Qué cambia cuando los datos personales llegan a un sistema de IA
Los datos personales que una empresa pega en un chatbot para resumir un contrato o responder un reclamo salen de su control en cuestión de segundos. Muchos equipos lo hacen sin revisar la autorización del titular ni las condiciones del proveedor, y un error así termina en una investigación de la Superintendencia de Industria y Comercio, además de dañar la confianza de quien entregó su información. La salida no es prohibir la inteligencia artificial, sino aplicar cinco controles concretos antes de compartir información de clientes, empleados o proveedores con cualquier sistema automatizado.
La Ley 1581 de 2012 sigue siendo la base: tratar información de una persona exige finalidad clara y autorización del titular. La Circular Externa 002 de 2024 de la SIC aplica ese marco a los sistemas de inteligencia artificial.
Según esa circular, que una información sea accesible en internet no la convierte en pública. Recolectar datos privados, semiprivados o sensibles de la web para alimentar un sistema exige autorización previa, expresa e informada del titular.
En la práctica, el riesgo rara vez nace de una decisión estratégica. Aparece cuando alguien del equipo comercial, de recursos humanos o de soporte usa una herramienta gratuita para ganar tiempo con una tarea cotidiana.
Cada control que sigue responde a una exigencia verificable de la circular o a lo que publica el proveedor de la herramienta. Ninguno reemplaza la revisión de un abogado especializado en protección de datos.
Los datos personales de empleados también cuentan. Subir un listado de nómina o una hoja de vida a un asistente para redactar un informe implica tratar información de terceros que nunca autorizó ese uso, y la empresa responde por ello.
1. Clasificar los datos personales antes de pegarlos
El primer control es separar qué información entra en la conversación. Un nombre y un correo corporativo no equivalen a un diagnóstico médico, una huella o la situación económica de un cliente.
Si el contenido incluye datos sensibles, la regla práctica es detenerse y confirmar la autorización específica. Un resumen sin identificadores suele cumplir el mismo objetivo de trabajo con un riesgo mucho menor.
La normativa colombiana distingue entre datos públicos, semiprivados, privados y sensibles, y cada categoría pide un trato distinto. Conocer esa clasificación permite decidir en segundos qué puede entrar en una conversación con un sistema de IA.
2. Qué hace el proveedor con lo que escribes
El segundo control es leer las condiciones de la herramienta. El Centro de privacidad de las aplicaciones de Gemini explica que una parte de los chats la revisan personas y que recomienda no introducir información confidencial.
Esa página añade que la actividad se borra de forma automática a los 18 meses por defecto, y que los chats revisados por personas pueden conservarse hasta tres años. Cada proveedor publica reglas distintas, así que conviene revisarlas antes de autorizar su uso.
Con configuraciones de actividad desactivadas o con chats temporales, Google indica conservaciones más cortas. Verificar ese ajuste en la cuenta que usa el equipo evita suponer una protección que no está activa.
Si el proveedor procesa información por cuenta de la empresa, conviene formalizar esa relación en un contrato que fije finalidades, seguridad y supresión. Una cuenta personal creada por un empleado no ofrece esas garantías.
3. Usar solo los datos personales necesarios
La circular pide valorar cada tratamiento con cuatro criterios: idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto. Traducido a la rutina, cabe preguntarse si la tarea se resuelve sin incluir el dato.
Reemplazar nombres por códigos, recortar el documento al fragmento útil y evitar adjuntar archivos completos reduce la exposición. Además, la SIC plantea la privacidad desde el diseño como medida proactiva, no como un parche posterior.
Anonimizar no es borrar solo el nombre. Fechas, cargos y combinaciones de detalles pueden identificar a alguien, por lo que conviene revisar que los datos personales restantes no permitan reconstruir quién es la persona.
El cuarto control es documentar el tratamiento y el quinto, auditarlo. Cuando el uso implica un riesgo alto para los titulares, la circular pide un estudio de impacto de privacidad antes de diseñar o desplegar la solución, con riesgos y medidas de mitigación descritos.
Las medidas de seguridad también deben poder auditarse. Un registro de quién usó qué herramienta, con qué datos y bajo qué autorización permite demostrar responsabilidad si la autoridad lo solicita y fortalece la confianza de clientes y empleados.
Capacitar a quienes manejan datos personales y fijar una política interna de uso de IA completa los controles técnicos. Una regla escrita, breve y conocida por todos evita decisiones improvisadas cuando hay prisa por entregar.
Para profundizar en cómo evolucionan estas reglas y herramientas, el portal de noticias tecnológicas de Gazu Technology reúne análisis y guías sobre inteligencia artificial y marketing digital.
Aplicar estos cinco controles no frena la adopción de la IA, sino que la ordena. Las empresas que tratan los datos personales con criterio documentado pueden usar asistentes y automatizaciones con menos incertidumbre legal y mejores resultados.
Implementación de Agentes de IA & Automatización de Procesos
Lleve la productividad de su empresa al siguiente nivel. Diseñamos e integramos agentes inteligentes a la medida para automatizar su flujo de ventas, atención al cliente y operaciones repetitivas de forma 100% segura.
Preguntas Frecuentes sobre los Datos Personales y la IA
1. ¿Puedo pegar datos personales de clientes en un chatbot?
Solo si cuentas con autorización para esa finalidad y conoces las condiciones del proveedor. Si no es indispensable, anonimiza el contenido. Los datos sensibles exigen una autorización específica, y una página pública no convierte un dato privado en información de libre uso.
2. ¿La SIC prohíbe usar inteligencia artificial con información de personas?
No. La Circular Externa 002 de 2024 no prohíbe la IA: fija criterios para tratar los datos personales con autorización, finalidad legítima, proporcionalidad y medidas de seguridad auditables. Aclara además que sus orientaciones no reemplazan el texto de la Ley 1581 de 2012.
3. ¿Qué debo documentar para demostrar responsabilidad?
Conserva la autorización de los titulares, la finalidad de cada uso, la herramienta empleada, las configuraciones de privacidad activadas y los controles aplicados. Si el riesgo es alto, añade el estudio de impacto de privacidad con sus medidas de mitigación y revisiones periódicas.
