Elogio del regulador que llega después

A propósito de «El regulador frente a la tecnología: una carrera que corre con desventaja», de Alejandro Barros.

En 1999 estábamos tratando de que el Estado comprara por Internet. El obstáculo no era técnico: era semántico. Si escribíamos «Registro de Proveedores», caíamos dentro de un concepto formalmente regulado, con requisitos, plazos y potestades definidos para un mundo de papel. Así que no lo escribimos. Hablamos de un «Directorio de Oferentes», que no era lo mismo y no estaba en ninguna parte. La plataforma operó cuatro años. En 2003, la Ley 19.886 llegó, miró lo que ya funcionaba y le puso nombre legal: Registro de Proveedores. La ley no creó el mercado electrónico del Estado. Certificó una práctica que ya había sido probada.

A esa maniobra le llamo reetiquetación de la experiencia, y la cuento porque creo que la metáfora de la carrera está mal planteada. Barros describe con precisión cuatro desafíos del regulador frente a las tecnologías emergentes, y tiene razón en los cuatro. Mi desacuerdo es con el marco: el regulador no compite con la tecnología. La cosecha. Y si va detrás no es porque perdió una carrera, sino porque ese es el único lugar desde el cual se puede saber algo.

El problema no es el rezago. El problema es que hoy el rezago se administra por accidente -por escándalo, por fallo judicial, por prórroga- en vez de administrarse por diseño.

Los mismos cuatro desafíos, leídos al revés.

Desafío 01Los ritmos: la lentitud como valor de opción

«La tecnología avanza en ciclos de meses, la regulación en ciclos de años.» Es cierto. Pero la regulación también es cuasi-irreversible: crea rentas, consolida incumbentes, produce lock-in institucional. Y en decisiones irreversibles bajo alta incertidumbre, esperar tiene un valor económico medible. No es virtud, es teoría de opciones reales.

La evidencia chilena es brutal en ambas direcciones. La Ley 19.223 de delitos informáticos (1993) se escribió rápido y quedó inservible veintinueve años, hasta la Ley 21.459 de 2022. La Ley 19.628 (1999) llegó temprano a la protección de datos, pero sin autoridad de control: hubo que rehacerla completa con la Ley 21.719, en 2024. En el otro extremo, la Ley Fintec 21.521 (2023) llegó cuando el sector ya existía, y precisamente por eso pudo calibrar por riesgo y por tipo de actor en vez de adivinar. Y la nueva ley de datos personales pudo apropiarse de años de fiscalización europea del GDPR, con sus multas absurdas y sus zonas grises ya documentadas. Eso se llama ventaja del segundo.

El contrafáctico canónico sigue siendo el Locomotive Act británico de 1865, que exigía un hombre con bandera roja caminando delante del automóvil. Fue rápido, fue precautorio, y fue el mayor daño regulatorio a la industria automotriz británica del siglo.

Lo que el problema de los ritmos revela no es que la ley deba acelerarse, sino que hay demasiadas cosas decididas en la capa equivocada. Una ley debería durar décadas; un reglamento, años; una norma técnica, meses; una guía interpretativa, semanas. Cuando todo se resuelve por ley, el sistema queda con una sola marcha. El regulador no necesita un auto más rápido: necesita una caja de cambios.

Desafío 02La asimetría de conocimiento: llegar tarde es lo único que la rompe

Aquí está, a mi juicio, el punto más importante y el menos evidente.

Cuando se regula antes de que el fenómeno exista, la única fuente de información disponible es el propio regulado. No hay usuarios, no hay incidentes, no hay datos de operación, no hay víctimas, no hay competidores agraviados, no hay jurisprudencia. Sólo hay desarrolladores explicando su tecnología en una comisión. Eso no es una audiencia: es un monopolio informativo. La captura regulatoria más eficaz no se ejerce con lobby, se ejerce siendo el único testigo del hecho.

Cuando se regula después, la asimetría se reduce sola. Los usos se manifiestan, los daños se cuentan, los datos se acumulan, los tribunales resuelven casos concretos. El TJUE no necesitó una ley previa para establecer que Uber es una empresa de transporte (2017) y que Airbnb es un servicio de la sociedad de la información (2019): necesitó litigios reales. La adjudicación caso a caso es un mecanismo de aprendizaje regulatorio, no un fracaso de la ley.

Y una corrección al «error simétrico» que plantea Barros -sobre-regular lo inocuo o sub-regular lo que importa-: en términos de aprendizaje, esos errores no son simétricos. La sub-regulación deja que el fenómeno se exprese y se mida, y por lo tanto es corregible. La sobre-regulación mata el fenómeno antes de poder estudiarlo, y en el proceso destruye la evidencia que habría permitido corregirla. Un error deja rastro; el otro deja un silencio que se confunde con éxito.

Desafío 03Regular el riesgo, no el artefacto: eso ya es una operación ex-post

Este desafío contiene su propia respuesta. Barros propone escribir normas sobre riesgos y usos -decisiones automatizadas que afectan derechos, opacidad en sistemas críticos, discriminación algorítmica- en vez de sobre «la inteligencia artificial», «el blockchain» o «los drones». Estoy completamente de acuerdo. Pero conviene notar qué implica: los riesgos y los usos no se deducen, se observan. Nadie puede enumerar los riesgos relevantes de una tecnología que no ha visto desplegada. Regular por riesgo es, lógicamente, regular después.

Las tres categorías de riesgo que hoy nadie discute -vigilancia biométrica, evaluación crediticia automatizada, sesgo en reclutamiento- no salieron de un ejercicio de anticipación. Salieron de casos documentados. El enfoque de riesgo de la propia legislación europea es un inventario de daños que ya ocurrieron.

La técnica institucional que permite esto ya existe y tiene medio siglo. La talidomida no se detectó en la autorización sanitaria: se detectó en 1961, en el uso, y de ahí nació la farmacovigilancia moderna. La aviación comercial no es segura porque alguien previó los accidentes, sino porque desde los años setenta existe reporte obligatorio y no punitivo de incidentes, investigación independiente y actualización sistemática de la norma. Un régimen de fase IV para sistemas algorítmicos no es una idea exótica: es la traducción de un modelo probado.

Chile tiene su propia versión virtuosa. Con la factura electrónica, el SII no decretó primero: construyó un estándar con voluntarios desde 2003, la Ley 19.983 le dio mérito ejecutivo al documento en 2005, y la obligatoriedad gradual recién llegó con la Ley 20.727 en 2014. Once años. Y la separación quedó bien hecha: la ley regula las propiedades jurídicas del documento, una resolución versionada regula el formato. Eso es exactamente «riesgo, no artefacto» -y sólo fue posible descubrirlo operando.

Desafío 04Capacidad institucional: no se legisla, se adquiere operando

«Un regulador sin capacidad técnica no es un regulador: es un espectador con timbre.» Es la mejor frase de la columna y el desafío que más se beneficia de invertir el marco.

Porque la capacidad técnica es un activo específico: no se compra en el mercado antes de que la tecnología exista, no se forma en abstracto y no sobrevive sin uso. Un regulador que norma antes de operar no adquiere capacidad nunca; adquiere atribuciones. Y las atribuciones sin capacidad son precisamente el timbre.

El Estado chileno tiene los dos casos en su propia historia. ChileCompra adquirió músculo operando un mercado electrónico durante cuatro años antes de tener ley. El SII adquirió músculo operando un estándar durante once. En cambio, buena parte de la institucionalidad digital creada por ley -empezando por la Ley 21.180- arrastra el problema inverso: mandato primero, capacidad después, o nunca. El sandbox de la Financial Conduct Authority británica (2016) fue diseñado explícitamente para esto: no para liberar a la industria, sino para que el regulador compre información y forme equipo.

De modo que la pregunta incómoda que plantea Barros -con qué gente, con qué plata, con qué infraestructura- tiene una respuesta previa: con qué experiencia operacional. Primero operador, después fiscalizador.

El mecanismo: cinco pasos y tres candados

Si el rezago va a existir de todos modos, hagámoslo un procedimiento y no una excusa.

1. Paso 1 - Reetiquetación declarada. Crear el objeto administrativo nuevo por reglamento o resolución, no por ley, para que la práctica no herede obligaciones diseñadas para otra cosa. Candado 1 · Se registra públicamente qué concepto regulado se está esquivando y por qué. Sin esa declaración, la técnica es indistinguible del fraude de etiquetas.
2. Paso 2 - Operación instrumentada. Qué se va a medir se define antes de operar, y se publica. Este es el paso que hoy no existe y sin el cual todo lo demás degenera en regulación por escándalo.
3. Paso 3 - Vigilancia de incidentes. Reporte obligatorio y no punitivo, con investigación independiente. Los hallazgos son insumo normativo, no prueba de cargo.
4. Paso 4 - Caducidad forzada. Al vencer la etiqueta provisoria, o se codifica con la evidencia acumulada o se apaga la práctica. Esto es lo que separa el ex-post virtuoso de la informalidad permanente. Candado 2 · La etiqueta provisoria vence.
5. Paso 5 - Codificación por problema, en la capa correcta. Ley para lo permanente, norma técnica versionada para lo mutable, con cláusula de revisión. Candado 3 · El ciclo de actualización se mide en meses, no en los veintinueve años de la 19.223.

Una advertencia y un límite

La reetiquetación tiene un gemelo malvado. La misma técnica que usamos en 1999 es la que usó Uber al declararse «plataforma tecnológica» para no ser empresa de transporte. La diferencia no está en el método, sino en el horizonte de codificación: la reetiquetación virtuosa es transitoria, transparente y busca su propia ley; la evasiva es permanente, opaca y busca no tenerla nunca. El Directorio de Oferentes pidió la Ley 19.886. Uber resistió la Ley 21.553 durante nueve años. Es la misma maniobra con intenciones opuestas, y el candado de caducidad es lo que las distingue en la práctica.

Y un límite que hay que decir en voz alta: el ex-post es legítimo cuando el daño es reversible, detectable y acotado. Cuando no lo es -riesgo sistémico financiero, biológico, nuclear, seguridad de niños-, el ex-ante manda sin discusión. El dilema de la evidencia es real: actuar temprano puede producir intervenciones inútiles, y esperar puede dejar a la sociedad expuesta. Esta columna no niega el dilema. Sostiene algo más modesto: que la respuesta no es correr más rápido, sino instrumentar la espera.

El regulador no llega tarde. Llega cuando puede saber. Lo que llega tarde es el método para aprovechar esa demora.