¿Qué es la regulación de IA en Colombia?
Regulación de la IA: países y regiones
Colombia aún no cuenta con un AI Act único aprobado. A 4 de junio de 2026, la IA se rige principalmente a través de las normas vigentes sobre protección de datos, consumidores, transparencia y sector público, mientras el Congreso sigue tramitando el Proyecto de Ley 043/2025 Senado y 324/2025 Cámara, un marco integral propuesto. De aprobarse, ese proyecto regularía la IA a lo largo de todo su ciclo de vida, clasificaría los sistemas por riesgo, exigiría evaluación de impacto para usos de alto riesgo, designaría a MinCiencias como autoridad nacional de IA y preservaría las competencias de los reguladores sectoriales.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En la práctica, Colombia avanza en dos frentes. El primero ya está activo: las leyes generales y la orientación oficial se aplican hoy, especialmente en materia de datos personales, trato al consumidor, transparencia del Estado y uso de sistemas automatizados por organismos públicos. Esto significa que las organizaciones en Colombia no operan en un vacío legal por el simple hecho de que aún no se haya aprobado una ley específica de IA.
El segundo frente es legislativo. La principal propuesta integral es el Proyecto de Ley 043/2025 Senado y 324/2025 Cámara. El expediente oficial de la Cámara aún lo registraba como "Tramite en Comision" el 4 de junio de 2026, por lo que todavía no es ley vinculante. Aun así, es la señal más clara de hacia dónde se dirige Colombia.
De aprobarse, la propuesta crearía un marco amplio basado en riesgos. Abarcaría a desarrolladores, proveedores, implementadores y usuarios, incluidos algunos sistemas extranjeros que generen efectos en Colombia o que utilicen datos o infraestructura colombianos.
Por qué importa
Importa porque el debate sobre IA en Colombia ya no se limita a la política de innovación. Ahora incide en la contratación pública, el diseño de productos, la gobernanza de datos, el servicio al cliente, los cambios en el lugar de trabajo, la transparencia del sector público y las operaciones transfronterizas.
Para las organizaciones, la pregunta práctica no es solo "¿Ya existe una ley de IA?", sino también "¿Qué normas se aplican ya a la forma en que entrenamos, adquirimos, desplegamos y supervisamos la IA en Colombia?". Una empresa que usa datos personales para entrenar modelos, un centro de contacto que automatiza interacciones con clientes, un organismo público que emplea herramientas de toma de decisiones automatizada, o un empleador que introduce IA en la gestión de su plantilla: cada uno enfrenta hoy una combinación distinta de obligaciones vinculantes, y un conjunto aún más amplio de obligaciones probables si el proyecto se aprueba.
El marco propuesto también importa porque está basado en el ciclo de vida y en el riesgo. Eso significa que el cumplimiento no recaería únicamente en el desarrollador original, sino también en vendedores, implementadores y otros actores cuyas decisiones determinan cómo se usa realmente el sistema en Colombia.
Cómo funciona
Qué es vinculante ahora y qué sigue siendo política o propuesta
Colombia aún no cuenta con un estatuto integral de IA en vigor. Lo que ya es vinculante proviene de regímenes generales e instrumentos oficiales que se aplican hoy a la IA. Los más importantes son la ley de datos personales, la ley del consumidor, la ley de información pública y los principios constitucionales para el uso estatal de sistemas automatizados.
El ámbito de la protección de datos es especialmente relevante. La Superintendencia de Industria y Comercio, SIC, señala que las normas colombianas sobre datos personales se aplican a los datos personales utilizados para desarrollar, probar, monitorear o desplegar IA. Su circular de 2024 trata la IA como plenamente integrada en el régimen de habeas data vigente, e impulsa la responsabilidad, la privacidad desde el diseño y por defecto, la gestión de riesgos, los controles de seguridad y los estudios de impacto en la privacidad cuando es probable que exista un tratamiento de alto riesgo.
En el ámbito estatal, la Corte Constitucional ya ha convertido la transparencia algorítmica en una cuestión constitucional. En la Sentencia T-067 de 2025, la Corte trató la transparencia algorítmica como parte del derecho de acceso a la información pública. Tras esa decisión, la Procuraduría y la Defensoría emitieron la Directiva Conjunta 007 de 2025, que establece estándares mínimos de transparencia para los sistemas algorítmicos del Estado y exige informes anuales.
Junto a esas normas vinculantes, Colombia cuenta ahora con una política nacional de IA. El CONPES 4144, aprobado en febrero de 2025, es una hoja de ruta de política pública hasta 2030, no una ley del Congreso. Sigue siendo importante porque organiza la agenda pública en torno a la ética y la gobernanza, los datos y la infraestructura, la investigación y la innovación, el talento digital, la mitigación de riesgos, y el uso y la adopción de la IA. El proyecto de ley posterior está redactado para operar en coherencia con esa política.
Qué tan amplio es el proyecto de ley propuesto
El texto de comisión del Proyecto de Ley 043/2025 Senado y 324/2025 Cámara es deliberadamente amplio. No se limita a un sector, un tipo de modelo ni una modalidad de contratación. Se aplicaría a actores públicos y privados involucrados en cualquier etapa del ciclo de vida de la IA, incluidos el diseño, el desarrollo, el entrenamiento, las pruebas, la validación, el despliegue, la operación, el monitoreo, el mantenimiento, la comercialización, la importación, la distribución y el uso.
Su lógica territorial también es amplia. El borrador alcanza a los sistemas desarrollados, entrenados, implementados o utilizados físicamente en Colombia. También alcanza a los sistemas que generan efectos jurídicos, económicos, sociales o ambientales en Colombia, a los sistemas que utilizan insumos provenientes de personas, entidades, obras o información protegida de origen colombiano, y a los sistemas que dependen de insumos esenciales suministrados desde Colombia o por actores sujetos al derecho colombiano.
Esto es relevante para proveedores extranjeros y multinacionales. Según la redacción actual del proyecto, la exposición en Colombia dependería menos de dónde tenga su sede el proveedor del modelo y más de si el sistema afecta a personas, datos, mercados o infraestructura en Colombia.
La estructura basada en riesgos
El marco propuesto es explícitamente basado en riesgos. En términos generales, establece cuatro niveles.
El primer nivel es el riesgo crítico. Estos sistemas no están permitidos para el despliegue ordinario, dado su potencial de entrar en conflicto con derechos fundamentales, la dignidad humana o el interés público superior. El texto de comisión ofrece ejemplos como la manipulación subliminal capaz de causar daños graves y verificables, la puntuación social de la ciudadanía por parte de autoridades públicas, y la identificación biométrica remota en tiempo real en espacios públicos por parte de autoridades, salvo en casos urgentes estrictamente definidos y autorizados judicialmente.
El segundo nivel es el alto riesgo. Son sistemas cuya naturaleza, contexto y finalidad prevista generan una alta probabilidad de efectos adversos sobre la salud, la seguridad o los derechos fundamentales. El proyecto señala componentes de seguridad en productos regulados, infraestructura crítica, acceso y evaluación en educación, empleo y gestión de trabajadores, acceso a prestaciones públicas esenciales, usos policiales que interfieran con derechos, justicia, procesos democráticos y ciertos usos biométricos.
El tercer nivel no es plenamente de "bajo riesgo", sino de sistemas con obligaciones específicas de transparencia. Incluye sistemas de IA que interactúan directamente con personas y sistemas que generan o manipulan imágenes, audio o video de apariencia auténtica, incluido el contenido de tipo deepfake. El borrador exige una divulgación clara para que los usuarios sepan que están interactuando con IA o con material generado sintéticamente.
El cuarto nivel es el riesgo mínimo o nulo. Estos sistemas quedarían principalmente bajo códigos de conducta voluntarios y buenas prácticas.
Esta estructura es importante, pero no está completamente fijada. El borrador establece que la autoridad nacional definiría y actualizaría posteriormente una lista más detallada de usos de alto riesgo mediante actos administrativos, tras consulta pública. Así, el proyecto crea la arquitectura, mientras que parte del detalle operativo vendría después.
Las principales obligaciones que crearía el proyecto
El elemento central para los sistemas de alto riesgo es una evaluación de impacto antes de la implementación y tras cualquier modificación sustancial. En la práctica, se trata de una evaluación de impacto de IA con otro nombre. El borrador establece que debe cubrir, como mínimo, la finalidad del sistema, los riesgos potenciales incluida la discriminación algorítmica, las medidas de mitigación, la calidad y representatividad de los datos, el rendimiento y la precisión, la transparencia y la explicabilidad, y la supervisión humana con monitoreo continuo. Debe revisarse periódicamente, al menos una vez al año, o antes si el sistema cambia de forma sustancial.
El proyecto también impone responsabilidad basada en roles. Distingue entre desarrolladores, proveedores, implementadores y usuarios, y establece que las obligaciones deben reflejar el rol de cada actor y su grado de control sobre el riesgo. Esto importa porque la responsabilidad y la gobernanza no se detendrían en el creador del modelo. Un implementador que configura y utiliza un sistema en un contexto sensible podría asumir responsabilidades propias de gran alcance.
La administración pública recibe un tratamiento especial. El borrador establece que las decisiones asistidas por IA utilizadas por organismos públicos deben ser claras, comprensibles y susceptibles de revisión. Los funcionarios y las autoridades públicas seguirían siendo responsables de sus actos. Las entidades públicas también necesitarían mecanismos de gobernanza que incluyan supervisión, auditabilidad y mitigación de riesgos, y los sistemas deberían someterse a una evaluación de impacto antes de su uso en el sector público.
El proyecto también abarca los cambios en el lugar de trabajo. Exige al gobierno que defina orientaciones de "transición justa" sobre IA y trabajo, y obligaría a los empleadores que introduzcan IA capaz de desplazar o transformar sustancialmente funciones existentes a adoptar planes de recapacitación o reubicación para los trabajadores afectados.
Quién estaría a cargo
El proyecto designaría al Ministerio de Ciencias, Tecnología e Innovación, MinCiencias, como autoridad nacional de IA. MinCiencias orientaría la implementación de la ley, coordinaría la gobernanza de la IA, emitiría lineamientos técnicos, estándares y buenas prácticas, y alinearía el marco con el CONPES 4144 y sus actualizaciones posteriores.
La propuesta también crea capas institucionales en torno a MinCiencias. Una es un Comité de Coordinación Intersectorial para la IA, que reuniría al DNP, los ministerios de Educación, TIC, Comercio, Cultura, Relaciones Exteriores y Trabajo, más representantes de la academia, el sector productivo y la sociedad civil. Otra es un Consejo Asesor Nacional de Expertos en IA dentro del sistema nacional de ciencia, tecnología e innovación.
Para la experimentación regulatoria, el borrador crea un Comité Técnico Nacional para entornos de pruebas de IA, coordinado por MinCiencias. Los entornos de pruebas serían ambientes de prueba supervisados para experimentar con IA de alto impacto bajo condiciones jurídicas y técnicas definidas. Cabe destacar que el texto de comisión señala que los sistemas de alto riesgo deben probarse en entornos de pruebas, bajo supervisión ética y técnica, en lugar de considerarse automáticamente prohibidos.
Se trata de un diseño de gobernanza comparativamente colaborativo. No crea un único superregulador de propósito general, sino que combina una autoridad técnica central con coordinación intersectorial y deja espacio para que los organismos sectoriales existentes sigan actuando dentro de sus propios mandatos legales.
Aplicación, sanciones e incertidumbre a corto plazo
La propuesta mantiene la aplicación distribuida. La SIC seguiría ejerciendo sus funciones de inspección, vigilancia y control dentro de sus competencias vigentes en materia de datos personales, protección al consumidor y competencia. El Ministerio de Trabajo supervisaría las obligaciones de transición laboral vinculadas a la automatización en el lugar de trabajo. Si el asunto involucra a una autoridad pública, el texto de comisión remite el caso a la Procuraduría en lugar de aplicar el artículo de sanciones para el sector privado del proyecto.
Para los actores privados, el proyecto propone una secuencia gradual. Comienza con requerimientos de mejora y amonestaciones escritas, luego avanza hacia multas de hasta 3.000 salarios mínimos legales mensuales, suspensión de actividades por hasta 24 meses, y cierre temporal o definitivo de la operación de IA, incluido el bloqueo del acceso en Colombia cuando los riesgos sean graves, deliberados o irreversibles. El procedimiento contempla advertencia, asesoría técnica y mejora progresiva antes de imponer sanciones severas, salvo que exista riesgo grave o daño ya causado.
También existe una incertidumbre real en la redacción. El proyecto sigue pendiente. Aspectos mecánicos importantes quedan diferidos a una regulación posterior dentro de los 24 meses siguientes a su promulgación. Además, el texto de comisión no es del todo coherente: el capítulo de clasificación habla principalmente de "riesgo crítico", mientras que una cláusula de aplicación aún se refiere a "riesgo inaceptable". Este tipo de inconsistencia terminológica es normal en la redacción legislativa en curso, pero es un recordatorio de que la arquitectura final puede seguir cambiando.
Ejemplos
Un centro de contacto colombiano o dirigido a Colombia que desee usar llamadas generadas por IA ya se encuentra dentro de un perímetro de cumplimiento activo. La SIC ha emitido conceptos sobre IA en servicios al consumidor y actividades comerciales que enfatizan la transparencia, la privacidad, la seguridad y la protección de la infancia, junto con el régimen general de protección de datos. Incluso antes de que se apruebe el proyecto integral, este tipo de despliegue requiere controles jurídicos y de gobernanza documentados.
Un organismo público que utilice un sistema algorítmico que afecte a la ciudadanía no puede tratar el sistema como una caja negra interna. Tras la Sentencia T-067 de 2025, la Directiva Conjunta 007 de 2025 exige estándares mínimos de transparencia algorítmica para los sistemas estatales cubiertos, incluidas obligaciones de transparencia activa y pasiva e informes anuales. El proyecto posterior añadiría otra capa al exigir auditabilidad, gobernanza y evaluación de impacto para los usos públicos de mayor riesgo.
Un empleador que introduzca IA capaz de transformar sustancialmente puestos de trabajo enfrentaría una tarea de gobernanza más exigente bajo el texto actual del proyecto que una simple implantación de software. La propuesta establece que los trabajadores afectados deben estar cubiertos por planes de recapacitación o reubicación, y el CONPES 4144 ya incluye una línea de acción nacional para monitorear el desplazamiento laboral y proteger los derechos de los trabajadores a medida que avanza la adopción de la IA.
Malentendidos frecuentes
Mito: Colombia ya cuenta con un AI Act integral. Corrección: no es así. El principal marco integral sigue siendo un proyecto de ley en el Congreso y aún figuraba en comisión el 4 de junio de 2026.
Mito: el CONPES 4144 equivale a una ley de IA. Corrección: es una hoja de ruta de política pública nacional, no un estatuto. Ayuda a organizar presupuestos, instituciones y prioridades, pero no reemplaza las obligaciones jurídicas vinculantes.
Mito: solo los desarrolladores de IA estarían cubiertos. Corrección: la propuesta está basada en el ciclo de vida y en roles. Alcanza a desarrolladores, proveedores, implementadores y usuarios, según el papel que desempeñe cada uno.
Mito: si un sistema no es de alto riesgo, no aplica nada. Corrección: algunos sistemas siguen generando obligaciones de transparencia, y las normas vigentes sobre protección de datos, consumidores y transparencia pública pueden aplicarse independientemente de la clasificación formal de riesgo.
Mito: el proyecto reemplazaría a los reguladores existentes con un nuevo organismo de vigilancia de IA. Corrección: MinCiencias coordinaría el marco, pero organismos como la SIC y el Ministerio de Trabajo conservarían sus propias competencias sectoriales.
Riesgos y límites
El límite más importante es el estatus jurídico. El marco amplio analizado aquí sigue siendo derecho propuesto, no derecho vigente. Puede modificarse en comisión, en debates posteriores, durante la conciliación o mediante normas de implementación si se aprueba. Debe tratarse como la dirección probable del proceso, no como texto definitivo.
El segundo límite es la superposición institucional. La gobernanza de la IA en Colombia no es un único instrumento con una única función. El CONPES 4144 es política pública. La Circular SIC 002/2024 trata sobre datos personales en IA. La Directiva Conjunta 007/2025 aborda la transparencia de los sistemas algorítmicos del Estado. La guía ética de MinTIC es orientación para el sector público. El proyecto se superpondría a estos instrumentos, no los eliminaría.
El tercer límite es el detalle delegado. El proyecto dejaría puntos operativos importantes a una regulación posterior, incluidas las normas técnicas y operativas detalladas y la lista actualizada de usos de alto riesgo. Eso significa que las organizaciones deberán seguir tanto el Congreso como la reglamentación ejecutiva posterior.
También existe cierta incertidumbre en la redacción del texto de comisión actual. El capítulo central de clasificación utiliza "riesgo crítico", mientras que una cláusula de aplicación sigue usando "riesgo inaceptable". Es una señal de que el texto sigue vivo y puede corregirse, o modificarse de forma más sustancial, antes de su promulgación.
Por último, este artículo explica el marco a un nivel práctico. No constituye asesoramiento jurídico y no debe sustituir a una revisión sectorial específica cuando la IA se cruza con el empleo, la salud, las finanzas, la contratación pública, la seguridad nacional o la actividad regulada de consumo.
Qué hacer a continuación
Comience con un inventario. Mapee todos los sistemas de IA que su organización desarrolla, adquiere, personaliza o utiliza en Colombia, y registre en qué etapa del ciclo de vida se encuentran: el entrenamiento, el despliegue, la operación, el monitoreo y la interacción con usuarios son relevantes bajo la lógica del proyecto.
Luego realice una clasificación de riesgos. Incluso antes de que se apruebe el proyecto, clasifique los sistemas según las categorías del borrador y las normas vigentes. Preste especial atención a los sistemas que incidan en el empleo, los servicios públicos, la justicia, la biometría, la educación, los productos de seguridad crítica y las prestaciones esenciales.
Si se utilizan datos personales, alinéese ahora con el modelo de responsabilidad de la SIC. Incorpore la privacidad desde el diseño en la contratación, la evaluación de proveedores, el desarrollo de modelos y el despliegue. Cuando el uso sea susceptible de generar un riesgo grave para los titulares de datos, documente un estudio de impacto en la privacidad en lugar de esperar a que surja una cuestión de aplicación.
Si vende a entidades públicas, las suministra o trabaja con ellas, prepárese para la transparencia y la auditabilidad. Los compradores del sector público en Colombia necesitan cada vez más explicabilidad, documentación, procesos de respuesta a solicitudes de información y evidencia de supervisión humana.
Si sus planes de IA pueden transformar puestos de trabajo, trate la transición laboral como una cuestión de gobernanza y no solo de gestión de personas. Establezca criterios internos para determinar cuándo un puesto ha sido sustancialmente transformado y planifique con anticipación los pasos de recapacitación, reubicación y consulta.
Por último, monitoree el proceso normativo real. Para este tema, la lista de seguimiento inteligente incluye el Congreso, MinCiencias, MinTIC, la SIC, la Procuraduría, la Defensoría y la Corte Constitucional. En Colombia, el panorama de cumplimiento vigente ya se está configurando antes de que el proyecto integral se convierta en ley.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Colombia ya tiene un AI Act en vigor?
No existe un acto integral único. Las normas vinculantes clave provienen hoy de regímenes generales como la protección de datos, la ley del consumidor, la información pública y el derecho constitucional, mientras el proyecto de ley integral de IA sigue pendiente.
¿Cuál es el principal proyecto de ley integral de IA en Colombia?
Es el Proyecto de Ley 043/2025 Senado y 324/2025 Cámara, titulado "Por medio de la cual se regula la Inteligencia Artificial en Colombia para garantizar su desarrollo etico, responsable, competitivo e innovador, y se dictan otras disposiciones".
¿El proyecto propuesto cubriría a empresas extranjeras?
En muchos casos, sí. El borrador alcanza a los sistemas que generan efectos en Colombia, utilizan insumos colombianos o dependen de insumos esenciales suministrados desde Colombia, aunque el proveedor no tenga su sede allí.
¿Qué sistemas enfrentarían las obligaciones más exigentes bajo la propuesta?
Los sistemas de alto riesgo. Estarían sujetos a evaluación de impacto, gobernanza reforzada, supervisión humana y, según el texto de comisión, pruebas en entornos de pruebas regulatorios. Los sistemas de riesgo crítico no están permitidos para el despliegue ordinario.
¿Los chatbots y los deepfakes están cubiertos?
Sí. El borrador exige divulgación cuando las personas interactúan directamente con IA, y las imágenes, el audio o el video sintéticos de apariencia auténtica deben estar claramente etiquetados, con excepciones limitadas vinculadas a derechos fundamentales o al interés público.
¿La evaluación de impacto de IA ya es obligatoria en Colombia?
No como obligación universal bajo una ley general de IA. Bajo el proyecto, se aplicaría a los sistemas de alto riesgo si se aprueba. Por separado, la circular de la SIC de 2024 ya prevé estudios de impacto en la privacidad cuando el tratamiento de datos con IA sea susceptible de generar un alto riesgo para los titulares de datos.
¿Quién supervisaría la IA bajo la ley propuesta?
MinCiencias actuaría como autoridad nacional de IA y coordinaría el marco, pero la aplicación sectorial seguiría siendo distribuida. La SIC, las autoridades laborales y otros organismos competentes conservarían sus propias competencias.
¿El CONPES 4144 es suficiente por sí solo para el cumplimiento?
No. Es importante porque establece la hoja de ruta de política pública de Colombia hasta 2030, pero no reemplaza las obligaciones vinculantes derivadas de estatutos, circulares, decisiones judiciales y normas sectoriales.