ANÁLISIS REGULATORIO 03 · SALUD DIGITAL · COLOMBIA · 2026
¿Quién responde cuando la IA se equivoca en una consulta médica?
La Resolución 1644 de 2026 cambia las reglas de la telemedicina en Colombia. Lo que deben revisar prestadores, healthtechs y proveedores de IA.
01 / LA NUEVA PREGUNTA
La discusión ya no es si puede usarse IA. Es si la organización puede probar cómo la gobierna.
La Resolución 1644 de 2026 reemplazó el marco de 2019 y convirtió varias buenas prácticas en exigencias operativas: información previa, supervisión humana, validación documentada, trazabilidad, seguridad, interoperabilidad y responsabilidad del prestador.
La oportunidad es real. La norma reconoce que la telesalud y la telemedicina pueden ampliar acceso, continuidad y capacidad resolutiva, especialmente en territorios rurales o con oferta limitada. Pero también termina con una idea cómoda: que contratar una plataforma o incluir una cláusula amplia de aceptación basta para gobernar el riesgo.
Informar antes de usar
Validar antes de confiar
Supervisar antes de decidir
Registrar para poder explicar
Integrar para dar continuidad
02 / SEIS CAMBIOS QUE IMPORTAN
Del producto atractivo al sistema demostrable.
El cumplimiento no vive en un documento aislado. Une diseño del producto, práctica clínica, protección de datos, contratación, seguridad y calidad.
La IA queda permitida, pero como apoyo
El artículo 23 admite plataformas basadas en IA en telemedicina. No autoriza una sustitución del criterio profesional: la herramienta apoya y el talento humano conserva el control.
Informar deja de ser una cláusula genérica
Antes de usar IA, el usuario debe conocer sus capacidades, alcances, limitaciones y quién responde por su uso. La transparencia debe ocurrir en la experiencia de atención, no solo en los términos del sitio.
La validación debe existir antes del discurso comercial
Cuando la IA tenga impacto clínico, el prestador necesita validación técnica y clínica documentada sobre desempeño, sesgos, calidad de datos, ciberseguridad, supervisión humana y gestión de cambios.
Cada recomendación debe dejar rastro
Los sistemas deben permitir registrar y auditar sus aportes, especialmente ante incidentes o eventos adversos. Sin trazabilidad, no hay forma seria de reconstruir la decisión.
El contrato no traslada la responsabilidad
Aunque la plataforma provenga de un tercero, la resolución mantiene al prestador como responsable de su uso, de la información clínica y de las decisiones adoptadas en la atención.
Consentimiento y datos son decisiones distintas
El consentimiento para la atención por telemedicina es independiente de la autorización para tratar datos personales. Un clic único y ambiguo no resuelve ambos frentes.
VIGENCIA Y TRANSICIÓN
El margen de transición no es una invitación a esperar.
El acto está fechado el 31 de julio de 2026; el repositorio oficial informa su publicación en el Diario Oficial 53.618 del 7 de septiembre. El artículo 43 concede doce meses de armonización a los servicios ya habilitados y el artículo 44 dispone vigencia desde la expedición. Para gestión de riesgo, la decisión prudente es iniciar ahora y documentar el criterio jurídico usado para el cronograma.
03 / CINCO DECISIONES DE DIRECCIÓN
La resolución se implementa tomando decisiones, no acumulando políticas.
Estas cinco conversaciones convierten la norma en responsabilidades, evidencia y controles que pueden operar.
Inventario funcional
¿Dónde interviene realmente la IA?
No basta con listar proveedores. Hay que mapear cada función: resumen, transcripción, priorización, recomendación, soporte diagnóstico, interacción con el usuario o automatización administrativa. El riesgo depende del uso concreto.
Conectar cada función con un responsable, un dato de entrada, una salida, una decisión humana y una evidencia conservada.
Control clínico
¿Quién puede revisar, rechazar o corregir la salida?
La supervisión humana no puede ser decorativa. Debe existir tiempo, información y autoridad para apartarse de la recomendación del sistema, y una ruta clara cuando la herramienta falla o la conectividad se interrumpe.
Definir criterios de revisión, escalamiento, atención presencial y contingencia; probarlos con casos reales antes de depender del sistema.
Expediente de validación
¿Qué evidencia soporta el uso de la herramienta?
Una certificación de seguridad no demuestra desempeño clínico. El expediente debe distinguir seguridad, calidad de datos, sesgos, validez técnica, validez clínica, cambios de versión y, cuando aplique, la condición de dispositivo médico ante INVIMA.
Exigir soportes verificables al proveedor y documentar la evaluación propia del prestador para el contexto de uso previsto.
Experiencia y consentimiento
¿El usuario entiende cuándo aparece la IA y qué puede hacer?
La información debe ser previa, clara y proporcional al riesgo. Además, la telemedicina requiere un consentimiento informado con alcance, beneficios, riesgos, fallas tecnológicas, privacidad y protocolos de emergencia.
Separar consentimiento asistencial, autorización de datos y avisos sobre IA; conservar prueba de cada decisión sin diseñar pantallas interminables.
Arquitectura contractual
¿El contrato produce la evidencia que el prestador necesita?
El proveedor puede asumir obligaciones de seguridad, validación, notificación, auditoría, continuidad y gestión de cambios. Lo que no puede hacer el contrato es borrar la responsabilidad que la norma asigna al prestador.
Alinear DPA, acuerdo de servicio, anexos técnicos, términos, política de privacidad, matriz de incidentes y procedimiento de historia clínica.
04 / PLAN DE 90 DÍAS
Empezar por el uso real, no por la plantilla.
El periodo de transición debe producir un expediente vivo: decisiones, pruebas, contratos y controles conectados con la operación.
0–30 días
Mapear funciones de IA, categorías de telemedicina, flujos de datos, proveedores, responsables y puntos de decisión humana.
31–60 días
Cerrar brechas de validación, consentimiento, privacidad, trazabilidad, seguridad, interoperabilidad y contratación.
61–90 días
Probar controles con escenarios de error, incidente, sesgo, caída del servicio, cambio de modelo y necesidad de atención presencial.
Continuo
Monitorear desempeño y cambios del proveedor; conservar auditoría; actualizar el expediente y entrenar al talento humano.
UNA SEGUNDA CAPA
La Resolución 1644 no se lee sola.
La Resolución 1732 de 2026 actualizó después el Sistema Único de Habilitación y lo armonizó con las nuevas categorías y condiciones de telemedicina. La arquitectura de cumplimiento debe revisar ambos instrumentos, además de historia clínica electrónica, protección de datos, seguridad, dispositivos médicos y reglas profesionales aplicables al servicio concreto.
- 1644 de 2026
- Actividades de telesalud y prestación en modalidad de telemedicina.
- 1732 de 2026
- Inscripción, habilitación y condiciones de los servicios de salud.
- Lineamientos pendientes
- El Ministerio anunció lineamientos técnicos de IA dentro de los doce meses siguientes.
- Regla de dirección
- No confundir plazo regulatorio con permiso para operar sin evidencia suficiente.
05 / EL ESTÁNDAR
Una healthtech madura no promete que su IA reemplaza criterio. Demuestra cómo lo informa, lo apoya, lo registra y lo somete a control.
La Resolución 1644 abre espacio para innovar, pero eleva el costo de la improvisación. La ventaja competitiva será de quienes conviertan el cumplimiento en diseño del servicio, confianza clínica y capacidad de explicar cada decisión.
Este análisis es información general y no sustituye una evaluación jurídica, clínica, técnica o de habilitación del caso concreto.
BOLÍVAR BUSINESS · IA, DATOS Y CUMPLIMIENTO
Conversemos sobre lo que esto significa para su negocio.
Agende una conversación conmigo, Juan Camilo Bolívar, para revisar su situación y definir próximos pasos en IA, datos y contratación. Puede elegir un horario en mi calendario o escribirme primero.