En Colombia, la inteligencia artificial ya tiene un marco regulatorio que las empresas deben cumplir. No es una ley única de IA (el proyecto de ley del Gobierno se archivó en 2026), sino un conjunto de normas que, combinadas, establecen obligaciones claras para cualquier empresa que use IA para procesar datos de clientes, empleados o ciudadanos.
Este artículo explica qué normas aplican, qué obligaciones tiene su empresa y cómo OpenClaw on-premise facilita el cumplimiento sin sacrificar productividad.
El marco regulatorio actual de IA en Colombia (febrero 2026)
Contrario a lo que algunos medios sugieren, Colombia ya tiene regulación que aplica al uso de IA en empresas. No es una ley única con el nombre "Ley de IA", pero las normas existentes son vinculantes y de cumplimiento obligatorio.
Ley 1581 de 2012 — Protección de Datos Personales
Es la ley marco de protección de datos en Colombia. Regula cómo las empresas recopilan, almacenan, procesan y comparten datos personales. La Superintendencia de Industria y Comercio (SIC), en su Circular Externa 002 del 21 de agosto de 2024, señala que las Leyes 1266 de 2008 y 1581 de 2012 son neutrales temática y tecnológicamente y se aplican a todo tratamiento de datos personales, incluido el que se hace para desarrollar, probar y operar sistemas de IA.
Esto significa que si su sistema de IA procesa nombres, correos, cédulas, historiales de compra, datos de salud o cualquier dato que identifique a una persona, debe cumplir con la Ley 1581. Esto incluye:
- Tener autorización explícita del titular de los datos para ese tratamiento específico.
- Informar la finalidad del tratamiento.
- Garantizar la seguridad de los datos.
- Permitir al titular ejercer sus derechos de acceso, corrección y supresión.
- Designar un responsable y un encargado del tratamiento.
Circular SIC 002/2024 — Lineamientos de IA y Datos Personales
Emitida el 21 de agosto de 2024 por la SIC, es la norma más concreta actualmente vigente que regula el uso de datos personales en sistemas de IA en Colombia. Es de cumplimiento obligatorio.
La Circular establece que todo tratamiento de datos personales en sistemas de IA debe cumplir cuatro criterios:
- Idoneidad: el tratamiento debe ser adecuado para la finalidad declarada.
- Necesidad: solo se deben tratar los datos estrictamente necesarios.
- Razonabilidad: el tratamiento debe ser proporcionado al objetivo.
- Proporcionalidad estricta: los beneficios del tratamiento deben superar los riesgos para los titulares.
Además, establece el principio de responsabilidad demostrada: su empresa debe poder demostrar que cumple con la normativa. No basta con declarar cumplimiento — debe tener evidencia documentada.
CONPES 4144 (febrero 2025) — Política Nacional de IA
El CONPES 4144, aprobado el 14 de febrero de 2025, es la Política Nacional de Inteligencia Artificial de Colombia. Da continuidad al CONPES 3975 de 2019 (Política Nacional para la Transformación Digital e Inteligencia Artificial), cuyo plan de acción culminó en 2022. No es una ley del Congreso: es un documento de política que compromete a las entidades del Gobierno nacional que lo ejecutan.
Puntos clave del CONPES 4144:
- Horizonte hasta 2030, con un costo estimado de $479.273 millones COP.
- 106 acciones en seis ejes: ética y gobernanza; datos e infraestructura; investigación, desarrollo e innovación; capacidades y talento digital; mitigación de riesgos; y uso y adopción de la IA.
- Promueve la IA responsable, ética y con supervisión humana.
- Impulsa la soberanía tecnológica — que Colombia no dependa exclusivamente de proveedores extranjeros de IA.
Proyecto de Ley de IA (PL 043/2025 Senado, archivado)
Colombia ha intentado aprobar una ley específica de IA. El primer intento (PL 442/2025) fue archivado. El gobierno radicó un nuevo proyecto (PL 043/2025 Senado / 324/2025 Cámara) en la legislatura 2025-2026, con mensaje de urgencia presidencial radicado en septiembre de 2025. La ponencia para primer debate se presentó en diciembre de 2025 ante las comisiones sextas.
A octubre de 2026, este proyecto no se convirtió en ley: la ficha de la Cámara de Representantes lo registra como archivado por el artículo 190 de la Ley 5.ª de 1992, al cierre de la legislatura 2025-2026. Proponía clasificar los sistemas de IA por niveles de riesgo (similar al EU AI Act) y designar a MinCiencias como autoridad nacional de IA. En julio de 2026 un grupo de congresistas radicó en la Cámara un nuevo proyecto de ley de IA.
Aunque no llegó a ser ley, sirve de referencia para prepararse, porque los principios que contenía (transparencia, auditabilidad, control humano) coinciden con las mejores prácticas que ya exige la Circular SIC 002/2024.
¿Qué obligaciones tiene su empresa hoy?
Si su empresa usa IA para procesar datos de personas (clientes, empleados, proveedores), estas son sus obligaciones actuales:
- Autorización: tener autorización documentada del titular para el tratamiento de sus datos en sistemas de IA.
- Finalidad: informar claramente para qué se usan los datos y no usarlos para fines no declarados.
- Minimización: solo procesar los datos estrictamente necesarios (criterio de necesidad de la Circular SIC).
- Seguridad: garantizar que los datos estén protegidos contra accesos no autorizados, filtraciones o pérdidas.
- Trazabilidad: registrar qué datos se procesan, cuándo, por qué y qué decisiones se tomaron con base en ellos.
- Responsabilidad demostrada: poder demostrar ante la SIC que cumple con todo lo anterior, con evidencia documentada.
Cómo OpenClaw on-premise facilita el cumplimiento
OpenClaw on-premise no es solo una opción técnica — es una decisión de compliance. Veamos cómo cada componente del stack ayuda a cumplir con el marco normativo colombiano:
Datos bajo su control
Con OpenClaw instalado en su servidor (en su oficina o en un data center colombiano) y con modelos que corren en su propia infraestructura, los datos de clientes y empleados no tienen que cruzar fronteras. Si usa modelos externos, lo que el agente les envía sale de su red: defina qué datos pueden llegar a un modelo externo y cuáles no. Controlar dónde se procesan los datos facilita el cumplimiento de la Ley 1581 y de la Circular SIC.
Auditabilidad completa
OpenClaw registra cada acción del agente: qué documento leyó, qué datos procesó, qué decisión tomó, cuándo y por qué. Ese registro, bien configurado y guardado fuera del alcance del agente, sirve como evidencia para la "responsabilidad demostrada" que pide la Circular SIC 002/2024.
Control humano configurable
El agente OpenClaw opera bajo las reglas que usted define. Puede configurar niveles de autonomía: desde "sugiere pero no ejecuta" hasta "ejecuta automáticamente con registro". Para procesos de alto riesgo (decisiones financieras, legales, de salud), puede exigir aprobación humana antes de cada acción.
Minimización de datos por diseño
El agente accede solo a los documentos que usted le permita, con modelos externos o en su propia infraestructura. Puede segmentar el acceso por área, por proyecto o por nivel de confidencialidad. El agente de ventas no ve datos de recursos humanos. El agente de compliance no ve datos financieros de clientes. Esto ayuda a cumplir el criterio de necesidad de la Circular SIC.
Independencia de proveedores extranjeros
Cuando usa ChatGPT o Copilot, sus datos se procesan en la nube del proveedor, que puede estar fuera del país. Si mañana OpenAI cambia su política de privacidad, sube los precios o simplemente tiene una filtración de datos, su empresa está expuesta. Con OpenClaw, que es de código abierto, usted decide dónde corre el agente, qué modelo usa y qué datos le llegan.
Sectores con mayor urgencia de cumplimiento
Sector financiero (SFC)
Bancos, aseguradoras, fondos de inversión y entidades bajo la Superintendencia Financiera tienen requisitos adicionales de auditoría, reporte y control sobre sistemas automatizados de decisión.
Sector salud
Los datos de salud tienen protección reforzada bajo la Ley 1581. Un agente IA que procese historias clínicas, resultados de laboratorio o datos de pacientes debe operar en un entorno controlado. OpenClaw on-premise en un data center certificado, con modelos en su propia infraestructura, ayuda a cumplir estos requisitos.
Manufactura y logística
Aunque no tienen la misma presión regulatoria, las empresas de manufactura manejan datos de proveedores, contratos y propiedad intelectual que son activos estratégicos. Con OpenClaw on-premise y modelos en su propia infraestructura, usted controla qué información sale de la empresa.
Prepararse para una futura ley de IA
Colombia no tiene hoy una ley específica de IA. El PL 043/2025, archivado en 2026, proponía:
- Clasificación de sistemas de IA por niveles de riesgo.
- Requisitos adicionales de transparencia y auditoría para sistemas de alto riesgo.
- Una autoridad nacional de IA, en cabeza de MinCiencias.
Las empresas que ya operan con OpenClaw on-premise — con trazabilidad, control humano y datos en Colombia — estarán mejor preparadas si una ley futura incorpora requisitos como estos.
Conclusión: cumplimiento no es opcional
El marco regulatorio de IA en Colombia ya existe y es vinculante. La Circular SIC 002/2024 es clara: si usa IA con datos personales, debe demostrar cumplimiento con criterios de idoneidad, necesidad, razonabilidad y proporcionalidad. La Ley 1581 exige control sobre dónde están y cómo se procesan los datos.
OpenClaw on-premise no es la única forma de cumplir, pero es una forma directa: datos en su servidor, agente auditable y control humano configurable.
¿Necesita ayuda para implementar OpenClaw en su empresa cumpliendo con la normativa colombiana? Appropia tiene más de 12 años implementando tecnología empresarial en sectores regulados, implementa OpenClaw desde febrero de 2026 y tiene docenas de agentes en producción para varios clientes.
Conozca el servicio de implementación OpenClaw en Colombia →