Así se deberán tratar los datos personales en sistemas de Inteligencia Artificial en Colombia
La Superintendencia de Industria y Comercio (SIC) de Colombia estableció los lineamientos sobre el uso de los datos personales que se emplean para el desarrollo de sistemas de Inteligencia Artificial (IA), con el objetivo de garantizar que las entidades respeten los derechos fundamentales del Habeas Data, conforme a lo establecido en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012.
La Circular 002, dirigida a todos los sujetos vigilados por la SIC, determina que el tratamiento de datos personales debe regirse por los principios de idoneidad, necesidad, razonabilidad y proporcionalidad. Esto significa que las organizaciones deben asegurarse de que cualquier uso de datos personales en sistemas de IA sea estrictamente necesario para los fines legítimos que se persiguen, y que se minimice al máximo cualquier impacto negativo sobre la privacidad de los individuos.
La Superintendencia se basa en que la IA requiere el análisis de grandes volúmenes de datos, la mayoría de los cuales son de carácter personal, por lo que considera “esencial que las organizaciones implementen medidas robustas para asegurar que el tratamiento de estos datos se realice de manera responsable, ética y conforme a la ley”.
La circular subraya la importancia de adoptar enfoques proactivos para la protección de la privacidad, entre los cuales se encuentran la implementación de la privacidad desde el diseño y por defecto (Privacy by Design and by Default); este enfoque exige que la protección de datos sea una consideración central desde las primeras etapas del desarrollo de cualquier sistema de IA.
Recomendamos: MinTIC radica proyecto de ley para transformar el uso de datos en Colombia
La SIC también insta a las entidades a realizar estudios de impacto de privacidad antes de la implementación de cualquier proyecto que involucre Inteligencia Artificial, especialmente aquellos que puedan implicar altos riesgos para los titulares de los datos. Estos estudios deben incluir una descripción detallada de las operaciones de tratamiento de datos, una evaluación de los riesgos específicos que puedan surgir, y las medidas concretas que se planean adoptar para mitigar estos riesgos.
La veracidad, integridad y actualización de los datos personales también son incluidos en los lineamientos de la SIC. Sobre ello, las empresas deberán garantizar que la información utilizada en los sistemas de IA sea precisa y actual para evitar cualquier posible perjuicio a los titulares de los datos.
Al respecto, la SIC prohíbe explícitamente el tratamiento de información que pueda inducir a error, subrayando la responsabilidad de las organizaciones de garantizar que los datos que manejan sean confiables.
También, el ente regulador sugiere la adopción de técnicas avanzadas de protección de la privacidad, como la privacidad diferencial. Esta técnica permite el análisis de grandes conjuntos de datos sin comprometer la privacidad individual de las personas, lo que se considera crucial en un entorno donde la IA puede procesar vastas cantidades de información.
De no cumplir con las directrices de la SIC, las compañías pueden enfrentar sanciones significativas, que van desde multas hasta la suspensión de operaciones.