Uruguay: 3 modelos de contrato de la URCDP para cuando tu IA procesa datos fuera del país

Cuando pegás la planilla de un cliente en una herramienta de IA, esos datos viajan a algún servidor, que puede no estar en Uruguay. ¿Eso cuenta como transferencia internacional de datos? Mi lectura es que puede contar, y por eso vale conocer la regla que tiene la ley uruguaya para cuando los datos salen del país. Es una interpretación mía, no asesoramiento legal: para tu caso concreto, consultalo con tu abogado.

El 17 de abril de 2026 la Unidad Reguladora y de Control de Datos Personales (URCDP) aprobó la Resolución N° 8/026, y el 1 de junio la explicó en su sitio. Recomienda usar las cláusulas contractuales modelo del Consejo de Europa cuando hay transferencias internacionales de datos. Es un documento técnico, pero te da algo muy útil: una lista de lo que tendría que decir el contrato con cualquier proveedor que procese datos de tus clientes fuera de Uruguay.

Qué dice la regla de fondo

El artículo 23 de la Ley 18.331 prohíbe transferir datos personales a países que no tengan un nivel adecuado de protección, con excepciones. Una de ellas: la URCDP puede autorizar la transferencia si el responsable ofrece garantías suficientes, y la propia resolución recuerda que esas garantías pueden salir de cláusulas contractuales.

¿Qué países son "adecuados"? La URCDP tiene una lista. Según la Resolución 63/023, incluye a la Unión Europea y el Espacio Económico Europeo, Argentina, el sector privado de Canadá, Reino Unido, Suiza, Japón, Israel y Nueva Zelanda, entre otros. Desde esa resolución también entran Corea y las organizaciones de Estados Unidos que figuran en el listado del Marco de Privacidad de Datos del Departamento de Comercio de ese país.

Traducido: si tu proveedor procesa datos en Estados Unidos, lo primero es fijarte si la empresa aparece en ese listado.

Las 3 versiones del contrato

La Resolución 8/026 organiza las cláusulas en 3 módulos, según quién manda y quién recibe los datos:

1. De responsable a responsable. Le pasás datos a otra empresa que los va a usar para sus propios fines.
2. De responsable a encargado. El caso típico de una pyme o un estudio que contrata una herramienta: el proveedor procesa los datos por cuenta tuya.
3. De encargado a encargado. Tu proveedor, a su vez, subcontrata a otro.

Hay un detalle que no conviene pasar por alto. El punto 2 de lo que resuelve la URCDP aclara que usar estas cláusulas no excluye la valoración y autorización previa de la Unidad para las transferencias que lo requieran. O sea, no es un formulario mágico.

5 cosas que las cláusulas piden y podés exigirle a tu proveedor

Según la nota de la URCDP y el texto de las cláusulas:

• Aviso de incidentes con plazo. En los 3 módulos, quien recibe los datos tiene que notificar una violación de seguridad sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que la conoce.
• Subcontratistas bajo control. En el módulo 2, el proveedor no puede sumar un subencargado sin tu autorización previa y por escrito, o tiene que avisarte con antelación si trabajan con una lista acordada.
• Qué pasa si una autoridad extranjera pide los datos. Las cláusulas incluyen disposiciones sobre ese acceso.
• Cuánto tiempo se guardan y cómo se borran.
• Cómo se termina el contrato si alguien incumple.

Si los términos de tu herramienta de IA no dicen nada sobre estos puntos, ya tenés la lista de preguntas para hacerle al proveedor.

Por dónde empezar esta semana

1. Hacé la lista de herramientas donde tu equipo carga datos de clientes: la de IA, el correo, el CRM, la contabilidad.
2. Anotá dónde procesan los datos y si el proveedor figura en el listado del Marco de Privacidad, cuando es de Estados Unidos.
3. Separá lo que no necesita datos reales. Para pedir un resumen o un borrador, casi nunca hace falta el nombre, la cédula o el número de cuenta del cliente.
4. Pedí el acuerdo de tratamiento de datos de cada proveedor y compará lo que dice con los 5 puntos de arriba.
5. Consultá a tu abogado si una transferencia no entra en la lista de países adecuados. Esto es un mapa para ordenar la conversación, no asesoramiento legal.

¿Tu equipo usa herramientas de IA con datos de clientes y querés ordenar cómo se usan? Escribime por WhatsApp: +598 91 300 333