IA en Costa Rica

Costa Rica no cuenta con un estatuto vinculante específico de IA a 2026, pero el entorno operativo para los despliegues de IA está condicionado por tres capas que convergen. La primera es el marco de política nacional — la ENIA 2024-2027 (Estrategia Nacional de Inteligencia Artificial), coordinada por el MICITT (Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones). En abril de 2025 el MICITT emitió una nota de implementación de mitad de ciclo que aclara cómo se aplican los principios de la ENIA a la contratación de IA en el sector público: cualquier ente estatal que contrate un sistema de IA que apoye la toma de decisiones automatizadas frente a la ciudadanía debe publicar una ficha de modelo, una divulgación de la fuente de datos y un protocolo de supervisión humana antes de la puesta en marcha. La nota es vinculante para los compradores públicos y se está usando como estándar de referencia por proveedores privados que venden al Estado. La segunda capa es la protección de datos — la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales, supervisada por PRODHAB (Agencia de Protección de Datos de los Habitantes — https://www.prodhab.go.cr). En febrero de 2026 PRODHAB publicó una posición actualizada sobre transferencias transfronterizas bajo el Artículo 14 de la Ley 8968, aclarando que las transferencias a encargados en Estados Unidos son admisibles sin autorización separada únicamente cuando la parte importadora está sujeta al Marco de Privacidad de Datos UE-EE. UU. o ha firmado cláusulas contractuales tipo alineadas con el modelo PRODHAB de 2024. Los proveedores de IA que muevan datos de entrenamiento o logs de inferencia al exterior ahora requieren una base documentada para la transferencia, archivada antes del inicio del tratamiento. La tercera capa es la regulación sectorial — SUGEF, SUGESE y SUGEVAL tienen cada una circulares de riesgo de IA vigentes para banca, seguros y valores respectivamente, y la guía 2025 de riesgo de IA de SUGEF en fintech (incorporada al Reglamento sobre el Riesgo Operativo) exige a las entidades supervisadas mantener un inventario de modelos, documentar la gestión del riesgo modelo y reportar al supervisor las decisiones materiales impulsadas por IA. La aplicación es administrativa — PRODHAB puede imponer multas de hasta 30 salarios base por infracción (Artículo 28 de la Ley 8968) y SUGEF puede exigir planes de remediación con plazos exigibles. Las guías recientes del MICITT bajo la ENIA también marcan dónde aterrizará la próxima ronda de reglas vinculantes: aplicaciones de alto riesgo orientadas al público, transparencia para decisiones automatizadas y trazabilidad de origen para medios sintéticos.