La Ley 1581 de 2012 es la norma colombiana de protección de datos personales. Esta ley debe ser cumplida por cualquier empresa en Colombia que recoja, guarde, use o comparta información de personas. En otros países las reglas pueden ser distintas y tener obligaciones adicionales.
¿Por qué es importante saber de qué se trata esta ley?
Si alguien de tu equipo usa inteligencia artificial para analizar información de tus clientes, tu empresa está tratando datos personales y esa ley le aplica. No cambia nada que la herramienta sea gratuita o paga, que la IA esté en el celular de un empleado, que la empresa no sepa que la usa o que la haya instalado para otros fines y se esté usando mal.
Con eso no queremos decir que usar IA significa incumplir la ley. Se incumple la ley cuando esos datos entran a la IA sin la autorización de su titular, principalmente si la empresa no tiene reglas internas que digan qué datos se pueden usar y cuáles.
¿Aplica la Ley 1581 sobre protección de datos si tu empresa solo usa ChatGPT, Claude o Copilot?
La respuesta rápida es sí.
La ley define dato personal como “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”, y tratamiento como “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” (Ley 1581 de 2012, artículo 3).
La Superintendencia de Industria y Comercio (SIC), que es la autoridad de protección de datos en Colombia, dejó escrito en la Circular Externa 002 de 2024 que esas normas también rigen cuando se usa inteligencia artificial.
Quiere decir que usar un nombre, una cédula, un correo, un teléfono, un dato, un historial de compras para preguntarle algo a la IA cumplen esa definición.
Las leyes 1266 de 2008 y 1581 de 2012 son, según la circular, “normas neutrales temática y tecnológicamente” y aplican a todo tratamiento de datos personales. Y concluye que “quienes crean, diseñan o usan ‘innovaciones tecnológicas’ deben cumplir todas las normas sobre Tratamiento de Datos personales recolectados y/o tratados en Colombia”.
¿Y quién responde si tu empleado es quien usa la IA sin permiso?
La ley llama responsable a quien decide sobre el tratamiento de los datos (tu empresa) y encargado a quien los usa a nombre del responsable.
Cuando un empleado usa la IA para su trabajo usando los datos de los clientes, en principio la empresa es la que responde, sin embargo, si la empresa tiene políticas específicas sobre cómo los empleados deben usar estas herramientas y si es responsabilidad de ellos o no, la política interna pesa más.
El proveedor de IA puede ser encargado o responsable según el plan y el contrato, y para saberlo hay que leer los términos de cada plan, en especial si el contenido que escribes se usa para entrenar o mejorar sus modelos.
¿Qué normas rigen hoy el uso de la IA en las empresas colombianas?
Colombia no tiene una ley de inteligencia artificial vigente. El proyecto 043 de 2025 Senado y 324 de 2025 Cámara fue archivado según lo dispuesto en el artículo 190 de la Ley 5 de 1992, como consta en la ponencia del proyecto que lo reemplazó.
Ese proyecto nuevo, el 025 de 2026 Cámara, se radicó el 21 de julio de 2026 y su ponencia para primer debate pide aprobarlo. A la fecha de consulta, el 26 de octubre de 2026, no se halló información posterior sobre su votación ni un texto aprobado.
Lo que dice la ponencia importa porque anticipa cómo sería la ley.
- Propone que la regulación sea proporcional al riesgo de cada sistema.
- Propone que la ley alcance a quienes desarrollen, provean, implementen o usen sistemas de IA en Colombia.
- Dispone que el tratamiento de datos personales por sistemas de IA se rija por la Ley 1581 de 2012 y el Decreto 1377 de 2013, y que la SIC conserve “plenamente” su competencia como autoridad de datos.
- Y propone que quien reciba una decisión de efectos significativos apoyada en IA de alto impacto pueda pedir que se le informe, que se le explique y que una persona la revise.
Mientras tanto, el uso de IA con datos de personas ya está cubierto por tres normas.
- La Ley 1581 de 2012 y sus decretos reglamentarios protegen los datos personales de clientes, empleados, proveedores y demás personas naturales.
- La Ley 1266 de 2008 regula la información financiera, crediticia, comercial y de servicios. Las bases de datos reguladas por esa ley quedan fuera del régimen de la Ley 1581, aunque los principios de protección de datos se les aplican igual (artículo 2).
- Y la Circular Externa 002 de 2024 fija cómo aplicar esas leyes a la IA.
La circular se dirige a quienes desarrollan, despliegan o usan sistemas de inteligencia artificial y pide, entre otras cosas, lo siguiente.
- Ponderar cuatro criterios antes de tratar datos con IA. El tratamiento debe ser capaz de alcanzar el objetivo (idoneidad), no debe existir otra medida más moderada e igual de eficaz (necesidad), debe orientarse a finalidades constitucionales (razonabilidad) y sus ventajas no pueden ser superadas por las desventajas de afectar el derecho de hábeas data, que es el derecho de cada persona a conocer, actualizar y rectificar la información que se recoge sobre ella (proporcionalidad en sentido estricto).
- Abstenerse de tratar los datos, o tomar medidas preventivas, cuando hay falta de certeza sobre los daños que el tratamiento puede causar.
- Identificar y clasificar los riesgos y mitigarlos, como parte de la responsabilidad demostrada, que es poder probar que se cumple la ley. El Decreto 1074 de 2015, que la circular cita, exige poder demostrar a la SIC que se implementaron medidas apropiadas y efectivas para cumplirla.
- Hacer y documentar un estudio de impacto de privacidad, un análisis escrito de los riesgos que corre la persona cuyos datos se tratan, antes del diseño y desarrollo de la IA cuando sea probable un alto riesgo para los titulares. Aplica sobre todo a quien construye o despliega un sistema.
- Usar datos veraces, completos, exactos, actualizados, comprobables y comprensibles, con medidas de seguridad tecnológicas, humanas, administrativas, físicas y contractuales que las autoridades puedan auditar.
- No asumir que un dato es de naturaleza pública solo porque sea accesible al público. Según la circular, que esté disponible en internet no significa que se pueda tratar sin autorización previa, expresa e informada del titular.
¿Qué usos de la IA tocan datos personales?
Los usos que tocan datos personales son los que ponen en la IA información de personas identificables, como listas de clientes, hojas de vida o grabaciones. La herramienta no define el riesgo. Lo define lo que entra en ella.
La siguiente tabla ordena los usos más comunes en una empresa, con un nivel de atención que es un criterio práctico, sin valor de clasificación legal.
| Uso en la empresa | Datos que suelen entrar | Qué norma toca | Atención |
|---|---|---|---|
| Redactar textos, ideas o código sin datos de personas | Ninguno, mientras no entren nombres ni otros datos de personas | La Ley 1581 no se activa | Baja |
| Resumir reuniones o transcribir llamadas | Voz y nombres de empleados, clientes o proveedores | Ley 1581, finalidad y autorización de quien habla | Media |
| Subir contratos, cotizaciones o documentos internos | Información confidencial de la empresa, a veces nombres | Ley 1581 si hay personas, y los acuerdos de confidencialidad de la empresa | Media |
| Pegar listas de clientes, el CRM o correos de clientes | Identificación, contacto, historial de compras | Ley 1581, autorización, finalidad y transferencia internacional | Alta |
| Recoger de internet datos de personas para alimentar una IA | Datos que están a la vista, pero son de personas | Ley 1581 y Circular Externa 002 de 2024 | Alta |
| Ordenar o calificar hojas de vida | Datos de candidatos, a veces sensibles | Ley 1581, artículos 5 y 6 | Alta |
| Analizar historias clínicas o datos de salud | Datos de salud | Ley 1581, datos sensibles, y posibles normas propias del sector salud | Muy alta |
| Procesar datos de niños, niñas y adolescentes | Identidad, imagen, datos escolares | Ley 1581, artículo 7 | Muy alta |
| Evaluar el crédito o el cobro de una persona | Datos financieros y de comportamiento de pago | Ley 1266 de 2008, con los principios de protección de datos | Alta |
Dos de esas filas merecen explicación aparte, la de salud y la de menores, porque los datos sensibles y los de niños tienen reglas más estrictas.
Los datos sensibles son los que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas o la pertenencia a sindicatos, y los relativos a la salud, la vida sexual y los datos biométricos (artículo 5).
El artículo 6 prohíbe tratarlos, salvo excepciones como que el titular haya dado su autorización explícita. El artículo 7 dice que “queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública”.
¿Qué puede estar haciendo tu equipo que incumple la ley sin saberlo?
En la práctica, un equipo suele incumplir la ley pegando datos de clientes, candidatos o proveedores en herramientas que la empresa no controla. Estos son los comportamientos que más conviene buscar.
- Usar bases de clientes, correos completos o chats para pedir un resumen, una segmentación o una respuesta.
- Subir hojas de vida a una IA para que las ordene, sin que los candidatos sepan que sus datos pasan por esa herramienta.
- Usar cuentas personales gratuitas para trabajo de la empresa, donde la empresa no puede ver ni controlar qué se comparte.
- Transcribir llamadas o reuniones con un asistente que graba sin que la persona al otro lado lo sepa ni lo haya autorizado.
- Conectar un asistente al correo, al CRM o a las carpetas compartidas sin revisar antes qué datos personales hay ahí.
- Recoger datos de personas en internet para alimentar una IA, bajo la idea de que si están publicados se pueden usar.
- Dejar que la IA califique o filtre personas (candidatos, clientes, morosos) sin que alguien revise el resultado. Lo que la IA produzca sobre una persona puede ser un dato personal, y la ley exige que los datos sean veraces y exactos (artículo 4).
Detrás de esos comportamientos suele haber una causa común, que es la falta de una regla escrita.
Muchas de las empresas que le pidieron consultoría a Norter no habían hablado antes con sus empleados sobre el uso de la IA, y no sabían quién la usaba, cómo, ni si lo hacen de forma segura. Llegamos a esa observación al darnos cuenta de que muchas empresas compraron licencias de Copilot, ChatGPT o Claude con la intención de empezar a adoptar IA, muchas veces sin establecer políticas internas para su uso.
¿Cambia la normativa según la industria de tu empresa?
Lo anterior vale para cualquier empresa, porque la Ley 1581 es general y aplica a los distintos sectores. Algunos suman normas propias, y en esos casos el uso de IA se evalúa con las dos capas. Lo que sigue es un mapa para saber dónde preguntar, y la revisión de cada sector le corresponde a un abogado que lo conozca.
En salud, los datos de los pacientes son datos sensibles, así que su tratamiento está prohibido salvo las excepciones del artículo 6. El sector puede tener además normas propias sobre la historia clínica, que debe revisar un abogado especializado. Una clínica, un consultorio o una aseguradora no debería pegar datos de pacientes en una IA general sin esa revisión.
En el sector financiero, los seguros y la cobranza, la información financiera, crediticia, comercial y de servicios se rige por la Ley 1266 de 2008. La circular recuerda que la vigilancia de operadores, fuentes y usuarios de esa información la ejercen la SIC y la Superintendencia Financiera. Si la empresa evalúa crédito o gestiona cobro con IA, la pregunta pasa por su área de cumplimiento antes que por la herramienta.
En recursos humanos y selección, las hojas de vida, las pruebas y las evaluaciones de desempeño son datos personales de empleados y candidatos, y pueden incluir datos sensibles como salud, datos biométricos o pertenencia a sindicatos. Cada persona debe saber para qué se usan sus datos y haberlos autorizado.
En educación y servicios a menores, los colegios, las academias y las plataformas para niños y adolescentes están bajo el artículo 7, que prohíbe tratar sus datos salvo los de naturaleza pública y exige asegurar el respeto de sus derechos prevalentes. Antes de cargar datos de estudiantes en una IA, conviene que un abogado revise qué excepción y qué autorización aplican.
En comercio, marketing y servicio al cliente, la mayor parte del riesgo está en las bases de clientes y en el uso de sus datos para fines que no autorizaron. Personalizar mensajes o responder reclamos con IA es un fin que debe estar dentro de los que el cliente aceptó (principios de finalidad y libertad, artículo 4).
En agencias, consultoras y empresas de software, si la empresa trata datos que le entregan sus clientes, puede actuar como encargada, y entonces necesita un contrato que defina qué puede hacer con ellos. Meter esos datos en una IA sin permiso del cliente es un problema de contrato además de legal.
¿Cómo evalúas el riesgo de cada uso de IA?
Sea cual sea el sector, cada uso de IA se evalúa con cuatro preguntas. Se responden antes de que el equipo lo adopte, y se repiten cuando cambia la herramienta o el plan.
- La primera es de quién son los datos que entran, porque clientes, empleados, candidatos, proveedores o menores no pesan igual.
- La segunda es qué tan sensibles son, ya que un correo de contacto pesa menos que una historia clínica o una huella.
- La tercera es a dónde viajan. El artículo 26 prohíbe transferir datos personales a países que no proporcionen niveles adecuados de protección, con excepciones como que el titular haya dado su autorización expresa e inequívoca, y es la SIC la que fija los estándares para considerar adecuado a un país. Saber en qué país procesa los datos cada herramienta y cada plan es parte de la respuesta, y qué países cuentan como adecuados lo define la SIC, así que conviene confirmarlo con un abogado antes de decidir.
- La cuarta es qué pasa si falla, porque una filtración o una respuesta equivocada sobre una persona cuesta distinto que un texto mal redactado.
Un uso con datos de poca sensibilidad, sin datos de menores, a un país adecuado y con consecuencias menores puede seguir con una regla escrita. Si el uso incluye datos sensibles o de menores, o no se sabe a dónde van los datos, conviene detenerlo hasta tener asesoría.
¿Cómo saber si tu empresa cumple la Ley 1581 sobre protección de datos al usar IA?
Responde cada una de las doce preguntas con Sí, No o No sé. Lo ideal es contestar Sí en todas, porque significa que tu empresa ya hace lo que se pregunta. Si en tu equipo nadie pone datos de personas en la IA, las preguntas 5 y 9 no tienen sentido para ti, así que elige «No aplica» y se contarán como Sí. Al terminar, el botón «Ver mi resultado» te dice qué hacer y qué puntos conviene cerrar.
¿Cuándo seguir usando IA con datos personales y cuándo pedir asesoría?
Con tus respuestas ya puedes decidir si sigues usando IA con datos personales o si pides asesoría antes. Esta decisión es un criterio práctico para ordenar tu siguiente paso, no una regla de la ley, y no reemplaza el concepto de un abogado, que es un paso aparte. Hay dos resultados posibles.
- Seguir y documentar lo que se hace, si respondiste Sí a las doce, o hay un solo No o No sé y está en la pregunta 3, 6, 7, 10, 11 o 12. Se sigue mientras se cierra esa brecha, que se resuelve con un procedimiento escrito o con un cambio de cuentas.
- Pedir asesoría antes de seguir, si hay un No o No sé en la pregunta 1, 2, 4, 5, 8 o 9, o sumas dos o más respuestas distintas de Sí, estén donde estén. Un No en la 3 y otro en la 6 ya son dos, y corresponde asesoría.
Las preguntas 1, 2, 4, 5, 8 y 9 tocan qué datos entran, con qué permiso y a dónde viajan, y ahí se concentra el riesgo.
Hay un caso en que no conviene esperar al test. Si hoy se están pegando datos de salud, de menores o biométricos en una IA general, o no sabes si ocurre, conviene detener ese uso hasta tener asesoría. Si ya se pegaron datos personales, conviene dejar de hacerlo, anotar qué se compartió, cuándo y en qué herramienta, y consultar con un abogado si corresponde informar a la SIC (artículo 17, literal n), sobre todo si eran datos sensibles o de menores.
Conviene actuar pronto, porque incumplir tiene consecuencias previstas en la ley, aunque no exista una ley de IA. El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes al momento de la sanción, y también prevé suspender o cerrar la operación de tratamiento de datos.
Si el resultado fue pedir asesoría, en Norter acompañamos a las empresas en ese punto. Revisamos con cada área cómo usa hoy la IA, qué datos toca y qué regla escrita le conviene. La primera llamada, de 45 minutos, es gratuita.
Leímos estos documentos antes de hablarte sobre la Ley 1581 sobre protección de datos personales y el uso de la IA.
- Congreso de la República, Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales, texto de la Secretaría del Senado.
- Superintendencia de Industria y Comercio, Circular Externa 002 de 2024, 21 de agosto de 2024.
- Decreto 090 de 2018, Registro Nacional de Bases de Datos, 18 de enero de 2018.
- Cámara de Representantes, Ponencia para primer debate del Proyecto de Ley 025 de 2026 Cámara, proyecto radicado el 21 de julio de 2026.
