¿Cómo aplica la Ley 1581 de 2012 cuando uso ChatGPT o Copilot con datos de clientes?
Aplica por completo: ingresar datos de clientes en un asistente de IA como ChatGPT o Copilot es tratar datos personales, y la Ley 1581 de 2012 rige ese tratamiento aunque ocurra en una herramienta externa. La empresa responde por la finalidad, la autorización, la seguridad y la circulación restringida de esos datos, y debe regular con el proveedor cómo los trata, cuánto tiempo los conserva y si puede usarlos para entrenar sus modelos.
Por qué es un tratamiento de datos
Dato personal es cualquier información vinculada o que pueda asociarse a una persona determinada o determinable, y no solo el nombre: una cédula, un identificador de cliente, un correo o una dirección IP también lo son. Tratar es cualquier operación sobre esos datos, y el programa lo señala expresamente para herramientas externas, como pegar datos de clientes en un chatbot público.
La ley es tecnológicamente neutral: aplica a los sistemas de IA igual que a cualquier otro tratamiento.
- Fuente: Ley Estatutaria 1581 de 2012 — Protección de datos personales (Congreso de Colombia, 2012), Art. 3documento oficial
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), pp. 2–3documento oficial
Qué principios debes cumplir
Los ocho principios del artículo 4: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Al usar un servicio externo, los de circulación restringida y seguridad son los más expuestos. Los datos sensibles —salud, biometría, origen étnico, entre otros— tienen un régimen reforzado y su tratamiento está prohibido salvo excepciones, como la autorización explícita.
- Fuente: Ley Estatutaria 1581 de 2012 — Protección de datos personales (Congreso de Colombia, 2012), Art. 4, literales f) y g)documento oficial
- Fuente: Ley Estatutaria 1581 de 2012 — Protección de datos personales (Congreso de Colombia, 2012), Arts. 5 y 6documento oficial
El proveedor de la herramienta
La empresa decide sobre el tratamiento (responsable) y el proveedor que procesa los datos por su cuenta actúa como encargado. Los deberes de cada uno están en la ley y deben quedar en el contrato de transmisión de datos. En la práctica, el programa recomienda usar herramientas corporativas con un contrato que excluya el entrenamiento con tus datos y fije la retención.
- Fuente: Ley Estatutaria 1581 de 2012 — Protección de datos personales (Congreso de Colombia, 2012), Arts. 17 y 18documento oficial
- Fuente: Decreto 1377 de 2013 — Reglamenta parcialmente la Ley 1581 (Presidencia de Colombia, 2013), Art. 25documento oficial
Qué hacer en la empresa
Definir en una política de uso aceptable qué herramientas están aprobadas y qué datos nunca se ingresan; aplicar el test de cuatro criterios de la Circular SIC 002 antes de un uso nuevo con datos personales; y documentar todo para poder demostrar el cumplimiento cuando la SIC lo pida.
- Fuente: Circular Externa 002 de 2024 — Tratamiento de datos personales en sistemas de IA (Superintendencia de Industria y Comercio, 2024), Numeral I, p. 5documento oficial
- Fuente: Decreto 1377 de 2013 — Reglamenta parcialmente la Ley 1581 (Presidencia de Colombia, 2013), Art. 26documento oficial