# María del Pilar Garay — Versión completa Sitio personal profesional de María del Pilar Garay, Chief Data Protection Officer (CDPO) en INSSJP-PAMI. ## Persona - Nombre: María del Pilar Garay - Cargo: Chief Data Protection Officer (CDPO) · Jefa Departamental de Gestión de la Información - Organización: INSSJP-PAMI (Gerencia de Tecnología) - Jurisdicción: Argentina - Sector: público y de salud, altamente regulado - Experiencia: más de 15 años uniendo derecho, tecnología y seguridad de la información - Especialidades: Protección de Datos Personales, Gobernanza de la Información, GRC (Governance, Risk and Compliance), Seguridad de la Información (ISO/IEC 27001), Derecho Tecnológico, Propiedad Intelectual, Software Libre - Formación: Abogada (UADE), Máster en Ciberseguridad (Universidad Camilo José Cela), Posgrado en Law & Digital Business (Universidad de Salamanca) - Reconocimientos: Premio Banco Santander Río a la Tesis de Grado (2009) — "Responsabilidad por Daño Tecnológico en el Ámbito Empresarial" - Contacto: https://linkedin.com/in/mpg314159265 ## Artículos ### Está en Internet. ¿Significa que puedo usarlo? URL: https://mariadelpilargaray.com.ar/blog/internet-ia-datos.html Resumen: público, accesible y libremente reutilizable no son conceptos equivalentes. Que un contenido esté en Internet no habilita a reutilizarlo: intervienen el derecho de autor, los datos personales, el derecho sobre la imagen y el tratamiento posterior que se haga del dato. Datos clave: - La accesibilidad técnica no es autorización jurídica. - La escala y la finalidad importan: recolectar millones de registros no equivale a consultar una página. - El AI Act europeo prohíbe crear o ampliar bases de reconocimiento facial mediante scraping indiscriminado de imágenes faciales obtenidas de Internet o de cámaras de videovigilancia. - Un mismo dato puede tener varias dimensiones jurídicas a la vez (derecho de autor, datos personales, datos biométricos). - Antes de reutilizar: conocer el origen, la finalidad de la obtención, los derechos afectados y los usos previstos. Respuestas: - P: ¿Puedo usar un contenido solo porque está en internet? R: No necesariamente: depende del derecho de autor, de los datos personales involucrados y del tratamiento que se haga del contenido. - P: ¿Qué prohíbe el AI Act sobre el scraping de reconocimiento facial? R: Crear o ampliar bases de reconocimiento facial mediante la recolección indiscriminada de imágenes faciales obtenidas de Internet o de cámaras de videovigilancia. ### Del código al entrenamiento: propiedad intelectual y gobernanza de IA URL: https://mariadelpilargaray.com.ar/blog/software-libre-copyleft-ia.html Resumen: la inteligencia artificial generativa vuelve a poner los derechos de propiedad intelectual bajo tensión, pero esta vez antes de que exista una obra nueva: en los datos de entrenamiento. La procedencia deja de ser una cuestión exclusivamente técnica y pasa a ser una cuestión jurídica y de cumplimiento. Datos clave: - La Unión Europea tiene un régimen de minería de textos y datos (text and data mining) y el AI Act exige a los proveedores de modelos de IA de propósito general una política de cumplimiento del derecho de autor y un resumen del contenido utilizado para entrenamiento. - Estados Unidos discute el entrenamiento alrededor del fair use; la Copyright Office separa ese problema de la protección de los resultados generados por IA. - En Argentina debe partirse del régimen del derecho de autor (Ley 11.723); categorías europeas o estadounidenses no se trasladan automáticamente. - El copyleft no convierte a un modelo entrenado con código en obra derivada; su enseñanza es utilizar derechos para definir condiciones de reutilización y circulación, ampliada a datasets y modelos. Respuestas: - P: ¿Puede una IA entrenarse con obras protegidas por derecho de autor? R: Depende del ordenamiento: UE (text and data mining + AI Act), EE.UU. (fair use) y Argentina (Ley 11.723) tienen marcos diferentes. - P: ¿Qué exige el AI Act sobre los contenidos de entrenamiento? R: Política de cumplimiento del derecho de autor europeo y resumen suficientemente detallado del contenido utilizado para el entrenamiento. ### Tener el software en regla: de la licencia a la gestión del activo tecnológico URL: https://mariadelpilargaray.com.ar/blog/software-sin-licencia-riesgo-cdpo.html Resumen: tener el software en regla ya no significa solo poder demostrar que fue adquirido legalmente: significa gobernarlo durante todo su ciclo de vida, con inventario, derechos de uso y evidencia de que ambas cosas coinciden. Datos clave: - Inventariar software y gestionar licencias no es lo mismo: puede haber instalaciones sin derechos suficientes o licencias en uso insuficiente (cumplimiento y eficiencia). - La disciplina de Software Asset Management (SAM), contemplada en la familia ISO/IEC 19770, gestiona el ciclo de vida del software y los derechos de uso. - En Argentina los programas de computación están comprendidos en la Ley 11.723; la Ley 25.036 incorporó disposiciones específicas y el artículo 55 bis reconoce los contratos de licencia como forma de explotación. - Licenciamiento, soporte y seguridad son controles distintos que comparten la base común del inventario confiable. Respuestas: - P: ¿Qué es el Software Asset Management? R: La disciplina que gestiona el software durante su ciclo de vida (adquisición, despliegue, utilización, derechos de uso, contratos y retiro), según la familia ISO/IEC 19770. - P: ¿Qué ley argentina protege el software? R: La Ley 11.723 (derecho de autor); la Ley 25.036 incorporó disposiciones específicas sobre programas de computación y su licenciamiento. ### Open source y la cadena de suministro del software URL: https://mariadelpilargaray.com.ar/blog/open-source-cadena-suministro-sbom.html Resumen: el software moderno depende de componentes, bibliotecas y frameworks que las organizaciones no desarrollaron ni contrataron directamente. Los casos Log4j y xz utils lo evidenciaron; el SBOM permite saber de qué está hecho el software y de qué depende. Datos clave: - Log4Shell (2021): la vulnerabilidad crítica de Log4j obligó a responder dónde estaba el componente; para muchas organizaciones la respuesta no fue inmediata. - xz utils (2024): intento deliberado de introducir código malicioso en una biblioteca ampliamente distribuida, tras manipular el proyecto y a sus mantenedores. - El SBOM es un inventario estructurado de componentes y relaciones; complementa el inventario de activos y la CMDB. - La gobernanza de la cadena de suministro también se diseña en la contratación: componentes, actualización, remediación, incidentes y soporte. Respuestas: - P: ¿Qué es un SBOM? R: Un inventario estructurado de los componentes que integran un producto de software y de las relaciones entre ellos. - P: ¿Qué mostró Log4Shell? R: Que las organizaciones pueden depender críticamente de código que no desarrollaron y que no siempre saben dónde está. ### Gates contra Linus, 20 años después URL: https://mariadelpilargaray.com.ar/blog/gates-linus-monopolio-prisionero.html Resumen: la oposición entre abierto y cerrado quedó pequeña: el ecosistema tecnológico combina ambos modelos. La pregunta relevante es qué capacidad conserva una organización para integrar, modificar, reemplazar o abandonar una tecnología, y qué necesita permanecer abierto para que el Estado siga decidiendo. Datos clave: - Cooperación y competencia pueden necesitarse mutuamente: protocolos, estándares, APIs e interfaces interoperables permiten competir. - El costo de dejar una solución (lock-in) condiciona las decisiones posteriores. - En el Estado, decisiones individualmente eficientes pueden producir resultados colectivos costosos (sistemas incomunicados, desarrollos duplicados): reaparece el dilema del prisionero. - La competencia no se protege solo teniendo proveedores al contratar, sino preservando la posibilidad de volver a competir en el futuro. Respuestas: - P: ¿Cuál es el dilema del prisionero en el software? R: Cada actor obtiene una ventaja individual cerrando su solución, pero el ecosistema completo se beneficia cuando existen reglas que permiten cooperar. - P: ¿Por qué la interoperabilidad importa para la competencia? R: Permite que productos de distintos proveedores se comuniquen y que las organizaciones puedan abandonar una tecnología cuando cambian sus necesidades. ### Abogacía, el código y las leyes que nacen viejas URL: https://mariadelpilargaray.com.ar/blog/abogada-codigo-leyes.html Resumen: el derecho suele llegar a jugar cuando el partido ya empezó, pero el abogado no tiene que llegar tarde como profesional: puede traducir principios y normas todavía incompletas en decisiones, controles y evidencia. Datos clave: - Entre la aparición de una tecnología y su encuadre normativo existe una zona de incertidumbre, pero siempre hay derecho aplicable preexistente. - Los sandboxes regulatorios permiten probar tecnologías en condiciones reales acotadas antes de regular. - La gobernanza por diseño incorpora privacidad, seguridad y trazabilidad desde la arquitectura. - Anticipar no significa sustituir al legislador: significa decidir con los principios, obligaciones y riesgos ya identificables. Respuestas: - P: ¿Por qué se dice que las leyes nacen viejas? R: Porque los ciclos tecnológicos y regulatorios operan a velocidades diferentes, y el derecho interpreta categorías construidas antes de que la tecnología existiera. - P: ¿Qué es un sandbox regulatorio? R: Un espacio controlado de experimentación que permite probar tecnologías en condiciones reales pero acotadas, bajo supervisión. ### Del software libre a la gobernanza tecnológica: un mismo método, distintos problemas URL: https://mariadelpilargaray.com.ar/blog/software-libre-proteccion-dato.html Resumen: del software libre a la protección de datos cambian los objetos (código, datos, proveedores, inteligencia artificial), pero permanece el método: entender antes de gobernar, con inventarios, anticipación y evidencia. Datos clave: - Se inventarían activos, tratamientos, componentes y modelos: es difícil gobernar aquello cuya existencia se desconoce. - Las reglas funcionan mejor cuando se incorporan antes del conflicto (privacidad y seguridad por diseño, continuidad y salida en la contratación, evaluación antes del despliegue de IA). - Roles como DPO, CDPO o GRC operan en las intersecciones: traducir entre áreas jurídicas, técnicas y de negocio. Respuestas: - P: ¿Qué método conecta una tesis sobre software libre con la gobernanza de datos? R: Entender antes de gobernar: comprender la tecnología, las relaciones que transforma y los riesgos que introduce antes de decidir qué regla corresponde. - P: ¿Qué preguntas reaparecen al gobernar tecnología? R: ¿Qué tenemos? ¿Para qué lo utilizamos? ¿De qué depende? ¿Qué reglas le aplican? ¿Quién es responsable? ¿Qué riesgo introduce? ¿Qué evidencia tenemos? ## Páginas - [Inicio](https://mariadelpilargaray.com.ar/) - [Blog](https://mariadelpilargaray.com.ar/blog/) ## Contacto - [LinkedIn](https://linkedin.com/in/mpg314159265) ## Fuente - [Mapa del sitio](https://mariadelpilargaray.com.ar/sitemap.xml) - [Versión breve](https://mariadelpilargaray.com.ar/llms.txt)