Por Damar HernandezFullStack AI Engineer en Korbex
5 min de lectura
Dónde corre la IA importa
Cuando usas un asistente de IA en la nube, lo que escribes y los documentos que adjuntas viajan a los servidores del proveedor, muchas veces fuera de Colombia. Para redactar un correo o resumir un artículo público, eso no es un problema.
La pregunta cambia cuando la consulta incluye historias clínicas, nómina, datos financieros de clientes o contratos confidenciales: ¿quién tiene esa información, en qué país y por cuánto tiempo? Instalar la IA dentro de la empresa (on-premise) significa que el modelo corre en equipos dentro de tu red, así que las consultas, los documentos y las respuestas no salen de ella.
Lo que dice la Ley 1581
En Colombia, el tratamiento de datos personales lo regula la Ley 1581 de 2012, vigilada por la Superintendencia de Industria y Comercio (SIC). Cuatro puntos son clave al usar IA (Ley 1581, 2012):
- Datos sensibles (artículo 5): los que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos a la salud, el origen étnico, las convicciones religiosas o los datos biométricos. Tienen una protección reforzada.
- Principio de seguridad (artículo 4): la información debe manejarse con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
- Transferencias a otros países (artículo 26): se prohíbe transferir datos personales a países que no ofrezcan un nivel adecuado de protección, salvo excepciones como la autorización expresa e inequívoca del titular.
- Sanciones (artículo 23): la SIC puede imponer multas de hasta 2.000 salarios mínimos mensuales, además de suspender o cerrar las operaciones de tratamiento.
Usar IA en la nube no es ilegal: muchas empresas lo hacen con autorizaciones y contratos adecuados. Pero cuando los datos son sensibles, mantenerlos dentro de tu red elimina de raíz la transferencia a otro país.
Esta guía es informativa y no reemplaza la asesoría legal. Antes de usar datos personales con IA, revisa con tu asesor qué autorizaciones y contratos necesitas.
Los riesgos propios de la IA
OWASP, la fundación de referencia en seguridad de software, publica una lista de los diez riesgos más importantes en aplicaciones con modelos de lenguaje (OWASP, 2025). Tres de ellos aplican sin importar dónde esté instalada la IA:
- Inyección de instrucciones: alguien escribe, o esconde en un documento, instrucciones que cambian el comportamiento del sistema.
- Revelación de información sensible: el sistema muestra datos que no debía, por ejemplo a un usuario sin permiso para verlos.
- Agencia excesiva: darle a la IA más permisos o acciones de las necesarias, como enviar correos o modificar registros sin control.
Instalar la IA dentro de la empresa resuelve dónde viven los datos, no estos riesgos. Igual hay que controlar quién pregunta qué, qué documentos puede leer cada rol y qué acciones puede ejecutar el sistema.
Nube o dentro de tu empresa: cómo decidir
| IA en la nube | IA dentro de tu empresa | |
|---|---|---|
| Dónde quedan los datos | En servidores del proveedor | En tu red |
| Inversión inicial | Baja: pagas por uso | Mayor: equipo e instalación |
| Costo mensual | Variable según las consultas | Predecible |
| Puesta en marcha | Inmediata | Requiere instalación |
| Mejor para | Información pública o poco sensible | Información sensible o confidencial |
No es una decisión de todo o nada. Muchas empresas combinan ambas: la nube para tareas generales y una IA privada para los procesos que manejan información sensible.
Qué exige una instalación bien hecha
- Un equipo dimensionado para el modelo y la cantidad de personas que lo usarán.
- Adecuación eléctrica certificada (en Colombia, bajo el RETIE), respaldo de energía y climatización.
- Red segmentada y acceso por roles: cada área consulta solo lo que le corresponde.
- Registro de auditoría de consultas y accesos.
- Actualizaciones y copias de seguridad controladas.
- Soporte local cuando algo falla.
Por dónde empezar
- 01
Clasifica tu información
Qué datos usarías con IA y cuáles son sensibles según la Ley 1581.
- 02
Elige un solo caso de uso
Por ejemplo, consultar contratos, manuales o políticas internas en lenguaje natural.
- 03
Define cómo medirlo
Tiempo ahorrado, respuestas correctas o errores evitados, desde el primer mes.
- 04
Decide dónde corre
Nube, dentro de tu empresa o una combinación, según la sensibilidad de los datos.
En Korbex estamos preparando Korbex IA Privada: inteligencia artificial instalada dentro de tu empresa, con un caso de uso medido desde el primer mes y costo predecible. Estamos buscando empresas piloto.
Preguntas frecuentes
¿Usar un asistente de IA en la nube con datos de clientes viola la Ley 1581?
Depende de qué datos, con qué autorizaciones y bajo qué contratos. Con datos sensibles, la transferencia a otro país exige cumplir el artículo 26, por ejemplo con la autorización expresa del titular. Revísalo con tu asesor legal.
¿La IA instalada dentro de la empresa es más segura por sí sola?
Resuelve dónde viven los datos, pero no riesgos como la inyección de instrucciones o el acceso sin permiso. Se necesitan controles por roles, registro de auditoría y límites a lo que el sistema puede hacer.
¿Qué es Korbex IA Privada?
Es un servicio de Korbex que estamos preparando: inteligencia artificial instalada dentro de tu empresa, con instalación llave en mano, un caso de uso medido desde el primer mes y costo predecible. Aún no está disponible; estamos buscando empresas piloto.
Fuentes
- Ley 1581, 2012. Congreso de la República de Colombia. Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. 17 de octubre de 2012. funcionpublica.gov.co
- OWASP, 2025. OWASP GenAI Security Project. «OWASP Top 10 for LLM Applications 2025». genai.owasp.org