Una empresa puede tener antivirus, copias de seguridad, contratos, nube y políticas de privacidad… y aun así no saber quién consulta sus datos, qué descarga un proveedor, qué información entra en una IA o qué ocurre cuando un empleado se retira.
Ese es el riesgo que suele permanecer invisible: no necesariamente el robo de información, sino la pérdida silenciosa de control sobre ella.
Un estudio oficial realizado sobre 32.763 organizaciones ya mostraba una señal inquietante: la seguridad documental avanzaba mucho más rápido que la trazabilidad, la auditoría, el control de terceros y la gestión integral del dato.
En 2026, con inteligencia artificial, nube, biometría, automatización y proveedores globales, esa distancia puede ser todavía más peligrosa.
👉 LEE NUESTRO BLOG…
Si su organización necesita revisar cuánto control conserva realmente sobre sus datos:
https://t.mtrbio.com/habeas-data
La seguridad de los datos ya no empieza donde muchas empresas creen
Durante años, buena parte de la conversación empresarial sobre protección de datos se concentró en documentos.
Políticas.
Avisos de privacidad.
Autorizaciones.
Cláusulas contractuales.
Formatos.
Registro de bases de datos cuando resulta obligatorio.
Todo eso importa.
Pero una organización puede tener documentos impecables y continuar expuesta si no puede responder preguntas mucho más incómodas:
¿Quién puede entrar hoy a la información?
¿Quién pudo entrar ayer?
¿Quedó registrado?
¿Un proveedor puede descargarla?
¿Un antiguo trabajador conserva acceso?
¿WhatsApp terminó convertido en una base de datos paralela?
¿Los archivos almacenados en la nube están bajo las mismas reglas que los servidores internos?
¿Los empleados están ingresando datos personales, contratos, hojas de vida o información de clientes en herramientas de inteligencia artificial?
¿Existe alguna evidencia que permita reconstruir lo ocurrido después?
Ahí comienza la diferencia entre cumplir formalmente y gobernar información.
Y esa diferencia es hoy una cuestión de confianza empresarial.
Un dato histórico que debería seguir incomodando
En 2019, un análisis construido con información reportada por 32.763 responsables del tratamiento dejó una fotografía significativa de la realidad organizacional colombiana.
En promedio, solo el 34,5 % manifestó haber implementado los requerimientos de seguridad consultados. El 79 % no tenía una política específica de acceso para información sensible; aproximadamente el 88 % no había implementado una política de protección para acceso remoto; cerca del 83 % carecía de procedimientos de auditoría de sistemas que contuvieran datos personales; y el 82 % no había implementado un sistema de gestión de seguridad de la información o un programa integral de gestión de datos personales.
Hay un hallazgo todavía más revelador.
El 71 % señaló no contar con controles de seguridad en la tercerización del tratamiento, aunque una proporción muy alta de ese grupo utilizaba encargados externos.
Estos porcentajes pertenecen a una medición histórica y no deben presentarse como fotografía estadística de 2026.
Pero el problema empresarial que revelan no envejeció.
Se transformó.
En 2019 la conversación era sobre acceso remoto, bases de datos, sistemas internos y proveedores.
Hoy debemos sumar Microsoft 365, Google Workspace, CRM en la nube, plataformas de nómina, WhatsApp Business, software como servicio, reconocimiento facial, videovigilancia analítica, almacenamiento internacional, API, automatizaciones, agentes de inteligencia artificial y modelos generativos capaces de recibir información empresarial en segundos.
La superficie tecnológica cambió.
La responsabilidad sobre la información no desapareció con ella.
El problema no es tener muchos sistemas: es no saber qué hacen con la información
La tecnología empresarial suele incorporarse por necesidad.
Una plataforma para vender.
Otra para contratar personal.
Otra para facturar.
Otra para almacenar documentos.
Otra para hacer campañas.
Otra para responder clientes.
Otra para automatizar.
Otra para usar inteligencia artificial.
Vista individualmente, cada decisión puede parecer razonable.
El riesgo aparece cuando nadie gobierna el conjunto.
La empresa termina operando con una arquitectura accidental de información.
Ventas guarda teléfonos en un CRM.
Mercadeo exporta la misma base a una plataforma publicitaria.
Servicio al cliente conversa por WhatsApp.
Talento humano conserva hojas de vida en carpetas compartidas.
Un proveedor de nómina procesa datos financieros.
Seguridad utiliza cámaras.
Tecnología administra credenciales.
La dirección incorpora una solución de IA.
Y cada área cree que el dato pertenece a su proceso.
No.
El dato atraviesa a la organización.
Por eso la protección de datos no debería administrarse como un archivo jurídico ubicado en una carpeta. Debe funcionar como una arquitectura transversal de decisiones, responsabilidades, permisos, finalidades y evidencias.
La legislación colombiana lleva tiempo hablando de algo más profundo que una política
La Ley 1581 de 2012 exige medidas técnicas, humanas y administrativas capaces de evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
El Decreto 1074 de 2015 desarrolla, entre otros aspectos, el principio de responsabilidad demostrada: no basta afirmar que la organización cumple; debe ser posible demostrar la adopción de medidas apropiadas y efectivas.
Ese enfoque continúa plenamente vigente. Y la evolución regulatoria posterior ha reforzado la necesidad de trasladar la protección de datos desde el documento hacia la gestión real.
La propia autoridad colombiana ha reiterado que el régimen de protección de datos es tecnológicamente neutral: las obligaciones acompañan el tratamiento independientemente del procedimiento, metodología o tecnología empleada. Eso incluye tecnologías actuales y futuras, entre ellas inteligencia artificial.
El mensaje empresarial es sencillo:
la empresa no pierde responsabilidad porque el tratamiento haya sido automatizado.
Tampoco porque se encuentre en la nube.
Ni porque lo ejecute un tercero.
Ni porque la herramienta haya sido adquirida bajo una suscripción mensual.
La inteligencia artificial cambió el significado de “control”
Desde agosto de 2024 existen en Colombia instrucciones específicas sobre tratamiento de datos personales mediante sistemas de inteligencia artificial.
Estas incorporan criterios como privacidad desde el diseño, responsabilidad demostrada y análisis de idoneidad, necesidad, razonabilidad y proporcionalidad cuando se desarrollan, despliegan o utilizan sistemas de IA que procesan información personal.
Esto altera profundamente una práctica empresarial cotidiana.
Cuando alguien copia información de un cliente en una herramienta generativa para “mejorar un correo”, puede estar ejecutando un tratamiento de datos.
Cuando recursos humanos utiliza IA para analizar candidatos, aparece un tratamiento.
Cuando un sistema clasifica usuarios, calcula perfiles, determina prioridades o produce resultados que afectan a personas, ya no estamos simplemente utilizando software.
Estamos tomando decisiones organizacionales mediante información.
Y cuanto más autónomo sea el proceso, mayor debe ser la claridad sobre:
la finalidad,
los datos utilizados,
su procedencia,
las personas que pueden acceder,
los proveedores involucrados,
los criterios del sistema,
la conservación,
los resultados,
los riesgos,
y la posibilidad de reconstruir posteriormente lo ocurrido.
Eso es trazabilidad.
No una palabra técnica.
Una capacidad empresarial.
2026 introdujo una frontera adicional: poder explicar la automatización
La tendencia regulatoria internacional está avanzando hacia sistemas capaces de demostrar no solo que procesaron información, sino bajo qué condiciones lo hicieron.
En la Unión Europea, el AI Act ya se encuentra en aplicación progresiva. Desde el 2 de agosto de 2026 son exigibles, entre otras disposiciones aplicables, determinadas reglas de transparencia, gobernanza y obligaciones relacionadas con modelos de IA de uso general; otras obligaciones, especialmente algunas correspondientes a sistemas de alto riesgo, mantienen calendarios posteriores.
Esto no significa que toda empresa colombiana esté automáticamente sometida al AI Act.
Significa algo empresarialmente más importante:
el estándar internacional de confianza está cambiando.
Ya no basta preguntar si la herramienta funciona.
También comienza a importar si puede explicarse, supervisarse, documentarse y gobernarse.
El NIST AI Risk Management Framework continúa planteando precisamente una aproximación basada en gobierno, identificación, medición y gestión del riesgo de IA, incluyendo privacidad, seguridad, transparencia y responsabilidad organizacional. En 2026 ese marco sigue siendo voluntario y está además en proceso de actualización.
La evolución es clara.
La tecnología empresarial se dirige hacia entornos donde la confianza deberá poder demostrarse.
El proveedor no se lleva la responsabilidad con el contrato
Uno de los errores empresariales más persistentes consiste en pensar:
“Eso lo maneja nuestro proveedor”.
La frase puede describir quién ejecuta técnicamente una actividad.
No necesariamente quién conserva responsabilidad frente al tratamiento.
Cuando una organización contrata terceros para CRM, hosting, nube, nómina, marketing, mensajería, almacenamiento, analítica, inteligencia artificial o soporte tecnológico, necesita comprender qué tratamiento realizará ese tercero, bajo qué instrucciones, con qué medidas, desde qué territorio y con qué subcontratistas.
La autoridad colombiana ha reiterado que los responsables deben exigir a los encargados el cumplimiento de las obligaciones aplicables y que el responsable conserva deberes frente a titulares y autoridades respecto de tratamientos ejecutados por terceros.
El contrato ayuda.
Pero el contrato sin verificación puede terminar siendo únicamente una promesa archivada.
Gobernar terceros implica saber qué información reciben, por qué la reciben, durante cuánto tiempo pueden conservarla, quién puede acceder, dónde se encuentra, cómo se devuelve o elimina y qué ocurre ante un incidente.
Eso transforma la contratación tecnológica en gobierno de información.
Y cuando los datos cruzan fronteras, la nube deja de ser una ubicación abstracta
En diciembre de 2025 se expidieron instrucciones sobre cláusulas contractuales modelo para la transferencia y transmisión internacional de datos personales.
La regulación recuerda que los flujos internacionales de información deben analizarse dentro de las reglas colombianas sobre transferencia, transmisión y niveles adecuados de protección, contemplando los mecanismos correspondientes cuando la información circula hacia otras jurisdicciones.
Esta realidad debería cambiar una pregunta frecuente.
No basta con preguntar:
“¿Nuestro sistema está en la nube?”
La pregunta empresarial debería ser:
“¿Qué datos salen de nuestra organización, hacia quién, hacia qué jurisdicción, bajo qué relación jurídica, con qué garantías y con qué capacidad de supervisión?”
La nube puede ser extraordinariamente funcional.
El riesgo aparece cuando la organización deja de saber qué ocurre dentro de ella.
La biometría exige todavía más criterio
Una contraseña se cambia.
Un número telefónico puede cambiar.
Una dirección puede cambiar.
Un rostro no funciona igual.
Una huella tampoco.
Por eso la biometría merece un nivel superior de prudencia.
Sistemas de control de ingreso, reconocimiento facial, identificación de trabajadores, aplicaciones financieras, validación de identidad o videovigilancia inteligente pueden involucrar información particularmente delicada y, dependiendo de su uso, datos sensibles.
La discusión no debería empezar por:
“¿Podemos instalarlo?”
Debería comenzar por:
“¿Realmente lo necesitamos?”
Después:
“¿Existe una alternativa menos invasiva?”
Y finalmente:
“¿Tenemos capacidad para proteger, limitar, auditar y eventualmente eliminar esa información?”
Tecnología disponible no significa tecnología necesaria.
Ahí cobra sentido una doctrina empresarial esencial:
nunca la tecnología por la tecnología en sí misma, sino la tecnología por la funcionalidad.
El acceso remoto dejó de ser remoto
En 2019 resultaba preocupante que alrededor del 88 % de las organizaciones analizadas no hubiese implementado medidas específicas de protección para acceso remoto.
Después llegaron el trabajo híbrido, la nube, los teléfonos corporativos y personales, las aplicaciones móviles, las sesiones persistentes y las plataformas distribuidas.
Lo que antes se llamaba “acceso remoto” es hoy trabajo normal.
Eso convierte una debilidad histórica en una pregunta contemporánea:
¿quién puede acceder a los datos de la empresa desde cualquier lugar?
Más importante todavía:
¿la empresa puede demostrarlo?
Cuando alguien abandona la organización, ¿sus permisos desaparecen de todos los sistemas?
Cuando una persona cambia de función, ¿sus privilegios cambian?
Cuando un proveedor termina contrato, ¿sus credenciales mueren con él?
Cuando se comparte un archivo, ¿queda registro?
Cuando se descarga una base, ¿alguien lo sabe?
La confianza digital se construye precisamente allí, en operaciones que nadie ve mientras funcionan correctamente.
Una empresa madura no espera el incidente para descubrir su arquitectura
Un incidente de datos pocas veces revela un único problema.
Normalmente destapa varios al mismo tiempo.
Una cuenta activa que debió cerrarse.
Un archivo compartido sin restricción.
Un proveedor sin controles suficientes.
Una base exportada.
Un correo enviado a destinatarios equivocados.
Una integración que nadie documentó.
Una copia local.
Una credencial compartida.
Un dato que nunca debió conservarse.
La reglamentación colombiana mantiene obligaciones de reporte de determinados incidentes de seguridad a través del RNBD para los sujetos y eventos correspondientes, dentro de los plazos establecidos por las instrucciones aplicables.
Pero el verdadero valor empresarial no está en reportar correctamente después.
Está en haber creado antes una organización capaz de detectar, contener, reconstruir y aprender.
Una organización sin trazabilidad suele enterarse tarde.
Y cuando se entera, depende de recuerdos humanos:
“creo que esa carpeta la manejaba…”
“posiblemente el proveedor tenía acceso…”
“no sabemos quién descargó…”
“esa cuenta pertenecía a alguien que ya no trabaja aquí…”
Ese lenguaje es la voz operativa de una organización que perdió control.
La protección de datos comienza antes de recolectar y termina después de borrar
Otro hallazgo del estudio histórico resultaba revelador: menos de la mitad de las organizaciones reportaba controles integrales sobre las diferentes etapas del ciclo de vida del dato y solo una proporción limitada tenía procedimientos de disposición final.
El dato tiene una vida.
Se solicita.
Se obtiene.
Se valida.
Se almacena.
Se consulta.
Se comparte.
Se modifica.
Se combina.
Se analiza.
Se utiliza para decidir.
Se archiva.
Y debería llegar un momento en el que deje de existir cuando ya no corresponda conservarlo.
Cada etapa añade riesgo.
La acumulación indiscriminada produce una falsa sensación de valor.
“Guardemos todo, algún día puede servir”.
En realidad, cada dato innecesario puede convertirse en una obligación innecesaria.
La madurez informacional también consiste en saber renunciar a información.
WhatsApp merece una conversación empresarial propia
Pocas tecnologías han descentralizado tanto la información organizacional.
Ventas recibe documentos.
Servicio al cliente recibe cédulas.
Cartera recibe comprobantes.
Talento humano recibe incapacidades.
Gerencia recibe contratos.
Todo desde teléfonos.
Todo con enorme velocidad.
Y con frecuencia sin una arquitectura equivalente de conservación, acceso, clasificación, eliminación o trazabilidad.
WhatsApp no es necesariamente el problema.
El problema es utilizar una herramienta funcional sin decidir previamente cómo encaja dentro del gobierno de información de la organización.
Otra vez:
tecnología por funcionalidad.
Pero funcionalidad con criterio.
La dirección empresarial ya no puede delegar completamente este asunto
En 2024 se impartieron instrucciones específicas para administradores societarios en materia de tratamiento de datos personales, reforzando la idea de que la protección de datos no es exclusivamente una función del abogado, del encargado tecnológico o del responsable de privacidad.
Tiene dimensión de gobierno corporativo.
Y es lógico.
¿Quién decide adquirir una plataforma?
¿Quién aprueba tercerizaciones?
¿Quién autoriza presupuestos?
¿Quién define procesos?
¿Quién establece apetito de riesgo?
¿Quién decide automatizar?
La dirección.
No es razonable que las decisiones tecnológicas sean estratégicas mientras sus consecuencias sobre los datos se consideren administrativas.
La confianza digital necesita liderazgo.
La Arquitectura de Protección de Datos y Confianza Digital
El siguiente nivel no consiste en producir más documentos.
Consiste en conectar lo que ya existe.
Procesos.
Personas.
Tecnología.
Contratos.
Proveedores.
Bases de datos.
Sistemas.
IA.
Nube.
Canales comerciales.
Videovigilancia.
Recursos humanos.
Seguridad.
Marketing.
Decisiones automatizadas.
Derechos de los titulares.
Incidentes.
Auditoría.
La Arquitectura de Protección de Datos y Confianza Digital permite convertir esas piezas dispersas en un sistema organizacional coherente.
Por eso asesoría, elaboración, implementación, capacitación y auditoría no deberían vivirse como servicios separados.
Son momentos distintos de una misma evolución empresarial.
Primero se comprende.
Después se estructura.
Luego se implementa.
Las personas aprenden.
Finalmente se verifica.
Y se vuelve a mejorar.
Ese ciclo genera algo mucho más valioso que una carpeta de cumplimiento.
Genera criterio institucional.
Si quiere evaluar el nivel real de control que conserva su organización sobre la información:
https://t.mtrbio.com/habeas-data
En 2026, la confianza también necesita evidencia
La evolución normativa reciente en Colombia confirma el movimiento hacia un ecosistema más exigente.
En 2024 llegaron instrucciones específicas para IA y administradores societarios.
En 2025 se incorporaron instrucciones especializadas para ecosistemas fintech, incluyendo seguridad, decisiones automatizadas y tratamientos tecnológicos particularmente intensivos en datos.
A finales de 2025 se formalizaron cláusulas contractuales modelo para determinadas transferencias y transmisiones internacionales de datos.
En 2026 se emitieron además instrucciones sectoriales adicionales sobre tratamiento de información mediante tecnologías, segmentación e inteligencia artificial en el contexto electoral.
No todas estas disposiciones aplican de la misma manera a todas las empresas.
Pero observadas en conjunto muestran una dirección regulatoria inequívoca:
más responsabilidad demostrada,
más trazabilidad,
más transparencia,
más control sobre terceros,
más atención a decisiones automatizadas,
y mayor capacidad de demostrar cómo se gobierna la información.
La pregunta empresarial ya no puede limitarse a:
“¿Tenemos política de tratamiento?”
Debe evolucionar hacia:
“¿Podemos demostrar que nuestra organización controla realmente lo que hace con los datos?”
Ahí está la diferencia entre documentación y confianza.
Una organización puede tener tecnología extraordinaria y una arquitectura de información frágil.
Puede automatizar sin gobernar.
Puede almacenar sin controlar.
Puede contratar sin supervisar.
Puede usar inteligencia artificial sin saber qué información está entregando.
Puede cumplir en apariencia y permanecer vulnerable en la operación.
La verdadera protección de datos comienza cuando la empresa conoce el recorrido de la información y conserva capacidad para decidir sobre él.
No se trata de frenar la innovación.
Se trata de impedir que la innovación avance más rápido que el criterio empresarial.
Si desea revisar su organización desde una perspectiva de asesoría, elaboración, implementación, capacitación y auditoría integradas dentro de una Arquitectura de Protección de Datos y Confianza Digital:
https://t.mtrbio.com/habeas-data
La confianza digital no nace cuando una empresa promete cuidar los datos. Nace cuando puede demostrar que todavía conserva el control sobre ellos.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
