El derecho a entender la máquina que te juzga

La masificación del crédito digital en Colombia ha transformado un proceso que antes tardaba días en algo que hoy ocurre en segundos. Actualmente, modelos de machine learning evalúan miles de variables por solicitud, generan una decisión y la comunican al usuario de forma automática, sin intervención humana directa. Este nivel de eficiencia operativa tiene sentido para la industria; sin embargo, no siempre se ha pensado con el mismo rigor qué pasa cuando ese proceso termina en un rechazo sin ninguna explicación para el usuario. 

Desde el ordenamiento jurídico colombiano, esa pregunta tiene respuesta en varios niveles, y el primero de ellos es constitucional. El artículo 15 de la Constitución Política consagra el Habeas Data como derecho fundamental, con un alcance que la Corte Constitucional ha ido precisando en el tiempo. Desde la Sentencia T-729 de 2002, la Corte sostiene que ese derecho no se agota en conocer qué datos tiene una entidad sobre uno: exige saber con qué finalidad y de qué manera se usan. Cuando esos datos alimentan un modelo que determina el acceso a un préstamo, ese cómo se usan se convierte en el centro del derecho.

Esa línea jurisprudencial encontró su desarrollo más reciente en 2024 en la Sentencia T-323 que abordó el uso de inteligencia artificial en el contexto del debido proceso y estableció un razonamiento con alcance más amplio: la automatización de una decisión no la sustrae de los estándares de justificación del Estado de Derecho. Por lo que, una decisión tomada por un algoritmo sigue siendo una decisión jurídica, y quien opera ese algoritmo no está relevado de dar razones. Si bien el caso de esta Sentencia involucraba directamente a operadores judiciales, el principio que enuncia la Corte aplica a cualquier determinación automatizada que afecte derechos fundamentales.

Sobre esa base constitucional, la obligación de informar las razones de un rechazo crediticio ya está positivizada en la Ley 2157 de 2021 que establece que las entidades financieras no pueden rechazar una solicitud basándose exclusivamente en reportes negativos de las centrales de riesgo, y que cuando rechacen, deben informar al titular, a solicitud de este, las razones objetivas del rechazo por escrito. Esta obligación opera bajo demanda del titular, no de forma proactiva; el Estatuto del Consumidor, como se verá, fija un estándar más exigente en ese sentido.

Con todo, esa norma suele leerse de manera más restrictiva de lo que permite su propio texto. Un error frecuente en las áreas jurídicas es interpretarla como si aplicara únicamente cuando el rechazo tiene origen en un reporte de DataCrédito o TransUnion; sin embargo, la norma no hace esa distinción. La obligación de informar razones objetivas aplica al acto de rechazo en sí, independientemente del mecanismo que lo produjo. En un modelo de crédito automatizado, las razones objetivas son los factores que el modelo ponderó negativamente en el perfil del solicitante: la relación deuda-ingreso, el historial de pagos, el tiempo de vinculación laboral. 

Ahora bien, aun cuando las fintechs de crédito que no están vigiladas por la Superintendencia Financiera de Colombia pudieran creer que escapan a estas exigencias, el Estatuto del Consumidor, en su artículo 23, impone a cualquier empresa que ofrezca productos o servicios el deber de que la información que entregue al consumidor sea veraz, clara y suficiente. Por su parte, la Ley 1581 de 2012 obliga a todos los responsables del tratamiento de datos personales a actuar bajo el principio de transparencia, por lo que la diferencia frente a las entidades vigiladas por la autoridad financiera es el supervisor competente para imponer sanciones, no la ausencia de la obligación.

En cualquiera de los dos escenarios, la clave para entender qué exige el ordenamiento está en la distinción entre transparencia técnica y explicabilidad funcional. La primera consiste en describir cómo funciona el sistema: qué variables usa, cómo las pondera, bajo qué lógica produce una decisión. La segunda responde la pregunta que el usuario realmente necesita resolver: por qué la decisión fue adversa en su caso concreto y qué tendría que cambiar en su perfil para obtener un resultado diferente. El Estatuto del Consumidor, con su estándar de información clara y suficiente orientado al receptor, exige la segunda, pues entregar documentación técnica del modelo sin traducirla al caso del usuario es, en términos prácticos, no cumplir la norma.

Frente a esa lectura, el argumento que aparece con mayor frecuencia es el del secreto empresarial: revelar los factores que determinaron un rechazo implica revelar el funcionamiento del modelo, y eso expone la propiedad intelectual de la empresa. Aunque este argumento tiene sustento legal, el ordenamiento colombiano también establece sus límites. Por ejemplo, el test de proporcionalidad constitucional exige que las restricciones a derechos fundamentales estén justificadas y sean las mínimas necesarias, de manera que dar al usuario la información que le permita entender y eventualmente rebatir una decisión que lo afecta en realidad no requiere entregar el código fuente ni los pesos del modelo. 

Los sistemas de crédito automatizado generan, junto con la decisión, información sobre qué variables incidieron y en qué sentido. Esa información existe internamente; lo que no siempre existe es el proceso para comunicársela al usuario de forma comprensible. La norma exige exactamente eso: decirle al solicitante qué del perfil evaluado salió mal y qué tendría que ser distinto para obtener una aprobación. Las consecuencias de no contar con ese proceso ya tienen antecedentes en Colombia, como cuando los sistemas de inhabilitación automática de cuentas de repartidores en Rappi, sin intervención humana ni explicación al afectado, motivaron una investigación del Ministerio del Trabajo que cerró en 2023 con un acuerdo que incluía expresamente la revisión de esos mecanismos automatizados.

En ese mismo sentido apunta la presión regulatoria, tanto interna como internacional. La Superintendencia de Industria y Comercio incorporó criterios de transparencia algorítmica en su Circular Externa 002 de 2024, así mismo Consejo Superior de la Judicatura adoptó ese mismo año lineamientos para el uso de inteligencia artificial en la rama judicial bajo los estándares de la OCDE y la UNESCO. Ahora, en el plano internacional, el GDPR europeo establece desde 2018 el derecho a no ser objeto de decisiones exclusivamente automatizadas sin posibilidad de intervención humana o de impugnación, y el AI Act de 2024 refuerza esos estándares con requisitos de explicabilidad por diseño para sistemas de alto riesgo, categoría en la que expresamente incluye los modelos de scoring crediticio.

Para el sector de tecnología financiera en Colombia, todo lo anterior converge en una conclusión práctica: la obligación de explicar las decisiones automatizadas ya existe en el ordenamiento vigente. Las empresas que estructuren sus sistemas de comunicación del rechazo con el mismo rigor con que diseñan el modelo de decisión van a tener menos exposición a tutelas y reclamaciones, mayor confianza de sus usuarios y una posición más sólida frente a la profundización regulatoria que se anticipan.


Elaborado por: José David Durán Leyva