Respuesta corta: en Colombia ninguna norma de datos personales dice, con esas palabras, que un chatbot tenga que anunciar que es un bot. Lo que sí exige la Ley 1581 de 2012 es que, si tu bot recolecta datos, la persona dé una autorización previa, expresa e informada, y que antes de darla sepa quién trata sus datos, para qué y con qué derechos. En la práctica, cumplir eso sin decir que la conversación es automatizada es difícil de sostener. Por eso nuestra recomendación es avisar siempre, en el primer mensaje.
Esta guía separa lo que dice la norma de lo que es criterio nuestro. Es parte de nuestra guía sobre automatizar WhatsApp con IA en Colombia, y amplía un punto de qué exige la Ley 1581 al automatizar WhatsApp.
Este artículo explica cómo leemos la normativa desde la operación técnica. No es asesoría jurídica. Antes de tomar decisiones que expongan a tu empresa, consulta con tu abogado.
¿Qué dice la ley colombiana sobre los chatbots?
Nada específico, y eso no significa que estén por fuera. La propia Superintendencia de Industria y Comercio lo dejó claro en su Circular Externa 002 del 21 de agosto de 2024, donde recoge lo dicho por la Corte Constitucional en la Sentencia T-323 de 2024: las leyes 1266 de 2008 y 1581 de 2012 aplican al tratamiento de datos que se haga con cualquier herramienta, manual o tecnológica, y cualquier sistema de IA debe garantizar su cumplimiento.
Traducido a WhatsApp: si tu bot pregunta nombre, teléfono, dirección o qué necesita el cliente, está tratando datos personales, y le aplica todo el régimen.
¿Qué significa "previa, expresa e informada" en una conversación?
La definición está en el artículo 3 de la Ley 1581 de 2012: la autorización es el consentimiento previo, expreso e informado del titular. El principio de libertad del artículo 4 repite las tres condiciones, y el artículo 9 añade que debe obtenerse por un medio que pueda consultarse después.
En un chat, cada palabra tiene una consecuencia concreta:
| Condición | Qué dice la norma | Qué implica en el bot |
|---|---|---|
| Previa | El Decreto 1074 de 2015 (art. 2.2.2.25.2.2) pide solicitarla "a más tardar en el momento de la recolección" | Se pide antes de preguntar el primer dato, no después |
| Expresa | El mismo decreto (art. 2.2.2.25.2.4) admite autorización escrita, oral o por conductas inequívocas, y aclara que el silencio nunca cuenta como conducta inequívoca | "Si sigues escribiendo, aceptas" no sirve. Hace falta un "acepto" o un botón |
| Informada | El artículo 12 de la Ley 1581 lista lo que hay que informar al pedirla | La persona debe saber qué se hace con sus datos antes de aceptar |
Un detalle útil para quien automatiza: el artículo 2.2.2.25.2.4 del Decreto 1074 de 2015 (antes, artículo 7 del Decreto 1377 de 2013) permite que la autorización se pida por "medios técnicos" que faciliten la manifestación automatizada. Un bot puede pedirla y registrarla.
¿Qué hay que informar antes de pedir la autorización?
Aquí está el núcleo del asunto. Según el artículo 12 de la Ley 1581, al solicitar la autorización el responsable debe informar "de manera clara y expresa":
- El tratamiento al que se someterán los datos y su finalidad.
- Que responder es opcional cuando las preguntas son sobre datos sensibles o de niñas, niños y adolescentes.
- Los derechos que tiene el titular.
- La identificación, dirección física o electrónica y teléfono del responsable.
El parágrafo del mismo artículo exige conservar prueba de que se informó y entregar copia si el titular la pide.
Cuando la política completa no se puede poner a disposición en ese momento (como pasa en un chat), el artículo 2.2.2.25.3.2 del Decreto 1074 permite usar un aviso de privacidad que informe que la política existe y cómo consultarla, a más tardar al recolectar los datos. Su contenido mínimo (art. 2.2.2.25.3.3) coincide con la lista anterior: quién es el responsable, para qué se usan los datos, qué derechos hay y dónde está la política.
Lo que no aparece en ninguna de las dos listas es "informar que lo atiende un sistema automatizado". Por eso la norma no lo exige con esas palabras.
¿La SIC ha dicho algo sobre inteligencia artificial?
Sí. La Circular Externa 002 de 2024 trae diez instrucciones para tratar datos personales en sistemas de IA. Las que más pesan para un bot de WhatsApp:
- Ponderación previa (instrucción I): el tratamiento debe ser idóneo, necesario, razonable y proporcional. Si el bot pide datos que no necesita para atender, falla en "necesidad".
- Gestión de riesgos (instrucción III): se espera que quien usa IA identifique, mida y mitigue los riesgos del tratamiento, como parte de la responsabilidad demostrada.
- Estudio de impacto (instrucción IV): si es probable un alto riesgo para los titulares, hay que hacer y documentar un estudio de impacto de privacidad antes de diseñar el sistema.
- Derecho a saber (instrucción VII): el titular puede obtener, en cualquier momento y sin restricciones, información sobre el tratamiento de sus datos.
Leímos la circular completa y ninguna de sus diez instrucciones ordena anunciar que se habla con una IA. Tampoco encontramos, a octubre de 2026, una ley de inteligencia artificial sancionada en Colombia: hay proyectos en trámite en el Congreso, y si alguno se aprueba con un deber de transparencia explícito, esta guía se actualiza.
Entonces, ¿por qué recomendamos avisar?
Esto ya es criterio nuestro, no de la norma. Tres razones:
Porque la autorización tiene que ser informada. Es difícil argumentar que alguien decidió con conocimiento de causa si cree que le escribe un asesor y en realidad un sistema registra y procesa todo lo que dice. Si un titular reclama, "nunca le dijimos que era automatizado" es una defensa incómoda frente al artículo 12.
Porque el aviso cuesta una línea. El primer mensaje con la autorización ya lo tienes que mandar; agregar "soy el asistente automático" no alarga el flujo.
Porque descubrirlo solo se siente como engaño. Si el cliente se entera a mitad de conversación de que hablaba con una máquina, la confianza se cae. Si lo sabe desde el principio y tiene salida a una persona, no hay nada que descubrir.
Si estás decidiendo qué tipo de asistente poner, la diferencia entre un chatbot y un agente de IA también cambia qué datos vas a recolectar y, por tanto, qué tienes que informar.
Cómo se ve un primer mensaje que cumple
Un ejemplo, para adaptar con tu abogado:
Hola, soy el asistente automático de (nombre de tu negocio). Si prefieres hablar con una persona, escribe ASESOR.
Para ayudarte necesito algunos datos, como tu nombre y tu dirección de entrega. Los usamos solo para atender tu pedido y hacerle seguimiento. Puedes conocer, actualizar o pedir que borremos tus datos cuando quieras. Nuestra política y nuestros datos de contacto están aquí: (enlace).
¿Aceptas? Responde SÍ para continuar.
Tres detalles que hacen la diferencia: el flujo no pregunta nada hasta recibir el "sí", la respuesta queda guardada con fecha y hora, y si la persona dice que no, igual se le ofrece la salida a un humano. Así montamos nuestro agente de IA para WhatsApp, y la política de tratamiento de datos de Orion es un ejemplo de documento al que apunta ese enlace.
Preguntas frecuentes
¿Un aviso de privacidad reemplaza la autorización? No. Según el Decreto 1074 de 2015, el aviso informa que la política existe y cómo consultarla. La autorización es un acto aparte del titular, y la norma aclara que el silencio no cuenta.
¿Sirve un "si continúas, aceptas"? Según el artículo 2.2.2.25.2.4 del Decreto 1074, no: el silencio no puede asimilarse a una conducta inequívoca. Hace falta una respuesta afirmativa.
¿Tengo que pedir autorización si el bot solo responde horarios y precios? Si no recolecta ni guarda datos personales, la autorización no entra en juego. En cuanto pide un nombre, un teléfono o una dirección, sí.
¿Cuánto tiempo guardo la prueba de la autorización? El artículo 12 obliga a conservar la prueba y entregar copia si el titular la pide, pero no fija un plazo en días. Ese punto conviene definirlo con tu abogado en la política de tratamiento.
¿Y si uso la IA de un proveedor externo? La Circular 002 de 2024 es clara en que quienes crean, diseñan o usan estas tecnologías deben cumplir las normas de datos personales. Usar la IA de otro no te saca del régimen.
¿También tengo que inscribir la base de datos ante la SIC? Depende de los activos de la empresa, y casi ninguna pyme está obligada. El criterio y los plazos los publica la SIC en su guía del Registro Nacional de Bases de Datos.
Fuentes
| Afirmación | Fuente |
|---|---|
| Autorización previa, expresa e informada | Ley 1581 de 2012, arts. 3, 4 y 9 |
| Qué informar al pedir autorización y conservar prueba | Ley 1581 de 2012, art. 12 |
| Autorización a más tardar al recolectar; el silencio no vale; mecanismos automatizados | Decreto 1074 de 2015, arts. 2.2.2.25.2.2 y 2.2.2.25.2.4 (antes Decreto 1377 de 2013, arts. 5 y 7) |
| Aviso de privacidad y su contenido mínimo | Decreto 1074 de 2015, arts. 2.2.2.25.3.2 y 2.2.2.25.3.3 |
| Instrucciones sobre datos personales en IA | SIC, Circular Externa 002 de 2024 |
Última verificación: 20 de octubre de 2026. Si alguna norma cambió y no lo hemos actualizado, mándanos la versión vigente y corregimos.
¿Te suena tu operación?
En Orión IA implementamos automatización y agentes de IA para PYMES colombianas. El diagnóstico inicial es una conversación de 30 minutos, sin costo y sin venta dura: salimos con una lista priorizada, la implementemos contigo o no. Los precios de partida están en el tarifario.
Escríbenos por WhatsApp