En Colombia la regulación de la inteligencia artificial (IA) en salud avanza de manera progresiva, pero aún fragmentada. Aunque el país cuenta con una Política Nacional de Inteligencia Artificial (CONPES 4144 del 2023) y con un sólido marco de protección de datos personales, no existe todavía una normativa específica que regule el uso de la IA en contextos clínicos o asistenciales. Esto implica que las instituciones de salud deben tener en cuenta para sus proyectos de IA principios éticos, normas de manejo de datos sensibles y la regulación del sector tradicional. A continuación, presentamos las normas y documentos técnicos más representativos: 

• CONPES 3975 del 2019: Formula una política nacional para la transformación digital e IA en Colombia, con el objetivo de potenciar la generación de valor social y económico en el país mediante el uso estratégico de tecnologías digitales en los sectores público y privado para impulsar la productividad y favorecer el bienestar de los ciudadanos, así como generar los habilitadores transversales para la transformación digital sectorial, de manera que Colombia pueda aprovechar las oportunidades y enfrentar los retos relacionados con la cuarta revolución industrial (4RI).
• CONPES 4144 del 2025 (Política Nacional de IA): El objetivo de este CONPES es generar capacidades para la investigación, el desarrollo, la adopción y el aprovechamiento ético y sostenible de sistemas de IA con el fin de impulsar la transformación social y económica del país. Para tal efecto, la política se estructura en seis ejes estratégicos: (1) Ética y gobernanza; (2) Datos e infraestructura; (3) Investigación, Desarrollo e Innovación (I + D + i); (4) Desarrollo de capacidades y talento digital; (v) Mitigación de riesgos, y (vi) Uso y adopción de la IA.
• Ley 2502 del 2025: modifica el artículo 296 del Código Penal colombiano para incluir un agravante en el delito de falsedad personal cuando se cometa mediante el uso de IA, incluida la creación de deepfakes y la suplantación de identidad, incrementando la sanción económica hasta en una tercera parte. Establece, además, la formulación de una política pública enfocada en ética digital, ciberseguridad, cooperación interinstitucional y desarrollo tecnológico, así como la obligación para la Fiscalía General de la Nación de garantizar la trazabilidad de casos y emitir informes sobre tendencias delictivas relacionadas con IA.
• Decreto 1377 del 2013: Reglamenta parcialmente la Ley 1581 y define reglas para autorización, tratamiento y transferencia de datos personales.
• Ley 1581 del 2012 (Protección de Datos Personales): Marco general de protección de datos personales en Colombia. Clasifica los datos de salud como datos sensibles, con mayores exigencias de consentimiento y seguridad.
• Ley 1266 del 2008 (Habeas Data): Regula el manejo de información financiera y crediticia, relevante para IA en gestión administrativa y financiera.