Gobernanza de IA en Japón: qué esperan de las empresas la AI Promotion Act, las directrices METI y la APPI

Japón ha elegido un camino distinto al de Bruselas. El 28 de mayo de 2025, la Dieta aprobó la AI Promotion Act — la primera ley japonesa específica sobre IA, plenamente vigente desde el 1 de septiembre de 2025. No contiene multas ni listas de prácticas prohibidas; en su lugar, crea un AI Strategic Headquarters presidido por el Primer Ministro e impone a las empresas un deber de cooperar con las medidas estatales sobre IA. El detalle operativo vive en las METI/MIC AI Guidelines for Business, actualizadas a la versión 1.1 el 28 de marzo de 2025. La industria empuja en la misma dirección: Keidanren publicó su «AI Utilization Strategy II» en 2023, y los miembros de JEITA han presentado iniciativas conjuntas de ética de IA. La fórmula: derecho blando, expectativas duras.

¿Por qué «voluntario» no significa «opcional» en Japón?

La AI Promotion Act es deliberadamente pro-innovación: la aplicación se ejerce mediante recomendaciones estatales, solicitudes de información y, en última instancia, la divulgación pública de las empresas que no cooperan — y en un mercado donde la confianza dirige las compras, ser señalado es una sanción real. Tres consecuencias para las empresas:

• La conformidad con las directrices se convierte en criterio de compra. Consejos, bancos y grandes clientes exigen cada vez más evidencia de alineación con las directrices METI/MIC.
• Los incidentes son investigables. El Estado puede recabar información y analizar casos en los que la IA haya dañado derechos o intereses.
• El registro documental es la defensa. Sin constancia de lo que hizo su IA y de quién lo aprobó, «cooperamos» es una afirmación, no una prueba.

¿Qué esperan en concreto las METI/MIC AI Guidelines for Business?

Las directrices se aplican a desarrolladores, proveedores y — de forma decisiva — usuarios empresariales de IA, sobre la base de los principios japoneses de IA centrada en el ser humano. Para las empresas que la despliegan, destacan tres expectativas:

• Gobernanza con responsabilidad al nivel directivo — ágil, basada en riesgos, documentada, no delegada a un laboratorio.
• Transparencia ante las partes interesadas — el ámbito de uso de la IA, los métodos de recogida de datos, sus capacidades y límites deben ser explicables y verificables.
• Supervisión humana y gestión de incidentes — mecanismos de monitorización y una decisión humana antes de acciones con consecuencias.

APPI: el borde de derecho duro en torno a los datos personales

La APPI sigue siendo ley vinculante con una revisión trienal obligatoria — y esa revisión la está endureciendo. La Personal Information Protection Commission publicó su System Reform Policy en enero de 2026, y el Gabinete aprobó en abril de 2026 un proyecto de reforma de la APPI que introduce multas administrativas, refuerza la protección de datos biométricos e infantiles y abre solo un carril estrecho de fines estadísticos para el entrenamiento de IA. Introducir datos personales de clientes o empleados en un servicio externo de IA sigue siendo un acto regulado: se aplican la limitación de finalidad, el consentimiento o una excepción definida, y las reglas de transferencia transfronteriza. Si usted no puede demostrar qué datos personales llegaron a qué modelo, el cumplimiento de la APPI es pura conjetura.

¿Qué debería exigir una empresa japonesa a una plataforma de IA?

• Control nacional de los datos — inferencia, recuperación y registros dentro de su propio perímetro, con capacidad air-gap; la postura de soberanía que la nube gubernamental evaluada por ISMAP normalizó.
• Auditabilidad inalterable — un registro por llamada que solo se anexa y nunca se edita ni se borra, listo para preguntas del regulador y para la notificación de incidentes que coordina JPCERT/CC.
• Aprobaciones con humano en el circuito — puertas de control aplicadas técnicamente, no documentos de política.
• Automatización gobernada y conforme al JCT — flujos financieros que respetan el sistema japonés de facturas cualificadas en lugar de eludirlo.

El mensaje de Japón es coherente: el Estado no le impondrá la gobernanza a base de multas — sus clientes, sus auditores y la PPC le exigirán demostrarla de todos modos.