Regular la tecnología: de Colombia al mundo

Ninguna ley regula «la tecnología». Lo que hay es una pila de capas, cada una con sus normas, su autoridad y su lógica. Hoy recorremos la isla capa por capa.

Universidad del Rosario · Facultad de Jurisprudencia · 2026-2
Miércoles 28 de octubre · 7:00 a 9:00 a. m. · Juan David Vanegas Roldán

Cómo se juega: maneja con WASD o las flechas. Espacio avanza; al terminar una estación, la camioneta va sola a la siguiente.

Vitalia: una app sobre seis capas

Vitalia S.A.S. es una app colombiana de telemedicina: agenda citas, guarda la historia clínica y usa IA para hacer el triaje de síntomas. Sus servidores están en Virginia.

• Cada capa de la torre de la plaza es un régimen distinto que Vitalia debe cumplir al mismo tiempo.
• La capa que visitamos se enciende en la torre: miren cómo se suman.
• PARA EL PROYECTOTengan abiertos los T&C y la política de privacidad de la app de su equipo. Al final la auditan con este mapa.

Seis capas, seis estaciones

1. 1 · INFRAESTRUCTURA Y CABLESEl fondo del mar, el espectro y las redes: París 1884, CONVEMAR, UIT, Ley 1341.
2. 2 · TRATADOS INTERNACIONALESCómo entra un tratado a Colombia y cuáles rigen la tecnología.
3. 3 · DATOSRGPD, Convenio 108+, estándares iberoamericanos; Ley 1581 y la SIC.
4. 4 · CONTRATOS Y CONSUMOEl clic es firma; Leyes 1480 y 2300; ley aplicable y foro.
5. 5 · INTELIGENCIA ARTIFICIALEl AI Act a fondo, el mundo y Colombia.
6. 6 · REGULADORES SECTORIALESINVIMA, SFC, SIC, CRC, Aerocivil y DNDA.

Internet no está en la nube: está en el fondo del mar

Un dato de Vitalia sale de un celular en Bogotá, llega a un cable que aterriza en Cartagena o Barranquilla, cruza el Caribe y termina en un centro de datos en Virginia.

• Casi todo el tráfico intercontinental viaja por cables submarinos de fibra óptica.
• Cada tramo físico tiene dueño y régimen: el dato cambia de ley cada vez que cambia de tramo.
• La IA multiplica el tráfico entre centros de datos: Colombia compite por ser «hub» con sus cables del Caribe.

El tratado más viejo de internet es de 1884

• CONVENCIÓN DE PARÍS, 1884Protección de los cables submarinos: los Estados deben castigar su ruptura intencional o negligente fuera del mar territorial. Nació para el telégrafo; sigue vigente.
• CONVEMAR (1982), ARTS. 79 Y 112 A 115Libertad de tender cables en alta mar y en la plataforma continental; deber de tipificar el daño; indemnizaciones, incluso a quien sacrifica un ancla para no romper un cable.
• COLOMBIAFirmó la CONVEMAR pero no la ha ratificado: en alta mar se rige por la costumbre internacional.
• SOFT LAWLas recomendaciones del Comité Internacional de Protección de Cables (ICPC) orientan rutas y reparaciones.

Del cable al celular: redes, espectro y licencias

• LEY 1341 DE 2009 · LEY 1978 DE 2019Régimen de las TIC: habilitación general, neutralidad de red, uso del espectro.
• AUTORIDADESMinTIC (política), CRC (regulación y aterrizaje de cables), ANE (espectro).
• UITLa Unión Internacional de Telecomunicaciones coordina el espectro y las órbitas: el Reglamento de Radiocomunicaciones es un tratado.
• PARA VITALIANo presta servicios de telecomunicaciones: usa la red. Esta capa la toca de forma indirecta, por sus proveedores.

Cómo entra un tratado al derecho colombiano

• 1 · FIRMAEl Presidente, como jefe de Estado, negocia y firma.
• 2 · LEY APROBATORIAEl Congreso lo aprueba por ley (C.P. art. 150-16).
• 3 · CONTROL AUTOMÁTICOLa Corte Constitucional revisa el tratado y su ley (art. 241-10).
• 4 · RATIFICACIÓNSolo entonces obliga internacionalmente. Los de derechos humanos integran el bloque de constitucionalidad (art. 93).

Firmar no es obligarse: la CONVEMAR está firmada y no ratificada.

Las reglas de datos que vienen de afuera

• RGPD (UE 2016/679)Alcanza a empresas de fuera de la UE que sirvan o monitoreen a residentes europeos (art. 3.2); decisiones automatizadas (art. 22); transferencias (arts. 44 ss.); multas de hasta el 4 % del ingreso global.
• CONVENIO 108 Y 108+El único tratado vinculante sobre datos personales, del Consejo de Europa (1981, modernizado en 2018), abierto a no europeos.
• ESTÁNDARES IBEROAMERICANOS (RIPD, 2017)Soft law que inspira las leyes de la región.
• ESTADOS UNIDOSSin ley federal general: leyes estatales como la de California.

Hábeas data: Ley 1581 y la SIC

• C.P. ART. 15 · C-748 DE 2011Hábeas data como derecho autónomo. Leyes 1266 de 2008 (financiero) y 1581 de 2012 (general).
• DATOS SENSIBLESLa historia clínica de Vitalia es dato sensible (arts. 5 y 6): autorización explícita y finalidad estricta.
• TRANSFERENCIA (ART. 26)A países sin nivel adecuado, solo con autorización o excepción. EE. UU. no está en la lista de la SIC (Circular 005 de 2017).
• IA (CIRCULAR SIC 002 DE 2024)Idoneidad, necesidad, proporcionalidad, responsabilidad demostrada y estudio de impacto.

El «Acepto» es firma; el T&C es contrato

• LEY 527/99 · ART. 244 CGPEl mensaje de datos vale como escrito; la firma electrónica vale si es confiable; se presume auténtica. El proveedor debe probar qué versión aceptó el usuario.
• LEY 1480/11 · CONSUMOInformación, retracto, cláusulas abusivas ineficaces. Es de orden público (art. 4): ningún T&C la deroga.
• LEY 2300/23 · CONTACTOEl usuario elige los canales; horarios y frecuencia limitados. El push de las 11 p. m. tiene norma.
• LEY APLICABLE Y FOROLas partes eligen, pero no contra el consumidor: Roma I (art. 6) en Europa; en Colombia, la Ley 1480 y la SIC.

Reglamento (UE) 2024/1689: regular por riesgo

• ÁMBITO (ART. 2)Aplica a proveedores de fuera de la UE cuando el sistema o su resultado se usa en la UE.
• ROLESProveedor, implementador, importador y distribuidor: cada uno con obligaciones distintas.
• MODELOS DE USO GENERALDocumentación técnica, derechos de autor y, si son de riesgo sistémico, evaluaciones adicionales.
• MULTASLas más altas, por prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial.

Del filtro de spam a lo prohibido

• PROHIBIDO (ART. 5)Puntuación social, manipulación que explota vulnerabilidades, ciertos usos de reconocimiento de emociones y biometría.
• ALTO RIESGO (ANEXOS I Y III)Dispositivos médicos, empleo, crédito, educación, justicia. Gestión de riesgos, datos de calidad, registro, supervisión humana.
• TRANSPARENCIA (ART. 50)Chatbots y contenido sintético: decir que es IA y marcarlo.
• MÍNIMOFiltros de spam, videojuegos: libre.

Vitalia: un triaje con IA que orienta decisiones médicas sería alto riesgo si se usa en la UE.

«Vigente» no es «aplicable»

• 1 DE AGOSTO DE 2024Entra en vigor.
• 2 DE FEBRERO DE 2025Prohibiciones y alfabetización en IA.
• 2 DE AGOSTO DE 2025Modelos de uso general y gobernanza.
• 2026El reglamento Omnibus sobre IA (en vigor desde el 27 de julio de 2026) movió las fechas del alto riesgo.

La misma tecnología, distintas ventanillas

Además de las reglas generales, cada sector tiene su autoridad. Una app puede tener que pasar por varias.

• INVIMA · SALUDEl software con finalidad médica puede ser dispositivo médico y requerir registro sanitario (Decreto 4725 de 2005).
• SFC · FINANZASScoring, pagos y cripto; espacio controlado de prueba para innovación financiera.
• SIC · DATOS, CONSUMO Y COMPETENCIALa ventanilla que casi todas las apps comparten.
• CRC · ANE · AEROCIVIL · DNDATelecomunicaciones, espectro, drones (RAC 100) y derecho de autor.

Una app de salud con IA suma capas

• INVIMASi el triaje orienta diagnósticos, puede ser dispositivo médico: registro sanitario antes de operar.
• MINSALUDLa telemedicina tiene reglas de habilitación propias del sector salud.
• SICDatos sensibles, transferencia a Virginia, consumidor y contacto.
• DNDALa IA no es autora: la DNDA solo registra autoría humana, como en Thaler v. Perlmutter en EE. UU.

Lección: la pregunta no es «qué ley regula mi app», sino «cuántas capas atraviesa».

Una app es una pila de regulaciones

• La infraestructura tiene régimen internacional desde 1884, y Colombia no ha ratificado la CONVEMAR.
• Un tratado obliga solo después de la ley aprobatoria, el control de la Corte y la ratificación.
• El dato de tu app vive en otro país: eso exige autorización, y el RGPD te alcanza si atiendes europeos.
• La IA se regula ex ante en Europa (AI Act, por fases), ex post en EE. UU. y, en Colombia, por política, circular y jueces.
• Cada sector suma su ventanilla: INVIMA, SFC, SIC, CRC, Aerocivil, DNDA.

Próxima sesión (4 de noviembre): datos, ética y responsabilidad. Lectura: Arendt; ABC de la T-323; Ley 1581 y C-748 de 2011.