IA y datos personales en Colombia: qué exige la ley

Qué aplica hoy

La Ley 1581 de 2012 y sus decretos reglamentarios regulan cualquier tratamiento de datos personales: recogerlos, guardarlos, usarlos y transmitirlos. No distinguen si quien los procesa es una persona, un programa o un modelo de lenguaje. Un chatbot que pide la cédula para consultar un pedido, o un asistente que lee documentos con datos de clientes para responder, está tratando datos personales. Y un empleado que pega una base de clientes en una cuenta personal de chat también: es el riesgo que se explica en ChatGPT para empresas.

La autoridad es la Superintendencia de Industria y Comercio. En 2024 publicó la Circular Externa 002, con lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. No es una ley nueva: es la forma en que la autoridad va a leer la ley existente cuando el caso involucre IA.

La política pública, el documento CONPES 4144 aprobado en febrero de 2025, orienta la inversión y la acción del Estado en inteligencia artificial hasta 2030. Es un marco de política, no una norma que imponga obligaciones a las empresas privadas.

Lo que pide la SIC, en concreto

Cinco decisiones que resuelven casi todo

• Enviarle al modelo solo lo necesario. Para responder el estado de un pedido, el modelo no necesita la cédula ni el teléfono del cliente: el sistema consulta con el dato y le pasa al modelo solo el resultado.
• Usar servicios que no entrenan con lo enviado. Los planes empresariales y las API de los principales proveedores no usan por defecto lo enviado para entrenar; las cuentas personales gratuitas pueden hacerlo. El trabajo con datos de clientes va por los primeros.
• Contrato con cada proveedor que procesa datos. Si el modelo, la base de datos o el servidor procesan datos por cuenta de la empresa —y más si están fuera del país—, la regulación prevé un contrato con ese encargado. Conviene revisarlo con el abogado antes de salir a producción.
• Autorización y aviso que cubran el uso. La política de tratamiento y el aviso de privacidad tienen que incluir la finalidad para la que el sistema usa el dato. Una autorización pedida para facturar no cubre por sí sola personalizar o entrenar un modelo.
• Saber dónde queda cada dato y cómo se borra. Conversaciones guardadas, registros, copias en el índice de búsqueda: cada lugar es un lugar desde donde hay que poder borrar cuando el titular lo pide.

Cuatro preguntas para el proveedor

1. ¿Qué datos personales va a ver el modelo? La respuesta correcta es una lista concreta, no «los que hagan falta». Si el proveedor no la tiene, todavía no diseñó el flujo.
2. ¿Dónde quedan guardados y por cuánto tiempo? Conversaciones, registros, copias en la base vectorial. Cada lugar tiene que tener un plazo y una forma de borrar.
3. ¿Qué terceros procesan los datos y en qué país? El proveedor del modelo, el alojamiento, la base de datos. Con esa lista se revisan los contratos y la política de tratamiento.
4. ¿Cómo se atiende un reclamo de un titular? Si un cliente pide saber qué se hizo con su dato, o que se borre, alguien tiene que poder responderle desde el sistema.

Lo que hacemos

• Consultoría de IA Arquitectura, criterios de evaluación y costo por consulta antes de escribir código.
• Modelos de lenguaje Aplicaciones LLM con salida estructurada y llamada a herramientas.
• Chatbots y asistentes con IA Con el conjunto de evaluación ejecutado antes de la salida a producción.