La pregunta que ya está llegando
Hasta hace poco, la conversación sobre inteligencia artificial en las empresas medianas era de productividad: chatbots de atención, asistentes para redactar correos, herramientas que resumen reuniones. En 2026 la conversación cambió. La SIC —la Superintendencia de Industria y Comercio, autoridad de protección de datos en Colombia— empezó a preguntar en sus requerimientos cómo se usan los datos de clientes en sistemas de inteligencia artificial.
La pregunta es incómoda porque casi ninguna política de tratamiento de datos la responde. La mayoría fueron redactadas hace años, cuando la Ley 1581 de 2012 era nueva y la IA no existía en la operación diaria. Hoy tu empresa probablemente ya alimenta un chatbot con conversaciones de clientes, o usa una herramienta que analiza correos, cotizaciones o historiales de compra. Y la política dice otra cosa —o no dice nada.
"El problema no es usar inteligencia artificial. El problema es usarla para algo que tus clientes nunca autorizaron."
Finalidad y autorización: los dos principios que la IA pone a prueba
El régimen de habeas data colombiano se apoya en dos ideas simples. La primera es la finalidad: los datos solo pueden usarse para el propósito que se informó al recogerlos. La segunda es la autorización: ese propósito debe estar aceptado por el titular del dato.
Aquí es donde la IA rompe el esquema. Si recogiste el correo de un cliente "para gestionar su pedido", y ahora ese correo alimenta un modelo que perfila comportamientos o entrena respuestas automáticas, estás usando el dato para una finalidad distinta a la autorizada. No importa que la herramienta sea de un tercero, ni que el uso parezca inofensivo. Ante la SIC, el responsable eres tú.
Las sanciones por incumplir el régimen de datos no son simbólicas: hablamos de multas que pueden llegar a miles de salarios mínimos, además de órdenes de suspender el tratamiento — es decir, de apagar la herramienta que ya integraste a tu operación.
Qué revisar en tu política antes de que llegue el requerimiento
La buena noticia es que ponerse al día no exige reescribir todo desde cero. Estos son los frentes que recomendamos revisar primero:
- Inventario de herramientas de IA. Lista qué sistemas usan datos de clientes o empleados: chatbots, CRM con funciones de IA, asistentes de correo. No puedes proteger lo que no sabes que existe.
- Finalidades declaradas. Compara lo que dice tu política con lo que hacen esas herramientas. Si hay usos nuevos, la política debe incluirlos de forma clara y entendible.
- Autorizaciones vigentes. Revisa los formatos con los que recoges datos. Si las autorizaciones actuales no cubren los usos de IA, necesitas actualizarlas hacia adelante.
- Contratos con proveedores tecnológicos. Verifica qué hace el proveedor con tus datos: ¿los usa para entrenar sus propios modelos? Eso debe estar pactado por escrito, no asumido.
- Canal de atención al titular. Tus clientes tienen derecho a preguntar cómo se usan sus datos. Alguien en tu empresa debe poder responder esa pregunta sin improvisar.
Moverse antes, no después
Un requerimiento de la SIC no es el fin del mundo, pero responder desde la improvisación sí sale caro. Las empresas que llegan con la política actualizada, las autorizaciones al día y los contratos claros resuelven el asunto en semanas. Las que llegan sin nada, lo pelean durante meses.
"La política de datos que escribiste antes de la IA no te protege del uso que le das hoy."
En Guillermo García & Asociados ayudamos a empresas medianas a poner sus políticas de tratamiento de datos al día con la realidad de sus herramientas. Si no estás seguro de dónde está parada tu empresa, agendemos una conversación de 30 minutos: en ese tiempo podemos identificar tus principales frentes de exposición.
