Tras la Quiebra de 23andMe, las Empresas Enfrentan un Nuevo Ajuste de Cuentas sobre Responsabilidad de Datos

IA Empresarial / Gobernanza de Datos

Cuando 15 millones de perfiles genéticos se vendieron por aproximadamente $20 cada uno durante una liquidación por quiebra, quedó expuesta una brecha estructural en la forma en que las empresas gestionan el riesgo de datos de terceros - y la exposición es mucho mayor de lo que la mayoría de los equipos de cumplimiento reconoce.

15 de abril de 2026  |  PATech Labs Editorial  |  8 min de lectura

En marzo de 2025, 23andMe - alguna vez valorada en $6,000 millones - solicitó protección por quiebra bajo el Capítulo 11. Lo que siguió no fue solo una historia de advertencia sobre la arrogancia del biotecnológico de consumo. Fue una demostración en vivo de un mecanismo legal que los equipos de IA empresarial han subestimado sistemáticamente: la excepción por quiebra en los acuerdos de privacidad. Regeneron Pharmaceuticals adquirió finalmente los activos de la compañía por aproximadamente $256 millones. Esa cifra, dividida entre cerca de 15 millones de perfiles de clientes, resulta en poco menos de $17 por persona - datos de ascendencia genética, marcadores de predisposición a enfermedades, conexiones familiares, todo transferido a un nuevo propietario al que los clientes originales nunca consintieron.

Los mecanismos que permitieron esta transferencia no son exclusivos de la genómica de consumo. Están integrados en los mismos acuerdos comerciales estándar de licenciamiento de datos que los equipos de IA empresarial firman cada trimestre al incorporar conjuntos de datos de entrenamiento, canales de analítica de comportamiento, APIs de enriquecimiento y fuentes de inteligencia de mercado. La pregunta no es si su empresa tiene exposición. La pregunta es cuánta - y si sus equipos legal y de ingeniería de datos la han mapeado.

El Mecanismo Legal que los Equipos Corporativos Ignoran

El Capítulo 11 del Código de Quiebras de EE.UU. trata los datos de clientes como un activo de la empresa, salvo que exista una restricción legal explícita que diga lo contrario. La mayoría de los acuerdos de procesamiento de datos empresariales no contienen dicha restricción. Incluyen cláusulas de terminación, estándares mínimos de seguridad y limitaciones en el uso secundario - ninguna de las cuales es ejecutable frente a un síndico de quiebras que actúa en nombre de los acreedores.

Lo que hace al caso 23andMe especialmente relevante para los equipos de IA empresarial no son los datos genéticos. Es la clase de datos: información propietaria de alto valor, recopilada bajo promesas de privacidad, que se convirtió en un activo negociable en cuanto la empresa entró en insolvencia. El mismo perfil de riesgo se aplica a: datos de comportamiento de usuarios de aplicaciones de análisis de terceros, señales de intención de plataformas de marketing, datos de identidad de intermediarios de identidad, y perfiles de usuario enriquecidos de proveedores de datos de referencia.

En cada uno de esos casos, si el proveedor quiebra, los datos que usted licenció - y los datos de sus clientes que ese proveedor procesó en su nombre - pueden transferirse a un comprador desconocido, sin notificación a sus usuarios finales y sin sus obligaciones contractuales originales.

Lo que las Empresas Deben Hacer Ahora

Los equipos de gobernanza de datos más avanzados han comenzado a introducir lo que se denomina "cláusulas de evento de quiebra" en los contratos con proveedores de datos. Estas cláusulas establecen que los datos de clientes y los datos derivados del comportamiento del usuario no pueden transferirse como parte de un proceso de quiebra sin el consentimiento explícito del licenciatario - y que el incumplimiento de esta condición constituye causa de terminación inmediata del acuerdo.

En paralelo, los equipos de ingeniería de datos con visión de futuro están construyendo lo que algunos denominan "catálogos de linaje de terceros": registros internos que rastrean no solo qué datos compran, sino qué promesas de privacidad realizó el proveedor original a sus propios usuarios finales, qué categorías regulatorias cubren esos datos, y qué derechos conserva la empresa en caso de insolvencia del proveedor.

El Cambio Regulatorio que se Acerca

La FTC ha señalado que los procedimientos de quiebra que involucran datos de consumidores requerirán mayor escrutinio a partir de 2025. La Ley de IA de la Unión Europea, que entró en vigor en etapas a lo largo de 2025, incluye disposiciones sobre la procedencia de datos de entrenamiento que podrían obligar a las empresas a demostrar cadenas de consentimiento ininterrumpidas - incluso a través de transferencias de activos. En América Latina, países como Brasil, con la LGPD ya vigente, y México, con la revisión de su marco de protección de datos en curso, apuntan hacia regulaciones similares.

Las empresas que documentaron la procedencia de datos de sus proveedores y negociaron protecciones contractuales explícitas antes de que ocurriera un evento de quiebra estarán en una posición regulatoria fundamentalmente diferente de aquellas que no lo hicieron. En el caso 23andMe, el comprador - Regeneron - asumió compromisos específicos ante el tribunal de quiebras sobre cómo utilizaría los datos adquiridos. No todos los compradores en procedimientos futuros tendrán igual supervisión.

La lección no es que las empresas deban dejar de trabajar con proveedores de datos externos. Es que la diligencia debida en la cadena de suministro de datos debe ir tan lejos como la diligencia debida financiera. Cuando usted sabe que un proveedor puede quebrar - y en el entorno actual de financiamiento tecnológico, esa es una suposición razonable para cualquier empresa de datos en etapa temprana - necesita saber exactamente qué le sucede a los datos que usted licenció cuando eso ocurra.