ONG en Uganda: proteger los datos de beneficiarios frente a la IA

En una oficina de terreno en Arua o Kyangwali, una oficial de protección tiene que terminar su informe semanal antes de la noche. Pega sus notas de entrevista en ChatGPT para obtener un resumen limpio. En esas notas hay nombres, números de registro, una ubicación dentro del asentamiento y el relato de una agresión. El resumen llega en diez segundos. Los datos ya han salido hacia un servidor en el extranjero.

Esta escena no tiene nada de excepcional. Las ONG y agencias humanitarias en Uganda trabajan bajo presión, con equipos pequeños, y la IA generativa les ayuda de verdad. Pero también manejan algunos de los datos más sensibles que existen: los de personas que huyeron de su país. La ley ugandesa se aplica a esos datos, y la PDPO ya ha recordado a las ONG que no están exentas.

Uganda, el mayor país de acogida de refugiados de África

Según ACNUR, Uganda acogía a unos 1,93 millones de refugiados a mediados de 2025, más que cualquier otro país africano. Más de un millón de ellos son menores de 18 años. La mayoría de las llegadas proceden de Sudán del Sur, la República Democrática del Congo y Sudán.

Alrededor de esta población se ha formado un ecosistema denso: agencias de la ONU, grandes ONG internacionales, asociaciones locales, socios de implementación y proveedores de transferencias monetarias. Todos recogen, comparten y analizan datos de beneficiarios, a menudo en hojas de cálculo que pasan de mano en mano.

Las ONG no están exentas de la ley de 2019

La Data Protection and Privacy Act de 2019 se aplica a cualquier organización que recoja o trate datos personales en Uganda. Ser una entidad benéfica o humanitaria no cambia nada. En octubre de 2022, el National Bureau for Non-Governmental Organisations publicó una circular que pedía a las ONG registrarse ante la Personal Data Protection Office, la PDPO, integrada en la NITA-U.

El expediente de registro pide, entre otras cosas:

• la naturaleza y las categorías de datos personales tratados;

• los datos de contacto del delegado de protección de datos;

• las transferencias de datos fuera de Uganda;

• las medidas de seguridad aplicadas.

Los dos últimos puntos afectan directamente a la IA. Un asistente de consumo alojado fuera del país es una transferencia. Y una organización que no sabe qué envía su personal a estas herramientas tendrá difícil describir sus medidas de seguridad. Explicamos el marco general, el registro y las sanciones en nuestra guía de cumplimiento PDPO.

Datos de beneficiarios especialmente expuestos

En el trabajo humanitario, una fuga no se mide solo en multas. Una lista de beneficiarios con su origen, su etnia o su supuesta afiliación política puede poner vidas en peligro, en Uganda y en el país de origen. La ley de 2019 considera las opiniones políticas, las creencias religiosas, la salud y la vida sexual como datos personales especiales.

Las situaciones de riesgo se repiten:

• notas de gestión de casos de violencia de género, reescritas por un chatbot;

• listas de distribución o de transferencias monetarias con teléfonos e importes, analizadas en un asistente de IA;

• datos de salud de clínicas móviles, resumidos para un informe a donantes;

• propuestas de financiación redactadas a partir de casos reales, con los nombres sin borrar.

Por qué la IA se instaló sin reglas en las ONG

Los presupuestos humanitarios sufrieron fuertes recortes en 2025, y ACNUR alertó de la reducción de servicios en Uganda. Menos personal, más informes que entregar, donantes exigentes: la IA gratuita se convierte en un reflejo. Rara vez llega por decisión de la dirección. Llega cuando un compañero le enseña la herramienta a otro.

El resultado es un uso invisible, lo que se conoce como IA en la sombra. Sus costes reales se analizan en el coste real de la IA en la sombra en 2026. En una ONG, la rotación de personal, los voluntarios y los ordenadores compartidos agravan el riesgo.

Formar a los equipos no basta

La mayoría de las organizaciones humanitarias ya imparten formación sobre protección de datos y el principio de "no hacer daño". El Manual sobre protección de datos en la acción humanitaria del CICR es una referencia en el sector. Estos materiales siguen siendo imprescindibles, pero nadie los consulta en el momento en que una empleada cansada pega una tabla en un chatbot a las diez de la noche. Lo explicamos en por qué la formación en seguridad de IA no funciona.

Lo que funciona mejor

1. Autorizar herramientas concretas en lugar de prohibirlo todo, para evitar que la gente busque atajos.

2. Definir los datos que nunca deben enviarse: números de registro, teléfonos, datos de salud, notas de casos.

3. Sustituir esos datos automáticamente por valores ficticios con el mismo formato antes del envío, como explicamos en nuestro artículo sobre la anonimización que preserva el formato.

4. Guardar un registro de los incidentes evitados, útil para la PDPO y para las auditorías de los donantes.

Cómo ayuda ZeusLock a las organizaciones humanitarias

ZeusLock funciona en los equipos y navegadores del personal, tanto en la sede de Kampala como en las oficinas de terreno. Antes de que un prompt o un archivo llegue a ChatGPT, Copilot, Gemini o Claude, detecta los datos sensibles: nombres, teléfonos ugandeses, NIN, identificadores de beneficiarios, términos de salud. Según sus reglas, los anonimiza, avisa al usuario o bloquea el envío. Cada evento queda registrado, lo que le da pruebas concretas para el regulador o sus donantes.

En resumen

Las ONG en Uganda gestionan datos de personas vulnerables, a gran escala y con recursos cada vez menores. La ley de 2019 se les aplica plenamente, incluidas las transferencias al extranjero. La IA puede aliviar su carga de trabajo, siempre que los datos de los beneficiarios se queden donde deben estar.

¿Trabaja para una ONG o una agencia humanitaria en Uganda? Solicite una demo de ZeusLock y descubra cómo proteger los datos de sus beneficiarios.