Cuando un colegio incorpora funciones de inteligencia artificial, la pregunta de privacidad deja de ser abstracta: hay información de menores de edad —notas, asistencia, anotaciones de convivencia, a veces diagnósticos— y hay un modelo que la procesa en algún lugar.
La normativa colombiana no cambió por la llegada de la IA. Lo que cambió es la cantidad de lugares por donde esa información puede salir sin que nadie lo note.
El marco, en términos operativos
La Ley 1581 de 2012 y el Decreto 1377 de 2013 establecen el régimen general de protección de datos personales en Colombia. Tres consecuencias directas para un colegio:
El colegio es el responsable. Es quien decide para qué se usan los datos de sus estudiantes, y quien responde ante las familias y ante la autoridad. Contratar un proveedor no traslada esa responsabilidad.
El proveedor es encargado. Trata los datos por cuenta del colegio, dentro de los límites que el contrato fije. Ese contrato de encargo debe existir por escrito, con finalidades, medidas de seguridad y qué pasa al terminar la relación.
Los datos de menores tienen estándar reforzado. El tratamiento debe responder al interés superior del niño, respetar sus derechos fundamentales y contar con la autorización del representante legal. En la práctica, esto significa que la finalidad tiene que estar clara y acotada: los datos se recolectan para la prestación del servicio educativo, no para lo que después se le ocurra a alguien.
Y hay una categoría aparte: la información de salud —diagnósticos en un PIAR, por ejemplo— es dato sensible, con protecciones adicionales y acceso que debe ser limitado y registrado.
Las siete preguntas al proveedor
Cuando una plataforma ofrece funciones de IA, estas son las preguntas que hay que hacer, y conviene pedir las respuestas por escrito:
1. ¿Qué datos consume la función de IA? Datos académicos agregados, o información identificable de estudiantes.
2. ¿Dónde se procesan? Nombre del proveedor de infraestructura y país. «En la nube» no es una respuesta.
3. ¿Los datos del colegio se usan para entrenar modelos? Debería ser un no explícito y contractual. Si es sí, en qué condiciones y con qué anonimización.
4. ¿Quién del proveedor puede ver los datos? Y con qué control interno de accesos.
5. ¿Respeta los permisos por rol? Un docente no debería obtener por chat información que no puede ver en pantalla. Es el error de diseño más común en asistentes conversacionales montados sobre bases de datos escolares.
6. ¿Qué queda registrado? Consultas, respuestas, quién preguntó qué. Debe haber trazabilidad y una política de retención.
7. ¿Se puede desactivar? El colegio debe poder operar sin la función de IA, y debe poder apagarla si cambia de criterio.
Las cinco preguntas generales sobre datos, más allá de la IA, están en 15 preguntas antes de firmar.
Lo que el colegio tiene que hacer por su lado
La mayor parte del riesgo real no está en el proveedor contratado: está en el uso cotidiano.
Regla de oro, escrita y comunicada: ningún dato identificable de un estudiante se escribe en una herramienta pública de IA. Ni nombres con notas, ni descripciones de situaciones de convivencia, ni diagnósticos, ni «tengo un estudiante de 7B que…».
Alternativa práctica. No basta prohibir: hay que decir qué sí se puede. Consultar sin datos identificables funciona para casi todo —«cómo redacto una circular sobre X», «dame ideas de actividades para Y»—.
Autorizaciones al día. La autorización de tratamiento de datos que firman los acudientes debe cubrir las finalidades reales, y conviene revisarla cuando el alcance cambia.
Accesos revisados. Al menos una vez al año: quién tiene acceso a qué, y baja inmediata de quienes ya no trabajan en la institución.
Registro de proveedores. Qué herramientas tratan datos de estudiantes hoy, incluidas las que llegaron sin contrato formal —una hoja de cálculo compartida, un grupo de mensajería, un formulario gratuito—.
Lo que ControlProf garantiza
Con el mismo criterio que le pedimos a cualquier proveedor: Teo trabaja sobre la información académica configurada por la institución —asignaturas, grados, indicadores, períodos— y no expone datos de estudiantes en servicios externos de chat. Miro responde según el alcance de cada usuario: un coordinador ve su sede, un rector ve la institución, y ninguno obtiene por conversación lo que no podría ver en pantalla.
Y el punto que consideramos más importante: ninguno de los dos decide. Informan, cruzan datos y preparan borradores; las decisiones académicas, disciplinarias y administrativas las toman las personas de la institución.
Preguntas frecuentes
¿Podemos usar ChatGPT u otra herramienta pública en el colegio? Para tareas sin datos identificables de estudiantes, sí, con reglas claras. Para cualquier cosa que incluya nombres, notas individuales, situaciones de convivencia o información de salud, no sin un contrato de tratamiento de datos que lo respalde.
¿Hay que pedir autorización a los padres para usar IA? Lo que se autoriza es el tratamiento de datos y sus finalidades. Si la finalidad se mantiene —prestar el servicio educativo— y el tratamiento ocurre dentro de la plataforma contratada, el marco existente aplica. Si el alcance cambia, la autorización debe reflejarlo. Es una consulta que vale la pena hacerle a la asesoría jurídica del colegio.
¿Qué pasa si un docente escribió datos de un estudiante en un chat público? No es una catástrofe y sí es una lección. Documenta el incidente, refuerza la regla y revisa si la herramienta ofrece opción de eliminar el historial. Lo importante es que el colegio tenga una regla escrita para poder invocarla: política institucional mínima.
¿La IA puede acceder a los diagnósticos del PIAR? No debería, salvo dentro de un flujo específicamente diseñado para el equipo de apoyo, con permisos y registro. Los docentes de asignatura necesitan los ajustes, no el diagnóstico: qué exige el Decreto 1421 a tu plataforma.
Referencias: Ley 1581 de 2012 y Decreto 1377 de 2013 (protección de datos personales, Colombia). Consultadas el 16 de agosto de 2026. Este artículo no constituye asesoría jurídica; consulta con la asesoría legal de tu institución antes de definir políticas.
¿Quieres ver esto funcionando en tu institución?
ControlProf resuelve la gestión escolar colombiana de punta a punta — con Teo y Miro incluidos.
Solicitar demo