Der kolumbianische Datenschutzrahmen — das Gesetz 1581 von 2012 und seine Durchführungsdekrete — ist mehr als zehn Jahre alt. 2026 bestimmen zwei Themen die Debatte: ein Regierungsentwurf zur Modernisierung des Gesetzes und die Nutzung personenbezogener Daten in der künstlichen Intelligenz. Beide standen im Mittelpunkt des 13. Internationalen Datenschutzkongresses der Aufsichtsbehörde SIC (Superintendencia de Industria y Comercio) im Juli 2026.
Der Reformentwurf: die wichtigsten Vorschläge
Im August 2025 hat die Regierung einen Gesetzentwurf zur teilweisen Änderung des Gesetzes 1581 eingebracht. Laut SIC sind die wichtigsten Vorschläge:
- Erweiterter räumlicher Anwendungsbereich: das Gesetz würde immer gelten, wenn eine Verarbeitung Personen in Kolumbien betrifft, unabhängig vom Sitz des Verantwortlichen
- Rechenschaftspflicht („responsabilidad demostrada“) als ausdrücklicher Grundsatz sowie ein gestärkter Transparenzgrundsatz
- Neue Definitionen für automatisierte Verarbeitung und Profiling
- Weitere Rechtsgrundlagen neben der Einwilligung
- Kinder und Jugendliche: ab 14 Jahren könnten sie selbst einwilligen; Profiling Minderjähriger, das ihrer Entwicklung schaden kann oder kommerziellen Zwecken dient, würde verboten
- Internationale Übermittlungen nur in Länder mit angemessenem Schutzniveau oder mit zusätzlichen Garantien
- Höhere Bußgelder: bis zu 10.000 monatliche Mindestlöhne oder alternativ bzw. zusätzlich 5 % der operativen Einnahmen — heute liegt das Maximum bei 2.000 Mindestlöhnen
- Gestärkte Behörden: mehr Befugnisse für die SIC und eine Rolle für die Procuraduría im öffentlichen Sektor
Der Entwurf befindet sich noch im Gesetzgebungsverfahren und ist nicht verabschiedet. Der endgültige Inhalt kann sich ändern, die Richtung ist aber klar: Kolumbien nähert sich DSGVO-ähnlichen Regeln an.
KI und personenbezogene Daten
Stand Herbst 2026 hat Kolumbien kein spezielles KI-Gesetz; mehrere Entwürfe sind anhängig. Bis dahin vertritt die SIC die Position, dass das Gesetz 1581 vollständig auf jedes KI-System anwendbar ist, das personenbezogene Daten verarbeitet. Das Rundschreiben Circular Externa 002 von 2024 der SIC legt ihre Erwartungen an KI fest, darunter Transparenz, Datenminimierung und eine Folgenabschätzung vor dem Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten.
Was heute gilt
Bis zur Verabschiedung der Reform gelten die bekannten Pflichten weiter: vorherige, ausdrückliche und informierte Einwilligung, Richtlinien zur Informationsverarbeitung, Bearbeitung von Habeas-Data-Anfragen und Beschwerden, Eintragung von Datenbanken im nationalen Datenbankregister (RNBD) für die verpflichteten Unternehmen und Meldung von Sicherheitsvorfällen an die SIC.
Ihre Checkliste 2026
- Einwilligungen prüfen sowie Ihre Richtlinie zur Informationsverarbeitung
- KI-Anwendungsfälle erfassen und anhand der Circular 002 von 2024 bewerten
- Rechenschaftspflicht schon jetzt umsetzen: Verarbeitungen, Risiken und Entscheidungen dokumentieren, um für die Reform gerüstet zu sein
- Internationale Übermittlungen prüfen und die Garantien in Dienstleisterverträgen
- RNBD-Eintragung aktuell halten
Wie ResGuard unterstützt
Der ResGuard Datenschutz-Manager dokumentiert Verarbeitungen, Einwilligungen, Anfragen und Vorfälle zentral — auch auf Spanisch. Unser externer Datenschutzbeauftragter für Kolumbien begleitet Sie beim geltenden Recht und der anstehenden Reform.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: Veröffentlichungen der SIC zum Reformentwurf und zu ihrem Kongress 2026 sowie veröffentlichte Kommentare zum Gesetzgebungsverfahren.