Auditoría del Proyecto de Ley 588 sobre gobernanza adaptativa de la inteligencia artificial

El ámbito se define por una condición de efecto sobre un catálogo abierto de bienes que cierra con "bienestar", y se extiende a los tres sectores sin excepción por tamaño, finalidad, uso personal, investigación o desarrollo interno.

La disposición presenta tres defectos de construcción. El primero es la inconsistencia de la unidad regulada: este artículo regula "sistemas", los artículos 9 y 10 regulan "decisiones asistidas" y el artículo 8 regula una conducta. Un mismo modelo de lenguaje sirve a la vez para redactar correos y para filtrar solicitudes de crédito; la clasificación solo tiene sentido por uso, y el texto no lo dice. El segundo es la ausencia de umbral: "influir de manera significativa" carece de parámetro, mientras que los marcos comparados resuelven la delimitación con listas cerradas de usos de alto riesgo fijadas en la propia norma. El tercero es el catálogo de bienes protegidos: cualquier recomendador de contenido, asistente de compras o motor de precios afecta el "bienestar" de alguien, con lo que la condición de ámbito la cumple casi todo sistema.

El sector académico queda cubierto sin distinguir investigación de despliegue. Un modelo de investigación no entra mientras no influya en decisiones sobre personas, pero un sistema de admisiones o de asignación de becas sí, y el texto no ofrece la exclusión expresa de la investigación científica que contienen los marcos comparados.

• Bancos, aseguradoras, centros de contacto, plataformas logísticas y universidades quedan dentro con seguridad. Empresas emergentes, pequeñas y medianas empresas y desarrolladores individuales no saben si entran, y no lo sabrán hasta que existan los lineamientos del artículo 6, que no tienen plazo.
• Los proveedores extranjeros de modelos no están alcanzados por ningún artículo. El ámbito recae de hecho sobre quien despliega en Panamá, que suele ser la parte con menos capacidad técnica de cumplir.
• El incentivo racional de una empresa es no documentar su uso de inteligencia artificial para no autoclasificarse, efecto contrario al que la ley busca.

• No hay cláusula de territorialidad: no se dice si la ley aplica a sistemas operados desde el exterior con efectos en Panamá.
• No hay exclusión para seguridad nacional, defensa ni investigación científica.
• No hay cláusula de relación con la Ley 81 de 2019 sobre protección de datos personales ni con la Ley 45 de 2007 sobre protección al consumidor, que regulan parte del mismo espacio.

El artículo contiene cuatro definiciones. No define decisión asistida, proveedor, desplegador, usuario, nivel de impacto, supervisión humana significativa, explicación ni autoridad competente.

La definición del numeral 1 enumera funciones y no un método. No contiene el elemento que distingue a la inteligencia artificial de la automatización convencional, que es la inferencia a partir de datos. Cumplen literalmente esa definición una hoja de cálculo con una fórmula de puntaje crediticio, un motor de reglas de negocio, una tabla actuarial de tarifación, un reporte programado que ordena solicitudes por antigüedad, un semáforo con temporización adaptativa y un sistema de nómina que calcula retenciones. La definición revisada por la OCDE en 2023 y la del Reglamento europeo de inteligencia artificial giran sobre el verbo "inferir", y las guías de la Comisión Europea de 2025 excluyen expresamente los sistemas basados en reglas definidas únicamente por personas, la optimización matemática clásica y los métodos estadísticos descriptivos. Nada de eso está en el proyecto.

Conviene advertir que la corrección no consiste en restringir la definición a las redes neuronales. Un bosque aleatorio, un modelo de gradient boosting o un clasificador bayesiano son aprendizaje automático sin redes neuronales, y ninguna definición internacional los excluye. El criterio exigible es la inferencia, con exclusión expresa de los sistemas cuyas reglas definen íntegramente las personas.

La definición de impacto del numeral 2 agrava el problema al incluir efectos "potenciales" sobre "intereses públicos relevantes". Todo efecto potencial sobre un interés indeterminado es, por construcción, ilimitado.

• La carga regulatoria cae sobre software que existe en Panamá desde hace décadas y que nadie considera inteligencia artificial. Los departamentos de crédito, cobranza, recursos humanos y facturación de cualquier empresa mediana operan sistemas que cumplen la definición.
• Sin definiciones de proveedor y desplegador, la cadena de valor no sabe dónde recae cada deber. Este vacío es el que permite que el proveedor extranjero quede fuera y el integrador local dentro.
• Sin definición de "decisión asistida", una decisión en que la inteligencia artificial aportó un dato entre veinte sería "asistida" en sentido literal, con lo que los artículos 9 y 10 no tienen contorno.

• "Autoridad competente", término que los artículos 5, 15, 17 y 19 usan como titular de facultades, no está definido.
• "Salvaguardas reforzadas" y "supervisión continua", que el artículo 6 asocia al nivel de impacto alto, no tienen contenido en el texto.

Siete principios. Dos de ellos están redactados como obligaciones directas:

El numeral 5 exige que todos los sistemas, sin gradación por impacto, permitan reconstruir "los procesos, datos y criterios" de sus resultados. Para los modelos generativos y para buena parte de los modelos profundos eso no es posible en sentido estricto. La inferencia con muestreo estocástico produce salidas distintas para la misma entrada; reproducir un resultado exige fijar semilla, versión del modelo, configuración de hardware y orden de operaciones, y aun así la ejecución en paralelo introduce no determinismo numérico documentado. "Los criterios que influyeron" no existen como objeto identificable en un modelo de cientos de millones de parámetros; existen atribuciones aproximadas obtenidas por métodos posteriores, que no son reconstrucciones. La única forma práctica de aproximarse es registrar entradas, salidas, versión y contexto de cada inferencia, lo que implica retención masiva de datos, muchos de ellos personales.

El numeral 3 exige "comprensión efectiva" de las personas afectadas "sobre cómo se alcanzan los resultados", también para todos los sistemas. Es un estándar más alto que el del artículo 10, que se limita a "factores relevantes" en decisiones que afecten derechos fundamentales. El principio general es más exigente que el derecho específico. El numeral 2, proporcionalidad, podría corregir lo anterior, pero la gradación depende de los niveles del artículo 6, que no existen hasta que se emitan los lineamientos.

• Una empresa que usa un modelo de lenguaje para atención al cliente estaría obligada, desde la promulgación, a poder reconstruir los criterios de cada respuesta. No puede. La opción es registrar todo o incumplir.
• El costo de almacenar y proteger registros de inferencia crece con el volumen de uso, y recae con más peso sobre las empresas pequeñas.
• Un regulador que ya exige trazabilidad de decisiones bajo sus propias normas se encuentra con un estándar paralelo, más vago y sin autoridad que lo interprete.

• "Las entidades" del numeral 3 no está definido; no se sabe si abarca a públicas, privadas o ambas.
• El numeral 4 promete colaboración del sector privado, la academia y la sociedad civil que la Comisión del artículo 22 no incorpora.
• El párrafo final afirma que la gobernanza abordará "los contextos sociotécnicos de diseño, implementación y uso", única mención a que la regulación debe atender al uso y no solo al sistema, en contradicción con la unidad regulada del artículo 2.

Las autoridades competentes identificarán y evaluarán niveles de impacto considerando cinco criterios: grado de afectación de derechos, nivel de persuasión sobre el comportamiento humano, escala y reversibilidad de los efectos, vulnerabilidad de los grupos afectados, y nivel de autonomía del sistema y grado de control humano. Las medidas serán "estrictamente proporcionales" al nivel identificado.

Los cinco criterios son razonables como lista de factores y coinciden con los que usan los marcos de evaluación de impacto algorítmico. El defecto no está en los criterios sino en su operación: la ley no dice quién los aplica a cada sistema, en qué momento, con qué procedimiento, con qué efecto vinculante ni ante quién se recurre. Un criterio sin procedimiento no es una norma sino una lista.

El artículo confunde además impacto con riesgo. Impacto es la magnitud de un efecto; riesgo es probabilidad por severidad. Un sistema de impacto altísimo con probabilidad de fallo ínfima y un sistema de impacto moderado que falla constantemente requieren tratamientos distintos, y el texto no tiene forma de expresar la diferencia. El criterio de autonomía es circular: la autonomía eleva el nivel de impacto, y el artículo 9 exige que los sistemas de alto impacto no operen de manera autónoma. La inclusión de efectos "potenciales" sin umbral de plausibilidad hace que el criterio de escala no discrimine, porque todo sistema tiene efectos potenciales graves bajo algún escenario.

• Dos reguladores sectoriales pueden clasificar de forma distinta un mismo tipo de sistema, y la ley no prevé mecanismo de unificación más allá de la coordinación genérica del artículo 24.
• Una empresa que quiera conocer su nivel para cumplir no tiene a quién preguntar con efecto vinculante.
• El adverbio "estrictamente" en "estrictamente proporcionales" es una promesa que la propia ley incumple en los numerales 3 y 5 del artículo 4.

• El texto aprobado sustituyó "influencia" por "persuasión" en el segundo criterio, lo que lo estrecha a una acepción psicológica y deja fuera influencias estructurales como el orden de presentación de opciones.
• No existe deber de documentar la evaluación de impacto, por lo que la clasificación no es auditable.

Cuatro niveles: bajo, moderado, alto y crítico. El nivel alto "exige salvaguardas reforzadas y supervisión continua". El nivel crítico queda sujeto a restricciones, autorización o prohibición. La ley no dice quién autoriza, quién prohíbe, mediante qué acto, con qué plazo ni con qué recurso.

Los niveles se definen con salvaguardas y no con impactos. "Impacto bajo" incluye "adecuada supervisión humana" y "alta reversibilidad" en su propia definición; la supervisión humana es una medida que se adopta, no una propiedad del impacto. Un sistema pasa de bajo a alto según se le añada o quite un supervisor, lo que hace la clasificación manipulable por el propio obligado. "Sistemas sociales", en el nivel crítico, no tiene definición: un recomendador de noticias, un sistema de pagos o un algoritmo de asignación de turnos médicos pueden argumentarse dentro.

El lineamiento no tiene plazo ni procedimiento de emisión. Hasta que exista, el artículo 9 no puede aplicarse porque no se sabe qué es alto impacto, y los numerales 3 y 5 del artículo 4 se aplican a todo. Durante ese lapso la ley es a la vez inaplicable y desproporcionada. Una vez emitido, el lineamiento puede cambiar sin consulta ni análisis de impacto, con lo que un sistema legal hoy puede ser de impacto crítico mañana. No existe un acto de clasificación que diga a un operador cuál es su nivel: la clasificación existe solo cuando un regulador la invoca.

• Ninguna empresa puede planificar una inversión en inteligencia artificial en Panamá sabiendo qué régimen le aplicará. Afecta más a quien viene de fuera a instalarse, que es la inversión que el proyecto declara querer atraer.
• La Secretaría recibe la carga de clasificar el universo de sistemas de todos los sectores sin personal regulatorio, sin potestad sancionadora y sin experiencia de supervisión de mercados.
• Un regulador sectorial que ya clasifica riesgos bajo su propia normativa queda sujeto a una segunda tipología emitida por una entidad ajena a su sector.
• "Autorización especial" sin autoridad ni procedimiento es inoperante como garantía y peligrosa como amenaza: nadie puede pedirla, pero cualquiera puede ser acusado de no tenerla.

• El párrafo final promete "una respuesta regulatoria ágil cuando se materialicen impactos significativos". No hay en la ley instrumento alguno para esa respuesta: ni medidas cautelares, ni orden de suspensión, ni procedimiento.
• El texto aprobado no fija relación entre estos lineamientos y los "lineamientos técnicos y metodológicos" que el artículo 23 encarga a la misma entidad.

La Secretaría Nacional de Ciencia, Tecnología e Innovación coordinará el diseño e implementación de los espacios de experimentación regulatoria "con el fin de generar evidencia que permita definir salvaguardas, requisitos y obligaciones aplicables a los sistemas de inteligencia artificial".

El artículo confirma que las salvaguardas, requisitos y obligaciones concretas no están en la ley: se definirán después, a partir de la evidencia que genere la experimentación. Como filosofía de gobernanza adaptativa es defendible. El problema es de secuencia: los artículos 4, 8, 9 y 10 ya imponen deberes desde la promulgación, antes de que exista la evidencia que según este artículo debe definirlos. La ley obliga primero y aprende después.

El artículo consolida además a la Secretaría como eje de todo el sistema. Según su ley de creación, la Ley 13 de 1997, es un organismo autónomo con personería jurídica y patrimonio propio, sujeto a la orientación general del Órgano Ejecutivo por conducto del Ministerio de la Presidencia, con experiencia en convocatorias, becas y financiamiento de investigación. Coordinar sandboxes multisectoriales y supervisar mercados es una función de naturaleza distinta.

• Los deberes de los artículos 4, 8, 9 y 10 rigen en su literalidad durante todo el tiempo que tome generar la evidencia, sin gradación.
• La Secretaría acumula, con los artículos 6, 15, 22 y 23, las funciones de diseñar, clasificar, coordinar, autorizar, supervisar y evaluar el sistema, sin separación de funciones.

• No hay plazo para que los espacios de experimentación existan ni presupuesto para operarlos.
• El artículo no dice qué ocurre con las obligaciones ya vigentes cuando la evidencia demuestre que son inadecuadas: no hay cláusula de revisión ni de suspensión.

El objetivo es legítimo y tiene equivalentes internacionales. El defecto está en el mecanismo. "Indebida" no tiene contenido: toda publicidad explota sesgos cognitivos y todo diseño de interfaz explota asimetrías de información; sin un criterio de daño o de vicio del consentimiento, el artículo no distingue la persuasión comercial lícita de la manipulación. El artículo aplica a todo sistema, sin limitarse a los niveles de impacto alto o crítico como hace el artículo 9, y exige salvaguardas en todo el ciclo de vida.

La manipulación es una propiedad del diseño de la aplicación y del despliegue, no del modelo. Un modelo de visión no manipula; una interfaz que lo usa para detectar fatiga y mostrar publicidad en ese momento sí. El artículo impone salvaguardas "desde el diseño y desarrollo" del sistema, es decir, al proveedor del modelo, que no controla el uso. No identifica sujeto obligado ni prevé derecho subjetivo, acción ni autoridad que reciba la denuncia.

• Plataformas de comercio electrónico, medios digitales, aplicaciones de juegos y cualquier empresa con mercadeo personalizado quedan sujetas a un estándar que no pueden traducir en requisitos de diseño.
• Un desarrollador panameño de un modelo de propósito general debe implementar salvaguardas contra usos manipulativos que no conoce ni controla.
• La autoridad de protección al consumidor, que sí tiene competencia sobre prácticas comerciales engañosas, no aparece en la ley ni en la Comisión.

• No hay cláusula de relación con la legislación de protección al consumidor ni con la de comercio electrónico, que ya regulan prácticas engañosas y comunicaciones comerciales.

El estándar de "revertir" es técnicamente incompatible con una clase importante de decisiones de alto impacto. El bloqueo de una transacción sospechosa de fraude, la respuesta automática a una intrusión informática, el frenado de emergencia de un vehículo, la desconexión de carga en una red eléctrica y la alerta clínica de un monitor son decisiones cuya utilidad depende de que ocurran en milisegundos. Exigir capacidad humana "real" de intervenir y revertir en el momento de la decisión elimina el sistema. Los marcos comparados resuelven esto distinguiendo supervisión en el bucle, sobre el bucle y posterior, y admitiendo la revisión ulterior con capacidad de corrección. El proyecto no distingue.

El artículo reconoce el problema del sesgo de automatización, "evitar que se reduzca a un control formal", pero no ofrece mecanismo. La evidencia experimental muestra que un supervisor humano frente a un sistema con alta tasa de acierto tiende a aprobar sistemáticamente sus salidas; la supervisión nominal no reduce el error y sí diluye la responsabilidad. "Evaluar la calidad de la supervisión" es una obligación de auditoría abierta sin métrica, sin evaluador y sin frecuencia. "Capacidades institucionales suficientes" aplica igual a un ministerio y a una pequeña empresa que usa un servicio de terceros, que no puede "comprender" el modelo del proveedor porque no tiene acceso a él.

• Los sistemas antifraude bancarios y de tarjetas, que son el uso de inteligencia artificial más extendido en Panamá, entran de lleno en alto impacto y en la contradicción de reversibilidad.
• La forma más barata de cumplir es poner un humano que pulse "aprobar". La ley lo prohíbe en abstracto y lo induce en la práctica.
• Las grandes empresas pueden negociar acceso a documentación de modelos con sus proveedores; las pequeñas no.

• "Alto impacto" no existe hasta que se emitan los lineamientos del artículo 6, con lo que el artículo es inaplicable durante un período indefinido.
• No se dice qué ocurre si la supervisión falla: ni nulidad de la decisión, ni responsabilidad, ni sanción.

El texto exige información con "factores relevantes"; no exige código fuente ni datos de entrenamiento. El objetivo es legítimo. Los defectos están en la exigibilidad técnica y en la cadena de responsabilidad. Para modelos profundos, "los factores relevantes que influyeron" no son observables; se estiman con métodos posteriores que producen atribuciones distintas según parámetros y que pueden manipularse para mostrar factores inocuos mientras el modelo usa otros. Una explicación que cumple la ley puede ser falsa sin que nadie lo sepa.

Cuando el modelo se sirve por interfaz de programación desde otra jurisdicción, el desplegador panameño no tiene acceso a pesos, arquitectura ni proceso de entrenamiento; solo puede repetir lo que el proveedor publique. La ley obliga al desplegador, que es "la entidad responsable" frente a la persona, a entregar lo que no tiene, y no obliga al proveedor a nada. En calificación crediticia, detección de fraude, control fronterizo o seguridad informática, revelar los factores relevantes permite a los afectados adaptar su conducta para burlar el sistema; los marcos comparados prevén excepciones por seguridad y secreto empresarial, y este proyecto no. "Mecanismos institucionales" es una expresión pensada para el sector público que se aplica sin adaptación al privado. No hay plazo, forma ni gratuidad.

• Entidades financieras y aseguradoras deben montar un proceso de explicación y revisión paralelo al que ya tienen por normativa sectorial y por la legislación de datos personales, sin saber cuál prevalece.
• Las pequeñas empresas que usan servicios de terceros quedan formalmente obligadas a explicar lo que sus proveedores no les explican.
• El resultado más probable es la explicación de fórmula: textos genéricos que cumplen la forma y no informan a nadie.

• El estándar de este artículo, "factores relevantes", es más bajo que el del numeral 3 del artículo 4, "comprensión efectiva sobre cómo se alcanzan los resultados", con lo que el derecho específico es menos exigente que el principio general.

"Las autoridades deberán establecer marcos de experimentación regulatoria que permitan probar tecnologías, modelos de gobernanza y salvaguardas antes de su implementación general", con salvaguardas técnicas, procedimentales e institucionales y alineación con buenas prácticas internacionales.

El artículo impone deberes a "las autoridades", no a los particulares. La participación privada en los mecanismos que crea es voluntaria, según el artículo 19. El defecto es de operación: no fija plazo para que los marcos existan, no dice cuáles autoridades, no asigna presupuesto ni personal, y la experiencia comparada muestra que operar un sandbox exige equipos técnicos y legales dedicados, criterios de admisión y evaluación por cohortes.

• El artículo 21 hace de estos marcos una condición previa para que el sector público adopte soluciones de alto impacto. Mientras no existan, esa condición es imposible de cumplir.

• "Alinearse con buenas prácticas internacionales" carece de referente: el organismo nacional que adopta normas internacionales es la Dirección General de Normas y Tecnología Industrial del Ministerio de Comercio e Industrias, que el proyecto no menciona.

Siete mecanismos: hub de innovación, testbed de innovación, laboratorio de políticas públicas, prototipo de política pública, marco de alto nivel de experimentación, sandbox regulatorio y sandbox de innovación. El párrafo final exige que "todos los mecanismos" incorporen salvaguardas, métricas de evaluación, condiciones de entrada y salida y monitoreo continuo.

El numeral 2 dice que el testbed "no implica supervisión regulatoria formal". El párrafo final dice que todos los mecanismos deben tener salvaguardas, métricas, condiciones de entrada y salida y monitoreo continuo, es decir, supervisión formal. Un operador no sabe cuál de las dos frases le aplica. Sandbox regulatorio, sandbox de innovación y testbed comparten el núcleo de "entorno controlado bajo supervisión de una autoridad"; el sandbox de innovación "no implica necesariamente" flexibilización, con lo que puede tenerla. Siete mecanismos con fronteras difusas son un problema de diseño operativo: cada uno necesitará reglamento, formulario, equipo y criterio de admisión.

El catálogo se fija por ley. Cualquier modalidad nueva requerirá reforma legal, lo contrario de una gobernanza adaptativa. Y ningún numeral protege la información técnica, los datos ni los resultados que aporta el participante.

• Para el sector privado, el capítulo es inofensivo mientras no se participe e inseguro si se participa. El incentivo es no participar, con lo que el sistema no genera la evidencia que el artículo 7 necesita.
• La única flexibilización real, la del sandbox regulatorio, beneficia a quien pueda sostener un proceso de admisión, seguimiento y reporte: grandes empresas y no empresas emergentes. Riesgo de concentración.

• El componente de "facilitación, simplificación y eficiencia regulatoria" ya existe como parte obligatoria del Programa Nacional de Competitividad Industrial, liderado por el Ministerio de Comercio e Industrias según la Ley 76 de 2009, artículo 7, numeral 8. El proyecto lo duplica sin coordinación.

Los mecanismos tendrán como finalidad generar evidencia sobre el comportamiento de los sistemas, la efectividad de las salvaguardas y la pertinencia de las obligaciones. "La experimentación no tendrá como propósito desplazar la protección jurídica existente".

Las finalidades son razonables. La frase final es una declaración de propósito, no un límite operativo: dice lo que la experimentación no busca, no lo que no puede hacer. La única cláusula operativa de límite está en el artículo 15, y protege solo los derechos "reconocidos en esta Ley".

• Quien invoque este artículo como garantía de que la experimentación no afectará la Ley 42, la Ley 51, la Ley 5 o la Ley 35 no encontrará en él una regla exigible.

• El artículo no prevé qué ocurre con la evidencia que demuestre que una obligación vigente es inadecuada: no hay cauce de revisión normativa distinto del artículo 30.

El primer párrafo condiciona las cláusulas a espacios "previamente coordinados" por la Secretaría y prohíbe suspender "los derechos fundamentales reconocidos en esta Ley".

El artículo no limita el rango de las normas flexibilizables ni el sector. "Administrativo, técnico o procedimental" describe el contenido de una norma, no su rango: una obligación de reporte a un regulador es de contenido administrativo y de rango legal a la vez. En el ámbito del Ministerio de Comercio e Industrias, los procesos de autorización, las obligaciones de reporte, los mecanismos de supervisión y los estándares técnicos que el artículo enumera están fijados por ley. La Secretaría queda como coordinadora y evaluadora de la suspensión temporal de obligaciones de sectores sobre los que no tiene competencia. La cláusula de salvaguarda protege solo los derechos de los artículos 8, 9 y 10; por su literalidad, las obligaciones y derechos de otras leyes no están excluidos de la flexibilización.

A la pregunta de quién mantiene el sandbox, el texto responde con tres actores, la Secretaría que coordina, la Comisión que supervisa y las autoridades competentes que evalúan, sin responsabilidad primaria ni presupuesto.

• Un regulador sectorial puede verse presionado a flexibilizar obligaciones dentro de un sandbox que no diseñó, bajo coordinación de una entidad sin competencia en su sector. Si se niega, el sandbox no opera en su sector y la coordinación del artículo 24 no tiene instrumento para resolverlo.
• El competidor del participante sigue sujeto a la obligación plena. Trato desigual dentro de un mismo mercado.

• La flexibilización de "estándares técnicos" recae sobre competencias de dos direcciones del Ministerio: la Dirección General de Comercio Electrónico, que emite los reglamentos técnicos del comercio por Internet, y la Dirección General de Normas y Tecnología Industrial, que elabora las normas y reglamentos técnicos nacionales.

Todo proyecto de experimentación debe documentar definición estratégica, gestión de riesgos y salvaguardas, monitoreo y evaluación, y plan de finalización, e identificar "las normas específicas cuya aplicación será objeto de adaptación, flexibilización o prueba".

Los cuatro requisitos son razonables y coinciden con la práctica internacional. Lo que falta es quién evalúa que se cumplen y con qué criterio de admisión. El requisito de identificar las normas a flexibilizar presupone que existe una potestad válida para flexibilizarlas, que es el problema del artículo 15.

• Sin criterio de admisión, la aceptación o el rechazo de un proyecto no es previsible ni recurrible.

• La documentación exigida contiene información técnica del participante, y el artículo no dice quién la custodia ni bajo qué reserva.

Los resultados de la experimentación "deberán ser documentados de manera sistemática", incluido el análisis de las normas flexibilizadas y de las salvaguardas, y "la información generada deberá permitir la trazabilidad de decisiones, la comparabilidad entre experiencias y la evaluación de la efectividad".

Documentar y comparar es correcto. El texto no distingue entre la documentación interna de la autoridad y la información técnica del participante, ni establece qué parte de lo documentado puede circular entre entidades o publicarse. La "comparabilidad entre experiencias" exige compartir información de distintos participantes, competidores entre sí.

• Un participante con tecnología propietaria no sabe si su información será comparada con la de un competidor ni bajo qué protección.

• No hay régimen de propiedad de los resultados ni de los datos generados durante la experimentación.

Los procesos de experimentación "deberán involucrar de manera activa a actores relevantes, incluyendo sector público, sector privado, academia y sociedad civil", con mecanismos para recoger la experiencia de las personas afectadas.

La participación es deseable. El problema es que se ordena "en los procesos", sin distinguir entre la fase de diseño de las reglas, donde la participación es apropiada, y la fase de ejecución de un experimento con un participante concreto, donde el acceso de terceros a información técnica exige reglas.

• Actores privados y de sociedad civil, a los que ningún deber de reserva de la función pública alcanza, podrían acceder a información de un participante competidor.

• El artículo promete al sector privado y a la academia una participación que la Comisión del artículo 22 no les concede.

El artículo confirma que la participación privada es voluntaria: "podrán solicitar". El defecto es la fórmula "y/o", que admite tres lecturas sobre quién aprueba: la Secretaría sola, la autoridad sectorial sola, o ambas conjuntamente. El artículo 24, que ordena coordinación, no dice quién prevalece en caso de desacuerdo.

• Bajo la lectura disyuntiva, la Secretaría podría aprobar unilateralmente la flexibilización de un procedimiento que la ley atribuye a un ente rector único.
• Bajo la lectura conjuntiva, el desacuerdo entre la Secretaría y el regulador sectorial no tiene solución.

• Se exige "procedimientos claros, accesibles y no discriminatorios" y "criterios transparentes" que el proyecto no establece ni encarga a reglamento.

Las entidades públicas que implementen sistemas de inteligencia artificial deberán desarrollar mecanismos de protección de los derechos de la ley, "en coordinación con la Autoridad Nacional para la Innovación Gubernamental", e incorporar salvaguardas "desde las fases de diseño, prueba, contratación, adopción y despliegue", de manera coherente con estándares internacionales.

El artículo coloca a la Autoridad Nacional para la Innovación Gubernamental como coordinadora en el sector público, mientras los artículos 7 y 15 colocan a la Secretaría como coordinadora de los mecanismos que el artículo 21 obliga a usar. Dos rectores para el mismo acto. La exigencia de salvaguardas "desde la contratación" no tiene coordinación con la legislación de contratación pública ni con los pliegos vigentes; las entidades no saben qué cláusulas incluir ni quién las valida. "Estándares internacionales" carece de referente nacional que los adopte.

• Los proveedores del Estado, muchos de ellos pequeñas y medianas empresas panameñas de tecnología, enfrentan ciclos de venta más largos y condiciones que no pueden anticipar.

• El artículo no dice qué ocurre con los sistemas ya en operación en el Estado al momento de la promulgación.

Desde la promulgación, ninguna entidad pública puede adoptar "de manera general" una solución de alto impacto sin pasar por un mecanismo que no ha sido creado. Como "alto impacto" tampoco está definido, la entidad prudente tratará como tal cualquier sistema con efecto sobre ciudadanos. El resultado es una moratoria de hecho o un incumplimiento generalizado. Aun cuando los mecanismos existan, su capacidad será finita: si cada entidad debe pasar por ellos, la capacidad del sandbox se convierte en el límite de la transformación digital del Estado. No hay plazo, procedimiento abreviado, excepciones ni regla de equivalencia que reconozca una evaluación hecha bajo otro régimen.

• Proyectos en curso de entidades que usan analítica avanzada quedan en zona de incertidumbre inmediata.
• Una herramienta que el Ministerio de Comercio e Industrias quiera usar en sus plataformas de trámite recorrería el circuito Ministerio, Autoridad Nacional para la Innovación Gubernamental, mecanismo de experimentación, Secretaría y eventualmente Comisión, sin plazo en ninguna etapa.
• Paradoja: la ley frena primero al sector que el artículo 20 quiere convertir en "referente de implementación responsable".

• Una entidad que quiera evitar el cuello de botella puede describir su sistema como "no inteligencia artificial" o como "bajo impacto", cosa que nadie verifica. La norma incentiva la subdeclaración.

La Comisión "asegurará la coherencia institucional, definirá las prioridades regulatorias y supervisará el cumplimiento de esta Ley". Está integrada por un representante de la Secretaría Nacional de Ciencia, Tecnología e Innovación, que la preside, uno de la Autoridad Nacional de los Servicios Públicos, uno de la Autoridad Nacional para la Innovación Gubernamental, uno de la Autoridad Nacional de Transparencia y Acceso a la Información y uno de la Asamblea Nacional. Cinco miembros, todos públicos.

No están el Ministerio de Comercio e Industrias, responsable de la política de comercio, industria, inversión y propiedad industrial; la Superintendencia de Bancos, que supervisa al sector con mayor adopción de inteligencia artificial; la Superintendencia de Seguros; el Ministerio de Salud; el Ministerio de Economía y Finanzas, que tendrá que financiar el sistema; ni la autoridad de protección al consumidor, competente en manipulación comercial. Tampoco el sector privado, la academia ni la sociedad civil que los artículos 4 y 18 prometen. La Autoridad Nacional de los Servicios Públicos regula electricidad, agua y telecomunicaciones; su presencia sin la de los demás reguladores es arbitraria.

La Comisión "supervisará el cumplimiento" de la ley sin potestad de requerir información, inspeccionar, ordenar, sancionar ni resolver; sin secretaría técnica, presupuesto, quórum, reglas de decisión ni periodicidad. Cinco representantes institucionales deben además, por el artículo 23, verificar la suficiencia de las salvaguardas de tecnologías propietarias sin personal técnico, peritos ni deber de confidencialidad. En la práctica, la Comisión será la Secretaría con cuatro invitados, dado que la preside y emite los lineamientos.

• Las prioridades regulatorias sobre inteligencia artificial en comercio, banca, seguros y salud se definirán sin las entidades que conocen esos sectores.
• La ausencia de los sectores regulados no es solo un problema de legitimidad: es un problema de calidad regulatoria, porque la Comisión no tendrá información de mercado de primera mano.

• La Comisión contradice el principio de participación multisectorial que el propio proyecto proclama en el numeral 4 del artículo 4.

El título anuncia un "Coordinador". El cuerpo atribuye las funciones a la Comisión, que "será responsable de evaluar y supervisar los procesos de experimentación regulatoria" y deberá "verificar la proporcionalidad de las flexibilidades normativas, la suficiencia de las salvaguardas, la protección efectiva de derechos y la pertinencia de los objetivos de aprendizaje". El segundo párrafo encarga a la Secretaría emitir "lineamientos técnicos y metodológicos" y recomendar prioridades de regulación sectorial.

El artículo crea en el título una figura que el cuerpo no crea. Verificar la suficiencia de las salvaguardas de un sistema exige acceso a documentación técnica, resultados de pruebas y, en ocasiones, al sistema mismo. El artículo no otorga facultades de acceso, no fija límites a ese acceso, no impone deber de confidencialidad a los miembros de la Comisión y no establece procedimiento ni recurso para las decisiones que resulten de la verificación. Para la inferencia ejecutada por terceros desde otras jurisdicciones, la Comisión solo podría verificar lo que el proveedor extranjero publique.

Con este artículo, la Secretaría acumula todas las funciones del sistema: coordina los espacios por el artículo 7, emite tipologías por el artículo 6, evalúa flexibilizaciones por el artículo 15, preside la Comisión por el artículo 22 y emite lineamientos metodológicos por el artículo 23. Diseña, clasifica, autoriza, supervisa y evalúa, sin separación de funciones. Se acumulan además dos capas de lineamientos, los de tipología y los técnicos y metodológicos, sin procedimiento de emisión ni jerarquía entre ellas.

• Un participante con tecnología propietaria no sabe qué tendrá que mostrar ni qué protección tendrá lo que muestre.
• La exclusión de un participante o la revocación de una flexibilización, decisiones que afectan derechos, no tienen trámite ni recurso.

• La expresión "verificar la proporcionalidad de las flexibilidades normativas" admite leerse como supervisión general de gobernanza o como facultad de revisar y condicionar decisiones que corresponden legalmente a un regulador sectorial. El texto no elige.

No hay disposiciones transitorias, plazo de reglamentación, plazo para los lineamientos del artículo 6, plazo para constituir la Comisión ni para crear los mecanismos del Capítulo III. Tampoco hay cláusula derogatoria, cláusula de coordinación con leyes vigentes ni previsión de gasto.

La vigencia inmediata activa el mismo día tres grupos de normas incompatibles entre sí: deberes exigibles en su literalidad desde el primer día, los de los artículos 4, 8 y 10, que no dependen de nivel de impacto; deberes inaplicables hasta que exista el lineamiento del artículo 6, el artículo 9 y toda la gradación proporcional; y deberes del Estado sin plazo, crear mecanismos, constituir la Comisión, emitir lineamientos. En su primer año probable de vigencia, la ley es simultáneamente desproporcionada para los particulares, porque rigen los deberes absolutos sin gradación, e inoperante para el Estado, porque no existe nada de lo que debe operarla.

• El día siguiente a la promulgación, todo operador de sistemas que cumplan la definición del artículo 3 está formalmente en incumplimiento de los numerales 3 y 5 del artículo 4, sin autoridad que lo constate y sin sanción que lo castigue. Es la definición de incertidumbre regulatoria: obligación sin exigibilidad conocida.
• La Secretaría recibe mandatos sin presupuesto en un ejercicio fiscal ya aprobado.

• Ausencias transversales que ningún artículo cubre: sujeto obligado; autoridad de aplicación con potestades; régimen de consecuencias por incumplimiento; territorialidad; coordinación con la legislación de datos personales, consumidor y contratación pública; costo fiscal; cláusula de reglamentación; exclusiones por seguridad nacional, investigación científica y uso personal.