¿Hay ley de inteligencia artificial en Colombia? Lo que hoy sí aplica a tu empresa

Es una pregunta frecuente entre gerentes en Colombia: ¿hay alguna ley que regule el uso de la IA? La respuesta corta es que no existe todavía una ley de inteligencia artificial. La respuesta completa es que eso no significa que usar IA en una empresa esté libre de reglas.

Este artículo resume qué está vigente, qué se discute en el Congreso y qué conviene revisar en tu empresa desde ya. No es asesoría legal: es un mapa para que la conversación con tu equipo jurídico empiece por las preguntas correctas.

Lo que todavía no existe: una ley de IA

A mediados de octubre de 2026, según el seguimiento normativo de Porcontar (se abre en una pestaña nueva), Colombia no tenía una ley de inteligencia artificial aprobada. La propia Corte Constitucional lo reconoció en la Sentencia C-212 de 2026, al señalar que en el país no existe aún una regulación integral de la IA.

En el Congreso hay dos proyectos en trámite:

• Proyecto de Ley 025 de 2026 Cámara. Fue radicado el 21 de julio de 2026 (texto del proyecto (se abre en una pestaña nueva)). Propone una clasificación de los sistemas de IA por niveles de riesgo, designa a MinCiencias como autoridad y contempla sanciones para privados. Según Porcontar, está en la Comisión Sexta con ponencia positiva, pero sin primer debate.
• Proyecto de Ley 065 de 2026 Senado. Propone una regulación integral con vigilancia de la Superintendencia de Industria y Comercio. También está en trámite.

Un proyecto anterior presentado por el Gobierno se archivó sin primer debate. El camino legislativo es largo y el texto final puede cambiar mucho, así que no tiene sentido adaptar la empresa a un proyecto que aún no es ley. Sí vale la pena seguirlo.

Lo que tampoco obliga a las empresas: el CONPES 4144

En febrero de 2025 se aprobó el CONPES 4144, la Política Nacional de Inteligencia Artificial, con 106 acciones hasta 2030. Es un documento de política pública: orienta a las entidades del Estado que tienen acciones a cargo, pero no crea obligaciones para las empresas privadas. Sirve para entender hacia dónde quiere ir el país, no como norma que deba cumplirse.

Lo que sí aplica hoy: datos personales

Aquí está lo importante. Si tu empresa usa herramientas de IA con información de clientes, empleados o proveedores, ya tienes obligaciones.

Ley 1581 de 2012

La ley de protección de datos personales aplica sin importar la tecnología. Exige autorización previa e informada del titular para tratar sus datos, cuidado especial con los datos sensibles como los de salud o biométricos, y restricciones para transferir datos a países sin un nivel adecuado de protección. La Superintendencia de Industria y Comercio la vigila y puede imponer multas.

Esto tiene consecuencias prácticas que muchas empresas no han pensado. Cuando un empleado pega en una herramienta de IA una lista de clientes, una hoja de vida o el historial de un paciente, está tratando datos personales, y probablemente transfiriéndolos a servidores fuera del país.

Circular Externa 002 de 2024 de la SIC

En agosto de 2024, la Superintendencia publicó lineamientos específicos para el tratamiento de datos personales en sistemas de IA. Según el resumen de la firma Pérez-Llorca (se abre en una pestaña nueva), los puntos principales son:

• Antes de usar IA con datos personales, hay que evaluar cuatro criterios: idoneidad, necesidad, razonabilidad y proporcionalidad. En otras palabras, si la IA sirve para el fin buscado, si hace falta usar esos datos, si es razonable y si el beneficio justifica la afectación.
• Hay que identificar y clasificar los riesgos y adoptar medidas para mitigarlos. Si hay un posible riesgo alto para los titulares, se requiere un estudio de impacto de privacidad.
• Los datos que procesa la IA deben ser veraces, completos y actualizados.
• Las medidas de seguridad deben ser técnicas, administrativas y humanas, y deben poder auditarse.
• Que un dato esté disponible en internet no significa que se pueda usar libremente.

Otras normas puntuales

Porcontar menciona además la Ley 2502 de 2025, que agrava las sanciones por suplantar a alguien usando IA. Según el mismo análisis, hoy no existe obligación de registrar, clasificar por riesgo o certificar los sistemas de IA que usa una empresa.

Si tus clientes o tus operaciones están en la Unión Europea, revisa también si te alcanza el Reglamento de IA europeo, que puede aplicar cuando los resultados de un sistema de IA se usan allá.

Un ejemplo para aterrizarlo

Imagina una empresa de servicios de salud ocupacional que quiere usar IA para resumir los exámenes médicos de ingreso de los trabajadores de sus clientes y generar alertas de restricciones laborales.

Antes de arrancar, la empresa debería preguntarse: ¿la autorización que firmaron los trabajadores cubre este uso? ¿Los datos de salud, que son sensibles, saldrán del país hacia el proveedor del modelo? ¿Es necesario enviar el examen completo o basta con los campos relevantes, sin nombre ni documento? ¿Quién revisa la alerta antes de que llegue al cliente? Las respuestas a esas preguntas son, en la práctica, el estudio de impacto que pide la circular.

Ninguna de estas preguntas impide el proyecto. Lo que hacen es definir cómo hacerlo bien: anonimizar antes de enviar, elegir un proveedor con garantías adecuadas, mantener una revisión humana y documentar las decisiones.

Qué revisar en tu empresa

Sin esperar a que se apruebe una ley, puedes poner orden con cuatro acciones:

1. Inventario de usos. Averigua qué herramientas de IA se usan en la empresa, incluidas las que cada persona usa por su cuenta, y qué tipo de información se ingresa en ellas.
2. Política de uso. Define qué herramientas están permitidas, qué información nunca debe ingresarse (datos sensibles, información financiera confidencial, datos de clientes sin anonimizar) y a quién consultar en caso de duda.
3. Revisión de autorizaciones. Verifica con tu asesor jurídico si las autorizaciones de tratamiento de datos que tienes cubren los usos de IA que haces o planeas.
4. Evaluación previa de proyectos. Para cada proyecto nuevo de IA que use datos personales, documenta los cuatro criterios de la circular y los riesgos identificados.

Por dónde empezar

Esta semana puedes dar dos pasos simples:

• Envía a los líderes de área una pregunta corta: qué herramientas de IA usa su equipo y para qué. Las respuestas te darán el inventario inicial.
• Agenda una conversación con tu asesor jurídico o tu oficial de protección de datos con este artículo como punto de partida, y pídele que revise la Circular 002 de 2024 frente a esos usos.

Así llegarás preparado cuando el Congreso apruebe una ley, y mientras tanto estarás cumpliendo lo que ya está vigente.