Inteligencia artificial y Derecho: regulación, riesgo y responsabilidad profesional en la Unión Europea, Estados Unidos y Colombia

Inteligencia artificial y Derecho: regulación, riesgo y responsabilidad profesional en la Unión Europea, Estados Unidos y Colombia

Resumen

La inteligencia artificial (IA) ya participa en la producción de decisiones, textos y servicios jurídicos, y el derecho responde con instrumentos muy distintos según el lugar. Este artículo compara la Unión Europea, Estados Unidos y Colombia, con corte al 5 de octubre de 2026, y pregunta cómo se distribuyen hoy el riesgo y la responsabilidad cuando un sistema de IA interviene en una actividad jurídica. Con base en fuentes primarias (reglamentos, leyes, circulares, sentencias y autos) y en documentos consultados, se sostiene que: (a) el modelo europeo de regulación por riesgo es el más elaborado, pero su calendario es políticamente inestable, pues el Reglamento (UE) 2024/1689 fue modificado en julio de 2026 y las obligaciones de alto riesgo se aplazaron a diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I) reflejando un a incertidumbre en su efectiva regulación; (b) Estados Unidos carece de ley federal y combina aplicación sectorial, litigio y una disputa abierta sobre la preeminencia federal con una postura mas abierta y permisiva , pero planteando un control posterior; y (c) Colombia, sin ley marco (el proyecto más avanzado fue archivado en junio de 2026), ha construido su gobernanza sobre la protección de datos, la jurisprudencia y los deberes del operador jurídico: la Sentencia T-323 de 2024, el Acuerdo PCSJA24-12243 y el Auto AC739-2026. Se concluye, como análisis propio, que en Colombia la responsabilidad del operador se está regulando antes que el riesgo del sistema, lo que protege al proceso judicial pero deja sin cobertura equivalente a las personas frente a decisiones automatizadas fuera de él y sin debate aun a nivel de la sociendad.

Palabras clave:

inteligencia artificial; regulación basada en riesgos; protección de datos personales; responsabilidad profesional; derecho comparador.

Abstract

Artificial intelligence (AI) is now part of how legal decisions, texts and services are produced, yet legal systems respond with very different instruments. This paper compares the European Union, the United States and Colombia as of 5 October 2026 and asks how risk and responsibility are allocated when an AI system intervenes in legal activity. It argues that the EU risk-based model is the most developed but politically unstable (its high-risk obligations were postponed in July 2026); that the United States relies on sectoral enforcement, litigation and an open dispute over federal preemption; and that Colombia, without a framework statute, has built its governance on data protection, case law and the duties of legal operators (Judgment T-323 of 2024, Agreement PCSJA24-12243 and Order AC739-2026). The paper concludes, as the author’s own analysis, that in Colombia the responsibility of the human operator is being regulated before the risk of the system.

Keywords: artificial intelligence; risk-based regulation; personal data protection; professional responsibility; comparative law

Introducción

El 13 de febrero de 2026, la Sala de Casación Civil, Agraria y Rural de la Corte Suprema de Justicia sancionó con una multa de quince salarios mínimos a un abogado que había sustentado un recurso extraordinario de revisión en diez sentencias que no existen (Infobae, 2026; Tirant Prime Colombia, 2026). La Corte le dio la oportunidad de corregir y, en lugar de hacerlo, el escrito de subsanación añadió cuatro citas apócrifas más. El abogado reconoció que había usado un programa de inteligencia artificial para agilizar la redacción.

Lo interesante del caso no es que una máquina se equivoque, algo que sus propios diseñadores esperan que ocurra. Es lo que la Corte hizo con ese error: lo trató como un problema de responsabilidad profesional y no como un problema de tecnología. La utilización de una herramienta de IA no desplaza, por sí misma, los deberes de diligencia y responsabilidad del profesional que presenta y suscribe el escrito. Esa idea, simple de enunciar, es el centro de este artículo, que pregunta quién carga con el riesgo cuando un sistema de IA interviene en una actividad con consecuencias jurídicas y qué instrumento del derecho (una ley, una sentencia, una circular o una política pública) es el que realmente lo reparte.

La pregunta importa porque las respuestas disponibles son muy distintas. La Unión Europea optó por un reglamento general que gradúa las obligaciones según el riesgo del sistema. Estados Unidos no tiene una ley federal equivalente y gobierna mediante aplicación sectorial, litigio y órdenes ejecutivas. Colombia no tiene ley marco: su régimen se arma con la protección de datos personales, documentos de política pública y jurisprudencia. Comparar esos caminos no sirve para decidir cuál es mejor, sino para ver con qué herramientas cuenta hoy un abogado colombiano, y en particular quien asesora o contrata con el Estado, cuando usa o enfrenta sistemas de IA.

Planteamiento del problema

Los documentos de trabajo recolectados y analizados previos de esta investigación sostenían una tesis atractiva: que la regulación de la IA transita desde regular tecnologías hacia gestionar riesgos. La verificación con fuentes primarias obliga a matizarla por tres razones.

Primero, el calendario europeo cambió. El texto consolidado del Reglamento (UE) 2024/1689 a 27 de julio de 2026 identifica como norma modificatoria al Reglamento (UE) 2026/1744, de 8 de julio de 2026, y fija la aplicación de las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027, y la de los sistemas del Anexo I al 2 de agosto de 2028 (Reglamento (UE) 2024/1689, 2026, art. 113). El reglamento previo daban como exigible el régimen de alto riesgo desde el 2 de agosto de 2026.

Segundo, el proyecto de ley colombiano más avanzado, que adoptaba precisamente un enfoque por riesgos, fue archivado por tránsito de legislatura en junio de 2026 (Razón Pública, 2026; Semana, 2026). Tercero, lo que en Colombia ha producido efectos concretos no es una clasificación de sistemas por su riesgo, sino decisiones sobre la conducta de quienes usan IA: jueces, funcionarios y abogados. El problema, entonces, es si la categoría de riesgo describe bien lo que está pasando en Colombia o si hace falta otra.

Pregunta de investigación

La pregunta principal es: ¿cómo distribuyen hoy la Unión Europea, Estados Unidos y Colombia el riesgo y la responsabilidad cuando la IA interviene en actividades jurídicas, y qué consecuencias tiene esa distribución para el ejercicio del derecho en Colombia? Se derivan tres preguntas secundarias: ¿qué instrumentos, vinculantes o no, sostienen cada modelo?; ¿dónde divergen las fuentes o los propios documentos de trabajo?; y ¿qué queda sin regular en Colombia?

La hipótesis de trabajo, que es una interpretación del autor propia y no un hecho, es que en Colombia la responsabilidad del operador jurídico se está regulando antes y con más intensidad que el riesgo del sistema ante la evolución controlada de la inteligencia artificial.

Objetivos

El objetivo general es comparar los modelos regulatorios de la Unión Europea, Estados Unidos y Colombia, con corte al 5 de octubre de 2026, para determinar cómo asignan el riesgo y la responsabilidad en el uso jurídico de la IA. Los objetivos específicos son: (a) describir cada modelo a partir de fuentes primarias; (b) verificar la vigencia de las normas y providencias que los documentos de trabajo relolectadas daban por ciertas; (c) analizar la arquitectura colombiana, en especial en datos personales, justicia y litigio; y (d) identificar vacíos y líneas de investigación, entre ellas la contratación estatal de sistemas de IA.

Contribución del artículo

La contribución de este artículo consiste en proponer una lectura comparada de la regulación de la inteligencia artificial en la que el problema jurídico central no se limita a la regulación de la tecnología, sino a la distribución del riesgo entre el sistema de IA, su proveedor, la entidad que lo incorpora y el operador jurídico que utiliza sus resultados. Desde esta perspectiva, el caso colombiano muestra una regulación más desarrollada de los deberes del operador que de los riesgos sistémicos asociados con decisiones automatizadas de alto impacto.

Metodología

El enfoque es cualitativo, dogmático-jurídico y comparado, con análisis documental. Se leyó directamente el texto de la Sentencia T-323 de 2024, de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio (SIC), de las Leyes 1266 de 2008 y 1581 de 2012, el texto consolidado del Reglamento (UE) 2024/1689 y su posterior actualización 2026/1744 y del informe de la Oficina de Derechos de Autor de Estados Unidos sobre entrenamiento de IA generativa. Se consultó además el CONPES 4144 y el Marco Ético en sus versiones oficiales como un recurso a la casi inexistente discusión y debate sobre estas nuevas tecnologias en Colombia . El corpus se delimitó al período comprendido entre 2019 y el 5 de octubre de 2026 y se seleccionaron fuentes normativas, jurisprudenciales e institucionales directamente relacionadas con IA, protección de datos, justicia y propiedad intelectual. La comparación se organizó en cuatro dimensiones: instrumento regulatorio, objeto de regulación, fuerza jurídica y asignación de responsabilidad.

La investigación incorpora como fuentes jurisprudenciales y administrativas el Auto AC739-2026, la decisión del Consejo de Estado de 26 de mayo de 2026 y el Acuerdo PCSJA24-12243. El análisis distingue entre el contenido normativo de cada fuente y los desarrollos doctrinales que han acompañado su aplicación, con el propósito de evitar atribuir a una providencia o acto administrativo consecuencias jurídicas que correspondan a otra fuente.

Marco conceptual

Inteligencia artificial: un campo, no una cosa

El Marco Ético colombiano, citando al CONPES 3975, entiende la IA como un campo de la informática dedicado a resolver problemas cognitivos asociados con la inteligencia humana, con base en sistemas informáticos, datos y algoritmos (Guío Español et al., 2021). La SIC agrega la definición de la OCDE: un sistema basado en máquinas que, a partir de lo que recibe, infiere cómo generar predicciones, contenidos, recomendaciones o decisiones, con distintos niveles de autonomía (SIC, 2024). Para un jurista, lo útil de ambas definiciones es lo mismo: no existe una sola IA; existen sistemas concretos, con una finalidad, unos datos de entrada y un grado de intervención humana.

Automatización, decisión algorítmica y alucinación

Una regla programada, puede leerse y auditarse. Un modelo de aprendizaje automático, en cambio, produce clasificaciones o predicciones a partir de patrones estadísticos, y su razón no siempre se deja resumir en una regla. Eso pesa jurídicamente porque la motivación, la contradicción y la responsabilidad suponen que alguien pueda explicar por qué se decidió lo que se decidió.

Un modelo generativo, además, produce texto, imágenes u otros contenidos a partir de lo aprendido en su entrenamiento. Genera lo estadísticamente plausible, no lo verificado, y por eso puede inventar referencias que suenan correctas. La Corte Suprema describió el fenómeno como enunciados objetivamente falsos pero redactados con corrección y tono categórico (Corte Suprema de Justicia, Colombia, 2026). Es lo que se llama alucinación, y es el eslabón directo entre la tecnología y el deber de verificación.

Riesgo, hard law y soft law

En el derecho de la IA, riesgo no significa la probabilidad de que algo falle, sino una categoría para graduar obligaciones: a mayor afectación posible de la seguridad o de los derechos fundamentales, más deberes. Por otra parte, conviene distinguir las normas vinculantes (leyes, reglamentos, actos administrativos generales) de los instrumentos que orientan sin obligar, como el Marco Ético desarrollado por la SIC y los documentos CONPES. Las sentencias ocupan un lugar intermedio: sus efectos directos recaen sobre las partes, pero la Corte Constitucional puede impartir órdenes y exhortos a terceros, como hizo en la T-323/2024. Este artículo evita convertir principios éticos en obligaciones legales cuando la fuente no lo establece.

Finalmente, la responsabilidad demostrada (accountability) exige a quien trata datos poder probar, y no solo afirmar, que cumple. La Ley 1266 la recoge en su artículo 19A, y la SIC la reitera para los sistemas de IA (SIC, 2024).

Desarrollo de la investigación

La Unión Europea: un reglamento por riesgos con calendario móvil y debate en su aplicación inmediata.

El Reglamento (UE) 2024/1689 organiza sus obligaciones en niveles. Prohíbe ciertas prácticas (artículo 5), somete a requisitos estrictos a los sistemas de alto riesgo (artículo 6 y Anexos I y III), impone deberes de transparencia a ciertos sistemas, como los que interactúan con personas o generan contenido sintético (artículo 50), y regula aparte a los modelos de uso general. Para el ejercicio del derecho, el dato más relevante está en el Anexo III, punto 8: figuran como de alto riesgo los sistemas destinados a que una autoridad judicial, o en su nombre, los use para investigar e interpretar hechos y derecho y aplicar el derecho a un caso concreto, así como el uso en la resolución alternativa de conflictos (Reglamento (UE) 2024/1689, 2024).

El texto consolidado a julio de 2026 muestra cuánto del esquema depende del calendario. Las prohibiciones y las obligaciones generales rigen desde febrero de 2025, pero se añadieron dos prohibiciones nuevas, aplicables desde el 2 de diciembre de 2026: los sistemas que generan o manipulan imágenes realistas de partes íntimas o actividad sexual explícita de una persona identificable sin su consentimiento, y los que producen material sexual que involucra a menores en los términos de la Directiva 2011/93/UE. También se aplazaron las obligaciones de alto riesgo, y el artículo 4, sobre alfabetización en IA, quedó redactado como un deber de adoptar medidas de apoyo al desarrollo de esa competencia, sin garantizar un nivel específico en cada persona (Reglamento (UE) 2024/1689, 2024). Las multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial se prevén para las prácticas prohibidas del artículo 5; para otras obligaciones de los operadores el tope es de 15 millones (art. 99).

El Reglamento convive con el Reglamento General de Protección de Datos, cuyo artículo 22 reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte de modo similar (Reglamento (UE) 2016/679, 2016). En el asunto SCHUFA, el Tribunal de Justicia entendió que calcular automáticamente un valor de probabilidad crediticia puede ser en sí una decisión automatizada cuando un tercero, como un banco, se apoya de manera determinante en ese valor para conceder o negar el crédito (Tribunal de Justicia de la Unión Europea, 2023). La idea de fondo es sencilla: no se escapa al control humano cuando la entidad que decide se limita a adoptar el resultado del algoritmo.

Respecto del entrenamiento de modelos, los proveedores de modelos de uso general deben mantener una política de derechos de autor y publicar un resumen del contenido de entrenamiento; esas obligaciones corresponden al capítulo V, aplicable desde agosto de 2025 (Reglamento (UE) 2024/1689, 2024).

Estados Unidos: sin ley federal, con litigio y una pugna por la preeminencia

Estados Unidos no tiene un estatuto federal transversal sobre IA. La Orden Ejecutiva 14110 de 2023 fue revocada el 20 de enero de 2025 y sustituida por una orientación centrada en eliminar barreras al liderazgo estadounidense en IA, plasmada en la Orden Ejecutiva 14179. De igual forma la Orden Ejecutiva 14365, de diciembre de 2025, creó un grupo de litigio del Departamento de Justicia para impugnar leyes estatales de IA, y el 20 de marzo de 2026 la Casa Blanca publicó un marco nacional que recomienda al Congreso desplazar las leyes estatales que impongan cargas indebidas. Ese marco es una recomendación, no una norma, y no ha habido desplazamiento: las leyes estatales siguen vigentes (Gibson Dunn, 2026).

Mientras tanto, la herramienta federal más usada es la sección 5 de la Federal Trade Commission Act (15 U.S.C. § 45), que prohíbe prácticas desleales o engañosas. El caso más citado es Rite Aid. Según la Comisión Federal de Comercio, entre 2012 y 2020 la cadena usó reconocimiento facial basado en IA en cientos de tiendas para identificar a posibles hurtadores, sin probar su precisión ni capacitar al personal, y con más falsos positivos en comunidades de mayoría negra y asiática. El resultado fue una prohibición de cinco años de usar esa tecnología con fines de vigilancia, además de salvaguardas y borrado de datos biométricos (Federal Trade Commission, 2023). Dos precisiones importan para este caso: se trató de un acuerdo (consent order), no de una sentencia tras juicio, y la empresa rechazó las imputaciones. El acuerdo incluyó también la eliminación de algoritmos derivados de los datos (Perkins Coie, s. f.).

En propiedad intelectual, los tribunales han fijado un punto claro y han dejado abiertos varios. El claro: la obra generada por completo por un sistema, sin aporte creativo humano, no se puede registrar. Así lo resolvió el Circuito de D.C. en Thaler v. Perlmutter (2025), y la Corte Suprema denegó el certiorari el 2 de marzo de 2026 (Baker Donelson, 2026). Esa negativa no es una decisión de fondo, y lo resuelto no dice cuánto aporte humano basta para proteger una obra asistida por IA.

El debate más costoso es si entrenar modelos con obras protegidas es uso justo (fair use). La Oficina de Derechos de Autor concluyó, en su informe de mayo de 2025 (versión de prepublicación), que varias etapas del desarrollo de IA generativa comprometen derechos exclusivos y que la defensa de uso justo depende de qué obras se usaron, de qué fuente, con qué propósito y con qué controles sobre los resultados. Su lectura es que usos de análisis o investigación difícilmente sustituyen a las obras de entrenamiento, mientras que explotar comercialmente grandes volúmenes de obras para producir contenido expresivo que compite con ellas, sobre todo si el acceso fue ilegal, excede los límites del uso justo (U.S. Copyright Office, 2025). Se trata de un informe de una agencia, no de una decisión judicial.

Colombia: una arquitectura sin ley aplicable y reglas claras.

Las piezas del sistema

Colombia no cuenta con una ley que regule la IA de forma general. Su régimen se compone de: (a) las leyes estatutarias de datos personales, 1266 de 2008 y 1581 de 2012; (b) instrumentos de política pública sin fuerza obligatoria directa, como el Marco Ético de 2021 y el CONPES 4144, aprobado el 14 de febrero de 2025, que establece seis ejes, 106 acciones hasta 2030 y una inversión aproximada de 479.273 millones de pesos (CONPES, 2025; Guío Español et al., 2021); (c) actos administrativos como la Circular Externa 002 de 2024 de la SIC y el Acuerdo PCSJA24-12243 del Consejo Superior de la Judicatura; y (d) la jurisprudencia.

Datos personales: la puerta de entrada

El tratamiento de datos personales exige, como regla, autorización previa, expresa e informada del titular (Ley 1581 de 2012, arts. 4, lit. c, y 9), con excepciones como los datos de naturaleza pública (art. 10, lit. b). Los datos sensibles, entre ellos los de salud y los biométricos, están prohibidos salvo excepciones taxativas (arts. 5 y 6), y el tratamiento de datos de niños, niñas y adolescentes está proscrito salvo los de naturaleza pública (art. 7). Las sanciones de la SIC alcanzan multas de hasta dos mil salarios mínimos, suspensión y cierre (art. 23). Hay un detalle de especial interés para quien trabaja con el Estado: esas sanciones solo se aplican a particulares; si la SIC advierte un presunto incumplimiento de una autoridad pública, remite la actuación a la Procuraduría (art. 23, parágrafo).

La Ley 1266 de 2008 regula la información financiera y crediticia. Su artículo 10, parágrafo 1, en la redacción de la Ley 2157 de 2021, impide que quien decide un crédito se base exclusivamente en el reporte negativo del solicitante y obliga a la entidad financiera a explicar por escrito, si el titular lo pide, las razones objetivas del rechazo (Ley 1266 de 2008, texto consolidado). Es una regla que no menciona la IA, pero cumple una función parecida a la que el caso SCHUFA le asignó al artículo 22 europeo: evitar que un dato automatizado sea, él solo, la decisión.

La Circular Externa 002 de 2024 parte de que las leyes de datos son neutrales frente a la tecnología y se aplican también al desarrollo, prueba y monitoreo de sistemas de IA. Instruye a los administradores de datos a ponderar el tratamiento con cuatro criterios (idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto), a abstenerse o adoptar medidas preventivas cuando haya incertidumbre sobre daños graves, a gestionar los riesgos, a realizar y documentar un estudio de impacto de privacidad antes de diseñar y desarrollar sistemas cuando sea probable un alto riesgo para los titulares, y a garantizar la calidad de los datos. Menciona la privacidad diferencial como una forma de cumplir la privacidad desde el diseño, y establece que la información personal accesible al público no es, por ese solo hecho, de naturaleza pública (SIC, 2024).

Esta última instrucción suele resumirse como una prohibición del web scraping, y aquí la lectura debe ser cuidadosa. El texto de la Circular no emplea esa expresión. Dice que quienes recolecten en internet datos privados, semiprivados o sensibles no pueden apropiarse de ellos y tratarlos para cualquier finalidad sin autorización previa, expresa e informada. No dice que todo dato disponible en línea conserve carácter privado: los datos públicos en sentido legal, como los contenidos en documentos públicos o sentencias ejecutoriadas, siguen sin requerir autorización (Ley 1581 de 2012, art. 10, lit. b). Cuánto del contenido que alimenta un modelo de lenguaje cae en una u otra categoría es una pregunta abierta, no resuelta por la Circular. Tampoco es evidente su fuerza vinculante: se trata de instrucciones de la autoridad a sus vigilados, apoyadas en las facultades de la SIC para impartir instrucciones (Ley 1581 de 2012, art. 21, lit. e), y su revisión judicial es una vía de investigación por explorar.

Justicia: la Sentencia T-323 de 2024 y el Acuerdo PCSJA24-12243

La Sala Segunda de Revisión de la Corte Constitucional, con sustanciación del magistrado Juan Carlos Cortés González, decidió el 2 de agosto de 2024 una tutela de la madre de un niño con trastorno del espectro autista contra su EPS, por cobros de copagos y falta de transporte para las terapias. Lo que convirtió el caso en referente fue otra cosa: el juez de instancia había usado ChatGPT 3.5 al motivar su fallo (Corte Constitucional, 2024).

La Corte examinó si ese uso vulneró el debido proceso, el juez natural y la motivación. Concluyó que no, porque el juez había identificado su tesis, las normas aplicables y el precedente, y había resuelto el caso antes de consultar a la herramienta y transcribir sus respuestas. Aun así, halló que no se cumplieron cabalmente los principios de transparencia y responsabilidad; el de privacidad sí se satisfizo, porque no se introdujeron datos personales del niño ni de su historia clínica (Corte Constitucional, 2024). Es decir, la sentencia no avala sin más el uso de IA en la motivación: lo toleró en ese caso concreto y señaló sus deficiencias.

A partir de ahí, la Corte exhortó a los jueces de la República a evaluar el uso de ChatGPT y herramientas análogas y ordenó que los funcionarios y empleados de la Rama Judicial apliquen doce principios: transparencia, responsabilidad, privacidad, no sustitución de la racionalidad humana, seriedad y verificación, prevención de riesgos, igualdad y equidad, control humano, regulación ética, adecuación a buenas prácticas y estándares colectivos, seguimiento continuo y adaptación, e idoneidad (Corte Constitucional, 2024, num. cuarto de la parte resolutiva y fundamento ). Además, ordenó al Consejo Superior de la Judicatura divulgar en cuatro meses una guía sobre IA generativa y capacitar a los despachos. Entre los mínimos de esa guía, la Corte indicó que la IA no puede sustituir el razonamiento con el que el juez interpreta los hechos, valora las pruebas y motiva y adopta la decisión, y que sí puede usarse en gestión administrativa y documental y en corrección y síntesis de textos; también pidió identificar a un humano responsable.

La sentencia de tutela T-323 de 2024 exige declarar su uso entendiendola como transparencia y la define como evidenciar con claridad el uso, los alcances y la ubicación en la decisión de los resultados de la herramienta.

El Acuerdo PCSJA24-12243, del 16 de diciembre de 2024, desarrolló ese mandato. Según los extractos consultados, ordena evitar el uso de chatbots generales o comerciales en sus versiones gratuitas y prescindir de herramientas de IA para valorar pruebas y aplicar las normas, y su artículo 14 exige reportar los proyectos que involucren IA (Consejo Superior de la Judicatura, 2024; Unidad de Transformación Digital e Informática, s. f.). El portal de la Rama Judicial presenta además un observatorio sobre uso indebido de IA y registra a Copilot como solución ya implementada.

Litigio: el deber de verificar

En el Auto AC739-2026, la Corte Suprema declaró la temeridad procesal del apoderado y le impuso una multa de quince salarios mínimos. Según los reportes, advirtió que las herramientas generativas pueden producir referencias verosímiles pero falsas porque predicen texto y no verifican fuentes, que el abogado no puede ser un intermediario acrítico, y que el uso de IA no lo exonera ni sustituye su juicio (AC739-2026, Corte Suprema de Justicia, 2026). La temeridad se presume, entre otros supuestos, cuando se hacen transcripciones o citas deliberadamente inexactas (AC739-2026, 2026), y se señala que la reincidencia, es decir, las cuatro citas falsas añadidas tras el requerimiento, agravó la sanción.

El 26 de mayo de 2026, la Sección Tercera del Consejo de Estado, con ponencia de la magistrada Adriana Polidura Castillo, rechazó de plano un recurso extraordinario de unificación de jurisprudencia sustentado en cuatro providencias que no correspondían a decisiones reales, y compulsó copias a la Comisión Seccional de Disciplina Judicial de Bogotá (CCDPC, 2026). El fenómeno no es solo colombiano: en Chile, la Corte Suprema suspendió por un mes y multó a una abogada por citar obras doctrinales inexistentes en un recurso de casación (VLN Radio, 2026). Las consecuencias varían, pero la lógica es la misma.

El Congreso

El Congreso no ha expedido una ley marco. Según los reportes disponibles hasta el 5 de octubre de 2026, el proyecto 043 de 2025 Senado, acumulado con el 324 de 2025 Cámara, que clasificaba los sistemas por riesgo y creaba una autoridad de vigilancia, fue archivado el 19 de junio de 2026 sin debate ni votación (Razón Pública, 2026; Semana, 2026).

Tabla 1

Comparación de los tres modelos al 5 de octubre de 2026

Nota. Elaboración propia a partir de las fuentes citadas en el texto. Donde una celda dice “sin regla general verificada”, significa que no se encontró una norma en las fuentes revisadas, no que no exista.

Tabla comparativa

Análisis crítico

Lo que sigue es análisis propio, construido sobre las fuentes anteriores, y se distingue así de lo que las fuentes dicen.

Convergencia en el principio, divergencia en el instrumento

Los tres ordenamientos coinciden en que la responsabilidad no se delega en el sistema: la exigencia europea de supervisión humana y de no decisión únicamente automatizada, el énfasis estadounidense en la responsabilidad de quien despliega la tecnología y la doctrina colombiana de no sustitución de la racionalidad humana (Corte Constitucional, 2024). Lo que cambia es el instrumento. Europa legisla sobre el sistema, Estados Unidos corrige conductas después de que ocurren y Colombia regula, sobre todo, al operador.

El riesgo como calendario político

La tesis de la gestión del riesgo es sólida como descripción conceptual, pero tres hechos de 2026 muestran que la clasificación por riesgo no es solo un esquema técnico: la Unión Europea difirió sus obligaciones de alto riesgo, Colombia archivó su proyecto por riesgos, y Washington intenta desplazar las leyes estatales. En los tres casos el contenido de la regulación es objeto de negociación política y de presión de los regulados. Quien asesora debe tratar las fechas y los umbrales como variables que cambian, y no como datos estables. (Los motivos del aplazamiento europeo no se analizaron en esta investigación, por lo que no se atribuyen.)

En Colombia, responsabilidad antes que riesgo

Lo que más ha avanzado en Colombia son los deberes de jueces y abogados. La T-323 de 2024 ordena a la Rama Judicial aplicar principios y pedir lineamientos; el Acuerdo los desarrolla; el AC739-2026 y el auto del Consejo de Estado los exigen a los litigantes. Hay una asimetría que conviene señalar. Quien está dentro de un proceso judicial tiene hoy un entorno bastante protegido frente a la IA mal usada.

Dónde se cruzan el Reglamento europeo y la T-323 de 2024.

Los dos enfoques trazan la línea en lugares diferentes. El Reglamento europeo regula intensamente un sistema destinado a ayudar a una autoridad judicial a investigar e interpretar el derecho. La T-323 y el Acuerdo, en cambio, permiten usar IA para corrección y síntesis de textos y gestión documental, y la prohíben para valorar pruebas y motivar. Una herramienta conversacional como la usada en el caso de la T-323 queda en una zona gris en ambos esquemas: sería de alto riesgo en el europeo si se destina a asistir a la interpretación jurídica, y en el colombiano su permisibilidad depende de qué se le pida. Es un ejemplo concreto de por qué clasificar por uso, y no por tecnología, importa.

Entrenamiento de modelos: tres puertas de entrada

Los tres modelos abordan el entrenamiento por puertas distintas. Europa, por la transparencia y la política de derechos de autor del proveedor; Estados Unidos, por la defensa de uso justo evaluada caso por caso; Colombia, por el consentimiento del titular cuando los datos son personales y no públicos. Presentan sensibilidades diferentes: en Colombia importa el dato personal; en Estados Unidos, la obra; en Europa, ambos. Para un modelo entrenado globalmente, esto sugiere que un mismo cuerpo de datos puede ser lícito en un lugar y objetable en otro, y que cualquier asesoría debe preguntar primero qué datos entraron, desde dónde y con qué fundamento.

Conclusiones

Primera. Los tres ordenamientos exigen que la responsabilidad quede en cabeza de una persona (el operador), pero lo hacen con instrumentos distintos, por lo que la comparación debe hacerse por instrumento y no por principio.

Segunda. El enfoque por riesgo es la mejor descripción del modelo europeo, pero su aplicación depende de un calendario que cambió en julio de 2026: las obligaciones de alto riesgo se aplazaron a diciembre de 2027 y agosto de 2028 Lo que deja en duda la dispocion politica , económica y de desarrollo con ahora el objeticvo de no estar detrás de la carrera por el uso de inteligencia artificiales.

Tercera. Estados Unidos no tiene ley federal; se gobierna con aplicación sectorial, litigio y una disputa abierta por la preeminencia federal que apuesta por un desarrollo a la mayor velocidad y sin importar riesgos con el objetivo de ser los primeros en el desarrollo de esta tecnología ya donde la quieren llevar a una Super Inteligencia.

Cuarta. Colombia no tiene ley aplicable. Su gobernanza descansa en la protección de datos, en actos administrativos como la Circular 002 de 2024 y el Acuerdo PCSJA24-12243, y en una jurisprudencia que fija deberes para jueces (T-323 de 2024) y litigantes (AC739-2026).

Quinta. En Colombia la responsabilidad del operador se está regulando antes que el riesgo del sistema. Esto protege el proceso judicial, pero, no hay una responsabilidad con el desarrollo y el uso de estas tecnologías.

Sexta. Para quien ejerce, la verificación es un deber práctico exigible: las citas, los hechos , la vigencia de las normas y la competencia no se delegan en la herramienta, y los datos de las partes no deben ingresar a plataformas sin evaluar su seguridad.

Referencias

Baker Donelson. (2026). Supreme Court denies certiorari in Thaler v. Perlmutter: AI cannot be an author under the Copyright Act. https://www.bakerdonelson.com/supreme-court-denies-certiorari-in-thaler-v-perlmutter-ai-cannot-be-an-author-under-the-copyright-act

Ballard Spahr. (2026, octubre). Third Circuit addresses fair use in AI training, but leaves generative AI questions unresolved. https://www.ballardspahr.com/insights/alerts-and-articles/2026/10/third-circuit-addresses-fair-use-in-ai-training-but-leaves-generative-ai-questions-unresolved

CCDPC. (2025, 12 de agosto). Ley 2502 de 2025. https://ccdpc.org.co/ley-2502-de-2025/

CCDPC. (2026, 30 de mayo). Consejo de Estado fija parámetros para el uso de la IA en los escritos procesales. https://ccdpc.org.co/consejo-de-estado-fija-parametros-para-el-uso-de-la-ia-en-los-escritos-procesales/

Congreso de la República de Colombia. (2008, 31 de diciembre). Ley 1266 de 2008, por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países, y se dictan otras disposiciones. Diario Oficial 47.219. Texto consolidado consultado en Departamento Administrativo de la Función Pública, EVA – Gestor Normativo, 5 de octubre de 2026.

Congreso de la República de Colombia. (2012, 17 de octubre). Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. Diario Oficial 48.587. Texto consolidado consultado en Departamento Administrativo de la Función Pública, EVA – Gestor Normativo, 5 de octubre de 2026.

Consejo Nacional de Política Económica y Social. (2019). Documento CONPES 3975: Política nacional para la transformación digital e inteligencia artificial. Departamento Nacional de Planeación.

Consejo Nacional de Política Económica y Social. (2025, 14 de febrero). Documento CONPES 4144: Política nacional de inteligencia artificial. Departamento Nacional de Planeación. https://colaboracion.dnp.gov.co/CDT/Conpes/Econ%C3%B3micos/4144.pdf

Consejo Superior de la Judicatura. (2024, 16 de diciembre). Acuerdo PCSJA24-12243, por el cual se adoptan lineamientos para el uso y aprovechamiento respetuoso, responsable, seguro y ético de la inteligencia artificial en la Rama Judicial. https://actosadministrativos.ramajudicial.gov.co/Home/GetFile?nombreArchivo=PCSJA24-12243.pdf

Corte Constitucional de Colombia. (2024, 2 de agosto). Sentencia T-323 de 2024 (M. S. Juan Carlos Cortés González). https://www.corteconstitucional.gov.co/relatoria/2024/T-323-24.htm

Corte Suprema de Justicia, Sala de Casación Civil, Agraria y Rural. (2026, 13 de febrero). Auto AC739-2026.

Federal Trade Commission. (2023). Rite Aid banned from using AI facial recognition after FTC says retailer deployed technology without reasonable safeguards [Comunicado de prensa]. https://www.ftc.gov/node/82185

Gibson Dunn. (2026). Toward a national AI policy? The Trump administration releases proposed framework for federal legislation. https://www.gibsondunn.com/toward-a-national-ai-policy-the-trump-administration-releases-proposed-framework-for-federal-legislation/

Guzmán Caballero, A. (2026). ANÁLISIS: La Corte sancionó al abogado, no a la inteligencia artificial. Ahora el peligro son los detectores. Ámbito Jurídico. https://www.ambitojuridico.com/noticias/comercial/analisis-la-corte-sanciono-al-abogado-no-la-inteligencia-artificial-ahora-el

Guío Español, A., Tamayo Uribe, E., & Gómez Ayerbe, P. (2021). Marco ético para la inteligencia artificial en Colombia (Versión 1). Presidencia de la República de Colombia. https://minciencias.gov.co/sites/default/files/marco-etico-ia-colombia-2021.pdf

INCP. (2026, febrero). Corte Suprema impone primera sanción por uso irresponsable de IA en escrito judicial. https://incp.org.co/publicaciones/infoincp-publicaciones/2026/02/corte-suprema-impone-primera-sancion-por-uso-irresponsable-de-ia-en-escrito-judicial/

Infobae. (2026, 16 de febrero). Abogado fue sancionado por la Corte Suprema por uso indebido de inteligencia artificial en proceso judicial: los fallos que citó no existen. https://www.infobae.com/colombia/2026/02/16/la-corte-suprema-sanciona-por-primera-vez-a-un-abogado-por-uso-indebido-de-inteligencia-artificial-en-proceso-judicial/

Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 (Reglamento general de protección de datos). Diario Oficial de la Unión Europea, L 119.

Parlamento Europeo y Consejo de la Unión Europea. (2026, 8 de julio). Reglamento (UE) 2026/1744, por el que se modifica el Reglamento (UE) 2024/1689 en lo que respecta a la simplificación de la aplicación de las normas armonizadas sobre inteligencia artificial. EUR-Lex.

Patently-O. (2026, octubre). Ease is not necessity: Third Circuit affirms no fair use in Thomson Reuters v. ROSS. https://patentlyo.com/patent/2026/10/ease-is-not-necessity-third-circuit-affirms-no-fair-use-in-thomson-reuters-v-ross.html

Perkins Coie. (s. f.). FTC signals tough line in first AI discrimination case under Section 5. https://perkinscoie.com/insights/update/ftc-signals-tough-line-first-ai-discrimination-case-under-section-5

Plagiarism Today. (2026, 1 de octubre). Understanding the Reuters/Ross AI ruling. https://www.plagiarismtoday.com/2026/10/01/understanding-the-reuters-ross-ai-ruling/

Razón Pública. (2026). ¿Pagará Colombia el precio de no tener una ley para la inteligencia artificial? https://razonpublica.com/pagara-colombia-el-precio-de-no-tener-una-ley-para-la-inteligencia-artificial/

Semana. (2026, 28 de agosto). Más controles o más innovación: el dilema que abre la nueva ley de IA. https://www.semana.com/economia/empresas/articulo/mas-controles-o-mas-innovacion-el-dilema-que-abre-la-nueva-ley-de-ia/202600/

Superintendencia de Industria y Comercio. (2024, 21 de agosto). Circular Externa 002 de 2024: Lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. https://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=161918&dt=S

Thaler v. Perlmutter, No. 23-5233 (D.C. Cir. 2025, 18 de marzo). https://media.cadc.uscourts.gov/opinions/docs/2025/03/23-5233.pdf

Tirant Prime Colombia. (2026, 17 de febrero). Corte Suprema multa a abogado por presentar citas falsas generadas con inteligencia artificial en recurso de revisión. https://prime.tirant.com/co/actualidad-prime/corte-suprema-multa-a-abogado-por-presentar-citas-falsas-generadas-con-inteligencia-artificial-en-recurso-de-revision/

Tribunal de Justicia de la Unión Europea. (2023, 7 de diciembre). SCHUFA Holding (Scoring), C-634/21.

U.S. Copyright Office. (2025, mayo). Copyright and artificial intelligence, Part 3: Generative AI training (Pre-publication version).

Unidad de Transformación Digital e Informática. (s. f.). Inteligencia artificial. Consejo Superior de la Judicatura, Rama Judicial. Recuperado el 5 de octubre de 2026 de https://www.ramajudicial.gov.co/web/utdi/inteligencia-artificial1

VLN Radio. (2026, 4 de junio). Corte Suprema sanciona a abogada por usar inteligencia artificial para crear citas falsas. https://www.vlnradio.cl/noticias/nacional/2026/06/04/corte-suprema-sanciona-a-abogada-por-usar-inteligencia-artificial-para-crear-citas-falsas/