Casi cualquier proceso que valga la pena automatizar con IA toca datos personales: correos de clientes, cédulas, facturas, historias clínicas, extractos bancarios. Por eso, en algún momento de la conversación, alguien del área legal o de riesgos pregunta: «¿y esto cumple la Ley 1581?»
La buena noticia: la ley colombiana de protección de datos no prohíbe usar IA. Lo que exige es que el tratamiento tenga una finalidad autorizada, sea proporcional y esté protegido. Eso se resuelve en el diseño de la solución, no con un párrafo nuevo en la política de privacidad. En esta guía verás el marco legal aplicable, las preguntas que conviene responder antes de automatizar y los controles técnicos que hacen la diferencia.
Esta guía es informativa y no constituye asesoría legal. Cada tratamiento de datos debe validarse con el oficial de protección de datos o el asesor jurídico de tu empresa.
El marco legal en un minuto
| Norma | Qué regula |
|---|---|
| Constitución, art. 15 | El derecho de habeas data: conocer, actualizar y rectificar la información que se recoja sobre uno |
| Ley 1581 de 2012 | El régimen general de protección de datos personales: principios, autorización, datos sensibles, derechos del titular, transferencias y sanciones |
| Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) | Reglamenta la autorización, la política de tratamiento, la transmisión a encargados y la responsabilidad demostrada |
| Ley 1266 de 2008 | El habeas data financiero: información crediticia y comercial |
| Circular Externa 002 de 2024 de la SIC | Lineamientos específicos para el tratamiento de datos personales en sistemas de inteligencia artificial |
La autoridad es la Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales.
Quién es responsable de qué
La Ley 1581 distingue dos roles, y entenderlos ordena toda la conversación con un proveedor de IA:
- Responsable del tratamiento: quien decide para qué y cómo se usan los datos. Cuando automatizas un proceso de tu empresa, el responsable sigue siendo tu empresa.
- Encargado del tratamiento: quien trata los datos por cuenta del responsable. El proveedor que construye y opera la automatización, la nube donde corre y el servicio del modelo de IA suelen ser encargados.
Cuando los datos van a un encargado —incluso fuera de Colombia—, el Decreto 1377 permite hacerlo mediante un contrato de transmisión de datos que fije el alcance del tratamiento, las medidas de seguridad y las obligaciones del encargado. Ese contrato no es un trámite opcional: es lo que te permite demostrar ante la SIC que el proveedor trata los datos solo para lo que tú autorizaste.
6 preguntas antes de automatizar con IA
1. ¿La finalidad está cubierta por la autorización?
La autorización del titular debe ser previa, expresa e informada, y cubre finalidades concretas. Si recogiste los datos para gestionar un siniestro, usarlos para gestionar ese siniestro con ayuda de IA está, en principio, dentro de la finalidad. Usarlos para entrenar un modelo que venderás a terceros, no. La IA no cambia la finalidad; la herramienta sí puede tentarte a cambiarla.
2. ¿Hay datos sensibles?
La ley define como sensibles los datos que afectan la intimidad o cuyo uso indebido puede generar discriminación: salud, origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos, vida sexual y datos biométricos. En seguros y en el sector financiero aparecen todo el tiempo —una historia clínica en un siniestro de salud, una incapacidad en un trámite de crédito—. Su tratamiento exige autorización explícita y un nivel de protección mayor.
3. ¿Estás usando solo los datos necesarios?
Para clasificar un correo no hace falta enviar al modelo el número de cédula completo. La minimización —procesar solo lo indispensable, y enmascarar o seudonimizar el resto— es la medida más barata y la que más riesgo reduce.
4. ¿Dónde se procesan los datos?
Si el modelo o la nube están fuera de Colombia, hay un flujo internacional de datos. El artículo 26 de la Ley 1581 prohíbe transferir datos a países sin un nivel adecuado de protección, salvo excepciones; la SIC publica la lista de países adecuados en su Circular Única. En la práctica: verifica la región donde se alojan y procesan los datos, que el país esté en la lista vigente y que exista el contrato de transmisión con cada encargado.
5. ¿El proveedor del modelo aprende con tus datos?
Es la pregunta que más se olvida. Muchos servicios de IA para empresas permiten —y algunos lo hacen por defecto en sus versiones gratuitas— usar lo que les envías para mejorar sus modelos. Para datos personales, la configuración correcta es sin entrenamiento con tus datos y sin retención más allá de lo necesario, y eso debe constar por contrato, no solo en una pantalla de configuración.
6. ¿Puedes atender los derechos del titular?
El titular puede conocer, actualizar, rectificar y pedir la supresión de sus datos, y revocar la autorización. Las consultas se responden en 10 días hábiles y los reclamos en 15. Si tu automatización copia datos a cinco sistemas distintos, cada supresión se vuelve un problema. Diseña para que los datos tengan un ciclo de vida claro: dónde viven, cuánto tiempo y cómo se borran.
Lo que pide la SIC para sistemas de IA
La Circular Externa 002 de 2024 aterriza la Ley 1581 al caso de la IA. Sus ideas centrales:
- Test de proporcionalidad. El tratamiento de datos en un sistema de IA debe ser idóneo, necesario, razonable y proporcional en sentido estricto. Si el objetivo se puede lograr con menos datos, o con datos anonimizados, esa es la opción que corresponde.
- Gestión de riesgos. Quien trata datos en sistemas de IA debe identificar, clasificar, medir, monitorear y controlar los riesgos, y adoptar medidas para mitigarlos.
- Responsabilidad demostrada. No basta con cumplir: hay que poder demostrarlo, con documentación, evaluaciones de impacto y evidencia de los controles.
- Finalidad y autorización. No se pueden recolectar datos sin autorización ni usarlos para fines distintos a los informados, también cuando el que los «usa» es un modelo.
Un punto a tener en cuenta: la Ley 1581 no tiene una regla específica sobre decisiones totalmente automatizadas como la del artículo 22 del reglamento europeo (RGPD). Aun así, mantener a una persona en las decisiones que afectan al titular —negar un crédito, objetar un siniestro— es la forma más sencilla de cumplir con la proporcionalidad y de responder si alguien reclama.
Controles técnicos que hacen la diferencia
| Riesgo | Control |
|---|---|
| Exceso de datos enviados al modelo | Minimización y enmascaramiento de identificadores antes de cada llamada |
| Datos fuera de una jurisdicción adecuada | Selección de región de nube y verificación contra la lista de la SIC |
| El proveedor del modelo retiene o reutiliza los datos | Servicios empresariales sin entrenamiento ni retención, por contrato |
| Accesos indebidos | Cifrado en tránsito y en reposo; permisos por rol; mínimo privilegio |
| Imposibilidad de explicar un resultado | Trazabilidad: cada dato extraído enlazado a su documento y a la regla aplicada |
| Decisiones adversas sin control | Revisión humana obligatoria antes de negar, objetar o rechazar |
| Datos que se acumulan sin fin | Políticas de retención y borrado automático |
Sanciones: por qué no conviene improvisar
El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales, suspender actividades relacionadas con el tratamiento hasta por seis meses, ordenar su cierre temporal e incluso el cierre definitivo de operaciones que involucren datos sensibles. A eso se suma el daño reputacional, que en seguros y banca suele pesar más que la multa.
Recuerda además que las sociedades con activos totales superiores a 100.000 UVT deben registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Una automatización que crea una nueva base de datos personales debe reflejarse ahí.
Errores comunes
- Probar con datos reales en herramientas gratuitas. Pegar correos de clientes en un chat de IA de consumo «para ver si funciona» ya es un tratamiento de datos, y probablemente una transferencia internacional sin contrato.
- Dejar a legal para el final. Si el área de cumplimiento conoce el proyecto cuando ya está construido, cualquier ajuste cuesta el doble.
- Confundir anonimizar con seudonimizar. Reemplazar el nombre por un código sigue siendo un dato personal si alguien puede revertirlo.
- Olvidar los adjuntos. El cuerpo del correo se enmascara; la cédula escaneada adjunta, no.
Cómo lo abordamos en Ditempo
Trabajamos con aseguradoras y entidades financieras, donde la protección de datos es parte del diseño desde el primer día. En el diagnóstico mapeamos qué datos personales toca el proceso, cuáles son sensibles y qué finalidad los cubre. A partir de ahí, la solución procesa solo lo necesario, en servicios empresariales configurados sin entrenamiento con los datos del cliente, con trazabilidad y con revisión humana en las decisiones que afectan al titular. Y documentamos lo necesario para que tu oficial de protección de datos pueda demostrar el cumplimiento.
Puedes ver cómo encaja esto en un proyecto completo en automatización de procesos con IA, o en un caso concreto como la gestión de siniestros con IA.
¿Tu proyecto de IA toca datos personales?
Si tienes un proceso en mente y la pregunta de cumplimiento te frena, cuéntanos qué datos involucra. En una conversación corta te ayudamos a identificar los riesgos y cómo resolverlos en el diseño. Escríbenos o hablemos directo por WhatsApp.