Diferenciar oportunidad, obligación y riesgo
La inteligencia artificial puede generar predicciones, clasificaciones, recomendaciones o contenido mediante sistemas de inferencia. Sus usos públicos abarcan apoyo documental, atención, análisis y otras tareas con consecuencias diferentes. No conviene tratarlos como una sola actividad ni suponer que toda herramienta llamada inteligente aprende de la misma forma o posee igual autonomía. La evaluación jurídica comienza con función, datos, destinatarios y efectos. Usar un asistente para ordenar textos y utilizar un perfil para excluir personas de un servicio requieren análisis de riesgos distintos, aunque compartan proveedor.
El CONPES 4144, aprobado el 14 de febrero de 2025, formula política nacional de IA con objetivos de capacidades, gobernanza, datos, investigación, talento, mitigación de riesgos y adopción. Sus acciones y horizontes son compromisos de política que deben examinarse con instrumentos de ejecución; no constituyen una ley general que atribuya a cualquier algoritmo potestad para decidir ni demuestran que toda acción anunciada esté cumplida en 2026.
Tratamiento de datos durante todo el ciclo
La Circular Externa SIC 002 de 21 de agosto de 2024 imparte instrucciones a sujetos vigilados en protección de datos sobre sistemas de IA. Su alcance comprende tratamiento para desarrollo, pruebas, monitoreo y uso, conservando aplicación de regímenes tecnológicos neutrales. El análisis no empieza cuando el sistema emite una decisión: recopilar ejemplos de entrenamiento o enviar documentos a un modelo ya puede involucrar tratamiento personal. Deben identificarse finalidad, fundamento, categorías y participantes, además de seguridad y derechos del titular.
La circular exige ponderar idoneidad, necesidad, razonabilidad y proporcionalidad estricta del tratamiento. La pregunta no es solo si el modelo puede producir una respuesta, sino si ese tratamiento alcanza fin legítimo y si existe alternativa igualmente eficaz con menor afectación. Ante incertidumbre de daños graves e irreversibles prevé abstenerse o adoptar medidas precautorias o preventivas. Ese criterio se refiere al tratamiento de datos y sus riesgos bajo la instrucción; no debe presentarse como una prohibición automática de toda innovación ni como dispensa de competencia administrativa por haber aprobado una evaluación técnica.
Privacidad desde el diseño y responsabilidad demostrada
La privacidad desde el diseño y por defecto incorpora protección desde definición del proyecto y condiciones ordinarias de funcionamiento. No consiste en agregar una política de privacidad después de cargar una base. La circular desarrolla responsabilidad demostrada: medidas apropiadas, efectivas y verificables para cumplir, identificar riesgos y mitigarlos. Cuando sea probable alto riesgo para titulares, exige estudio de impacto de privacidad previo a diseño y desarrollo, con descripción de operaciones, evaluación de riesgos y medidas. No se reduce a una afirmación genérica de cumplimiento firmada por el proveedor.
Ese estudio debe permitir examinar qué información se utiliza, cómo pueden afectarse derechos y qué controles responden a esos riesgos. Eliminar campos innecesarios, limitar accesos y comprobar calidad son medidas distintas que deben justificarse según caso. La circular menciona privacidad diferencial como una manera de protección, sin establecer que sea el único método universalmente obligatorio. Una técnica no elimina por su nombre todos los riesgos: deben verificarse funcionamiento, parámetros y contexto. El capítulo no prescribe una implementación matemática ni declara anónima cualquier base por añadir ruido o retirar nombres.
La responsabilidad demostrada incluye medidas auditables y seguimiento. Debe ser posible acreditar acciones útiles y no únicamente conservar formularios. La circular pide garantizar información del titular sobre tratamiento, calidad y seguridad mediante medidas tecnológicas, humanas, administrativas, físicas y contractuales pertinentes. El contrato con un proveedor puede organizar obligaciones, pero no evita identificar quién decide finalidad y quién procesa por cuenta de otro. La Ley 1581, artículos 3 y 17–18, conserva deberes que no desaparecen por presentar el proyecto como experimental.
Información accesible y contenido generado
La circular distingue información accesible al público y datos de naturaleza pública. Que un dato pueda encontrarse en internet no autoriza tratar información privada, semiprivada o sensible para cualquier finalidad sin fundamento correspondiente. Un funcionario no debe cargar indiscriminadamente documentos personales en un servicio de IA porque ya aparecieron en una página o en una filtración. Debe comprobar origen, naturaleza, autorización o régimen y finalidad. La facilidad técnica de extracción no elimina protección, y el carácter público del organismo que usa la herramienta no convierte todos sus insumos en datos abiertos.
Un sistema generativo puede producir una cita, resumen o explicación incorrectos. La apariencia de seguridad no verifica existencia, vigencia ni pertinencia de una norma. Si la autoridad utiliza ese contenido en una actuación, necesita contrastarlo con fuentes y pruebas antes de asumirlo como fundamento. El artículo 42 del CPACA exige razones relacionadas con el expediente; una referencia inexistente no se sanea porque la produjo un proveedor. Esta verificación es una exigencia de calidad del análisis y una medida de gestión, sin atribuir a una circular de datos una regulación completa de toda producción jurídica automatizada.
Sesgos, igualdad y control de efectos
Los sesgos pueden provenir de selección de datos, medición, diseño o modo de usar resultados. Un modelo puede reproducir una diferencia histórica y presentarla como pronóstico aparentemente neutral. La autoridad debe examinar si sus criterios son pertinentes y compatibles con igualdad del artículo 13 constitucional, además de condiciones del procedimiento y calidad de información. No toda diferencia estadística demuestra automáticamente discriminación jurídica; tampoco una buena exactitud promedio demuestra ausencia de afectación de un grupo. La revisión requiere contexto, razones y evidencia del uso concreto.
La supervisión debe ser proporcional a función y efectos, con capacidad de identificar fallas, detener usos improcedentes y corregir dentro del régimen. Denominar humano al responsable no demuestra que comprendió o pudo revisar el sistema. Deben conservar posibilidad de reconstruir la decisión, atender reclamos y garantizar acceso a información pertinente con sus límites. No se proclama un derecho universal a publicar todo código ni se niegan secretos jurídicamente protegidos: se exige compatibilizar protección y control para que la opacidad técnica no vuelva imposible discutir una actuación que afecta derechos.
Información del sistema, código y explicación significativa
Los artículos 16–19 de la Directiva Conjunta 007/2025 concretan acceso para sistemas comprendidos. Frente a solicitud expresa de código, el sujeto debe evaluar caso a caso, con herramientas como test de daño, si publica código o proporciona explicación significativa en lenguaje claro para entender y valorar el sistema. La excepción necesita causa legal expresa y justificación conforme al régimen. No corresponde negar todo automáticamente por intervención de un proveedor ni afirmar entrega irrestricta del código en cualquier supuesto. Si se entrega, el artículo 18 prevé acta y compromisos de no comercialización, uso responsable y respeto de autoría.
El artículo 15 exige informar antes de la interacción, de manera clara, visible y oportuna, que se usa un asistente automatizado en los canales comprendidos y qué implica. El 23 incorpora planeación contractual para obtener de proveedores información exigida y proteger derechos. Así, divulgar, responder y prever acceso desde contratación son deberes conectados. La directiva tiene naturaleza y ámbito propios y no se confunde con permiso para cualquier decisión automatizada.
El contexto electoral tiene instrucciones específicas
La Circular SIC 002 de 15 de enero de 2026, leída completa, regula tratamiento con fines políticos o electorales, especialmente publicidad, marketing y prospección. Exige garantías de autorización, finalidad, transparencia y ejercicio de derechos en ese ámbito. Su instrucción sobre segmentación incluye información de criterios, categorías, lógica general, fuente y uso de IA. No debe trasladarse como si fuera regla idéntica de todo procedimiento administrativo, aunque comparta fundamentos generales de protección de datos. Tampoco habilita usar bases de servicios públicos para cualquier campaña.
La protección de orientación política y perfiles exige conservar el alcance del régimen y de la circular, incluidas excepciones delimitadas para actividades legítimas de organizaciones políticas sobre sus miembros y contactos regulares y límites de entrega a terceros. Las instrucciones sectoriales ilustran por qué finalidad y destinatario importan. Las referencias que la circular hace a sentencias o leyes penales no se presentan como investigación íntegra de esas fuentes: este tema no desarrolla delitos de falsedad mediante IA ni atribuye doctrina a fallos no leídos completamente.
Ejemplo colombiano 1: probar con expedientes reales completos
Una entidad propone ensayar un modelo externo con expedientes personales completos y revisar privacidad solo si decide comprarlo. La Circular 002/2024 abarca desarrollo y pruebas; debe analizar desde el inicio finalidad, base, roles, calidad y seguridad y, si es probable alto riesgo, el estudio previo de impacto. La etiqueta piloto no excluye derechos. Pueden evaluarse alternativas que reduzcan tratamiento y riesgos sin inventar que todos los proyectos requieren idénticos datos. La decisión sobre uso concreto exige conocer condiciones y no una afirmación comercial de confidencialidad.
Ejemplo colombiano 2: una norma inventada por el asistente
Un sistema redacta fundamento de una negativa citando una disposición que la oficina no encuentra en fuentes oficiales. La autoridad debe verificarla y no presentar como vigente lo no confirmado. Debe reconstruir si existe fundamento real y revisar hechos y garantías, sin reemplazar una cita falsa con otra semejante solo para conservar el resultado. La motivación pertenece a la actuación pública asumida por el competente. El ejemplo no declara ilícito todo apoyo generativo: muestra por qué producción automática y verificación jurídica son operaciones distintas.
Ejemplo colombiano 3: perfiles políticos desde una base de servicios
Una campaña recibe una base identificada como destinada a gestionar un servicio y pretende inferir orientación política para enviar publicidad segmentada, sin verificar autorización pertinente. Debe examinar finalidad y tratamiento sensible bajo Ley 1581 y Circular 002/2026 en su contexto electoral; poseer el archivo no acredita legitimidad para ese nuevo uso. La inferencia no deja de afectar datos por ser calculada y no declarada directamente. La conclusión no equipara cualquier comunicación institucional con campaña ni resuelve responsabilidades penales: exige detener la suposición de acceso y uso universal y comprobar el régimen.