Saltar al contenido
AI Policy Generator

ENQué me toca

Colombia · Ley

Ley de protección de datos personales y su decreto reglamentario

VigenteLey 1581 de 2012

Resumen

Ley general de datos personales. Aplica a la IA porque es tecnológicamente neutra: exige política de tratamiento, autorización, responsabilidad demostrada, registro de bases de datos, seguridad y garantías para enviar datos al exterior.

A quién se dirige

Toda organización que trata datos personales en Colombia o de personas en Colombia.

Sanciones

Multas de hasta 2.000 salarios mínimos mensuales, suspensión de actividades hasta por 6 meses y cierre de las operaciones de tratamiento.

Nombre oficial
Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales, y Decreto 1377 de 2013
Referencia oficial
Ley 1581 de 2012, Diario Oficial 48.587, 18 de octubre de 2012; Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015); Decreto 090 de 2018
Autoridad
Superintendencia de Industria y Comercio (SIC)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Tener política de tratamiento y autorización para usar datos con IALey 1581 de 2012, arts. 4, 5, 6, 9, 12 y 17; Decreto 1377 de 2013, art. 13VigenteYa aplicableToda organización que trata datos personales en Colombia, incluidos los datos que usa o produce un sistema de IA.Verificado en fuente oficial el 4 de noviembre de 2026
Demostrar el cumplimiento con un programa de gestión de datosLey 1581 de 2012, art. 17; Decreto 1377 de 2013, arts. 26 y 27VigenteYa aplicableToda organización que trata datos personales en Colombia.Verificado en fuente oficial el 4 de noviembre de 2026
Inscribir las bases de datos en el Registro Nacional (RNBD)Ley 1581 de 2012, art. 25; Decreto 090 de 2018VigenteYa aplicableSociedades y entidades sin ánimo de lucro con activos totales de más de 100.000 UVT, y personas jurídicas de naturaleza pública.Verificado en fuente oficial el 4 de noviembre de 2026
Enviar datos al exterior solo con garantíasLey 1581 de 2012, art. 26VigenteYa aplicableOrganizaciones que envían datos personales a proveedores de IA u otros terceros fuera de Colombia.Verificado en fuente oficial el 4 de noviembre de 2026
Reportar incidentes de seguridad a la SICLey 1581 de 2012, art. 17, literal n; Circular Única SIC, título V, num. 2.1, lit. f)VigenteYa aplicableToda organización que trata datos personales en Colombia, incluidos incidentes en sistemas de IA.Verificado en fuente oficial el 4 de noviembre de 2026

Tener política de tratamiento y autorización para usar datos con IA

Ley 1581 de 2012, arts. 4, 5, 6, 9, 12 y 17; Decreto 1377 de 2013, art. 13Vigente

Ya aplicable

Cuándo se relaciona
Toda organización que trata datos personales en Colombia, incluidos los datos que usa o produce un sistema de IA.
Qué prevé la norma
  • Publicar una política de tratamiento escrita que explique las finalidades, incluido el uso de IA y de decisiones automatizadas cuando existan.
  • Obtener autorización previa, expresa e informada; para datos sensibles, como los biométricos o de salud, la autorización es opcional para la persona y requiere cuidado especial.
  • Respetar los derechos de niñas, niños y adolescentes.
Evidencias habituales
  • Política de tratamiento publicada y prueba de las autorizaciones
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto oficial: Ley 1581 de 2012 (Secretaría del Senado), arts. 4, 5, 6, 9, 12 y 17; Decreto 1377 de 2013, art. 13 (Función Pública).

Demostrar el cumplimiento con un programa de gestión de datos

Ley 1581 de 2012, art. 17; Decreto 1377 de 2013, arts. 26 y 27Vigente

Ya aplicable

Cuándo se relaciona
Toda organización que trata datos personales en Colombia.
Qué prevé la norma
  • Mantener un programa integral de gestión de datos personales con responsables, procedimientos y controles, y poder demostrarlo ante la SIC (responsabilidad demostrada).
  • Incorporar la privacidad desde el diseño en los proyectos de IA.
Evidencias habituales
  • Programa documentado, inventario de tratamientos y registros de control
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto oficial: Ley 1581 de 2012 (Secretaría del Senado), art. 17; Decreto 1377 de 2013, arts. 26 y 27 (Función Pública).

Inscribir las bases de datos en el Registro Nacional (RNBD)

Ley 1581 de 2012, art. 25; Decreto 090 de 2018Vigente

Ya aplicable

Cuándo se relaciona
Sociedades y entidades sin ánimo de lucro con activos totales de más de 100.000 UVT, y personas jurídicas de naturaleza pública.
Qué prevé la norma
  • Inscribir cada base de datos, incluidas las que alimentan sistemas de IA, y mantener la información actualizada.
Evidencias habituales
  • Constancia de inscripción y actualizaciones
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto oficial: Ley 1581, art. 25 (Secretaría del Senado) y Decreto 090 de 2018 (Función Pública), que limita la inscripción a sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a personas jurídicas públicas. El cuestionario aproxima el umbral con empresas de 250 personas o más.

Enviar datos al exterior solo con garantías

Ley 1581 de 2012, art. 26Vigente

Ya aplicable

Cuándo se relaciona
Organizaciones que envían datos personales a proveedores de IA u otros terceros fuera de Colombia.
Qué prevé la norma
  • Transferir solo a países con nivel adecuado de protección o cuando aplique una excepción legal (por ejemplo, autorización expresa de la persona) o una declaración de conformidad de la SIC.
  • Firmar contratos de transmisión con los encargados en el exterior.
Evidencias habituales
  • Expediente de cada transferencia y contratos firmados
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto oficial: Ley 1581 de 2012 (Secretaría del Senado), art. 26 (prohibición y excepciones).

Reportar incidentes de seguridad a la SIC

Ley 1581 de 2012, art. 17, literal n; Circular Única SIC, título V, num. 2.1, lit. f)Vigente

Ya aplicable

Cuándo se relaciona
Toda organización que trata datos personales en Colombia, incluidos incidentes en sistemas de IA.
Qué prevé la norma
  • Informar a la SIC cuando se violen los códigos de seguridad o haya riesgos en la administración de la información de las personas.
  • Reportar el incidente a la SIC: quien debe inscribir sus bases en el RNBD lo reporta allí dentro de los 15 días hábiles siguientes a su detección; los demás responsables y los encargados usan el aplicativo de la SIC.
Evidencias habituales
  • Registro de incidentes y constancias de reporte
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en la Ley 1581, art. 17, literal n (Secretaría del Senado), y en la Circular Única de la SIC, título V, num. 2.1, lit. f) (ii), versión publicada por la SIC en 2018: "quince (15) días hábiles" para los obligados al RNBD. Conviene revisar si la SIC actualizó ese numeral.

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)