IA y Ley 1581: lo que tu empresa debe cumplir en Colombia

La Ley 1581 de 2012 aplica a cualquier tratamiento de datos personales en Colombia, también cuando lo hace una IA: necesitas autorización previa, expresa e informada, una finalidad clara, seguridad y reglas para datos sensibles y transferencias al exterior. AcervoIA resume aquí qué debe cumplir tu empresa y qué dijo la SIC sobre IA. No es asesoría legal.

Para ver cómo lo aplicamos en el diseño de la memoria operativa de tu empresa, mira nuestro Brain Corporativo sobre Claude, o agenda la consultoría gratuita de 30 minutos.

¿Qué establece la Ley 1581 sobre el tratamiento de datos personales?

La ley desarrolla el derecho de las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos o archivos. Su artículo 2 la aplica al tratamiento de datos personales efectuado en territorio colombiano, y también cuando la legislación colombiana resulte aplicable a responsables que estén fuera del país. La Superintendencia de Industria y Comercio (SIC) vigila su cumplimiento, a través de una delegatura de protección de datos personales.

El artículo 4 fija los principios que debe respetar todo tratamiento:

• Legalidad y finalidad. Solo tratas datos para fines legítimos que informaste.
• Libertad. El tratamiento requiere el consentimiento previo, expreso e informado del titular.
• Veracidad y transparencia. Los datos deben ser veraces y la persona puede saber qué tienes de ella.
• Acceso y circulación restringida. No todos en tu empresa deben ver todo.
• Seguridad y confidencialidad. Medidas técnicas y organizacionales para evitar pérdida, acceso o uso no autorizado.

Los reclamos se atienden en un máximo de quince días hábiles y las consultas en diez, según el texto de la ley. Si usas IA para atender clientes, ese plazo corre aunque quien conteste sea un agente automático.

¿Qué dijo la SIC sobre la inteligencia artificial y los datos personales?

La SIC expidió la Circular Externa 002 del 21 de agosto de 2024, con lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Según los resúmenes que consultamos de la circular, su enfoque se puede entender así:

En 2025, la SIC emitió además un concepto sobre el uso de IA en actividades comerciales, a raíz de una consulta de un centro de contacto sobre llamadas hechas por IA. Su posición central es que el uso de IA en actividades comerciales debe respetar el habeas data, con transparencia, privacidad, seguridad y responsabilidad. Los textos completos están en el sitio de la SIC. Lee la circular y el concepto completos o consulta a un abogado antes de decidir.

¿Qué debe cumplir tu empresa cuando usa IA con datos de clientes o empleados?

1. Mapa de datos. Qué datos personales entran a cada herramienta de IA, de quién son y para qué.
2. Autorización y finalidad. La autorización que tienes hoy debe cubrir el uso que le darás. Si recolectaste datos para facturar, no los uses para entrenar o alimentar un agente sin revisarlo.
3. Política de tratamiento y aviso. Actualízalas si cambia la finalidad o intervienen nuevos encargados.
4. Datos sensibles. El artículo 5 los define como los que afectan la intimidad o cuyo uso indebido puede generar discriminación. Aplican reglas más estrictas, y conviene evitar enviarlos a un modelo salvo que sea necesario y esté autorizado.
5. Niños, niñas y adolescentes. El artículo 7 proscribe su tratamiento salvo datos de naturaleza pública. Consulta con un abogado cómo se aplica a tu caso, por ejemplo en educación.
6. Permisos por rol. Que la IA solo acceda a lo que el usuario que pregunta puede ver. Es una exigencia de circulación restringida.
7. Proveedores y contratos. Define quién es responsable y quién encargado, y qué hace cada proveedor con los datos.
8. Registro y trazabilidad. Guarda qué se consultó y qué se respondió, para poder demostrar el cumplimiento.

¿Qué pasa con la transferencia internacional de datos?

El artículo 26 prohíbe transferir datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección. Los modelos de IA suelen operar en servidores fuera de Colombia, así que esta regla importa. Qué países se consideran adecuados y bajo qué condiciones se puede transferir lo define la SIC en su Circular Única, y esa lista y sus condiciones pueden cambiar. Nosotros no te decimos que un país cumpla o no: verifica la lista vigente con tu abogado o directamente en la SIC antes de enviar datos personales a un proveedor.

Sobre el proveedor del modelo: Anthropic indica que, por defecto, no usa las entradas y salidas de sus productos comerciales para entrenar sus modelos, y que actúa como procesador de los datos de los planes Team y Enterprise. Es una declaración de la empresa y no sustituye tu análisis legal ni el contrato que firmes.

¿Cómo se aplica esto a un asistente interno o un agente de WhatsApp?

Para un asistente interno, el eje es el control de acceso: la IA debe respetar los permisos de cada persona y no mezclar datos de nómina o de clientes con quien no debe verlos. Para un agente de WhatsApp, el eje es el consentimiento: la persona debe haber autorizado el contacto y el tratamiento. Lee cómo integrar WhatsApp con HubSpot y un agente de IA y qué procesos de back office conviene automatizar primero.

Preguntas frecuentes

¿Necesito autorización para usar datos de mis clientes con IA?

Sí, si son datos personales. La Ley 1581 exige consentimiento previo, expreso e informado y una finalidad clara. Si tu autorización actual no cubre el uso que harás con la IA, revísala antes de empezar.

¿Puedo enviar datos personales a un modelo de IA en el exterior?

El artículo 26 prohíbe transferir datos a países sin nivel adecuado de protección. Verifica en la Circular Única de la SIC y con tu abogado si el destino y las condiciones de tu caso cumplen antes de enviar datos.

¿Qué es el estudio de impacto de privacidad?

Es un análisis documentado de los riesgos que un tratamiento de datos puede generar para las personas. Según los resúmenes de la Circular Externa 002 de 2024 de la SIC, debe hacerse antes de diseñar o desarrollar sistemas de IA con tratamientos de alto riesgo.

¿La IA elimina mi responsabilidad frente a la SIC?

No. La responsabilidad es de la empresa que trata los datos. La SIC ha dicho que el uso de IA en actividades comerciales debe respetar el habeas data, con transparencia, seguridad y responsabilidad.

Si quieres diseñar un uso de IA que respete estas reglas, revisa nuestro Brain Corporativo y agenda la consultoría gratuita de 30 minutos. Este artículo es informativo y no reemplaza asesoría jurídica.

Fuentes

• Función Pública, Ley 1581 de 2012 (Gestor Normativo), consultado el 20 de octubre de 2026.
• SIC, Circular Externa 002 de 2024: lineamientos sobre el tratamiento de datos personales en sistemas de IA, consultado el 20 de octubre de 2026.
• SIC, Concepto: el uso de la inteligencia artificial en actividades comerciales debe respetar el habeas data, consultado el 20 de octubre de 2026.
• Cuatrecasas, resumen de la Circular Externa 002 de 2024 (fuente secundaria), consultado el 20 de octubre de 2026.
• Anthropic, ¿se usan mis datos para entrenar modelos?, consultado el 20 de octubre de 2026.