IA y datos de clientes: si metes datos personales de tus clientes en una herramienta de inteligencia artificial, sigues siendo responsable ante la ley colombiana. Necesitas su autorización previa, decirles para qué usas sus datos, protegerlos y, desde 2024, tener en cuenta los lineamientos de la Superintendencia de Industria y Comercio (SIC) para sistemas de IA.
Esta guía resume lo esencial con una lista de 8 pasos. No es asesoría legal: para tu caso concreto, consulta con un abogado.
¿Qué ley aplica a la IA y los datos de clientes?
Dos normas.
La primera es la Ley 1581 de 2012, el régimen general de protección de datos personales en Colombia. La segunda es la Circular Externa 002 del 21 de agosto de 2024 de la SIC, la autoridad de protección de datos, que da lineamientos para tratar datos personales en sistemas de IA: cuando se desarrollan, se despliegan o se usan (INCP).
La circular no crea una ley nueva: le dice a quien trata datos cómo aplicar la que ya existe cuando hay IA de por medio.
¿Quién es el «responsable» y quién el «encargado»?
La Ley 1581 distingue dos papeles (artículo 3). El responsable es quien decide sobre la base de datos y su tratamiento: normalmente, tu negocio. El encargado hace el tratamiento por cuenta del responsable: puede ser un proveedor que procesa datos para ti.
Si usas una herramienta de IA con datos de tus clientes, pregunta qué papel cumple ese proveedor, qué hace con la información y si puede usarla para entrenar sus modelos. Pídelo por escrito y compáralo con lo que dice su contrato.
¿Qué necesitas antes de usar los datos?
- Autorización previa, expresa e informada. Es el consentimiento del titular para el tratamiento (artículo 3 y artículo 9). Debe poder consultarse después.
- Informar con claridad. Al pedirla, debes decir para qué usarás los datos, cuáles son sus derechos y quién eres, con tu dirección y teléfono (artículo 12).
- Guardar la prueba. Debes conservar una copia de la autorización (artículo 17).
- Seguridad. Los datos requieren medidas técnicas y administrativas contra pérdida o acceso no autorizado (artículos 4 y 17).
Todo esto aplica igual si la herramienta es una hoja de cálculo o un asistente de IA. La ley no cambia: lo que cambia es el riesgo.
¿Qué pide la SIC específicamente para la IA?
Según un resumen de la firma Holland & Knight (fuente), la circular pide:
- Tener entornos seguros y conformes a la norma antes de tratar cualquier dato, incluso antes de recolectarlo.
- Aplicar los principios de necesidad, idoneidad, razonabilidad y proporcionalidad: usa solo los datos que de verdad hacen falta.
- Hacer una evaluación de impacto en privacidad, con contenido mínimo definido por la circular.
- Considerar técnicas de privacidad diferencial, que permiten analizar datos sin identificar a las personas (la circular lo recomienda).
Otros análisis del mismo texto destacan la responsabilidad demostrada: no basta con tener una política escrita, hay que poder demostrar que se cumple (Cuatrecasas). El texto oficial está en la sede electrónica de la SIC.
¿Qué 8 pasos seguir antes de usar IA con datos de tus clientes?
- Haz un inventario. Lista qué datos personales tienes y dónde están.
- Define la finalidad. Escribe para qué usarás la IA y qué dato necesita.
- Reduce los datos. Si puedes quitar nombres, documentos o teléfonos, quítalos antes de enviar el texto.
- Pide autorización con un aviso claro y guarda la prueba.
- Revisa al proveedor. Pregunta dónde procesa la información, si entrena con tus datos y qué medidas de seguridad ofrece.
- Evalúa el riesgo. Anota qué podría salir mal y cómo lo evitas (la circular pide una evaluación de impacto).
- Limita el acceso. Que solo las personas que lo necesitan puedan usar la herramienta.
- Revisa cada cierto tiempo. Las herramientas cambian; tu evaluación también debe cambiar.
¿Cuándo no deberías usar IA con datos reales?
Con datos sensibles y de menores, la ley es especialmente estricta. Los datos sensibles son los que afectan la intimidad o pueden generar discriminación, como salud o biométricos (artículo 5), y el tratamiento de datos de niños, niñas y adolescentes está proscrito, salvo los de naturaleza pública (artículo 7). Si tu caso incluye esos datos, no uses una herramienta de IA sin asesoría legal.
¿Cómo lo manejamos en Mokev?
Dos ejemplos de nuestro propio sitio. La clave del proveedor de IA del asistente de nuestra web vive solo en el servidor y no llega al navegador. Y la traducción automática de las tarjetas digitales envía al proveedor únicamente el texto público de la tarjeta (descripción, categoría, productos y nombres de enlaces), no los datos de contacto de su dueño.
Si quieres integrar IA en tu negocio sin exponer datos de tus clientes, mira nuestro trabajo en consultoría y software a medida, o cuéntanos tu caso.
Preguntas frecuentes
¿Puedo pegar datos de mis clientes en un chatbot de IA?
Depende de si tienes autorización para ese uso y de lo que haga el proveedor con la información. Una práctica prudente es quitar los datos que identifican a la persona antes de pegar el texto.
¿Qué es la responsabilidad demostrada?
Es el principio según el cual no basta con tener políticas: debes poder mostrar con evidencia que cumples la norma, por ejemplo con autorizaciones guardadas y evaluaciones documentadas.
¿La circular de la SIC es una ley nueva?
No. Es una instrucción de la autoridad de protección de datos para aplicar las leyes existentes (Ley 1581 de 2012 y Ley 1266 de 2008) cuando se usan sistemas de IA.
¿Qué es un dato personal?
Es cualquier información que identifica o puede identificar a una persona: nombre, documento, teléfono, correo, fotos. Si puedes llegar a una persona concreta con ella, trátala como dato personal.
¿Esto reemplaza la asesoría de un abogado?
No. Es una guía general basada en la ley y en lineamientos públicos de la SIC. Para auditorías, contratos o datos sensibles, consulta con un abogado especialista.
