Copiar la base de clientes en un chat de IA para “segmentarla”, pegar una hoja de vida para resumirla o subir conversaciones de WhatsApp para analizarlas: todo eso es tratamiento de datos personales, y en Colombia está regulado por la Ley 1581 de 2012.
Lo que dice la norma, en términos sencillos
- Autorización: se requiere autorización previa, expresa e informada del titular para tratar sus datos, salvo las excepciones de ley.
- Finalidad: los datos solo pueden usarse para lo que se informó al titular. Si la política de la empresa no menciona el análisis con herramientas tecnológicas, conviene revisarla.
- Seguridad: los datos deben protegerse con medidas razonables. Subirlos a cualquier herramienta sin revisar sus condiciones es un riesgo.
- Transferencias: si los datos salen del país (lo habitual con muchas herramientas de IA), aplican las reglas de transferencia internacional de la ley.
La Circular 002 de 2024 de la SIC
En agosto de 2024 la Superintendencia de Industria y Comercio publicó lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. En resumen, pide que el uso de datos en IA sea idóneo, necesario, razonable y proporcional, que la privacidad se incorpore desde el diseño y que se evalúen y mitiguen los riesgos.
Lista de verificación mínima para su empresa
- 01InventarioQué herramientas de IA usa su equipo y con qué datos.
- 02Política actualizadaLa política de tratamiento de datos debe reflejar esos usos y finalidades.
- 03Datos mínimosAnonimizar o seudonimizar antes de subir información. Si el nombre no es necesario, no debe usarse.
- 04Condiciones del proveedorRevisar si la herramienta usa los datos para entrenar modelos y dónde los almacena.
- 05Regla interna escritaQué se puede y qué no se puede subir a herramientas de IA, firmada por el equipo.
Si su empresa todavía no tiene política de tratamiento de datos o autorizaciones firmadas, ese es el primer paso, con o sin IA. Puede medir su exposición en cuatro minutos con el chequeo de riesgo legal.
