Cámaras de Videovigilancia con Inteligencia Artificial: La SIC Precisa las Reglas de Protección de Datos Personales (Concepto 26-210534)
En CONSULTORÍA Y REVISORÍA S.A.S., monitoreamos las pronunciamientos de las autoridades de supervisión para asesorar a las empresas en la gestión del riesgo legal, el cumplimiento normativo (compliance) y la protección de datos personales ante la adopción de nuevas tecnologías.
La Superintendencia de Industria y Comercio (SIC), mediante el Concepto26-210534, respondió a una consulta estructurada sobre el uso de sistemas de videovigilancia equipados con Inteligencia Artificial (IA) para el análisis de comportamientos en establecimientos comerciales. El pronunciamiento de la entidad reafirma que la implementación de algoritmos no crea un régimen normativo exceptuado, sino que incrementa los estándares de exigencia e intensidad probatoria bajo la Ley 1581 de 2012 y la Circular Externa 002 de 2024 de la SIC.
1. La Imagen es un Dato Personal y su Procesamiento por IA es un Acto de Tratamiento
La SIC recordó que la imagen de una persona física constituye un dato personal en la medida en que esté vinculada o pueda asociarse a un individuo determinado o determinable.
Cualquier operación que implique captar, almacenar, consultar o someter dichas imágenes al procesamiento de un algoritmo de IA (como el análisis de gestos o conductas) se clasifica legalmente como un acto de tratamiento de datos personales. Por lo tanto, queda plenamente sometido a los principios, deberes y garantías de la Ley 1581 de 2012.
2. ¿Basta el Aviso de Privacidad Visible? El Límite entre Datos Ordinarios y Datos Biométricos Sensibles
Uno de los puntos centrales del análisis legal radica en el alcance del aviso de privacidad y la autorización del titular:
- Videovigilancia Convencional: La presencia de avisos informativos visibles en las entradas de los establecimientos permite considerar que el ingreso del cliente constituye una conducta inequívoca que otorga la autorización. Sin embargo, para que esta autorización sea válida, el aviso de privacidad debe informar explícitamente si la imagen será procesada mediante Inteligencia Artificial y para qué finalidad específica.
- Identificación Biometría Única (Datos Sensibles): Si el sistema de videovigilancia utiliza medios técnicos que permiten la identificación o autenticación unívoca de la persona (como el reconocimiento facial o patrones biométricos específicos), la imagen adquiere la categoría de dato biométrico sensible. En este escenario, el simple aviso de privacidad en la puerta resulta legalmente insuficiente y se exige obtener la autorización previa, explícita e informada de cada titular
3. Neutralidad Tecnológica y Responsabilidad del Empresario frente a Proveedores
La SIC reiteró el principio de neutralidad tecnológica, aclarando que la regulación aplica independientemente de la plataforma o software utilizado. La autoridad no emite certificaciones previas ni aprueba listas de tecnologías "seguras" o exentas de regulación, evaluando cada caso dentro de investigaciones administrativas con fundamento en las pruebas aportadas.
Asimismo, el concepto enfatiza que la condición de Responsable del Tratamiento recae sobre quien define la finalidad y los medios del uso de los datos (la empresa o establecimiento). Las organizaciones no pueden eludir su responsabilidad con lo pactado en contratos con proveedores tecnológicos externos, respondiendo administrativamente por las actuaciones de sus Encargados
4. Evaluaciones de Impacto y Transferencias Internacionales (Circular Externa 002 de 2024)
Para los sistemas de videovigilancia respaldados por IA, la regulación exige la adopción del principio de privacidad desde el diseño y por defecto (Privacy by Design and by Default):
- Estudio de Impacto de Privacidad (EIPD): Cuando la tecnología entrañe un alto riesgo de afectación a los derechos de los titulares, la empresa debe elaborar y documentar una Evaluación de Impacto en Protección de Datos previa al despliegue del sistema.
- Procesamiento en Servidores del Exterior: Si el algoritmo procesa o almacena fragmentos de video en servidores fuera de Colombia, se configura una transmisión o transferencia internacional de datos. La empresa debe verificar que el país receptor cuente con un nivel adecuado de protección, o bien suscribir Cláusulas Contractuales Modelo o solicitar la Declaración de Conformidad ante la SIC.
5. Consecuencias por Incumplimiento Normativo
El marco sancionatorio contemplado en el artículo 23 de la Ley 1581 de 2012 impone contingencias severas para los establecimientos que operen sistemas de IA sin las debidas garantías:
- Multas personales e institucionales de hasta 2.000 SMMLV.
- Suspensión de actividades relativas al tratamiento hasta por 6 meses.
- Cierre inmediato y definitivo de la operación que involucre el tratamiento no autorizado de datos sensibles.
Hoja de Ruta Preventiva para la Implementación de IA en Videovigilancia
Para mitigar riesgos legales y sancionatorios, recomendamos la siguiente lista de chequeo:
- Certificación del Proveedor: Requerir por escrito al proveedor tecnológico la certificación técnica que aclare si el sistema realiza o no la identificación o autenticación biométrica única de las personas.
- Actualización del Aviso de Privacidad: Modificar la señalética de ingreso e incluir expresamente el uso de Inteligencia Artificial, detallando la finalidad legítima perseguida (por ejemplo, prevención de hurto) y la ubicación de las políticas de tratamiento.
- Formalización de Contratos de Transmisión: Suscribir acuerdos de transmisión de datos con el proveedor que delimiten las instrucciones, la confidencialidad, las medidas de seguridad y la ubicación geográfica de los servidores.
- Documentación de la EIPD: Desarrollar y documentar el estudio de impacto de privacidad antes de poner en marcha el sistema, tal como lo exige la Circular Externa 002 de 2024 de la SIC.
¿Cómo le acompaña CONSULTORÍA Y REVISORÍA S.A.S.?
En CONSULTORÍA Y REVISORÍA S.A.S., acompañamos a su organización en la auditoría de cumplimiento y en la revisión del Sistema de Gestión de Protección de Datos Personales implementado, asegurando la alineación con todas las disposiciones normativas y el cumplimiento del principio de Responsabilidad Demostrada (Accountability), el cual exige que las empresas puedan documentar y comprobar ante las autoridades cómo garantizan la protección de los datos.
Dado que el incumplimiento puede acarrear investigaciones administrativas y multas por parte de la Superintendencia de Industria y Comercio (SIC) de hasta 2.000 salarios mínimos mensuales legales vigentes (SMMLV), nuestro equipo experto le asesora en la realización y documentación del Estudio de Evaluación de Impacto de Privacidad (EIPD) cuando el tratamiento de datos represente un alto riesgo para los titulares, tal como lo exige la Circular Externa 002 de 2024 de la SIC en el despliegue de sistemas de Inteligencia Artificial (IA) en Colombia.