Colombia's AI Bill Is Back: What Firms Advising Businesses There Should Track Before It Passes

Colombia has been trying to pass a general AI statute since at least 2025, and the attempt keeps restarting rather than advancing. The previous vehicle, Proyecto de Ley 043 de 2025 Senado – 324 de 2025 Cámara, was signed by three ministers (Science, Education and ICT) together with members of Congress, carried a message of urgency and obtained a report for first debate, published in Gaceta del Congreso 2349 de 2025. It never got to a vote. Under article 162 of the Colombian Constitution and article 190 of Ley 5 de 1992, a bill carries over to the next legislature only if it has already been approved in first debate in one of the chambers; one that has not is archived, and cannot be picked up where it left off. That is what happened when the 2025-2026 legislature, the last of the 2022-2026 congressional term, closed on 20 June 2026: the Chamber's own file lists the bill as archived under article 190.

A bill that mostly repeats its predecessor

The project came back on 21 July 2026 as Proyecto de Ley 025 de 2026 Cámara, this time filed by 34 representatives and 11 senators rather than by the government; its report for first debate says it takes up the proposal the Ministries of Science and ICT had put forward in the previous term. The text was published in Gaceta del Congreso 878 de 2026, the Comisión Sexta's secretariat designated ponentes on 29 August 2026, and they filed their report in September, asking the Comisión to give the bill its first debate on an amended text. As of 10 November 2026 the Chamber's file still lists the bill as in committee, with no first debate recorded. Legal commentary that has compared the two versions describes the new bill as replicating most of the archived text, including its risk-based approach to classifying AI systems, which commentators describe as inspired by the European framework, while changing its principles on the use of local knowledge and on free economic competition.

What a firm should not wait to find out

A column published on 29 October 2026 in Asuntos Legales, aimed specifically at small and medium-sized businesses, lays out concrete obligations the bill would create. Among the duties it flags: a business using a customer-facing chatbot would have to disclose that the user is interacting with AI; AI-generated content realistic enough to be mistaken for authentic footage, image or audio would need to be labelled as such, and using a real person's voice or likeness would require that person's prior, express authorisation; AI used to screen or evaluate job candidates could be classed as high-risk, triggering a prior impact assessment and a review of that assessment at least once a year; and where AI substantially changes how existing jobs are performed, employers would need redeployment or retraining plans, with the Ministry of Labour tracking compliance. The column also warns that the bill has no transition regime, and the text as filed does simply provide that the law applies from its promulgation; the amended text proposed for first debate changes that, as explained below. None of this displaces Colombia's existing personal-data protection law, which already applies to the development, sale and use of AI systems regardless of whether this bill passes.

The fines are not symbolic

As filed, the bill sets fines of up to 3,000 monthly legal minimum wages (SMMLV), applicable successively for as long as the breach continues, a structure that can turn a single unresolved compliance gap into a recurring cost; the column adds that the size of the business is not a sanctioning criterion. The amended text the ponentes propose for first debate keeps the 3,000 SMMLV ceiling but grades it: up to 500 SMMLV for minor infringements, such as breaching the duty to inform users or to label synthetic content; up to 1,500 SMMLV, or the full economic benefit obtained if that is higher, for serious ones, such as deploying a high-impact system without the required impact assessment; and up to 3,000 SMMLV, or 150% of that benefit if higher, together with suspension or closure of the system, for the gravest, such as running a prohibited practice. That text also adds the offender's economic capacity to the criteria for grading a sanction, limits these fines to private persons, and staggers entry into force: prohibitions from promulgation and obligations for high-impact systems, as a rule, twelve months later. Either version is worth flagging to any client who assumes a general AI law would fall mainly on large technology companies.

What to do while the bill is still a bill

Because the project has already been archived once, its text has already changed between filing and the report for first debate, and its approval, as lawyers consulted by the Colombian press point out, depends on building broad technical and political consensus, a firm cannot responsibly tell a client that Colombia will or will not have this law, on what timetable or with which text. What a firm can do is treat the pending text as a checklist: inventory which AI systems a client already has in production, including ones individual employees adopted on their own; confirm which of those systems would plausibly sit in a higher-risk category, such as anything touching hiring or performance evaluation; and get disclosure language for chatbots and synthetic media ready before it becomes mandatory rather than after. A gap analysis built now against a bill that has not passed is not wasted work if the bill is archived again; the same inventory is what any risk-based AI law, Colombian or otherwise, will eventually ask a business to produce.

At Lexpower, building that kind of inventory against a norm that is still moving through committee, and keeping it current as the text itself changes, is exactly the sort of document-anchored preparation a specialist AI can carry out, for a licensed professional in the relevant jurisdiction to then review and sign. See how our specialists work.

Sources

Colombia lleva intentando aprobar una ley general de IA desde al menos 2025, y el intento se reinicia una y otra vez en lugar de avanzar. El vehículo anterior, el Proyecto de Ley 043 de 2025 Senado – 324 de 2025 Cámara, lo firmaron tres ministros (Ciencia, Educación y TIC) junto con congresistas, tuvo mensaje de urgencia y obtuvo ponencia para primer debate, publicada en la Gaceta del Congreso 2349 de 2025. Nunca llegó a votarse. Conforme al artículo 162 de la Constitución colombiana y al artículo 190 de la Ley 5 de 1992, un proyecto solo continúa su curso en la legislatura siguiente si ya fue aprobado en primer debate en alguna de las cámaras; el que no lo ha sido se archiva y no puede retomarse donde se quedó. Eso fue lo que ocurrió al cerrarse, el 20 de junio de 2026, la legislatura 2025-2026, la última del cuatrienio 2022-2026: la ficha del proyecto en la Cámara lo da por archivado en virtud del artículo 190.

Un proyecto que repite en gran medida a su predecesor

El proyecto volvió el 21 de julio de 2026 como Proyecto de Ley 025 de 2026 Cámara, esta vez radicado por 34 representantes y 11 senadores, no por el Gobierno; su ponencia para primer debate indica que retoma la propuesta que los Ministerios de Ciencia y de las TIC habían presentado en el cuatrienio anterior. El texto se publicó en la Gaceta del Congreso 878 de 2026, la secretaría de la Comisión Sexta designó ponentes el 29 de agosto de 2026 y estos radicaron su informe en septiembre, en el que piden a la Comisión dar primer debate al proyecto con un texto modificado. A 10 de noviembre de 2026, la ficha del proyecto en la Cámara lo mantiene en trámite en Comisión, sin primer debate registrado. Los comentarios jurídicos que han comparado ambas versiones describen el nuevo proyecto como una réplica, en gran medida, del texto archivado, incluido su enfoque de clasificación de los sistemas de IA por niveles de riesgo, que la doctrina describe como inspirado en el marco europeo, con cambios en los principios sobre aprovechamiento del conocimiento local y libre competencia económica.

Lo que un despacho no debería esperar a averiguar

Una columna publicada el 29 de octubre de 2026 en Asuntos Legales, dirigida específicamente a pequeñas y medianas empresas, expone obligaciones concretas que crearía el proyecto. Entre los deberes que señala: una empresa que use un chatbot de atención al cliente tendría que advertir que la persona interactúa con una IA; los contenidos generados con IA lo bastante realistas como para confundirse con una grabación, imagen o audio auténticos tendrían que señalarse como tales, y usar la voz o la imagen de una persona real exigiría su autorización previa y expresa; la IA usada para preseleccionar o evaluar candidatos a un puesto podría clasificarse como de alto riesgo, lo que obligaría a una evaluación de impacto previa y a revisar esa evaluación al menos una vez al año; y cuando la IA transforme sustancialmente las funciones de los trabajadores, el empleador necesitaría planes de reubicación o de capacitación, con seguimiento del Ministerio del Trabajo. La columna advierte también de que el proyecto no tiene régimen de transición, y el texto radicado, en efecto, se limita a disponer que la ley rige desde su promulgación; el texto modificado que se propone para primer debate cambia ese punto, como se explica más abajo. Nada de esto desplaza la normativa colombiana vigente de protección de datos personales, que ya se aplica al desarrollo, la venta y el uso de sistemas de IA, se apruebe o no este proyecto.

Las multas no son simbólicas

Tal como se radicó, el proyecto fija multas de hasta 3.000 salarios mínimos mensuales legales vigentes (SMMLV), aplicables sucesivamente mientras subsista el incumplimiento, una estructura que puede convertir una sola brecha de cumplimiento sin resolver en un coste recurrente; la columna añade que el tamaño de la empresa no es criterio de sanción. El texto modificado que los ponentes proponen para primer debate conserva el techo de 3.000 SMMLV, pero lo gradúa: hasta 500 SMMLV para las infracciones leves, como incumplir el deber de información o el de señalizar el contenido sintético; hasta 1.500 SMMLV, o el cien por ciento del beneficio económico obtenido si es mayor, para las graves, como implementar un sistema de alto impacto sin la evaluación de impacto exigida; y hasta 3.000 SMMLV, o el 150 % de ese beneficio si es mayor, además de la suspensión o el cierre del sistema, para las gravísimas, como operar una práctica prohibida. Ese texto añade la capacidad económica del infractor a los criterios de graduación de la sanción, limita estas multas a los particulares y escalona la entrada en vigencia: las prohibiciones, desde la promulgación; las obligaciones para los sistemas de alto impacto, como regla, doce meses después. Conviene señalar una y otra versión a cualquier cliente que dé por supuesto que una ley general de IA recaería sobre todo en las grandes tecnológicas.

Qué hacer mientras el proyecto sigue siendo un proyecto

Como el proyecto ya se archivó una vez, su texto ya ha cambiado entre la radicación y la ponencia para primer debate, y su aprobación, como señalan los abogados consultados por la prensa colombiana, depende de que logre construir consensos técnicos y políticos amplios, un despacho no puede decirle responsablemente a un cliente si Colombia tendrá esta ley, con qué calendario ni con qué texto. Lo que un despacho sí puede hacer es tratar el texto pendiente como una lista de comprobación: inventariar qué sistemas de IA tiene ya un cliente en funcionamiento, incluidos los que hayan adoptado por su cuenta trabajadores concretos; confirmar cuáles de esos sistemas encajarían, con cierta plausibilidad, en una categoría de mayor riesgo, como cualquiera que afecte a la contratación o a la evaluación del desempeño; y dejar lista la advertencia de uso de IA para chatbots y contenidos sintéticos antes de que sea obligatoria, no después. Un análisis de brechas construido ahora sobre un proyecto que aún no se ha aprobado no es trabajo perdido si el proyecto vuelve a archivarse; el mismo inventario es lo que cualquier ley de IA basada en riesgo, colombiana o de cualquier otro país, acabará por pedirle a una empresa.

En Lexpower, construir ese inventario frente a una norma que todavía se tramita en comisión, y mantenerlo al día a medida que el propio texto cambia, es precisamente el tipo de preparación anclada a documentos que un especialista de IA puede llevar a cabo, para que después un profesional colegiado de la jurisdicción correspondiente lo revise y lo firme. Así trabajan nuestros especialistas.

Colombia's AI Bill Is Back: What Firms Advising Businesses There Should Track Before It PassesEl proyecto de ley de IA vuelve a Colombia: qué deben vigilar los despachos que asesoran empresas antes de que se apruebe