La ley de IA para Colombia: aspectos importantes para tener en cuenta

En la regulación local de la IA precisamos de una mayor congruencia en el tratamiento de tecnologías donde ni siquiera las medidas reforzadas de transparencia justificarían, en principio, el sacrificio de numerosos derechos que consideramos preciados. Debemos avanzar en el tratamiento que se debe dar a la biometría remota, tanto en vivo como la diferida.

En tres años, el Gobierno ha intentado sin éxito regular la inteligencia artificial. En esta última legislatura de la actual Presidencia, el Ministerio de Ciencias impulsa el proyecto de ley n.° 043/25, que, aunque reformula algunas definiciones y principios, arrastra los mismos problemas de fondo que marcaron versiones anteriores que repiten al pie de la letra la fórmula europea que no responde a nuestro contexto sociopolítico ni sociotécnico.

Uno de los ejemplos problemáticos de ese copia y pega regulatorio lo podemos ver en el tratamiento de la biometría remota, un tipo de IA de alto riesgo que se articula a través de sistemas de cámaras dispersas en el espacio público, cuya presencia no percibimos.

Se trata de un conjunto de tecnologías sofisticadas –cámaras, escáneres, sistemas de IA de reconocimiento facial, entre otros– con la capacidad de capturar rasgos biométricos como el rostro, que nos identifican o nos hacen identificables ante las autoridades.

El proceso de identificación puede suceder en dos situaciones: en tiempo real o en vivo, y de manera retrospectiva o diferida, es decir, a través de grabaciones capturadas donde la identificación de las personas sucede en el futuro.

La regulación problemática de la biometría remota

En la Ley de Inteligencia Artificial de Europa se regula tanto la biometría remota en tiempo real, como la biometría remota diferida, cuyo tratamiento legal es diferenciado. Ese tratamiento, sin embargo, no tiene sentido desde una perspectiva de derechos humanos.

Por un lado, se prohíbe el despliegue de los sistemas de biometría remota en tiempo real por considerársela más peligrosa para la protección de la privacidad. Sin embargo, esa ley autoriza su uso excepcional en manos de las autoridades que persiguen delitos graves como el terrorismo.

Y por otra, se autoriza el uso de la biometría remota retrospectiva, por considerársela menos riesgosa. La biometría remota, en ambas modalidades, es un tipo de IA de alto riesgo por representar una amenaza para la protección de los derechos de las personas.

Este tipo de biometría dispersa en el espacio público trae consigo dos consecuencias prácticas:

• Genera un incentivo para la masificación de sistemas de vigilancia masiva.
• En el caso de la biometría diferida, genera un incentivo, para actores públicos y privados, en la conservación de las grabaciones sobre nuestras actividades en el espacio público, para cuando puedan ser de utilidad para las autoridades, lo que permitiría recopilar más información contextual sobre nuestros hábitos sociales y de tránsito.

La biometría remota y sus peligros

Este tipo de IA, esencialmente predictiva y basada en la detección de patrones que conducen a la identificación de una persona, es susceptible de errores cuyas implicaciones pueden traer consecuencias jurídicamente relevantes para las personas: detenciones injustas, tratamientos jurídico-penales fruto de la sospecha que se funda en el resultado de una IA, entre otros.

Brasil es un ejemplo crítico en la región. Es uno de los países donde se ha masificado de manera extensiva el número los sistemas de reconocimiento facial en el espacio público -una modalidad común de la biometría remota-, lo que trae consigo la identificación errónea de personas sin que su despliegue haya servido de manera efectiva para las autoridades.

Una mujer embarazada, sin antecedentes, fue identificada como criminal. Su detención por más de diez horas le produjo un parto prematuro. En otro caso, un hombre de la tercera edad fue detenido y tratado como criminal por error, luego de ser identificado como un violador condenado y en fuga.

La regulación de la IA fue duramente criticada en Europa por organizaciones de derechos humanos principalmente por dos motivos. Porque el tratamiento diferencial de la biometría remota, motivado en razones técnicas, no tiene sentido al ser ambas una amenaza para el ejercicio de derechos en el espacio público. Y porque su masificación articula verdaderos sistemas de vigilancia de la población sin repercusiones útiles de política pública.

Colombia, una fórmula defectuosa y la ausencia de una posición crítica

Colombia, como muchos otros países de la región que copian la aproximación europea –incluidos Brasil y Chile–, reproduce ese tratamiento diferenciado de la biometría remota en tiempo real y la biometría remota diferida, con agravantes adicionales:

• No introduce procedimientos, estándares o garantías para la protección de derechos, salvo menciones vagas y genéricas de protección del debido proceso, la igualdad y no discriminación;
• La ausencia de protecciones específicas a favor de la transparencia sobre esas tecnologías, sus algoritmos y bases de datos, su auditoría independiente para escrutar su desempeño en la práctica o los procesos detrás de su adquisición y compra.

En el proyecto 043 de 2025, de hecho, se autoriza a las autoridades al uso excepcional de la biometría remota en vivo, calificada por el proyecto como una IA de “riesgo crítico”, bajo fórmulas tan vagas que pueden hacer de la excepción una regla. Se dice, por ejemplo, que su uso debe perseguir la “prevención de amenazas inminentes” o la investigación de delitos graves. La biometría remota retrospectiva, permitida por el proyecto, es calificada como una IA de “alto riesgo”.

En la iniciativa, las diferencias entre la IA de “riesgo crítico” y la de “alto riesgo” es tan tenue que no tienen diferencias significativas en su tratamiento. Ambas representan riesgos para los derechos fundamentales. La de “riesgo crítico” puede contradecir de manera sustancial el “interés público superior”. La de “alto riesgo” presenta un impacto adverso sobre los derechos de las personas; ésta a última, a diferencia de la primera, se somete a condiciones de transparencia que no son especificadas en el proyecto.

La pregunta es: ¿Por qué el proyecto, que reconoce que la biometría remota en sus dos modalidades como riesgosa desde una perspectiva de derechos, favorece su uso en manos de las autoridades pese a que compromete los intereses que les pide a estas que protejan?

Contextualizar el tratamiento legal de la biometría remota

En la regulación local de la IA precisamos de una mayor congruencia en el tratamiento de este tipo de tecnologías donde ni siquiera las medidas reforzadas de transparencia justificarían, en principio, el sacrificio de numerosos derechos que consideramos preciados.

En nuestro contexto, ¿cuál debería ser el tratamiento que debiésemos dar a la biometría remota, tanto en vivo como la diferida? En esa discusión debemos avanzar considerando dos claves.

Por un lado, la necesidad de fortalecer la regulación de protección de datos, en especial en lo que tiene que ver con las protecciones y sanciones asociadas al indebido tratamiento de datos biométricos, sensibles por las repercusiones que tiene la eventual instrumentalización de su uso en contra de su titular.

Y por otro, la necesidad de reimaginar y robustecer el papel de la autoridad de protección de datos que vigila al Estado cuando este actúa como responsable de nuestros datos más críticos. Se trata de un papel que, según la iniciativa N.º 043 que regula la IA, estaría en manos de la Procuraduría General de la Nación, una autoridad que ha sido pasiva en materia de protección de datos.

Recordemos que en pandemia, y a propósito de las apps para el covid, la Procuraduría, que actúa como autoridad de protección de datos del Estado, brilló por su ausencia. Hubo jalones de oreja, insuficientes si se tiene en cuenta la Resolución de 2024 de la SIC que regañó al Minsalud por haber reutilizado los datos de CoronApp para otros fines, incumpliendo la promesa de eliminación de los datos recogidos en esa app una vez finalizada la emergencia sanitaria ¿qué urge aprender de este otro caso para no repetir en la regulación de la IA?

Como sea la fórmula regulatoria adoptada para esta materia en concreto, urge que el Gobierno por fin se atreva a adoptar una visión más contextualizada de la IA que responda a las capacidades técnicas, regulatorias y del ecosistema de actores interesados en esa cadena de valor. Copiar a Europa es inconveniente y nos desconecta de las necesidades locales que urge abordar con creatividad, pero con urgencia.

Le recomendamos: La inteligencia artificial y la política del Estado colombiano