La Ley 1581 de 2012 sigue siendo la columna vertebral de la protección de datos personales en Colombia, con la Superintendencia de Industria y Comercio (SIC) como autoridad de vigilancia. Desde agosto de 2025, cuando se radicó un proyecto de ley estatutaria para acercar la norma colombiana al estándar del Reglamento General de Protección de Datos (GDPR) europeo, el debate sobre su modernización está marcado por la incertidumbre política.
A eso se suma la Ley 2153 de 2025 y la propuesta de multas de hasta el 5 por ciento de los ingresos anuales por incumplimientos B2B, en un proyecto que terminó archivado en el Congreso. Abogados especializados analizaron el futuro de esta agenda bajo el nuevo Gobierno.
Sobre si la actualización seguirá siendo prioridad, las opiniones se dividen. Daniel Duque, asociado de Godoy, advierte que “el programa de gobierno del presidente Abelardo De La Espriella no contiene ninguna propuesta específica sobre protección de datos personales, privacidad o reforma a la Ley 1581”, en momentos en que el eje central de esa agenda es una desregulación amplia.
En ese mismo sentido, Lorenzo Villegas-Carrasquilla, socio de Serrano Martínez CMA, considera poco probable que la reforma sea prioridad inmediata, no por una visión menos intervencionista, sino porque “hay otros desafíos que probablemente demandarán mayor atención política y legislativa en el corto plazo”. Darío Cadena, socio de Lloreda Camacho, coincide en que una reforma integral difícilmente estará entre las prioridades legislativas, entre otras cosas, porque el proyecto vigente fue desarrollado bajo la administración anterior.
Por otra parte, Diego Cardona, socio de Philippi Prietocarrizosa Ferrero Du & Uría (PPU), sostiene una postura distinta: la modernización debería ser prioridad sin importar el perfil del nuevo Gobierno, porque “el desafío no consiste en reducir la protección de los titulares, sino en actualizar las reglas para que sigan siendo efectivas y relevantes en un entorno tecnológico y económico que cambió sustancialmente desde 2012”. Laura Torrado, asociada de Posse Herrera Ruiz, plantea que la modernización es una necesidad que trasciende la línea política de turno, mientras que Anna Catalina Pérez, de Holland & Knight, cree probable que el tema entre en revisión bajo un Gobierno que ha enviado señales de querer desregularizar.
Asimismo, los expertos coinciden en que la Ley 1581 no está obsoleta en sus principios, pero sí presenta vacíos frente a la inteligencia artificial, los datos biométricos y el tratamiento masivo en la nube.
Anna Catalina Pérez lo resume así: “Los vacíos más relevantes se encuentran en las decisiones automatizadas, el perfilamiento algorítmico y los mecanismos para auditar sistemas de IA que procesan datos personales”. Para Villegas-Carrasquilla, “la Ley 1581 debe verse más como un marco vigente que requiere una interpretación dinámica y, eventualmente, algunos ajustes puntuales” frente a los desafíos tecnológicos. Adolfo Enrique Gómez, asociado de Garrigues, agrega que la norma necesita ampliar el catálogo de bases legitimadoras del tratamiento sin depender tan significativamente del consentimiento.
En cuanto a la viabilidad del proyecto radicado en agosto de 2025, el diagnóstico es homogéneo. Los expertos aseguran que su aprobación es incierta o poco probable en el corto plazo. Cardona recuerda que la iniciativa, contemplada en un proyecto de ley de 2025, acumulada con otro proyecto, fue archivada por vencimiento de términos, aunque sus disposiciones habrían implicado costos adicionales, como la figura del oficial de protección de datos y las evaluaciones de impacto para tratamientos de alto riesgo. Duque añade que el nuevo Congreso podría retomar el texto, pero no hay señales claras de que sea parte de la agenda del Ejecutivo.
Sobre las multas de hasta el 5 por ciento de los ingresos anuales por incumplimientos B2B, el consenso gira en torno a la proporcionalidad más que a la cifra en sí. Cadena advierte que “una multa calculada sobre ingresos corre el riesgo de desconocer el estado real de la compañía, que no se refleja en el ingreso, sino en el resultado operacional”, y propone que el esquema sancionatorio considere la gravedad de la conducta, la reincidencia y la capacidad económica del infractor. Duque señala que la cifra se acerca al parámetro del GDPR, un 4 por ciento de la facturación global, razonable para grandes compañías, pero desproporcionada para las pymes si no se gradúa según el tamaño del infractor.
Por otra parte, los abogados reconocen el papel histórico de la SIC en la construcción del régimen colombiano, pero advierten que un modelo tipo GDPR exigiría un salto en capacidad institucional. Gómez sostiene que la autoridad “necesitará robustecer su capacidad operativa” para atender un volumen de reclamos que ya supera ampliamente los 10.000 casos anuales y, a la vez, asumir un régimen modernizado. Torrado matiza el diagnóstico desde la práctica profesional y dice que “se han sancionado empresas por incumplimientos de forma sin evaluar si existía un daño real o potencial al titular”, por lo que, más que recursos, la SIC necesitaría un cambio de enfoque hacia los casos de alto impacto.
Falta la ley
Frente al tratamiento de datos por sistemas de IA, mientras no exista una ley específica, los expertos coinciden en que no hay un vacío regulatorio absoluto: los principios de la Ley 1581 –finalidad, transparencia, seguridad y responsabilidad demostrada– siguen siendo exigibles sin importar la tecnología usada. Cardona insiste en que lo que cambia con la IA no es el principio aplicable, sino el nivel de exigencia, y que documentar cómo funciona cada sistema es hoy la mejor defensa de una empresa ante la SIC.
Finalmente, los abogados aseguran que las empresas no deberían esperar a que se apruebe una reforma para actuar. Las voces coinciden en la necesidad de construir una cultura de gobernanza de datos: entender qué información se recopila, para qué se utiliza, con quién se comparte y qué riesgos genera cada tratamiento, además de fortalecer la ciberseguridad y la documentación de procesos.
Aunque el futuro legislativo de la Ley 1581 es incierto, los consultados comparten una conclusión: la protección de datos dejó de ser un asunto exclusivamente jurídico para convertirse en un factor de competitividad, confianza y sostenibilidad empresarial, con o sin reforma en el horizonte.