Ley de IA en Colombia, lo que se movió en septiembre de 2026

En septiembre de 2026 el proyecto de ley 025 de 2026 de la Cámara, que busca regular la inteligencia artificial en Colombia, dio sus primeros pasos en la Comisión Sexta. El 29 de agosto la comisión designó ponentes, el 15 de septiembre hubo una mesa técnica con academia, gremios y sociedad civil, y la ponencia para primer debate ya está publicada en la página de la Cámara de Representantes. Todavía no hay votación, pero el texto ya dice qué tendría que hacer una empresa que use IA en decisiones que afectan a personas, y eso vale la pena leerlo antes de que sea ley y no después.

Qué es el proyecto y en qué punto va

Según la ponencia para primer debate, el proyecto se radicó el 21 de julio de 2026 por un grupo de representantes y senadores y se publicó en la Gaceta 878 de 2026. El 29 de agosto la Comisión Sexta nombró como ponentes a David Alejandro Toro Ramírez, que coordina, a Laura Isabel Vera Zapata y a Melissa Orrego Eusse. El documento termina pidiéndole a la comisión que dé primer debate al texto. Al cierre de este artículo no encontré registro de que ese debate se haya votado.

No es el primer intento. Semana recordó el 28 de agosto que el proyecto anterior, el 043 de 2025 Senado y 324 de 2025 Cámara, se archivó al terminar la legislatura. En esa misma nota, abogados de firmas como Garrigues, Scola y PPU anticipaban un enfoque menos estricto y señalaban que sigue abierta la pregunta de quién vigila, si MinCiencias o la Superintendencia de Industria y Comercio.

Qué le pediría a una empresa que usa IA

El proyecto clasifica los sistemas por su impacto. Para los que llama de alto impacto, el artículo 7 de la ponencia exige, entre otras cosas, lo siguiente.

• Gestión de riesgos con evaluación de impacto.
• Gobernanza de los datos con que se entrena y opera el sistema.
• Documentación y trazabilidad.
• Supervisión humana.
• Precisión, robustez y no discriminación.
• Monitoreo después del despliegue y reporte de incidentes graves.

También hay deberes de transparencia para algunos sistemas que no son de alto impacto, y el texto repite como principio que las personas deben ser informadas cuando interactúan con un sistema de IA. Para una pyme eso toca lo cotidiano, como el chatbot de WhatsApp o el asistente de la página web. Escribí sobre una regla parecida en Europa en este artículo sobre chatbots y la ley europea.

La ponencia reconoce las capacidades diferenciadas de las micro, pequeñas y medianas empresas y dice que la reglamentación podrá crear mecanismos simplificados de documentación, evaluación y reporte para ellas, siempre que mantengan un nivel equivalente de protección. Ojo con la lectura. Es una promesa de reglamento futuro, no una exención.

Para los proveedores extranjeros la ley aplicaría si superan ciertos umbrales, entre ellos 450.000 UVT de ingresos por su operación en Colombia o 500.000 usuarios activos mensuales en el país, según el artículo 2 de la ponencia. Eso apunta a las grandes plataformas cuyas herramientas usa tu equipo. El texto crea además un registro público y gratuito de sistemas de alto impacto.

Quién vigilaría y desde cuándo

El artículo 14 crea una Comisión Intersectorial de IA con MinCiencias, MinTIC y la SIC, y la SIC conserva su papel de autoridad de datos personales bajo la Ley 1581 de 2012, según la ponencia. El artículo 20 crea un Fondo Nacional de Impulso a la Industria de IA, adscrito a MinCiencias, que cofinanciaría investigación liderada por mipymes y universidades públicas, becas, infraestructura de cómputo y entornos de prueba regulatorios.

En los plazos, el artículo 34 de la ponencia dice que las prohibiciones regirían desde la promulgación, las obligaciones de alto impacto doce meses después y el resto a los «veinticuatro (18) meses», una cifra que el propio texto escribe en letras y números que no coinciden. Seguramente se corrija en el debate, pero muestra que el articulado sigue en obra.

En paralelo, la SIC abrió el 8 de septiembre una consulta pública sobre validación de identidad y protección de datos personales, con aportes hasta el 9 de octubre. No habla de IA, pero sí del uso de datos biométricos, algo que muchas empresas ya manejan con herramientas automatizadas.

Lo que se dijo en la mesa técnica

La mesa del 15 de septiembre, resumida en la ponencia, dejó acuerdos sobre proteger derechos y fortalecer capacidades, y desacuerdos sobre la arquitectura institucional, el alcance de las obligaciones, la soberanía de datos y el ritmo de la regulación. Juan David Gutiérrez, de Uniandes, pidió separar la promoción de la supervisión y crear una autoridad autónoma. Sandra Ortiz, del Externado, advirtió contra un superregulador y recordó que los entornos de prueba tienen costos.

Lo más relevante para empresas pequeñas vino de los gremios, según el mismo documento. Santiago Marroquín, de AmCham, dijo que los costos de cumplimiento podrían ser prohibitivos para las pymes y cuestionó el artículo 13, que haría obligatorio el entorno de prueba para todo sistema de alto riesgo. La Cámara Colombiana de Comercio Electrónico pidió no copiar el modelo europeo, medir el impacto sobre las mipymes porque las auditorías serían una barrera de entrada, distinguir entre desarrollador, implementador y usuario, y hacer las obligaciones proporcionales al riesgo.

Néstor Duque, de la Universidad Nacional, pidió reglas para las herramientas que los empleados usan sin control de la empresa. Ese punto describe algo que ya pasa en muchas oficinas y que traté en el artículo sobre IA no autorizada en el equipo.

El 30 de septiembre el ponente coordinador publicó una columna en el portal de la Cámara donde habla de tres brechas, de velocidad, de información y de jurisdicción, y pide instituciones capaces de auditar y actuar de forma preventiva, además de coordinación regional en América Latina.

Qué haría yo esta semana

Mi lectura es que el texto va a cambiar en el debate, pero la dirección se ve clara. Quien use IA para decidir sobre personas va a tener que documentar, explicar y supervisar. Esto no es asesoría legal. Si tu empresa usa IA en decisiones sobre clientes o empleados, consulta con un abogado para tu caso concreto.

• Haz una lista de las herramientas de IA que usa tu equipo, incluidas las que nadie aprobó. Una hoja de cálculo basta.
• Marca cuáles toman o sugieren decisiones sobre personas, como aprobar un crédito, filtrar hojas de vida o fijar un precio. Esas son las candidatas a alto impacto.
• Revisa que tu chatbot o asistente diga que es una IA. Es barato y ya es buena práctica.
• Pregunta a tus proveedores de software qué documentación tienen de sus modelos. Si la ley pasa, la vas a necesitar.
• Si prefieres ordenar este inventario con apoyo externo, en consultoría de IA en Colombia explico cómo lo trabajo.

Fuentes

• Cámara de Representantes, ponencia para primer debate del PL 025 de 2026 (2026-09)
• Poder Legislativo, Los desafíos de legislar en la era de la IA (2026-09-30)
• Semana, ¿Más controles o más innovación? El dilema que abre la nueva ley de IA (2026-08-28)
• SIC, consulta pública sobre validación de identidad y protección de datos personales (2026-09-08)