Guía · Privacidad y supervisión humana
Agentes de IA y protección de datos en ventas B2B: privacidad y supervisión humana
Qué datos toca un agente de ventas, dónde quedan guardados, qué exige la ley en Colombia y Latinoamérica y en qué momentos decide una persona.
Un agente de IA para ventas B2B cumple con la protección de datos cuando trata solo los datos necesarios, con autorización o una base legal válida, dentro de tu CRM y con proveedores que no entrenan modelos con tu información. Además, una persona aprueba cada conversación, atiende las escalas y revisa los registros cada semana.
Antes de poner agentes de IA en tu proceso de ventas, tu área legal va a preguntar qué pasa con los datos de clientes y prospectos, y quién responde si el agente se equivoca. Aquí está la respuesta, con normas y documentación oficial consultadas el 25 de octubre de 2026.
Esta guía es informativa y no es asesoría legal. Las normas cambian y cada caso es distinto: valida el tuyo con un abogado de protección de datos antes de poner un agente a escribirle a tus prospectos.
Agenda tu diagnóstico de 10 minutos
En 10 minutos revisamos qué datos tocaría un agente en tu operación y qué controles necesitas.
Qué datos toca un agente de IA de ventas y dónde quedan
Un agente de ventas no necesita saberlo todo, solo los datos justos para responder, calificar y hacer seguimiento:
| Dato | Ejemplo | Dónde debería quedar |
|---|---|---|
| Contacto | Nombre, cargo, correo y teléfono de trabajo | En el CRM, como única fuente de verdad |
| Empresa | Razón social, sector, país | En el CRM |
| Conversaciones | Correos, formularios, chat, WhatsApp | En el CRM, asociadas al contacto |
| Datos que crea el agente | Puntaje, resumen, próxima acción | En campos del CRM, con fecha y origen |
| Registros técnicos | Ejecuciones y textos enviados al modelo | En Make y en el proveedor del modelo, por tiempo limitado |
Que le vendas a empresas no significa que no trates datos personales. La Ley 1581 de 2012 define dato personal como cualquier información vinculada o que pueda asociarse a personas naturales determinadas o determinables. El correo de la gerente de compras lo es; el NIT de su empresa, no.
La regla práctica: el CRM es la única fuente de verdad. El agente lee y escribe ahí, Make mueve los datos entre herramientas y el modelo de IA los procesa sin guardarlos. Así sabes dónde está cada dato y lo borras de un solo lugar.
Qué exige la ley en Colombia
El marco es la Ley 1581 de 2012, reglamentada por el Decreto 1377 de 2013, con la Superintendencia de Industria y Comercio (SIC) como autoridad. Lo que más pesa para un agente:
- Autorización previa, expresa e informada (art. 3), obtenida por un medio que se pueda consultar después (art. 9). El silencio no cuenta (art. 7 del Decreto 1377).
- Excepciones, como los datos de naturaleza pública (art. 10).
- Deber de informar la finalidad, los derechos de la persona y cómo contactarte (art. 12).
- Proveedores: HubSpot, Zoho o Make son encargados; tú sigues siendo el responsable, y necesitas un contrato de transmisión con ellos (arts. 24 y 25 del Decreto 1377).
- Sanciones: multas de hasta 2.000 salarios mínimos mensuales legales vigentes (art. 23).
La pieza que más cambia la prospección con IA es la Circular Externa 002 de 2024 de la SIC, sobre datos personales en sistemas de inteligencia artificial. Su punto IX es directo: que una información sea accesible al público no la vuelve de naturaleza pública.
México, Brasil, Chile y Europa: lo que cambia si vendes fuera
- México: desde el 21 de marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, con aviso de privacidad y derechos ARCO.
- Brasil: la LGPD admite el interés legítimo como base legal (art. 7), pide registrar las operaciones de tratamiento (art. 37) y permite pedir la revisión de decisiones automatizadas (art. 20).
- Chile: la Ley 21.719 entra en vigencia el 1 de diciembre de 2026. El 28 de octubre de 2026 el Senado aprobó un proyecto que la aplaza al 15 de octubre de 2027 (Boletín 18.623-07); al 2 de noviembre de 2026 seguía en trámite en la Cámara de Diputados.
- Unión Europea: el RGPD aplica si le ofreces servicios a personas en la UE (art. 3). Acepta el interés legítimo para mercadotecnia directa (considerando 47), pero la persona puede oponerse en cualquier momento y debes avisárselo desde la primera comunicación (art. 21).
El Reglamento europeo de IA exige en su artículo 14 supervisión humana para sistemas de alto riesgo. Un agente de prospección no suele estar en esa lista, pero sirve de guía: la persona debe entender qué hace el sistema, poder ignorar o revertir lo que propone y poder detenerlo.
Consentimiento y base legal para prospectar
- El prospecto llega a ti (formulario, evento, chat). Pide la autorización ahí, con enlace a tu política de tratamiento, y guarda en el CRM la fecha, el canal y el texto aceptado. El agente solo trabaja contactos con ese registro.
- Tú buscas al prospecto. Con la Circular 002, que el dato esté en internet no basta. Pide permiso en el primer contacto y no cargues listas compradas o extraídas de redes sin una base legal demostrable.
En WhatsApp, la política para empresas solo permite escribirle a quien te dio su número y aceptó recibir tus mensajes. Si automatizas respuestas, debes ofrecer una vía clara para hablar con una persona.
Un agente con criterios de calificación de leads claros pide menos datos.
Baja, revocación y retención de datos
El Decreto 1377 pide mecanismos sencillos y gratuitos para revocar la autorización (art. 9). En la práctica:
- Cada mensaje incluye una forma simple de pedir que no te escriban más.
- El agente marca el contacto como no contactar en el CRM y detiene sus secuencias; una persona lo confirma.
- Las consultas se responden en máximo 10 días hábiles y los reclamos en máximo 15 (arts. 14 y 15 de la Ley 1581).
Los datos se conservan solo mientras sean necesarios para su finalidad (art. 11 del Decreto 1377). Define un plazo para los prospectos que no avanzan, borra o anonimiza al cumplirse y aplica la misma regla a Make y al proveedor del modelo.
Supervisión humana: en qué momentos decide una persona
Estos son los momentos en los que, en nuestra experiencia, decide una persona:
| Momento | Qué hace el agente | Qué decide una persona |
|---|---|---|
| Cada conversación durante el piloto | Propone cómo llevarla | La aprueba una vez, no mensaje por mensaje, o la ajusta |
| Precio, condiciones o compromisos | Se detiene y avisa | Responde ella misma |
| Quejas o solicitudes sobre datos | Marca el caso y avisa | Lo atiende dentro del plazo legal |
| Lead calificado | Entrega resumen y próxima acción | Toma la oportunidad |
| Duda o caso fuera de guion | Lo envía a una cola de revisión | Decide y ajusta las reglas |
| Cambio de instrucciones | Nada: no se cambia solo | Aprueba la nueva versión |
El agente propone; la persona responde por lo que sale con el nombre de tu empresa.
Recomendamos que el piloto arranque en modo aprobación: una persona aprueba cada conversación una sola vez, no cada mensaje. Las escalas de la tabla siguen aplicando dentro de cada conversación. Cuando la calidad es estable, se libera la aprobación por tipo de conversación, nunca toda de una vez, y siempre existe un botón para pausar el agente. Los términos de la API de Gemini también prohíben saltarse las solicitudes de confirmación humana.
Registros y trazabilidad: qué debe quedar escrito
Si la SIC o un cliente pregunta qué hizo el agente con un dato, debes poder responder. Lo mínimo:
- Origen y autorización de cada contacto.
- Cada mensaje enviado, y quién aprobó la conversación y cuándo.
- Cada escala a una persona y cómo se resolvió.
- Cada cambio de instrucciones, con su versión.
- Accesos al CRM, a Make y a las cuentas de los modelos.
La Circular 002 pide medidas auditables, el Decreto 1377 exige demostrar las medidas adoptadas (art. 26), el RGPD pide un registro de actividades (art. 30) y la LGPD, uno de operaciones (art. 37). Ojo: Make guarda los datos de cada ejecución; en escenarios con datos personales puedes desactivarlo, aunque depurar errores se vuelve más difícil.
Checklist de proveedores: HubSpot, Zoho, Make y modelos de IA
Lo que publica cada proveedor en su documentación, consultada el 25 de octubre de 2026. Las políticas cambian; revísalas antes de firmar.
| Proveedor | Dónde quedan los datos | ¿Entrena con tus datos? | Qué revisar |
|---|---|---|---|
| HubSpot | UE (Alemania), EE. UU., Canadá o Australia | Puede entrenar sus modelos propios; un Super Admin lo desactiva | Región de la cuenta y ajuste de entrenamiento |
| Zoho CRM | Centro de datos asignado por país | Zia LLM corre en centros de datos de Zoho | DPA y modelos externos que conectes |
| Make | EE. UU. o UE, sin cambio posterior | Algunas funciones de IA se procesan en EE. UU. aunque elijas la UE | No guardar datos en registros y DPA |
| OpenAI | Residencia de datos para proyectos elegibles | No por defecto en planes empresariales y API | Registros de API hasta 30 días |
| Anthropic (Claude) | Según contrato y producto | No por defecto en productos comerciales y API | Borrado de la API en 30 días, con excepciones |
| Google (Gemini API) | Según contrato y producto | No en servicios pagos; sí en gratuitos | Usar solo servicios pagos |
| Perplexity (API) | Según contrato y producto | No, según sus términos de API | Retención cero solo con acuerdo escrito |
Nunca uses cuentas personales o gratuitas de un modelo de IA para datos de clientes: deben estar a nombre de tu empresa, con contrato y sin entrenamiento. Para la reunión con tu área legal, el checklist corto:
| Pregunta | Respuesta que buscas |
|---|---|
| ¿Hay contrato o DPA con cada proveedor? | Sí: CRM, Make y modelo de IA |
| ¿Sabemos en qué país quedan los datos? | Sí, y figura en la política de tratamiento |
| ¿El proveedor entrena con nuestros datos? | No, o lo desactivamos |
| ¿El agente tiene solo los permisos que necesita? | Sí, por campos y objetos del CRM |
| ¿La baja se refleja en el CRM de inmediato? | Sí, en cada canal |
| ¿Hay responsable y plazo para solicitudes? | Sí: 10 días hábiles para consultas y 15 para reclamos |
| ¿Podemos reconstruir qué hizo el agente y quién aprobó? | Sí, desde el CRM y Make |
| ¿Hay un botón para detener el agente? | Sí, y alguien sabe usarlo |
Agenda tu diagnóstico de 10 minutos
En 10 minutos revisamos tu checklist y te decimos qué falta antes de activar un agente.
Cómo lo hacemos en Affinitit
Instalamos agentes de IA sobre HubSpot o Zoho CRM, con Make como capa de integración. El recorrido completo está en cómo implementar IA en ventas B2B.
- ASCENDER® Audit (4 semanas): revisamos qué datos tienes, de dónde vienen y qué autorizaciones los respaldan.
- ASCENDER® Build (6 a 8 semanas): el primer agente piloto queda en producción en 14 días, con permisos mínimos, aprobaciones, escalas y registros desde el primer día.
- ASCENDER® Performance Loop: cada semana revisamos pipeline, escalas y registros, y ajustamos las reglas.
Necesitamos de ti: acceso de administrador al CRM, tu política de tratamiento de datos, una persona responsable de privacidad y otra que apruebe las conversaciones. Las cuentas del CRM, de Make y de los modelos están a nombre de tu empresa en los dos modelos de trabajo: si operamos el sistema por ti como servicio administrado (AIaaS) o si te entregamos el ecosistema completo. Tú decides cuál. Qué pagas a cada quién está en cuánto cuesta implementar IA en ventas B2B, y cómo se documentan las reglas del agente, en el playbook de ventas B2B.
Así acompañamos a Primestone (software B2B) a pasar de un esfuerzo comercial reactivo a un sistema de generación de demanda con foco en cuentas clave. Ver los casos de éxito en Latinoamérica.
Nuestro enfoque: IA de conexión humana
IA de conexión humana quiere decir que la IA hace el trabajo repetitivo (responder, calificar, registrar, recordar) para que las personas dediquen su tiempo a las conversaciones que generan confianza y cierran negocios. La supervisión humana no frena al agente: es lo que permite que tu equipo confíe en él y tus clientes, en tu equipo.
Preguntas frecuentes
¿Es legal usar agentes de IA para prospectar en Colombia?
Sí, si cumples la Ley 1581 de 2012: necesitas autorización previa, expresa e informada, salvo excepciones como los datos de naturaleza pública. La Circular Externa 002 de 2024 de la SIC aclara que un dato accesible en internet no es por eso de naturaleza pública.
¿HubSpot o Zoho usan mis datos para entrenar su IA?
HubSpot informa que puede entrenar sus modelos propios con datos de clientes, que el ajuste viene activado y que un Super Admin puede desactivarlo. Zoho informa que su Zia LLM corre en sus propios centros de datos, sin proveedores externos, y que los datos no salen de su ecosistema.
¿Los modelos de IA como ChatGPT, Claude, Gemini o Perplexity entrenan con mis datos?
En planes empresariales y de API, OpenAI, Anthropic y Perplexity informan que no lo hacen por defecto, y Google dice lo mismo de los servicios pagos de Gemini. Los servicios gratuitos de Gemini sí usan el contenido para mejorar productos, así que no sirven para datos personales.
¿El agente puede enviar mensajes sin que nadie los revise?
Puede, pero no conviene al empezar. En el piloto, una persona aprueba cada conversación una vez, no mensaje por mensaje. Aun así, el agente escala los precios, las quejas, las solicitudes sobre datos y los casos que no sabe resolver.
¿Qué hago si un prospecto pide que lo saquen de la base de datos?
Márcalo como no contactar en el CRM, detén sus secuencias y responde la solicitud. En Colombia, las consultas se atienden en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles (arts. 14 y 15 de la Ley 1581).
¿Necesito avisar que quien escribe es una IA?
La Ley 1581 no lo exige de forma expresa, pero el principio de transparencia lo recomienda. Si le vendes a personas en la Unión Europea, el artículo 50 del Reglamento de IA obliga a informar que se interactúa con una IA, salvo que sea evidente.
¿Cuánto tarda en estar listo un agente con estos controles?
En Affinitit, el primer agente piloto queda en producción en 14 días dentro del ASCENDER® Build, que toma de 6 a 8 semanas. Permisos, aprobaciones, escalas y registros se configuran desde el piloto, no después.
¿Tu agente de IA pasaría una revisión de datos?
En una llamada de diagnóstico de 10 minutos vemos qué datos tocaría, qué controles te faltan y si tiene sentido que trabajemos juntos. Si prefieres, llámanos al +57 317 433 5847.
