Gobernanza de IA en entidades públicas: por qué el CONPES 4144 convirtió la supervisión humana en obligación jurídica

En 2025, la Corte Constitucional profirió dos sentencias que cambiaron el marco de discusión sobre Inteligencia Artificial en Colombia: la T-323 de 2024 y, sobre todo, la T-067 de 2025. En esta última, la Corte ordenó el acceso al código fuente de CoronApp y, de paso, dejó sentado un principio que toda entidad pública debería tener escrito en la pared: la adopción de sistemas automatizados sin supervisión humana no es una falla técnica, es una falla jurídica.

¿Por qué entonces tantas alcaldías, gobernaciones y gerencias de E.S.E. siguen abordando la IA como si fuera exclusivamente un asunto tecnológico? Este artículo explora la gobernanza de IA en entidades públicas colombianas a la luz del CONPES 4144 de 2025 y de la jurisprudencia constitucional vigente, y los retos jurídicos que esto implica para los responsables de su adopción.

1. Marco normativo aplicable

La gobernanza de IA en el Estado colombiano descansa hoy sobre cuatro pilares convergentes, ninguno suficiente por sí solo:

2. Análisis: ¿por qué la gobernanza es obligación jurídica?

La confusión más frecuente consiste en equiparar «gobernanza de IA» con «compra de tecnología». La gobernanza no es un componente técnico que se adquiere; es un sistema de reglas institucionales que distribuye responsabilidades, define controles y permite demostrar diligencia. En términos jurídicos, la gobernanza es la prueba anticipada de que la entidad obró con el deber de cuidado que el artículo 209 de la Constitución exige a toda función administrativa.

Lo anterior explica por qué la gobernanza no puede ser tarea exclusiva del área TIC. Es, por definición, una función jurídico-institucional que involucra a la secretaría jurídica, a la oficina de control interno, al representante legal y, según el caso, a la contraloría y personería. El cómo desarrollar un Marco de Gobernanza debe, por eso, empezar por un acto administrativo que instituya formalmente un Comité de Gobernanza con funciones específicas.

El error de la gobernanza «de fachada»

Un riesgo recurrente consiste en adoptar la gobernanza solo en el papel: un manual archivado, un comité que nunca se reúne, un protocolo de supervisión humana en el que el funcionario firma sin haber comprendido realmente la decisión. La Corte, en la Sentencia T-323 de 2024, fue explícita al exigir una supervisión humana significativa, es decir, dotada de capacidad efectiva de comprensión, intervención y veto.

Una gobernanza meramente formal no exime de responsabilidad; al contrario, puede ser usada como prueba de la simulación y agravar la condena, porque demuestra que la entidad conocía el riesgo y omitió actuar. En términos de teoría general del derecho administrativo, esto equivale a una manifestación del principio de buena fe y del deber de motivación de los actos administrativos (artículos 209 de la Constitución y 8 del CPACA). Una decisión automatizada que no pueda ser explicada, motivada y documentada por la autoridad que la adopta no es, en estricto sentido, un acto administrativo válido.

3. Implicaciones prácticas para entidades públicas

• Responsabilidad personal — el representante legal (alcalde, gobernador, gerente de E.S.E.) responde personalmente por las decisiones automatizadas que se ejecuten bajo su mandato sin supervisión documentada.
• Carga probatoria — toda decisión automatizada debe ser trazable; si la entidad no puede reconstruir cómo se llegó a una decisión, pierde el proceso aunque tenga razón en el fondo.
• Estándar mínimo — los seis instrumentos del Eje 1 del CONPES 4144 (Comité, Protocolo de Supervisión, Política de Datos, Protocolo de Transparencia, Protocolo de Auditoría y Plan de Capacitación) constituyen el estándar mínimo verificable.
• Asimetría territorial — las entidades territoriales pequeñas (categorías 4ª, 5ª y 6ª) son las más expuestas: tienen menos capacidad técnica y, paradójicamente, mayor dependencia de soluciones automatizadas externas.
• Triple frente de control — el control disciplinario (Ley 1952 de 2019) y el control fiscal (Ley 610 de 2000) son vías paralelas a la responsabilidad civil y patrimonial; la omisión de gobernanza puede activar simultáneamente las tres.
• Brecha en la contratación — las cláusulas contractuales habituales no cubren el componente algorítmico: propiedad intelectual del código, derechos de auditoría, obligación de entrega de documentación técnica y prohibición de uso de datos para entrenamiento ajeno son temas que deben negociarse expresamente.

4. Recomendaciones y buenas prácticas

• Instituir formalmente el Comité de Gobernanza — mediante acto administrativo, créelo con composición mixta: secretaría jurídica, TIC, planeación, control interno y un representante del representante legal.
• Adoptar un Protocolo de Supervisión Humana — defina quién, cuándo y cómo se revisa cada decisión automatizada relevante. La Sentencia T-323/24 exige que la supervisión sea «significativa», no formal.
• Construir trazabilidad desde el primer día — documente cada decisión importante: datos de entrada, modelo utilizado, humano responsable, fecha y resultado. Esta es la prueba de la diligencia.
• Revisar la base de datos — antes de implementar cualquier IA, evalúe qué datos requiere y verifique que su tratamiento esté habilitado por la Ley 1581 de 2012.
• Contratar con blindaje jurídico — incluya en todos los contratos de IA cláusulas de auditoría, trazabilidad, confidencialidad y propiedad intelectual del código. La Ley 80 de 1993 lo permite y la Sentencia T-067/25 lo refuerza.
• Capacitar antes de implementar — diseñe un programa formativo dirigido a los servidores que operan, supervisan o deciden sobre sistemas automatizados. Sin comprensión técnica no hay supervisión humana significativa posible.
• Hacer visible la gobernanza — incluya a la ciudadanía como actor de control. Publique qué sistemas automatizados usa la entidad, con qué propósito y a través de qué canal puede un administrado ejercer sus derechos (Ley 1712 de 2014).