SIC lanza advertencia a empresas que usan la IA: deben proteger datos personales

La Superintendencia de Industria y Comercio expidió la circular No. 2 del 21 de agosto de 2024 en la que especifica las normas que deben cumplir las empresas del país que usen cualquier herramienta de inteligencia artificial para recopilar datos.

Por ejemplo, los chats automáticos que usan empresas para ofrecer recomendaciones sobre servicios o soluciones que constantemente se están alimentando de las consultas realizadas y entregan a su vez recomendaciones y predicciones.

En el documento, firmado por la superintendente Cielo Rusinque, se lee que la legislación vigente insta a que estas nuevas tecnologías cumplan con eltratamiento de datos ya practicado en otros escenarios tradicionales.

“El Tratamiento de Datos personales en Sistemas de Inteligencia Artificial requiere la debida observancia de lo establecido en materia de protección de Datos personales. La ley colombiana permite el uso de tecnologías para tratar datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico. Quienes crean, diseñan o usan ‘innovaciones tecnológicas’ deben cumplir todas las normas sobre Tratamiento de Datos personales recolectados y/o tratados en Colombia”, argumentó la entidad.

En esa medida, la SIC instó a las empresas, o en general administradoras de datos, a revisar previamente al menos cuatro aspectos antes de activar un servicio de estos: si es idóneo y necesario usarlo, es decir, revisar que no haya otras herramientas que no pongan tanto en riesgo la seguridad de los datos.

Además, debe ser una herramienta responsable, que esté dentro de las finalidades constitucionales y que su uso sea proporcional en cuanto a riesgos versus beneficios por entregar datos personales. Si no se cumplen estos aspectos, la SIC pidió a las empresas no ofrecer los servicios mencionados.

Otra de las indicaciones que dio la Superintendencia es que quienes administren sistemas para prevenir o atender riesgos adelanten un estudio de impacto de privacidad que detalle cómo se manejarán los datos.

“Los datos personales sujetos a tratamiento en la IA deben ser veraces, completos, exactos, actualizados, comprobables y comprensibles. De esta manera, se prohibe el tratamiento de datos personales parciales, incompletos, fraccionados o que induzcan a error”, advirtió la superintendencia.

Los planes de contingencia también deben incluir medidas de diferente tipo para evitar que los datos almacenados sean usados de manera indebida, los manipulen, destruyan o distribuyan sin ninguna autorización.

Finalmente, la SIC aclaró que si bien la información es accesible al público, no necesariamente es de naturaleza pública.

“El hecho de que estén disponibles en internet no significa que cualquier persona puede tratarlos sin autorización previa. (...) Los Administradores que recolecten datos personales privados, semiprivados o sensibles en internet no están legitimados para apropiarse de dicha información y tratarla para cualquier finalidad que consideren apropiado sin la autorización previa, expresa e informada de dueño de la información”, reiteró la SIC.