Ley 1581: consentimiento en llamadas con IA en salud

Cuando un agente de IA contesta la línea de citas de una IPS, no solo “automatiza recepción”: trata datos personales — y, con frecuencia, datos sensibles de salud o biométricos (voz). La Ley 1581 de 2012 exige autorización previa e informada, y para sensibles, autorización explícita, salvo excepciones legales. Sin eso, el canal más eficiente puede ser el más riesgoso.

Qué dice la ley, en el orden en que importa

La Ley 1581 desarrolla el derecho a conocer, actualizar y rectificar información recogida en bases de datos (art. 1) y aplica al tratamiento en Colombia — o cuando la ley colombiana rige al responsable o encargado (art. 2).

Artículo 5 — datos sensibles. Incluye, entre otros, los datos que revelen salud y los biométricos. Una conversación de citas puede mencionar diagnóstico, síntoma, EPS, o quedar grabada como huella de voz: diseña el canal como tratamiento de sensibles, no como “log de call center”.

Artículo 6 — tratamiento de sensibles. Está prohibido, excepto cuando, entre otras causales, el titular dio autorización explícita, o cuando hay interés vital, o ciertas actividades de organizaciones sin ánimo de lucro bajo condiciones estrictas. Para una IPS privada que agenda por IA, la ruta operativa es autorización explícita + finalidad clara.

Artículo 9 — autorización. El tratamiento requiere autorización previa e informada, obtenida por un medio consultable después. El Decreto 1377 de 2013 desarrolla aspectos de esa autorización y del tratamiento de sensibles.

Artículo 12 — deber de informar. Al pedir autorización, el responsable debe decir de forma clara: el tratamiento y su finalidad; el carácter facultativo de preguntas sobre sensibles; los derechos del titular; e identificación y contacto del responsable. Debe poder probar que lo cumplió.

Hay casos en que no se requiere autorización (art. 10) — por ejemplo urgencia médica o sanitaria —, pero agendar una control rutinario por IA no es una urgencia. No uses la excepción como atajo comercial.

Responsable, encargado y lo que debe decir el contrato

En la práctica de un prestador:

• Responsable: la IPS o clínica que decide la finalidad (atender citas, confirmar, auditar calidad).
• Encargado: quien trata datos por cuenta del responsable (el proveedor del agente de IA, telefonía, almacenamiento).

El contrato debe nombrar finalidades, instrucciones, medidas de seguridad, subencargados, transferencias internacionales, plazos de retención, devolución o eliminación al terminar, y apoyo al habeas data. El centro de confianza resume el tipo de preguntas que suelen hacer sistemas y oficiales de protección de datos.

El CONPES 4144 —política nacional de IA con horizonte 2024–2030— añade expectativa de ética y gobernanza: identificación del sistema, supervisión humana, uso responsable. No reemplaza la Ley 1581; la refuerza en el discurso de política pública. La lectura operativa está en CONPES 4144 para IPS.

Cómo diseñar el consentimiento en la llamada (y en WhatsApp)

No hay un único script mágico; hay requisitos mínimos que el flujo debe cumplir.

1. 1
   Identifica el sistema

   Di que es un asistente automatizado y ofrece pasar a una persona.

2. 2
   Pide autorización antes de tratar

   Explica finalidad (agendar/confirmar), qué datos se usan y si hay grabación.

3. 3
   Separa lo facultativo

   Si preguntas por datos sensibles no indispensables, aclara que puede no responder.

4. 4
   Guarda prueba consultable

   Registro de fecha, canal, texto o audio de la autorización y versión del aviso.

5. 5
   Honra habeas data

   Canal visible para consultar, actualizar o solicitar supresión según la ley.

En mensajería aplica la misma lógica: abrir WhatsApp sin aviso de tratamiento es el mismo error que un IVR sin política. El contexto de canal está en WhatsApp para citas médicas.

Checklist para el oficial de datos y operaciones

Errores frecuentes en IPS

1. Copiar el aviso del sitio web y asumir que cubre la llamada. El art. 12 exige informar al momento de solicitar la autorización, en ese canal.
2. Grabar “para calidad” sin finalidad ni plazo. La calidad es una finalidad: dilo y limítalo.
3. Dejar que el proveedor sea “dueño” de los datos. El responsable sigue siendo la institución frente al titular.
4. Medir solo conversión de citas y olvidar derechos ARCO/habeas data. Un canal que agenda mal y no corrige datos incumple dos veces.
5. Mezclar marketing con citas en el mismo consentimiento. Finalidades distintas; autorizaciones distintas.

Cómo encaja esto con la compra y la operación

Si estás evaluando proveedores, el checklist para comprar un agente de IA en salud traduce estos requisitos a preguntas de RFP. Si comparas modelos de atención, vs call center y vs IVR muestran por qué el menú o la silla no resuelven el deber de informar: solo lo desplazan.

El entorno financiero —UPC con más de $11,6 billones adicionales— empuja a automatizar. Automatizar sin Ley 1581 es ahorrar hoy y provisionar riesgo mañana. Para el mapa de mercado, radiografía 2026; para el enfoque local, Arbol en Colombia. Herramientas de operación (sin sustituir el análisis jurídico): front office, llamadas perdidas, turnos vs IA.

Esta nota es educativa: no es concepto jurídico ni sustituye a tu oficial de protección de datos o a tu abogado.