ListoApp

Guía · Cumplimiento

IA y Habeas Data: qué exige la Ley 1581 si vas a usar datos de clientes

Si tu asistente de IA lee conversaciones de clientes, estás tratando datos personales. Esto es lo mínimo que la ley colombiana te exige — en lenguaje entendible. No es asesoría jurídica, es la lista con la que nosotros trabajamos.

Escrito por el equipo de ListoApp · Agosto de 2026 · 6 min de lectura

Este tema espanta a mucha gente y no debería. La Ley 1581 de 2012 no prohíbe usar IA con datos de clientes: exige que lo hagas de forma informada y trazable. La lista es corta.

1. ¿Estás tratando datos personales?

Si puedes identificar a una persona con lo que tienes —nombre, teléfono, correo, cédula, historial de pedidos asociado a alguien— sí. Y una conversación de WhatsApp es, por definición, un dato personal: el número identifica a su titular.

2. Autorización previa, expresa e informada

Tres palabras que importan:

• Previa: antes de tratar el dato, no después.
• Expresa: una acción del titular, no un silencio asumido.
• Informada: el titular sabe para qué vas a usarlo.

Debes poder probar esa autorización. Guardar el registro de cuándo y cómo se otorgó es parte de la obligación.

3. Política de tratamiento de datos

Un documento público, en tu sitio web, que diga como mínimo: quién es el responsable y cómo contactarlo, qué datos recolectas, para qué, cuáles son los derechos del titular y el procedimiento para ejercerlos. Nuestra propia política está aquí si quieres verla como referencia de estructura.

4. Derechos ARCO, con un canal que funcione

Acceso, rectificación, cancelación y oposición. No basta con mencionarlos: tiene que existir un correo o formulario que alguien realmente revise, con plazos:

• Consultas: hasta 10 días hábiles.
• Reclamos: hasta 15 días hábiles.

El titular puede además quejarse ante la Superintendencia de Industria y Comercio (SIC).

5. La parte específica de la IA

Aquí es donde la mayoría se equivoca. Tres preguntas que debes poder responder:

1. ¿A dónde viajan los datos? Si usas un modelo de un tercero, los datos salen de tu infraestructura. Debe estar informado en tu política.
2. ¿Se usan para entrenar? Revisa las condiciones del proveedor. Hay planes empresariales que excluyen el entrenamiento con tus datos; los gratuitos muchas veces no.
3. ¿Estás enviando más de lo necesario? El principio de finalidad exige mandar solo lo indispensable. No hay razón para enviar la cédula de un cliente a un modelo que solo debe responder por un horario de entrega.

Nuestra regla en los proyectos que construimos: el conocimiento del negocio vive en la infraestructura del cliente y no se usa para entrenar modelos de terceros. Al terminar el contrato, se entrega o se elimina según su instrucción.

6. IA responsable: CONPES 3975

Es la política nacional de transformación digital e inteligencia artificial. No es una norma sancionatoria como la 1581, pero fija principios —transparencia, equidad, no discriminación— y pesa cuando hay contratación pública de por medio. Vale la pena alinearse.

Lista de verificación

• Política de tratamiento publicada y accesible desde el pie de página.
• Mensaje inicial que informa la finalidad y enlaza la política.
• Registro de las autorizaciones otorgadas.
• Correo activo para derechos ARCO y responsable asignado.
• Contrato o condiciones con el proveedor de IA revisados en materia de entrenamiento y confidencialidad.
• Minimización: solo se envía al modelo lo necesario.

Esto no reemplaza el concepto de un abogado, y si tratas datos sensibles o de menores, búscalo. Pero con esta lista cubres lo que le falta a la mayoría de las empresas pequeñas.

Preguntas frecuentes

¿La Ley 1581 aplica si uso IA con datos de clientes?

Sí. La ley regula el tratamiento de datos personales sin importar la tecnología. Si el asistente lee, almacena o procesa datos de una persona identificable, aplica.

¿Necesito autorización si el cliente me escribe primero por WhatsApp?

Necesitas informar la finalidad y obtener autorización para usos distintos a responder esa consulta. Un mensaje inicial con el enlace a la política de privacidad y la finalidad del tratamiento es la práctica mínima.

¿Puedo usar ChatGPT o modelos de terceros con datos de mis clientes?

Puedes, pero debes revisar las condiciones del proveedor sobre uso de datos para entrenamiento, informarlo en tu política de privacidad y evitar enviar datos sensibles que no sean necesarios para la finalidad.