Por Karine Boucher · Especialista en Riesgos Humanos de la IA · Creadora del Método SENSE
Tu equipo quiere probar un asistente de IA y alguien propone cargar las conversaciones de los clientes. Ya las tienen guardadas, así que parece la forma más rápida de empezar… pero disponer de esos mensajes no responde a otra pregunta: ¿para qué pueden usarlos?
Si trabajas con un tratamiento de datos sujeto al marco colombiano, te recomiendo consultar la Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. No nació como una ley específica de IA. Eso no significa que los datos dejen de estar protegidos cuando los procesa un modelo.
Qué te ayuda a revisar esta ley
La ley distingue a quien decide sobre el tratamiento y a quien lo realiza por su cuenta. Recoge principios como finalidad, calidad, transparencia, seguridad y confidencialidad, además de derechos de las personas sobre su información. Su aplicación territorial y sus excepciones requieren revisar el caso; no basta con que una herramienta se pueda usar desde Colombia.
También regula la autorización y las situaciones en las que no es necesaria. Te recomiendo evitar los 2 atajos: pensar que cualquier uso está permitido porque ya tienes los datos, o afirmar que todos los tratamientos se resuelven con la misma casilla de consentimiento. La fuente enlazada es el texto con anotaciones del normograma de la Cancillería.
Qué añade la SIC sobre inteligencia artificial
La Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio aborda el tratamiento de datos personales en sistemas de IA para los sujetos bajo su vigilancia. Incluye el desarrollo, las pruebas y el uso de estos sistemas. Insiste, entre otros puntos, en gestionar riesgos y distinguir información accesible en internet de información jurídicamente pública.
También contempla un estudio de impacto de privacidad previo al diseño y desarrollo cuando sea probable un alto riesgo para las personas. No lo presento como un requisito idéntico para cualquier experimento. Te conviene revisar el alcance con el responsable de protección de datos y asesoría jurídica.
Ejemplo ficticio: probar el asistente sin cargar todo el historial
Imagina una empresa que quiere comprobar si un asistente clasifica bien las consultas de soporte. En los mensajes reales aparecen nombres, direcciones y comentarios personales que no hacen falta para evaluar esa clasificación.
Yo propondría empezar por definir la prueba: ¿necesitamos comprobar que distingue una devolución de una consulta sobre entrega? Si ese es el objetivo, prepara ejemplos inventados que reproduzcan esas situaciones sin identificar a clientes. No confundas «necesito ejemplos realistas» con «necesito copiar todas las conversaciones».
Después, revisa qué faltaría comprobar con datos reales y por qué. Deja por escrito quién aprobaría ese paso, qué información sería necesaria y qué condiciones ofrece el proveedor. Usar ejemplos ficticios reduce una exposición inicial; no demuestra que el producto sea seguro ni sustituye las revisiones posteriores.
Las preguntas que te recomiendo llevar al equipo
- ¿Qué objetivo concreto estamos probando?
- ¿Qué información podemos quitar sin perder utilidad?
- ¿Quién recibe los datos y qué puede hacer con ellos?
- ¿Cómo responderíamos si una persona pide conocer o corregir su información?
Si nadie puede responder todavía, yo no empezaría por subir el archivo completo. Primero aclararía el uso. Tener una demostración funcionando no compensa descubrir después que el equipo desconocía qué había compartido.
Cómo lo relaciono con mi taxonomía
Seguridad, privacidad y dignidad: te propongo observar a las personas que aparecen en los mensajes, no solo la calidad del conjunto de datos. Una conversación compartida para resolver un problema puede contener información que su autor no esperaba ver reutilizada.
Decisiones, organizaciones y sociedad: me interesa que la responsabilidad no termine en «lo subió alguien del equipo». Definir quién decide, revisa y responde permite discutir el uso antes de que se vuelva una costumbre. Son relaciones editoriales con mi Taxonomía IAConSentido, no categorías creadas por la ley.
Alcance: Colombia. Ley de 2012 y Circular Externa 002 de 2024 consultadas en fuentes oficiales en noviembre de 2026. Esta explicación no sustituye asesoría jurídica ni agota las normas sectoriales o instrucciones aplicables.