Una empresa puede afirmar que protege a los menores mientras sus formularios recopilan datos innecesarios, sus cámaras conservan imágenes sin control, sus plataformas perfilan comportamientos y sus empleados comparten información por WhatsApp.
El Decreto 0769 de 2026 no solo obliga a revisar lo que ocurre frente a una pantalla. También deja al descubierto una realidad incómoda: muchas organizaciones desconocen cómo sus decisiones tecnológicas afectan la privacidad, la autonomía y la dignidad de niños, niñas y adolescentes.
La vulnerabilidad no siempre comienza con un ataque informático. A veces nace en una inscripción escolar, una fotografía institucional, una aplicación educativa o una automatización que nadie evaluó.
La pregunta ya no es si la empresa utiliza tecnología.
La pregunta es si conserva el control humano sobre ella.
👉 LEE NUESTRO BLOG…
El nuevo decreto colombiano sobre protección de niños, niñas y adolescentes en internet puede ser interpretado como una norma dirigida a redes sociales, instituciones educativas y familias. Sin embargo, limitar su lectura a esos actores sería perder la dimensión empresarial del cambio que está ocurriendo.
El Decreto 0769 del 16 de julio de 2026 reglamenta la Ley 2489 de 2025 e incorpora medidas para promover entornos digitales sanos y seguros. Su arquitectura parte de la corresponsabilidad: el Estado, las familias, la comunidad educativa y los proveedores de servicios digitales deben participar en la prevención de riesgos y en la protección de los derechos de los menores.
Pero la corresponsabilidad no es una expresión decorativa.
Representa un cambio profundo en la manera de comprender la actividad digital. Significa que una organización no puede atribuir toda la responsabilidad a la plataforma que contrató, al proveedor que desarrolló su aplicación, al colegio que recopiló la información o al adulto que autorizó el acceso.
Cuando una empresa participa en el ecosistema que obtiene, almacena, analiza, comparte o utiliza información de menores, también participa en la construcción de sus riesgos.
Por eso, este decreto no debería ser leído únicamente por abogados, rectores o responsables de tecnología. Debería ser analizado por la alta dirección, los responsables de mercadeo, talento humano, servicio al cliente, seguridad, innovación, contratación y gobierno corporativo.
La protección de la infancia digital comienza mucho antes de que aparezca una denuncia.
Comienza en las decisiones empresariales que diseñan el entorno.
Consulte nuestra Arquitectura de Protección de Datos y Confianza Digital:
https://t.mtrbio.com/habeas-data
La organización puede estar observando sin comprender
En numerosos entornos empresariales, los datos de niños y adolescentes circulan como si fueran información ordinaria.
Una academia solicita documentos de identidad y fotografías mediante formularios abiertos. Un colegio publica imágenes de estudiantes en redes sociales. Una institución de salud intercambia información familiar por canales personales. Una plataforma registra hábitos de navegación. Un comercio utiliza cámaras con reconocimiento de características físicas. Una aplicación educativa mide tiempos de conexión, preferencias y respuestas.
Cada acción puede parecer funcional cuando se observa de manera aislada.
El problema aparece cuando nadie conoce el recorrido completo de la información.
¿Quién decidió recopilarla?
¿Para qué se utiliza realmente?
¿Durante cuánto tiempo permanece almacenada?
¿Qué proveedores pueden verla?
¿El sistema la emplea para entrenar modelos, recomendar contenidos o construir perfiles?
¿Existe una persona capaz de explicar y detener ese tratamiento?
La pérdida de control no siempre produce una alerta. Puede permanecer durante años dentro de sistemas que funcionan correctamente desde el punto de vista técnico, pero que nunca fueron examinados desde la dignidad humana.
Allí se encuentra uno de los mayores riesgos de la transformación digital: confundir funcionamiento con legitimidad.
Una tecnología puede operar sin errores y, aun así, exponer innecesariamente a una persona.
Puede automatizar un proceso y, al mismo tiempo, eliminar el criterio que permitía reconocer una situación sensible.
Puede mejorar una experiencia comercial mientras construye silenciosamente un perfil que el menor nunca comprenderá.
La eficiencia no reemplaza la responsabilidad.
El decreto introduce una señal que ninguna empresa debería ignorar
Entre los elementos destacados por la nueva regulación se encuentran la debida diligencia de los proveedores digitales, los mecanismos de verificación de edad proporcionales al riesgo, las herramientas de mediación familiar, los canales de atención y la prevención de prácticas que puedan afectar los derechos de los menores. La norma prohíbe expresamente la recolección de datos biométricos de niños, niñas y adolescentes, el perfilamiento algorítmico comercial y la vigilancia masiva, según la presentación pública de sus disposiciones.
Estas restricciones revelan algo más importante que la prohibición misma.
El diseño tecnológico ha dejado de ser una decisión neutral.
Cuando una organización implementa biometría, inteligencia artificial, videovigilancia, analítica avanzada o sistemas de personalización, está tomando decisiones sobre identidad, comportamiento, autonomía y capacidad de elección.
La biometría no es simplemente una contraseña más cómoda. Es información ligada a características personales que no pueden reemplazarse con facilidad.
El perfilamiento no es únicamente una herramienta de mercadeo. Es una interpretación automatizada de una persona, construida a partir de datos, inferencias y patrones.
La verificación de edad tampoco debería convertirse en una excusa para recopilar más información de la necesaria. Un mecanismo creado para proteger puede terminar generando una nueva vulnerabilidad cuando exige documentos, imágenes o evidencias desproporcionadas.
Esa contradicción es central para la confianza digital.
No toda solución de seguridad protege.
Algunas trasladan el riesgo, lo ocultan o lo convierten en una base de datos más grande.
Por esta razón, la pregunta correcta no es cuál tecnología puede implementarse, sino cuál arquitectura permite cumplir la finalidad con la menor exposición posible.
Colegios y empresas comparten un mismo problema de gobierno
El Decreto 0769 dispone que las instituciones educativas incorporen lineamientos de protección digital en sus proyectos educativos y manuales de convivencia, incluyendo rutas de atención frente al ciberacoso y otras formas de violencia digital. También fortalece el papel de los comités escolares y la participación de las familias.
A primera vista, esto parece pertenecer exclusivamente al sector educativo.
No es así.
Los colegios funcionan dentro de una red de proveedores: plataformas académicas, sistemas biométricos, aplicaciones de transporte, servicios de alimentación, cámaras, agencias de comunicaciones, almacenamiento en la nube, herramientas de inteligencia artificial, operadores de pagos y soluciones de mensajería.
Cada proveedor amplía el recorrido de la información.
Cada integración crea una dependencia.
Cada contrato puede introducir una nueva finalidad que la institución no ha identificado.
Por eso, actualizar un manual de convivencia no será suficiente cuando el problema real está en la arquitectura tecnológica y contractual.
La institución puede tener un protocolo impecable contra el ciberacoso y, al mismo tiempo, conservar fotografías de estudiantes en carpetas compartidas sin restricciones.
Puede ofrecer capacitaciones a las familias mientras utiliza una plataforma cuyos términos permiten análisis de comportamiento.
Puede solicitar autorizaciones completas y mantener sistemas sin trazabilidad sobre consultas, descargas o transferencias.
Los documentos son necesarios, pero no sustituyen el gobierno de la información.
La madurez se demuestra cuando lo escrito coincide con lo que ocurre en los sistemas, en los contratos y en las prácticas cotidianas.
WhatsApp también forma parte del entorno institucional
Una parte considerable de la vida escolar, comercial y familiar se desarrolla hoy en grupos de WhatsApp.
Por allí circulan nombres, fotografías, listados, calificaciones, diagnósticos, novedades disciplinarias, autorizaciones, ubicaciones, datos de contacto y conversaciones sobre menores.
El canal es rápido, conocido y aparentemente sencillo.
Precisamente por eso puede convertirse en un espacio de exposición silenciosa.
Cuando una organización utiliza mensajería instantánea sin reglas claras, pierde capacidad para establecer quién conserva la información, quién puede reenviarla, cuánto tiempo permanece disponible y qué ocurre cuando una persona abandona la institución.
No se trata de prohibir una herramienta útil.
Se trata de reconocer que la comodidad también necesita gobierno.
Una arquitectura funcional debe definir qué información puede circular por cada canal, cuáles conversaciones requieren sistemas institucionales, cómo se atienden solicitudes, quién administra los grupos y qué evidencia debe conservarse.
La tecnología debe adaptarse a la finalidad organizacional. La organización no debería entregar su criterio a la facilidad de una aplicación.
La inteligencia artificial amplifica decisiones que antes eran pequeñas
La incorporación de inteligencia artificial en educación, entretenimiento, atención al cliente y creación de contenidos aumenta la urgencia de estas conversaciones.
Un asistente puede responder preguntas de un estudiante.
Una plataforma puede adaptar ejercicios a su desempeño.
Una aplicación puede moderar conversaciones.
Un sistema puede detectar conductas consideradas riesgosas.
Pero detrás de cada resultado existen datos, instrucciones, modelos, proveedores y decisiones sobre lo que debe observarse.
Cuando la organización desconoce cómo funciona esa cadena, tampoco puede explicar qué información salió de su control.
La interacción de menores con sistemas de inteligencia artificial fue uno de los riesgos discutidos durante el proceso de reglamentación de la Ley 2489 de 2025. El Ministerio TIC también señaló preocupaciones relacionadas con cuentas creadas usando edades falsas, presencia de adultos en videojuegos infantiles, contenidos inapropiados y uso excesivo de pantallas.
Frente a estos escenarios, una política genérica de privacidad resulta insuficiente.
La empresa necesita inventariar sus herramientas de IA, identificar los datos que reciben, establecer restricciones de uso, revisar contratos y definir cuándo una decisión requiere intervención humana.
También debe comprender que un sistema aparentemente gratuito puede estar siendo pagado con información, comportamiento o dependencia tecnológica.
La confianza digital exige saber no solo qué hace la herramienta, sino qué ocurre con los datos después de utilizarla.
La familia no puede asumir sola el peso del diseño tecnológico
El decreto fortalece la supervisión activa y la mediación tecnológica de padres, madres y cuidadores. Esa participación es necesaria, pero no debe convertirse en un mecanismo para trasladarles las consecuencias de diseños empresariales opacos.
Una familia puede acompañar, conversar y establecer límites.
No puede auditar los algoritmos de una plataforma.
No puede conocer las transferencias internacionales ocultas en una cadena de proveedores.
No puede determinar fácilmente si una aplicación construye perfiles comerciales o conserva datos después de eliminar una cuenta.
No puede corregir una interfaz diseñada para prolongar el tiempo de uso.
Por eso, la protección no puede descansar únicamente en recomendaciones para “vigilar a los hijos”.
Las empresas deben asumir responsabilidad sobre la manera en que diseñan, contratan y operan servicios accesibles para menores.
La verdadera confianza aparece cuando la protección no depende de que cada familia descubra por sí sola las amenazas del sistema.
La protección de datos necesita convertirse en arquitectura
Muchas organizaciones reaccionarán al nuevo decreto solicitando una política, modificando una autorización o programando una capacitación.
Esas acciones pueden ser útiles, pero resultarán fragmentadas si no existe una arquitectura que las conecte.
La Arquitectura de Protección de Datos y Confianza Digital comienza por reconocer la realidad operativa de la organización.
Esto implica comprender qué datos existen, dónde se encuentran, por qué fueron obtenidos, quién interviene, qué tecnologías los utilizan y qué riesgos produce cada decisión.
Después viene el orden: finalidades comprensibles, responsabilidades internas, criterios para proveedores, gestión de accesos, trazabilidad, conservación limitada, atención de incidentes y formación práctica.
La asesoría permite interpretar el conflicto empresarial.
La elaboración convierte ese criterio en reglas y herramientas comprensibles.
La implementación lleva esas reglas a contratos, canales, sistemas y procesos.
La capacitación transforma comportamientos.
La auditoría verifica si la organización realmente conserva el control.
No son servicios aislados.
Son componentes de una misma capacidad organizacional: proteger información sin paralizar la operación y adoptar tecnología sin abandonar la dignidad humana.
Conozca el enfoque:
https://t.mtrbio.com/habeas-data
El riesgo reputacional comienza antes de la sanción
Cuando una organización expone información de un menor, el daño no se limita al expediente jurídico.
También puede romper la confianza de familias, trabajadores, estudiantes, clientes y comunidades.
Una fotografía publicada sin suficiente criterio puede permanecer disponible después de que desaparezca la finalidad original.
Un dato utilizado para personalizar una experiencia puede terminar condicionando lo que una persona ve.
Una grabación creada para seguridad puede transformarse en una fuente de vigilancia.
Una herramienta educativa puede convertir la curiosidad de un niño en información comercial.
En estos casos, la sanción es apenas una de las consecuencias posibles.
La pérdida más profunda ocurre cuando la organización deja de ser percibida como un entorno confiable.
Esa percepción difícilmente se recupera con un comunicado o con una política actualizada después del incidente.
La reputación digital se construye antes del conflicto, mediante decisiones que quizá nunca sean visibles para el público: limitar una recopilación, descartar una tecnología invasiva, exigir garantías a un proveedor o detener una automatización que no puede explicarse.
La confianza empresarial nace de aquello que la organización decide no hacer.
El Decreto 0769 es una advertencia sobre la cultura empresarial
La norma introduce obligaciones concretas, pero su mensaje más importante es cultural.
La infancia no puede convertirse en materia prima de la economía digital.
Las organizaciones deben dejar de observar a los menores únicamente como usuarios, audiencias, estudiantes, beneficiarios o futuros consumidores.
Son personas en desarrollo, con derechos, vulnerabilidades y una capacidad limitada para comprender las consecuencias permanentes de ciertas decisiones digitales.
Protegerlas exige más que controles parentales.
Exige organizaciones capaces de poner límites a su propia tecnología.
El verdadero avance no será tener más plataformas de vigilancia, sino desarrollar mejor criterio.
No será recopilar más datos para reducir incertidumbre, sino aprender a operar con la información estrictamente necesaria.
No será automatizar cada interacción, sino conservar intervención humana donde la dignidad pueda verse afectada.
La regulación colombiana está llevando la conversación hacia una responsabilidad compartida. Para las empresas, esto significa que la confianza digital ya no puede tratarse como una tarea secundaria del área jurídica.
Debe convertirse en una forma de dirección.
CIERRE + CTA
El Decreto 0769 de 2026 no solo busca proteger a los menores frente a los riesgos de internet. También obliga a las organizaciones a observar sus propias prácticas y reconocer cuánta información han recopilado sin construir verdadero control.
La empresa madura no espera una denuncia para descubrir sus vulnerabilidades.
Revisa sus plataformas, cuestiona sus automatizaciones, ordena sus canales, exige trazabilidad a sus proveedores y forma a las personas que toman decisiones cotidianas sobre datos.
La infancia digital está revelando una verdad que afecta a toda organización: cuando la tecnología avanza más rápido que el criterio, la eficiencia puede convertirse silenciosamente en exposición.
Fortalezca su Arquitectura de Protección de Datos y Confianza Digital:
https://t.mtrbio.com/habeas-data
La confianza no se declara en una política: se demuestra en cada decisión que limita el poder de la tecnología sobre las personas.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
FUENTES NORMATIVAS Y CONTEXTO OFICIAL
Información oficial del Ministerio TIC sobre el Decreto 0769 de 2026:
Ley 2489 de 2025:
