El día que conectas un bot a tu WhatsApp cambian dos cosas al mismo tiempo. La primera es obvia y es la que te vendieron: atiendes 24/7 sin contratar a nadie. La segunda casi nadie la menciona: pasas a tratar datos personales de forma sistemática, y eso te mete de lleno en el régimen de la Ley 1581 de 2012.
No es un tecnicismo. Un bot que pregunta el nombre, el teléfono y qué producto necesita está recolectando datos personales. Que lo haga una máquina en vez de una persona no cambia nada frente a la ley: solo hace que ocurra cien veces más rápido y quede todo registrado.
Esta guía cubre lo que sí aplica, lo que no, y dónde se rompe en la práctica. Es parte de nuestra guía sobre automatizar WhatsApp con IA en Colombia, donde está el recorrido completo.
Este artículo explica cómo entendemos el marco normativo desde la operación técnica. No es asesoría jurídica. Antes de tomar decisiones que expongan a tu empresa, consulta con tu abogado.
Lo primero: la autorización tiene tres condiciones, y las tres se incumplen igual de fácil
El artículo 9 de la Ley 1581 exige autorización del titular antes de tratar sus datos, y el Decreto 1074 de 2015 desarrolla cómo debe obtenerse. El estándar que se desprende de esa normativa, y que la SIC ha aplicado de forma consistente, es que la autorización sea previa, expresa e informada. Las tres, no dos de tres.
Previa significa antes de recolectar, no después. Si tu bot pide el correo en el primer mensaje y la autorización aparece en el quinto, ya trataste el dato sin permiso.
Expresa significa que el silencio no vale. Un "si continúas escribiendo aceptas nuestra política" no es autorización expresa: es una presunción, y la ley no permite presumir el consentimiento. Hace falta un acto afirmativo: que la persona escriba "acepto", pulse un botón, elija una opción.
Informada significa que la persona sepa para qué. No basta con "tratamos tus datos": hay que decir qué se hace con ellos. Si el número que capturas por WhatsApp va a terminar en una campaña de remarketing, eso hay que decirlo antes, no descubrirlo después.
En la práctica, el error más común no es no pedir autorización. Es pedirla mal: enterrada en un enlace, redactada para que nadie la lea, o solicitada cuando ya se recolectaron tres campos.
El aviso de privacidad no reemplaza la autorización
Este es el punto donde se cae la mayoría de las implementaciones, y vale la pena decirlo sin rodeos: poner un aviso de privacidad al inicio de la conversación no equivale a obtener autorización.
Son dos cosas distintas. El aviso informa. La autorización es la manifestación de voluntad del titular. Un chatbot que arranca con "al continuar aceptas nuestra política de privacidad" está informando y presumiendo aceptación, que es exactamente lo que la ley descarta.
La implementación correcta es más simple de lo que parece: el primer intercambio del bot pide aceptación explícita, con un enlace a la política, y no avanza a recolectar nada hasta recibirla. Cuesta un mensaje más. Es la diferencia entre tener respaldo y no tenerlo.
Y hay que conservar la prueba. El artículo 9 obliga a poder demostrar que la autorización se otorgó. En un canal automatizado eso significa guardar el registro: qué se preguntó, qué respondió la persona, cuándo. Si tu proveedor no te deja exportar eso, tienes un problema el día que alguien reclame.
¿Hay que avisar que es un bot?
Seamos precisos, porque acá se lee mucha afirmación categórica sin respaldo: la Ley 1581 no tiene un artículo que diga literalmente "avise que es un bot".
Lo que sí establece la ley es que la autorización debe ser informada y que el tratamiento se rige por el principio de transparencia. De ahí se desprende el criterio, y es difícil defender lo contrario: una persona no puede decidir con conocimiento de causa si cree que habla con un asesor humano cuando en realidad la atiende un sistema que registra todo lo que escribe.
Nuestra posición es que conviene tratarlo como obligatorio, por dos razones. La primera es de riesgo: si un titular reclama, la defensa de "nunca le dijimos que era automatizado" es incómoda de sostener frente a un requisito de información. La segunda es comercial y pesa igual: cuando el cliente descubre solo que hablaba con una máquina, la sensación es de engaño, y eso cuesta más caro que el aviso.
La forma que funciona es la más directa: el bot se presenta como lo que es en el primer mensaje y ofrece de entrada la salida a un humano. Construye confianza en lugar de gastarla, y de paso resuelve la discusión.
RNBD: casi seguro tu pyme NO está obligada, y esto es lo que más se malinterpreta
Vas a leer en muchos sitios que hay que registrar la base de datos del chatbot en el Registro Nacional de Bases de Datos de la SIC. Es una generalización, y para la mayoría de las PYMES colombianas no aplica.
Según el criterio de obligados que fija la normativa y publica la propia Superintendencia de Industria y Comercio, deben registrarse en el RNBD las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las personas jurídicas de naturaleza pública.
Con la UVT de 2026 fijada en $52.374 por la Resolución DIAN 000238 del 15 de diciembre de 2025, ese umbral equivale a $5.237.400.000: poco más de cinco mil doscientos millones de pesos en activos.
Según ese mismo criterio quedan fuera de la obligación de registro:
- Las micro y pequeñas empresas.
- Las personas naturales.
- Los establecimientos de comercio y las sucursales.
Para dimensionarlo: una pyme tendría que tener más de cinco mil millones de pesos en activos para entrar en el registro. La enorme mayoría está muy lejos de esa cifra.
Verifícalo con tu contador, que es quien conoce los activos totales de la sociedad. Es una consulta de cinco minutos y deja el punto documentado.
Pero, y aquí está el matiz que casi nadie explica, no estar obligado a registrar no te exime de absolutamente nada más. Sigues obligado a tener política de tratamiento de datos, a obtener autorización previa, expresa e informada, a atender consultas y reclamos en los plazos de ley, y a implementar medidas de seguridad. El RNBD es un registro público; el resto del régimen aplica igual, sin importar el tamaño.
Confundir las dos cosas lleva a un error caro en las dos direcciones: empresas pequeñas gastando en un registro que no les corresponde, y empresas pequeñas creyendo que como no registran, no cumplen con nada más.
Qué pasa si no cumples
El artículo 23 de la Ley 1581 faculta a la SIC para imponer multas de hasta 2.000 salarios mínimos legales mensuales vigentes. Con el salario mínimo de 2026 fijado en $1.750.905 por el Decreto 1469 de 2025, ese tope equivale hoy a $3.501.810.000.
Y las multas no son la única sanción prevista: la norma contempla también la suspensión de las actividades de tratamiento, el cierre temporal o definitivo de la operación, la orden de eliminar los datos y la publicación de la decisión sancionatoria.
Ahora, seamos justos con la escala. Una pyme que automatiza su WhatsApp no es el objetivo prioritario de la Superintendencia: sus casos sonados han sido contra empresas de telecomunicaciones, salud y comercio electrónico. El riesgo realista no es una investigación de oficio: es el reclamo de un cliente molesto, que sí obliga a responder en 15 días hábiles y que sí puede escalar. Y ahí lo único que te protege es tener la autorización guardada.
Checklist: qué debe tener tu WhatsApp automatizado
- Mensaje inicial que identifica al bot como automatizado y ofrece salida a un humano.
- Solicitud de autorización explícita, con enlace a la política de tratamiento de datos, antes de recolectar cualquier dato.
- El flujo no avanza hasta recibir aceptación afirmativa.
- Registro exportable de cada autorización: qué se preguntó, qué se respondió, cuándo.
- Política de tratamiento publicada y accesible, con las finalidades reales, no una plantilla.
- Canal y procedimiento para consultas y reclamos, con los plazos de ley: 10 días hábiles para consultas, 15 para reclamos.
- API oficial de Meta, no un atajo. Un número que opera por vías no oficiales puede quedar bloqueado, y con él se va el histórico de autorizaciones.
- Revisión de si aplica el RNBD según los activos de la empresa. Casi seguro no aplica; queda documentado que se verificó.
Dónde se rompe en la práctica
Casi nunca por mala fe. Se rompe porque la autorización se ve como fricción: cada paso extra en el flujo cuesta conversiones, y la tentación de "eso lo arreglamos después" es enorme cuando el bot ya está trayendo clientes.
El problema es que después no se arregla. Cuando ya tienes cuatro mil conversaciones sin autorización registrada, no puedes volver atrás a pedirla. La única salida es empezar a pedirla desde hoy y cargar con lo anterior.
Por eso conviene resolverlo en el diseño del flujo, no como parche. Un mensaje bien redactado al inicio cuesta un segundo de la conversación. Reconstruir cuatro mil autorizaciones cuesta la operación entera.
Fuentes
Todas las cifras de este artículo salen de normas publicadas. Si alguna cambia y no lo hemos actualizado, manda la norma vigente y corregimos.
| Afirmación | Fuente |
|---|---|
| Autorización previa, expresa e informada · deber de conservar prueba | Ley 1581 de 2012, artículos 8 y 9 |
| Desarrollo de cómo se obtiene la autorización | Decreto 1074 de 2015 |
| Obligados al RNBD y umbral de 100.000 UVT | Superintendencia de Industria y Comercio · Registro Nacional de Bases de Datos |
| UVT 2026 = $52.374 | Resolución DIAN 000238 del 15 de diciembre de 2025 |
| Sanciones de hasta 2.000 SMLMV | Ley 1581 de 2012, artículo 23 |
| SMLMV 2026 = $1.750.905 | Decreto 1469 de 2025 |
Última verificación de cifras: agosto de 2026. La UVT y el salario mínimo cambian cada enero; si estás leyendo esto en otro año, comprueba los valores vigentes.
¿Te suena tu operación?
En Orión IA implementamos automatización y agentes de IA para PYMES colombianas. El diagnóstico inicial es una conversación de 30 minutos, sin costo y sin venta dura: salimos con una lista priorizada, la implementemos contigo o no.
Escríbenos por WhatsApp