World ID y biometría: el límite que Colombia decidió
- hace 1 día
- 6 min de lectura
Autor
María Fernanda Montañez Salazar*
Resumen
Este artículo analiza si World ID podría operar en Colombia sin vulnerar la protección de los datos biométricos, a partir del caso de un conjunto residencial sancionado por la SIC y el posterior cierre definitivo de World en el país. Se sostiene que estos precedentes son un avance, pero insuficiente sin una ley específica.
Palabras clave
World ID, datos biométricos, habeas data, consentimiento, privacidad.
Desarrollo del artículo
Con el avance de la inteligencia artificial, verificar que quien está detrás de una pantalla es efectivamente una persona y no un bot se ha convertido en un desafío creciente para las plataformas digitales. World ID, desarrollado por Tools for Humanity, propone resolver esto mediante un sistema que confirma que su titular es un humano único, usando un dispositivo llamado Orb que fotografía el rostro y los ojos, procesa esas imágenes y genera un código a partir del iris (World, 2026).
El propósito puede ser legítimo, como reducir fraudes y suplantaciones. Sin embargo, la exigencia detrás de ese objetivo resulta problemática: la persona debe entregar un rasgo biométrico que, a diferencia de una contraseña, no puede cambiar ni recuperar si es comprometido o mal utilizado. Esto plantea un interrogante pertinente para Colombia: ¿podría un sistema como World ID operar en el país sin entrar en tensión con las reglas que protegen los datos biométricos?
Para resolver esto conviene examinar cómo el derecho colombiano ha empezado a regular la biometría en escenarios más cotidianos. El artículo 15 de la Constitución reconoce el derecho de toda persona a conocer, actualizar y rectificar la información recogida sobre ella en bancos de datos, y establece que en la recolección, tratamiento y circulación de datos deben respetarse la libertad y las demás garantías constitucionales (Constitución, 1991).
La Ley 1581 de 2012 no trata los datos biométricos como un dato personal ordinario; en la misma, el artículo 5° los clasifica como datos sensibles, categoría con protección reforzada porque su uso indebido puede comprometer la intimidad de las personas, y a su vez, el artículo 6° establece que, como regla general, su tratamiento está prohibido, salvo ciertas excepciones, entre ellas la autorización explícita del titular (Congreso de la República de Colombia, 2012).
El consentimiento no puede reducirse a un trámite formal capaz de justificar cualquier tratamiento. La norma exige respetar principios como la libertad para decidir, la limitación del uso a la finalidad informada y la seguridad en el manejo del dato. Tratándose de información sensible, quien pretende utilizarla enfrenta una carga de justificación mayor.
Una contraseña comprometida puede cambiarse; un rasgo biométrico, no. Por eso la discusión no debería limitarse a si una empresa conserva o elimina una fotografía, sino a si su recolección era realmente necesaria y si existían medios menos invasivos para lograr el mismo fin.
Esta discusión dejó de ser teórica con la Resolución 52185 de 2025. La Superintendencia de Industria y Comercio examinó el caso de un conjunto residencial en Bogotá que había implementado reconocimiento facial como medio de ingreso, y constató que algunos datos biométricos se habían tratado sin la autorización previa, expresa e informada que exige la ley, y que ciertos datos no habían sido suprimidos pese a la solicitud de sus titulares (SIC, 2025). También dispuso que el acceso no podía condicionarse a aceptar el tratamiento biométrico, y que debían habilitarse alternativas para quienes no quisieran autorizarlo (SIC, 2025).
De ahí se desprende un criterio central: que una finalidad sea legítima, como la seguridad, no vuelve automáticamente legítimo cualquier medio empleado para alcanzarla. Cuando existen alternativas menos invasivas, el responsable no puede convertir la entrega de información sensible en condición de acceso a un servicio. Esto no implica que la biometría esté prohibida de manera absoluta; la decisión fija un límite: el titular debe conservar la posibilidad de no someterse a ese tratamiento cuando no resulte indispensable.
World ID opera a una escala mayor que la de un conjunto residencial, pero el problema jurídico de fondo es análogo. Tools for Humanity sostiene que su arquitectura incorpora garantías de privacidad: el Orb captura las imágenes, genera el código del iris, anonimiza cierta información, la cifra y elimina los datos del dispositivo tras la verificación (Tools for Humanity, 2026). Aun así, persiste la pregunta de fondo: ¿Es necesario usar biometría para demostrar que alguien es humano, o existen alternativas igual de eficaces?
La experiencia comparada refuerza esta inquietud. En 2024, la Agencia Española de Protección de Datos ordenó, de forma cautelar, el cese de la recolección de datos por Worldcoin en España y el bloqueo de los ya recopilados, tras cuestionamientos sobre la información a los usuarios, datos de menores y la posibilidad de retirar el consentimiento (Agencia Española de Protección de Datos, 2024). Después, la autoridad de Baviera, en Alemania, ordenó eliminar los códigos de iris almacenados desde el inicio del proyecto (Agencia Española de Protección de Datos, 2024). Colombia no está obligada a replicar esas decisiones, pero sí evidencian que la sofisticación tecnológica no exime del análisis sobre necesidad, consentimiento, finalidad y proporcionalidad.
Con el precedente de la SIC, ese análisis puede proyectarse a una escala mayor, puesto que si esta autoridad consideró inaceptable exigir el rostro de una persona para ingresar a su propia vivienda, con mayor razón podría cuestionarse un sistema que aspira a convertirse en el estándar de verificación de identidad en internet.
Esto no significa que World ID esté prohibido en Colombia. Lo que sí implica es que, para operar legítimamente, tendría que demostrar que su tratamiento satisface la Ley 1581 de 2012 y que el uso de biometría es necesario y proporcional, y que los datos reciben protección adecuada. Si existe una forma de verificar la condición humana sin recurrir a datos biométricos, esa alternativa se convierte en un elemento central del análisis.
Colombia sí necesita una ley específica que regule la identidad digital y la biometría a gran escala, aunque eso no significa que hoy esté desprotegida frente a tecnologías como World ID. El artículo 15 de la Constitución, la Ley 1581 de 2012 y el criterio de la SIC en la Resolución 52185 de 2025 demuestran que el país ha dado pasos concretos hacia una protección más sólida de los datos personales. Pero esos precedentes responden a casos puntuales y de menor escala, no fueron pensados para sistemas globales de identidad digital. Por eso el legislador debería desarrollar un marco específico, con requisitos reforzados de necesidad y proporcionalidad, límites al tiempo de conservación del dato y supervisión previa antes de un despliegue masivo.
Frente a los datos biométricos, la autonomía del titular es un límite que la innovación no puede desconocer. Trasladado a la identidad digital, ese límite se vuelve aún más relevante: World ID podría no estar prohibido en Colombia, pero antes de operar tendría que demostrar que es necesario entregar un rasgo corporal irreversible para acreditar algo que podría probarse por medios menos invasivos.
El reto jurídico no es impedir la identificación digital, sino evitar que el cuerpo humano se convierta en una contraseña imposible de cambiar. Colombia no ha cerrado la puerta a la biometría; en cambio, ha puesto límites para proteger los derechos y asegurar que la tecnología avance bajo un marco jurídico que no llegue después de ella.
Referencias
Normas APA, 7.ª edición. Solo fuentes efectivamente citadas en el texto.
Agencia Española de Protección de Datos. (2024). La Agencia ordena una medida cautelar que impide a Worldcoin seguir tratando datos personales en España - AEPD. https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-agencia-ordena-medida-cautelar-que-impide-a-worldcoin-seguir-tratando-datos-personales-en-espana
Agencia Española de Protección de Datos. (2024). Worldcoin tendrá que eliminar todos los códigos de iris almacenados desde el inicio del proyecto AEPD. https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/worldcoin-tendra-que-eliminar-todos-los-codigos-de-iris
Congreso de la República de Colombia. (2012, 17 de octubre). Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. Diario Oficial. https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981
Constitución Política de Colombia [Const.] (1991). http://www.secretariasenado.gov.co/constitucion-politica
Datablog. (2026, 22 de junio). Trazabilidad, identidad digital y fraude: lo que exige la Ley 2573 de 2026. DataCrédito Experian. https://www.datacredito.com.co/blogs/datablog/trazabilidad-identidad-digital-y-fraude-lo-que-exige-la-ley-2573-de-2026/
Superintendencia de Industria y Comercio. (2025). La Superintendencia de Industria y Comercio ordena a un conjunto residencial habilitar mecanismos de ingreso que no impliquen el tratamiento de datos biométricos y suprimir los datos biométricos de residentes que así lo solicitan [Comunicado]. SIC. https://sedeelectronica.sic.gov.co/comunicado/la-superintendencia-de-industria-y-comercio-ordena-un-conjunto-residencial-habilitar-mecanismos-de-ingreso-que-no-impliquen-el-tratamiento
Tools for Humanity. (2026). Biometric data retention policy. Tools for Humanity. https://www.toolsforhumanity.com/legal/biometric-policy