Sandbox de IA en Uruguay: cómo funciona el Decreto 276/025

Uruguay da un paso concreto hacia la regulación responsable de la inteligencia artificial. El Decreto 276/025 reglamenta los artículos 74 y 75 de la Ley N° 20.212 (de noviembre de 2023) y establece un marco de gobernanza para los llamados entornos controlados de prueba, conocidos internacionalmente como sandboxes regulatorios.

Si sos emprendedor, desarrollador de tecnología o tenés una empresa que trabaja con datos o inteligencia artificial, este decreto te interesa. A continuación te explicamos de qué se trata, cómo funciona y qué oportunidades abre.

¿Qué es un entorno controlado de prueba (sandbox)?

Un entorno controlado de prueba es, en términos simples, un espacio de experimentación temporal habilitado por el Estado donde empresas o proyectos innovadores pueden operar bajo condiciones especiales —con excepciones regulatorias o autorizaciones especiales— sin tener que cumplir al 100% con todos los requisitos normativos habituales.

La idea es que la innovación tecnológica, especialmente en áreas sensibles como la inteligencia artificial o el uso masivo de datos, necesita espacio para probarse antes de ser regulada de forma definitiva. El sandbox permite eso: experimentar con supervisión del Estado, en un entorno acotado y con garantías para las personas.

El decreto también define los Espacios de Datos: infraestructuras para acceder a datos y desarrollar modelos de negocio basados en su uso, con marcos de gobernanza ya establecidos.

¿Cuáles son los principios que guían estos entornos?

El decreto es claro en que la innovación no puede ir a cualquier costo. Todos los entornos controlados de prueba deben respetar los siguientes principios:

• Equidad y no discriminación: los sistemas de IA no pueden generar sesgos injustos hacia personas o grupos.
• Responsabilidad y rendición de cuentas: quienes desarrollan y operan estos sistemas deben poder responder por sus resultados.
• Transparencia: los procesos deben ser comprensibles y auditables.
• Auditoría e innovación segura: el Estado puede revisar lo que ocurre dentro del entorno.
• Protección de datos personales: en línea con la normativa vigente en Uruguay.
• Respeto a la dignidad humana, el sistema democrático y la forma republicana de gobierno.

Estos principios no son solo declarativos: son condiciones de funcionamiento. Si un proyecto no los cumple, no accede al sandbox.

¿Qué entidades participan en la gobernanza?

El decreto crea el Comité Técnico de Evaluación de Entornos Controlados, integrado por representantes de:

• AGESIC (Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento) — preside el Comité.
• URCDP (Unidad Reguladora y de Control de Datos Personales).
• MIEM (Ministerio de Industria, Energía y Minería).
• ANII (Agencia Nacional de Investigación e Innovación).

Las entidades públicas que promuevan un entorno controlado específico también integran el Comité de forma transitoria, hasta que AGESIC emita la resolución de aprobación correspondiente.

El Comité tiene un plazo de 120 días desde la publicación del decreto para elaborar su Reglamento Interno de Funcionamiento.

Además, el decreto prevé la posibilidad de crear Comités Ad Hoc para evaluar propuestas específicas, lo que da flexibilidad al esquema según el tipo de proyecto o sector involucrado.

Conceptos clave que define el decreto

Para evitar ambigüedades, el decreto establece definiciones precisas que conviene conocer:

• Autorización especial: habilitación temporal y condicionada, otorgada por una entidad pública competente, basada en la normativa vigente.
• Excepción regulatoria: flexibilización temporal, extraordinaria, fundada y documentada de requisitos normativos. No es una exoneración permanente: es un permiso acotado para probar.
• Entidad pública competente: la entidad pública que otorga las excepciones o autorizaciones, o que simplemente promueve o gestiona el entorno, aunque no otorgue beneficios regulatorios.
• Sistema de inteligencia artificial: sistema basado en máquinas que, con objetivos explícitos o implícitos, infiere a partir de entradas (datos) y genera salidas como predicciones, recomendaciones o decisiones que pueden impactar en entornos físicos o virtuales.

¿Qué oportunidades abre para emprendedores y empresas tech?

Este marco regulatorio es una oportunidad concreta para proyectos que necesitan operar en "zona gris" normativa. Algunos escenarios donde el sandbox puede ser relevante:

• Startups de fintech que quieren probar productos financieros basados en IA sin tener todos los requisitos del Banco Central.
• Empresas de salud digital que necesitan usar datos sensibles para entrenar modelos de diagnóstico.
• Proyectos de smart cities o gestión de datos urbanos en colaboración con municipios.
• Iniciativas de legaltech, edtech o agtech que requieren acceso a datos públicos o privados bajo condiciones controladas.

El decreto también es relevante para empresas que ya trabajan con IA y quieren hacerlo dentro de un marco legal claro, con respaldo institucional del Estado uruguayo.

¿Qué hay que tener en cuenta antes de postularse?

El Comité aún está elaborando su Reglamento Interno (tiene 120 días desde la publicación del decreto), por lo que el procedimiento concreto de postulación, los plazos, los criterios de evaluación y las condiciones de salida del sandbox se definirán próximamente. Sin embargo, desde ya podés prepararte:

• Documentar bien tu proyecto: qué datos usás, para qué, con qué impacto esperado.
• Identificar si tu actividad requiere alguna excepción regulatoria o autorización especial.
• Definir cómo garantizás el cumplimiento de los principios de protección de datos y no discriminación.
• Establecer métricas de éxito y de riesgo para tu período de prueba.

Texto completo de la consulta

Reglamentario/a de: Ley N° 20.212 de 06/11/2023, artículos 74 y 75.

VISTO: lo establecido por el artículo 75 de la Ley N° 20.212, de 6 de noviembre de 2023;

RESULTANDO:

I) que el artículo citado en el Visto dispone la promoción de los entornos controlados de prueba con el objetivo de poner en práctica proyectos tecnológicos de innovación en ámbitos definidos con entidades interesadas;

II) que, de conformidad con el referido artículo, corresponde a la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento (AGESIC) la propuesta de reglamentación de los citados entornos;

CONSIDERANDO:

I) que, la democratización de la inteligencia artificial y el uso de datos en forma responsable permite explorar nuevos desarrollos tecnológicos innovadores, tanto en el sector público como en el privado;

II) que, la innovación debe acompasarse de garantías para las personas, representadas en el cumplimiento de principios como el de equidad, no discriminación, responsabilidad, rendición de cuentas, transparencia, auditoría e innovación segura, y los principios de la protección de datos personales, respetando la dignidad humana, el sistema democrático y la forma republicana de gobierno;

III) que, el artículo 74 de la Ley N° 20.212, de 6 de noviembre de 2023, prevé la consideración del desarrollo ético, la protección de los derechos humanos y el fomento de la innovación tecnológica como criterios orientadores de una eventual futura regulación en materia de inteligencia artificial;

IV) que, en la elaboración de la presente reglamentación se tuvieron en cuenta, además de los principios y criterios citados, antecedentes internacionales y regionales en la materia, y un enfoque multisectorial que considerara perspectivas de distintos actores de la sociedad en el funcionamiento de los mecanismos previstos;

ATENTO: a lo expuesto y a lo previsto en las disposiciones normativas citadas;

EL PRESIDENTE DE LA REPÚBLICA —actuando en Consejo de Ministros—

DECRETA

CAPÍTULO I - ASPECTOS GENERALES

Objetivo. El objetivo del presente Decreto es establecer un esquema de gobernanza mínimo para la creación y gestión de entornos controlados de prueba y espacios de datos, dirigidos fundamentalmente a la promoción de proyectos innovadores, en especial en el área de uso de datos e inteligencia artificial, que requieran para su desarrollo, de excepciones regulatorias, autorizaciones especiales o patrocinio por parte de entidades públicas.

En la creación y gestión de dichos entornos se deberán cumplir con los principios de equidad, no discriminación, responsabilidad, rendición de cuentas, transparencia, auditoría e innovación segura, y los principios de la protección de datos personales, respetando la dignidad humana, el sistema democrático y la forma republicana de gobierno.

Definiciones.

• Autorización especial: habilitación temporal y condicionada al cumplimiento de requisitos específicos fundados en la normativa vigente, otorgada por entidades públicas competentes.
• Entidad pública competente: entidad pública otorgante de una excepción regulatoria o autorización especial, en el marco de sus competencias, a efectos de crear o gestionar un entorno controlado de prueba. Se entiende además como entidad pública competente, aquella entidad que, sin otorgar excepciones regulatorias o autorizaciones especiales, promueve o gestiona entornos controlados de prueba.
• Entornos controlados de prueba: espacios de experimentación temporales puestos a disposición en ámbitos específicos y dirigidos a un público definido, sujetos a la supervisión y control de entidades públicas competentes, responsables por el otorgamiento de las excepciones regulatorias o autorizaciones especiales que correspondan.
• Espacios de Datos: infraestructuras para el acceso a datos y el desarrollo de modelos de negocio basados en la utilización de éstos, sustentadas en previsiones preexistentes de gobernanza, organización y gestión.
• Excepción regulatoria: flexibilización temporal, extraordinaria, fundada y documentada de los requisitos normativos necesarios para llevar adelante determinada actividad, otorgada por entidades públicas competentes.
• Sistema de inteligencia artificial: sistema basado en máquinas que, con objetivos explícitos o implícitos, infiere, a partir de la entrada que recibe, salidas tales como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales.

Comité Técnico de Evaluación de Entornos Controlados. Créase el Comité Técnico de Evaluación de Entornos Controlados, el que estará integrado por un representante de la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento, que lo presidirá, un representante de la Unidad Reguladora y de Control de Datos Personales, un representante del Ministerio de Industria, Energía y Minería, y un representante de la Agencia Nacional de Investigación e Innovación.

Las entidades públicas competentes, promotoras de entornos controlados de prueba, integrarán en forma transitoria dicho Comité hasta la emisión de la resolución de aprobación correspondiente por parte de AGESIC, y serán convocadas en todos los asuntos relacionados con el funcionamiento del entorno específico, luego de la resolución de aprobación.

El referido Comité proyectará su Reglamento Interno de Funcionamiento dentro de un plazo de 120 (ciento veinte) días a contar de la publicación del presente Decreto.

Comités Ad Hoc. Sin perjuicio de lo previsto en el artículo anterior, el Comité Técnico de Evaluación de Entornos Controlados podrá promover la creación de comités Ad Hoc para la evaluación de propuestas de entornos controlados específicos.