Empleos de Protección de Datos e Inteligencia Artificial en Colombia
22 de septiembre de 2026
Colombia tiene algo que a otros países de la región todavía les falta: una autoridad que ya dijo, por escrito, cómo se aplica la ley de datos personales a los sistemas de inteligencia artificial. Eso convierte una discusión teórica en una obligación revisable, y las obligaciones revisables generan empleo.
Las tres piezas que hay que conocer
La Ley 1581 de 2012 sigue siendo la norma central. Es la que consagra el habeas data: el derecho de una persona a conocer, actualizar, rectificar y suprimir sus datos personales. Se aplica igual si quien trata esos datos es una hoja de cálculo o un modelo entrenado, y ese punto es el que mucha gente pasa por alto.
La Circular Externa 002 del 21 de agosto de 2024, de la Superintendencia de Industria y Comercio, fija directrices concretas para el tratamiento de datos personales en sistemas de inteligencia artificial, en el marco de las leyes estatutarias 1266 de 2008 y 1581 de 2012.
El CONPES 4144, adoptado en febrero de 2025, es la Política Nacional de Inteligencia Artificial. Traza una hoja de ruta hasta 2030 e integra la IA en los objetivos de desarrollo del país, con énfasis en el cierre de brechas digitales y la protección de derechos fundamentales.
| Norma | Qué aporta |
|---|---|
| Ley 1581 de 2012 | Habeas data y régimen general de datos personales |
| Ley 1266 de 2008 | Datos financieros y crediticios |
| Circular Externa 002 de 2024 (SIC) | Cómo se aplica lo anterior a sistemas de IA |
| CONPES 4144 (febrero de 2025) | Política Nacional de IA, hoja de ruta a 2030 |
Quién vigila, y por qué eso importa para su hoja de vida
La Superintendencia de Industria y Comercio es la autoridad nacional de protección de datos. Investiga, ordena correctivos e impone sanciones, y puede hacerlo sobre sistemas de inteligencia artificial que traten datos personales.
Una autoridad con capacidad sancionatoria real cambia el perfil de quien se contrata. Ya no basta con alguien que redacte una política. Hace falta alguien capaz de sostener esa política frente a un requerimiento, con evidencia, y de explicar en términos verificables qué hace el sistema con los datos.
Puestos que se abren a partir de esto
- Oficial de protección de datos. El interlocutor ante la SIC y quien responde por el tratamiento.
- Especialista en cumplimiento y habeas data. Convierte la norma en procedimientos que la operación puede seguir sin frenarse.
- Auditor de sistemas. Verifica que lo documentado sea lo que realmente ocurre, que casi nunca coincide del todo.
- Responsable de gobernanza de IA. Aplica la Circular 002 hacia dentro y responde los cuestionarios de clientes que preguntan por ISO/IEC 42001 y por el NIST AI RMF, ninguno obligatorio en Colombia, ambos exigidos por contrato.
- Gestor de riesgo de terceros. Los encargados del tratamiento y la cadena de proveedores, que es donde se producen la mayoría de los incidentes.
Dos ventajas colombianas que conviene no desperdiciar
La primera es el idioma. Bogotá, Medellín y Barranquilla concentran operaciones regionales y centros de servicios compartidos que atienden a varios países a la vez. Quien trabaja en cumplimiento y maneja bien el español y el inglés se vuelve difícil de reemplazar, porque el expediente está en español y el cliente pregunta en inglés.
La segunda es el momento. La Circular 002 es de 2024 y el CONPES 4144 de 2025. Son recientes. Muy poca gente acumula todavía experiencia demostrable aplicándolos, así que el plazo para volverse la persona que sí la tiene sigue abierto. No lo estará mucho tiempo.
Sobre el español de estas páginas
Escribimos en español neutro, el que se lee igual de bien en Bogotá, en Ciudad de México, en Miami y en Madrid, y señalamos el término regional cuando cambia. En Colombia conviven cumplimiento normativo y cumplimiento regulatorio, y se buscan tanto vacantes como ofertas de empleo. Usamos las dos formas a propósito.
Preguntas frecuentes
¿Cuál es la ley principal de protección de datos en Colombia?
La Ley 1581 de 2012, que consagra el habeas data: el derecho de una persona a conocer, actualizar, rectificar y suprimir sus datos personales. Se aplica con independencia de la tecnología utilizada, de modo que cubre igual una base de datos convencional y un sistema de inteligencia artificial.
¿Quién es la autoridad de protección de datos?
La Superintendencia de Industria y Comercio. Vigila el cumplimiento de la legislación de datos personales, adelanta investigaciones para hacer efectivo el habeas data, y puede ordenar correctivos e imponer sanciones, incluso sobre sistemas de inteligencia artificial que traten datos personales.
¿Qué es la Circular Externa 002 de 2024?
Es la circular de la Superintendencia de Industria y Comercio, del 21 de agosto de 2024, que fija directrices concretas para el tratamiento de datos personales en sistemas de inteligencia artificial, en el marco de las leyes estatutarias 1266 de 2008 y 1581 de 2012.
¿Qué es el CONPES 4144?
Es la Política Nacional de Inteligencia Artificial de Colombia, adoptada en febrero de 2025. Traza una hoja de ruta plurianual hasta 2030 e integra la inteligencia artificial en los objetivos de desarrollo del país, con énfasis en el cierre de brechas digitales y en la protección de derechos fundamentales.
¿Es obligatorio ISO/IEC 42001 en Colombia?
No, y tampoco lo es el NIST AI RMF. Pero las empresas que atienden clientes en Estados Unidos y en la Unión Europea responden cuestionarios que preguntan por ambos, de manera que la exigencia llega por vía contractual antes que por vía legal.
¿Por qué una autoridad con capacidad sancionatoria cambia el tipo de puesto?
Porque deja de bastar con alguien que redacte una política. Hace falta alguien capaz de sostenerla ante un requerimiento, con evidencia documentada, y de explicar en términos verificables qué hace el sistema con los datos personales. Ese es un perfil distinto y mejor pagado.
¿Qué ventaja tiene un profesional colombiano en este mercado?
Dos. El idioma, porque Bogotá, Medellín y Barranquilla concentran operaciones regionales y centros de servicios compartidos donde el expediente está en español y el cliente pregunta en inglés. Y el momento, porque la Circular 002 es de 2024 y el CONPES 4144 de 2025, así que todavía hay poca gente con experiencia demostrable aplicándolos.
¿Se puede entrar desde auditoría interna o desde el área jurídica?
Sí, y son las dos rutas más directas. Quien audita ya sabe contrastar una práctica contra un criterio y dejar evidencia; cambia el objeto, no el método, y CISA es el camino natural. Quien viene de lo jurídico ya entiende la norma y lo que le falta es vocabulario técnico, para lo cual CIPP y después AIGP funcionan bien.
¿Publican vacantes para Colombia y el resto de Sudamérica?
GRC Careers publica puestos de Estados Unidos, Reino Unido, la Unión Europea, Canadá, Singapur, Australia e India, además de puestos en remoto abiertos a candidatos de otros países, incluida Sudamérica.
¿En qué variante del español están escritas estas páginas?
En español neutro, con el término regional señalado cuando cambia. En Colombia conviven cumplimiento normativo y cumplimiento regulatorio, y se buscan tanto vacantes como ofertas de empleo, así que se usan las dos formas a propósito.
Seguir leyendo
- Empleos de Gobernanza de Inteligencia Artificial en España
- Empleos de Cumplimiento Normativo en Florida para Profesionales Bilingües
- Empleos de Cumplimiento Regulatorio en México tras la Desaparición del INAI