El proyecto de ley de IA del Gobierno se archivó en junio y el nuevo está en primer debate. Mientras tanto, si tu IA usa datos personales, la Ley 1581 y la Circular 002 de 2024 de la SIC ya te aplican. Esto es lo que dicen.
En qué va la ley de inteligencia artificial en Colombia
El proyecto que más avanzó, el PL 043 de 2025 Senado (324 de 2025 Cámara), impulsado por el Gobierno, se archivó al terminar la legislatura. Según el medio Contexto, el Congreso lo dejó morir el 19 de junio, sin debate ni votación (Contexto, 1-oct-2026; Semana, 28-ago-2026).
El relevo es el Proyecto de Ley 025 de 2026 Cámara, radicado el 21 de julio de 2026. Ya tiene ponencia para primer debate en la Comisión Sexta, publicada en septiembre (Cámara de Representantes). Hasta el 16 de octubre no encontramos registro de votación. Según abogados consultados por Semana, el texto replica en buena parte el anterior y adopta un enfoque por niveles de riesgo. "La clasificación por niveles de riesgo es un estándar internacional que ha tomado fuerza", explicó Sergio Michelsen, socio de Brigard Urrutia.
Todavía se discute quién vigilaría. Unos proponen MinCiencias y otros la SIC. Lorenzo Villegas-Carrasquilla, socio de Serrano Martínez, cuestiona la primera opción: "MinCiencias es un ministerio de fomento y a cargo del desarrollo del sector".
Lo que ya aplica hoy: Ley 1581 y Circular 002 de 2024
Que no exista una ley de IA no significa que la IA opere en el vacío. Si un sistema de IA trata datos personales, aplica la Ley 1581 de 2012 (Función Pública):
- Autorización previa e informada del titular (art. 9).
- Datos sensibles, entre ellos "los datos relativos a la salud" (art. 5), con tratamiento restringido (art. 6).
- Multas de la SIC "hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes" (art. 23).
Además, el 21 de agosto de 2024 la SIC expidió la Circular Externa 002, con lineamientos específicos para el tratamiento de datos personales en sistemas de IA (SIC). Los más prácticos:
- Ponderar si el tratamiento es idóneo, necesario, razonable y proporcional.
- Gestionar riesgos como parte de la responsabilidad demostrada.
- Hacer un estudio de impacto de privacidad cuando el riesgo para los titulares sea alto.
- Aplicar privacidad desde el diseño y por defecto.
- Proteger la seguridad con medidas que deben ser "auditables por las autoridades".
- No confundir "público" con "accesible": según la circular, la información "accesible al público" no es, per se, información "de naturaleza pública". Su tratamiento requiere autorización.
Lo más reciente de la SIC sobre IA
En marzo de 2025, la SIC respondió a un call center que preguntaba si podía usar IA para hacer llamadas comerciales. Dijo que aplican la Ley 1581, la Circular 002 y los principios del Estatuto del Consumidor, desde el diseño hasta la operación (Brigard Urrutia).
Y el 1 de octubre de 2026, Valora Analitik reportó una respuesta reciente de la SIC: usar IA no es motivo de multa por sí mismo. La sanción llega cuando la IA lleva a incumplir normas que ya existen, con topes de hasta 2.000 SMLMV bajo el Estatuto del Consumidor. Una empresa no puede justificar un incumplimiento diciendo que "lo dijo la inteligencia artificial" (Pulzo/Valora Analitik).
Qué significa para tu empresa
- Call center con IA: necesitas autorización para el tratamiento, pedir solo los datos necesarios y llevar un registro de las interacciones. Si haces cobranza, aplica también la Ley 2300 de 2023.
- Salud (EPS, IPS, clínicas): los datos de salud son sensibles. Minimiza lo que pide el agente, controla los accesos y evalúa si el riesgo es alto. Si lo es, haz el estudio de impacto. Lo aterrizamos al caso de las citas médicas en Inteligencia artificial para EPS e IPS.
- Publicidad de tu IA: no prometas "respuestas 100 % confiables" si no puedes demostrarlo. La SIC ha señalado ese tipo de afirmaciones como problemáticas.
- Gobernanza: según Endeavor y Xertica, la privacidad y la ciberseguridad son barrera para una de cada dos empresas, y cerca del 20 % no tiene políticas de IA definidas (Infobae). Empieza por escribir la tuya.
Preguntas para tu proveedor de IA
Antes de conectar un agente a tu base de clientes, pregúntale: ¿dónde quedan los datos?, ¿quién accede?, ¿se usan para entrenar modelos?, ¿cómo se audita la seguridad? y ¿qué datos pide el agente y por qué? Si eres cliente o prospecto de TUBISNES, en nuestra FAQ y en la política de privacidad explicamos cómo tratamos la información. Si te falta algo, pregúntanos directamente.
¿Vas a implementar IA con datos de clientes o pacientes? Hablemos antes de diseñarla.
Preguntas frecuentes
¿Existe una ley de inteligencia artificial en Colombia?
No hay una ley específica vigente. El proyecto del Gobierno (PL 043 de 2025) se archivó en junio de 2026, y el PL 025 de 2026 Cámara, radicado el 21 de julio, tiene ponencia para primer debate desde septiembre. A la fecha no encontramos registro de votación.
Si no hay ley de IA, ¿qué normas aplican cuando uso IA con datos personales?
Aplican la Ley 1581 de 2012 de protección de datos y la Circular Externa 002 de 2024 de la SIC, que fija lineamientos para el tratamiento de datos personales en sistemas de IA. Si la IA interactúa con consumidores, también aplica el Estatuto del Consumidor (Ley 1480 de 2011).
¿Qué exige la Circular 002 de 2024 de la SIC?
Entre otros puntos: ponderar si el tratamiento es idóneo, necesario, razonable y proporcional; gestionar riesgos; hacer un estudio de impacto de privacidad cuando el riesgo sea alto; aplicar privacidad desde el diseño, y adoptar medidas de seguridad auditables por las autoridades.
¿Puede la SIC multar a una empresa por cómo usa la IA?
Usar IA no es sancionable en sí mismo, según una respuesta de la SIC reportada en octubre de 2026. Sí lo es incumplir las normas usándola. En protección de datos, la Ley 1581 permite multas de hasta 2.000 salarios mínimos mensuales para personas de naturaleza privada.
¿Debo informar a mis clientes que están hablando con una IA?
Ninguna norma vigente que revisamos lo exige de forma expresa. La SIC sí vincula el uso de IA con la transparencia y con el deber de informar de forma veraz al consumidor. Por eso, anunciarlo es la práctica más prudente. Valídalo con tu asesor jurídico.
¿Puedo usar datos que están "públicos" en internet para alimentar una IA?
Con cuidado. La Circular 002 de 2024 aclara que la información "accesible al público" no es, per se, información "de naturaleza pública", así que su tratamiento puede requerir autorización del titular. Antes de usarla, revisa su naturaleza y la finalidad.
¿Qué cuidado especial requieren los datos de salud?
La Ley 1581 clasifica los datos relativos a la salud como sensibles y restringe su tratamiento. Un agente de IA en salud debe pedir solo la información necesaria, con autorización, controles de acceso y registro. Si el riesgo es alto, la SIC espera un estudio de impacto de privacidad.
Este contenido es informativo y no constituye asesoría jurídica. Fuentes: Ley 1581 de 2012; Circular Externa SIC 002 de 2024; Cámara de Representantes; Semana; Contexto; Valora Analitik.