Ley 1581 y Analítica de Video con IA: Guía de Cumplimiento para Empresas de Seguridad en Colombia
La Ley 1581 de Colombia crea obligaciones específicas para las empresas que procesan footage de video con IA. Qué cuenta como dato personal, qué requiere consentimiento y cómo el procesamiento de video en la nube encaja dentro del marco regulatorio.
El marco de protección de datos de Colombia — anclado en la Ley 1581 de 2012 y su decreto reglamentario, el Decreto 1377 de 2013 — fue escrito antes de que la analítica de video con IA existiera como producto comercial. La ley aplica de todas formas, y las empresas de seguridad que implementan sistemas de videovigilancia inteligente deben entender exactamente qué obligaciones asumen.
Esta es una guía práctica, no asesoría legal. Para preguntas específicas de cumplimiento, consulta a un abogado colombiano especializado en protección de datos. Pero el marco que presentamos a continuación refleja cómo la Superintendencia de Industria y Comercio (SIC) ha abordado la vigilancia digital y el procesamiento de datos personales.
Qué Hace que los Datos de Video Sean "Datos Personales" Bajo la Ley 1581
La Ley 1581 define datos personales como cualquier información vinculada o que pueda vincularse a una persona natural. En el contexto de la videovigilancia, esto crea una distinción clave:
El footage de video crudo que captura individuos identificables es dato personal. Una grabación de una persona entrando a un edificio, mostrando su rostro o características distinguibles, constituye dato personal bajo la ley.
La analítica agregada y anonimizada — contar personas en un espacio, medir ocupación, detectar patrones de movimiento — generalmente no constituye dato personal si los individuos subyacentes no pueden ser re-identificados a partir del resultado.
Las inferencias generadas por IA sobre individuos específicos — "esta persona ha estado presente por 47 minutos" o "esta persona fue vista en la Cámara 3 a las 14:32" — vinculan datos a individuos identificables y son por tanto datos personales.
La implicación práctica: la analítica de video inteligente que genera insights sobre individuos específicos activa las obligaciones de la Ley 1581. La analítica que solo produce métricas agregadas y anónimas generalmente no lo hace.
Obligaciones Principales para Empresas de Seguridad
Si tu sistema de analítica de video con IA procesa datos personales (lo cual hace la mayoría de los sistemas de detección de incidentes), estas son las obligaciones principales bajo la Ley 1581:
1. Notificación a los Titulares
Las personas que están siendo filmadas deben saber que lo están siendo y para qué se usan los datos. En el contexto de seguridad física, esto se logra típicamente a través de señalización visible que indique la presencia de cámaras de seguridad y la identidad del responsable.
La SIC ha respaldado consistentemente el estándar de "aviso visible" como suficiente para espacios públicos y semipúblicos como lobbies de edificios, parqueaderos y pisos comerciales. El aviso debe identificar: que existe vigilancia, el propósito (seguridad) y cómo ejercer los derechos de datos.
2. Límites de Retención Definidos
El marco de protección de datos de Colombia no especifica un período de retención universal para footage de seguridad, pero aplica el principio de minimización de datos: no debes retener datos más tiempo del necesario para el propósito declarado.
En la práctica, la mayoría de asesores legales en Colombia recomiendan 30 días como un plazo predeterminado defendible para footage de seguridad rutinario. El footage asociado a un incidente específico — archivado como evidencia o parte de una investigación — puede retenerse por más tiempo, pero debe estar formalmente documentado como tal.
Los registros de eventos generados por IA (metadatos sobre incidentes detectados, marcas de tiempo, puntuaciones de confianza) están sujetos a los mismos límites de retención que el footage subyacente al que hacen referencia.
3. Medidas de Seguridad y Obligaciones del Encargado del Tratamiento
Cuando una empresa de seguridad contrata a un proveedor de nube para procesar datos de video (como en el caso de la analítica de video con IA en la nube), tanto la empresa de seguridad como el proveedor de nube se consideran encargados del tratamiento. La empresa de seguridad actúa como responsable del tratamiento respecto al footage de sus clientes.
Esto crea una cadena de procesamiento de datos: el propietario del edificio (o la empresa que contrata los servicios de seguridad) → la empresa de seguridad → el proveedor de IA en la nube.
La Ley 1581 requiere que haya contratos de procesamiento de datos entre cada eslabón de esta cadena. La empresa de seguridad debe asegurarse de que su proveedor de IA tenga medidas de seguridad adecuadas y debe poder demostrar esto a la SIC cuando se le solicite.
4. Consideraciones de Datos Sensibles
La ley crea una categoría especial de "datos sensibles" que incluye información biométrica. La tecnología de reconocimiento facial — donde la analítica de video identifica a individuos específicos analizando la geometría facial — cae en esta categoría y requiere consentimiento explícito, lo cual es un umbral significativamente más alto que el estándar de aviso para la vigilancia rutinaria.
La analítica de video con IA que detecta comportamientos (merodeo, intrusión, tailgating) sin identificar a individuos específicos por identidad no activa las disposiciones de datos sensibles. La distinción importa: detectar que alguien está en un área restringida es diferente a detectar que esta persona específica e identificada está en un área restringida.
Cómo Closely Está Diseñado para el Cumplimiento
La arquitectura de Closely fue diseñada con estas obligaciones en mente.
Almacenamiento basado en eventos, no grabación continua. Closely almacena clips asociados con eventos detectados, no streams continuos de footage. Esto apoya el principio de minimización de datos y hace que la gestión de retención sea manejable: sabes exactamente qué está almacenado y por qué.
Sin reconocimiento facial. El agente Watcher detecta comportamientos y objetos — personas con máscaras, merodeo, intrusión — sin identificar a individuos por su identidad. Esto mantiene el sistema fuera de la categoría de datos sensibles biométricos.
Procesamiento cifrado en GCP. Los datos de video se cifran en tránsito y en reposo en Google Cloud Platform. La empresa de seguridad mantiene el control sobre los datos de sus clientes; Closely es un encargado, no un responsable.
Contratos de tratamiento documentados. Closely proporciona contratos de tratamiento de datos (DPAs) para sus clientes que satisfacen los requisitos de la Ley 1581 para contratos de encargado.
Retención configurable. Los períodos de retención para clips de eventos pueden configurarse por instalación para coincidir con la política de gobernanza de datos del cliente.
Pasos Prácticos para el Cumplimiento
Para una empresa de seguridad que implementa analítica de video con IA hoy en Colombia, la lista mínima de verificación de cumplimiento luce así:
-
Instalar señalización visible de aviso de vigilancia en todas las ubicaciones monitoreadas — lobbies, parqueaderos, zonas de acceso restringido. La señalización debe identificar al responsable y declarar el propósito de seguridad.
-
Establecer políticas de retención y configurar tu sistema de IA para purgar automáticamente los registros de eventos y clips asociados después del período definido (30 días es un valor predeterminado común; los incidentes bajo investigación activa deben marcarse explícitamente para retención extendida).
-
Firmar contratos de tratamiento de datos con tu proveedor de analítica de IA. Verifica que el proveedor pueda demostrar medidas de seguridad adecuadas (certificación ISO 27001 o equivalente) y que apoyará tu respuesta a cualquier investigación de la SIC.
-
Establecer un proceso de respuesta a derechos de datos. Bajo la Ley 1581, los individuos pueden solicitar acceso a sus datos personales, corrección y eliminación. Tu operación necesita un proceso definido para manejar estas solicitudes, incluyendo saber dónde encontrar el footage relevante.
-
Evitar el reconocimiento facial a menos que hayas obtenido consentimiento explícito de cada individuo que será procesado. Para la mayoría de las aplicaciones de seguridad comercial, la detección basada en comportamientos logra el objetivo de seguridad sin activar los requisitos de datos biométricos.
La Dirección Regulatoria
La SIC ha incrementado su actividad de supervisión alrededor de la vigilancia digital. En 2024 y 2025, la agencia publicó orientaciones que dejan claro que la videovigilancia inteligente — incluyendo el monitoreo asistido por IA — cae dentro del alcance de la Ley 1581.
Colombia también observa los desarrollos en el AI Act de la UE y la LGPD de Brasil, ambos de los cuales imponen requisitos más estrictos en aplicaciones de IA de alto riesgo incluyendo la vigilancia. Si bien la ley colombiana actualmente sigue detrás de estos marcos, la tendencia es hacia un mayor escrutinio.
Las empresas de seguridad que construyen el cumplimiento en sus implementaciones de video IA ahora estarán mejor posicionadas a medida que la regulación se endurece. El costo de adaptar el cumplimiento a una operación existente siempre es más alto que diseñarlo desde el principio.
La buena noticia: para las operaciones de seguridad enfocadas en la detección de incidentes más que en el perfilamiento de identidad, el camino de cumplimiento es directo. Sabe qué estás almacenando, por qué, por cuánto tiempo y cómo responderás si alguien pregunta.