El régimen normativo para el uso de datos personales en ambientes de IA en Colombia.
La desregulación de la Inteligencia Artificial es un falso paradigma operativo. La adopción de esta tecnología se encuentra estrictamente sujeta al régimen de datos personales colombiano. La Superintendencia de Industria y Comercio (SIC) ha establecido parámetros normativos ineludibles mediante las Circulares Externas 002 y 003 de 2024, las cuales aterrizan los principios de la Ley 1581 de 2012 en el despliegue de Large Language Models (LLM).
Estas directrices exigen que los riesgos intrínsecos de la IA sean identificados, monitoreados y gestionados por el Oficial de Privacidad (o el representante legal en su defecto). La gestión de riesgo es un comportamiento transversal al tratamiento de datos e impone obligaciones desde el diseño mismo de la herramienta. La inobservancia de este marco regulatorio por parte de las empresas en proceso de adopción tecnológica detona un riesgo directo de sanciones económicas graves o la suspensión definitiva de la operación de la IA.
Las directrices de arquitectura de la Circular 002 de 2024 condicionan la viabilidad del desarrollo tecnológico. Su obligatoriedad se activa exclusivamente cuando la IA se destina al análisis y procesamiento de datos personales (clientes, proveedores, empleados). Si la herramienta no procesa información de identificación o individualización, la norma no es de aplicación estricta, aunque su conocimiento es estratégico para mapear futuras cargas de cumplimiento.
El condicionante técnico más crítico es el deber de garantizar la Privacidad por Diseño. La Circular recomienda técnicas como la Privacidad Diferencial (inserción de ruido matemático para evitar la reidentificación). Si bien esta técnica maximiza la privacidad, genera una fricción directa con la utilidad operativa del modelo, donde la calidad del input determina la precisión del output. No obstante, la normativa emite una recomendación, no una imposición tecnológica; esto habilita el uso de técnicas de mayor eficiencia para modelos de generación probabilística, como la anonimización o el enmascaramiento de datos, siempre que se demuestre probatoriamente su efectividad. Asimismo, se impone la obligación pre-ejecución de practicar Evaluaciones de Impacto ante riesgos de daño a los titulares, profundizamos en esta temática en el siguiente enlace.
La normativa prohíbe conductas recurrentes en la adopción de IA que constituyen una violación directa del Principio de Finalidad (Art. 4, lit. b, Ley 1581 de 2012) y del numeral 10 de la Circular 002. Estas prácticas ilícitas incluyen:
Web Crawling / Scraping: Captación masiva y automatizada de datos accesibles al público sin autorización previa ni conocimiento del titular.
Descarga de Datasets Externos: Ingesta de bases de datos de internet (ej. repositorios pre-procesados para fine-tuning) que contienen datos personales carentes de trazabilidad sobre su origen, autorización y transferencia.
Estas vulneraciones ocurren habitualmente en la fase de experimentación técnica, donde los equipos de ingeniería construyen el Producto Mínimo Viable (MVP). Aunque no exista dolo por parte del equipo técnico, esta ingesta representa una ruptura normativa sancionable. Esto hace imperativo el despliegue de protocolos de experimentación segura y aislamiento de datos, de lo cual hablamos en el siguiente link.
Colisión Arquitectónica y el Derecho al Olvido.
El ajuste de modelos y la implementación de arquitecturas RAG (Retrieval-Augmented Generation) exigen adaptar el sistema de trazabilidad para cumplir con el derecho de supresión (Derecho al Olvido). RAG vectoriza la información para construir contexto profundo, almacenando los datos en bases vectoriales. Un sistema de linaje de datos debe detectar las transformaciones de la información; de lo contrario, el dato personal permanecerá vectorizado en poder del Responsable o Encargado, consumando el incumplimiento.
La fricción se agrava en los procesos de Fine-tuning (reentrenamiento de la red neuronal mediante un conjunto de datos específicos para optimizar una tarea). Durante este proceso, los datos son memorizados dentro de la estructura de “pesos” del modelo. Si un titular solicita la supresión de un dato utilizado en dicho entrenamiento, la imposibilidad técnica de aislar ese peso específico obligaría a la eliminación (purga) de todo el modelo para no violar el derecho al olvido. La solución arquitectónica exige la creación de un sistema de doble dataset: un Dataset Maestro (que consolida la información original para gestión legal) y un Dataset Curado/Post-entrenamiento (que garantiza la anonimización irreversible, despojando a la información de su carácter de dato personal antes de tocar la IA).
En conclusión, la gobernanza de datos en entornos de Inteligencia Artificial trasciende el mero cumplimiento normativo para convertirse en un pilar de continuidad del negocio. El Principio de Responsabilidad Demostrada (Accountability) exige que la empresa pueda probar ante la SIC la implementación efectiva de estas medidas técnicas y jurídicas. La incapacidad de demostrar esta diligencia no solo expone a la organización a multas de hasta 2.000 SMMLV y a los directivos a responsabilidades patrimoniales indelegables, sino que faculta a la autoridad para ordenar la suspensión inmediata del tratamiento. En la práctica, esto representa un “apagón tecnológico” irreversible que fulmina la inversión de capital (CapEx) y neutraliza el activo digital de la compañía.
Contenido elaborado el [26/03/2026] por William Bernal Mateus, abogado tecnológico. Esta información es exclusivamente informativa y no constituye asesoría jurídica ni consulta legal vinculante.