¿Usas IA con datos de tus clientes? Lo que exige la SIC a las empresas en Colombia

¿Por qué importa ahora?

Cada vez más empresas usan asistentes de IA en WhatsApp, CRM que califican leads automáticamente, herramientas que resumen llamadas o analizan documentos de clientes. Todas esas herramientas procesan datos personales. La Superintendencia de Industria y Comercio (SIC) ya dejó claro que la tecnología no cambia las reglas: el habeas data aplica igual.

¿Qué ha dicho la SIC?

En el Concepto 25-167843 de 2025, la Oficina Asesora Jurídica de la SIC respondió sobre el uso de IA para hacer llamadas automatizadas en actividades comerciales. La conclusión: es posible, siempre que se respeten las normas de protección de datos y de protección al consumidor. El concepto se apoya en la Ley 1581 de 2012, la Ley 1480 de 2011, la Circular Externa 002 del 21 de agosto de 2024 de la SIC y el CONPES 4144 de 2025 sobre inteligencia artificial.

Las seis obligaciones que debes cumplir

1. Autorización previa y expresa del titular para tratar sus datos con la finalidad concreta que vas a darles.
2. Finalidad clara: el cliente debe saber para qué se usan sus datos. “Mejorar el servicio” no es suficiente.
3. Transparencia: informar que está interactuando con un sistema automatizado cuando así sea.
4. Responsabilidad demostrada: poder probar, con documentos y procesos, que cumples.
5. Evaluación de impacto antes de implementar sistemas de IA que traten datos personales.
6. Protección reforzada para datos de niños, niñas y adolescentes.

Checklist para una pyme que ya usa IA

• Inventario de herramientas que tocan datos personales: CRM, chatbots, grabación de llamadas, herramientas de IA generativa.
• Revisar dónde se almacenan los datos y si hay transferencia internacional (muchas herramientas guardan información fuera de Colombia).
• Actualizar la política de tratamiento de datos para incluir el uso de IA y sistemas automatizados.
• Ajustar los formularios y mensajes de bienvenida del chatbot con la autorización y el aviso de privacidad.
• Definir reglas internas: qué información de clientes no se puede pegar en herramientas de IA públicas.
• Verificar si tu empresa debe registrar sus bases de datos en el Registro Nacional de Bases de Datos.

¿Qué riesgo corre la empresa?

Además de las multas de hasta 2.000 salarios mínimos que contempla la Ley 1581, están las órdenes de suspender el tratamiento de datos, que pueden paralizar tu operación comercial, y el daño reputacional frente a clientes.

La buena noticia es que cumplir no exige dejar de usar IA. Exige hacerlo con reglas claras. En Ideako trabajamos este tema entre el área legal, que ajusta políticas y autorizaciones, y el área de tecnología y CRM, que configura las herramientas para que cumplan.

Preguntas frecuentes