Índice comparado del estado real de la regulación digital país por país, diseñado como infraestructura de inteligencia regulatoria. No mide solo si un país tiene leyes de IA o protección de datos, sino la distancia entre tres capas que rara vez coinciden: la ley aprobada, la autoridad designada para aplicarla y el enforcement real (sanciones efectivamente impuestas). Esa brecha —entre legislar y aplicar— es la métrica que importa a quien evalúa el riesgo de operar tecnología en una jurisdicción. Cada registro perfila un país con el estado de su marco de IA, su régimen de protección de datos, su capacidad de enforcement y un nivel de riesgo regulatorio compuesto, con sus fuentes. Conecta con los rastreos por jurisdicción de Diálogo Ciudadano (AI Act, GDPR, DSA, leyes de IA de EE.UU. y América Latina).
Lecturas estadísticas derivadas de los atributos de cada caso registrado. Todas las cifras proceden de los eventos documentados; los importes se calculan solo sobre los casos con cantidad expresada en la moneda indicada, sin convertir entre divisas.
Coropleta por número de casos forense o judicialmente documentados. Los países sin casos públicos verificables permanecen en el color base — la ausencia de eventos no equivale a ausencia de vigilancia. Pasa el ratón o haz clic en un país coloreado para ver los casos.
Para una empresa que despliega tecnología en varios países, la pregunta no es 'cuántas leyes digitales tiene cada uno', sino la distancia entre la ley escrita, la autoridad que debería aplicarla y las sanciones que de verdad caen. Este índice mide esa brecha en 16 jurisdicciones de seis regiones, porque ahí vive el riesgo regulatorio real.
Más de setenta países han lanzado ya más de mil iniciativas de política de IA, y casi todos tienen alguna forma de ley de protección de datos. Si uno se quedara en ese recuento, concluiría que el mundo está regulado. Pero ese recuento es engañoso, porque mete en el mismo saco una ley vinculante con multas del 7% de la facturación global y una estrategia voluntaria sin una sola sanción. Este índice se construye precisamente para deshacer ese engaño: separa tres capas que rara vez coinciden.
La primera capa es la ley: si existe un marco integral de IA en vigor, un proyecto en trámite, una estrategia voluntaria o nada. La segunda es la autoridad: si hay un organismo designado y operativo para aplicarla. La tercera, la decisiva, es el enforcement: si ese organismo impone sanciones firmes con regularidad o si la ley vive en el papel. Un país solo es regulatoriamente serio cuando las tres capas se alinean, y son sorprendentemente pocos los que lo logran.
La clave de lectura: 'riesgo regulatorio alto' no significa 'país mal gobernado'. La UE tiene el riesgo de sanción más alto del mundo —multas del 7%, enforcement activo— y es, a la vez, el entorno más previsible. El riesgo más difícil de gestionar no es el del país que sanciona mucho, sino el del que tiene muchas leyes sin aplicar: ahí la imprevisibilidad lo vuelve todo opaco.
El índice revela que los países no se ordenan en una sola escala de 'más a menos regulado', sino en perfiles distintos. Están los de alto enforcement previsible —la UE, Corea del Sur—, donde el riesgo es de sanción pero las reglas son claras. Están los de imprevisibilidad —Estados Unidos con su mosaico estatal en disputa, México con su marco en reforma—, donde el problema no es la dureza sino no saber qué norma aplica. Y están los de control estatal —China a la cabeza—, donde la regulación de datos se entrelaza con la localización forzosa y la soberanía digital.
Para un equipo de compliance, un fondo que evalúa una inversión o un proveedor que vende software a gobiernos, esta distinción de perfiles es más accionable que cualquier ranking lineal. No se gestiona igual el riesgo de operar en un entorno estricto y previsible que en uno laxo pero impredecible. El índice está diseñado para esa decisión: cruzar las tres capas por país y, sobre todo, conectarse con los rastreos específicos de cada jurisdicción —el del AI Act, el del GDPR por país, el del patchwork de EE.UU.— para bajar del perfil general al caso concreto.
La ampliación del índice a Asia-Pacífico revela que la región es la más heterogénea de todas. En un extremo, China combina endurecimiento normativo con localización forzosa de datos. En el otro, Singapur exhibe el equilibrio más fino entre innovación y regulación, con gobernanza de IA voluntaria pero sofisticada. Entre ambos, India operacionalizó en 2025 su ley de datos con una autoridad única —el Data Protection Board— pero optó por gobernar la IA con principios, no con una ley integral; Japón y Australia se quedan en marcos voluntarios; e Indonesia y Vietnam consolidan apenas ahora sus regímenes de datos.
Esa diversidad asiática confirma la tesis del índice: no existe 'un' nivel de regulación, sino perfiles. Dos países con el mismo 'sin ley integral de IA' —India y Estados Unidos— pueden tener riesgos opuestos según su autoridad de datos y su enforcement. Por eso el índice no ordena en una escala, sino que perfila capa a capa, y deja que cada usuario pondere las capas según le importen.
Vietnam aprobó en 2025 varias leyes, incluida una ley integral de protección de datos personales en vigor desde el 1 de enero de 2026, que formaliza derechos, obligaciones de los responsables y restricciones de transferencia, junto a normas de clasificación y seguridad de datos. Enforcement aún por consolidar.
EE.UU. no tiene ley federal de IA ni de privacidad: opera con un mosaico estatal (California, Texas, Colorado…) y leyes de privacidad por estado. La preempción federal y los litigios añaden imprevisibilidad. El riesgo no es de sanción alta, sino de no saber qué norma aplica ni si seguirá vigente.
El Reino Unido regula la IA delegando en los reguladores sectoriales y aplica el UK GDPR, modificado por la Data Use and Access Act (DUAA, 2025). Su autoridad (ICO) es deliberadamente escéptica de las multas. La Comisión Europea extendió su decisión de adecuación en diciembre de 2025. Riesgo medio, enfoque pragmático.
Singapur destaca por equilibrar innovación y regulación, situándose entre los primeros del Oxford Government AI Readiness Index. Su gobernanza de IA es voluntaria pero sofisticada (Model AI Governance Framework), y su ley de datos (PDPA) tiene una autoridad activa. Perfil de baja fricción regulatoria con alta madurez institucional.
Arabia Saudí declaró 2026 'Año de la IA' y combina legislación vinculante de datos (PDPL) con instrumentos de soft-law sobre IA gestionados por la autoridad SDAIA, que emitió 48 decisiones de enforcement de la PDPL en 2025. Régimen de transferencias modelado sobre el GDPR. Madurez regulatoria creciente.
Perú aprobó y reglamentó la Ley 31814 de promoción del uso de la IA para el desarrollo económico y social, situándose entre los primeros de América Latina con una norma específica de IA. Su régimen de datos cuenta con autoridad. Pero la capacidad de enforcement es limitada: la ley es más promocional que sancionadora.
México carece de ley específica de IA y su marco de protección de datos está en reforma tras la reestructuración de su autoridad. La capacidad de enforcement es limitada. Alta exposición tecnológica con capacidad institucional en transición: riesgo medio-alto por imprevisibilidad.
Corea del Sur se convirtió, con su Ley Marco de IA en vigor desde enero de 2026, en el segundo territorio del mundo tras la UE con legislación comprehensiva de IA, copiando las categorías de riesgo europeas. Combinada con su régimen de datos, es un entorno de alto enforcement y previsible.
Japón apuesta por la autorregulación: su AI Promotion Act (en vigor desde junio de 2025) establece un marco no vinculante centrado en coordinación, transparencia e I+D, sin sanciones fuertes. Su régimen de datos sí está alineado con estándares internacionales. Riesgo medio: pocas obligaciones duras.
India operacionalizó en 2025 su Ley de Protección de Datos Personales Digitales (DPDP Act 2023) con sus Reglas, creando el Data Protection Board como autoridad única, con multas de hasta ~30 millones de dólares. Para la IA optó por un enfoque techno-legal por principios (Guías de Gobernanza de IA de nov-2025, no vinculantes) en lugar de una ley integral tipo UE. Enforcement aún incipiente.
Indonesia cuenta con una Ley de Protección de Datos Personales (PDP) relativamente reciente, con una autoridad en construcción, pero carece de un marco específico vinculante de IA. Alta exposición tecnológica y mercado digital en crecimiento con capacidad regulatoria en desarrollo: riesgo medio-alto por imprevisibilidad.
La UE combina el AI Act (primera ley integral de IA, en vigor desde agosto de 2024) con el GDPR y un enforcement activo: más de 7.100 millones de euros en multas de protección de datos y las primeras sanciones del DMA. El riesgo de sanción es alto, pero previsible: las reglas existen y se aplican.
China endureció en enero de 2026 su Ley de Ciberseguridad con requisitos de IA y localización de datos, y tramita una Ley de IA que formalizaría obligaciones para sistemas de alto riesgo. Sus restricciones de transferencia de datos al exterior son las más estrictas del mundo, superando al GDPR. Riesgo crítico por localización y control estatal.
Canadá fue el primer país del mundo con una estrategia nacional de IA (2017) y propuso pronto una ley —la Ley de IA y Datos (AIDA)— que prevé un Comisionado de IA y Datos, pero sigue en trámite; mientras tanto rige un código de conducta voluntario para IA generativa. Su régimen de datos (PIPEDA) está consolidado. Brecha clásica: estrategia temprana, ley pendiente.
Brasil tiene una ley de protección de datos consolidada (LGPD) con autoridad propia (ANPD), pero su proyecto de ley de IA (PL 2338, basado en el modelo europeo de riesgo) sigue sin aprobación final tras pasar por el Senado en diciembre de 2024. Brecha clásica de la región: datos sí, IA todavía no. Actualización 2026: el mapa cambió en dos capas. En datos, Brasil obtuvo la decisión de adecuación de la UE (26-ene-2026) — primer gran mercado latinoamericano con libre flujo desde Europa, corona del binomio LGPD/ANPD. En enforcement, el STF reescribió por vía judicial el régimen de responsabilidad de plataformas (26-jun-2025, Art. 19 del Marco Civil parcialmente inconstitucional: responsabilidad sin orden judicial en ciertos casos, deber de monitoreo proactivo y 'falla sistémica'), adelantando la capa de aplicación a la legislativa. En IA, el PL 2338 avanza en Diputados con vigencia esperada en 2026. El riesgo regulatorio brasileño ya no es de vacío sino de velocidad: la judicatura corre más que el Congreso.
Australia apuesta por el desarrollo de capacidades con su National AI Capability Plan (2024), centrado en competencias e infraestructura más que en obligaciones vinculantes. Su Privacy Act regula los datos con autoridad propia. Es un perfil pro-innovación con regulación de IA blanda.
Cada registro perfila un país en tres capas: (1) estado del marco de IA (ley integral en vigor, proyecto, estrategia/voluntario, sin marco); (2) estado de la protección de datos (ley tipo GDPR con autoridad activa, ley sin enforcement fuerte, sin ley); (3) capacidad de enforcement (alta = sanciones firmes frecuentes, media, baja/simbólica). De ahí se deriva un nivel de riesgo regulatorio compuesto que NO juzga la calidad democrática del país, sino la previsibilidad regulatoria para quien opera tecnología: un país puede tener leyes muy estrictas y alto enforcement (riesgo de sanción alto pero previsible) o muchas leyes sin aplicar (riesgo de imprevisibilidad). Cada capa se atribuye a su fuente. La clasificación es una lectura comparada, revisable, no un dato oficial único. No se imputan datos no publicados.