Auditoría Legal e Implementación de Proyectos con Inteligencia Artificial en Colombia

No existe hoy una ley general de inteligencia artificial en Colombia. Eso no deja a los sistemas de IA sin regulación: les aplican el régimen de protección de datos personales, el Estatuto del Consumidor, las normas de propiedad intelectual, el derecho de la competencia y las obligaciones contractuales que la empresa ya asumió. La auditoría trabaja sobre ese marco vigente, no sobre uno futuro.

La auditoría mira hacia atrás: qué sistemas de IA usa hoy la empresa, con qué datos, bajo qué contratos y con qué exposición. La implementación mira hacia adelante: qué procesos conviene delegar, cómo se contrata al proveedor y qué controles quedan instalados antes de arrancar. Muchos clientes empiezan por la auditoría porque descubren que ya tenían más IA de la que creían.

Cuenta, y suele ser el hallazgo más frecuente. Un asistente gratuito al que un equipo le pega información de clientes es un tratamiento de datos personales hacia un tercero, muchas veces sin autorización, sin contrato de encargo y sin saber dónde queda esa información. Por eso el inventario incluye a propósito el uso informal, no solo las herramientas contratadas.

Es la pregunta que más llega y la respuesta depende de para qué se recogieron esos datos. El principio de finalidad no permite reutilizar sin más información recogida para otra cosa. Revisamos la autorización que firmó el titular, el aviso de privacidad, la política de tratamiento y lo que el contrato con el proveedor dice sobre reentrenamiento, y si la finalidad no cubre el uso proponemos cómo corregirlo antes de que el sistema entre en producción, no después.

Como norma vinculante no, salvo que la empresa opere en ese mercado. Lo usamos como marco de referencia porque es el estándar de buenas prácticas que ya piden clientes corporativos, inversionistas y auditores. Distinguimos siempre entre lo que exige la ley colombiana y lo que exige el mercado, para que la compañía sepa qué es obligatorio y qué es una decisión comercial.

La empresa debe poder explicar el criterio, conservar la trazabilidad de la decisión y ofrecer revisión humana. Eso aplica a crédito, selección de personal, precios, priorización de clientes o bloqueo de cuentas. Diseñamos ese punto de control y definimos qué evidencia se guarda, porque la pregunta llega cuando el caso ya está en discusión y para entonces la evidencia o existe o no existe.

La empresa debe poder explicar el criterio, conservar la trazabilidad de la decisión y ofrecer revisión humana. Eso aplica a crédito, selección de personal, precios, priorización de clientes o bloqueo de cuentas. Diseñamos ese punto de control y definimos qué evidencia se guarda, porque la pregunta llega cuando el caso ya está en discusión.

Depende del tamaño del inventario, no del tamaño de la empresa. Una compañía con tres sistemas y un proveedor se resuelve en pocas semanas; un grupo cuyas áreas adoptaron herramientas por su cuenta toma más, porque la fase de inventario es la que revela el alcance real. Acordamos el alcance por escrito antes de empezar.

Normalmente un inventario de sistemas clasificado por riesgo, la política interna de uso, el protocolo de incidentes, el registro de decisiones y las cláusulas contractuales con los proveedores. Ese paquete es justamente el entregable de la auditoría, así que la respuesta al cliente sale del mismo trabajo.

No. Nadie puede certificar eso, y conviene desconfiar de quien lo ofrezca. Lo que entregamos es un diagnóstico preciso de dónde está expuesta la empresa, qué se corrige primero y cómo dejar la evidencia lista para el día en que alguien pregunte, sea un cliente, un regulador o un juez.