El 82% de los agentes inmobiliarios ya usa herramientas de IA en su trabajo, según el reporte de RPR y la NAR publicado en enero de 2026. La mayoría opera con cuentas personales o gratuitas. Sube contratos, resúmenes de visita, datos financieros de compradores, expedientes de clientes. Ninguno de esos documentos debería estar ahí sin un protocolo claro.
Qué datos de clientes llegan a los modelos de IA
Cuando un agente le pide a ChatGPT o a otro modelo que redacte una oferta, resuma un contrato o analice un informe de inspección, el contenido que ingresa incluye, con frecuencia: nombre completo del comprador y el vendedor, precio acordado, condición financiera del comprador (crédito aprobado, deuda pendiente, origen de los fondos), dirección exacta del inmueble y los términos privados de la negociación.
Los mismos datos aparecen cuando el equipo usa IA para preparar fichas de propietarios antes de una visita de captación: cédula, historial de la propiedad, deudas catastradas, nombre del cónyuge, situación legal del inmueble. Todo eso se convierte en texto que entra al modelo.
El problema no está en lo que la IA hace con esa información dentro de la conversación. El problema está en lo que el proveedor hace con ella después. Las versiones de consumo de los grandes modelos de lenguaje, las que se usan con una cuenta gratuita o personal, pueden retener esas conversaciones para mejorar sus sistemas. OpenAI diferencia de forma explícita entre sus cuentas de consumidor, donde el contenido puede usarse para entrenamiento salvo que el usuario lo desactive activamente, y sus cuentas de equipo o API, donde eso no ocurre por defecto. La mayoría de los agentes en LATAM usa las primeras.
RealEstateNews documentó este panorama en febrero de 2026 en un análisis sobre quién establece las reglas del uso de datos con IA en el sector. La conclusión fue directa: la IA no crea el riesgo, lo escala. El riesgo ya existía con los correos sin cifrar y los archivos en carpetas personales. La IA lo amplifica a otra dimensión.
Las leyes de LATAM ya tienen consecuencias reales
Los marcos regulatorios de la región no son aspiracionales. Se aplican, y las sanciones son concretas.
Colombia. La Ley 1581 de 2012 exige consentimiento previo, expreso e informado antes de recopilar cualquier dato personal. La Superintendencia de Industria y Comercio (SIC) puede imponer multas de hasta 2.000 salarios mínimos mensuales por infracción. En agosto de 2025, el Gobierno Nacional radicó un proyecto de reforma que fortalece la supervisión y agrega regulación específica para decisiones automatizadas con IA. La SIC ya sancionó a Mercado Libre por requerir datos biométricos sin base legal suficiente. Eso indica que el enforcement no está limitado a empresas del sector tecnológico.
México. La nueva LFPDPPP entró en vigor el 21 de marzo de 2025. El INAI fue disuelto y su autoridad trasladada a la Secretaría Anticorrupción y Buen Gobierno. Las multas alcanzan 320.000 UMAs, equivalentes a aproximadamente 40 millones de pesos mexicanos. El artículo 30-B del Código Fiscal, vigente desde abril de 2026, obliga además a plataformas digitales a dar acceso en tiempo real a sus bases de datos a las autoridades fiscales. Una inmobiliaria con IA conectada a sus sistemas de gestión necesita saber con precisión qué datos fluyen y hacia quién.
Panamá. La Ley 81 de 2019 aplica desde 2021. La ANTAI es el organismo de supervisión. Un proyecto de reforma presentado en 2026 propone subir las multas máximas de B/.10.000 a B/.100.000, un cambio de magnitud que convierte la sanción en algo con peso real para una agencia mediana.
En los tres países, la agencia que recopila datos de clientes es el responsable del tratamiento. Esa responsabilidad no desaparece por haberlos subido a una herramienta de terceros. El proveedor de IA puede tener su propio acuerdo de privacidad, pero el vínculo con el cliente es de la agencia.
El error más frecuente: adoptar sin protocolos
La mayoría de las agencias llegó a este punto de la misma forma: el agente instaló la herramienta porque funcionaba bien, nadie le explicó la diferencia entre una cuenta personal y una empresarial, y no hay política escrita sobre qué se puede subir y qué no.
No es negligencia deliberada. Es que el ritmo de adopción superó al de compliance. El 49% de los líderes de corredoras en 2026 reportó estar muy preocupado por los límites del uso de IA y por los riesgos de privacidad y cumplimiento, según HousingWire. La preocupación está. El protocolo, en la mayoría de los casos, no.
El riesgo concreto tiene tres capas:
La primera es la retención de datos por el proveedor. Una cuenta gratuita puede usar las conversaciones para mejorar el modelo. Fragmentos de contratos o condiciones privadas de una negociación quedan fuera del control de la agencia.
La segunda es la ausencia de base legal. Si la agencia no informó al cliente que sus datos serían procesados por una herramienta de IA, y la normativa local exige ese consentimiento, hay una infracción, aunque no haya ocurrido ningún incidente visible.
La tercera es la responsabilidad ante el cliente. Cuando el propietario o el comprador descubre que su expediente fue subido a un modelo sin su conocimiento, la pérdida de confianza es anterior a cualquier sanción formal.
Lo que distingue a una agencia con el protocolo correcto
La diferencia no está en no usar IA. Está en cómo se usa y qué datos entran.
Cuentas de empresa, no de consumidor. ChatGPT Team, Claude for Work, Gemini for Workspace: los tres ofrecen planes empresariales donde los datos no se usan para entrenamiento por defecto. El costo anual es bajo comparado con el riesgo regulatorio o reputacional.
Acuerdo de procesamiento de datos. Antes de conectar cualquier herramienta de IA a los sistemas de la agencia, se firma un Data Processing Agreement con el proveedor. La Ley 1581 colombiana lo requiere de forma explícita cuando se trabaja con un encargado del tratamiento. En México y Panamá es una práctica necesaria para demostrar debida diligencia ante las autoridades.
Aviso de privacidad actualizado. El aviso que la agencia entrega al inicio de la relación comercial debe mencionar que se usan herramientas de IA en el procesamiento de los datos del cliente. Sin esa mención, el consentimiento informado que exige Colombia, o el "previo, expreso e informado" que exige la SIC, no se cumple.
Política interna de clasificación de datos. No todos los documentos tienen el mismo nivel de riesgo. El texto de una descripción de propiedad para generar una ficha tiene riesgo bajo. Un extracto bancario del comprador, una carta de aprobación de crédito, una copia de cédula o un contrato con condiciones privadas tiene riesgo alto. La política interna establece cuáles van a herramientas con DPA firmado y cuáles no van a ninguna herramienta de IA externa.
Qué hacer con esto
La regulación en LATAM no espera a que las agencias terminen su proceso de adopción. Colombia, México y Panamá tienen marcos activos con autoridades que sancionan, y los tres países están en proceso de reformas que aumentarán las exigencias.
El primer paso es un inventario simple: qué herramientas de IA usa cada persona del equipo, con qué tipo de cuenta, y qué clase de documentos procesa. En una agencia de 10 personas, ese inventario toma dos horas. Sin él, no es posible escribir ninguna política.
El segundo paso es actualizar el aviso de privacidad para reflejar el uso de IA. Si la agencia opera en Colombia, corresponde revisar también si el registro de bases de datos ante el RNBD está al día. En México, revisar que el aviso cumpla con la nueva LFPDPPP de 2025.
El tercer paso es establecer una regla que el equipo pueda recordar: datos financieros, documentos de identidad y condiciones privadas de negociación solo en herramientas con cuenta empresarial y DPA firmado con el proveedor. Una regla sencilla que todos recuerden funciona mejor que un protocolo de veinte páginas que nadie aplica.
La IA bien usada en una agencia ahorra tiempo real y mejora la calidad de las fichas, los seguimientos y las propuestas. El problema no es la herramienta. Es usar la herramienta sin haber pensado qué entra y a dónde va esa información después.