La escena es cotidiana: alguien pega en un chat de inteligencia artificial la base de clientes para que se la ordene, o el historial de un paciente para que le resuma el caso, o la hoja de vida de un candidato para que la evalúe. Funciona bien y ahorra tiempo. El problema es que acaba de hacer un tratamiento de datos personales, y en Colombia eso tiene reglas.
Este artículo no es de abogado y no lo soy: es un ingeniero explicando qué dice la norma para que sepas cuándo tienes que consultar a uno. Todo lo que sigue sale del texto de la Ley 1581 de 2012, con el artículo citado.
Lo primero: sí, es un tratamiento
La ley no habla de «sistemas informáticos autorizados». Habla de tratamiento de datos personales, y pegar información identificable de una persona en una herramienta de un tercero lo es. Que la herramienta sea un chat y no una base de datos no cambia nada.
El artículo 4 fija los principios que gobiernan cualquier tratamiento. Tres de ellos chocan de frente con el uso descuidado de la IA:
- Finalidad. El tratamiento debe obedecer a una finalidad legítima que se le haya informado al titular. Si le dijiste a tu cliente que sus datos eran para facturarle, analizarlos en otra herramienta no estaba en el trato.
- Libertad. Exige consentimiento previo, expreso e informado. Sin eso, no se pueden obtener ni divulgar los datos.
- Acceso y circulación restringida. El acceso está limitado por la naturaleza del dato. Pegarlo en un servicio de un tercero es, precisamente, ampliar ese acceso.
Y hay dos más que la gente olvida: seguridad, que obliga a medidas técnicas, humanas y administrativas contra el acceso no autorizado, y confidencialidad, que según el mismo artículo sigue obligando incluso después de terminada la relación laboral. Es decir: el empleado que se fue sigue obligado.
La línea roja: los datos sensibles
Aquí no hay zona gris. El artículo 5 define los datos sensibles como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, y enumera las categorías. El artículo 6 prohíbe tratarlos, con excepciones tasadas.
El artículo 6 admite el tratamiento cuando el titular da autorización explícita, cuando es necesario para salvaguardar el interés vital de alguien incapacitado, cuando lo hace una organización sin ánimo de lucro respecto de sus propios miembros, cuando se requiere en un proceso judicial, o con fines históricos, estadísticos o científicos suprimiendo la identidad.
Traducido a tu día a díaUna incapacidad médica de un empleado, una foto para reconocimiento facial en el control de acceso, una encuesta que pregunta por afiliación sindical: todo eso es dato sensible. No lo pegues en un chat de IA. Y si tu operación necesita tratarlos, no es un tema de herramienta: es un tema de autorización explícita documentada, y ahí sí necesitas abogado.
Tus deberes concretos, aunque uses la herramienta de otro
El artículo 17 lista los deberes del responsable del tratamiento. Léelos pensando en el chat abierto en tu navegador:
- Solicitar y conservar copia de la autorización otorgada por el titular.
- Informar al titular, de forma clara, la finalidad de la recolección y sus derechos.
- Conservar la información bajo condiciones de seguridad que impidan su alteración, pérdida o acceso no autorizado.
- Adoptar un manual interno de políticas y procedimientos.
- Informar a la autoridad cuando se presenten violaciones a los códigos de seguridad.
Nada de eso desaparece porque el procesamiento lo haga un proveedor. Tú sigues siendo el responsable frente al titular y frente a la autoridad. Y el artículo 25 crea el Registro Nacional de Bases de Datos, administrado por la Superintendencia de Industria y Comercio, donde se inscriben las políticas de tratamiento, que son vinculantes y cuyo incumplimiento acarrea sanciones.
Qué sí puedes hacer
Nada de esto significa que la IA sea inutilizable en una empresa. Significa que hay que separar el dato del problema.
| Lo que quieres hacer | Cómo hacerlo sin exponer datos |
|---|---|
| Ordenar o limpiar una base de clientes | Reemplaza nombres y documentos por códigos antes de pegarla. Pide el procedimiento, no el resultado: que te dé la fórmula y la aplicas tú. |
| Redactar una respuesta a un cliente | Describe la situación sin nombre, cédula ni datos de contacto. El texto sirve igual. |
| Resumir un contrato | Quita las partes identificables. La cláusula se analiza igual sin saber quién firma. |
| Analizar ventas por cliente | Trabaja con identificadores internos. El análisis no necesita el nombre real. |
| Evaluar hojas de vida | Aquí ten especial cuidado: una hoja de vida suele traer datos sensibles. Anonimiza o no la uses. |
La regla de una línea para tu equipo«Si el texto que vas a pegar permite identificar a una persona real, primero lo anonimizas.» Escríbela en el manual interno que de todos modos el artículo 17 te pide tener, y acompáñala de la lista de las siete categorías sensibles. Es la política de IA más corta y más útil que puedes tener.
Preguntas frecuentes
¿Sirve activar la opción de «no usar mis datos para entrenamiento»?
Ayuda y conviene activarla, pero no resuelve el problema legal. La ley se ocupa del tratamiento, no solo del entrenamiento: transferir datos personales a un tercero ya es un tratamiento. La configuración reduce riesgo; no sustituye la autorización.
¿Y si uso un plan de empresa con contrato?
Mejora tu posición porque documenta condiciones y suele incluir compromisos de confidencialidad, pero el responsable frente al titular sigues siendo tú. El contrato reparte obligaciones entre tú y el proveedor; no te saca de la ley.
¿La autorización de mi formulario de contacto cubre esto?
Depende de cómo esté redactada la finalidad. El principio de finalidad del artículo 4 exige que el uso corresponda a lo informado al titular. Si tu autorización dice «para atender su solicitud», analizar esos datos en otra herramienta probablemente se sale de ahí. Es exactamente el tipo de pregunta que vale la pena llevarle a un abogado una sola vez.
¿Esto aplica a una empresa de tres personas?
La ley no distingue por tamaño. Lo que sí varía con el tamaño son las obligaciones de registro ante la SIC y la exposición práctica. Pero los principios del artículo 4 y la prohibición del artículo 6 aplican desde el primer cliente.
La conclusión, sin rodeos
Usa la IA todo lo que quieras, pero anonimiza antes de pegar. Las siete categorías del artículo 5 no se tocan. Y la responsabilidad no viaja con el dato: se queda contigo.
Si ya estás decidiendo qué herramienta pagar, esa conversación es otra; esta es la que hay que tener antes.
¿Quieres la política de IA en una página para tu equipo?
Escríbeme y la armamos con las categorías sensibles y la regla de anonimizar. Respondo personalmente.
Hablemos