Esta Circular tiene como objetivo (i) proporcionar a los Responsables del Tratamiento de Datos Personales los requisitos generales sobre el Tratamiento de Datos Personales para desarrollar, desplegar o usar sistemas de inteligencia artificial (“Sistemas de IA”), y (ii) brindar a los Titulares de los Datos seguridad sobre el uso de sus Datos Personales en los Sistemas de IA, ya que generalmente se utilizan para tomar decisiones autónomas o para asistir a un tomador de decisiones humano a través de recomendaciones y predicciones.

Es importante tener en cuenta que, aunque las Circulares no tienen rango de Ley como tal, la Superintendencia de Industria y Comercio (“SIC”) las considera como pautas interpretativas.

Específicamente, la SIC proporcionó los siguientes lineamientos:

• El tratamiento de datos personales a través de IA conlleva la necesidad de realizar una ponderación según los siguientes 4 criterios, destinados a salvaguardar los principios establecidos en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012: (i) idoneidad; (ii) necesidad; (iii) razonabilidad; y (iv) proporcionalidad en sentido estricto.
• En caso de presentarse falta de certeza sobre el daño potencial que pueda causar el tratamiento de datos personales, y para evitar que se cause un daño grave e irreversible, los Administradores de Datos Personales deberán abstenerse de dicho tratamiento o adoptar medidas precautorias o preventivas para proteger los derechos de los Titulares de los Datos, su dignidad y otros derechos humanos.
• Se incluye una nueva definición para Administrador de Datos Personales: Se entiende por Administradores de datos personales a: Responsables del Tratamiento (literal e) artículo 3 de la Ley Estatutaria 1581 de 2012), Encargados del Tratamiento (literal d) artículo 3 de la Ley Estatutaria 1581 de 2012), las Fuentes de Información (literal b) artículo 3 de la Ley Estatutaria 1266 de 2008), los Operadores de Información (literal c) artículo 3 de la Ley Estatutaria 1266 de 2008) y a los Usuarios (literal d) artículo 3 de la Ley Estatutaria 1266 de 2008).
• La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos, son elementos esenciales del Principio de Responsabilidad Demostrada. Los riesgos asociados al tratamiento de datos personales en IA deben estar sujetos a esfuerzos de planificación y mitigación proporcionales a la gravedad de los daños eventuales que puedan generarse.
• Previo al diseño y desarrollo de la IA, y en la medida en que sea probable que los productos realizados a través de dichas técnicas entrañen un alto riesgo de afectación a los titulares de los datos, será necesario efectuar y documentar un estudio de impacto de privacidad.
• Los datos personales sujetos a tratamiento en la IA deben ser veraces, completos, exactos, actualizados, comprobables y comprensibles. Se prohíbe el tratamiento de datos personales parciales, incompletos, fraccionados o que induzcan a error.
• Una manera de dar cumplimiento a la privacidad desde el diseño y por defecto por medio de técnicas matemáticas es la privacidad diferencial. La privacidad diferencial es un conjunto de técnicas matemáticas que permiten hacer análisis de datos sin revelar información de las personas que proporcionaron esos datos.
• En el Tratamiento de datos personales en la IA se debe garantizar el derecho de los Titulares de los Datos a obtener de los Administradores de Datos Personales, en cualquier momento y sin restricciones, información sobre el Tratamiento de sus datos personales.
• La información personal que es “accesible al público” no es, per se, información “de naturaleza pública”. El hecho de que estén disponibles en Internet no significa que cualquiera pueda tratarlos sin el consentimiento previo, expreso e informado del Titular del Dato. Por lo tanto, los Responsables del Tratamiento que recolecten datos personales privados, semiprivados o sensibles en Internet no están legitimados para apropiarse de dicha información y tratarla para cualquier finalidad que consideren apropiada sin el consentimiento previo, expreso e informado del Titular de los Datos.
• El tratamiento de datos personales que se realice en sistemas de IA debe prever estrategias pertinentes, eficientes y demostrables para garantizar el cumplimiento de los derechos de los titulares de los datos establecidos en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012 y sus decretos reglamentarios.

Para información adicional y cómo puede afectar sus prácticas de tratamiento de datos, no dude en contactar con nosotros.