Hábeas data en tiempos de IA: qué derechos tiene usted sobre sus datos
Cuando un algoritmo decide sobre su vida -crédito, empleo, perfil-, la ley de datos personales le da herramientas. Así se usan.
Cada vez más decisiones sobre las personas las toman sistemas automatizados: el puntaje que aprueba o niega un crédito, el filtro que selecciona hojas de vida, el perfil que determina qué publicidad -y qué precio- ve cada quien. Detrás de esos sistemas hay datos personales, y en Colombia los datos personales tienen dueño con derechos: el titular. Esta guía explica qué herramientas da la ley cuando la inteligencia artificial trabaja con sus datos.
El marco: sus datos son suyos
Colombia tiene desde 2012 un régimen general de protección de datos personales -la Ley 1581 y sus decretos reglamentarios- que parte de un principio simple: los datos personales pertenecen a su titular, y quien los recolecta o usa necesita autorización, finalidad legítima y deberes de cuidado. Ese régimen no fue escrito pensando en inteligencia artificial, pero sus principios le aplican de lleno: los sistemas de IA que se alimentan de datos personales son tratamiento de datos, con todas las obligaciones que eso implica.
Los derechos del titular
La ley da al titular un paquete de derechos conocidos por sus siglas prácticas: conocer qué datos suyos existen en una base, actualizarlos y rectificarlos cuando son inexactos, suprimirlos cuando el tratamiento no respeta los principios legales, y revocar la autorización cuando no hay deber legal de permanecer en la base. Son derechos ejercibles directamente ante cada responsable del tratamiento, sin necesidad de abogado ni trámite complejo.
Cuando decide un algoritmo
El punto más sensible de la era IA es la decisión automatizada: el sistema que rechaza el crédito, descarta la hoja de vida o ajusta el precio sin que un humano intervenga. La lógica de la protección de datos alcanza esas decisiones: el titular tiene derecho a conocer la existencia del tratamiento, su finalidad, y a reclamar cuando la decisión se basa en datos inexactos, desactualizados o tratados sin autorización. El puntaje opaco no es un muro: es un tratamiento de datos con reglas.
El caso de los datos financieros
El frente más maduro de esta discusión es el financiero: las centrales de riesgo y los puntajes crediticios llevan años regulados, con reglas especiales sobre tiempos de permanencia de la información negativa, derecho a que los datos sean veraces y a ser actualizados cuando la obligación se paga. La experiencia de las centrales de riesgo es el laboratorio de lo que viene para otros sectores: más decisiones automatizadas, más necesidad de reglas claras sobre los datos que las alimentan.
Cómo ejercer los derechos en la práctica
El trámite es más simple de lo que parece. El primer paso es la consulta o reclamo directo al responsable: toda entidad que trata datos debe tener canales para atenderlo y plazos legales para responder. Si la respuesta no llega o no satisface, la Superintendencia de Industria y Comercio -la autoridad de protección de datos- recibe quejas e investiga. Y la acción de tutela protege el derecho fundamental al hábeas data cuando la vía ordinaria no basta, especialmente cuando los datos afectan derechos fundamentales conexos.
El hábeas data constitucional
El hábeas data tiene rango constitucional en Colombia: el derecho a conocer, actualizar y rectificar la información que se haya recogido en bancos de datos y archivos. La jurisprudencia constitucional lo ha desarrollado durante años, con líneas sobre datos financieros, información sensible y los deberes de los operadores de bases de datos. En el contexto de la IA, esa jurisprudencia es la base sobre la que se construirán los estándares de decisiones automatizadas.
Los datos sensibles: protección reforzada
La ley distingue los datos sensibles -salud, vida sexual, biometría, origen étnico, opiniones políticas- y les da protección especial: su tratamiento exige autorización expresa y está sometido a condiciones más estrictas. La IA multiplica el riesgo sobre estos datos: los sistemas que infieren salud, emociones o rasgos biométricos a partir de imágenes o comportamiento digital operan en la zona más protegida del régimen, y su uso sin autorización clara es la zona de mayor exposición jurídica.
Qué reclamar y cómo documentarlo
La reclamación eficaz se prepara: identificar qué entidad trata los datos, qué información específica se cuestiona, y qué se pide -rectificación, supresión, actualización o revocatoria-. La evidencia ayuda: capturas de la información inexacta, constancias de la autorización o su ausencia, y los soportes de pagos o novedades que el dato ignora. La reclamación concreta y documentada se atiende; la genérica se pierde.
Lo que viene
La discusión regulatoria sobre IA y datos personales está abierta en Colombia y en la región: transparencia algorítmica, evaluaciones de impacto, derecho a explicación de las decisiones automatizadas. Mientras las normas específicas llegan, el régimen actual ya da herramientas reales -y la autoridad de protección de datos y los jueces las están aplicando-. Conocerlas es la diferencia entre ser sujeto o solo dato.
El deber de las empresas del otro lado
Esta guía se escribe desde el titular, pero el espejo importa: las empresas que usan IA sobre datos personales tienen los deberes correspondientes -autorización válida, finalidad declarada, seguridad de la información, canales de atención al titular-. El cumplimiento no es solo riesgo legal evitado: es confianza construida. La empresa transparente sobre qué datos usa y para qué convierte la obligación en argumento comercial; la opaca convierte cada error en crisis.
Un derecho que se ejerce o se pierde
La protección de datos tiene una particularidad práctica: sus herramientas existen, pero solo trabajan para quien las activa. El dato inexacto no se corrige solo; la autorización no se revoca sola. La recomendación final es de hábito: revisar periódicamente qué datos propios circulan -centrales de riesgo, registros comerciales, plataformas-, ejercer los derechos cuando corresponde, y guardar las constancias. En datos personales, como en la mayoría del derecho, el titular diligente obtiene lo que el distraído solo reclama en teoría.
El papel de la autoridad de protección
La Superintendencia de Industria y Comercio no es un actor pasivo en este ecosistema: investiga de oficio, sanciona, emite directrices sobre tratamiento de datos y ha puesto la mirada en sectores de tratamiento masivo. Para el titular, su existencia cambia la relación de fuerzas: la queja bien documentada ante la autoridad es la réplica institucional al poder asimétrico de quien administra la base de datos.
Los datos de los menores
Un capítulo aparte merecen los datos de niños y adolescentes, sujetos de especial protección constitucional: su tratamiento exige autorización de quienes los representan y debe responder a su interés superior. La IA que procesa datos de menores -plataformas educativas, redes, juegos- opera en la zona de máxima exigencia del régimen.
Preguntas frecuentes
¿Qué derechos tengo sobre mis datos personales?
Conocer qué datos suyos existen, actualizarlos y rectificarlos, suprimirlos cuando el tratamiento es irregular, y revocar la autorización cuando no hay deber legal de permanencia, ante cada responsable del tratamiento.
¿Puedo reclamar una decisión tomada por un algoritmo?
Sí: la decisión automatizada se basa en tratamiento de datos, y usted puede reclamar cuando se apoya en datos inexactos, desactualizados o sin autorización, ante la entidad y luego ante la Superintendencia de Industria y Comercio.
¿Qué es la acción de tutela en temas de datos?
La vía judicial que protege el derecho fundamental al hábeas data -conocer, actualizar y rectificar su información- cuando la vía ordinaria no resulta suficiente, especialmente con datos sensibles o derechos fundamentales afectados.
¿Los datos de centrales de riesgo tienen reglas especiales?
Sí: tiempos máximos de permanencia de la información negativa, deber de veracidad, y derecho a la actualización cuando la obligación se paga. Es el sector más regulado del tratamiento de datos en Colombia.
Lecturas relacionadas
- IA para revisar contratos en Colombia: flujo prudente, datos personales y responsabilidad
- Hábeas data: qué es y significado jurídico en Colombia
Fuentes y límites
Guía de práctica jurídica sobre protección de datos personales en Colombia (Ley 1581 de 2012 y normas conexas). La regulación específica sobre IA evoluciona; verificar el estado vigente. Información, no asesoramiento jurídico.
