Quasi ogni processo che valga la pena automatizzare con l’IA tocca dati personali: email dei clienti, documenti d’identità, fatture, cartelle cliniche, estratti conto. Per questo, a un certo punto della conversazione, qualcuno dell’ufficio legale o del risk management chiede: «ma questo rispetta la Legge 1581?»
La buona notizia: la legge colombiana sulla protezione dei dati non vieta l’uso dell’IA. Ciò che richiede è che il trattamento abbia una finalità autorizzata, sia proporzionato e protetto. Questo si risolve nel progetto della soluzione, non con un nuovo paragrafo nell’informativa privacy. In questa guida vedrai il quadro normativo applicabile, le domande a cui conviene rispondere prima di automatizzare e i controlli tecnici che fanno la differenza.
Questa guida ha scopo informativo e non costituisce consulenza legale. Ogni trattamento di dati va validato con il responsabile della protezione dei dati o con il consulente legale della tua azienda.
Il quadro normativo in un minuto
| Norma | Cosa regola |
|---|---|
| Costituzione, art. 15 | Il diritto di habeas data: conoscere, aggiornare e rettificare le informazioni raccolte su di sé |
| Legge 1581 del 2012 | Il regime generale di protezione dei dati personali: principi, autorizzazione, dati sensibili, diritti dell’interessato, trasferimenti e sanzioni |
| Decreto 1377 del 2013 (compilato nel Decreto 1074 del 2015) | Regola l’autorizzazione, la politica di trattamento, la trasmissione ai responsabili esterni e l’accountability |
| Legge 1266 del 2008 | L’habeas data finanziario: informazioni creditizie e commerciali |
| Circolare Esterna 002 del 2024 della SIC | Linee guida specifiche per il trattamento dei dati personali nei sistemi di intelligenza artificiale |
L’autorità competente è la Superintendencia de Industria y Comercio (SIC), tramite la sua Delegazione per la Protezione dei Dati Personali.
Chi è responsabile di cosa
La Legge 1581 distingue due ruoli, e capirli mette ordine in qualsiasi conversazione con un fornitore di IA:
- Titolare del trattamento (responsable): chi decide perché e come si usano i dati. Quando automatizzi un processo della tua azienda, il titolare resta la tua azienda.
- Responsabile del trattamento (encargado): chi tratta i dati per conto del titolare. Il fornitore che costruisce e gestisce l’automazione, il cloud su cui gira e il servizio del modello di IA sono di solito responsabili.
Quando i dati vanno a un responsabile — anche fuori dalla Colombia — il Decreto 1377 lo consente tramite un contratto di trasmissione dei dati che stabilisce l’ambito del trattamento, le misure di sicurezza e gli obblighi del responsabile. Quel contratto non è una formalità facoltativa: è ciò che ti permette di dimostrare alla SIC che il fornitore tratta i dati solo per ciò che hai autorizzato.
6 domande prima di automatizzare con l’IA
1. La finalità è coperta dall’autorizzazione?
L’autorizzazione dell’interessato deve essere preventiva, espressa e informata, e copre finalità specifiche. Se hai raccolto i dati per gestire un sinistro, usarli per gestire quel sinistro con l’aiuto dell’IA rientra, in linea di principio, nella finalità. Usarli per addestrare un modello da vendere a terzi, no. L’IA non cambia la finalità; lo strumento può tentarti a cambiarla.
2. Ci sono dati sensibili?
La legge definisce sensibili i dati che incidono sulla riservatezza o il cui uso improprio può generare discriminazione: salute, origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita sessuale e dati biometrici. In ambito assicurativo e finanziario compaiono di continuo — una cartella clinica in un sinistro salute, un certificato di malattia in una pratica di credito. Il loro trattamento richiede un’autorizzazione esplicita e un livello di protezione più alto.
3. Stai usando solo i dati necessari?
Per classificare un’email non serve inviare al modello il numero completo del documento d’identità. La minimizzazione — trattare solo l’indispensabile e mascherare o pseudonimizzare il resto — è la misura più economica e quella che riduce di più il rischio.
4. Dove vengono trattati i dati?
Se il modello o il cloud si trovano fuori dalla Colombia, c’è un flusso internazionale di dati. L’articolo 26 della Legge 1581 vieta di trasferire dati verso paesi senza un livello adeguato di protezione, salvo eccezioni; la SIC pubblica l’elenco dei paesi adeguati nella sua Circolare Unica. In pratica: verifica la region in cui i dati sono conservati e trattati, che il paese sia nell’elenco vigente e che esista il contratto di trasmissione con ogni responsabile.
5. Il fornitore del modello impara dai tuoi dati?
È la domanda che si dimentica più spesso. Molti servizi di IA consentono — e alcuni lo fanno per impostazione predefinita nelle versioni gratuite — di usare ciò che invii per migliorare i propri modelli. Per i dati personali, la configurazione corretta è nessun addestramento con i tuoi dati e nessuna conservazione oltre il necessario, e deve risultare dal contratto, non solo da una schermata di impostazioni.
6. Puoi garantire i diritti dell’interessato?
L’interessato può conoscere, aggiornare, rettificare e chiedere la cancellazione dei propri dati, e revocare l’autorizzazione. Alle richieste si risponde entro 10 giorni lavorativi e ai reclami entro 15. Se la tua automazione copia i dati in cinque sistemi diversi, ogni cancellazione diventa un problema. Progetta in modo che i dati abbiano un ciclo di vita chiaro: dove vivono, per quanto tempo e come si cancellano.
Cosa chiede la SIC ai sistemi di IA
La Circolare Esterna 002 del 2024 applica la Legge 1581 all’IA. I suoi concetti centrali:
- Test di proporzionalità. Il trattamento dei dati in un sistema di IA deve essere idoneo, necessario, ragionevole e proporzionato in senso stretto. Se l’obiettivo si può raggiungere con meno dati, o con dati anonimizzati, è quella l’opzione da scegliere.
- Gestione dei rischi. Chi tratta dati in sistemi di IA deve identificare, classificare, misurare, monitorare e controllare i rischi, e adottare misure per mitigarli.
- Accountability. Non basta rispettare le regole: bisogna poterlo dimostrare, con documentazione, valutazioni d’impatto ed evidenza dei controlli.
- Finalità e autorizzazione. Non si possono raccogliere dati senza autorizzazione né usarli per fini diversi da quelli comunicati — anche quando a «usarli» è un modello.
Un aspetto da considerare: la Legge 1581 non prevede una norma specifica sulle decisioni interamente automatizzate come l’articolo 22 del GDPR europeo. Ciononostante, mantenere una persona nelle decisioni che riguardano l’interessato — rifiutare un credito, respingere un sinistro — è il modo più semplice per rispettare la proporzionalità e per rispondere in caso di reclamo.
I controlli tecnici che fanno la differenza
| Rischio | Controllo |
|---|---|
| Troppi dati inviati al modello | Minimizzazione e mascheramento degli identificativi prima di ogni chiamata |
| Dati fuori da una giurisdizione adeguata | Scelta della region cloud e verifica rispetto all’elenco della SIC |
| Il fornitore del modello conserva o riutilizza i dati | Servizi enterprise senza addestramento né conservazione, per contratto |
| Accessi non autorizzati | Cifratura in transito e a riposo; permessi per ruolo; privilegio minimo |
| Impossibilità di spiegare un risultato | Tracciabilità: ogni dato estratto collegato al suo documento e alla regola applicata |
| Decisioni sfavorevoli senza controllo | Revisione umana obbligatoria prima di rifiutare, respingere o negare |
| Dati che si accumulano senza fine | Politiche di conservazione e cancellazione automatica |
Sanzioni: perché non conviene improvvisare
L’articolo 23 della Legge 1581 consente alla SIC di imporre multe fino a 2.000 salari minimi mensili, sospendere le attività legate al trattamento fino a sei mesi, ordinarne la chiusura temporanea e perfino la chiusura definitiva delle operazioni che coinvolgono dati sensibili. A questo si aggiunge il danno reputazionale, che nel settore assicurativo e bancario pesa spesso più della multa.
Ricorda inoltre che le società con attivi totali superiori a 100.000 UVT devono iscrivere le proprie banche dati nel Registro Nazionale delle Banche Dati (RNBD). Un’automazione che crea una nuova banca dati personali deve risultare lì.
Errori comuni
- Fare prove con dati reali su strumenti gratuiti. Incollare email di clienti in una chat di IA consumer «per vedere se funziona» è già un trattamento di dati — e probabilmente un trasferimento internazionale senza contratto.
- Lasciare il legale per ultimo. Se la compliance scopre il progetto quando è già costruito, ogni modifica costa il doppio.
- Confondere anonimizzazione e pseudonimizzazione. Sostituire un nome con un codice resta un dato personale se qualcuno può risalire all’originale.
- Dimenticare gli allegati. Il testo dell’email viene mascherato; il documento d’identità scansionato in allegato, no.
Come lo affrontiamo in Ditempo
Lavoriamo con compagnie assicurative ed enti finanziari, dove la protezione dei dati fa parte del progetto fin dal primo giorno. Nella fase di diagnosi mappiamo quali dati personali tocca il processo, quali sono sensibili e quale finalità li copre. Da lì, la soluzione tratta solo il necessario, su servizi enterprise configurati senza addestramento con i dati del cliente, con tracciabilità e con revisione umana nelle decisioni che riguardano l’interessato. E documentiamo ciò che serve al tuo responsabile della protezione dei dati per dimostrare la conformità.
Scopri come si inserisce tutto questo in un progetto completo in automazione dei processi con l’IA, o in un caso concreto come l’automazione dei sinistri con l’IA.
Il tuo progetto di IA tocca dati personali?
Se hai in mente un processo e la questione della conformità ti frena, raccontaci quali dati coinvolge. In una breve conversazione ti aiutiamo a individuare i rischi e a risolverli già nel progetto. Scrivici o parliamone direttamente su WhatsApp.