IA conversacional para cobranza: qué exige la ley colombiana (Ley 1266, SIC)

Usar inteligencia artificial conversacional para cobrar cartera en Colombia es legal, pero no es un terreno sin reglas: la operación debe cumplir la Ley 1266 de 2008 (habeas data financiero), la Ley 1581 de 2012 (protección de datos personales) y las expectativas de trato digno que vigila la Superintendencia de Industria y Comercio (SIC). La pregunta correcta no es "¿puedo usar IA para cobrar?", sino "¿puede mi plataforma demostrar que cada llamada cumplió?".

Este artículo recorre las obligaciones que más importan cuando el que llama es un agente de voz con IA — y qué debería exigirle un equipo de cumplimiento a la tecnología.

Este contenido describe el marco general y no constituye asesoría legal. Cada operación debe validar su esquema con asesores en Colombia.

Las tres fuentes de obligaciones

1. Ley 1266 de 2008 — habeas data financiero. Regula el tratamiento de la información crediticia: quién puede consultarla, con qué finalidad, y qué derechos tiene el titular (conocer, actualizar, rectificar). Para una operación de cobranza significa dos cosas prácticas: los datos del deudor solo pueden usarse para la finalidad legítima de gestionar la obligación, y el titular puede exigir en cualquier momento saber qué información se tiene de él y pedir su corrección.

2. Ley 1581 de 2012 — régimen general de protección de datos. Complementa la 1266 para los datos personales que no son estrictamente financieros: teléfonos, correos, direcciones. Exige políticas de tratamiento, medidas de seguridad apropiadas y canales para atender consultas y reclamos del titular.

3. La vigilancia de la SIC. La Superintendencia ha sancionado prácticas de cobranza que constituyen hostigamiento: llamadas insistentes en horarios inapropiados, contacto con terceros ajenos a la deuda, información engañosa sobre consecuencias del no pago. La línea que traza la jurisprudencia es la del trato digno: cobrar es legítimo; acosar no.

Qué cambia cuando llama una IA

Un agente de voz con IA no reduce las obligaciones — las hace más fáciles o más difíciles de cumplir según cómo esté construida la plataforma.

Lo que se vuelve más fácil:

• Ventanas de contacto y frecuencia. Un humano puede marcar por error a las 9 de la noche; un sistema bien diseñado verifica el horario permitido y los topes de frecuencia antes de originar cada llamada. La política se aplica en código, no en una cartelera del call center.
• Consistencia del discurso. El agente no improvisa amenazas ni exagera consecuencias por presión de metas. Dice lo que está autorizado a decir.
• Evidencia. Si la plataforma graba y transcribe el 100% de las llamadas y encadena cada evento en una traza de auditoría, responder un reclamo del titular o un requerimiento de la SIC pasa de reconstrucción arqueológica a consulta de minutos.

Lo que se vuelve más exigente:

• Identificación del interlocutor. Antes de mencionar la deuda, el agente debe verificar que habla con el titular — revelar información crediticia a un tercero es exactamente el tipo de incidente que la Ley 1266 busca evitar.
• Transparencia sobre la automatización. La práctica responsable es que el agente informe que es un asistente virtual y que la llamada se graba. Ocultarlo erosiona la confianza y agrava cualquier disputa posterior.
• Control sobre lo que el modelo dice. Un modelo de lenguaje sin restricciones puede prometer descuentos inexistentes o afirmar consecuencias falsas. Ese riesgo no se gestiona con un buen prompt: se gestiona con validación determinista de cada oferta antes de pronunciarla.

La lista de verificación para el equipo de cumplimiento

Si tu operación está evaluando agentes de voz con IA, estas son las garantías mínimas que deberías exigir de la plataforma:

1. Verificación de identidad previa a la divulgación. El agente confirma la identidad del interlocutor antes de hablar de la obligación.
2. Divulgación de automatización y grabación. El agente se identifica como asistente virtual y anuncia la grabación; el estado de esa configuración queda auditado, con responsable y fecha.
3. Ventanas, frecuencia y supresión aplicadas por sistema. Fuera del horario permitido la llamada no se origina. Los números en lista de supresión no se marcan. Cada intento bloqueado queda registrado.
4. Límites de negociación imposibles de exceder. Las condiciones que el agente puede ofrecer — descuento, cuotas, pago mínimo — se validan contra la política del operador en código. Una oferta fuera de política no puede pronunciarse.
5. Grabación, transcripción y traza inmutable. El 100% de las llamadas queda documentado y la traza de eventos no puede alterarse después del hecho.
6. Aislamiento y cifrado de datos. Los datos de cada operador viven aislados de los de cualquier otro, y los datos personales sensibles se almacenan cifrados.
7. Atención de derechos del titular. La operación puede localizar rápidamente todas las interacciones con un titular para responder consultas, rectificaciones o quejas.

Cumplimiento como arquitectura, no como promesa

La diferencia de fondo entre plataformas no está en el discurso comercial sino en dónde vive el cumplimiento. Si vive en un prompt — "no ofrezcas más del 20% de descuento", "no llames de noche" — es una instrucción que un modelo probabilístico casi siempre seguirá. En cobranza regulada, "casi siempre" es un incidente esperando fecha.

En Gesto el cumplimiento vive en la arquitectura: la IA propone y un validador determinista aprueba. El sobre de negociación, las ventanas de contacto y las listas de supresión se verifican en código en cada llamada y en cada oferta, y cada verificación queda escrita en una traza de auditoría inmutable. Cuando la SIC pregunte — o cuando un titular dispute — la respuesta no es "confiamos en el modelo": es un expediente completo, llamada por llamada.

Esa es la vara con la que un comprador serio debería medir cualquier plataforma de cobranza con IA: no qué tan bien habla, sino qué tan bien demuestra lo que dijo.