Habeas data y agentes de IA en WhatsApp: qué exige la Ley 1581 en Colombia

Un agente de IA que atiende WhatsApp recoge datos personales todo el día: el nombre, el teléfono, la cédula para una cotización, la dirección de un envío, a veces el motivo de una consulta médica. La Ley 1581 de 2012 no tiene un capítulo para la inteligencia artificial, y no lo necesita: la Superintendencia de Industria y Comercio (SIC) dice en su Circular Externa 002 de 2024 que las leyes de datos son neutrales frente a la tecnología y se aplican igual a cualquier sistema de IA.

¿Quién es el Responsable y quién el Encargado?

La ley define dos papeles (artículo 3). El Responsable decide sobre la base de datos y el tratamiento. El Encargado trata los datos por cuenta del Responsable.

Cuando tu empresa pone un agente a atender a sus clientes, tu empresa es la Responsable: decide qué se pregunta, para qué y cuánto tiempo se guarda. La plataforma que corre el agente es Encargada. En el caso de Meteor está escrito en sus Términos (cláusula 16.1): el cliente actúa como Responsable y Meteor como Encargado, y trata los datos según las instrucciones documentadas del cliente.

¿Qué dice la ley que tienes que hacer?

Obligación	Dónde está	Qué significa en un chat
Autorización previa, expresa e informada	Ley 1581, arts. 3 y 9	Pedirla al empezar, por un medio que se pueda consultar después
Informar la finalidad y los derechos	Ley 1581, art. 12	Decir para qué usarás los datos, qué derechos tiene y cómo contactarte
El silencio no es autorización	Decreto 1377, art. 7	Que no responda no cuenta como sí
Responder consultas	Ley 1581, art. 14	Máximo 10 días hábiles, prorrogables 5
Responder reclamos	Ley 1581, art. 15	Máximo 15 días hábiles, prorrogables 8
Datos sensibles con reglas propias	Ley 1581, arts. 5 y 6	Salud, biometría y otros: autorización explícita y respuesta facultativa
Datos de niños, niñas y adolescentes	Ley 1581, art. 7; Decreto 1377, art. 12	Prohibido salvo datos públicos o con los requisitos del decreto, incluida la autorización del representante legal
Seguridad	Ley 1581, art. 4, literal g	Medidas técnicas, humanas y administrativas contra acceso no autorizado

¿Qué agrega la circular de la SIC sobre IA?

La Circular Externa 002 del 21 de agosto de 2024 está dirigida a quienes tratan datos personales en sistemas de IA, sean Responsables o Encargados. Sus instrucciones principales:

1. Ponderar antes de tratar. El tratamiento debe ser idóneo (sirve para el objetivo), necesario (no hay una medida menos invasiva igual de eficaz), razonable y proporcional.
2. Precaución. Si no hay certeza sobre los daños que puede causar, hay que abstenerse o adoptar medidas preventivas.
3. Gestión de riesgos. Identificar, medir, controlar y monitorear los riesgos del tratamiento.
4. Estudio de impacto de privacidad cuando sea probable un alto riesgo para los titulares, con la descripción de las operaciones, la evaluación de riesgos y las medidas para evitarlos.
5. Calidad del dato. Veraz, completo, exacto, actualizado, comprobable y comprensible.
6. Lo que está en internet no es público por eso. Un dato accesible al público no se puede tratar sin autorización solo porque se encontró en línea.

¿Cómo se ve esto en una conversación?

Un recorrido que cumple la ley y no espanta al cliente cabe en cuatro pasos:

1. El primer mensaje informa. Quién eres, para qué usarás lo que te cuente y dónde está tu política de tratamiento.
2. La respuesta del cliente queda guardada. La autorización tiene que poder consultarse después (artículo 9), así que no basta con que haya pasado en el chat: deja constancia en el contacto, con la fecha y lo que se le informó.
3. El agente pide solo lo necesario. Si para cotizar basta el nombre y la ciudad, la cédula sobra. Es el criterio de necesidad de la circular, aplicado a cada pregunta.
4. Una consulta o reclamo de datos pasa a una persona. El agente puede recibirlo, pero el plazo de 10 o 15 días hábiles lo cumple tu equipo, con la base de datos real.

Cómo lo hace Meteor

• Roles por escrito. Los Términos de Meteor fijan que el cliente es Responsable y Meteor Encargado, y que la autorización de los titulares la obtiene el cliente. Una autorización genérica previa no habilita por sí sola el tratamiento con IA, dice la misma cláusula 16.2.
• Le indicas al Met cómo saludar. El prompt del Met es contenido de tu espacio de trabajo: ahí le instruyes que el primer mensaje informe la finalidad y enlace tu política.
• La constancia, en el contacto. El Met puede dejar una nota o una etiqueta en el contacto del CRM cuando el cliente autoriza. Hazlo así y no confíes solo en el historial: la cláusula 17.1 de los Términos fija en 15 días la conservación de los registros de conversación, salvo que la ley exija otro plazo o configures una retención distinta.
• Transferir a una persona es una herramienta del Met, no un truco del prompt: la página del agente de WhatsApp explica cuándo se usa y cómo conserva el contexto.
• Seguridad publicada. La guía de seguridad de agentes de IA resume los controles que Meteor publica en su Política de Privacidad y sus Términos.

Lo que Meteor no hace por ti: redactar tu política, decidir tus finalidades ni responder un reclamo ante la SIC. Eso sigue siendo del Responsable.

Lo que no es

Esto no es asesoría legal. Las normas se citan con su número y su texto oficial, consultado el 28 de octubre de 2026, para que sepas qué revisar con tu abogado. Si tu operación trata datos de salud, datos de menores o información crediticia, la revisión profesional no es opcional.