¿Qué exige la Circular Externa 002 de la SIC a las empresas que usan IA?
La Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio exige que, antes de tratar datos personales con inteligencia artificial, la empresa justifique el tratamiento con cuatro criterios —idoneidad, necesidad, razonabilidad y proporcionalidad—, aplique el principio de precaución, gestione los riesgos, haga un estudio de impacto de privacidad cuando el riesgo sea alto y no trate como públicos los datos solo porque estén en internet.
A quién aplica
A toda organización que trate datos personales con sistemas de IA en Colombia. La Circular recuerda que la Ley 1581 de 2012 es tecnológicamente neutral: aplica a cualquier sistema de IA, y adopta la definición de sistema de IA de la OCDE.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), pp. 2–3documento oficial
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), p. 2documento oficial
El test de cuatro criterios
Los criterios se aplican en orden y, si uno falla, el tratamiento no se justifica. Idoneidad: ¿el tratamiento sirve para lograr el objetivo? Necesidad: ¿existe otra medida menos invasiva e igual de eficaz? Razonabilidad: ¿la finalidad es legítima? Proporcionalidad estricta: ¿las ventajas superan la afectación al derecho de hábeas data?
El consentimiento del titular no reemplaza este análisis: con una autorización firmada, un uso puede fallar el criterio de necesidad.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numeral I, p. 5documento oficial
Precaución, gestión de riesgos y estudio de impacto
Si hay incertidumbre sobre daños graves o irreversibles, la Circular pide abstenerse o adoptar medidas de precaución. Además, exige gestionar los riesgos y, cuando sea probable un alto riesgo para los titulares, hacer antes del diseño un estudio de impacto de privacidad con un contenido mínimo: descripción del tratamiento, evaluación y clasificación de los riesgos y medidas previstas.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numeral II, pp. 5–6documento oficial
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numerales III y IV, p. 6documento oficial
Datos accesibles en internet
Que un dato personal esté visible en internet no lo convierte en dato público. El dato público es una categoría legal cerrada (estado civil, profesión u oficio, calidad de comerciante o servidor público, datos en registros públicos). Para usar datos recolectados en internet con una nueva finalidad se necesita autorización previa, expresa e informada.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numeral IX, p. 7documento oficial
- Fuente: Decreto 1377 de 2013 — Reglamenta parcialmente la Ley 1581 (Presidencia de Colombia, 2013), Art. 3, núm. 2documento oficial
Los demás numerales
La Circular también trata la calidad de los datos (numeral V), la privacidad diferencial como forma de privacidad desde el diseño (VI), la transparencia (VII), la seguridad (VIII) y los derechos de los titulares (X). En conjunto, piden poder demostrar el cumplimiento cuando la SIC lo solicite: la responsabilidad demostrada.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numerales V a Xdocumento oficial