¿Lo pueden despedir por usar su laptop personal?

“Muchos creen que trabajar desde su computador personal es una elección. Jurídicamente, en ciertos casos, puede no serlo.”

Una nota reciente de Asuntos Legales puso sobre la mesa una pregunta que hasta hace pocos años habría sonado extravagante: ¿puede un empleador exigir el uso exclusivo de equipos corporativos y, en caso de negativa, iniciar un proceso disciplinario que termine en despido con justa causa? La respuesta corta, según la publicación, es que sí —pero la respuesta larga es donde empieza el problema.

La nota se apoya en disposiciones identificables del Código Sustantivo del Trabajo: el artículo 23 (facultad subordinante del empleador), el artículo 58 (deber del trabajador de cumplir órdenes e instrucciones) y el artículo 28 (riesgos y responsabilidades del empleador frente a la actividad económica). Sobre ese trípode normativo construye la tesis de que la orden de usar equipos corporativos sería una instrucción válida cuyo incumplimiento podría activar el régimen disciplinario.

Hasta ahí, la lectura es correcta —pero incompleta. La sola invocación del CST no reemplaza el debido proceso disciplinario, ni convierte automáticamente cualquier negativa en causal de despido. Y, sobre todo, deja por fuera el debate que de verdad va a definir esta discusión en los próximos años.

El debate oculto: no es el computador, es la gobernanza de los datos

La noticia aborda el equipo corporativo como un asunto de disciplina laboral. Pero el trasfondo real es otro: quién controla la información, los accesos y la seguridad digital de la organización.

Esa discusión ya no se resuelve con un computador. Cuando un trabajador usa su laptop personal para laborar —el esquema conocido como BYOD, Bring Your Own Device— ocurren simultáneamente varias cosas que el CST no previó:

• Documentos empresariales terminan almacenados en discos privados que la empresa no audita.
• Accesos a plataformas corporativas se ejecutan desde dispositivos sin antivirus corporativo, sin VPN ni certificados de seguridad.
• Sesiones abiertas persisten tras la desvinculación del trabajador.
• La empresa pierde trazabilidad sobre quién vio qué, cuándo y desde dónde.

El dato de Kaspersky que cita la nota —“para el 72% de las empresas la tendencia BYOD es inevitable y representa una amenaza”— no es retórica. Es el reconocimiento de que el perímetro de seguridad de una organización ya no es la oficina: es cada dispositivo desde el que un trabajador toca información sensible.

BYOD + inteligencia artificial: la zona gris que nadie está regulando

El punto donde esta discusión se vuelve realmente compleja es la convergencia entre dispositivos personales y herramientas de inteligencia artificial generativa.

Considere el escenario típico: un empleado procesa datos de clientes —o, en un despacho jurídico, información de un expediente— pegándolos en un asistente de IA desde su computador personal, sin que la empresa lo haya autorizado, sin que exista política BYOD adoptada y sin que haya trazabilidad de qué información salió de la organización. ¿Quién responde si esos datos terminan entrenando un modelo de terceros?

La respuesta hoy es incierta porque la regulación colombiana de protección de datos —la Ley 1581 de 2012— fue diseñada para un mundo donde la información se movía entre servidores y correos, no entre modelos de lenguaje. Pero los principios que esa ley consagra sí aplican: el responsable del tratamiento sigue siendo la empresa, y la obligación de garantizar la seguridad de los datos personales no desaparece porque el trabajador haya usado su propio equipo.

Ley 1581 de 2012: por qué endurece la decisión empresarial

La nota original cita la Ley 1581 de pasada, pero no extrae su consecuencia más relevante: es precisamente la normativa de protección de datos lo que le da fuerza jurídica a la orden de usar equipos corporativos.

El razonamiento es directo. La Ley 1581 impone al responsable del tratamiento —típicamente la empresa— el deber de adoptar las medidas técnicas, humanas y administrativas necesarias para proteger los datos personales. Si la empresa permite que la información transite por dispositivos que no controla, está debilitando su propia cadena de custodia y exponiéndose a una sanción de la Superintendencia de Industria y Comercio.

En ese marco, exigir equipos corporativos con VPN, antivirus y licencias monitoreadas deja de ser un capricho del área de TI y se convierte en una medida de cumplimiento. La orden del empleador, entonces, encuentra justificación no solo en el poder de dirección del artículo 58 del CST, sino en una obligación legal expresa de proteger datos.

Eso no significa que cualquier orden sea válida. Significa que una orden razonable, documentada y respaldada por una política interna adoptada tiene un sustento jurídico considerablemente más sólido del que la noticia sugiere.

¿Cuándo la orden es legítima y cuándo es desproporcionada?

Aquí es donde la lectura apresurada puede llevar a políticas internas demasiado agresivas. La orden de usar equipos corporativos no opera en el vacío: debe pasar un test mínimo de razonabilidad que, en la práctica litigiosa, se construye con tres elementos:

1. Justificación objetiva. La medida debe responder a una necesidad real de seguridad de la información o de cumplimiento normativo, no a una preferencia administrativa.
2. Proporcionalidad. La restricción al trabajador debe ser adecuada al fin perseguido. Exigir equipo corporativo a quien maneja datos sensibles es proporcional; exigirlo a quien solo consulta una agenda interna puede no serlo.
3. Política adoptada y comunicada. No basta con invocar el CST. La instrucción debe estar respaldada por una política interna debidamente adoptada, comunicada al trabajador y, idealmente, aceptada en el contrato o en un anexo. Sin ese soporte documental, la “falta disciplinaria” es difícil de sostener ante un juez laboral.

Adicionalmente, hay un punto que la noticia no menciona y que suele ser el centro del litigio: el empleador debe entregar el equipo. No puede sancionar al trabajador por no usar un medio que él mismo está obligado a proveer. El deterioro normal o desgaste operativo del equipo, tampoco es asumible por el trabajador.

Lo que viene

Tres frentes van a seguir endureciendo esta discusión en los próximos meses:

1. Regulación de IA en Colombia. Los lineamientos que se discuten sobre uso responsable de inteligencia artificial van a presionar a las empresas a restringir qué herramientas puede usar un trabajador y desde qué dispositivos.
2. Endurecimiento de la SIC en materia de seguridad de la información. Las circulares y actuaciones recientes sugieren que el estándar de diligencia esperado en protección de datos sigue subiendo.
3. Normalización del trabajo híbrido. A medida que el híbrido deja de ser excepción y se vuelve regla, la frontera entre dispositivo personal y dispositivo corporativo se vuelve más difusa —y más litigiosa.

Conclusión: la pregunta que la noticia no responde

La pregunta que queda abierta, y que va a definir el contorno de esta discusión en los próximos años, no es si la empresa puede exigir el equipo corporativo. La pregunta es otra: ¿podrá una empresa seguir permitiendo el uso de computadores personales cuando el trabajador procesa información sensible mediante herramientas de inteligencia artificial?

La respuesta, hoy, depende de qué tan sólida sea la política interna de cada organización y de qué tan documentada esté la cadena de custodia. El abogado que asesore empresas en esta materia no debería estar pensando solo en el artículo 58 del CST: debería estar pensando en la convergencia entre poder de dirección, protección de datos y evidencia digital —porque ahí es donde se va a discutir el próximo despido con justa causa.

Si le interesa la herramienta con la que IureMind ayuda a los abogados a no perder términos procesales y a mantener el control de sus expedientes digitales, puede conocerla aquí.