En pocas palabras
Usar inteligencia artificial con datos personales en Colombia no está prohibido, pero el tratamiento sigue sujeto a la Ley 1581 de 2012. La Circular Externa 002 del 21 de agosto de 2024 de la Superintendencia de Industria y Comercio fija los lineamientos: ponderar si el tratamiento es idóneo, necesario, razonable y proporcional, evaluar el impacto cuando el riesgo es alto y aplicar medidas de seguridad auditables.
En esta página
La Circular Externa 002 de 2024, en lo esencial
La Circular Externa 002 del 21 de agosto de 2024 (se abre en una pestaña nueva) se dirige a los sujetos vigilados por la SIC en su rol de autoridad de protección de datos personales. Su asunto: «Lineamientos sobre el Tratamiento de Datos personales en Sistemas de Inteligencia Artificial». Parte de una premisa: las Leyes 1266 de 2008 y 1581 de 2012 son tecnológicamente neutrales y se aplican a recolectar o tratar datos para desarrollar, probar, monitorear o implementar sistemas de IA.
Ponderación previa
- Qué pide
- Antes de tratar datos en IA, evaluar cuatro criterios: idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto
Precaución
- Qué pide
- Si no hay certeza sobre los posibles daños, y para evitar un daño grave e irreversible, abstenerse del tratamiento o adoptar medidas precautorias; contar con sistemas de administración de riesgos del tratamiento
Estudio de impacto de privacidad
- Qué pide
- Cuando sea probable un alto riesgo, hacerlo y documentarlo antes del diseño y desarrollo: descripción de las operaciones, evaluación de riesgos y medidas previstas
Calidad del dato
- Qué pide
- Datos veraces, completos, exactos, actualizados, comprobables y comprensibles; no tratar datos parciales, incompletos, fraccionados o que induzcan a error
Privacidad desde el diseño y por defecto
- Qué pide
- Incorporarla desde el inicio; la circular menciona la privacidad diferencial como una manera de cumplir, no como técnica obligatoria
Derechos y seguridad
- Qué pide
- Informar al titular sobre el tratamiento en cualquier momento; medidas tecnológicas, humanas, administrativas, físicas y contractuales, que deben ser auditables
Lo que sigue aplicando de la Ley 1581
- Principios (art. 4): legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
- Autorización (art. 9): el tratamiento requiere la autorización previa e informada del titular, obtenida por un medio que pueda consultarse después. El art. 10 enumera los casos en que no se requiere.
- Transferencias internacionales (art. 26): están prohibidas hacia países que no ofrezcan niveles adecuados de protección, salvo las excepciones de la ley; fuera de ellas decide la SIC con una declaración de conformidad.
- Registro Nacional de Bases de Datos (art. 25), administrado por la SIC y de libre consulta.
El Decreto 1377 de 2013 (se abre en una pestaña nueva) agrega dos precisiones útiles. La autorización puede darse por escrito, de forma oral o mediante conductas inequívocas, pero «en ningún caso el silencio podrá asimilarse a una conducta inequívoca» (art. 7). Y el Responsable debe poder demostrar ante la SIC que implementó medidas apropiadas y efectivas: es la responsabilidad demostrada, hoy en el art. 2.2.2.25.6.1 del Decreto 1074 de 2015 (se abre en una pestaña nueva).
¿Y el proveedor de la herramienta de IA?
Aquí está la distinción que más se confunde. El Decreto 1377 de 2013 (art. 3) separa la transferencia, en la que quien recibe los datos es Responsable del tratamiento, de la transmisión, en la que un Encargado trata los datos por cuenta del Responsable.
Si el proveedor de IA actúa como Encargado y existe un contrato de transmisión con el contenido que exige la norma (alcance del tratamiento y obligaciones del Encargado), la transmisión internacional no requiere informar al titular ni pedir su consentimiento (arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015 (se abre en una pestaña nueva)). Siguen aplicando la finalidad y la autorización original con la que se recogieron los datos.
En la práctica, revisa si las condiciones del proveedor lo dejan como Encargado, que trata los datos solo por tu cuenta, o si se reserva usarlos para fines propios. En el segundo caso la relación deja de parecerse a una transmisión y conviene analizarla con cuidado.
Si eres contador: la reserva de la Ley 43
Para el contador público, además de la Ley 1581, rige la reserva profesional. El artículo 63 de la Ley 43 de 1990 (se abre en una pestaña nueva) lo obliga a guardar la reserva de todo lo que conozca en razón del ejercicio de su profesión, salvo que la ley la levante. El artículo 64 dice que las evidencias de su trabajo son documentos privados sometidos a reserva, y el 65 le exige tomar medidas para que su personal y «las personas de las que obtenga consejo o asistencia» respeten la independencia y la confidencialidad.
La Ley 43 no prohíbe usar herramientas de IA. Lo que exige es que la reserva se mantenga, también frente al proveedor de la herramienta.
Cómo usar IA con datos personales, paso a paso
Inventariar
Qué herramientas de IA se usan, en qué procesos y con qué datos personales.
Ponderar
Para cada uso, los cuatro criterios de la circular: ¿el tratamiento es idóneo, necesario, razonable y proporcional?
Minimizar
Anonimizar o seudonimizar cuando el propósito lo permita, y no cargar datos que la tarea no necesita.
Revisar al proveedor
Si actúa como Encargado o como Responsable, si hay contrato de transmisión, en qué país trata los datos y si los usa para fines propios.
Evaluar el impacto
Si el riesgo es alto, el estudio de impacto de privacidad antes del diseño, documentado.
Asegurar y registrar
Medidas de seguridad auditables, bitácora de uso y una política interna aprobada.
Si operas fuera de Colombia
Si tu organización trata datos de personas en otros países de la región, la referencia es la ley general de cada uno. Esta tabla resume lo verificado al 30 de octubre de 2026.
Argentina
- Ley general de datos personales
- Ley 25.326 (Habeas Data)
- Año
- 2000
- Autoridad
- Agencia de Acceso a la Información Pública (AAIP)
Bolivia
- Ley general de datos personales
- No tiene ley general; hay anteproyectos y proyectos en trámite. La vía es la Acción de Protección de Privacidad de la Constitución
- Año
- —
- Autoridad
- Sin autoridad general
- Fuente
- AGETIC (se abre en una pestaña nueva) (secundaria)
Brasil
- Ley general de datos personales
- Lei 13.709 (LGPD), vigente desde el 18 de septiembre de 2020
- Año
- 2018
- Autoridad
- Autoridade Nacional de Proteção de Dados (ANPD)
Chile
- Ley general de datos personales
- Ley 19.628 sobre protección de la vida privada, reformada por la Ley 21.719, con entrada en vigor prevista el 1 de diciembre de 2026
- Año
- 1999 y 2024
- Autoridad
- Agencia de Protección de Datos Personales
Ecuador
- Ley general de datos personales
- Ley Orgánica de Protección de Datos Personales; reglamento: Decreto 904 de 2023
- Año
- 2021
- Autoridad
- Superintendencia de Protección de Datos Personales
- Fuente
- Texto de la ley (se abre en una pestaña nueva) (secundaria)
México
- Ley general de datos personales
- Nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la de 2010
- Año
- 2025
- Autoridad
- Secretaría Anticorrupción y Buen Gobierno
Paraguay
- Ley general de datos personales
- Ley 7593/2025 de Protección de Datos Personales, con transición hasta el 27 de noviembre de 2027
- Año
- 2025
- Autoridad
- Agencia Nacional de Protección de Datos Personales
Perú
- Ley general de datos personales
- Ley 29733; nuevo reglamento: Decreto Supremo 016-2024-JUS
- Año
- 2011
- Autoridad
- Autoridad Nacional de Protección de Datos Personales (Ministerio de Justicia y Derechos Humanos)
Uruguay
- Ley general de datos personales
- Ley 18.331, reglamentada por el Decreto 414/2009
- Año
- 2008
- Autoridad
- Unidad Reguladora y de Control de Datos Personales (URCDP)
Venezuela
- Ley general de datos personales
- No tiene ley general; el art. 28 de la Constitución consagra el habeas data
- Año
- —
- Autoridad
- Sin autoridad general
- Fuente
- IAPP (se abre en una pestaña nueva) (secundaria)
Sobre Chile: el 1 de septiembre de 2026 el Ejecutivo presentó el Boletín 18.623-07 para postergar la vigencia de la Ley 21.719 al 1 de diciembre de 2027 (alerta de Cariola (se abre en una pestaña nueva), fuente secundaria). A la fecha de esta guía no hemos confirmado si se aprobó.
Preguntas frecuentes
¿La Circular 002 de 2024 prohíbe usar IA con datos personales?
No. Fija lineamientos para hacerlo bajo las Leyes 1266 de 2008 y 1581 de 2012: ponderación previa, precaución, estudio de impacto cuando el riesgo es alto, calidad del dato, privacidad desde el diseño y seguridad auditable.
¿Necesito autorización del titular para usar un proveedor de IA?
No siempre. Si el proveedor actúa como Encargado y hay un contrato de transmisión, la transmisión internacional no requiere informar al titular ni pedir su consentimiento (arts. 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015). Siguen aplicando la finalidad y la autorización original.
¿La SIC exige usar privacidad diferencial?
No. La circular la menciona como una manera de cumplir la privacidad desde el diseño y por defecto, no como una técnica obligatoria.
¿Qué sanciones aplican?
Las de la Ley 1581 de 2012: multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que pueden ser sucesivas mientras dure el incumplimiento (art. 23). La circular no crea sanciones propias.
Fuentes normativas
- Circular Externa 002 del 21 de agosto de 2024 (SIC) (se abre en una pestaña nueva)
- Ley Estatutaria 1581 de 2012 (Función Pública) (se abre en una pestaña nueva)
- Decreto 1377 de 2013 (Función Pública) (se abre en una pestaña nueva)
- Decreto Único Reglamentario 1074 de 2015, capítulo 25 (normograma de la Cancillería) (se abre en una pestaña nueva)
- Ley 43 de 1990, arts. 63 a 65 (Función Pública) (se abre en una pestaña nueva)
- Chile: alerta legal sobre el Boletín 18.623-07, Cariola (fuente secundaria) (se abre en una pestaña nueva)
Cada norma citada enlaza a su fuente oficial o, cuando así se indica, a la fuente secundaria donde se verificó. Verificación: 30 de octubre de 2026. Este contenido es informativo y no reemplaza el análisis de un caso concreto.
