Corte 3 · Sesión 13 · 28 de octubre

Regular la tecnología: de Colombia al mundo

Seguimos un clic desde Bogotá por el planeta: qué norma rige cada tramo del camino y cómo la inteligencia artificial está reescribiendo el mapa.

Derecho y Tecnología · Universidad del Rosario · Facultad de Jurisprudencia · 2026-2
Miércoles 28 de octubre · 7:00 a 9:00 a. m.
Juan David Vanegas Roldán

00 Bogotá · dónde estamos

De usar la IA a saber quién la regula

En la sesión 12 trabajamos la IA como herramienta: plugins, skills, artefactos. Hoy damos un paso atrás: ¿qué reglas gobiernan la tecnología que usamos y la que auditamos en el proyecto?

YA TENEMOSCómo funciona la máquina (corte 1), los problemas de la IA, el big data y el blockchain (corte 2) y la firma electrónica (S11).
HOYEl mapa completo de normas, de Colombia al mundo, leído a través de la IA.
PARA EL PROYECTOTengan abiertos los T&C y la política de privacidad de la app de su equipo: son la lectura de hoy.

Pase de abordar · cinco capas, siete ciudades

Un dato atraviesa cinco capas de regulación

BOGBogotá · contratos, datos y consumocapas 2 y 3
CTGCartagena · aterriza el cablecapa 1
VIRVirginia · el servidor y la matrizcapas 1 y 3
DUBDublín · un T&C por paíscapa 3
PARParís · el tratado de 1884capa 1
BRUBruselas · RGPD, DSA y AI Actcapa 4
PEKPekín · cuatro filosofíascapa 4
BOGBogotá · jueces, política y autoríacapas 4 y 5

Capa 3 · repaso en dos minutos

El «Acepto» es una firma electrónica

Si el clic es firma, el T&C es contrato. Y entonces la pregunta pasa a ser qué ley lo rige.

LEY 527/99, ARTS. 5 A 7El mensaje de datos vale como escrito; la firma electrónica vale si identifica al firmante y es confiable.
DECRETO 2364/12La firma electrónica es el género; la digital, con certificado ONAC, la especie (hoy DUR 1074/15).
ART. 244 CGPLos mensajes de datos se presumen auténticos: la carga es de quien los niega.
CONSECUENCIAEl proveedor debe probar qué versión aceptó el usuario y cuándo. El browsewrap es frágil.

Capas 2 y 3 · Colombia

Veintisiete años de normas tecnológicas, sin una ley de IA

Colombia reguló por partes: comercio electrónico, datos, delitos, consumo, justicia. La IA llegó por política pública, circulares y jueces, no por ley.

Capas 2 y 3 · el mapa en una tabla

Qué regula cada norma y quién la hace cumplir

Norma	Qué regula	Autoridad	Qué le pasa a tu app
Ley 527/99 · D. 2364/12	Mensajes de datos y firma electrónica	ONAC · jueces	El «Acepto» es firma
Ley 1266/08 · 2157/21	Hábeas data financiero	SIC · SFC	Reportes a centrales de riesgo
Ley 1273/09	Delitos informáticos	Fiscalía	Brecha con dolo de un tercero
Ley 1480/11	Consumidor: información, retracto, cláusulas abusivas	SIC	Toda relación con usuarios en Colombia
Ley 1581/12 · D. 1377/13	Datos personales y transferencia internacional	SIC	Política, aviso y autorización
Ley 1915/18 · 1928/18	Derecho de autor · Convenio de Budapest	DNDA · Fiscalía	El código, el contenido, la evidencia
Ley 2213/22	Justicia virtual	Rama Judicial	El litigio se tramita en línea
Ley 2300/23	Canales, horarios y frecuencia de contacto	SIC · SFC	Push, correos y llamadas

Capas 2 y 3 · las tres que más tocan a la app

Datos, consumo y contacto: el triángulo colombiano

LEY 1581 DE 2012 · DATOSAutorización previa, expresa e informada; finalidad; derechos ARCO; RNBD; transferencia internacional (art. 26). La Circular SIC 002 de 2024 la lleva a la IA.
LEY 1480 DE 2011 · CONSUMOInformación clara, retracto de 5 días hábiles (art. 47), cláusulas abusivas ineficaces (arts. 42 y 43). Es de orden público (art. 4): ningún T&C la deroga.
LEY 2300 DE 2023 · CONTACTOEl consumidor elige los canales; cobranza en horarios permitidos; comunicaciones comerciales con consentimiento.

01 Cartagena y Barranquilla · el Caribe

Capa 1

Aquí el clic se mete al mar

Lo que vimos con Blum en la sesión 3 ahora tiene consecuencias jurídicas: el dato cambia de régimen cada vez que cambia de tramo.

El dato sale de un celular en Bogotá y llega a un cable que aterriza en Barranquilla o Cartagena.
Cruza el Caribe por el fondo del mar. Ese cable tiene dueño, licencia de aterrizaje y un tratado propio.
Su destino más probable: un centro de datos en Virginia, donde está buena parte de la nube de AWS, Google y Meta.

02 Virginia · EE. UU.

art. 26

Tu dato vive aquí, y eso exige autorización

El dato de la app de su equipo duerme en un servidor en otro país. Para la Ley 1581 eso es una transferencia internacional.

LEY 1581, ART. 26Transferir datos a un país sin nivel adecuado de protección requiere autorización del titular o una excepción.
LA LISTA DE LA SICLa Circular Externa 005 de 2017 dice qué países son adecuados. Estados Unidos no está.
POR ESOLas apps piden autorización expresa en su política de privacidad. Búsquenla en la de su app.

Capa 3 · multinacionales y grupos empresariales

Con quién contratas y a quién demandas

La «app» no es una persona jurídica. Detrás hay un grupo: una matriz, filiales por región y a veces una sociedad local.

GRUPOControl por participación, mayoría o influencia dominante (C.Co. arts. 260 y 261); grupo = control + unidad de propósito (Ley 222/95, art. 28).
SUCURSALLa sociedad extranjera con negocios permanentes debe abrir sucursal con apoderado (C.Co. arts. 469 y 471).
NOTIFICARA la sucursal o filial colombiana; si no hay, por el canal del T&C, el art. 291 CGP o La Haya.
LA IAUna empresa entrena el modelo, otra lo distribuye, otra lo integra: el AI Act reparte obligaciones entre todas.

Parada 03 · Dublín · derecho internacional privado

¿Por qué el T&C de la misma app cambia según tu país?

Las plataformas escriben una versión por región: cambian la empresa que contrata, la ley aplicable y el foro. Es el mapa de las normas imperativas de cada mercado.

REGLAAutonomía de la voluntad: las partes eligen ley y foro (Roma I y Bruselas I bis; en Colombia, art. 869 C.Co. y Ley 1563/12).
LÍMITE 1 · CONSUMIDORRoma I (art. 6) y Bruselas I bis (arts. 17 a 19); en Colombia la Ley 1480 es de orden público y la SIC es competente.
LÍMITE 2 · DATOSEl RGPD alcanza a empresas de fuera de la UE (art. 3.2); la Ley 1581 rige el tratamiento hecho en Colombia.
LÍMITE 3 · IAEl AI Act aplica a proveedores de fuera de la UE si el sistema se usa allí (art. 2).

04 París · Francia

1884

El tratado más viejo de internet

Casi todo el tráfico intercontinental viaja por cables submarinos, y su protección jurídica es anterior a la radio y al computador.

CONVENCIÓN DE PARÍS, 1884Los Estados deben castigar el daño intencional o negligente de un cable fuera del mar territorial. Nació para el telégrafo; sigue vigente.
CONVEMAR, ARTS. 112 A 115Libertad de tender cables, deber de tipificar el daño, indemnizaciones (hasta por sacrificar un ancla).
COLOMBIAFirmó la CONVEMAR pero no la ha ratificado: en alta mar rige la costumbre.

Parada 05 · Bruselas

El efecto Bruselas: por qué una ley europea rige en Bogotá

A las plataformas les sale más barato cumplir un solo estándar en todas partes. La regla europea se vuelve estándar de facto (Anu Bradford).

RGPD 2016/679Alcance extraterritorial (art. 3.2), derecho a no ser objeto de decisiones automatizadas (art. 22), multas de hasta el 4 % del ingreso global.
DSA Y DMAContenido ilegal y transparencia de algoritmos de recomendación; «guardianes de acceso» sin autopreferencia.
LO QUE COLOMBIA IMPORTAEl lenguaje (riesgo, transparencia, responsabilidad demostrada). Lo que no: la autoridad con dientes.

Capa 4 · Reglamento (UE) 2024/1689 y Omnibus 2026

Una ley en vigor que se aplica por fases y se aplaza

El AI Act clasifica por riesgo. Entró en vigor el 1 de agosto de 2024, pero el reglamento Omnibus sobre IA (en vigor desde el 27 de julio de 2026) movió las fechas del alto riesgo.

ALTO RIESGO · ANEXO IIIUn sistema que evalúa hojas de vida o que se usa en la justicia.
RIESGO LIMITADOUn chatbot de atención: obligación de transparencia.
MÍNIMOUn filtro de spam.

Lección: «vigente» no es «aplicable».

Parada 06 · Pekín · el mundo en cuatro filosofías

Regular la IA: ex ante, ex post, por consenso o por control

Región	Instrumento	Lógica
Unión Europea	AI Act (2024) + Omnibus (2026) · RGPD · DSA · DMA	Ex ante: clasificar el riesgo antes de salir al mercado
Consejo de Europa	Convenio Marco sobre IA (firma desde el 5-sep-2024)	Tratado firmado por la UE, EE. UU. y el Reino Unido, entre otros
OCDE y UNESCO	Principios OCDE (2019, act. 2024) · Recomendación UNESCO (2021)	Soft law: estándar de diligencia; el CONPES 4144 los cita
Estados Unidos	Sin ley federal; Colorado AI Act; California	Ex post: litigio, FTC y estados
China	Medidas sobre IA generativa (2023) · etiquetado sintético (2025)	Control: registro de algoritmos y marcado obligatorio
Brasil	LGPD (2018) · PL 2338/2023	Modelo europeo con énfasis en responsabilidad civil
Colombia	CONPES 4144 · Circular SIC 002 · T-323 · PL 2026	Política + circular + jurisprudencia; sin ley

07 De vuelta en Bogotá · capa 4

La IA puede apoyar al juez. No puede ser el juez

Sin ley de IA, las reglas colombianas las están escribiendo los jueces.

T-323 DE 2024Un juez de Cartagena usó ChatGPT para motivar una tutela. No hubo violación del debido proceso porque ya había decidido, pero la Corte fijó reglas: transparencia, responsabilidad, privacidad, no sustitución y verificación.
ACUERDO PCSJA24-12243(16-dic-2024) Lineamientos de la Rama Judicial: usos permitidos, prohibidos y deber de declarar el uso.
ANTECEDENTESC-748 de 2011 (hábeas data), T-277 de 2015 (derecho al olvido), SU-420 de 2019 (redes sociales).

Capas 4 y 5 · Colombia hoy

Política, circular y jueces. La ley, todavía no

CONPES 4144 (14-FEB-2025)Política Nacional de IA 2025–2030, seis ejes. Orienta al Estado; no obliga a los privados.
CIRCULAR SIC 002 (21-AGO-2024)Datos personales en IA: idoneidad, necesidad, proporcionalidad, estudio de impacto. Lo más parecido a una obligación directa para una app.
CONGRESOEl proyecto unificado se hundió el 19-jun-2026; cursan los PL 025, 138, 125 y 216 de 2026.
CAPA 5 · AUTORÍALa DNDA solo registra autoría humana; Thaler v. Perlmutter fija el mismo estándar en EE. UU.

Taller · 25 minutos · la app de tu equipo

Audita los T&C de tu app con el mapa de hoy

Entregable: una tabla de una página con capa · norma aplicable · qué dice el T&C · cumple / no cumple / no dice, más una recomendación para el usuario colombiano.

01 · CONTRATO¿Con qué persona jurídica contratas, en qué país está y qué ley y foro eligió? ¿Hay entidad en Colombia?
02 · DATOS¿En qué país vive tu dato? ¿La política pide autorización para la transferencia (art. 26 Ley 1581)?
03 · CONSUMO¿Qué derechos de las Leyes 1480 y 2300 tiene el usuario colombiano aunque el T&C diga otra cosa? ¿Ante quién?
04 · IA¿Qué nivel de riesgo del AI Act tiene la IA de la app? ¿Qué le exige la Circular SIC 002 de 2024?

Aterrizaje · para llevar

Cinco ideas que ordenan todo el mapa

La tecnología se regula por capas: infraestructura, datos, contratos, IA y autoría. El dato las atraviesa todas.
El clic es firma y el T&C es contrato; la ley elegida rige solo lo que no ocupan las normas imperativas del país del usuario.
La infraestructura tiene régimen internacional desde 1884; el dato de tu app vive en otro país y eso exige autorización.
La IA se regula ex ante en Europa, ex post en EE. UU., por control en China y, en Colombia, por política, circular y jueces.

Próxima sesión (4 de noviembre): datos, ética y responsabilidad. Lectura: Arendt, «Responsabilidad personal bajo una dictadura»; ABC de la T-323; Ley 1581 y C-748 de 2011.