Habeas Data 2026: lo que cambia para sistemas de agentes autónomos
La Ley 1581 de 2012 y sus decretos reglamentarios (el "Habeas Data" colombiano) fueron diseñados para un mundo donde los datos personales eran recopilados por humanos, almacenados en bases de datos relacionales y procesados por software determinístico. La IA generativa y los sistemas de agentes autónomos introducen tres dimensiones que el marco original no contempló y que la SIC (Superintendencia de Industria y Comercio) está comenzando a regular de forma activa en 2026.
La primera es la inferencia no explícita. Un agente de IA que procesa el historial de compras de un afiliado puede inferir información sensible (situación financiera, comportamiento de pago, preferencias) que el titular nunca consintió compartir explícitamente. La posición de la SIC, según concepto de febrero de 2026, es que estas inferencias tienen el mismo tratamiento que los datos de origen si son "suficientemente determinantes de la conducta del titular". Las empresas deben documentar qué inferencias realizan sus modelos.
La segunda es la delegación de decisiones. Cuando un agente autónomo aprueba una cotización, rechaza una solicitud de crédito o escalona un caso de soporte, ¿quién es el responsable del tratamiento? La SIC ha adoptado el principio de "accountability no delegable": el responsable legal sigue siendo el empresa que desplegó el agente, independientemente de que el modelo sea de un tercero (OpenAI, Anthropic, Google). Esto tiene implicaciones directas en los contratos con proveedores de infraestructura de IA.
La tercera es la portabilidad de datos procesados por modelos. El derecho a la portabilidad contemplado en la ley colombiana incluye ahora, según interpretación de 2026, los "datos derivados" que un modelo haya generado sobre el titular. En términos prácticos: si su agente construyó un perfil de riesgo sobre un prospecto, ese prospecto tiene derecho a solicitar ese perfil.
¿Cómo se opera en cumplimiento sin parálisis? Tres medidas concretas.
Primero: logging total de decisiones del agente, con timestamp y razonamiento resumido accesible para auditoría. Esto cumple tanto con Habeas Data como con los requisitos de trazabilidad de GDPR si hay clientes europeos.
Segundo: acuerdos "no-training" contractuales verificables con cada proveedor de modelo. OpenAI Enterprise, Anthropic y Google Vertex ofrecen estos acuerdos; deben estar firmados antes de procesar datos de personas naturales.
Tercero: mecanismo de supresión automática. El sistema debe poder eliminar todos los datos de un titular (incluyendo vectores y embeddings) en respuesta a una solicitud de supresión, en un plazo máximo de 72 horas desde la recepción. Esto requiere que la arquitectura mantenga un índice de qué datos de qué titular están en qué sistema.
El cumplimiento no es optativo ni diferible. Pero tampoco requiere detener el despliegue: requiere arquitectura correcta desde el inicio.