidad, no discriminación y protección de datos personales. Esa enumeración no es decorativa; en la práctica, establece el marco normativo mínimo para que la IA no sea solo un recurso de automatización, sino una herramienta que pueda ser auditada y explicada. Para un CISO, esto abre dos frentes: por un lado, verificar que las herramientas internas de detección o scoring no generen sesgos ni problemas de trazabilidad; por otro, preparar la empresa para un ecosistema de investigación pública que también utilizará modelos algorítmicos.

Perú: cronograma de adecuación en datos personales

En Perú, los análisis de cumplimiento señalaron que, bajo el reglamento de la Ley 29733, las medianas empresas tienen como fecha de referencia el 30 de noviembre de 2026 para culminar la designación del Oficial de Datos Personales. Lo relevante aquí no es solo la fecha, sino el patrón regulatorio que refleja: la adecuación se concibe de manera gradual y segmentada según el tamaño y el tipo de organización. Eso significa que el regulador parte de la premisa de capacidades desiguales en el mercado y usa plazos diferenciados para ordenar el cumplimiento.

Para las organizaciones, este hito obliga a revisar si la designación del oficial quedó limitada a un cumplimiento formal o si se traduce en funciones reales de supervisión, asesoramiento y seguimiento. En muchas empresas, el riesgo consiste en nombrar a una persona sin darle independencia, acceso a información ni recursos. Si el plazo de noviembre de 2026 se interpreta solo como un trámite, el riesgo reputacional y regulatorio puede persistir. El valor operativo de la designación depende de que exista capacidad efectiva para mapear tratamientos, responder consultas internas y escalar incidentes con criterio.

Paraguay y Ecuador: infraestructura crítica y agenda parlamentaria

La prensa paraguaya informó que el proyecto de Protección de Infraestructura Crítica fue aprobado con modificaciones en comisión y figuraba entre los asuntos que el Senado analizaría el 23 de septiembre de 2026. La cobertura menciona sectores de energía, agua, telecomunicaciones, salud, transporte, finanzas y servicios tecnológicos. Aunque el estado final del trámite no se desarrolla en profundidad en el material disponible, la sola enumeración de sectores muestra una visión amplia de criticidad y refuerza la tendencia regional a tratar la dependencia tecnológica como parte del problema de seguridad.

En Ecuador, la Asamblea Nacional trató un informe no vinculante sobre la objeción parcial al Proyecto de Ley Orgánica para el Fortalecimiento de la Ciberseguridad y aprobó la moción de resolución correspondiente. En términos operativos, este tipo de avance parlamentario indica que la ciberseguridad sigue en el radar legislativo y que los sectores públicos y privados deberían monitorear el contenido final para anticipar exigencias sobre coordinación, infraestructura y responsabilidades. La experiencia regional muestra que cuando la ciberseguridad entra en ciclo legislativo, las obligaciones de reporte y las expectativas sobre coordinación intersectorial tienden a crecer.

Entre Ríos: transformación digital del Estado y gobernanza de datos

Entre Ríos aportó una señal importante sobre modernización administrativa con media sanción al proyecto de Ley de Transformación e Innovación Digital impulsado por el Poder Ejecutivo provincial. La iniciativa incorpora disposiciones sobre trámites, expedientes, firmas y domicilios digitales, gobernanza de datos y tecnologías emergentes; además, establece principios de seguridad, confidencialidad, trazabilidad y protección de datos personales. Ese tipo de norma es relevante porque no se limita a digitalizar papeles: intenta construir un marco para que la administración pública funcione con trazabilidad y controles más robustos.

Según el texto aprobado, las bases de datos públicas son activos bajo titularidad, custodia y gestión estatal, e incluye pautas de transparencia, auditoría, supervisión humana y prevención de sesgos para sistemas de inteligencia artificial utilizados por organismos públicos. En otras palabras, la digitalización estatal se acompaña de una teoría de gobernanza: los datos no son un residuo administrativo sino un activo que requiere custodia, y la IA no puede operar sin supervisión humana y sin controles para evitar sesgos. Para el sector privado que contrata con el Estado, esto puede anticipar mayores exigencias sobre integridad de plataformas, interoperabilidad, seguridad y documentación.

La cobertura local también señaló que el proyecto alcanza a los tres poderes provinciales, organismos autárquicos y autónomos, empresas estatales y otros entes del sector público, con posibilidad de adhesión de municipios y comunas. Eso sugiere que el alcance no se limita al Ejecutivo provincial. Si la adhesión se expande, el estándar de digitalización podría volverse un punto de referencia transversal para la administración pública entrerriana. Para los equipos de seguridad, el desafío será doble: proteger sistemas propios y, a la vez, adaptarse a requisitos de contratación y operación que exijan mayor trazabilidad y seguridad por diseño.

México: consulta pública sobre cámaras de compensación

En México, el Banco de México mantuvo una consulta pública previa para la emisión del Anexo 5 del proyecto de reglas aplicables a la organización, funcionamiento y operación de cámaras de compensación para pagos con tarjetas, referido al intercambio de mensajes de transacciones financieras. Aunque se trata de una consulta y no de una regla final, su existencia demuestra que la infraestructura de pagos sigue bajo un escrutinio técnico relevante. Para los operadores, esto suele implicar revisar arquitectura de mensajes, estándares de interoperabilidad, controles de integridad y mecanismos de resiliencia.

La relevancia para seguridad no es menor. Las cámaras de compensación y los intercambios de mensajes forman parte de la columna vertebral de pagos electrónicos; cualquier cambio en su esquema de funcionamiento puede incidir en tiempos de respuesta, validaciones, conciliación y monitorización antifraude. Los equipos de seguridad y fraude deben mirar este tipo de consulta no como una formalidad regulatoria, sino como una pista temprana de ajustes que podrían impactar diseño, logging y capacidad de investigación de disputas o anomalías.