Un marco que ya aplica a la IA
Colombia no tiene una ley que regule específicamente la inteligencia artificial. Lo que sí tiene, desde hace más de una década, es un conjunto de reglas que ya dicen cómo debe tratarse la información. Esas reglas definen quién es dueño de un dato, cuándo es confidencial, qué hay que hacer para protegerlo y quién responde si algo sale mal. No distinguen si quien procesa la información es un funcionario, un contratista o un modelo de lenguaje. Aplican igual.
Esa base cambia la pregunta que de verdad importa. Antes de preguntarse cuánto va a exigir una ley que todavía no existe, cualquier entidad debería preguntarse cuánto está incumpliendo ya, hoy, si empieza a usar IA sobre sus documentos sin haber resuelto lo básico.
Lo que falta por definir
El proyecto de ley de IA sí existe y va por su tercer intento en el Congreso, después de las versiones de 2023 y 2025. El objetivo declarado sigue siendo acercar a Colombia a los estándares que ya rigen en la Unión Europea. Pero mientras ese proyecto avanza o se estanca, lo que falta por definir es más puntual de lo que parece. Falta precisar cómo marcar qué contenido fue generado por IA y cuál no, en qué casos un resultado automatizado necesita revisión humana antes de tener efecto, y qué trazabilidad debe quedar de esa revisión. Ese es el terreno nuevo.
La confidencialidad de la información, la protección de datos personales y la responsabilidad de una entidad sobre lo que le pasa a un expediente son terreno mucho más conocido. Llevan más de una década reguladas y son exigibles con o sin inteligencia artificial de por medio. Lo que cambia, en el momento en que un documento entra a un flujo de IA, es el nivel de exigencia. Cumplir esas reglas deja de ser una buena práctica y pasa a depender de algo muy puntual. El sistema que administra esos documentos debe hacerlas cumplir automáticamente, en vez de esperar a que alguien se acuerde de hacerlo bien cada vez.
Datos personales y control demostrable
El punto de partida en datos personales es la Ley de Habeas Data, Ley 1581 de 2012, vigente desde hace más de una década. Esta norma diferencia dos papeles con precisión. Por un lado está el responsable del tratamiento, que decide qué hacer con la información. Por el otro está el encargado del tratamiento, que procesa los datos por cuenta de ese responsable. Cuando una entidad envía un contrato, una historia laboral o una petición ciudadana a una IA para que la resuma o la clasifique, el proveedor de esa IA actúa como encargado del tratamiento. Por eso solo puede moverse dentro de los límites exactos de la autorización recibida, con el propósito y el tiempo pactados.
Sobre esa base, en agosto de 2024 la Superintendencia de Industria y Comercio expidió la Circular Externa 002 de 2024, con lineamientos para el uso de sistemas de inteligencia artificial sobre datos personales. La circular aterriza la obligación en este escenario concreto. Antes de que un dato entre a un sistema de IA, la entidad debe evaluar el riesgo, aplicar privacidad desde el diseño y demostrar, en los términos de la propia norma, que conserva control sobre lo que ocurrió con esa información. Una política de tratamiento de datos guardada en un cajón ya no alcanza. Hace falta poder mostrar el rastro completo.
Información pública, clasificada y reservada
Hay una tercera capa, propia del sector público. Desde 2014, la Ley de Transparencia, Ley 1712 de 2014, obliga a toda entidad estatal a mantener un índice de información pública, clasificada y reservada. La información clasificada puede afectar derechos de terceros, como ocurre con los datos personales. La información reservada compromete un interés público superior. Ese índice funciona, en la práctica, como el mapa que le dice a cualquier sistema qué puede salir de la entidad hacia una IA externa y qué no. Tratarlo como un trámite que se llena una vez al año y se archiva es la manera más rápida de volverlo inútil.
Ninguna de estas tres normas nació pensando en inteligencia artificial, salvo la más reciente, pero las tres aplican sin excepción a cualquier tecnología que procese información, según lo dice explícitamente la propia Superintendencia. El problema real está en la implementación. Casi ningún sistema de gestión documental aplica estas reglas de forma automática cuando el que procesa el documento es un modelo de lenguaje y no una persona.
El vacío sobre las decisiones automatizadas
Si lo anterior protege el dato, lo que todavía no existe en Colombia es una regla sobre la decisión. Nadie exige hoy por ley que, cuando un sistema de inteligencia artificial clasifique un derecho de petición, resuma un expediente o redacte una respuesta, quede registro de que lo hizo, de qué versión del modelo lo hizo, y de si alguien lo revisó antes de que esa respuesta saliera con efectos reales. Ese vacío es, casi textualmente, lo que las tres versiones del proyecto de ley han intentado llenar, tomando como referencia el Reglamento de Inteligencia Artificial de la Unión Europea, modelo que Colombia cita de forma explícita en su propio articulado.
Ese reglamento europeo, ya vigente, se apoya en dos ideas simples de enunciar y difíciles de improvisar después. La primera consiste en que todo sistema de IA que participe en decisiones de cierto riesgo debe dejar un registro automático de cada evento relevante, capaz de reconstruir después, con precisión, qué pasó y quién intervino. La segunda exige que una persona pueda monitorear esa decisión, intervenir en ella y revertirla antes de que produzca un efecto irreversible. La IA puede proponer; alguien identificable tiene que poder frenarla a tiempo.
Llevado a lo que hace un SGDEA, el sistema que administra todos los días el ciclo de vida de documentos y expedientes de una entidad, la diferencia es concreta. Un sistema puede enviar automáticamente una respuesta generada por IA a un ciudadano o a un proveedor. También puede dejarla en un punto de control hasta que un funcionario la apruebe y guardar esa aprobación como parte del expediente, en vez de dejarla como una nota suelta que se pierde en un correo. La misma distinción aplica a la autoría. Un expediente puede omitir qué párrafo escribió una persona y cuál generó un modelo, o puede marcar esa diferencia desde el momento en que se produce.
Nada de esto es exótico. Es la misma lógica de trazabilidad que ya rige cualquier documento público en Colombia desde hace más de veinte años, aplicada ahora a un actor que puede tomar decisiones a una velocidad que ninguna auditoría humana alcanza a seguir en tiempo real, si nadie la delimita antes.
Siete capacidades que deben estar en el SGDEA
Aterrizado en un sistema real, esto son siete capacidades puntuales. Las primeras cuatro ya deberían estar resueltas hoy, con o sin IA de por medio.
Empecemos por la confidencialidad, porque es donde más entidades van a reconocer un vacío propio. Hay cuatro puntos fáciles de comprobar en cualquier sistema.
- El expediente nace con su nivel de confidencialidad ya asignado, desde el instante mismo de la radicación.
- El nivel de confidencialidad vive en la serie documental, y todo lo que se archive bajo ella lo hereda automáticamente.
- En los archivos digitales, el tipo documental trae consigo su propio nivel de acceso. Clasificar bien el documento ya resuelve el permiso.
- Los metadatos cargan su propio nivel de acceso. Un número de identificación puede quedar visible ahí aunque el documento que lo contiene esté perfectamente protegido.
Registros que prueban el uso legítimo
A esto se suman tres capacidades más, también exigibles hoy.
Trazas de la autorización real del titular. El sistema debe guardar exactamente cuándo la persona autorizó el uso de sus datos y con qué contenido. También debe conservar qué política de tratamiento estaba vigente en ese momento, más allá de un simple clic en "acepto términos y condiciones". Eso permite demostrar después que el uso real de la información coincide con lo que se le dijo a esa persona que se iba a hacer con ella. Si la política cambia, o si un dato empieza a alimentar una IA que no existía cuando alguien dio su autorización, esa diferencia queda a la vista.
Registro de la política real de cada proveedor de IA conectado. El sistema debe saber si el proveedor entrena modelos con los datos que recibe, si borra la información apenas responde y en qué país la procesa. Con esa información puede bloquear automáticamente el envío de contenido sensible a quien no cumpla el estándar que la entidad definió.
Retención documental heredada. Que todos estos registros se conserven bajo el mismo tiempo de retención del expediente al que pertenecen, con la misma protección contra el borrado silencioso que ya tiene cualquier otro documento del archivo.
Controles para decisiones generadas por IA
Y tres más corresponden al lado de lo que apenas se está definiendo.
Trazabilidad de cada decisión de IA. Cada decisión debe registrarse como evento auditable, con quién la ejecutó o la autorizó, con qué modelo y qué resultado produjo, como parte del expediente mismo.
Puntos de aprobación humana integrados al flujo de trabajo, como una etapa más del proceso. Una respuesta generada por IA con efectos reales debería quedar detenida hasta que alguien la apruebe, con esa aprobación guardada como parte del expediente.
Marca de autoría humano/IA. El sistema debe distinguir qué contenido y qué metadato fue escrito por una persona, y cuál fue generado por un modelo.
De las siete, las primeras cuatro no dependen de que el Congreso apruebe nada. Las últimas tres son, de hecho, lo único que el proyecto de ley todavía está tratando de definir.
La ventaja de partir del archivo
Quien ya lleva años resolviendo el otro lado del problema, el archivo, no está empezando de cero aquí. Un sistema de gestión documental que ya sabe distinguir series, aplicar tiempos de retención y demostrarle a un ente de control qué pasó con cada expediente, tiene el terreno hecho para las primeras cuatro capacidades. Lo que falta es extender esa misma disciplina, ya probada, a un actor nuevo dentro del flujo de trabajo.
Esa es la apuesta detrás de DataDoc. Un SGDEA y un motor de flujos operan como una sola plataforma, construida sobre el marco normativo colombiano, incluida la Ley 594 de 2000, los acuerdos del Archivo General de la Nación y MIPG, desde antes de que la inteligencia artificial entrara en la conversación. Incorporar IA sobre esa base significa conectarla a un sistema que ya sabe qué es un expediente, quién puede tocarlo y por cuánto tiempo debe guardarse la prueba de lo que pasó con él. Esa base ya existe; lo nuevo es solo el actor que ahora tiene que operar dentro de ella.
Usar inteligencia artificial sobre los documentos de una entidad ya está pasando, con o sin ley aprobada. Lo que todavía se decide, expediente por expediente, es si el sistema que los sostiene puede probar qué pasó con cada uno de ellos el día que alguien lo pregunte.
Converse con DataDoc sobre IA, trazabilidad y cumplimiento documental
Revise con nuestro equipo cómo conectar inteligencia artificial a expedientes, permisos, flujos y evidencias sin perder control sobre la información.