Cuando el Estado decide con algoritmos: los límites del poder administrativo en Colombia

Un ciudadano puede controvertir una decisión administrativa. Pero la discusión cambia cuando descubre que, antes de que un funcionario la firmara, un sistema algorítmico clasificó su expediente, priorizó su caso o produjo parte de las razones de la decisión. La pregunta es quién responde por la decisión, qué puede conocer el ciudadano y cómo puede controvertir una conclusión producida por una máquina.

Colombia ya no enfrenta este problema como una hipótesis lejana. La Corte Constitucional señaló en 2025 que entidades públicas habían adoptado al menos 111 sistemas de decisiones automatizadas en etapas de pilotaje o ejecución. En 2026, además, examinó las consecuencias del uso de inteligencia artificial generativa en la elaboración de actos administrativos. El problema es bajo qué condiciones podrá hacerlo sin transformar eficiencia tecnológica en opacidad jurídica.

La tesis es que la IA es compatible con la función administrativa, pero no puede alterar las garantías que legitiman el poder público. A mayor autonomía algorítmica e impacto sobre los derechos, mayor debe ser la intensidad de las garantías de legalidad, trazabilidad, explicación, supervisión humana y contradicción.

El primer límite es la legalidad. El artículo 209 de la Constitución somete la función administrativa a principios como igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad. El artículo 29 extiende el debido proceso a las actuaciones administrativas. Y el artículo 42 del CPACA exige que la decisión de fondo sea motivada. Ninguna de estas reglas desaparece porque el instrumento utilizado sea tecnológico.

De ahí una distinción decisiva: una cosa es utilizar IA como herramienta de apoyo y otra convertirla, de hecho, en el centro de la voluntad administrativa. Podemos identificar una escala: asistencia documental; recomendación; clasificación o priorización; decisión semiautomatizada; y decisión automatizada. No todos estos usos generan el mismo riesgo jurídico.

La pregunta, entonces, es incómoda: ¿puede un algoritmo hacer aquello que la ley no autoriza a la Administración? La respuesta debe ser negativa. La tecnología puede facilitar el ejercicio de una competencia, pero no crearla, ampliarla ni sustituir al órgano al que el ordenamiento atribuyó la potestad. La eficiencia es una finalidad administrativa; no es una fuente autónoma de competencia.

El segundo problema es el debido proceso y la motivación. En la Sentencia T-323 de 2024, la Corte Constitucional sostuvo, respecto del uso judicial de IA, que su utilización debe someterse a transparencia, responsabilidad y privacidad, y que no puede sustituir el razonamiento humano indelegable. Aunque el precedente se refiere a la función jurisdiccional, su lógica resulta relevante para la Administración: quien ejerce una potestad pública debe poder explicar y responder por la decisión que adopta.

La Sentencia T-008 de 2026 llevó esta discusión directamente al terreno administrativo. La Corte indicó que los debates sobre IA en la expedición y motivación de actos administrativos corresponden, en principio, al juez contencioso administrativo, y señaló que allí deben examinarse transparencia, trazabilidad, explicabilidad, legalidad, voluntad administrativa y responsabilidad.

Esto permite formular una regla práctica: no es necesario revelar el código fuente de cada sistema para cumplir el debido proceso. Lo exigible es que la entidad pueda identificar el uso de IA cuando sea relevante, explicar su función, conservar trazabilidad suficiente y comunicar las razones determinantes de la decisión. La transparencia algorítmica no equivale a entregar secretos industriales; equivale a impedir que la tecnología se convierta en una zona inmune al control. La propia Corte ha reconocido que esa transparencia puede satisfacerse mediante información sobre la lógica, arquitectura, datos y procesamiento del sistema, sin que la publicación del código sea la única alternativa.

El tercer problema es la igualdad y los datos. Un modelo entrenado con información histórica puede reproducir patrones discriminatorios, incluso sin incorporar explícitamente una categoría protegida. Un sistema para priorizar inspecciones o asignar beneficios podría producir impactos sistemáticamente desfavorables sobre determinados grupos.

La Ley 1581 de 2012 ya impone principios de legalidad, finalidad, transparencia, seguridad, veracidad y acceso restringido en el tratamiento de datos personales. La IA no crea una excepción tecnológica a esas obligaciones. Cuanto mayor sea la capacidad de inferencia del sistema, mayor debe ser la atención sobre calidad, pertinencia, proporcionalidad y seguridad de la información.

El cuarto problema es la responsabilidad. Si una decisión apoyada en IA causa un perjuicio, la entidad no puede responder que “fue el algoritmo”. La máquina no se convierte en sujeto de la competencia administrativa ni desplaza la responsabilidad institucional. La Administración debe conservar supervisión, auditoría y capacidad de corrección.

Colombia ya ofrece señales relevantes. El CONPES 4144 de 2025 estableció una Política Nacional de Inteligencia Artificial con horizonte a 2030 y 106 acciones, mientras distintas entidades han construido reglas sectoriales. El Invima, por ejemplo, dispuso en 2026 que la IA pueda utilizarse como apoyo analítico para clasificación, priorización y seguimiento, pero exigió evaluación previa de impacto algorítmico, criterio jurídico, prohibición de sustituir la decisión administrativa y revisión humana documentada. La CNSC, por su parte, reguló en 2026 el uso de IA en el trámite de peticiones como herramienta de apoyo sometida al control y responsabilidad del servidor competente.

El AI Act europeo ofrece una referencia útil: no toda IA merece la misma carga regulatoria, porque las garantías deben graduarse según el riesgo y el impacto sobre los derechos. Colombia puede adoptar esa lógica sin importar mecánicamente el modelo europeo.

Por ello, la propuesta debe ser un verdadero debido proceso algorítmico administrativo. Cuando una herramienta tenga capacidad relevante para afectar derechos, la entidad debería identificar el sistema y su finalidad; evaluar previamente sus impactos; documentar datos y criterios; establecer responsables humanos; informar al ciudadano cuando el uso sea material para su decisión; ofrecer una revisión humana efectiva; conservar registros auditables; y permitir que el juez pueda reconstruir cómo se produjo el resultado. La intensidad de estas garantías debe aumentar conforme aumenten la autonomía del sistema y el impacto de la decisión.

Existe un contraargumento: imponer demasiadas exigencias puede frustrar los beneficios de la automatización y aumentar costos. La objeción es válida, pero eficiencia y legitimidad no son conceptos intercambiables. Un procedimiento rápido que no puede explicarse ni controvertirse puede ser técnicamente eficiente y jurídicamente defectuoso.

También se objeta que algunos modelos son técnicamente difíciles de explicar. La respuesta no debe ser exigir una “explicabilidad total” imposible, ni revelar necesariamente el código fuente. Debe exigirse una explicación jurídicamente suficiente: qué función cumplió el sistema, qué factores fueron determinantes, qué datos relevantes se utilizaron, cuáles fueron sus límites y qué control humano ejerció la autoridad. La opacidad técnica no puede convertirse en opacidad administrativa.

La Administración colombiana no necesita escoger entre innovación y garantías. Puede utilizar inteligencia artificial para clasificar información, detectar patrones, priorizar actuaciones o apoyar la gestión. Lo que no puede hacer es trasladar a una caja negra la responsabilidad de ejercer potestades públicas.

El reto inmediato no consiste simplemente en expedir una gran ley sobre IA. Consiste en construir reglas operativas para el uso público de sistemas algorítmicos a partir de la Constitución, el CPACA, la protección de datos y la jurisprudencia existente, complementadas por evaluación de impacto, trazabilidad, supervisión humana y control judicial.

La regla debería ser proporcional: cuanto mayor sea la autonomía algorítmica y mayor el riesgo para los derechos, más intensa debe ser la garantía jurídica. El Estado puede automatizar procesos; no puede automatizar su deber de responder ante el ciudadano.

Elaborado por: Matheo Jose Dager De La Hoz