¿Se pueden usar datos de pacientes con IA en Colombia?

Esto no es asesoría jurídica. No somos abogados. Es lo que leímos en las normas, con el artículo al lado de cada afirmación para que puedas verificarlo o llevárselo a tu abogado. Si vas a tomar una decisión, consulta a uno.

Dicho eso: sí se puede. Pero la regla está al revés de como la gente la imagina.

La respuesta corta

Los datos de salud son datos sensibles según el artículo 5 de la Ley 1581 de 2012. Y el artículo 6 abre así: «Se prohíbe el Tratamiento de datos sensibles, excepto cuando…». El punto de partida no es que puedas y haya límites. Es que no puedes, salvo que caigas en una excepción — y la primera de la lista es la autorización explícita del paciente.

Todo lo demás sale de ahí.

Qué cuenta como dato sensible

El artículo 5 los define y nombra dos que importan acá:

«…así como los datos relativos a la salud, a la vida sexual y los datos biométricos.»

La biometría está en la misma frase que la salud. Una huella o un reconocimiento facial para entrar al sistema no es un detalle de infraestructura: es otro dato sensible, con la misma prohibición por defecto.

La autorización no es una casilla

El artículo 9 exige que sea previa e informada, y obtenida por un medio que pueda consultarse después. Un «sí» verbal no sirve porque no se puede recuperar.

El artículo 12 dice qué tiene que informarse al pedirla:

Literal	Qué hay que decirle al titular
a)	Qué se va a hacer con sus datos y con qué finalidad
b)	Que responder preguntas sobre datos sensibles es facultativo
c)	Qué derechos tiene
d)	Quién es el responsable: identificación, dirección y teléfono

El literal b) es el que casi nadie implementa. Un formulario clínico donde todos los campos son obligatorios está incumpliéndolo, con IA o sin ella.

Y el parágrafo del mismo artículo cierra: hay que conservar prueba de haberlo hecho, y entregarle copia al paciente si la pide. El artículo 17 b) lo repite como deber del responsable.

Hay excepciones donde no se necesita autorización — el artículo 10 lista cinco, incluida la urgencia médica o sanitaria. Son estrechas y no cubren la operación diaria de un consultorio.

El punto que casi nadie mira: mandar el dato afuera

Si tu sistema usa un modelo de lenguaje, es probable que ese modelo no esté en Colombia. Eso activa el artículo 26:

«Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos.»

La pregunta entonces es quién decide qué país es adecuado. La respuesta está en el numeral 3.2 de la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, que publica la lista. Y contiene algo que sorprende a casi todo el mundo:

Estados Unidos de América está en la lista.

También Alemania, Austria, Bélgica, Bulgaria, Chipre, Costa Rica, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estonia, Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Letonia, Lituania, Luxemburgo, Malta, México, Noruega, Países Bajos, Perú, Polonia, Portugal, Reino Unido, República Checa, República de Corea, Rumania, Serbia y Suecia. La Circular Externa 008 del mismo año agregó a Japón.

Qué significa y qué no. Significa que el artículo 26 deja de ser un obstáculo para esos destinos. No significa que ya puedas: la autorización del artículo 6, los deberes de seguridad del 17 y la reserva de la historia clínica siguen intactos. Quita una barrera, no las cinco.

Y si el destino no está en la lista, el artículo 26 tiene salidas — la primera es la autorización expresa e inequívoca del titular para esa transferencia — o le corresponde a la SIC emitir una declaración de conformidad.

Desde 2024 hay reglas escritas para IA

La Circular Externa 002 del 21 de agosto de 2024 es la instrucción específica de la SIC sobre datos personales en sistemas de inteligencia artificial. Lo que pide, resumido:

• Ponderar idoneidad, necesidad, razonabilidad y proporcionalidad antes de tratar.
• Principio de precaución: ante falta de certeza sobre daños potenciales, abstenerse o adoptar medidas preventivas.
• Gestión de riesgos: «identificar, medir, controlar y monitorear».
• Evaluación de impacto de privacidad antes del diseño, no después del despliegue.
• Calidad de datos: «veraces, completos, exactos, actualizados, comprobables y comprensibles».
• Que «accesible al público» no equivale a «de naturaleza pública»: encontrar un dato en internet no te habilita a tratarlo.

Ese penúltimo punto es el que cambia el orden del trabajo. La evaluación de impacto va antes, y si tu proceso es construir primero y revisar después, no la cumples aunque el documento exista.

La historia clínica tiene su propia reserva

Aparte de la Ley 1581. La Resolución 1995 de 1999 del Ministerio de Salud, artículo 1:

«La Historia Clínica es un documento privado, obligatorio y sometido a reserva, en el cual se registran cronológicamente las condiciones de salud del paciente, los actos médicos y los demás procedimientos ejecutados por el equipo de salud que interviene en su atención.»

Y su artículo 14 fija quién puede acceder: el usuario, el equipo de salud, las autoridades judiciales y de salud en los casos previstos en la ley, y las demás personas determinadas en la ley. El parágrafo agrega que el acceso es únicamente para los fines que resulten procedentes, manteniendo en todo caso la reserva legal.

Una autorización de habeas data no levanta esta reserva. Son dos capas distintas y hay que cumplir las dos.

Lo que la ley no dice, y conviene saberlo

Recorrimos los treinta artículos de la Ley 1581. No hay ninguno equivalente al artículo 22 del Reglamento europeo. La ley colombiana no consagra un derecho a no ser objeto de decisiones automatizadas, ni a obtener intervención humana en ellas.

Eso no significa que dé lo mismo. Significa que la supervisión humana en un sistema colombiano es una decisión de diseño, no una obligación que puedas citar — y que si alguien te la vende como requisito legal, está afirmando algo que la ley no dice.

El Gobierno radicó el 28 de agosto de 2025 un proyecto que modifica parcialmente la Ley 1581 —ámbito de aplicación, responsabilidad demostrada como principio, oficial de protección de datos, tratamiento de datos de mayores de catorce años—. Es un proyecto. Por ser ley estatutaria requiere mayoría absoluta en todos sus debates, y no pudimos verificar que haya sido aprobado. Si tomas una decisión con base en él, verifica su estado ese día.

Lo que arriesgas

El artículo 23 lista las sanciones: multas de hasta 2.000 salarios mínimos mensuales legales vigentes, sucesivas mientras subsista el incumplimiento; suspensión de actividades hasta por seis meses; cierre temporal. Y un literal d) que existe específicamente para este caso:

«Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.»

Definitivo. Es la sanción más dura de la ley y apunta justo a donde vive un consultorio.

Qué decidimos nosotros, y por qué

Nidova es el sistema de gestión de un consultorio médico y está en producción. Tres decisiones, tomadas por diseño:

Cero biometría. No hay huella ni reconocimiento facial en ninguna parte del sistema. El artículo 5 la pone en la misma categoría que la salud, así que agregarla es duplicar la superficie sensible a cambio de una comodidad de login. No compensa.

Cero diagnóstico automático. El sistema no emite ni sugiere diagnósticos. Es la línea que separa gestionar información clínica de ejercer la medicina, y no la cruzamos.

Supervisión humana: el sistema prepara, la persona aprueba. Ninguna respuesta sale a un paciente sin que alguien del consultorio la haya visto. Como dijimos arriba, la ley no nos obliga a esto. Lo hacemos porque una respuesta equivocada a un paciente no se corrige con un ticket.

Lo que no sabemos

• No somos abogados y esto no es un concepto jurídico. Cada afirmación tiene su artículo para que la verifiques o la lleves a quien corresponda.
• No consultamos el histórico de sanciones de la SIC. No sabemos con qué frecuencia se aplica el literal d) del artículo 23, y no vamos a estimarlo.
• No sabemos el estado del proyecto de reforma más allá de que fue radicado y de que no encontramos evidencia de su aprobación.
• Cumplir la ley no es lo mismo que ser seguro. Son dos trabajos, y este post solo habla del primero.

Qué hacer con esto

Tres preguntas para el sistema que ya tienes andando, en orden:

1. ¿Existe la autorización explícita, guardada de forma que puedas mostrarla en dos años?
2. ¿El formulario dice que responder preguntas sobre datos sensibles es facultativo, como pide el artículo 12 b)?
3. ¿Sabes a qué país sale el dato cuando pasa por un modelo, y ese país está en el numeral 3.2?

Si alguna se responde con «hay que averiguarlo», ahí está el trabajo.