En resumen. Sí puedes usar IA con datos personales, pero aplican las mismas reglas de habeas data de siempre. La Circular Externa 002 de 2024 de la SIC dice que las leyes 1266 de 2008 y 1581 de 2012 rigen todo tratamiento de datos en sistemas de IA. Las multas pueden llegar a 2.000 salarios mínimos y la SIC puede suspender o cerrar el tratamiento. No soy abogada: este artículo ordena fuentes oficiales para que tu área jurídica decida.
¿Pegar datos en una IA es "tratar datos personales"?
En la práctica, sí. Si un empleado copia en una IA externa el correo de un cliente, una hoja de vida o una lista de pacientes, está haciendo una operación con datos personales. Y si el proveedor procesa esa información fuera de Colombia, además puede haber una transferencia internacional. La pregunta útil no es "¿puedo usar IA?", sino "¿con qué datos, bajo qué autorización y en qué herramienta?".
Lo que ya aplica: la Ley 1581 de 2012
La Ley 1581 de 2012 es la ley general de protección de datos personales. Su artículo 4 fija ocho principios que cualquier uso de IA debe respetar:
- Legalidad: el tratamiento debe tener sustento en la ley.
- Finalidad: los datos se usan para un fin legítimo e informado.
- Libertad: se necesita el consentimiento del titular, salvo excepciones legales.
- Veracidad: los datos deben ser exactos y estar actualizados.
- Transparencia: el titular puede saber quién tiene sus datos.
- Acceso y circulación restringida: no se difunden sin autorización.
- Seguridad: se protegen contra pérdida, acceso o uso no autorizado.
- Confidencialidad: quienes los manejan deben guardar reserva.
El artículo 8 le da al titular derechos concretos: conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, ser informado del uso que se les da, quejarse ante la Superintendencia de Industria y Comercio (SIC), revocar la autorización y acceder gratis a su información.
La Circular Externa 002 de 2024: la que habla de IA
El 21 de agosto de 2024 la SIC emitió la Circular Externa 002, sobre el tratamiento de datos personales en sistemas de IA. Según su texto, las leyes 1266 de 2008 y 1581 de 2012 aplican a todo tratamiento de datos en IA: desarrollo, pruebas y despliegue. Entre lo que pide, en resumen:
- Privacidad desde el diseño y por defecto.
- Un estudio de impacto previo cuando la IA es de alto riesgo.
- Un test de proporcionalidad: que el uso sea idóneo, necesario, razonable y estrictamente proporcional.
- Calidad y seguridad de los datos, y responsabilidad demostrada: poder probar que cumples.
- Principio de precaución.
Hay una frase que corrige un error muy común: que un dato sea accesible en internet no significa que sea un dato público que puedas usar sin límites. Mi lectura viene de un resumen de la circular; el detalle conviene confirmarlo en el documento de la SIC.
El punto ciego: la transferencia internacional
El artículo 26 de la Ley 1581 prohíbe transferir datos personales a países que no ofrezcan un nivel adecuado de protección, salvo excepciones, por ejemplo cuando el titular lo autoriza de forma expresa. Muchas herramientas de IA procesan en servidores fuera del país. Por eso, antes de elegir una herramienta, revisa dónde se procesan los datos y qué dice el contrato del proveedor.
Qué pasa si no se cumple
Según el artículo 23, la SIC puede imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspender actividades relacionadas con el tratamiento hasta por seis meses, o cerrar el tratamiento de forma temporal o definitiva. Hay un detalle: no verifiqué si normas posteriores cambian la forma de calcular la multa.
¿Y el Registro Nacional de Bases de Datos?
El Decreto 090 de 2018 dice que deben inscribirse las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, además de las personas jurídicas públicas. Según un concepto de la SIC, quien no está obligado a inscribirse sigue sujeto a la Ley 1581. Una pyme puede no tener que registrarse y aun así debe cumplir todo lo demás.
Checklist de seis pasos para empezar
- Inventario: anota qué datos personales están entrando hoy a herramientas de IA, quién los pega y en qué cuentas.
- Política de tratamiento y autorizaciones: revisa que cubran el uso de IA y los fines reales.
- Herramienta oficial: ofrece a tu equipo una herramienta corporativa, con contrato y controles de acceso, para que no usen cuentas personales gratuitas.
- Minimiza y anonimiza: si la tarea no necesita nombres, números de documento ni datos sensibles, no los incluyas en el prompt.
- Contrato con el proveedor: pregunta dónde se procesan los datos, si se usan para entrenar y quién es el responsable en caso de incidente.
- Evidencia: deja constancia de qué se decidió, quién lo aprobó y cuándo. Es la "responsabilidad demostrada" en lenguaje práctico.
Lo que no confirmé
No leí el articulado completo del Decreto 1074 de 2015 (que compila los decretos reglamentarios de la Ley 1581) ni el texto de la circular sobre transferencias internacionales en IA. Tampoco hay, que yo haya encontrado, una norma específica que prohíba usar IA con datos personales: lo que existe es la aplicación de las reglas generales de habeas data.
Fuentes
- Ley 1581 de 2012 (Cancillería)
- Circular Externa 002 de 2024, SIC
- Concepto SIC: quiénes deben inscribirse en el RNBD
- Ley 1581 de 2012 (Régimen Legal de Bogotá)
¿Quieres que tu equipo use IA con reglas claras?
Dicto programas de capacitación en IA para empresas, de 6 a 48 horas, con Claude, Microsoft Copilot y gobernanza ISO/IEC 42001.
Ver los programas → Escríbeme