La SPDP permite apoyo de IA en trámites de denuncias, pero exige revisión humana

La Superintendencia de Protección de Datos Personales (SPDP) reformó mediante Resolución SPDP-SPD-2026-0038-R el reglamento para presentar, recibir y tramitar denuncias y solicitudes. La resolución fue firmada el 9 de septiembre de 2026 y publicada en el Registro Oficial No. 376 el 24 de septiembre, fecha desde la cual rige. La reforma regula el procedimiento de reclamos de titulares y actuaciones administrativas de la autoridad.

El texto permite que la SPDP utilice herramientas tecnológicas, incluidos sistemas o agentes de inteligencia artificial, como apoyo para recibir, organizar y clasificar información, producir alertas, preparar resúmenes y generar insumos auxiliares. Esta autorización se limita a la gestión de la autoridad; no impone a las organizaciones privadas el uso de IA en sus propios procesos.

La resolución prohíbe que una decisión con efectos jurídicos sobre una persona o que pueda afectar significativamente sus derechos se sustente exclusivamente en la salida de una herramienta tecnológica o sistema de IA. El servidor público competente debe realizar una valoración humana, verificar el material y motivar la actuación o decisión.

Los reportes y alertas de los sistemas tienen carácter auxiliar. Deben contrastarse y validarse con los documentos, hallazgos y diligencias de cada expediente; no sustituyen el análisis ni la responsabilidad de los funcionarios. Cuando se usen en informes preliminares o finales, el expediente debe identificar explícitamente la herramienta y al servidor que revisó y validó el insumo, sujeto a reservas legales, técnicas o de seguridad.

Las denuncias y solicitudes deben presentarse mediante el canal digital habilitado en el sitio de la SPDP o en el Sistema Nacional de Registro de Datos Personales (SISPDP), con los formularios electrónicos aplicables. El formulario generado debe llevar una firma electrónica válida. Si la persona no cuenta con ella, puede firmar a mano, digitalizar el documento y cargarlo en el canal digital.

La presentación se considera completa cuando el trámite queda registrado en el canal digital y se genera la constancia de recepción. La reforma aclara la diferencia entre denuncia —informar hechos que podrían constituir infracción, sin que ello equivalga al ejercicio de derechos del titular— y solicitud, que pide tutela de esos derechos frente al tratamiento. Esto puede ayudar a elegir el mecanismo correcto y evitar confundir una queja sobre una posible infracción con una petición de acceso, rectificación u otro derecho.

El formulario de denuncia podrá requerir datos para identificar a quien denuncia, describir fundamentos de hecho y derecho, identificar al responsable o encargado denunciado y precisar la presunta infracción. Se permite adjuntar documentos pertinentes. Si la SPDP ya tramitó previamente una denuncia con identidad de sujetos, objeto y causa, la nueva podrá archivarse por duplicidad.

En las actuaciones previas, una vez notificado el acto de inicio a la persona investigada cuando esté identificada, la autoridad prepara un informe preliminar. La persona investigada dispone de diez días desde la notificación para pronunciarse sobre documentos y hallazgos preliminares. El informe final puede recomendar archivo, medidas correctivas o el inicio del procedimiento administrativo correspondiente. La decisión administrativa que derive de las actuaciones previas debe notificarse dentro de un plazo máximo de seis meses, computado desde la notificación del acto que ordenó su inicio.

El uso de herramientas automatizadas debe respetar juridicidad, transparencia, pertinencia, minimización, proporcionalidad, confidencialidad, seguridad, trazabilidad, integridad, protección de datos desde el diseño y por defecto, responsabilidad proactiva y debido procedimiento. Estas garantías buscan que la eficiencia administrativa no desplace la evaluación individual ni introduzca resultados opacos como fundamento único para afectar a las personas.

La regla también exige trazabilidad documental: si una herramienta aporta a un informe, debe quedar constancia de cuál fue y quién revisó su resultado. Esa transparencia permite distinguir una alerta automática de un hallazgo comprobado y facilita posteriores controles internos o impugnaciones.

Para responsables y encargados, la reforma no altera directamente sus obligaciones sustantivas de tratamiento, pero cambia el marco operativo de la autoridad que recibe denuncias y solicitudes. Los titulares tienen canales digitales para acudir a la SPDP en los supuestos previstos por la LOPDP y el Reglamento General. Las organizaciones deben asegurar que sus procesos de atención de derechos y reclamos puedan producir registros y evidencia si una solicitud llega a la autoridad.

El control de duplicidad y el uso de formularios estandarizados pueden reducir trámites repetidos y mejorar seguimiento. Sin embargo, una denuncia presentada no significa que la SPDP haya comprobado una infracción ni que vaya a imponer una sanción: el procedimiento contempla análisis, notificación al investigado, recepción de observaciones y decisión administrativa.

La Resolución 0038-R es una norma vigente sobre el procedimiento administrativo de la SPDP. La autorización de IA se refiere a herramientas auxiliares y está condicionada por revisión humana y motivación; no crea una potestad de decisión automática ni una obligación de las empresas para automatizar la respuesta a reclamos.

Este resumen distingue el cambio procedimental de las obligaciones de protección de datos que ya establece la LOPDP. La aplicación a un expediente concreto dependerá de los hechos, del tipo de solicitud o denuncia y del trámite seguido por la autoridad. Las organizaciones deben consultar el texto oficial y la normativa general vigente antes de definir su respuesta legal.