El 3 de julio, la autoridad italiana de protección de datos sancionó con 158.000 euros a Character Technologies, Inc., la empresa con sede en California detrás del servicio de chatbots Character.AI. Leída desde una junta directiva dominicana, la noticia importa por algo que no es el monto ni el nombre. Varias de las piezas que la norma exigía llegaron a existir —la evaluación de impacto, el representante en Europa, medidas para proteger a los menores—, pero llegaron después de encender el servicio, y el regulador las leyó con su fecha. Esa secuencia, primero el lanzamiento y después la evaluación, es la lección que un consejo puede sacar del expediente. Y deja de ser una anécdota extranjera con el nuevo Código Penal dominicano, cuya responsabilidad penal de las personas jurídicas entra en vigor el 5 de noviembre.

El expediente italiano se lee como un calendario. El servicio operaba en versión beta desde septiembre de 2022 y en versión italiana desde el 8 de abril de 2024. La evaluación de impacto sobre la protección de datos está fechada el 14 de noviembre de 2024: más de dos años después del lanzamiento. La propia empresa reconoció en ese documento que el uso de inteligencia artificial generativa la hacía necesaria. El representante en la Unión Europea que exige el reglamento fue designado el 31 de mayo de 2025. La verificación de edad existía en el registro desde octubre de 2023 y se extendió a todos los usuarios en noviembre de 2024; para ese periodo, la autoridad la encontró insuficiente. Los cargos del provvedimento n. 487 recorren esa cronología: información deficiente a los usuarios, información insuficiente sobre el uso de datos personales para el pre-entrenamiento de sus modelos, verificación de edad inadecuada, evaluación de impacto tardía —y, añade el Garante, deficiente en su primera versión— y representante tardío. Además de la multa, el Garante ordenó corregir la información a los usuarios, asegurar una verificación de edad que funcione, configurar como privados por defecto los perfiles de menores y regularizar los datos de pre-entrenamiento o, en su defecto, borrarlos. Dio 120 días desde la notificación para acreditar el cumplimiento. Las correcciones que la empresa fue desplegando constan en el mismo expediente; también sus fechas.

La lección conviene enunciarla con frialdad: un regulador lee las fechas. De los cinco cargos, dos son de calendario —la evaluación y el representante llegaron tarde—, y la evaluación, además, llegó incompleta. Hay una pregunta que toma tres segundos formular y ordena buena parte del expediente: ¿la evaluación de impacto estaba hecha y fechada antes de la puesta en producción, o después? No es la única pregunta que un regulador hace. Es la que este expediente deja a la vista, y Character la tenía respondida en su contra.

Hasta aquí, un directivo dominicano podía responder que ese problema pertenece a otra jurisdicción. En el país no hay una autoridad con competencia general de protección de datos: el órgano de control de la Ley 172-13 es la Superintendencia de Bancos, para el ámbito crediticio, y fuera de él la vigilancia es sectorial o no existe. En el Senado, la Comisión de Educación Superior, Ciencia y Tecnología acordó el 15 de septiembre fusionar dos proyectos de ley de inteligencia artificial para construir un texto único. Para la mayoría de las empresas, nadie revisa de oficio antes del daño, y la tentación de leer ese silencio como permiso es comprensible.

Es también la lectura equivocada, porque el terreno cambió por otra puerta. El nuevo Código Penal, la Ley 74-25, rige desde agosto. Su artículo 198 tipifica la captación y el uso no consentidos de datos personales mediante procedimientos automatizados: terreno vecino al del expediente italiano, no idéntico, y con límites que conviene decir. El tipo básico exige dolo y la forma culposa solo lleva multa; es de acción pública a instancia privada —sin la instancia de la víctima, el Ministerio Público no actúa—, y la empresa que repara el daño no responde penalmente. La novedad de fondo para un consejo no está ahí. Está en los artículos 8 al 11, que la Ley 44-26 puso en vigor a los tres meses del 5 de agosto: el 5 de noviembre. Desde ese día, la persona jurídica responde penalmente por las infracciones cometidas en su representación por sus órganos, representantes o subordinados cuando sean consecuencia del incumplimiento de sus deberes de dirección, control o supervisión; y compromete su responsabilidad también cuando lo que se le atribuye es producto de su imprudencia, negligencia, inadvertencia o inobservancia de los reglamentos, o de la violación del deber de cuidado. Y el mismo código dice qué le reconoce a la empresa. El primero de los atenuantes que enumera es el programa de cumplimiento cuya existencia y ejecución efectiva, antes del hecho, se demuestre, y que haya sido real, eficaz, medible y actualizado; la exención total también exige un programa adoptado e implementado. Un programa incompleto atenúa si después se adoptan medidas reales de remediación. Es la lógica del regulador italiano escrita ahora en ley dominicana: lo que ya estaba pesa más que lo que se hizo después.

Hay un movimiento reciente que un consejo podría leer como alivio, y tampoco conviene. Según reportó Diario Libre el 28 de septiembre, el senador Rafael Barón Duluc depositó un proyecto para extender a veinticuatro meses la entrada en vigor de esa responsabilidad penal de las empresas, para garantizar, según su exposición, una implementación ordenada y la adecuada preparación de las empresas y de las instituciones del sistema de justicia. El 5 de octubre, la Asociación Nacional de Jóvenes Empresarios y la Asociación Dominicana de Empresas de Seguridad respaldaron la ampliación. El proyecto puede prosperar o no; lo que no cambia es el fondo. Primero, el aplazamiento alcanzaría a la persona jurídica: la responsabilidad de las personas físicas por sus propios actos sigue su curso ordinario. Segundo, pedir tiempo para prepararse es el reconocimiento, desde un escaño del Senado y desde los gremios, de que hay algo para lo que prepararse; la propia Ley 44-26 dice que el plazo existe para que las empresas se adecúen. Se discute el plazo y, según ANJE, ajustes de proporcionalidad para las pequeñas empresas. No se discute si la obligación llega.

Ese es el punto que le toca decidir a un consejo dominicano este trimestre, no el próximo año. Cada aprobación de un despliegue de inteligencia artificial —el asistente que atiende clientes, el modelo que filtra solicitudes, la herramienta que procesa expedientes— está dejando hoy fechas que mañana leerá quien revise: una contraparte en un contrato, la debida diligencia de un socio extranjero o, llegado el caso, un fiscal. El encendido y la fecha no tienen vuelta atrás. Por eso hay una pregunta que un consejo debe dejar respondida en acta antes de aprobar. No sustituye un programa de cumplimiento, pero deja una constancia fechada que juega a favor si algún día se discute el deber de cuidado: la evaluación que sustenta esta aprobación, ¿estaba hecha y fechada antes, o después?