Proyecto de ley de IA en Colombia: qué exigiría a una empresa

Colombia todavía no tiene una ley general de inteligencia artificial, pero el Congreso estudia una. El proyecto de ley 025 de 2026 se radicó en la Cámara de Representantes el 21 de julio y en septiembre recibió ponencia para primer debate en la Comisión Sexta (ponencia). A la fecha de este artículo no encontramos registro de que se haya votado, y su texto puede cambiar en cada debate.

El proyecto retoma la propuesta que el Ministerio de Ciencia y el MinTIC presentaron en la legislatura anterior, que se archivó por no completar su trámite a tiempo. Y llega con dos referentes que ya existen: el CONPES 4144, aprobado el 14 de febrero de 2025, que fija la política nacional de IA hasta 2030, y los lineamientos de la SIC sobre el tratamiento de datos personales en sistemas de IA, expedidos en agosto de 2024.

Qué propone el texto para primer debate

Lo que sigue describe el texto que los ponentes proponen para el primer debate. El que se radicó en julio hablaba de «alto riesgo»; la ponencia lo cambió por «alto impacto».

El texto clasifica los sistemas de IA en cuatro niveles. En el extremo están los usos prohibidos, de riesgo inaceptable. Luego vienen los de alto impacto, que son los que pueden afectar de manera significativa derechos fundamentales, la seguridad, la integridad física, el acceso a oportunidades esenciales o la situación jurídica o económica de las personas. Después, los que tienen obligaciones específicas de transparencia, como los asistentes conversacionales y el contenido sintético realista. Y el resto, de riesgo mínimo, no tendría obligaciones específicas salvo que una autoridad decida otra cosa.

Para cualquier empresa, lo más relevante es la lista de usos de alto impacto. Incluye los sistemas usados de manera determinante para seleccionar, evaluar, contratar, promover, suspender o despedir personal; para evaluar crédito o seguros cuando el resultado afecta de forma significativa a una persona; para identificación biométrica con efectos relevantes, y para controlar componentes críticos de infraestructura cuya falla pueda poner en riesgo la vida o la seguridad. También cubre usos en salud, educación, subsidios, justicia y decisiones administrativas.

Hay una excepción importante: un sistema puramente auxiliar, que no influye de manera material en la decisión final, no sería de alto impacto, siempre que el responsable pueda demostrarlo con documentos.

Qué se le exigiría a un sistema de alto impacto

La lista es exigente. Habría que gestionar los riesgos de forma documentada, con una evaluación de impacto antes de implementar el sistema y ante cada cambio sustancial; verificar la calidad, la procedencia y los posibles sesgos de los datos, y mantener documentación técnica y registros suficientes para reconstruir las operaciones relevantes. También haría falta una supervisión humana con capacidad real de corregir, desconocer o suspender el sistema, medidas de precisión, robustez, ciberseguridad y no discriminación, información clara para usuarios y autoridades, monitoreo durante el uso con reporte de incidentes graves, y evidencia que permita rendir cuentas.

Esas obligaciones se repartirían entre quien desarrolla, quien provee y quien implementa, según el control real que cada uno tenga, y la reglamentación podría simplificar la documentación para las micro, pequeñas y medianas empresas.

Transparencia, sanciones y plazos

Los asistentes conversacionales deberían avisar que la persona habla con un sistema de IA, salvo que resulte evidente por el contexto, y el contenido sintético realista tendría que señalarse como tal.

Las sanciones irían por niveles. Las infracciones graves tendrían multas de hasta 1.500 salarios mínimos o hasta el 100 % del beneficio obtenido con la infracción, lo que resulte mayor. Las gravísimas, de hasta 3.000 salarios mínimos o el 150 % de ese beneficio, además de la posible suspensión o el cierre de la operación del sistema. Las prohibiciones regirían desde la promulgación, y las obligaciones de alto impacto, doce meses después, salvo que la Comisión Intersectorial de Inteligencia Artificial fije otro plazo.

Las posiciones en la mesa técnica

La ponencia resume la mesa técnica del 15 de septiembre, en la que participaron academia, gremios, sociedad civil y la Defensoría del Pueblo.

Quienes defienden el proyecto destacan que el enfoque por niveles de riesgo separa los usos ordinarios de los que exigen evaluación o prohibición, como planteó Yesenia Olaya, exministra de Ciencia, la cartera que impulsó la propuesta original. Un experto de la Universidad Militar Nueva Granada señaló como fortalezas la seguridad jurídica, el control humano y la transparencia, aunque pidió precisar qué autoridad vigila y sanciona. Y la Defensoría del Pueblo respaldó la regulación, pidiendo evaluaciones de impacto preventivas y auditorías independientes.

Las reservas también fueron claras. AmCham Colombia advirtió que el costo de cumplir puede ser manejable para las grandes empresas y prohibitivo para las pequeñas, y pidió reglas flexibles, proporcionales al riesgo y compatibles con las de otros países. La CCIT consideró desproporcionadas las cargas para un ecosistema todavía en formación y cuestionó el alcance extraterritorial del texto. Otros intervinientes del sector tecnológico advirtieron problemas de precisión en la clasificación de riesgos, una académica de la Universidad Externado cuestionó que se concentren en Minciencias el fomento, la financiación, la regulación y la supervisión, y varios pidieron distinguir mejor entre quien desarrolla, quien integra y quien usa un sistema.

Qué puede hacer una empresa desde ya

Sin esperar la ley, hay trabajo útil por hacer. El punto de partida es un inventario de los usos de IA: qué herramienta se usa, en qué proceso, en qué decisión interviene y con qué datos. Con ese inventario es fácil separar lo que decide de lo que solo asiste, y dejarlo documentado.

Gestión humana merece atención especial: si una herramienta filtra hojas de vida o evalúa desempeño, conviene asegurar revisión humana, registros y una vía para que la persona pueda controvertir el resultado. También vale la pena revisar el tratamiento de datos personales con los lineamientos de la SIC, que ya están vigentes, y pedirles a los proveedores documentación sobre la finalidad de sus herramientas, sus límites conocidos y el manejo de incidentes.

El texto puede cambiar, y la mesa técnica mostró desacuerdos sobre la arquitectura institucional y el alcance de las obligaciones. Pero por ahora sigue un enfoque por riesgo parecido al europeo: clasificar, documentar y mantener a una persona al mando. Prepararse no es un trámite. Es saber qué hace cada herramienta dentro de cada proceso.

Este artículo es informativo y no constituye asesoría jurídica.

Fuentes

• Cámara de Representantes: informe de ponencia para primer debate del proyecto de ley 025 de 2026, septiembre de 2026.
• Departamento Nacional de Planeación: CONPES 4144, política nacional de inteligencia artificial, nota del 16 de mayo de 2025; el CONPES se aprobó el 14 de febrero de 2025.
• Superintendencia de Industria y Comercio: Circular Externa 2 de 2024, lineamientos sobre datos personales en sistemas de IA, 21 de agosto de 2024.