Su equipo comercial está pegando la base de clientes en una herramienta de inteligencia artificial para segmentarla. Recursos Humanos está filtrando hojas de vida con un modelo que nadie contrató formalmente. Servicio al cliente entrena un asistente automático con las conversaciones de los últimos dos años.
Ninguna de esas tres decisiones pasó por el área jurídica. Las tres son tratamiento de datos personales.
En materia de IA y protección de datos, Colombia no tiene todavía una ley de inteligencia artificial. Lo que tiene es la Ley 1581 de 2012, expedida por el Congreso de la República, que fija el régimen general de protección de datos personales y se aplica sin importar la tecnología que se use para tratarlos, y la Circular Externa 002 de 2024, con la que la Superintendencia de Industria y Comercio precisó qué espera de las empresas que usan IA. La pregunta que hace la SIC no es si usted usa IA. Es si el tratamiento que hace con ella tiene autorización, finalidad definida y medidas de seguridad.
¿Qué exige la ley colombiana a una empresa que usa IA con datos personales?
Exige lo mismo que a cualquier otro tratamiento, con una dificultad práctica añadida: demostrarlo.
La Ley 1581 de 2012 define el tratamiento como «cualquier operación sobre datos personales, recolección, almacenamiento, uso, circulación o supresión.» Introducir una base de clientes en un modelo de lenguaje es uso. Entrenar un modelo con historiales de atención es uso. Transferir esos datos a un proveedor extranjero de IA es transferencia internacional, y tiene reglas propias.
El artículo 4 de la ley fija los principios que rigen todo tratamiento. Tres de ellos son los que la IA pone a prueba con más frecuencia:
- Finalidad. El tratamiento debe obedecer a una finalidad legítima, informada al titular. Si el cliente autorizó el uso de sus datos para facturación y despacho, no autorizó su uso para entrenar un modelo predictivo.
- Libertad. El tratamiento requiere consentimiento previo, expreso e informado del titular. Un consentimiento genérico redactado en 2019 difícilmente cubre una finalidad que no existía cuando se firmó.
- Seguridad. El responsable debe adoptar medidas técnicas y administrativas para evitar acceso no autorizado. Una herramienta de IA de uso público, alimentada con datos de clientes desde una cuenta personal de un empleado, es exactamente el escenario que este principio busca impedir.
A esto se suma el principio de acceso y circulación restringida: los datos no pueden estar disponibles en internet salvo que el acceso sea técnicamente controlable. Buena parte del uso informal de IA en las empresas ocurre precisamente fuera de ese control.
Los datos sensibles: donde el riesgo cambia de escala
El artículo 5 de la Ley 1581 de 2012 clasifica como sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Entre ellos: los datos de salud, los biométricos, los relativos al origen racial o étnico, la orientación política, las convicciones religiosas y la pertenencia a sindicatos.
El artículo 6 prohíbe su tratamiento, con excepciones taxativas, entre ellas la autorización explícita del titular. Y establece algo que suele pasarse por alto: ninguna actividad puede condicionarse a que el titular entregue datos sensibles.
Esto importa para IA por una razón concreta. Los sistemas de selección de personal, de scoring de clientes o de análisis de conversaciones pueden inferir datos sensibles sin que nadie los haya recolectado deliberadamente. Un modelo que descarta hojas de vida puede estar operando sobre variables correlacionadas con origen étnico o con estado de salud. La empresa responde por el resultado, no por la intención.
Cuatro puntos donde el cumplimiento suele romperse
En revisiones de cumplimiento, los mismos cuatro puntos aparecen una y otra vez:
- La autorización no cubre la finalidad actual. Se autorizó una cosa y se hace otra. Es el hallazgo más frecuente y el más fácil de documentar en contra de la empresa.
- La política de tratamiento no menciona la IA ni los proveedores tecnológicos. El artículo 17 de la Ley 1581 de 2012 obliga al responsable a informar al titular sobre el tratamiento. Una política que no refleja la operación real es un incumplimiento visible.
- No hay contrato de encargo con el proveedor. Cuando un tercero trata datos por cuenta de la empresa, actúa como encargado. La relación debe estar documentada, con obligaciones de seguridad y confidencialidad definidas.
- Nadie sabe qué herramientas se están usando. Sin inventario de sistemas y bases de datos, no hay forma de responder un requerimiento ni de atender una consulta o reclamo del titular en los términos del artículo 14.
La Circular 002 de 2024: el estándar que la SIC ya fijó para IA
El 21 de agosto de 2024 la Superintendencia de Industria y Comercio expidió la Circular Externa 002 de 2024, con lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Se dirige a los sujetos vigilados por la SIC en su rol de autoridad de protección de datos, responsables, encargados, fuentes, operadores y usuarios, y se apoya en las leyes estatutarias 1266 de 2008 y 1581 de 2012.
Una circular no crea obligaciones nuevas. Precisa cómo la autoridad interpreta las existentes y, por esa vía, fija el estándar con el que va a evaluar a una empresa que usa IA. Lo relevante para una operación empresarial:
- Ponderar antes de tratar. Idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto: cuatro criterios que la empresa debe aplicar y poder mostrar.
- Documentar un estudio de impacto de privacidad previo al diseño del sistema, no antes de ponerlo en producción. Debe describir las operaciones de tratamiento, evaluar los riesgos y fijar medidas preventivas.
- Identificar y clasificar los riesgos y adoptar medidas de mitigación, como elemento de la responsabilidad demostrada.
- Abstenerse ante la incertidumbre. Si hay duda sobre daños potenciales graves, la instrucción es no tratar hasta adoptar medidas precautorias.
- Privacidad desde el diseño y por defecto, con referencia expresa a técnicas como la privacidad diferencial.
- Medidas de seguridad tecnológicas, humanas, administrativas y físicas, y auditables.
- Que un dato sea accesible al público no lo convierte en dato público. Sigue exigiendo autorización previa, expresa e informada del titular.
Ese último punto es el que más discusiones abre en la práctica: los datos disponibles en internet no son materia prima libre para entrenar un modelo.
La Circular no trae régimen sancionatorio propio. El incumplimiento se persigue por la vía ordinaria de la Ley 1581 de 2012.
Qué puede hacer la Superintendencia de Industria y Comercio
La SIC es la autoridad de protección de datos personales en Colombia y ejerce esa función a través de su Delegatura para la Protección de Datos Personales.
El artículo 23 de la Ley 1581 de 2012 le atribuye la facultad de imponer, previa investigación y con observancia del debido proceso, sanciones que incluyen «multas de hasta 2.000 salarios mínimos legales mensuales vigentes, la suspensión de las actividades relacionadas con el tratamiento hasta por seis meses, el cierre temporal de las operaciones y el cierre inmediato y definitivo de la operación que involucre tratamiento de datos sensibles.» Las sanciones aplican a responsables y encargados del tratamiento de naturaleza privada.
En una investigación, el estándar con el que se mide la responsabilidad demostrada es el de la Circular 002 de 2024. No basta con afirmar que el tratamiento fue idóneo, necesario y proporcional: hay que acreditarlo con documentos.
No son sanciones que dependan de que exista un daño consumado. Dependen de que el tratamiento sea irregular.
Preguntas frecuentes sobre IA y protección de datos
¿La Circular 002 de 2024 de la SIC es de obligatorio cumplimiento?
Es un acto administrativo de carácter general con el que la SIC imparte instrucciones a sus vigilados. No crea obligaciones distintas de las que ya fijan las leyes 1266 de 2008 y 1581 de 2012, pero define la interpretación de la autoridad y el estándar con el que evaluará el cumplimiento. Apartarse de ella deja a la empresa en la posición de tener que justificar por qué.
¿Necesito una autorización nueva para usar IA con datos que ya tengo?
Depende de la finalidad. Si el uso con IA corresponde a una finalidad ya informada y autorizada, la autorización existente sirve. Si introduce una finalidad nueva, bien sea entrenamiento de modelos, perfilamiento o decisiones automatizadas, se requiere una autorización que la cubra.
¿Puedo usar una herramienta de IA extranjera con datos de mis clientes?
Sí, cumpliendo las reglas de transferencia y transmisión internacional de datos previstas en la Ley 1581 de 2012 y en el Decreto 1074 de 2015. Eso implica verificar el nivel de protección del país destino o contar con las autorizaciones y contratos correspondientes.
¿La empresa responde si el error lo cometió el proveedor de IA?
El responsable del tratamiento conserva sus deberes frente al titular. La existencia de un encargado no traslada la responsabilidad; la distribuye contractualmente, y esa distribución debe estar documentada.
Lo que conviene revisar antes de que se lo revisen
El uso de IA en las empresas colombianas se adelantó a sus políticas internas. Eso no es un problema tecnológico: es una brecha entre lo que la empresa autorizó y lo que la empresa hace.
La revisión mínima cabe en tres preguntas. Qué herramientas de IA están tocando datos personales hoy. Qué finalidad autorizaron los titulares de esos datos. Y si la política de tratamiento publicada describe lo que realmente ocurre. Responder esas tres preguntas por escrito es más barato que responderlas ante un requerimiento.
En Juridex acompañamos a las empresas en esa revisión con equipos especializados en derecho corporativo y protección de datos.
Este artículo tiene carácter informativo y no constituye asesoría jurídica formal. Cada caso exige análisis particular de sus circunstancias.
