Preguntas frecuentes

Gobernanza de IA en Colombia, con la fuente exacta

GOBERNA es una herramienta de formación y consulta: no es asesoría legal ni certificación.

• ¿Qué exige la Circular Externa 002 de la SIC a las empresas que usan IA?La Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio exige que, antes de tratar datos personales con inteligencia artificial, la empresa justifique el tratamiento con cuatro criterios —idoneidad, necesidad, razonabilidad y proporcionalidad—, aplique el principio de precaución, gestione los riesgos, haga un estudio de impacto de privacidad cuando el riesgo sea alto y no trate como públicos los datos solo porque estén en internet.
• ¿Cómo aplica la Ley 1581 de 2012 cuando uso ChatGPT o Copilot con datos de clientes?Aplica por completo: ingresar datos de clientes en un asistente de IA como ChatGPT o Copilot es tratar datos personales, y la Ley 1581 de 2012 rige ese tratamiento aunque ocurra en una herramienta externa. La empresa responde por la finalidad, la autorización, la seguridad y la circulación restringida de esos datos, y debe regular con el proveedor cómo los trata, cuánto tiempo los conserva y si puede usarlos para entrenar sus modelos.
• ¿Qué es Shadow AI y cómo detectarla en mi empresa?Shadow AI, o IA en la sombra, es el uso de herramientas de IA sin conocimiento ni autorización de la organización. Se detecta preguntando y observando: con una encuesta anónima al personal, revisando el tráfico hacia servicios de IA y conversando con cada equipo sobre cómo trabaja. Su riesgo principal es la fuga de información confidencial y de datos personales hacia servicios externos sin contrato, sin control de retención y sin trazabilidad.
• ¿Qué es la ISO/IEC 42001 y quién la necesita en Colombia?La ISO/IEC 42001:2023 es la primera norma internacional certificable que especifica los requisitos de un sistema de gestión de inteligencia artificial. En Colombia no es obligatoria por ley: la necesitan las organizaciones que quieren estructurar su gobernanza de IA y demostrarla ante clientes, reguladores y licitaciones, porque puede exigirse por contrato o como requisito en procesos de compra.
• ¿El EU AI Act aplica a una empresa colombiana?Sí, cuando la empresa tiene conexión con el mercado europeo: el Reglamento (UE) 2024/1689 aplica a quien pone sistemas de IA en el mercado de la Unión Europea aunque esté fuera de ella, y a proveedores y responsables del despliegue de otros países cuando los resultados del sistema se usan en la UE. Si no hay esa conexión, no aplica, y en cualquier caso no reemplaza la ley colombiana: ambas pueden aplicar a la vez.
• ¿Cómo hacer un inventario de IA en una empresa?Un inventario de IA se hace en dos pasos: primero se listan todas las herramientas que podrían ser IA —incluida la que viene dentro del software comprado y la que el personal usa por su cuenta— y se confirma cuáles lo son con la definición de sistema de IA; después se registra, para cada sistema, su propósito, los datos que usa, su responsable, su proveedor, el rol de la empresa y su nivel de riesgo.
• ¿Qué debe tener una política de uso aceptable de IA?Una política de uso aceptable de IA debe decir, como mínimo, qué herramientas están aprobadas, qué datos nunca se ingresan (datos personales, secretos, credenciales e información no pública), cómo se verifican los resultados antes de usarlos y quién responde por ellos. Se complementa con controles técnicos, capacitación y revisión periódica.
• ¿Qué es el NIST AI RMF y cómo usarlo en una pyme?El NIST AI RMF (NIST AI 100-1, enero de 2023) es un marco voluntario y no certificable del Instituto Nacional de Estándares y Tecnología de EE. UU. para gestionar el riesgo de la IA con cuatro funciones: gobernar, mapear, medir y gestionar. Una pyme lo usa con un perfil: describe qué logra hoy, define qué necesita según sus riesgos y trabaja primero las brechas más importantes, sin intentar cumplir todas las subcategorías.