SIC - Concepto 584303 de 2025

Bogotá D.C., enero de 2026

Asunto: Radicación: 25-584303

Folios: 15

Reciba un cordial saludo:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar, en prim er lugar, que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan

adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por Usted m anifestadas.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;

ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

Pregunta

“8. ¿Los deportistas y clubes pueden reclamar derechos patrimoniales o morales cuando su imagen o contenido audiovisual es difundido sin autorización?”.

Respuesta

1. La imagen como dato personal

El artículo 15 de la Constitución Política establece que en el tratamiento de datos personales se respetará la libertad y demás garantías consagradas en laConstitución1. Esto significa que, tanto las personas naturales como las jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman– , están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Un concepto esencial que determina la aplicabilidad del régimen de protección

que traten datos personales –recolecten, almacenen, usen, circulen, supriman– , están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Un concepto esencial que determina la aplicabilidad del régimen de protección de datos personales es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012:

“c) Dato personal : C ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente e n el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”2.

Por su parte, la imagen puede ser definida como el “conjunto de rasgos o detalles físicos que identifican a una persona ”3, que puede ser plasmada en diferentes soportes como fotografías o videos. En cuanto al derecho a la imagen, la Corte Constitucional ha señalado lo siguiente:

“(…) el derecho a la imagen responde al control que tienen los individuos sobre las representaciones de sus características externas que conforman las manifestaciones y expresiones de su individualidad corporal y que permiten su identificación. En atención a ese alcance del

“(…) el derecho a la imagen responde al control que tienen los individuos sobre las representaciones de sus características externas que conforman las manifestaciones y expresiones de su individualidad corporal y que permiten su identificación. En atención a ese alcance del derecho es necesario resaltar que en algunas representaciones, usualmente las fotografías, el uso del nombre y los videos que reflejen a la persona resulta evidente que la imagen está involucrada, pero existen múltiples manifestaciones en las que esa circunstancia no es clara, razón por la que se deberá establecer el uso de la imagen en cada caso concreto, con base en dos elementos principales: el uso de

1 Art. 15 C. P.: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan reco gido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. 2 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel. 3 https://dpej.rae.es/lema/imagenaspectos externos del sujeto y la verificación del carácter recognoscible en la manifestación concreta que se analiza”4.

En consecuencia, como ya lo ha señalado esta Oficina de Asesoría Jurídica en otras oportunidades5, la imagen puede calificarse jurídicamente como un dato personal cuando puede asociarse a una persona determinada o determinable. Por consiguiente, el tratamiento de la imagen, independientemente del soporte en el que se recolecte, está sometido al régime n de protección de los datos

personal cuando puede asociarse a una persona determinada o determinable. Por consiguiente, el tratamiento de la imagen, independientemente del soporte en el que se recolecte, está sometido al régime n de protección de los datos personales, en particular a la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.

Es importante precisar que no todos los videos o fotos contienen datos personales. Solo contienen datos personales aquellos que permitan establecer la identidad de una o varias personas naturales. Si, por ejemplo, una foto o un video contiene la imagen de personas con máscaras en su rostro o que están de espaldas de tal forma que no se pueda establecer la identidad de cada una de ellas, esa foto o video no será considerada un dato personal6.

Por otra parte, el literal g) del artículo 3 de la Ley 1581 de 2012 define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales , que se encuentren registrados en cualquier base de datos o archivo por parte de personas naturales o jurídicas, públicas o privadas, y cuyo procesamiento se realice utilizando medios tecnológicos o manuales. El tratamiento de datos personales no está prohibido, salvo ciertas excepciones establecidas en la ley.

2. La necesidad de la autorización del titular para el tratamiento de sus datos personales

Cuando se realiza el tratamiento de una imagen que entra en la categoría de dato personal, el responsable o encargado de tratamiento debe cumplir

2. La necesidad de la autorización del titular para el tratamiento de sus datos personales

Cuando se realiza el tratamiento de una imagen que entra en la categoría de dato personal, el responsable o encargado de tratamiento debe cumplir cabalmente el régimen protección de datos personales. En ese contexto, en el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión, debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

4 Corte Constitucional, sentencia T-628 de 2017, M.P. Gloria Stella Ortiz Delgado. 5 Superintendencia de Industria y Comercio, concepto 13-033980. 6 Superintendencia de Industria y Comercio “Guía sobre el tratamiento de las fotos como datos personales”, p. 8.“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

Como correlato de dicho principio, la Ley 1581 de 2012 establece, dentro de los deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los

rectificación o supresión.

Como correlato de dicho principio, la Ley 1581 de 2012 establece, dentro de los deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

En consecuencia, el responsable de tratamiento debe solicitar la autorización del titular para el tratamiento de sus datos personales. Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Al respecto, es importante tener en cuenta lo dispuesto en el artículo 2.2.2.25.2.4. del Decreto 1074 de 2025:

“2.2.2.25.2.4 Modo de obtener la autorización. Para efectos de dar

en cuenta lo dispuesto en el artículo 2.2.2.25.2.4. del Decreto 1074 de 2025:

“2.2.2.25.2.4 Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012,los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garantic en su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

En los términos precedentes, se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) de forma oral o (iii) mediante conductas inequívocas que permitan concluir razonablemente que otorgó su autor ización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

manera explícita.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“Artículo 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia, el responsable del tratamiento al solicitar la autorización al titular de los datos personales le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales en cuanto a su recolección, almacenamiento,uso, circulación, supresión o cualquier otra operación sobre los datos personales; (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

De acuerdo con lo anterior, cualquier acto de tratamiento de imágenes que sean datos personales, deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales.

3. Competencia de esta Superintendencia de Industria y Comercio por el incumplimiento del régimen de protección de los datos personales

Toda persona que considere que sus datos personales –por ejemplo, su imagen o su voz– estén siendo tratados indebidamente tiene derecho a presentar ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO una queja por la infracción de las normas relativas a la protección de datos personales.

Para elevar la queja ante esta Entidad, es necesario que se presente previamente reclamación ante quien considera que está tratando indebidamente sus datos personales. Presentada la reclamación, si la respuesta es negativa, no es satisfactoria o no hay respuesta dentro del término de quince (15) días hábiles7, el titular de los datos podrá presentar la queja ante la SUPERINTENDENCIA

DE INDUSTRIA Y COMERCIO.

La queja puede ser presentada a través de la página web de esta Entidad ingresando directamente en el siguiente enlace: https://servicioslinea.sic.gov.co/. Una vez ingrese al Servicio en Línea, podrá

DE INDUSTRIA Y COMERCIO.

La queja puede ser presentada a través de la página web de esta Entidad ingresando directamente en el siguiente enlace: https://servicioslinea.sic.gov.co/. Una vez ingrese al Servicio en Línea, podrá iniciar sesión (si ya tiene un usuario) o registrarse (si es nuevo usuario). En Servicios en Línea podrá elevar la queja en la opción de “¿Tiene problemas con su historial crediticio o con el indebido tratamiento de su información personal?”.

Una vez adelantado el respectivo procedimiento, esta Superintendencia decidirá sobre si prospera o no la queja. Si se concluye que se han incumplido las disposiciones que rigen la protección de datos personales , la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO adoptará las medidas o impondrá las sanciones que correspondan.

7 Ley 1581 de 2012, art. 15.Adicionalmente, en virtud de lo establecido en el artículo 17 del Decreto 4886 de 2011, que reglamente la estructura y funciones de esa Superintendencia, la Dirección de Investigación de Protección de Datos Personales puede, de oficio o a petición de parte, adelantar indagaciones, investigaciones, procedimientos y actuaciones administrativas, sobre presuntas actuaciones contrarías o violaciones a las normas que integran el régimen de protección de datos personales, as í como dictar las sanciones, órdenes, r equerimientos e instrucciones a que haya lugar.

En cuanto a las sanciones por el incumplimiento de las disposiciones de dicha ley por parte de los responsables o encargados de tratamiento, el artículo 23 de la misma Ley 1581 de 2012 establece:

“Artículo 23. Sanciones . La Superintendencia de Industria y

ley por parte de los responsables o encargados de tratamiento, el artículo 23 de la misma Ley 1581 de 2012 establece:

“Artículo 23. Sanciones . La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposic iones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

De acuerdo con lo anterior , la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO puede imponer sanciones a los responsables o encargados de

Nación para que adelante la investigación respectiva.

De acuerdo con lo anterior , la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO puede imponer sanciones a los responsables o encargados de tratamiento que incumplan el régimen de protección de datos personales establecido en la ley 1581 de 2012, independientemente de su naturaleza jurídica o actividad.4. Otros medios de protección del titular por vulneración de su derecho fundamental al habeas data

Además de la queja que el titular puede presentar ante esta Superintendencia, cuando considere que su derecho fundamental sobre sus datos personales (habeas data ) ha sido vulnerado, existen otras acciones que podrían resultar procedentes según el supuesto fáctico que se haya configurado, como la acción de tutela, la acción de responsabilidad civil o la acción penal. No obstante, esta Superintendencia únicamente cuenta con la competencia descrita en el numeral anterior, razón por la cual no puede pronunciarse sobre acciones de otra naturaleza.

Pregunta

“9. ¿La DNDA considera que los contenidos manipulados digitalmente (como los deepfakes) pueden vulnerar los derechos morales de autor o conexos?”.

Respuesta

La Oficina Asesora Jurídica tiene competencia absolver consultas en el marco de las funciones asignadas a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. En consecuencia, responde consultas considerando sus competencias como Autoridad de Protección de Datos, en el marco del régimen legal de protección de datos personales, en particular de la Ley 1581 de 2012, los capítulos 25 a 28 del Decreto Único Reglamentario de 2015 y demás nomas complementarias.

Como ya se señaló, cualquier tratamiento de imágenes que sean datos

los capítulos 25 a 28 del Decreto Único Reglamentario de 2015 y demás nomas complementarias.

Como ya se señaló, cualquier tratamiento de imágenes que sean datos personales deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015, por lo cual el responsable o encargado del tratamiento deberá contar con la autorización previa, expresa e informada del titular. El titular que considere que existe un incumplimiento del régimen de protección de datos personales tiene derecho a presentar una queja ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO . Para evitar repeticiones innecesarias, remitimos al régimen explicado en la respuesta brindada a la primera pregunta de su consulta.

En cuanto al aspecto de su pregunta referente a los derechos de auto r, esta Superintendencia no tiene competencia para pronunciarse sobre esta materia. La entidad competente en Colombia para referirse a los derecho de autor es la

DIRECCIÓN NACIONAL DE DERECHOS DE AUTOR.Pregunta

“10. ¿Qué medidas jurídicas podrían adoptarse para proteger la imagen y la voz de los deportistas frente a la creación y difusión de contenidos falsos o alterados mediante inteligencia artificial?”.

Respuesta

Para responder su pregunta, es importante señalar que esta Superintendencia ha establecido lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Si el titular de los datos personales considera que hay un indebido tratamiento de sus datos personales a través de esos sistemas, puede realizar una reclamación ante el responsable del tratamiento y presentar una queja ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, como ya se mencionó en la respuesta a las preguntas anteriores.

sistemas, puede realizar una reclamación ante el responsable del tratamiento y presentar una queja ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, como ya se mencionó en la respuesta a las preguntas anteriores.

Nos referiremos a continuación sobre las instrucciones impartidas por esta Superintendencia en materia de tratamiento de datos personales en sistemas de inteligencia artificial.

La utilización de sistemas de inteligencia artificial (IA) para el tratamiento de datos personales

Esta Superintendencia reconoce que el tratamiento de los datos personales (como la imagen o la voz) puede realizase en la actualidad a través de sistemas de inteligencia artificial. Cualquier tratamiento de los datos personales, incluyendo el que se realizan a través de un sistema de inteligencia artificial, deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto Único Reglamento 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales.

En ese marco, la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO expidió la Circular Externa no. 002 de 2024, por medio la cual se establecen lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Concretamente, en dicha circular se presentaron las siguientes instrucciones:

“I. El Tratamiento de Datos personales en la IA presupone la necesidad de realizar una ponderación atendiendo cuatro criterios, destinados a salvaguardar los principios establecidos en las leyes Estatutarias 1266 de 2008 y 1581 de 2012: a. Idoneidad: El Tratamiento es capaz de alcanzar el objetivo propuesto; b. Necesidad: No exista otra medida más moderada en cuanto al

de 2008 y 1581 de 2012: a. Idoneidad: El Tratamiento es capaz de alcanzar el objetivo propuesto; b. Necesidad: No exista otra medida más moderada en cuanto al impacto de las operaciones de Tratamiento en la protección de Datos personales e igual de eficaz para conseguir tal objetivo;c. Razonabilidad: El Tratamiento debe estar orientado a cumplir finalidades constitucionales; d. Proporcionalidad en sentido estricto: Las ventajas obtenidas como consecuencia de la restricción del derecho a la protección de datos no deberán ser superadas por las desventajas de afectar el derecho al Habeas Data.

II. En caso de presentarse falta de certeza frente a los potenciales daños que puede causar el Tratamiento de Datos personales, y con miras a evitar que se cause un daño grave e irreversible, los Administradores de Datos personales deberán abstenerse de realizar dicho Tratamiento o adoptar medidas precautorias o preventivas para proteger los derechos del Titular del dato, su dignidad y otros derechos humanos.

III. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos, son elementos esenciales del principio de responsabilidad demostrada 8 . Así, en el Tratamiento de Datos personales en la IA se requiere que los Administradores de Datos personales adecúen, entre otros, sistemas de administración de riesgos asociados al Tratamiento de aquella información. Lo anterior, con el objetivo de identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo que están expuestos en desarrollo del cumplimiento de las normas de protección de Datos personales.

IV. Previo al diseño y desarrollo de la IA, y en la medida en que sea

hechos o situaciones que puedan incidir en la debida administración del riesgo que están expuestos en desarrollo del cumplimiento de las normas de protección de Datos personales.

IV. Previo al diseño y desarrollo de la IA, y en la medida en que sea probable que los productos realizados a través de dichas técnicas entrañen un alto riesgo de afectación a los Titulares de la información, será necesario efectuar y documentar un estudio de impacto de privacidad. Aquel, como mínimo, deberá contener lo siguiente:

a. Una descripción detallada de las operaciones de Tratamiento de Datos personales. b. Una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los Datos personales. En la evaluación de riesgos se espera, por lo menos, la identificación y clasificación estos. c. Las medidas previstas para evitar la materialización de los riesgos, medidas de seguridad, diseño de software, tecnologías y mecanismos que garanticen la protección de Datos personales, teniendo en cuenta los derechos e intereses legítimos de los Titula res de los datos y de otras personas que puedan eventualmente resultar afectadas.

V. Los Datos personales sujetos a Tratamiento en la IA deben ser veraces, completos, exactos, actualizados, comprobables y

8 Los riesgos asociados al Tratamiento de Datos personales en la IA deben estar sujetos a planificación y esfuerzos de mitigación pr