Habeas data y sistemas automatizados: cómo cumplir la Ley 1581 de 2012 cuando una entidad pública usa IA

En 2025 se interpusieron en Colombia 432.658 acciones de tutela por vulneración del derecho de petición, de las cuales 177.531 fueron concedidas. Una proporción no menor de esos casos tiene su origen en fallas de los sistemas automatizados que las entidades públicas usan para atender al ciudadano: chatbots que no escalan, clasificadores automáticos que se equivocan, plantillas que desconocen los términos de la Ley 1755 de 2015.

La pregunta central de este artículo es: ¿cómo cumple una entidad pública con la Ley 1581 de 2012 —estatuto colombiano de protección de datos personales— cuando decide incorporar Inteligencia Artificial a sus procesos administrativos? Exploramos aquí los retos jurídicos que esto implica y los controles mínimos que cualquier entidad debería implementar antes de alimentar un sistema automatizado con datos de ciudadanos.

1. Marco normativo aplicable

2. Análisis: el habeas data en la era de la IA

El habeas data —derecho del titular a controlar sus datos personales— fue concebido para un mundo en el que los datos se almacenaban en bases estáticas. La Inteligencia Artificial introduce dos novedades que tensionan el régimen vigente: (i) los datos se usan para entrenar modelos que generan nuevas inferencias, y (ii) esos modelos pueden operar en entornos ajenos a la entidad. Ambas situaciones exigen reinterpretar los principios de finalidad y seguridad.

El principio de finalidad del artículo 4 de la Ley 1581 dispone que el tratamiento solo es legítimo para las finalidades autorizadas. Cuando una entidad decide usar los datos de un trámite para entrenar un modelo de IA, está creando una nueva finalidad que, en regla general, requiere nueva autorización. La tentación de reutilizar datos sin consentimiento —porque ya están «en la base»— es uno de los riesgos jurídicos más subestimados en el sector público.

El caso de los datos sensibles en salud pública

Las Empresas Sociales del Estado (E.S.E.) y demás entidades del sector salud son especialmente vulnerables. El artículo 5 de la Ley 1581 califica como sensibles los datos relativos a la salud, y exige una tutela reforzada: prohibición predeterminada de tratamiento salvo causales taxativas, autorización expresa del titular, y responsabilidad reforzada del encargado. Alimentar una IA con historias clínicas, registros de RIPS electrónico o datos biométricos sin cumplir este estándar convierte cualquier automatización en una bomba jurídica de efecto retardado.

El principio de minimización en el entrenamiento

Un principio derivado del de finalidad, recogido por la doctrina comparada y consistente con el espíritu del Decreto 1377 de 2013, es el de minimización: tratar solo los datos estrictamente necesarios para el propósito perseguido. En IA pública esto significa que no todos los datos disponibles deben usarse para entrenar un modelo, aunque estén autorizados. Un sistema de priorización de citas médicas, por ejemplo, no requiere la historia clínica completa del paciente: basta con un subconjunto anonimizado de variables estrictamente necesarias. Diseñar el modelo desde el dato mínimo reduce el riesgo jurídico y, de paso, mejora la calidad de la decisión automatizada al disminuir el ruido en los datos.

3. Implicaciones prácticas para entidades públicas

• Registro obligatorio — todas las autoridades públicas que actúen como responsables o encargados de datos personales deben inscribir sus bases en el Registro Nacional de Bases de Datos (RNBD) ante la SIC.
• Análisis de impacto — toda automatización de la atención al ciudadano debe someterse a un análisis de impacto que verifique términos, escalado humano, trazabilidad y cumplimiento de la Ley 1755 de 2015.
• Contratación blindada — los contratos con proveedores de IA deben incluir cláusulas de confidencialidad, prohibición de uso de datos para entrenamiento ajeno, derechos de auditoría y devolución o destrucción de datos al finalizar el contrato.
• Canal ARCO operativo — los derechos ARCO deben tener un canal habilitado y un término de respuesta efectivo (10 días hábiles para consultas, 15 para reclamos, según el Decreto 1377 de 2013). La automatización no exime de este deber.
• Exposición sancionatoria — la Superintendencia de Industria y Comercio puede imponer multas hasta 2.000 salarios mínimos legales mensuales vigentes por incumplimiento de la Ley 1581. La gobernanza bien documentada es la primera línea de defensa.
• Confianza ciudadana — una entidad pública que salga en los medios por un incidente de datos sufre un daño reputacional difícil de reparar y que suele prolongarse más allá de cualquier sanción pecuniaria.

4. Recomendaciones y buenas prácticas

• Mapeo de datos previo — antes de implementar cualquier IA, identifique qué datos la alimentan, con qué autorización cuentan y para qué finalidad. Si la finalidad cambió, solicite nueva autorización.
• Política de derechos ARCO — establezca flujos formales para que el ciudadano pueda ejercer sus derechos ARCO sobre los datos usados por sistemas automatizados. La transparencia es la mejor defensa jurídica.
• Cláusulas contractuales — incluya en los contratos con proveedores de IA prohibición expresa de usar datos de la entidad para entrenar modelos ajenos, así como obligación de auditoría periódica.
• Bitácora de trazabilidad — lleve un registro de cada decisión automatizada relevante: datos de entrada, modelo usado, funcionario responsable, fecha. Es la prueba que desactiva reclamos y tutelas.
• Capacitación — capacite a los servidores que operan sistemas automatizados en sus obligaciones bajo la Ley 1581. El error humano sigue siendo la primera fuente de incidentes de datos.