Lo que el habeas data no le preguntó al bot

El 8 de abril de este año, la Superintendencia de Industria y Comercio le impuso a Rappi una multa de 4.003 millones de pesos, la tercera sanción a la plataforma en cinco años. Entre los hallazgos hay uno que no es sobre precios ni entregas tardías: el sistema de atención dificultaba hablar con una persona, porque las respuestas quedaban limitadas a mensajes automáticos del asistente virtual. El bot no mintió. Se interpuso entre el reclamo y quien podía resolverlo, y eso bastó para que la SIC lo contara entre las vulneraciones a los derechos del consumidor.

La Ley 1581 de 2012, la que rige el tratamiento de datos personales en Colombia, sí dice cuánto tiempo tiene una entidad para responder. Diez días hábiles para una consulta, prorrogables cinco más si explica por qué. Quince días hábiles para un reclamo, prorrogables ocho. Si el dato es financiero —lo que un banco reporta a una central de riesgo— rige además la Ley 1266 de 2008, con el mismo esquema de plazos. La 1581 dice algo más: quien responde jurídicamente no es quien opera el sistema sino quien decidió usarlo. La ley distingue entre el Responsable del tratamiento, que decide qué hacer con los datos, y el Encargado, que los procesa por instrucción de aquel —el proveedor que construyó el chatbot, por ejemplo—. El Responsable contesta ante el titular incluso por los errores del Encargado. La pregunta de quién responde, entonces, tiene contestación en el papel: el banco, la EPS o la entidad pública que puso el bot a hablar en su nombre, no la empresa que se lo vendió.

El problema es qué regula exactamente esa ley. La 1581 protege el acceso al dato: que usted sepa qué tienen sobre usted, pida que lo corrijan, exija que lo borren, dentro de un plazo. No regula si lo que el sistema le dice sobre esos datos es cierto. Si el chatbot de un banco le informa un saldo equivocado, eso es un error de tratamiento y cae bajo esa ley. Si el chatbot de una EPS le dice que un procedimiento no está autorizado cuando sí lo está, eso ya no es un dato mal guardado: es la negación de un derecho con forma de respuesta. La 1581 no distingue entre las dos cosas, y por eso lo que le pasó a Rappi terminó resuelto con la ley de protección al consumidor, no con la de datos personales.

Lo que sí alcanzó a mirar la Corte

El 26 de febrero de 2025 la Corte Constitucional sí se ocupó de un sistema automatizado, aunque no de uno que respondiera mal sino de uno que no se dejaba ver. El profesor Juan Carlos Upegui Mejía pidió el código fuente de CoronApp, la aplicación de vigilancia epidemiológica de la pandemia, y la Agencia Nacional Digital, el Instituto Nacional de Salud y el Ministerio de Salud se lo negaron. En la Sentencia T-067 de 2025, con ponencia de la magistrada Natalia Ángel Cabo, la Corte le dio la razón y declaró que la transparencia algorítmica hace parte del derecho de acceso a la información pública: cuando una entidad estatal usa un sistema automatizado para decidir algo que afecta derechos, tiene que poder explicarlo.

La Procuraduría y la Defensoría convirtieron esa orden en una directiva conjunta el 30 de septiembre de 2025, con estándares mínimos de explicabilidad para el Estado y para los privados que ejercen función pública o prestan servicios públicos —una EPS podría entrar ahí—. Es un avance real y tiene un límite igual de real: nació para el Estado. El chatbot de un banco privado no le debe explicación a nadie sobre cómo decide lo que dice.

La ley que se archivó por tercera vez

El proyecto que generalizaría esa exigencia a cualquier sector era el 043 de 2025 en el Senado y el 324 de 2025 en la Cámara, radicado el 28 de julio del año pasado y con mensaje de urgencia presidencial desde el 8 de septiembre. Entre sus disposiciones estaba la posibilidad de pedir revisión humana de una decisión automatizada con efectos jurídicos o significativos. Tuvo ponencia positiva para primer debate. El 20 de junio de este año se archivó sin votarse, por tránsito de legislatura: el tercer proyecto de regulación de IA que muere así, ni el primero ni el último. Mientras tanto, si un ciudadano quiere que un chatbot bancario le explique por qué le negó algo, no tiene una herramienta legal distinta de las que ya existían antes de que hubiera chatbots.

La Ley 1581 resuelve el reloj: si nadie contesta en diez o quince días, hay una fecha exacta desde la cual reclamar el silencio. No resuelve la autoría de lo dicho. Un bot puede cumplir el plazo, citar bien los datos que guarda sobre usted y aun así prometerle algo que la entidad no va a cumplir, o negarle algo que sí le corresponde, sin que eso quede registrado como una falla del tratamiento de datos. Queda como una discusión de servicio al cliente que nadie está obligado a escalar. La ley se escribió para vigilar el archivo, no la conversación. Un archivo se puede auditar porque queda quieto. Una conversación con un bot no queda registrada como una promesa de nadie: la ley le da a la entidad diez o quince días para responder, y en ninguno de esos días tuvo que firmar una sola palabra de lo que dijo.

Declaración de interés: el autor fue director de la Agencia Nacional Digital hasta octubre de 2023 y, previamente, jefe de la oficina de informática del Fondo Nacional del Ahorro. La Sentencia T-067 de 2025 citada en esta columna resolvió una tutela contra la Agencia Nacional Digital, entidad que el autor dirigió.