Una organización que atiende a víctimas del conflicto lleva una base de datos en una hoja de cálculo: nombre, documento, municipio de expulsión, hecho victimizante, estado de salud, teléfono. Un día alguien del equipo descubre que puede subir esa hoja a una herramienta de inteligencia artificial y pedirle que «identifique los casos prioritarios». Lo hace. El resultado es una lista ordenada que parece útil. Lo que nadie revisó es que acaba de enviar los datos más sensibles que existen en Colombia a un servidor que no sabe dónde está, para una finalidad que ninguna de esas personas autorizó, con un criterio de priorización que nadie puede explicar.
En el artículo anterior sobre IA en organizaciones sociales dejamos tres líneas rojas. Este artículo entra en la primera: los datos de participantes. Qué dice la ley colombiana, qué pide el sentido común y cómo se escribe una política interna que quepa en una página.
Lo que dice la Ley 1581: los principios
La Ley 1581 de 2012 regula el tratamiento de datos personales en Colombia, y el Decreto 1377 de 2013 la reglamenta. «Tratamiento» es cualquier operación sobre datos: recogerlos, guardarlos, usarlos, circularlos, borrarlos. Pegar una lista en un chat de IA es tratamiento.
La ley se organiza en principios. Los que más tocan al uso de IA son estos:
Finalidad. Los datos se recogen para un fin concreto, informado a la persona. Si una familia dio sus datos para recibir un apoyo alimentario, usarlos para entrenar o alimentar una herramienta que hace otra cosa es una finalidad nueva, y necesita autorización nueva.
Libertad. El tratamiento requiere consentimiento previo, expreso e informado. El Decreto 1377 detalla cómo debe ser esa autorización y qué debe informarse. Un formulario de inscripción que no menciona el uso de herramientas digitales de terceros no cubre ese uso.
Acceso y circulación restringida. Los datos solo circulan entre quienes están autorizados. Una herramienta en la nube es un tercero. Si además el servidor está fuera de Colombia, puede tratarse de una transferencia internacional, que la ley condiciona.
Seguridad y confidencialidad. Quien trata los datos debe protegerlos de acceso no autorizado y de pérdida. Una cuenta gratuita compartida por el equipo, con contraseña en un papel, no cumple con eso.
Hay otros principios (legalidad, veracidad, transparencia), pero con estos cuatro ya se ve por qué el ejemplo del inicio tiene problemas en cada paso.
Datos sensibles: niñez, salud, víctimas
La ley reserva una categoría para los datos sensibles: los que afectan la intimidad o cuyo uso indebido puede generar discriminación. La lista incluye origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos de salud, de vida sexual y biométricos. Para estos datos la regla general es que su tratamiento está prohibido, con excepciones tasadas, y siempre con autorización explícita.
Los datos de niños, niñas y adolescentes tienen protección propia: la ley parte de la prohibición de su tratamiento salvo datos de naturaleza pública, y exige que cualquier excepción respete su interés superior y sus derechos fundamentales.
La condición de víctima no aparece como categoría literal en la ley, pero los datos que la describen (el hecho sufrido, la afectación en salud, la pertenencia a un grupo étnico, la filiación política del familiar asesinado) caen casi siempre dentro de los sensibles. En la práctica, una base de datos de víctimas es una base de datos sensible.
Ahora junta esto con el uso de IA. Una organización social típica trabaja con alguna combinación de niñez, salud, víctimas, población étnica o personas en situación de pobreza. Es decir: con lo más protegido de la ley.
Qué nunca pasa por una IA en la nube
Con lo anterior, la regla práctica es corta. No entra en una herramienta de IA en la nube, de ningún proveedor, en ninguna modalidad de cuenta:
- Ningún dato que identifique a una persona: nombre, documento, dirección, teléfono, foto, voz.
- Ningún dato sensible, aunque esté «sin nombre», si la combinación permite identificar a alguien (en una vereda de cuarenta familias, «mujer de 34 años, desplazada en 2019, con tres hijos» es un nombre).
- Ningún dato de niños, niñas y adolescentes.
- Ninguna decisión sobre quién recibe qué.
Lo que sí puede entrar: textos agregados y anonimizados, documentos públicos, material propio sin datos de personas, borradores de comunicación. Para los casos intermedios (transcripciones de entrevistas, respuestas abiertas de encuestas) la vía es anonimizar antes, con criterios escritos, y elegir herramientas cuyas condiciones de uso digan con claridad qué hacen con lo que reciben y dónde lo almacenan.
El sentido común añade algo que la ley no dice con esas palabras: si tuvieras que explicarle a la persona, cara a cara, qué hiciste con sus datos y por qué, ¿podrías? Si la respuesta incomoda, no lo hagas.
Una política interna en una página
No hace falta un manual. Hace falta una página que todo el equipo haya leído, con estos apartados:
Qué datos tenemos y para qué. Lista de las bases de datos de la organización, qué contienen, qué finalidad autorizaron las personas y dónde están guardadas.
Qué herramientas de IA usamos y con qué cuentas. Nombre, tipo de cuenta, quién es responsable, y un enlace a las condiciones de uso del proveedor.
Qué entra y qué no. Las cuatro reglas de arriba, tal cual, y los criterios de anonimización para los casos intermedios.
Qué pasa si hay un error. Alguien pegó lo que no debía. Se informa al responsable el mismo día, se borra el historial de la herramienta si es posible, se evalúa si hay que avisar a las personas afectadas y se registra lo ocurrido. Sin castigo por avisar: el castigo produce silencio.
Quién revisa esto y cuándo. Una persona, una fecha al año.
Una corporación de siete personas que trabaja con adolescentes en Bogotá escribió la suya en una tarde. Lo más útil, contaron después, no fue el documento sino la conversación: dos personas descubrieron que usaban herramientas distintas con criterios distintos, y una de ellas había estado subiendo listas de asistencia con nombres de menores para «ordenarlas». Dejó de hacerlo esa semana.
Por dónde empezar
- Haz el inventario de bases de datos en una hoja: qué hay, para qué se autorizó, dónde está.
- Pregunta al equipo, sin reproche, qué herramientas de IA usa y con qué datos. La respuesta honesta vale más que la política.
- Escribe la página con los cinco apartados y léela en una reunión de equipo.
- Revisa tus formatos de autorización: si no mencionan el uso de herramientas digitales de terceros, pide que los revise alguien con formación jurídica.
Si quieres que lo miremos juntos, una conversación de 20 minutos basta.
Este artículo es orientativo y no sustituye la revisión de un abogado.