El marco colombiano de protección de datos —la Ley 1581 de 2012 y sus decretos reglamentarios— tiene más de una década. En 2026 dos temas dominan el debate: un proyecto del Gobierno para modernizar la ley y el uso de datos personales en la inteligencia artificial. Ambos fueron ejes del XIII Congreso Internacional de Protección de Datos Personales de la Superintendencia de Industria y Comercio (SIC), celebrado en julio de 2026.
El proyecto de reforma: propuestas clave
En agosto de 2025 el Gobierno radicó un proyecto de ley estatutaria que modifica parcialmente la Ley 1581. Según la SIC, sus principales propuestas son:
- Ámbito territorial más amplio: la ley se aplicaría siempre que el tratamiento afecte a personas en Colombia, sin importar dónde esté el responsable
- Responsabilidad demostrada como principio expreso, junto con un principio de transparencia reforzado
- Nuevas definiciones para el tratamiento automatizado y la elaboración de perfiles
- Más bases legales para el tratamiento, además del consentimiento
- Niños, niñas y adolescentes: los mayores de 14 años podrían autorizar el tratamiento; se prohibiría el perfilamiento de menores que pueda afectar su desarrollo o tenga fines comerciales
- Transferencias internacionales solo a países con protección adecuada o con garantías adicionales
- Multas más altas: hasta 10.000 SMLMV, o una sanción alternativa o complementaria del 5 % de los ingresos operacionales, frente al máximo actual de 2.000 SMLMV
- Autoridades reforzadas: más funciones para la SIC y un papel para la Procuraduría en el sector público
El proyecto sigue en trámite en el Congreso y no ha sido aprobado. Su contenido final puede cambiar, pero la dirección es clara: Colombia se acerca a un modelo similar al RGPD.
IA y datos personales
A otoño de 2026, Colombia no tiene una ley específica de IA; hay varios proyectos en trámite. Mientras tanto, la posición de la SIC es que la Ley 1581 se aplica plenamente a cualquier sistema de IA que trate datos personales. La Circular Externa 002 de 2024 de la SIC fija sus expectativas para la IA, entre ellas transparencia, minimización de datos y evaluación de impacto antes de desplegar sistemas de IA que traten datos personales.
Qué aplica hoy
Hasta que se apruebe la reforma, siguen vigentes las obligaciones conocidas: autorización previa, expresa e informada, políticas de tratamiento de la información, atención de consultas y reclamos de habeas data, inscripción de bases de datos en el Registro Nacional de Bases de Datos (RNBD) para las empresas obligadas y reporte de incidentes de seguridad a la SIC.
Su lista de verificación 2026
- Revise sus autorizaciones y su política de tratamiento de la información
- Inventaríe sus casos de uso de IA y evalúelos frente a la Circular 002 de 2024
- Aplique ya la responsabilidad demostrada: documente tratamientos, riesgos y decisiones para estar preparado si se aprueba la reforma
- Revise las transferencias internacionales y las garantías en sus contratos con proveedores
- Mantenga actualizada su inscripción en el RNBD
Cómo puede ayudar ResGuard
El Gestor de Protección de Datos de ResGuard documenta en español sus tratamientos, autorizaciones, solicitudes e incidentes en un solo lugar. Nuestro servicio de DPO externalizado para Colombia le acompaña con las reglas vigentes y la próxima reforma.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuentes: publicaciones de la SIC sobre el proyecto de reforma y su congreso de 2026, y comentarios publicados sobre el trámite legislativo.