La ley de IA ya no es un tema futuro
Desde el 10 de septiembre de 2026, las empresas que desarrollan o usan sistemas de inteligencia artificial en salud, educación, justicia, seguridad, economía y finanzas deben cumplir obligaciones específicas del reglamento de la Ley 31814 (El Peruano). La ley se publicó en julio de 2023; con su reglamento, Perú pasó de tener principios generales a tener obligaciones con fecha.
Aquí conviene separar dos ideas. Cumplir la ley es lo mínimo que exige el Estado. Gobernar la IA es algo más amplio: saber qué sistemas de IA usa la empresa, para qué, con qué datos, quién responde por cada uno y cómo se corrige cuando falla. Una empresa con buena gobernanza cumple la ley casi por consecuencia; una que solo busca cumplir suele llegar tarde y con parches.
Qué exige el reglamento
El reglamento clasifica los sistemas de IA según su riesgo y exige más controles a los que pueden afectar la vida, la seguridad, la libertad, la dignidad o los derechos fundamentales de las personas.
| Obligación | A quién aplica | Qué significa en la práctica |
|---|---|---|
| Rendición de cuentas, supervisión humana y transparencia | Todas las organizaciones, públicas y privadas; ya vigentes | Principios generales que cualquier uso de IA debe respetar desde ahora |
| Informar al usuario | Sectores con plazo vencido | Explicar de forma clara para qué sirve el sistema, qué hace y qué decisiones automatizadas puede tomar |
| Etiquetar lo generado con IA | Sectores con plazo vencido | Que se note cuando un contenido, servicio o producto lo genera u opera una IA; por ejemplo, avisar que el cliente habla con un chatbot |
| Supervisión humana efectiva | Sistemas de alto riesgo | Personal capaz de detener, corregir o invalidar una decisión automatizada |
| Registro del sistema | Sistemas de alto riesgo | Mantener actualizado cómo funciona, qué datos usa, cuál es su lógica y qué impactos se esperan |
| Políticas y protocolos | Sistemas de alto riesgo | Procedimientos escritos de seguridad, privacidad, explicabilidad y responsabilidad |
El reglamento también señala usos indebidos, como la manipulación con técnicas engañosas, la vigilancia masiva sin base legal y ciertos usos de datos biométricos.
El calendario es progresivo. Las obligaciones específicas llegan por sector, contadas desde la publicación del reglamento en septiembre de 2025 (Infomercado):
- Un año (septiembre de 2026): los tres poderes del Estado y los sectores de salud, educación, justicia, seguridad, economía y finanzas.
- Dos años (hacia septiembre de 2027): transporte, comercio y trabajo.
- Tres años (hacia septiembre de 2028): producción, agricultura, energía y minería.
- Cuatro años (hacia septiembre de 2029): todos los demás usos.
Las micro y pequeñas empresas tienen plazos diferenciados. Que el plazo de un sector no haya vencido no significa que pueda esperar: los principios generales ya rigen para todos, y adecuar un sistema de alto riesgo toma meses.
Qué pasa si no se cumple
El reglamento no crea un régimen propio de multas, pero eso no significa que incumplirlo no tenga consecuencias. Las sanciones llegan por las normas que ya existían:
- Protección de datos personales: si el sistema de IA trata mal datos personales, la Autoridad Nacional de Protección de Datos Personales puede multar hasta 100 UIT bajo la Ley 29733.
- Consumidores: si el uso de IA perjudica a los clientes, el caso puede ir a Indecopi.
- Sector público: los incumplimientos de entidades del Estado pueden derivarse a la Contraloría.
- Penal: la Ley 32314, de abril de 2025, convirtió el uso de IA en agravante de delitos como la difamación con deepfakes o el fraude por suplantación de identidad.
Además, cualquier persona puede denunciar un uso indebido de IA por parte de una empresa a través del canal digital de la Presidencia del Consejo de Ministros, que deriva las alertas a la autoridad que corresponda.
El propio marco tiene un vacío: la Secretaría de Gobierno y Transformación Digital, que lidera la regulación, no tiene potestad sancionadora general. Para las empresas, eso no reduce el riesgo; lo vuelve menos predecible, porque una misma falla puede terminar en una autoridad u otra según a quién afecte.
Un caso que toca a muchas empresas: la IA en reclutamiento
El reglamento considera de alto riesgo los sistemas que se usan para seleccionar, evaluar, contratar o despedir a trabajadores y postulantes. Es una categoría que alcanza a muchas más empresas de las que creen estar “usando IA”: un filtro automático de CV, un puntaje de compatibilidad con la vacante o un chatbot que hace la primera entrevista entran en ella.
Para estos sistemas, el reglamento pide tres cosas concretas:
- Que no sea una caja negra. Hay que poder explicar qué criterios usa la herramienta para ordenar o descartar candidatos.
- Que se puedan detectar sesgos. Si el sistema penaliza sin querer a un grupo de postulantes, la empresa tiene que poder notarlo y corregirlo.
- Que una persona tenga la última palabra en las decisiones que afectan a alguien, con capacidad real de revisar y cambiar lo que propuso el sistema.
En el calendario, el sector trabajo tiene plazo de dos años, hacia septiembre de 2027. Pero los principios de supervisión humana y transparencia ya rigen, y los datos de los postulantes están protegidos hoy por la Ley 29733. Una empresa que use IA para reclutar hace bien en empezar ahora: inventariar sus herramientas, preguntar a sus proveedores cómo funcionan y documentar quién revisa cada decisión.
Gobernanza en la práctica: por dónde empezar
Un programa de gobernanza de IA no empieza con un comité ni con un documento de cincuenta páginas. Empieza con preguntas concretas:
- Inventario. ¿Qué herramientas de IA usa la empresa hoy, incluidas las que cada área contrató por su cuenta?
- Clasificación. ¿Cuáles toman o influyen en decisiones sobre personas (clientes, postulantes, trabajadores)? Esas son las candidatas a alto riesgo.
- Responsables. ¿Quién responde por cada sistema? Cada uno necesita un dueño con nombre y apellido.
- Supervisión. ¿En qué punto revisa una persona, y puede realmente detener o corregir la decisión?
- Datos y proveedores. ¿Qué datos recibe cada sistema, dónde se procesan y qué garantiza el proveedor? Aquí se cruza con la discusión sobre IA soberana de la entrada anterior.
- Registro. ¿Queda constancia de qué hizo el sistema, con qué datos y quién lo aprobó?
El último punto conecta con la primera entrada de este blog. Un sistema de agentes bien diseñado deja por defecto el tipo de evidencia que la ley pide para los sistemas de alto riesgo: qué hizo cada agente, qué decisiones tomó y por qué, qué revisó una persona y un registro que no se puede alterar sin que se note. La trazabilidad no se agrega al final para cumplir; se diseña desde el principio, y entonces cumplir cuesta mucho menos.
Este artículo es informativo y no reemplaza la asesoría legal. Para evaluar las obligaciones de un caso concreto, conviene consultar con un especialista en regulación digital.
Escríbenos si quieres revisar cómo se aplica la ley a los sistemas de IA de tu empresa.