Durante años, la revisión legal de tecnología se concentró en licencias de software, niveles de servicio y disponibilidad de plataforma. Ese enfoque quedó incompleto. El riesgo legal de los datasets de IA —los conjuntos de datos con los que un modelo fue entrenado— se convirtió en el punto ciego de la mayoría de los contratos que se están firmando hoy, y en julio de 2026 ese riesgo dejó de ser hipotético: tiene sentencia, tiene cifra y tiene diez dígitos.
La cifra que puso el tema sobre la mesa
El 20 de julio de 2026, la jueza federal Araceli Martínez-Olguín, del Distrito Norte de California, otorgó aprobación definitiva al acuerdo de USD 1.500 millones entre Anthropic —desarrolladora del modelo Claude— y un colectivo de autores y editoriales. El pacto cubre cerca de 500.000 obras, con un pago aproximado de USD 3.000 por título, y es considerado la mayor compensación conocida en la historia del derecho de autor estadounidense.
La distinción jurídica que dejó el proceso suele contarse mal. En junio de 2025, el juez William Alsup —hoy retirado— sostuvo que entrenar un modelo con libros adquiridos legítimamente podía ampararse en la doctrina estadounidense del fair use, por tratarse de un uso suficientemente transformador. Lo que no encontró justificable fue la descarga de millones de libros desde repositorios piratas y su conservación en una biblioteca central permanente.
En otras palabras: no se sancionó el entrenamiento de la inteligencia artificial, sino la forma de obtener el insumo. La diferencia entre usar una obra y conseguirla es exactamente lo que hoy debería preocupar a cualquier área legal corporativa.
El acceso público no equivale a una licencia
Existe una confusión extendida en los equipos técnicos: si un contenido está disponible en internet, se asume que puede alimentar libremente un sistema comercial. No funciona así. La accesibilidad no transfiere derechos, no convierte una obra en dominio público y no reemplaza la base jurídica que legitima su explotación.
El problema escala cuando el conjunto de entrenamiento incorpora datos personales. Allí ya no hablamos solo de propiedad intelectual, sino del régimen de protección de datos y sus principios de legalidad, finalidad, libertad, transparencia, seguridad y confidencialidad. Un dataset mal originado puede activar, al mismo tiempo, responsabilidad autoral, exposición frente a titulares de datos y conflictos por secretos empresariales.
Colombia: sin ley de IA, pero con responsabilidad exigible
Colombia todavía no cuenta con una norma que regule expresamente el entrenamiento de modelos con obras protegidas. De ahí a concluir que existe un vacío normativo hay un salto que las empresas no deberían dar.
El ordenamiento vigente ya ofrece herramientas suficientes. El derecho de autor protege la reproducción no autorizada. La normativa de habeas data exige una base legítima para todo tratamiento de información personal. Y el régimen general de responsabilidad contractual permite reclamar los perjuicios derivados de un proveedor que entregó tecnología construida sobre insumos ilícitos.
Esperar una ley específica de inteligencia artificial para empezar a hacer diligencia debida es una decisión estratégica costosa: los contratos que se firman hoy producirán efectos durante los próximos años, con regulación sectorial o sin ella.
Del algoritmo al contrato: dónde vive realmente el riesgo
Muchas organizaciones están adquiriendo capacidades de IA mediante contratos SaaS tradicionales, sin advertir que están asumiendo por omisión un riesgo que nunca cuantificaron: el de una reclamación de terceros por los datos con los que el proveedor entrenó su modelo. Cuando el contrato guarda silencio, ese riesgo tiende a quedarse donde esté el patrimonio más accesible.
La debida diligencia tecnológica, por tanto, tiene que extenderse a la cadena de suministro de los datos. Eso significa pedir evidencia y no declaraciones de buena voluntad: inventario de fuentes de entrenamiento, soporte de las licencias obtenidas, política de exclusión de contenidos de origen dudoso y, cuando haya datos personales involucrados, la base jurídica que legitima ese tratamiento.
Cláusulas que hoy no pueden faltar
- Declaraciones y garantías sobre el origen de los datasets, con manifestación expresa de que el proveedor cuenta con las licencias, autorizaciones o bases legales necesarias para el uso y la reproducción de los contenidos de entrenamiento.
- Indemnidad específica por propiedad intelectual y datos personales, que cubra reclamaciones de terceros, costos de defensa y sanciones administrativas, sin quedar diluida dentro del tope general de responsabilidad.
- Derecho de auditoría razonable sobre la gobernanza del modelo y su documentación de procedencia, ejercible incluso a través de un tercero independiente para proteger secretos del proveedor.
- Obligación de notificación ante litigios, requerimientos regulatorios o hallazgos internos que comprometan la licitud de los datos de entrenamiento.
- Plan de continuidad y salida, que anticipe qué ocurre si una orden judicial obliga a suspender, modificar o destruir el modelo contratado.
Cinco preguntas para la mesa de negociación
1. ¿Puede el proveedor demostrar documentalmente el origen de los datos de entrenamiento? 2. ¿Hay contenidos de terceros incorporados sin licencia verificable? 3. ¿La información que la empresa cargue en la plataforma alimenta futuros entrenamientos? 4. ¿Quién responde si un tercero reclama por los datos utilizados, y hasta qué monto? 5. ¿El modelo depende de subproveedores cuya trazabilidad el contratista tampoco controla?
Trazabilidad, valoración y confianza
En operaciones de M&A, rondas de financiación o procesos de inversión, la trazabilidad de los datos empezó a comportarse como un activo verificable. Un inversionista difícilmente aceptará que la compañía objetivo ignore cómo fue construida la tecnología sobre la que descansa parte relevante de su negocio. Una respuesta ambigua tiene precio: descuento en la valoración, garantías reforzadas o dinero retenido en escrow.
El precedente estadounidense probablemente será recordado como el momento en que la conversación se desplazó desde la inteligencia artificial hacia la gobernanza de los datos que la hacen posible. El activo jurídicamente crítico ya no es únicamente el algoritmo: también lo es el conjunto de datos que lo sostiene.
Para las empresas colombianas, esto implica analizar cada implementación desde cuatro frentes simultáneos: contratación tecnológica, propiedad intelectual, protección de datos personales y gobierno corporativo. En un mercado donde la confianza empieza a competir con el precio, poder demostrar cómo fue construido un sistema deja de ser buena práctica y pasa a ser obligación empresarial.
La próxima vez que un proveedor presente su modelo, la pregunta correcta no es qué puede hacer. Es de dónde salió.
Si tienes alguna duda o inquietud en temas de emprendimiento, creación de empresas, estructuración de modelos de negocio, dudas jurídicas relacionadas o quiere una revisión jurídica en temas de tecnología, ingresa a www.abogadotic.com o escríbenos al correo servicioalcliente@abogadotic.co
Por: NATALIA OSPINA, nataliaospina@abogadotic.co
Referencias
Bartz v. Anthropic PBC. (2025). United States District Court for the Northern District of California. CourtListener. https://www.courtlistener.com/
Organización Mundial de la Propiedad Intelectual. (2024). Artificial Intelligence. https://www.wipo.int/en/web/frontier-technologies/artificial-intelligence
Reuters. (2026, 20 de julio). US judge approves Anthropic’s $1.5 billion settlement of copyright lawsuit. https://www.reuters.com/world/us-judge-approves-anthropics-15-billion-settlement-copyright-lawsuit-2026-07-20/