IA y la Ley 7593 · Qué tiene que cumplir su empresa
Hay tiempo hasta 2027. Conviene usarlo.
Qué cambia la nueva ley de protección de datos personales de Paraguay para las empresas que usan inteligencia artificial.
La Ley 7593/2025 es la primera ley general de protección de datos personales
de Paraguay. Rige desde fines de noviembre de 2027 para empresas y organismos
públicos. Para quien usa IA con datos de clientes o empleados, cambia cinco
cosas concretas.
Actualizado: 27 de octubre de 2026 · Por Andreas Walther, fundador de Contrast Concepts
Esta guía es informativa y no es asesoramiento legal. Los artículos citados se verificaron en el texto oficial de la ley. Para decisiones concretas, consulte a un abogado.
Los plazos
2025 · Publicación
La ley se promulgó y publicó el 27 de noviembre de 2025. Crea la Agencia
Nacional de Protección de Datos Personales, dentro del MITIC y con autonomía
funcional.
Hasta 2027 · Reglamentación pendiente
El Poder Ejecutivo tiene 24 meses para dictar el decreto reglamentario
(artículo 60). Varios detalles dependen de él, por ejemplo qué empresas
tienen que designar un oficial de protección de datos.
Noviembre de 2027 · Entrada en vigor
24 meses después de la publicación (artículo 57): a fines de noviembre
de 2027. Desde entonces, la Agencia puede supervisar, recibir denuncias
y sancionar.
Lo que cambia para quien usa IA
Cinco artículos que conviene conocer.
Decisiones automatizadas
Una persona puede pedir que se revise una decisión tomada en base a un
tratamiento automatizado que la afecte, y saber con qué criterios se tomó.
Si una IA filtra candidatos, califica clientes o aprueba créditos, alguien
tiene que poder revisarlo.
Datos que salen del país
Los datos personales solo pueden ir al exterior con un nivel de protección
adecuado o con garantías apropiadas. Los grandes proveedores de IA procesan
fuera de Paraguay, así que esto aplica casi siempre.
Contrato con el proveedor
Quien procesa datos por cuenta de su empresa, como un proveedor de IA,
es un encargado del tratamiento. Hace falta un contrato que fije qué datos,
para qué, por cuánto tiempo y con qué obligaciones.
Evaluación de impacto
Es obligatoria, entre otros casos, cuando se elaboran perfiles de forma
sistemática y automatizada con efectos jurídicos, o cuando se tratan datos
sensibles a gran escala.
Incidentes en 72 horas
Si hay una filtración, hay que avisar a la autoridad y, cuando corresponda,
a las personas afectadas, en un plazo máximo de 72 horas desde que la empresa
se entera.
Qué preparar antes de 2027
Una lista práctica, de lo más simple a lo más trabajoso.
- Una regla escrita de qué datos se pueden poner en herramientas de IA y cuáles no.
- Cuentas de empresa, no personales, en ChatGPT, Claude, Gemini o la herramienta que usen.
- Una lista de qué datos personales tiene la empresa y dónde están: sistemas, planillas, WhatsApp, correo, herramientas de IA.
- Para cada uso, la base legal: contrato, consentimiento, obligación legal o interés legítimo.
- Contratos de tratamiento de datos con cada proveedor que procesa datos por usted.
- Un aviso de privacidad actualizado y siempre accesible.
- Una persona que revise lo que decide la IA cuando afecta a alguien.
- Un plan para incidentes: quién decide, quién avisa y cómo, dentro de 72 horas.
Derechos de las personas y sanciones
Cualquier persona puede pedir acceso, rectificación, supresión, oposición
y portabilidad de sus datos (artículo 26). La empresa tiene que responder
en un máximo de 30 días corridos, sin costo.
Además tiene derecho a ser informada, al momento de entregar sus datos, de quién los trata y para qué (artículo 27).
Además tiene derecho a ser informada, al momento de entregar sus datos, de quién los trata y para qué (artículo 27).
Las multas van de 20 a 2.500 jornales mínimos, hasta 5.000 con datos sensibles
y hasta 10.000 con datos sensibles de niños, niñas y adolescentes (artículo
46).
La autoridad también puede suspender el tratamiento de datos, que para un proceso automatizado significa apagarlo.
La autoridad también puede suspender el tratamiento de datos, que para un proceso automatizado significa apagarlo.
Preguntas frecuentes sobre la Ley 7593
- ¿Desde cuándo rige la Ley 7593?
- La ley se publicó el 27 de noviembre de 2025 y entra en vigor 24 meses después de su publicación (artículo 57), es decir, a fines de noviembre de 2027. El Poder Ejecutivo tiene el mismo plazo para dictar la reglamentación.
- ¿Puedo usar ChatGPT u otra IA con datos de clientes?
- Sí, si hay una base legal para ese uso, un contrato con el proveedor que lo trata como encargado (artículo 11) y garantías para la transferencia al exterior (artículo 19). En la práctica: cuentas de empresa con contrato de tratamiento de datos, no cuentas personales.
- ¿Necesito el consentimiento de cada cliente?
- No siempre. El artículo 5 admite otras bases además del consentimiento, como la ejecución de un contrato, una obligación legal o el interés legítimo. Cuál aplica depende de cada uso de los datos, y conviene dejarlo por escrito.
- ¿Mi empresa necesita un oficial de protección de datos?
- La ley lo exige en los casos que defina la reglamentación (artículo 18), que todavía no se dictó. Puede ser alguien del equipo o un servicio contratado.
- ¿Qué multas prevé la ley?
- Desde 20 hasta 2.500 jornales mínimos, hasta 5.000 si se trata de datos sensibles y hasta 10.000 para datos sensibles de niños, niñas y adolescentes (artículo 46). También se puede suspender el tratamiento de datos.
¿Sabe dónde están los datos de sus clientes?
Agende una llamada gratuita de 60 minutos. Revisamos cómo usa la IA hoy y qué conviene ordenar antes de 2027. Sin secuencia de ventas.