Por qué importa

Colombia no tiene todavía una ley general de inteligencia artificial: el proyecto presentado al Congreso sigue en trámite y la Política Nacional de Inteligencia Artificial (documento CONPES 4144 de 2025) orienta la acción del Estado, no impone obligaciones directas a las empresas. Eso no significa que la IA opere en un vacío. Las normas vigentes sobre datos personales, protección al consumidor, propiedad intelectual, contratos y responsabilidad se aplican a cualquier sistema, sin importar la tecnología. La Superintendencia de Industria y Comercio lo dijo expresamente en la Circular Externa 002 de 2024: las leyes de protección de datos son tecnológicamente neutras y rigen a quien desarrolla, despliega o simplemente usa sistemas de IA con datos personales.

Para una empresa, la consecuencia práctica es que la pregunta no es si la IA está regulada, sino si puede demostrar que su uso cumple lo que ya existe. Tres preguntas ordenan esa demostración.

Primera pregunta: ¿qué datos alimentan el sistema y con qué autorización?

Todo empieza por el inventario de datos: qué información entra al sistema, de dónde viene y para qué se recolectó. Si incluye datos personales, el tratamiento debe responder a una finalidad informada al titular y contar con su autorización previa, expresa e informada, salvo las excepciones de ley (artículos 4, 9 y 10 de la Ley 1581 de 2012). Usar para entrenar un modelo datos que se recolectaron con otro propósito puede exigir una nueva autorización.

Tres puntos merecen atención especial:

• Información disponible en internet. La SIC advirtió que un dato accesible al público no es, por esa razón, un dato de naturaleza pública, y que recolectar en internet datos privados, semiprivados o sensibles no autoriza a tratarlos para cualquier fin.

• Datos sensibles. Los datos biométricos, de salud o que revelen convicciones u origen están sujetos a reglas reforzadas: autorización explícita, información sobre su carácter facultativo y prohibición de condicionar cualquier actividad a su entrega (artículo 6 de la Ley 1581 de 2012 y artículo 2.2.2.25.2.3 del Decreto 1074 de 2015).

• Proveedores en el exterior. Enviar datos a un proveedor para que los procese por cuenta de la empresa es una transmisión que exige un contrato con las obligaciones de confidencialidad y seguridad que fija el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, y los envíos a otro responsable fuera del país deben respetar el artículo 26 de la Ley 1581.

A esto se suma la información que no es personal pero sí valiosa: secretos empresariales, información de clientes y documentos sujetos a confidencialidad. La protección de un secreto empresarial depende de que se hayan adoptado medidas razonables para mantenerlo en reserva (artículo 260 de la Decisión Andina 486), y cargarlo sin control en una herramienta cuyos términos permiten reutilizarlo puede debilitar esa protección.

Segunda pregunta: ¿quién responde por una decisión automatizada?

La empresa que decide usar un sistema sigue siendo responsable de sus efectos. En materia de datos, el responsable del tratamiento debe poder demostrar que adoptó medidas apropiadas y efectivas para cumplir la ley (artículo 2.2.2.25.6.1 del Decreto 1074 de 2015), y la SIC exige que el tratamiento en sistemas de IA supere un examen de idoneidad, necesidad, razonabilidad y proporcionalidad, que se gestionen los riesgos y que, ante la duda sobre daños graves, se adopten medidas precautorias.

La ley vigente no consagra todavía un derecho autónomo a exigir revisión humana de una decisión automatizada, pero el proyecto de reforma de la Ley 1581 que se tramita en el Congreso propone reconocer el derecho a no ser sometido a decisiones automatizadas sin intervención humana. Diseñar hoy procesos con supervisión humana en decisiones significativas, como las que afectan a clientes, empleados o candidatos, evita rehacerlos mañana y es coherente con el deber de responsabilidad demostrada que ya existe.

La responsabilidad también se asigna por contrato. La SIC pidió en la Circular Externa 002 de 2025 que los contratos de adquisición de tecnología definan las responsabilidades de cada parte frente al tratamiento de datos personales. Los contratos con proveedores de IA deberían resolver, además, quién responde por errores del sistema, qué uso puede hacer el proveedor de la información de la empresa, cómo se notifican los incidentes y qué ocurre con los datos al terminar la relación. Cuando la herramienta interactúa con consumidores, la información que les entrega debe ser veraz, suficiente y clara, como exige el Estatuto del Consumidor (Ley 1480 de 2011).

Tercera pregunta: ¿qué evidencia quedará si una autoridad pide explicaciones?

La responsabilidad demostrada se prueba con documentos. La SIC indicó que, antes de diseñar y desarrollar un sistema cuyos resultados puedan implicar un alto riesgo para los titulares, debe hacerse y documentarse un estudio de impacto de privacidad con, al menos, la descripción de las operaciones de tratamiento, la evaluación de los riesgos y las medidas para mitigarlos. También recordó que los titulares tienen derecho a obtener, en cualquier momento, información sobre el tratamiento de sus datos en estos sistemas.

En la práctica, conviene que exista un registro por cada uso relevante: qué sistema se usa y para qué, qué datos recibe, quién aprobó su uso, qué pruebas se hicieron, quién revisa los resultados y cómo se atienden las solicitudes de los titulares. Si ocurre un incidente que pone en riesgo la información, el responsable debe informarlo a la SIC (artículo 17, literal n, de la Ley 1581 de 2012), y esa comunicación será más sólida si el registro ya existe.

Propiedad intelectual: lo que produce la herramienta

El régimen andino define al autor como la persona física que realiza la creación intelectual (artículo 3 de la Decisión 351). Por eso, la protección por derecho de autor de un texto, imagen o código generado con IA depende de la contribución creativa humana, y lo que la empresa puede hacer con esos resultados depende también de los términos del proveedor. Antes de usar resultados generados en productos, campañas o entregables para clientes, conviene revisar quién es titular, qué licencias concede el proveedor y si existe riesgo de reproducir obras de terceros.

Errores frecuentes

• Empezar por la herramienta y no por el inventario de datos y de usos.

• Aceptar los términos estándar del proveedor sin revisar el uso que hará de la información de la empresa.

• Suponer que la ausencia de una ley de IA significa ausencia de obligaciones.

• No dejar registro de quién aprobó el uso y quién revisa los resultados.

Qué conviene revisar antes de automatizar

• Un inventario de los usos actuales y proyectados de IA, clasificados por riesgo.

• Las finalidades y autorizaciones de los datos que alimentan cada uso, y si hay datos sensibles.

• Los contratos con proveedores: confidencialidad, uso de la información, seguridad, incidentes, ubicación de los datos y salida.

• Una política interna de uso aprobada por la administración, con reglas claras sobre información confidencial.

• El estudio de impacto de privacidad para los usos de alto riesgo y la regla de supervisión humana para las decisiones significativas.

Conclusión

La gobernanza de la IA no exige esperar una ley nueva. Exige responder por escrito, antes de automatizar, qué datos usa el sistema, quién responde por lo que decide y qué evidencia quedará. Las empresas que lo hacen reducen su exposición regulatoria y contractual y generan confianza en clientes, inversionistas y juntas directivas, que cada vez preguntan más por estos controles. Para las decisiones que llegan a la junta, sirve también esta guía sobre cómo preparar una junta directiva para decisiones de alto impacto.

Fuentes y referencias

• Ley Estatutaria 1581 de 2012, artículos 4, 6, 9, 10, 17 y 26.

• Decreto 1074 de 2015, artículos 2.2.2.25.2.3, 2.2.2.25.5.2 y 2.2.2.25.6.1.

• Superintendencia de Industria y Comercio, Circular Externa 002 de 2024, lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial.

• Superintendencia de Industria y Comercio, Circular Externa 002 de 2025, protección de datos personales en procesos de transferencia de tecnología.

• Documento CONPES 4144 de 2025, Política Nacional de Inteligencia Artificial.

• Ley 1480 de 2011 (Estatuto del Consumidor).

• Decisión 351 de 1993 de la Comunidad Andina, artículo 3, y Decisión 486 de 2000, artículo 260.

Este contenido es informativo y no constituye asesoría jurídica sobre un caso concreto. Normas verificadas al 25 de septiembre de 2026.