Incidente de seguridad con datos personales: aviso a la SIC

Un incidente de seguridad de datos personales es, para la Superintendencia de Industria y Comercio, la violación de los códigos de seguridad o la pérdida, robo o acceso no autorizado de información de una base de datos. Si le pasa a tu empresa, tienes que reportarlo a la SIC dentro de los quince días hábiles siguientes a que lo detectes, y conviene avisar a las personas afectadas para que puedan protegerse. Abajo está qué cuenta como incidente, cómo se reporta paso a paso y qué hacer en el caso que más se repite hoy en las oficinas: alguien pegó datos de clientes en ChatGPT o en otra IA.

Todo lo que sigue lo leímos el 22 de octubre de 2026 en las normas y guías oficiales que enlazamos en cada punto. Resume, no reemplaza la asesoría de un abogado.

Qué es un incidente de seguridad de datos personales

La definición está en la Circular Única de la SIC, Título V, Capítulo Segundo, numeral 2.1: un incidente de seguridad es «la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado».

En la práctica, entran cosas muy distintas:

• Pérdida o robo de un computador, un celular o una memoria USB con datos de clientes, sin cifrar.
• Acceso no autorizado: un exempleado que sigue entrando al sistema, una contraseña filtrada, un ataque de ransomware.
• Envío equivocado: la base de nómina enviada al correo de un proveedor, un desprendible de nómina que le llega a otro trabajador.
• Publicación por error: una hoja de cálculo con cédulas y celulares compartida con un enlace público.
• Comunicación a un tercero sin autorización: datos de clientes pegados en una IA con una cuenta personal, para una finalidad que el cliente no autorizó.

La Ley 1581 de 2012 no usa la palabra «incidente», pero sí trae el deber de fondo. Su artículo 17, literal n, obliga al responsable del tratamiento a «informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares». El artículo 18, literal k, pone el mismo deber al encargado. La Circular Única concreta cómo y cuándo.

Reporte de incidentes de seguridad a la SIC: plazo y canal

El plazo: quince días hábiles

La Circular Única dice que el incidente se reporta «dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos». El reloj no empieza el día en que ocurrió, sino cuando lo detectas y llega a quien tiene que atenderlo. Por eso importa que en tu empresa esté claro quién es esa persona o esa área.

La guía de la SIC para la gestión de incidentes, de diciembre de 2020, lo dice con un matiz útil: notificar «sin dilación indebida y a más tardar» dentro de esos quince días hábiles. Quince días es el máximo, no la meta.

El canal: el RNBD o el aplicativo de la SIC

Depende de si tu empresa está obligada a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), que según el artículo 25 de la Ley 1581 «es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país»:

quién	cómo reporta
Responsables obligados a inscribir sus bases en el RNBD	en el propio RNBD, como un reporte de novedades
Responsables no obligados a inscribir sus bases	por el aplicativo de la página de la SIC, en el micrositio de la Delegatura para la Protección de Datos Personales, o por los canales habilitados
Encargados del tratamiento	igual que los no obligados, y además avisando al responsable

Están obligados a inscribir sus bases, según el Decreto 1074 de 2015 con la modificación del Decreto 090 de 2018, las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las personas jurídicas de naturaleza pública. Una firma pequeña de abogados o una inmobiliaria normalmente no lo está, pero eso no la exime del reporte: sólo cambia el canal.

La Circular Única agrega que los incidentes reportados en el RNBD no están disponibles para consulta pública.

Qué información se reporta

La guía de la SIC dice que la notificación debe contener, como mínimo, la información que pide el RNBD. Conviene tener a mano, desde el primer día:

• qué pasó y cuándo, y cuándo se detectó;
• qué bases de datos y qué tipo de datos se afectaron (identificación, contacto, financieros, sensibles);
• cuántos titulares, aproximadamente;
• si hay datos de niños, niñas y adolescentes o datos sensibles;
• qué medidas se tomaron para contenerlo;
• si se avisó a los titulares y cómo.

Los seis pasos de la SIC para responder a un incidente

La guía de la SIC propone seis pasos. Los resumimos con lo que significan en una oficina colombiana:

1. Contener el incidente y hacer una evaluación preliminar

Detener el daño. Cambiar contraseñas, desactivar el usuario comprometido, pedir al destinatario equivocado que borre el correo, quitar el enlace público, borrar la conversación de la IA. Y anotar, desde el primer minuto, qué pasó, cuándo y quién lo detectó.

2. Evaluar los riesgos e impactos

¿Qué datos salieron? ¿De cuántas personas? ¿Son datos de contacto o hay cédulas, cuentas bancarias, historias clínicas? No es lo mismo un correo con diez nombres y celulares que una base con diagnósticos.

3. Identificar los daños para las personas, la organización y el público

Qué le puede pasar a cada titular: suplantación, fraude, discriminación, llamadas de extorsión. Y qué le puede pasar a la empresa: sanciones, reclamos, pérdida de clientes. Parte de ese costo lo puede cubrir un seguro cibernético, si el clausulado lo incluye.

4. Notificar a la SIC

Dentro del plazo y por el canal que te corresponde, como vimos arriba.

5. Comunicar a los titulares

La guía de la SIC lo explica así: la comunicación a los titulares «brinda la oportunidad para que ellos mismos puedan adoptar las medidas necesarias para protegerse». Por ejemplo, cambiar su usuario y contraseña, monitorear su historial crediticio o cancelar una tarjeta. Ni la ley ni la Circular Única imponen expresamente este aviso en todos los casos, pero si el incidente puede afectar a las personas, avisarles es lo correcto y lo que espera la SIC.

6. Prevenir futuros incidentes

Revisar qué falló y cambiarlo: capacitación, controles internos, permisos, políticas. Y dejar un informe final con lo que pasó, los plazos y las medidas, por si alguien lo revisa después.

Fuga de datos con ChatGPT: alguien pegó datos de clientes en la IA

Es el incidente más nuevo y, hoy, de los más frecuentes. Una persona de cartera le pide a ChatGPT que redacte correos de cobro y pega la base entera. Alguien de recursos humanos le pasa las hojas de vida a una IA para que haga un cuadro comparativo. Un abogado pega la demanda con los nombres de las partes para pedir un resumen.

¿Es un incidente de seguridad?

Puede serlo, y depende de tres preguntas:

1. ¿Con qué cuenta? Una cuenta empresarial con contrato, donde el proveedor actúa como encargado y no entrena con los datos, no es lo mismo que la cuenta personal gratuita de un empleado.
2. ¿Para qué finalidad? Si tu política de tratamiento de datos dice que los datos se usan para la ejecución del contrato, pegarlos en un chat para otra cosa se sale de lo que el cliente autorizó. Por eso algunas firmas lo dejan escrito en una cláusula de IA.
3. ¿Qué datos? Nombres y correos no pesan lo mismo que cédulas, cuentas bancarias o diagnósticos.

Si el texto llegó con datos identificables a una cuenta personal, sin contrato y fuera de la finalidad autorizada, lo más probable es que estés ante una comunicación de datos a un tercero que nadie autorizó: un acceso no autorizado en el sentido de la Circular Única. Si había una cuenta empresarial bien configurada, con contrato y una política que lo cubría, probablemente no.

Qué hacer en las primeras horas

1. Que la persona lo cuente. Si en tu empresa avisar se castiga, te enterarás tarde. Lo más útil es que quien pegó los datos avise en cuanto se dé cuenta.
2. Borra la conversación en la IA y, si estaba activado, apaga el uso de los chats para entrenar. Borrar no deshace el envío, pero reduce lo que queda guardado. Cómo hacerlo en cada asistente lo contamos en ¿es seguro ChatGPT? y en las guías de Claude, Gemini y Copilot de esta sección.
3. Anota qué se pegó, en qué herramienta, con qué cuenta y cuándo. Si hay que reportarlo, te lo van a preguntar.
4. Evalúa con los seis pasos de arriba si hay riesgo para los titulares y si corresponde reportar a la SIC.

Cómo se veía el texto y cómo debió verse

Una lista de cartera, con datos de ejemplo, antes y después de tapar:

ANTES
Cliente: Camila Rincón Vanegas
Correo: cliente@example.com
Celular: +57 300 000 0000
Saldo en mora: 2 cuotas

Cliente: Silvia Ardila Prada
Correo: nombre@example.com
Celular: +57 300 000 0000
Saldo en mora: 1 cuota

DESPUÉS
Cliente: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Saldo en mora: 2 cuotas

Cliente: [PERSONA_2]
Correo: [CORREO_2]
Celular: [TELEFONO_1]
Saldo en mora: 1 cuota

Datos de ejemplo: los nombres son inventados, example.com es un dominio reservado para ejemplos y el celular es el mismo número de ceros en las dos fichas, por eso las dos llevan la misma etiqueta.

Con la versión tapada, la IA redacta los mismos dos correos de cobro, y no hay incidente que evaluar: a la IA no le llegó ningún dato personal. Esa es la diferencia entre una política que dice «tapa antes de pegar» y una que no dice nada.

Filtración de datos personales: ejemplos

Algunos casos típicos, inventados pero frecuentes, y cómo se leen con la norma:

lo que pasó	¿incidente?	qué hacer
Un portátil sin cifrar con la base de clientes se queda en un taxi	sí: pérdida	contener (cambiar claves), evaluar, reportar, avisar si hay riesgo
La nómina de octubre se envía a todo el personal en vez de a contabilidad	sí: acceso no autorizado	pedir el borrado, evaluar, reportar, avisar a los trabajadores
Un ransomware cifra el servidor de una IPS	sí: violación de los códigos de seguridad	contener, evaluar con un experto, reportar, avisar a los pacientes si hay riesgo
Alguien pega en su ChatGPT personal la base de cartera con nombres y celulares	probablemente sí	borrar el chat, evaluar, decidir el reporte con el responsable de datos
Alguien pega el mismo texto con los datos tapados	no	nada: no salió dato personal

La SIC publica en su sede electrónica decisiones sobre casos así. En una de 2026, ordenó a una empresa de servicios tecnológicos implementar medidas técnicas, administrativas y humanas tras un ataque de ransomware que afectó la información de sus clientes.

Si el incidente es de tu proveedor

Muchas veces el incidente no pasa en tu oficina sino en la de un proveedor: el software de nómina, el servicio de correo, la plataforma de facturación, el contador externo. En la ley, ese proveedor es un encargado del tratamiento, y tiene sus propios deberes: el artículo 18 de la Ley 1581, literal k, le exige informar a la SIC cuando se presenten violaciones a los códigos de seguridad, y la guía de la SIC le pide comunicarle el incidente al responsable sin dilación indebida.

Pero la responsabilidad frente a tus clientes sigue siendo tuya. Por eso conviene:

• Que el contrato con cada proveedor diga cómo y en qué plazo te avisa de un incidente, y qué información te entrega.
• Tener a mano el contacto de seguridad de cada proveedor que trata datos personales por tu cuenta.
• Coordinar el reporte: que el proveedor reporte lo suyo no te exime de evaluar si tú también tienes que reportar y avisar a tus titulares.

Con los proveedores de IA pasa lo mismo: si usas una cuenta empresarial (como Claude Team o Enterprise), el proveedor es tu encargado y su contrato debería decir qué pasa si sufre un incidente.

Cómo documentar un incidente: un registro sencillo

La guía de la SIC termina con una recomendación que sirve para cualquier tamaño de empresa: dejar un informe con la información, los plazos de actuación y las medidas adoptadas, de cara a una revisión por terceros. No hace falta un sistema: basta una hoja de cálculo o un documento con estas columnas, una fila por incidente:

campo	ejemplo
fecha y hora de detección	14 de octubre, 10:30 a. m.
quién lo detectó y a quién se lo informó	analista de cartera, al área de datos personales
qué pasó	base de cartera pegada en una cuenta personal de una IA
datos y titulares afectados	nombres, correos y celulares de unos 40 clientes
medidas de contención	conversación borrada, entrenamiento desactivado
evaluación del riesgo	bajo: sin cédulas, cuentas ni datos sensibles
¿se reportó a la SIC? cuándo y por qué canal	sí, por el aplicativo de la SIC, dentro del plazo
¿se avisó a los titulares?	decisión y motivo
medidas para que no se repita	herramienta para tapar datos y capacitación del área

Ejemplo inventado.

Llevar el registro incluso de los incidentes menores, los que decides no reportar, es una buena práctica: muestra que los evaluaste y por qué decidiste lo que decidiste.

Qué arriesgas si no lo gestionas bien

La Ley 1581, en su artículo 23, permite a la SIC imponer a responsables y encargados:

• multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que pueden ser sucesivas mientras siga el incumplimiento;
• la suspensión de las actividades de tratamiento hasta por seis meses;
• el cierre temporal de esas operaciones si no se corrige;
• el cierre inmediato y definitivo de la operación que involucre datos sensibles.

El parágrafo aclara que estas sanciones «sólo aplican para las personas de naturaleza privada». Para las entidades públicas, la SIC remite el caso a la Procuraduría.

Aparte, el Código Penal, con los delitos informáticos de la Ley 1273 de 2009, castiga en el artículo 269F a quien, sin estar facultado, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca o venda datos personales contenidos en archivos o bases de datos. Eso apunta a quien roba o comercia los datos, no a quien los perdió por error, pero importa para la denuncia: si el incidente fue un robo o un acceso indebido, además del reporte a la SIC está la denuncia penal.

Lo que más pesa en una investigación de la SIC no suele ser el incidente en sí, sino cómo se gestionó: si había medidas de seguridad, si se reportó a tiempo, si se avisó a los afectados. Es lo que la SIC llama responsabilidad demostrada.

Cómo prepararte antes de que pase

Un incidente gestionado bien se parece mucho a uno que se preparó antes. Lo mínimo:

1. Nombra a la persona o el área encargada de atender incidentes. El plazo de quince días corre desde que llega a ella.
2. Escribe un protocolo de una página con los seis pasos de la SIC, los teléfonos y los canales.
3. Ten claro tu canal de reporte: RNBD o aplicativo de la SIC.
4. Cifra los portátiles y los celulares de la empresa. Un equipo cifrado perdido es mucho menos grave que uno abierto.
5. Escribe una política de uso de IA que diga qué cuenta se usa y qué se tapa antes de pegar. Te dejamos un modelo en política de uso de IA en la empresa.
6. Dales a todos una forma fácil de tapar. Una regla que exige quitar datos a mano se abandona a la semana.
7. Capacita al equipo al menos una vez al año, con ejemplos de tu propia oficina.

Lo que dice la Circular Externa 002 de 2024 sobre la IA

La SIC también se ocupó de la IA en concreto. Su Circular Externa 002 de 2024 da lineamientos para quienes desarrollan, despliegan o usan sistemas de inteligencia artificial con datos personales. Dos de sus ideas encajan directamente con este tema: cuando no hay certeza sobre el daño que puede causar un tratamiento, pide abstenerse o adoptar medidas precautorias; y pide medidas de seguridad tecnológicas, humanas, administrativas, físicas y contractuales que se puedan demostrar.

Tapar los datos antes de pegarlos en una IA es una medida precautoria y se puede demostrar. Lo desarrollamos en inteligencia artificial y protección de datos en Colombia.

Por sector, el incidente más probable

• Firmas de abogados: un memorial o una demanda con datos de las partes pegados en una IA personal, o enviados al juzgado equivocado. Además de la Ley 1581, está el secreto profesional. Más en IA para firmas de abogados.
• Contadores públicos: el correo con las claves de la DIAN de un cliente reenviado a quien no era, o la información exógena compartida por un enlace abierto.
• IPS y consultorios: la historia clínica, que es un documento sometido a reserva, enviada o pegada donde no debía. Los datos de salud son sensibles. Más en historia clínica e IA.
• Recursos humanos: desprendibles de nómina enviados al trabajador equivocado, hojas de vida compartidas fuera del proceso. Más en IA para recursos humanos.
• Inmobiliarias: cédulas, certificados laborales y extractos de arrendatarios y codeudores en un grupo de WhatsApp equivocado.

Lo que hace Nonimo para que no haya incidente

El mejor incidente es el que no ocurre. La app de Nonimo cambia en el computador los nombres, la cédula, el NIT, los celulares, los correos y las direcciones por etiquetas antes de que el texto llegue a ChatGPT, Claude, Gemini o Copilot, y te devuelve los datos reales en la respuesta. A Nonimo tampoco le llega el texto; más en nuestra página de seguridad. Si un empleado pega la base de cartera, lo que sale son etiquetas.

Para una prueba rápida sin instalar nada, la lista de lo que conviene tapar y la herramienta web están en qué datos no compartir con ChatGPT y otras IA.