Inteligencia artificial y protección de datos en Colombia

En Colombia no hay todavía una ley general de inteligencia artificial. Lo que rige cuando usas ChatGPT, Claude, Gemini o Copilot con datos de clientes, pacientes o empleados es la Ley 1581 de 2012 de protección de datos personales, con su reglamentación, y la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio, que aplica esas reglas a los sistemas de IA. En la práctica, eso se resume en cinco preguntas: para qué usas los datos, si mandas sólo lo necesario, quién es el proveedor y con qué contrato, a qué país van y cómo los proteges. Abajo está cada una, qué dice la SIC, qué es el CONPES 4144 y en qué va el proyecto de ley de IA.

Todo lo que sigue lo leímos el 22 de octubre de 2026 en fuentes oficiales: la Secretaría del Senado, Función Pública, la SIC, el DNP y la Cámara de Representantes. Resume, no reemplaza la asesoría de un abogado.

Inteligencia artificial y protección de datos personales: lo que rige hoy

norma	qué es	qué te pide al usar IA
Constitución, artículo 15	el derecho de habeas data	respetar el derecho a conocer, actualizar y rectificar
Ley 1581 de 2012	ley general de protección de datos	finalidad, seguridad, confidencialidad, cuidado con datos sensibles y transferencias
Decreto 1074 de 2015 (compila el Decreto 1377 de 2013)	reglamento de la Ley 1581	política de tratamiento, contrato con encargados
Circular Única de la SIC, Título V	instrucciones de la SIC	reporte de incidentes, lista de países adecuados
Circular Externa 002 de 2024 de la SIC	lineamientos sobre datos personales en IA	ponderar, prevenir, evaluar el impacto, demostrar
CONPES 4144 de 2025	política nacional de IA	no obliga a empresas; marca el rumbo

La Constitución reconoce en su artículo 15 el derecho de todas las personas a «conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas». La Ley 1581 de 2012 desarrolla ese derecho y es neutral frente a la tecnología: no menciona la IA, pero se aplica a cualquier tratamiento de datos, incluido el que pasa por un chat. La ley entera está explicada en habeas data y Ley 1581 de 2012.

Las cinco preguntas de la Ley 1581 cuando usas IA

1. ¿Para qué? El principio de finalidad

El artículo 4, literal b, dice que el tratamiento «debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular». Si tus clientes autorizaron sus datos para la ejecución del contrato, usarlos para eso, también con ayuda de una IA, puede encajar. Usarlos para otra cosa, por ejemplo entrenar un modelo propio o perfilarlos para mercadeo, necesita otra autorización.

2. ¿Lo necesario? La pertinencia

La ley no usa la palabra «minimización», pero el principio de finalidad y el de acceso y circulación restringida (literal f) apuntan a lo mismo: tratar sólo lo que la finalidad requiere, y que el tratamiento lo hagan sólo personas autorizadas. Si le pides a la IA que revise la redacción de una cláusula, no necesita saber quién la firma. Lo que no necesita, no se manda.

3. ¿Quién es el proveedor? Encargado o tercero

El Decreto 1074 de 2015, que compila el Decreto 1377 de 2013, distingue dos cosas que conviene tener claras:

• Transmisión: comunicas los datos a un encargado para que los trate por tu cuenta. Si hay un contrato que fija el alcance del tratamiento y las obligaciones del encargado, el decreto dice que esa transmisión no requiere ser informada al titular ni contar con su consentimiento.
• Transferencia: envías los datos a un receptor que a su vez es responsable, es decir, que decide sobre ellos.

Una cuenta empresarial de una IA, con contrato de procesamiento de datos y sin entrenamiento con tus datos, se parece mucho a una transmisión a un encargado. La cuenta personal gratuita de un empleado, con condiciones de consumidor y entrenamiento activado, no tanto: el proveedor decide qué hace con lo que recibe. La diferencia práctica entre cada asistente la contamos en qué hace Claude con tus datos y en las guías de ChatGPT, Gemini y Copilot de esta sección.

4. ¿A qué país? Las transferencias internacionales

El artículo 26 de la Ley 1581 dice: «Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos». Hay excepciones, como la autorización expresa e inequívoca del titular o la ejecución de un contrato entre el titular y el responsable.

Los grandes proveedores de IA procesan los datos en Estados Unidos, y Estados Unidos aparece en la lista de países con nivel adecuado que mantiene la SIC en el Título V de su Circular Única. Eso resuelve la pregunta del país, pero no las demás: la misma circular pide que quien transfiere pueda demostrar que cumple con la ley, y estar en la lista no convierte en legítimo un uso que la finalidad no cubre.

5. ¿Cómo lo proteges? Seguridad y confidencialidad

El literal g del artículo 4 pide manejar los datos con «las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros». El literal h obliga a todas las personas que intervienen en el tratamiento a «garantizar la reserva de la información», incluso después de terminada su relación. Y el artículo 17 pone a cargo del responsable conservar la información con seguridad y adoptar un manual interno de políticas y procedimientos.

En la oficina, eso se traduce en tres medidas: una regla escrita sobre el uso de IA, una cuenta empresarial bien configurada y una forma de tapar los datos antes de pegar.

La Circular Externa 002 de 2024 de la SIC

El 21 de agosto de 2024 la SIC expidió la Circular Externa 002, con «Lineamientos sobre el Tratamiento de Datos personales en Sistemas de Inteligencia Artificial». Va dirigida a los sujetos vigilados por la SIC en su rol de autoridad de protección de datos, y su propósito es dar certidumbre sobre el tratamiento de datos «para desarrollar, desplegar o usar sistemas de Inteligencia artificial». Usar ChatGPT en la oficina es usar un sistema de IA.

La circular parte de que las leyes 1266 y 1581 son neutrales frente a la tecnología, y de que la privacidad desde el diseño y por defecto es una medida proactiva de la responsabilidad demostrada. Sus lineamientos principales:

• Ponderar antes de tratar. Revisar si el tratamiento es idóneo, necesario, razonable y proporcional en sentido estricto.
• Ante la duda, abstenerse o prevenir. Si no hay certeza sobre el daño que puede causar un tratamiento, abstenerse de hacerlo o adoptar medidas precautorias.
• Gestionar los riesgos. Identificar, medir, controlar y monitorear los riesgos del tratamiento.
• Estudio de impacto de privacidad cuando el tratamiento tiene un alto riesgo, documentado, con al menos la descripción del tratamiento, la evaluación de los riesgos y las medidas previstas.
• Calidad del dato. Datos veraces, completos, exactos, actualizados, comprobables y comprensibles.
• Técnicas de protección. La circular menciona, por ejemplo, la privacidad diferencial.
• Información al titular, que tiene derecho a ser informado en cualquier momento.
• Seguridad demostrable. Medidas tecnológicas, humanas, administrativas, físicas y contractuales, auditables por las autoridades.
• Lo público no es libre. La información accesible al público no es, por eso, de naturaleza pública. Recolectar datos de internet, por ejemplo de perfiles en redes sociales, para tratarlos con IA requiere autorización.

Qué significa la circular para una oficina que usa ChatGPT

La circular está escrita pensando en todo el ciclo de un sistema de IA, pero varias ideas bajan directo al uso diario:

lo que pide la circular	lo que significa en la oficina
ponderar necesidad y proporcionalidad	¿la IA necesita ese dato para contestar? Si no, se tapa
abstenerse o tomar medidas precautorias ante la duda	tapar antes de pegar es una medida precautoria
estudio de impacto si el riesgo es alto	si vas a usar IA de forma sistemática con historias clínicas o procesos disciplinarios, documenta el análisis
medidas demostrables	política firmada, herramienta para tapar, capacitación registrada
lo accesible al público no es libre	no copiar perfiles de redes para armar bases con IA

Un ejemplo: la misma consulta, con y sin datos

Una inmobiliaria quiere preguntarle a una IA por una cláusula de un contrato de arriendo. Con datos de ejemplo:

ANTES
Arrendataria: Camila Rincón Vanegas
Correo: cliente@example.com
Celular: +57 300 000 0000
Cláusula: el canon se reajustará cada año según el IPC del año anterior.
Pregunta: ¿esta cláusula de reajuste es válida en un arriendo de vivienda?

DESPUÉS
Arrendataria: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Cláusula: el canon se reajustará cada año según el IPC del año anterior.
Pregunta: ¿esta cláusula de reajuste es válida en un arriendo de vivienda?

Datos de ejemplo: el nombre es inventado, el celular es de ceros y example.com es un dominio reservado para ejemplos.

Con la versión tapada, las cinco preguntas de la Ley 1581 se responden solas: a la IA no le llega ningún dato personal, así que no hay finalidad que exceder, ni transferencia que justificar, ni dato que proteger del otro lado. La respuesta sobre la cláusula es exactamente la misma. La lista completa de lo que conviene tapar está en qué datos no compartir con ChatGPT y otras IA.

Datos sensibles e IA

El artículo 5 de la Ley 1581 define los datos sensibles como los que «afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación», e incluye el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, y «los datos relativos a la salud, a la vida sexual y los datos biométricos». El artículo 6 prohíbe tratarlos salvo excepciones, como la autorización explícita del titular.

Con la IA, el riesgo es doble: que el dato sensible llegue al proveedor y que la IA lo use para inferir otras cosas. Las sanciones también son más duras: el artículo 23 permite a la SIC ordenar el cierre inmediato y definitivo de la operación que involucre datos sensibles. Si trabajas en salud, recursos humanos o con organizaciones sociales, lo desarrollamos en datos sensibles según la Ley 1581, con un capítulo para la historia clínica.

Los derechos de los titulares frente a la IA

La protección de datos no es sólo una lista de deberes de la empresa: es, ante todo, un conjunto de derechos de las personas. El artículo 8 de la Ley 1581 reconoce al titular, entre otros, el derecho a conocer, actualizar y rectificar sus datos, a solicitar prueba de la autorización que dio, a ser informado del uso que se les ha dado, a presentar quejas ante la SIC y a revocar la autorización o pedir la supresión cuando no se respeten los principios de la ley.

Con la IA, estos derechos se vuelven más difíciles de cumplir si no te organizas:

• Ser informado del uso. Si un cliente te pregunta qué hiciste con sus datos y parte de la respuesta es «los pegamos en un chat», tienes que poder decir en cuál, con qué cuenta y para qué.
• Supresión. Si un cliente pide que borres sus datos, puedes borrarlos de tu sistema, pero lo que ya pegaste en una IA depende de lo que haga el proveedor. Un chat borrado puede seguir un tiempo en sus servidores, y lo que ya se usó para entrenar un modelo no se saca.
• Rectificación. Una IA puede producir un resumen con un dato equivocado sobre una persona. Si ese resumen termina en un expediente o en una hoja de vida, el error es tuyo, no de la IA.

Todo esto es mucho más sencillo cuando a la IA no le llegan datos personales: no hay nada que informar, suprimir ni rectificar del otro lado.

Responsabilidad demostrada: poder probar lo que hiciste

La SIC insiste en una idea que atraviesa toda la Circular 002: no basta con cumplir, hay que poder demostrarlo. Es lo que llama responsabilidad demostrada, y la circular pide estrategias de cumplimiento pertinentes, eficientes y demostrables.

Para una empresa que usa IA, demostrar significa poder enseñar, si la SIC o un cliente lo pide:

1. La política de uso de IA, con fecha, versión y la firma de cada persona.
2. La cuenta que se usa, y su configuración: entrenamiento desactivado, contrato con el proveedor.
3. La herramienta para tapar datos y cómo se usa.
4. Las capacitaciones hechas, con fecha y asistentes.
5. El registro de incidentes, aunque esté vacío.
6. El análisis de riesgos o el estudio de impacto, si usas la IA de forma sistemática con datos sensibles.

Nada de esto exige una gran inversión. Exige escribirlo y guardarlo.

CONPES 4144: política nacional de IA

El documento CONPES 4144, aprobado el 14 de febrero de 2025, es la Política Nacional de Inteligencia Artificial. Su objetivo es generar capacidades para la investigación, el desarrollo, la adopción y el aprovechamiento ético y sostenible de la IA en Colombia, y se estructura en seis ejes estratégicos:

1. ética y gobernanza;
2. datos e infraestructura;
3. investigación, desarrollo e innovación;
4. capacidades y talento digital;
5. mitigación de riesgos;
6. uso y adopción.

Un CONPES es política pública, no ley: compromete a las entidades del Estado que lo firman con acciones y plazos, pero no impone obligaciones directas a una empresa privada. Lo que sí hace es marcar el rumbo: la ética, la gobernanza y la mitigación de riesgos están en el centro, y es de esperar que la regulación que venga vaya en esa dirección.

Proyecto de ley de inteligencia artificial en Colombia

En el Congreso hay proyectos de ley para regular la IA. El más reciente que verificamos en fuente oficial es el Proyecto de Ley 025 de 2026 de la Cámara, radicado el 21 de julio de 2026, «por medio de la cual se regula la inteligencia artificial en Colombia para garantizar su desarrollo ético y responsable», según el texto publicado por la Cámara de Representantes. Antes se radicaron otros, que no llegaron a ser ley.

A la fecha de esta guía no podemos confirmar en fuente oficial en qué debate va. Si se aprueba, podría traer obligaciones nuevas, por ejemplo para los sistemas de IA de alto riesgo. Mientras tanto, lo que rige es lo de arriba: la Ley 1581 y la Circular 002.

Qué revisar del proveedor de IA

Antes de decidir qué IA usa tu empresa, y con qué cuenta, pregunta:

1. ¿Entrena con lo que escribimos? En las cuentas personales suele venir activado; en las empresariales, por defecto no.
2. ¿Cuánto tiempo lo guarda? Y qué pasa cuando se borra.
3. ¿Quién más lo ve? Revisores humanos, el administrador de la cuenta, proveedores del proveedor.
4. ¿Dónde se procesa? Y si ese país está en la lista de la SIC.
5. ¿Hay contrato de procesamiento de datos? Es lo que convierte al proveedor en encargado.
6. ¿Qué pasa si hay un incidente? Cómo y cuándo te avisan.

Las respuestas de cada asistente, con las fuentes, están en Microsoft Copilot y tus datos y en las guías vecinas.

Qué poner en tus documentos

En la política de tratamiento de datos

La política de tratamiento, que exige el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, informa a los titulares qué datos tratas y para qué. Si un proveedor de IA trata datos personales por tu cuenta, es razonable mencionarlo entre los encargados o en las finalidades. Si sólo usas la IA con los datos tapados, no hay tratamiento nuevo que informar. En una firma de abogados, además, conviene decirlo en el contrato de servicios.

En la política interna de uso de IA

Es el documento que le dice a tu equipo qué herramientas usar, con qué cuenta y qué datos se tapan siempre. Es una de las medidas «humanas y administrativas» que pide la ley, y de las más fáciles de demostrar. Te dejamos un modelo en política de uso de IA en la empresa.

En el contrato con el proveedor

Si usas una cuenta empresarial, revisa que el contrato fije el alcance del tratamiento, las obligaciones del encargado y las medidas de seguridad, como pide el Decreto 1074 de 2015 para la transmisión de datos.

Si algo sale mal

Si alguien de tu empresa pegó datos de clientes en una cuenta personal de IA, puede tratarse de un incidente de seguridad. La Ley 1581 obliga a informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos para los titulares, y la Circular Única da quince días hábiles desde que se detecta. El paso a paso está en incidente de seguridad con datos personales.

Y conviene saber lo que está en juego: el artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspender actividades de tratamiento hasta seis meses y, en casos graves, cerrar operaciones. Las sanciones aplican a las personas de naturaleza privada. Un seguro cibernético puede cubrir parte de los costos de un incidente, pero no reemplaza las medidas.

Profesiones con secreto profesional

Para abogados, médicos, contadores públicos y notarios, a la Ley 1581 se suma el secreto profesional. El artículo 74 de la Constitución dice que «el secreto profesional es inviolable», y cada profesión tiene su norma. La del abogado, la Ley 1123 de 2007, le exige en su artículo 28 guardar el secreto profesional «incluso después de cesar la prestación de sus servicios». Para estas profesiones, tapar antes de pegar no es sólo buena práctica de datos: es la forma de usar la IA sin poner en riesgo el secreto. Lo desarrollamos en IA para firmas de abogados.

En resumen

• En Colombia no hay ley de IA vigente; rigen la Ley 1581 y la Circular 002 de 2024 de la SIC.
• Antes de pegar datos en una IA: finalidad, necesidad, proveedor, país y seguridad.
• Una cuenta empresarial con contrato no es lo mismo que la cuenta personal de un empleado.
• Ante la duda, la SIC pide abstenerse o tomar medidas precautorias. Tapar los datos es la más sencilla.
• Escribe una política de uso de IA y que el equipo la firme.

La app de Nonimo es esa medida precautoria hecha herramienta: tapa en el computador los nombres, la cédula, el NIT, los celulares, los correos y las direcciones antes de que el texto llegue a la IA, y te devuelve los datos reales en la respuesta. A Nonimo tampoco le llega el texto. Más en nuestra página de seguridad.