Uso Empresarial de Inteligencia Artificial: Reglas para el Manejo de Datos Personales

I · Los Hechos

Camila dirige una tienda de repuestos para vehículos en Cartagena con seis empleados. Para agilizar la atención, contrató una plataforma de inteligencia artificial que responde automáticamente los mensajes de WhatsApp de los clientes: consulta el historial de compras, sugiere repuestos y calcula el crédito que cada cliente tiene disponible. La herramienta funciona bien y los clientes están contentos. Pero Camila nunca les pidió autorización para que sus datos —nombre, número de placa, historial de pagos— fueran procesados por un sistema automatizado, y tampoco leyó qué hace la plataforma con esa información una vez la recibe.

Como muchos empresarios, Camila resolvió un problema operativo sin advertir que había creado uno legal. La escena se repite en negocios de todos los tamaños: restaurantes que usan IA para tomar pedidos, administraciones de propiedad horizontal que prueban chatbots para atender copropietarios, consultorios que cargan datos de pacientes en asistentes virtuales. La pregunta que casi nadie se hace antes de conectar la herramienta es la más importante: esos datos de clientes, ¿quién responde por ellos cuando los procesa una máquina?

La buena noticia es que la respuesta ya está escrita en la ley, y no exige esperar a que el Congreso apruebe una norma nueva. La mala es que desconocerla convierte una mejora operativa en una contingencia sancionable. La diferencia entre las dos está en entender qué obligaciones nacen en el momento exacto en que una IA toca el dato de un cliente.

II · El Problema Jurídico

¿Qué ley le aplica a la IA cuando usa datos de sus clientes?

El error de fondo casi siempre es el mismo: se piensa que, como la inteligencia artificial es una herramienta nueva, no le aplica ninguna norma todavía. Conviene ser precisos. Es cierto que Colombia no tiene aún una ley que regule específicamente el uso de inteligencia artificial. Cursa un proyecto de ley en el Congreso (PL 043 de 2025 en el Senado, 324 de 2025 en la Cámara) que crearía una autoridad nacional de supervisión en IA, pero sigue en trámite y no se ha convertido en ley. También existe el CONPES 4144, de febrero de 2025, que traza la política pública del país en la materia; pero un documento CONPES es una hoja de ruta de planeación, no una norma que imponga obligaciones directas a las empresas.

De ahí se salta con facilidad a una conclusión equivocada: "si no hay ley de IA, no hay nada que cumplir". Lo que se pasa por alto es que la IA de Camila no maneja abstracciones: maneja los datos personales de sus clientes. Y esos datos sí tienen ley desde hace más de una década. Es la Ley 1581 de 2012, el régimen general de protección de datos personales, que aplica a toda base de datos manejada por empresas públicas o privadas en el país.

Para ver por qué la cobija, hay que traducir tres términos que la ley define en su artículo 3. Un "dato personal" es cualquier información vinculada o asociable a una persona determinada o determinable: el nombre del cliente, su teléfono, su placa, su historial de pagos. "Tratamiento" es cualquier operación sobre ese dato —recolectarlo, almacenarlo, usarlo, hacerlo circular o suprimirlo—, de modo que entregárselo a una IA para que lo procese es, sin discusión, tratamiento de datos. Y el "responsable del tratamiento" es quien decide para qué se usa esa información. En el caso de Camila, la responsable ante la ley es su empresa, no el proveedor del software y mucho menos el algoritmo: la ley no traslada la responsabilidad a la máquina que ejecuta la tarea.

Sobre esa base, la Ley 1581 fija ocho principios que rigen todo tratamiento de datos (artículo 4). Dos son decisivos para el caso. El principio de libertad exige que los datos solo se traten con autorización previa, expresa e informada del titular; sin ese consentimiento, no pueden obtenerse ni divulgarse. El principio de finalidad exige que los datos se usen únicamente para el propósito que se informó al recogerlos. Cuando Camila carga el historial de sus clientes en una IA sin haberles pedido permiso, o para un uso que nunca les explicó, incumple esos principios —y lo hace sin necesidad de que exista una "ley de IA" que lo diga con esas palabras.

III · Consideraciones

La Superintendencia ya fijó las reglas para la IA

Quien vigila el cumplimiento de la Ley 1581 es la Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales (artículo 19). Y esa autoridad no se quedó en silencio frente a la inteligencia artificial: en la Circular Externa 002 de 2024 fijó lineamientos concretos sobre el tratamiento de datos personales en sistemas de IA.

La circular exige, para los sistemas de IA de alto riesgo, tres cosas prácticas. Primero, realizar estudios de impacto en privacidad antes de implementar la herramienta, no después de un incidente. Segundo, aplicar los principios de idoneidad, necesidad y proporcionalidad: usar solo los datos que la tarea realmente requiere, y no "por si acaso". Tercero, incorporar la protección de datos desde el diseño ("privacy by design"), es decir, pensar la privacidad al configurar el sistema, no parchearla al final. Lo esencial es entender qué no es esta circular: no es un régimen nuevo ni una "ley de IA" adelantada. Es la misma Ley 1581 de 2012 aplicada, punto por punto, a la inteligencia artificial. Por eso obliga hoy.

Cinco pasos para usar IA sin incumplir la ley

Traducido a la operación diaria de un negocio como el de Camila, cumplir se reduce a una ruta ordenada:

1. Haga el inventario. Identifique qué datos entrega su empresa a cada herramienta de IA y para qué los usa después. No se puede proteger —ni autorizar— lo que no se ha mapeado.
2. Pida autorización antes de tratar los datos. El Decreto 1377 de 2013 (artículos 4 a 9), que reglamenta la ley, permite obtener el consentimiento por escrito, de forma oral o mediante conductas inequívocas del titular. Pero fija un límite tajante: el silencio del cliente nunca equivale a autorización. Un cliente que no responde no es un cliente que autorizó.
3. Documente su política y su aviso de privacidad. El mismo decreto (artículos 13 a 17) distingue dos instrumentos: la política de tratamiento de datos, que es el documento completo con las finalidades y los derechos del titular, y el aviso de privacidad, la comunicación breve que le informa al cliente que esa política existe y cómo consultarla. Ambos deben estar listos antes de recoger el dato, no improvisarse después.
4. Blinde el contrato con su proveedor de IA. Si la herramienta la provee un tercero —lo habitual—, ese tercero actúa como "encargado del tratamiento": trata los datos por cuenta de su empresa. El Decreto 1377 (artículos 24 y 25) distingue la transferencia (envío de datos a un nuevo responsable) de la transmisión (el encargado que los procesa por usted), y exige para esta última un contrato que fije confidencialidad y medidas de seguridad. Sin ese contrato, su empresa sigue respondiendo frente al cliente por lo que haga el proveedor.
5. Trate los datos sensibles con cuidado reforzado. Es el punto que más negocios ignoran, y merece su propia sección.

Datos sensibles: el cuidado que casi nadie aplica

La Ley 1581 (artículos 5 y 6) crea una categoría especial: los datos sensibles, aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Son, entre otros, los datos de salud, los biométricos —una huella o un rostro que la IA use para identificar—, la orientación política, las convicciones religiosas o la afiliación sindical.

Su tratamiento está prohibido como regla general, y solo procede por excepciones tasadas: la más común es la autorización explícita del titular, advirtiéndole además que no está obligado a entregar ese dato. Para Camila el punto puede parecer lejano —vende repuestos—, pero deja de serlo apenas su IA use reconocimiento facial para el ingreso, o cruce datos de salud de un cliente para una venta. En esos casos, la autorización genérica no basta: la ley exige un consentimiento reforzado y expreso.

Qué arriesga la empresa si no cumple

Ignorar estas obligaciones no es una falta formal sin consecuencias. La Ley 1581 (artículos 23 y 24) faculta a la Superintendencia de Industria y Comercio para imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, ordenar la suspensión de las actividades de tratamiento hasta por seis meses, y decretar el cierre inmediato y definitivo de la operación cuando el incumplimiento involucra datos sensibles. La ley gradúa la sanción según la dimensión del daño, el beneficio que obtuvo el infractor y su reincidencia. Para un negocio pequeño, cualquiera de esas medidas pesa más que el ahorro que prometía automatizar sin resguardos.

Cada empresa tiene particularidades —el tipo de datos que maneja, el proveedor de IA que contrató, el sector en que opera—. Antes de integrar inteligencia artificial a la atención de sus clientes, contar con la orientación de un equipo jurídico especializado como Bellium puede marcar la diferencia entre incorporar la tecnología con respaldo legal y exponerse a errores procedimentales evitables. Agenda una asesoría.

Anexo