Protección de datos en Ecuador y agentes de IA en WhatsApp: qué pide la LOPDP

Ecuador tiene ley de datos personales desde mayo de 2021. La Ley Orgánica de Protección de Datos Personales (LOPDP) se publicó en el Quinto Suplemento del Registro Oficial 459, del 26 de mayo de 2021, y su régimen sancionatorio entró a regir dos años después. Si tu negocio atiende por WhatsApp con un agente de IA, la ley aplica igual que si respondiera una persona, y desde marzo de 2026 hay además una norma de la Superintendencia pensada para la inteligencia artificial.

¿Quién es quién?

La ley llama responsable a quien decide sobre la finalidad y el tratamiento de los datos, y encargado a quien los trata a nombre y por cuenta de un responsable (artículo 4). La relación entre los dos debe estar regulada por un contrato (artículo 34). Si tu empresa usa una plataforma para correr su agente, tu empresa es la responsable y la plataforma, la encargada.

¿Qué pide la ley en una conversación?

Obligación	Artículo	En un chat con un agente
Base de legitimación	7	Consentimiento, contrato, interés legítimo u otra de las ocho
Consentimiento, si es la base	8	Libre, específico, informado e inequívoco, revocable sin justificar
Informar al recoger los datos	12	Finalidad, base legal, responsable y decisiones automatizadas, al empezar
Acceso, rectificación, eliminación y oposición	13 a 16	Respuesta en 15 días
Decisiones automatizadas	20	La persona puede pedir explicación e impugnar
Datos sensibles y de menores	21, 25 y 26	Prohibidos salvo excepciones, con reglas propias para niñas, niños y adolescentes
Seguridad	37	Medidas apropiadas al riesgo, también en el encargado
Vulneración de seguridad	43 y 46	Aviso a la Autoridad en 5 días y al titular en 3
Transferencia internacional	55 a 61	A países adecuados, con garantías o en los casos de excepción

El artículo 12 enumera diecisiete puntos que se informan al titular. Entre ellos están los fines, la base legal, el tiempo de conservación, la identidad y el contacto del responsable, las transferencias y la existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles. Cuando los datos se recogen del propio titular, se le informa en el momento mismo de la recogida.

¿Qué cambia cuando quien responde es un agente de IA?

1. Hay que decir que es automatizado. La norma general de la Superintendencia sobre datos personales en el uso de sistemas de inteligencia artificial, firmada el 12 de febrero de 2026 y publicada en el Registro Oficial 240 del 10 de marzo, llama «desplegador» a quien presta un servicio mediante un sistema de IA. Exige informar al titular, de manera clara, específica, determinada y transparente, el tratamiento hecho con IA, incluidas sus finalidades y su carácter automatizado, y pide gestionar riesgos y evaluar el impacto.
2. Las decisiones con consecuencias pasan por una persona. El artículo 20 permite no someterse a una decisión basada única o parcialmente en procesos automatizados. Si tu agente decide algo que afecta a alguien, como negar un servicio, deja la decisión final a tu equipo.
3. Los datos salen del país. Un agente de IA suele apoyarse en proveedores de otros países, y la ley regula esa transferencia en los artículos 55 a 61. Dilo en lo que informas al titular.

Cómo lo hace Meteor

• Roles por escrito. Los Términos de Meteor fijan que el cliente es Responsable y Meteor Encargado, que trata los datos solo según las instrucciones documentadas del cliente (cláusula 16.1). La cláusula 16.2 pone en el cliente la base legítima para tratar los datos con IA y transmitirlos a proveedores de modelos ubicados fuera del país, y la 16.6 dice que pueden tratarse en los Estados Unidos y otras jurisdicciones.
• Le indicas al Met cómo saludar. El prompt del Met es contenido de tu espacio de trabajo: ahí le instruyes que el primer mensaje diga que atiende un agente de IA, para qué se usan los datos y dónde está tu política.
• La constancia, en el contacto. El Met puede dejar una nota o una etiqueta en el contacto del CRM con lo que se le informó y cuándo. La cláusula 17.1 de los Términos fija la conservación de los registros de conversación mientras la cuenta tenga un plan activo y hasta 30 días después, salvo que la ley exija otro plazo o configures otra retención.
• Los incidentes. La cláusula 16.8 obliga a Meteor a avisarte dentro de las 72 horas siguientes a confirmar un incidente que afecte datos bajo su control. Las notificaciones a la Superintendencia y a los titulares siguen siendo tuyas, con los términos de los artículos 43 y 46.
• La oposición a la publicidad. Las difusiones dejan afuera a los contactos con el campo «Suscrito» apagado en su ficha, y el contacto que detiene las promociones desde WhatsApp queda marcado así con el primer rechazo de Meta.
• Transferir a una persona es una herramienta del Met: una solicitud de derechos o una decisión que no debe quedar solo en manos del agente pasa a tu equipo, como explica la página del agente de WhatsApp.

La página de Ecuador muestra las conexiones disponibles en el país. Lo que Meteor no hace por ti: redactar tu política, llevar tu registro de actividades ni designar a tu delegado de protección de datos.

Lo que no es

Esto no es asesoría legal. La ley se cita con sus artículos y su texto publicado en gob.ec, junto con la reforma de mayo de 2026 al artículo 43 y las resoluciones de la Superintendencia, consultados el 28 de octubre de 2026. Antes de ajustar tu política, revísala con un abogado en Ecuador.