Europa ya tiene ley de IA con multas de €15 millones. Colombia archivó la suya.

El 2 de agosto de 2026 ocurrió algo que en Colombia pasó casi desapercibido: la Unión Europea activó las primeras obligaciones vinculantes de su Reglamento de Inteligencia Artificial. No es un acuerdo de principios. No es una hoja de ruta. Es ley — con sanciones reales para quienes no cumplan.

Ese mismo día, Colombia seguía sin una.

Lo que Europa activó el 2 de agosto

El Artículo 50 del EU AI Act establece una obligación concreta: todo contenido generado o manipulado por inteligencia artificial que pueda confundirse con material auténtico — imágenes, videos, audios, textos — debe identificarse claramente. Los deepfakes que parezcan reales deben llevar una etiqueta perceptible para el usuario y una marca incrustada legible por máquina.

Los proveedores de sistemas de IA tienen que incorporar señales técnicas — metadatos, marcas de agua digitales u otros mecanismos — que certifiquen el origen artificial del contenido. No basta con la buena voluntad: las obligaciones son verificables y las sanciones, concretas. Hasta €15 millones o el 3% de la facturación anual global de la empresa, lo que sea mayor.

Las excepciones son precisas: contenido manifiestamente artístico, satírico o de ficción; uso personal; y textos generados con supervisión humana significativa. Todo lo demás cae bajo la norma.

Por qué esto no es solo un problema europeo

Hay una tentación fácil: ver el EU AI Act como una regulación lejana que le aplica a otros. Es un error.

Cualquier empresa — colombiana o extranjera — que opere en el mercado europeo o produzca contenido que circule allí queda bajo esta norma. Y en la economía digital, el contenido no tiene pasaporte. Una agencia de comunicaciones en Bogotá que usa IA para generar imágenes y las publica en canales con audiencia europea ya está en el radar de la regulación.

Pero más allá del cumplimiento técnico, el EU AI Act establece un estándar global de referencia. Cuando el bloque económico más regulado del mundo define qué es un deepfake ilegítimo y cuánto cuesta producirlo sin identificarlo, esa definición se convierte en el piso mínimo que el resto del mundo tarde o temprano tendrá que adoptar.

Colombia no tiene ese piso. Y no tenerlo no es neutralidad — es una puerta abierta para quien quiera hacer circular contenido sintético engañoso en territorio colombiano sin consecuencias.

Lo que Colombia tenía — y perdió

El Proyecto de Ley 043 de 2025 proponía exactamente lo que Europa ya tiene: clasificación de riesgos en sistemas de IA, obligaciones de transparencia, creación de una Autoridad Nacional de supervisión, mecanismos de seguimiento y formación de talento. Fue radicado en julio de 2025 por MinCiencias, MinTIC y el MEN. Tuvo ponencia positiva para primer debate en diciembre de 2025.

Y quedó archivado. Sin aprobarse. El Congreso cerró la legislatura sin darle trámite completo.

No es que Colombia no supiera que necesitaba una ley. Es que no la terminó de hacer.

La diferencia entre política y regulación

Aquí hay una confusión que vale la pena despejar. El CONPES 4144, aprobado en febrero de 2025, es un documento serio: seis ejes estratégicos, 106 acciones, inversión proyectada de casi 480.000 millones de pesos hasta 2030. Es la política nacional de IA más completa que ha tenido Colombia.

Pero un CONPES no es una ley. Define qué se quiere lograr — no obliga a nadie a hacer nada ni sanciona a nadie por no hacerlo. Un ciudadano cuya imagen fue usada sin consentimiento en un deepfake no puede demandar amparado en el CONPES 4144. Una empresa que difunde contenido sintético engañoso no enfrenta ninguna sanción específica bajo ese documento.

La diferencia entre política pública y regulación vinculante no es técnica. Es la diferencia entre un compromiso y una obligación.

Lo que el gobierno De la Espriella tiene que hacer

El trabajo no hay que rehacerlo desde cero. El PL 043 existe. Tiene diagnóstico, articulado y ponencia positiva. Lo que necesita es un gobierno que lo retome, lo actualice si hace falta, y lo lleve hasta la aprobación.

Hay tres preguntas concretas que el nuevo gobierno debería responder en sus primeros cien días:

¿Colombia va a retomar el PL 043 en la nueva legislatura o va a esperar otros cuatro años?

¿Quién en el gabinete De la Espriella tiene la responsabilidad explícita de llevar adelante la regulación de IA? El PL 043 fue radicado originalmente por MinCiencias — hoy en manos de Claudia Benavides S. La estrategia digital es territorio de MinTIC — hoy conducido por Alexandra Falla Zerrate. Y la formación del talento para ese ecosistema pasa por el MEN — hoy bajo Viviane Morales. Tres ministerios, una tarea compartida, y ningún plazo público anunciado todavía.

¿Existe un plazo concreto para que Colombia tenga una norma vinculante sobre deepfakes y contenido sintético, o seguiremos teniendo política sin ley?

Europa tardó años en construir su regulación. La tiene desde el 2 de agosto. Colombia lleva años debatiendo la suya. Mientras el debate continúa, el contenido sintético circula, los deepfakes se producen, y nadie en el territorio colombiano tiene obligación legal de identificarlos.

Eso no es un vacío regulatorio menor. Es una puerta abierta.