En resumen. Hasta donde pude confirmar el 30 de septiembre de 2026, no hay una ley general de IA aprobada en Colombia. Hay política pública (el CONPES 4144 de 2025), normas que ya obligan y aplican a la IA (protección de datos, delitos informáticos, derecho de autor), jurisprudencia (T-323 de 2024) y una ley nueva sobre suplantación con IA (Ley 2502 de 2025). El proyecto de ley de IA existe, pero no pude confirmar su estado.
Tres capas: lo que orienta, lo que obliga y lo que viene
Cuando alguien dice "en Colombia no hay regulación de IA", mezcla tres cosas distintas. Conviene separarlas porque cada una tiene un peso diferente para una empresa.
1. Política pública: orienta, no obliga
El CONPES 4144, Política Nacional de IA, se aprobó en febrero de 2025. Según MinTIC, tiene seis ejes (gobernanza y ética; infraestructura y datos; investigación, desarrollo e innovación; talento y apropiación social; riesgos; adopción en entidades, empresas y territorios), un horizonte a 2030 y un presupuesto de aproximadamente 479 mil millones de pesos. Un CONPES es un documento de política pública: no es ley. No encontré en fuente primaria una obligación directa para empresas privadas, aunque no pude leer el PDF completo. Colombia también se adhirió en 2019 a los Principios de la OCDE sobre IA.
2. Lo que sí obliga hoy y aplica a la IA
| Norma | Qué regula | Por qué importa si usas IA |
|---|---|---|
| Ley 1581 de 2012 | Protección de datos personales | Todo prompt o base con datos personales necesita autorización y finalidad. Multas de hasta 2.000 SMMLV. |
| Circular Externa 002 de 2024 (SIC) | Datos personales en sistemas de IA | Es el lineamiento más directo: privacidad desde el diseño, evaluación de impacto y responsabilidad demostrada. |
| Ley 1266 de 2008 | Habeas data financiero y crediticio | Aplica si usas scoring o decisiones automatizadas con datos crediticios. |
| Ley 1273 de 2009 | Delitos informáticos | Acceso abusivo, malware, suplantación y violación de datos personales; importa si se usa IA para atacar o si se filtran datos. |
| Ley 527 de 1999 | Mensajes de datos y firmas digitales | Un mensaje de datos tiene valor probatorio, así que los registros y salidas de una IA pueden ser prueba. |
| Ley 23 de 1982 y Decisión Andina 351 | Derecho de autor | La obra individual la crea una persona natural. La Dirección Nacional de Derecho de Autor negó, según prensa especializada, registros de obras hechas con IA en 2023. |
| Ley 2300 de 2023 | Intimidad del consumidor en cobranza y publicidad | Mensajes y llamadas automatizados con IA deben respetar horarios, canal y frecuencia. |
Un detalle sobre derecho de autor: no presumas que tienes derechos sobre lo que genera una IA. Si quieres proteger una obra, documenta la intervención humana creativa.
3. Justicia y delitos: dos hitos recientes
La sentencia T-323 de 2024 de la Corte Constitucional, del 2 de agosto de 2024, estudió el caso de un juez de segunda instancia que usó ChatGPT 3.5 en una tutela. La Corte no encontró violación del debido proceso porque el juez había decidido antes de consultarlo, y fijó criterios para el uso judicial de IA: transparencia, responsabilidad, privacidad y que la IA no sustituya el razonamiento humano. También ordenó al Consejo Superior de la Judicatura emitir lineamientos, que llegaron con el Acuerdo PCSJA24-12243 de diciembre de 2024: declarar herramienta, modelo, proveedor y fecha, y verificar. Es una buena práctica de documentación que cualquier empresa puede copiar.
La Ley 2502 de 2025, expedida el 28 de julio de 2025, define el deepfake y agrava el delito de falsedad personal (artículo 296 del Código Penal): si se usa IA, la multa aumenta hasta en una tercera parte. La modificación empezaba a regir un año después de su sanción, así que al 30 de septiembre de 2026 ya está vigente.
El proyecto de ley de IA
El Proyecto de Ley 043 de 2025 Senado y 324 de 2025 Cámara fue radicado el 28 de julio de 2025 por MinCiencias, con DNP, MinTIC y MinEducación. Propone una autoridad nacional de IA, zonas de pruebas regulatorias y protección de derechos fundamentales. El texto publicado por la Cámara en diciembre de 2025 incluye cuatro niveles de riesgo: crítico, alto, transparencia y mínimo. No pude confirmar su estado actual. Una fuente lo marca como archivado por vencimiento de términos, pero es un dato único de confianza baja, así que no lo doy por cierto. Revisa la ficha oficial antes de citarlo.
Qué hacer mientras tanto
- Trata la Ley 1581 y la Circular 002 como tu marco real hoy.
- Documenta el uso de IA: herramienta, modelo, proveedor, fecha y quién verificó. Es lo que pide la Rama Judicial para sí misma y es un buen estándar.
- Haz un inventario de los usos de IA de tu empresa: qué dato usan, dónde se guarda y quién responde.
- Si tu empresa vende en Europa o a clientes europeos, revisa el AI Act (hablo de eso en otro artículo).
Lo que no confirmé
No pude leer completos el CONPES 4144 ni el Decreto 1074 de 2015. No confirmé si ICONTEC adoptó la ISO/IEC 42001 como norma técnica colombiana. Y no encontré una circular de la Superintendencia Financiera específica sobre IA para entidades vigiladas, aunque sí aplican sus circulares de ciberseguridad y de computación en la nube.
Fuentes
- CONPES 4144 de 2025 (Normograma MinTIC)
- MinTIC: Política Nacional de IA
- Circular Externa 002 de 2024, SIC
- Sentencia T-323 de 2024, Corte Constitucional
- Ley 2502 de 2025 (Régimen Legal de Bogotá)
- Radicación del proyecto de ley de IA, MinCiencias
- Lineamientos de IA generativa de la Rama Judicial (Acuerdo PCSJA24-12243)
¿Quieres que tu equipo use IA con reglas claras?
Dicto programas de capacitación en IA para empresas, de 6 a 48 horas, con Claude, Microsoft Copilot y gobernanza ISO/IEC 42001.
Ver los programas → Escríbeme