IoT (Intertnet of Things) en Colombia

Resumen rápido

Cuando instalas una bombilla inteligente, una cerradura con huella o un asistente de voz, estás firmando un contrato de tratamiento de datos que probablemente nunca leíste y que, en muchos casos, no cumple con la ley colombiana. El IoT ya es masivo, pero la regulación lo mira apenas de reojo. Este caso desglosa quién responde, qué derechos tienes, dónde están las zonas grises y por qué en unos años cambiar la llave de tu casa por biometría planteará preguntas de derecho constitucional.

Un termóstato inteligente sabe a qué hora llegas a casa, cuándo estás de vacaciones y cuántos hay en tu familia. Una cerradura con huella guarda tu dato biométrico más permanente, el que no puedes cambiar si lo hackean. Un asistente de voz graba fragmentos de tus conversaciones para "mejorar el servicio". Un smartwatch registra tu frecuencia cardíaca, tus horas de sueño y tus niveles de estrés.

Ninguno de estos dispositivos nació siendo una herramienta de vigilancia. Pero todos se convirtieron en una. Y la ley colombiana, diseñada en una época donde los objetos no tenían dirección IP, los mira desde categorías jurídicas que no fueron hechas para ellos.

El Internet de las Cosas (IoT) es ya una realidad masiva en Colombia. Más de 12 millones de dispositivos conectados operan en el país; cámaras de seguridad, medidores inteligentes, electrodomésticos, wearables, vehículos. El número se duplicará antes de 2028. Y con cada dispositivo nuevo, se crea un nuevo punto de recolección de datos personales, un nuevo eslabón de responsabilidad jurídica y una nueva zona gris donde la ley no llega con claridad.

Colombia no tiene una ley de IoT. Lo que tiene es un conjunto de normas diseñadas para otros contextos que, aplicadas con criterio, cubren (parcialmente) los riesgos que el IoT introduce.

Ley 1581 de 2012 (Habeas Data): Es la norma más relevante. Todo dispositivo IoT que recolecte datos personales de colombianos activa su aplicación. El fabricante o la plataforma que opera el dispositivo es un "responsable del tratamiento" o un "encargado", con obligaciones de autorización previa, finalidad determinada, seguridad reforzada y garantía de derechos ARCO. El problema: la mayoría de los fabricantes son chinos, coreanos o estadounidenses que no conocen (o ignoran) la norma colombiana.

Ley 1480 de 2011 (Estatuto del Consumidor): Regula la garantía y responsabilidad por productos defectuosos. Si un dispositivo IoT falla y causa un daño, ejemplo; una cerradura inteligente que se queda bloqueada, una cámara que transmite la señal de tu hogar a terceros, el consumidor colombiano tiene derecho a garantía, reparación o indemnización. El fabricante y el distribuidor responden solidariamente.

Ley 1273 de 2009 (Delitos informáticos): El acceso no autorizado a un dispositivo IoT — hackear una cámara, interceptar el tráfico de un smartwatch, configura delitos de acceso abusivo a sistema informático (art. 269A) con penas de 48 a 96 meses de prisión. La norma aplica tanto al atacante externo como al fabricante que accede sin consentimiento.

CONPES 3995 de 2020 (Política Nacional de Confianza y Seguridad Digital): Establece los lineamientos de ciberseguridad para entidades públicas y privadas, incluyendo infraestructura crítica conectada. Define la protección de dispositivos IoT como un eje estratégico — pero sin crear obligaciones legales directas para fabricantes privados.

Decreto 090 de 2023: Actualiza las competencias de la SIC en materia de protección de datos digitales y le otorga facultades de inspección y sanción sobre plataformas que operan en Colombia, incluidas las que gestionan dispositivos IoT.

La cadena de responsabilidad en un ecosistema IoT tiene al menos cuatro eslabones. Determinar cuál responde requiere entender qué función cumple cada uno — y dónde ocurrió el fallo.

El fabricante del hardware: Responsable por defectos de diseño o fabricación bajo la Ley 1480. Si el dispositivo tiene una vulnerabilidad de seguridad conocida y no fue corregida, el fabricante responde. En Colombia, el importador actúa como fabricante cuando este no tiene representación local — lo que significa que el distribuidor colombiano puede quedar expuesto a reclamaciones que no anticipó.

El desarrollador del firmware y la app: El software que controla el dispositivo es tan parte del producto como el hardware. Si la app transmite datos sin cifrar, no implementa autenticación robusta o vende la información a terceros sin consentimiento válido, el desarrollador es responsable bajo la Ley 1581 como responsable del tratamiento.

La plataforma cloud: La nube donde se almacenan los datos del dispositivo es un "encargado del tratamiento" bajo la Ley 1581, con obligaciones contractuales hacia el responsable y obligaciones legales directas hacia el titular de los datos. Si la nube está en China o Estados Unidos, la transferencia internacional de datos requiere garantías adicionales.

El usuario: También tiene responsabilidades. Quien instala una cámara de seguridad en un espacio compartido (pasillo de edificio, oficina) es responsable del tratamiento de los datos de las personas captadas. Ignorar este rol no exime, la Ley 1581 aplica independientemente de si el responsable es una empresa o una persona natural.

• Fabricante/importador: responde por defectos del producto (Ley 1480) y por vulnerabilidades de seguridad no corregidas.
• Desarrollador de software/firmware: responsable del tratamiento de datos recolectados por la app y del cumplimiento de la Ley 1581.
• Plataforma cloud: encargada del tratamiento con obligaciones de seguridad, confidencialidad y limitación de uso.
• Usuario final: responsable del tratamiento cuando instala dispositivos que captan datos de terceros (cámaras, micrófonos en espacios compartidos).

No todos los datos que recolecta un dispositivo IoT tienen el mismo tratamiento jurídico. La Ley 1581 establece una jerarquía que, aplicada al IoT, produce consecuencias muy distintas según el tipo de dato.

Datos de uso y hábitos (termóstato, smart TV, electrodomésticos): Son datos personales ordinarios. Requieren autorización, finalidad determinada y medidas de seguridad básicas. En la práctica, la mayoría de los dispositivos obtienen esta autorización en términos y condiciones que nadie lee.

Datos de localización (GPS en smartwatches, rastreadores vehiculares, celulares): Son datos personales con potencial altamente sensible — permiten inferir lugares de trabajo, lugares de culto, relaciones sentimentales, condición de salud. La SIC los ha tratado con estándar elevado en sus decisiones sancionatorias.

Datos biométricos (huella dactilar en cerraduras, reconocimiento facial en cámaras, voz en asistentes): Son datos sensibles bajo la Ley 1581 — la categoría más protegida. Su tratamiento requiere autorización explícita, finalidad específica y medidas de seguridad reforzadas. La mayoría de las cerraduras inteligentes que se venden hoy en Colombia no cumplen con este estándar: almacenan la huella en un servidor externo sin que el usuario sepa dónde.

Datos de salud (wearables, básculas inteligentes, monitores de glucosa): También son datos sensibles. Una aseguradora que acceda a estos datos sin autorización estaría violando simultáneamente la Ley 1581 y potencialmente el derecho fundamental a la salud.

• Hábitos y uso: datos ordinarios — requieren autorización y finalidad, pero estándar básico.
• Localización: datos con potencial sensible — estándar elevado en práctica sancionatoria de la SIC.
• Biometría: datos sensibles — autorización explícita obligatoria, prohibición de uso sin consentimiento, medidas de seguridad reforzadas.
• Salud: datos sensibles — misma categoría que biometría, con implicaciones adicionales en seguros y empleo.

Las zonas grises del IoT no son fallas de la ley — son el resultado de que la tecnología evoluciona más rápido que el proceso legislativo. Estas son las más relevantes para el operador jurídico colombiano.

Cámaras en espacios compartidos: ¿Puede el administrador de un edificio de propiedad horizontal instalar cámaras en los pasillos sin consentimiento de los residentes? La Ley 675 de 2001 (propiedad horizontal) permite medidas de seguridad, pero no regula explícitamente la vigilancia biométrica. La Ley 1581 exige informar a los captados — ¿basta un aviso en la cartelera? La SIC no ha respondido con claridad.

El apagado remoto por el fabricante: Varios fabricantes de dispositivos IoT se reservan el derecho contractual de deshabilitar el producto de forma remota (Sonos lo hizo en 2024 con modelos discontinuados). En Colombia, ¿puede el fabricante hacer inutilizable un bien que el usuario compró? La Ley 1480 protege al consumidor frente a cambios unilaterales que degraden el producto — pero el derecho a la propiedad sobre un dispositivo con firmware controlado remotamente es territorio inexplorado.

Datos de IoT en procesos judiciales: ¿Son admisibles los registros de una cerradura inteligente como prueba de acceso a una vivienda? ¿Con qué cadena de custodia? El Código General del Proceso y el Código de Procedimiento Penal no contemplan específicamente los logs de dispositivos IoT como evidencia digital. El juez tiene discrecionalidad — lo que crea incertidumbre.

IoT y datos de menores: Un smartwatch de niño recolecta ubicación y actividad física. Los menores de 14 años no pueden autorizar el tratamiento de sus datos bajo la Ley 1581 — debe hacerlo su representante legal. La mayoría de los fabricantes de wearables infantiles no tienen un proceso diferenciado para Colombia.

El vehículo autónomo como dispositivo IoT: Un carro conectado recolecta datos de manejo, rutas, pasajeros y el entorno. En un accidente de vehículo autónomo en Colombia, ¿quién responde — el fabricante, el algoritmo, el "conductor"? La legislación de tránsito colombiana no tiene respuesta.

• Cámaras en propiedad horizontal: ¿cuándo el aviso de vigilancia cumple con la Ley 1581?
• Apagado remoto por fabricante: ¿puede el software destruir un derecho de propiedad?
• Admisibilidad de logs IoT como prueba judicial en Colombia: estándar no definido.
• Datos de menores en wearables: obligación de los padres que la industria no facilita.
• Responsabilidad en accidentes de vehículos autónomos: vacío normativo total.

En menos de una década, cambiaremos masivamente las llaves físicas por biometría, códigos y OTP en las puertas cotidianas. Ya ocurre en apartamentos, oficinas y hoteles. El siguiente paso es la vivienda de interés social, los arrendamientos y las casas familiares.

Cuando eso pase, cada puerta se convierte en un punto de datos: quién entró, a qué hora, cuántas veces, con cuánta demora. En un arriendo, ¿puede el arrendador acceder a ese log? El Código Civil colombiano protege la intimidad del arrendatario en el inmueble — pero si la cerradura es del arrendador y el servidor es de la empresa fabricante, ¿quién controla realmente el acceso al registro?

La biometría como credencial permanente: Un PIN o contraseña comprometida se cambia. Una huella dactilar o un patrón de iris comprometidos no. Si los datos biométricos de una cerradura son filtrados en una brecha de seguridad, el daño es permanente. La Ley 1581 obliga al responsable a notificar las brechas a la SIC y a los titulares — pero ¿qué se le dice al usuario cuya huella ya circula en una base de datos criminal?

Dependencia del servidor: Una cerradura inteligente conectada a la nube del fabricante falla si la empresa quiebra, si el servidor cae o si hay un corte de internet. El derecho fundamental a la inviolabilidad del domicilio (art. 28 C.P.) y el derecho a la propiedad privada quedan condicionados a la conectividad de un servidor en Hangzhou o en San Francisco. Colombia no tiene regulación que obligue a los fabricantes de cerraduras inteligentes a garantizar acceso offline.

El arrendamiento de corta estadía y el acceso remoto: Plataformas como Airbnb permiten gestionar la entrada de huéspedes mediante cerraduras inteligentes con códigos OTP temporales. En Colombia, el Decreto 2590 de 2021 reguló parcialmente el arrendamiento turístico, pero no abordó la dimensión de datos que genera la gestión biométrica del acceso.

• Log de acceso como dato personal: saber cuándo alguien entra y sale de su casa es información íntima protegida por la Ley 1581 — el arrendador no puede acceder sin autorización.
• Biometría irrevocable: a diferencia de una contraseña, una huella filtrada es un daño permanente sin remedio técnico.
• Derecho al domicilio condicionado a conectividad: cuando el servidor cae, la puerta puede no abrir — una obligación de garantía offline que la ley no contempla aún.
• OTP en arrendamientos turísticos: práctica masiva con implicaciones de Ley 1581 que el Decreto 2590/2021 no resuelve.

El operador jurídico — abogado, compliance officer, desarrollador LegalTech — que trabaja con IoT no puede esperar a que Colombia tenga una regulación específica. Las normas vigentes ya aplican. El riesgo es presente, no futuro.

Para el usuario-empresa que instala IoT (cámaras, sensores, accesos biométricos):

• Elabore una política de privacidad específica para cada dispositivo IoT instalado — incluyendo qué datos recolecta, quién los almacena, por cuánto tiempo y con quién se comparten.
• Implemente avisos de vigilancia visibles para cámaras en espacios de trabajo o áreas comunes (obligación de la Circular SIC 002/2015).
• Para accesos biométricos de empleados: obtenga autorización explícita por escrito — el dato biométrico es sensible, no puede tratarse con un clic en una app.
• Verifique si los datos van a servidores en el extranjero y asegúrese de que el proveedor tenga cláusulas contractuales de protección de datos compatibles con el Decreto 1377/2013.
• Establezca un protocolo de respuesta a brechas de seguridad: si un dispositivo IoT es hackeado, tiene 15 días para notificar a la SIC y a los titulares afectados (Circular SIC 005/2017).

Fuentes

• —Superintendencia de Industria y Comercio (SIC) — Guía de protección de datos para responsables del tratamiento, 2023
• —Circular SIC 002/2015 — Lineamientos para el uso de sistemas de videovigilancia
• —CONPES 3995/2020 — Política Nacional de Confianza y Seguridad Digital
• —NIST SP 800-213 — IoT Device Cybersecurity Guidance for the Federal Government, 2021
• —ETSI EN 303 645 — Cyber Security for Consumer Internet of Things, 2020
• —Mirai botnet post-mortem — Krebs on Security, 2016
• —Congreso de Colombia — Proyecto de Ley 043/2025, regulación de inteligencia artificial
• —FTC Report — Internet of Things: Privacy & Security in a Connected World, 2015

Nota legal: Material educativo. No constituye asesoría legal. Normativa colombiana vigente al 1 de marzo de 2025. Consulte con un profesional habilitado para decisiones jurídicas.