¿Tu empresa usa IA con datos personales? Lo que exige hoy la Ley 1581 y la Circular 002 de 2024 de la SIC

Un asistente que resume las hojas de vida de los candidatos. Un modelo que califica el riesgo de crédito. Un chatbot que atiende clientes con su historial a la mano. Usar IA con datos personales ya es parte del día a día en muchas empresas colombianas, y con eso llega una pregunta que los gerentes de TI no pueden dejar solo al área jurídica: ¿qué exige hoy la ley?

Mientras el Congreso discute proyectos de ley específicos sobre inteligencia artificial, las reglas que ya obligan son las de protección de datos: la Ley 1581 de 2012 y, para los sistemas de IA, la Circular Externa 002 del 21 de agosto de 2024 de la Superintendencia de Industria y Comercio (SIC). Aquí te resumimos qué piden y qué implica en la práctica.

Este artículo es informativo y no reemplaza la asesoría jurídica de tu empresa.

La base: la Ley 1581 de 2012 también aplica a la IA

La Ley 1581 no menciona la inteligencia artificial, pero no lo necesita: regula cualquier tratamiento de datos personales, y entrenar, ajustar o consultar un modelo con datos de personas es tratamiento. Estos son los puntos que más pesan en un proyecto de IA:

• Finalidad: el tratamiento debe tener una finalidad legítima que se le informe al titular (artículo 4). Si recogiste los datos para facturar, usarlos para entrenar un modelo de mercadeo es otra finalidad.
• Libertad: el tratamiento requiere el consentimiento previo, expreso e informado del titular, salvo las excepciones de ley (artículo 4).
• Datos sensibles: salud, biometría, orientación política o religiosa, entre otros, tienen un régimen más estricto y, por regla general, exigen autorización explícita (artículo 6).
• Seguridad: el responsable debe conservar la información con las condiciones de seguridad necesarias para impedir su pérdida, consulta o uso no autorizado (artículo 17).
• Transferencias internacionales: se prohíbe transferir datos a países que no ofrezcan un nivel adecuado de protección, salvo excepciones como la autorización expresa e inequívoca del titular (artículo 26). Esto importa si usas servicios de IA alojados fuera de Colombia.

Qué agrega la Circular 002 de 2024 de la SIC

La Circular 002 de 2024 fija lineamientos para el tratamiento de datos personales en sistemas de IA. Según los resúmenes publicados por firmas como Brigard Urrutia y Cuatrecasas, estas son sus instrucciones principales:

1. Ponderación previa: el tratamiento debe ser idóneo, necesario, razonable y proporcional en sentido estricto.
2. Precaución: cuando no haya certeza sobre el posible daño a los titulares, se deben evitar esos escenarios y adoptar medidas preventivas.
3. Responsabilidad demostrada: los riesgos del tratamiento deben identificarse, medirse, controlarse y monitorearse, y la empresa debe poder probar que lo hace.
4. Estudio de impacto de privacidad: si se identifica un alto riesgo para los titulares, se debe hacer antes del diseño y desarrollo del sistema de IA.
5. Calidad de los datos: deben ser veraces, completos, exactos, actualizados, comprobables y comprensibles.
6. Privacidad diferencial: se recomienda considerar estas técnicas, que permiten analizar datos sin revelar información de las personas.
7. Transparencia: los titulares deben poder conocer cómo se tratan sus datos.
8. Seguridad: medidas que protejan la confidencialidad, integridad y disponibilidad de la información.
9. Datos «accesibles al público»: que un dato esté en internet no lo vuelve de naturaleza pública ni habilita usarlo para cualquier fin; se necesita autorización previa, expresa e informada.
10. Derechos de los titulares: deben garantizarse en todo momento.

El punto 9 merece atención especial: muchas empresas asumen que pueden alimentar un modelo con perfiles de redes sociales o datos tomados de páginas web. La SIC dice que no, sin autorización.

Las sanciones no son teóricas

El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que pueden ser sucesivas mientras subsista el incumplimiento, además de suspender las actividades de tratamiento hasta por seis meses y ordenar el cierre temporal o definitivo de las operaciones relacionadas.

Un ejemplo reciente muestra que la SIC usa esas herramientas con tecnologías nuevas. En octubre de 2025, mediante la Resolución 78798, ordenó a World Foundation y Tools for Humanity (Worldcoin) suprimir los códigos de iris recolectados y cerrar de forma definitiva todo tratamiento de datos personales en Colombia. Entre los motivos: finalidades poco claras, falta de autorizaciones adecuadas y medidas de seguridad insuficientes para datos sensibles.

Lista de verificación para usar IA con datos personales

Y estas medidas técnicas te ayudan a cumplir:

• Minimiza: no envíes al modelo más datos de los que necesita. Seudonimiza o anonimiza cuando puedas.
• Filtra antes de enviar: detecta y enmascara cédulas, correos, teléfonos y datos de salud en los prompts antes de que salgan hacia un servicio externo.
• Revisa los contratos con tu proveedor de IA: dónde aloja los datos, si los usa para entrenar sus modelos y cuánto tiempo los guarda.
• Controla el acceso: la IA solo debe ver lo que el usuario que pregunta tiene derecho a ver. Es el principio de Zero Trust aplicado a la IA.
• Registra y monitorea: guarda trazas de qué datos se consultaron, quién lo hizo y para qué. Sin registros no hay responsabilidad demostrada.
• Protege las integraciones: los asistentes de IA se conectan por APIs a tus sistemas; aplica lo que explicamos en seguridad en APIs y en seguridad en la nube.
• Prepárate para un incidente: si un modelo expone datos personales, necesitas un plan. Revisa qué hacer cuando tienes un incidente de seguridad.

Errores frecuentes

• Pegar bases de clientes en herramientas de IA públicas sin revisar sus condiciones de uso.
• Reutilizar datos históricos para entrenar modelos sin verificar la finalidad autorizada.
• Hacer el estudio de impacto después de lanzar el sistema, cuando ya es tarde para cambiar el diseño.
• Pensar que «el proveedor se encarga»: el responsable del tratamiento sigue siendo tu empresa.

Conclusión

No hace falta esperar una ley de inteligencia artificial para tener obligaciones claras. La Ley 1581 y la Circular 002 de 2024 ya le piden a tu empresa evaluar el riesgo antes de construir, usar solo los datos necesarios con una finalidad autorizada, protegerlos y poder demostrarlo. La buena noticia es que casi todo se resuelve con buenas prácticas de arquitectura y seguridad que conviene tener de todos modos.

En Insoftar diseñamos soluciones de IA con seguridad y trazabilidad desde el inicio, con procesos certificados en ISO 27001. Hablemos sobre cómo usar IA con datos personales sin poner en riesgo a tu empresa.