¿Hasta dónde puede llegar un colegio al recopilar datos de sus estudiantes para personalizar el aprendizaje con IA?

La promesa suena irresistible: una plataforma que conoce cómo aprende cada estudiante, qué errores repite, cuánto tarda en cada ejercicio y qué le conviene estudiar mañana. Para lograrlo, necesita datos: notas, asistencia, tiempos, errores, a veces comportamiento, a veces la voz o el rostro. La pregunta ya no es solo si la IA personaliza, sino cuántos datos de los niños estamos dispuestos a entregar a cambio.

En este artículo reviso qué datos se manejan, qué dicen la ley colombiana y la regulación internacional, qué pasó con uno de los mayores incidentes de datos escolares, y te dejo diez criterios para usar los datos educativos de forma responsable, útiles para docentes, directivos y familias. Normas y casos verificados el 9 de octubre de 2026. Es información de orientación, no asesoría legal.

Resumen. En Colombia, la Ley 1581 de 2012 restringe el tratamiento de datos de menores a los públicos y exige que prevalezca su interés superior; la Circular Externa 002 de 2024 de la SIC pide que los sistemas de IA cumplan idoneidad, necesidad, razonabilidad y proporcionalidad, con una evaluación de impacto previa. La regla práctica: recoge menos datos, con finalidad clara, con supervisión humana y con un proveedor que puedas auditar.

Qué datos se recopilan y cuáles son sensibles

No todos los datos de un estudiante pesan igual. Esta clasificación práctica sirve para decidir cuánto cuidado merece cada tipo:

Hay una categoría que merece una advertencia: las inferencias. Cuando una IA calcula que un estudiante "tiene riesgo de deserción", "es poco motivado" o "tiene un estilo de aprendizaje visual", crea datos nuevos sobre el niño, que pueden ser erróneos y que, una vez en un perfil, tienden a seguirlo. Y los datos de salud, discapacidad o diagnósticos (por ejemplo, los de un PIAR) son sensibles: no deberían llegar a una herramienta externa con nombre y apellido.

Un caso real: la brecha de PowerSchool

A finales de 2024, la plataforma estadounidense PowerSchool, que gestiona información de estudiantes en miles de colegios, sufrió un acceso no autorizado. Según el resumen de Tom's Guide basado en BleepingComputer, se vieron afectados los datos de unos 62,4 millones de estudiantes y 9,5 millones de docentes, y la intrusión se hizo con las credenciales de un contratista, no con un ataque de ransomware ni por una falla del software. Lo expuesto dependió de cada distrito: nombres, direcciones, teléfonos, promedios de notas, información de padres y, en algunos casos, datos médicos. Las cifras varían según la fuente y algunos detalles (por ejemplo, la exposición de números de seguridad social) se contradicen entre los informes. La lección es sencilla: mientras más datos concentra un proveedor, más atractivo y más dañino es un incidente, y la seguridad de un colegio depende también de las credenciales de sus contratistas.

Qué dice la ley: Colombia, Latinoamérica y el mundo

En Colombia se combinan varias normas. El artículo 7 de la Ley 1581 de 2012 establece que en el tratamiento de datos de niños, niñas y adolescentes deben prevalecer sus derechos y que está prohibido tratar sus datos, salvo los de naturaleza pública; además, asigna a las entidades educativas el deber de informar y capacitar a representantes legales y tutores sobre los riesgos de un uso indebido. La Corte Constitucional (Sentencia C-748 de 2011) aclaró que no es una prohibición absoluta: puede haber tratamiento cuando respeta el interés superior del menor. El Decreto 1074 de 2015 (que compiló el Decreto 1377 de 2013) exige además que se asegure el respeto de sus derechos fundamentales y que el representante legal autorice, después de escuchar la opinión del menor según su madurez. Un colegio actúa como responsable del tratamiento.

Para la IA, la Circular Externa 002 de 2024 de la SIC aplica la Ley 1581 al tratamiento de datos en sistemas de inteligencia artificial: exige idoneidad, necesidad, razonabilidad y proporcionalidad, gestión de riesgos, un estudio de impacto de privacidad antes del diseño y desarrollo y la capacidad de demostrar el cumplimiento (responsabilidad demostrada). Según sus comentaristas, también promueve la privacidad desde el diseño y por defecto.

En el mundo, la Unión Europea fue más lejos: su Reglamento de IA prohíbe desde febrero de 2025 inferir emociones de las personas en centros educativos (salvo por razones médicas o de seguridad) y clasifica como de alto riesgo los sistemas de IA que determinan el acceso a instituciones educativas, evalúan resultados de aprendizaje o vigilan el comportamiento en exámenes; el calendario de las obligaciones de alto riesgo se ha ajustado, así que verifica la fecha vigente. En Latinoamérica, las leyes de protección de datos varían en madurez, pero la tendencia es la misma: el tratamiento de datos de menores exige más cuidado, y los colegios y plataformas de la región suelen operar con proveedores globales sin que familias ni docentes sepan dónde viven los datos. Esa asimetría de información es parte del problema.

Diez criterios para un uso responsable de datos educativos

Este es el recurso aplicable. Úsalo para evaluar una plataforma o una política institucional:

Y una prueba de tres preguntas que cabe en cualquier reunión de consejo académico: 1) ¿Qué decisión pedagógica mejora? 2) ¿Podría lograrse con menos datos? 3) ¿Qué pasa si se filtra o se equivoca? Si no hay una buena respuesta a las tres, probablemente el dato no se debería recoger.

Cuatro miradas: docentes, familias, estudiantes y proveedores

• Docentes: quieren herramientas que ahorren tiempo, pero son quienes cargan los datos y quienes responden ante las familias. Necesitan reglas claras sobre qué pueden subir a una plataforma de IA y qué no.
• Familias: casi nunca saben qué plataformas usa el colegio ni qué datos entregan. Tienen derecho a preguntar y a recibir una respuesta comprensible.
• Estudiantes: tienen derecho a ser escuchados y a no cargar con etiquetas que un algoritmo les puso a los 12 años.
• Proveedores: un buen proveedor puede explicar qué datos recoge, por qué, dónde los guarda y cómo se borran. Si no puede, es una señal.

Cómo lo aplico en mis herramientas

Aplico lo mismo que recomiendo: en PIAR con IA y en el Generador de exámenes con IA lo que escribes se envía a la API de Google Gemini para generar el documento, y por eso recomiendo usar iniciales y no incluir datos que identifiquen a estudiantes; así lo explica la política de privacidad del sitio. El PIAR trata información sensible (discapacidad, apoyos), así que esa precaución no es un detalle: es la regla. Si quieres trabajar con un plan de ajustes razonables sin exponer a un estudiante, empieza por el paquete PIAR con IA usando datos mínimos, y para evaluar sin recoger perfiles, el Generador de exámenes con IA crea exámenes y soluciones sin necesidad de datos personales de los estudiantes (hay una demostración gratuita). El Kit de IA para docentes incluye una secuencia de ciudadanía digital (huella, privacidad y datos personales) para trabajar este tema con tus estudiantes.

Para seguir leyendo: errores básicos de seguridad, agentes de IA con acceso a tus sistemas y si la IA amplía el pensamiento del estudiante o lo reemplaza.

Preguntas frecuentes

¿Puede un colegio usar datos de los estudiantes en una plataforma de IA?

Puede, si cumple la Ley 1581 de 2012: finalidad legítima, información y autorización de los representantes legales, prevalencia del interés superior del menor, medidas de seguridad y, para IA, los lineamientos de la Circular 002 de 2024 de la SIC. Hay datos que conviene no compartir con un proveedor externo.

¿Qué es un dato sensible y por qué importa?

Es aquel que afecta la intimidad o cuyo uso indebido puede generar discriminación (salud, datos biométricos, origen racial, entre otros). Su tratamiento exige condiciones más estrictas. En un colegio, los datos de discapacidad, diagnósticos y apoyos son el ejemplo más claro.

¿Qué pasa si una plataforma escolar sufre una filtración?

El responsable debe reportar el incidente según las reglas de la SIC (varias firmas indican un plazo de 15 días hábiles desde su detección; confirma el texto vigente) e informar a los afectados. Por eso conviene un plan de respuesta antes de que ocurra.

¿Se puede personalizar el aprendizaje sin recolectar tantos datos?

Sí. Muchas personalizaciones útiles (ejercicios de distintos niveles, retroalimentación, rutas de refuerzo) funcionan con datos mínimos o anonimizados. Más datos no siempre significa mejor aprendizaje.

¿Qué le pregunto al colegio como padre o madre?

Qué plataformas usan, qué datos de mi hijo recogen, para qué, quién tiene acceso, dónde se almacenan, por cuánto tiempo y cómo puedo corregirlos o pedir que se borren.

Revisa tu política esta semana. Aplica los diez criterios a una plataforma que uses en tu colegio y pregunta: ¿tenemos una política escrita de privacidad y uso de IA? Si no, propón una en el consejo académico. Y si trabajas con planes de ajustes razonables, protege los datos con el PIAR con IA usando iniciales.

Para pensar

Un niño no puede decidir si quiere que el colegio guarde cada error que comete en una plataforma que lo acompañará durante años. Si la personalización requiere vigilar de cerca a los estudiantes, ¿el aprendizaje que ganamos justifica la privacidad que les quitamos, y quién debería tener la última palabra: el colegio, las familias o los propios estudiantes cuando crezcan y lean su expediente?

Más guías en IA y tecnología para docentes