La inteligencia artificial (IA) dejó de ser una promesa de laboratorio para convertirse en una herramienta cotidiana de la actividad empresarial: filtra currículos, evalúa riesgo crediticio, atiende clientes, detecta fraudes y optimiza procesos productivos. En el Perú, ese despliegue ya no ocurre en un vacío legal. La Ley N.° 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país (publicada el 5 de julio de 2023; en adelante, la Ley), y sobre todo su Reglamento, aprobado por el Decreto Supremo N.° 115-2025-PCM (publicado el 9 de septiembre de 2025; en adelante, el Reglamento), fijan un marco de principios, obligaciones y prohibiciones que alcanza de lleno a las empresas —no solo a las entidades públicas— que desarrollan, implementan o usan sistemas basados en IA en el territorio nacional.
Este artículo está dirigido a empresas. Reconstruye primero, con fuentes, cómo se llegó a esta regulación; luego explica la Ley y el Reglamento con rigor: el ámbito de aplicación, los roles de desarrollador e implementador, el enfoque basado en riesgos (usos prohibidos y de alto riesgo), las obligaciones concretas del sector privado, la transparencia algorítmica, el régimen de supervisión y sanción —que no es autónomo— y el cronograma escalonado de entrada en vigor. Al final, una hoja de ruta de cumplimiento.
Cómo llegamos hasta aquí: breve historia de la regulación
La regulación peruana de la IA no nació de la nada: es el último eslabón de una política de transformación digital que el Estado venía construyendo desde 2018, empujada además por un consenso internacional sobre la necesidad de gobernar esta tecnología. La propia exposición de motivos del Reglamento reconstruye ese camino, que puede resumirse así:
> 2300 aportes ciudadanos
¿Por qué reglamentar? La motivación oficial combina oportunidad económica y un déficit de garantías. Del lado del potencial, PricewaterhouseCoopers estima que la IA podría aportar hasta un 14 % del PBI global al 2030, y el estudio de CIPPEC proyecta que una adopción acelerada elevaría el crecimiento anual del PBI peruano hasta el 6 %. Del lado del riesgo, el diagnóstico es severo: según el Global Index on Responsible AI (GIRAI) 2024, el Perú obtuvo apenas 10,99 sobre 100 en el componente «Derechos Humanos e Inteligencia Artificial», ubicándose noveno en América Latina, por debajo de Uruguay, Brasil, Chile y México. A ello se suman incidentes concretos ya ocurridos en el país —clonación de voz con IA para estafas (121 casos denunciados en 2024), manipulación de rostros, uso de reconocimiento facial por gobiernos locales y la primera sentencia judicial asistida por IA— documentados en la propia exposición de motivos. El Estado concluyó que la Ley, por sí sola, «no establece medidas o acciones concretas» para proteger derechos: esa es, literalmente, la función del Reglamento.
En cuanto al modelo, el Perú no improvisó. La exposición de motivos declara haber revisado el Reglamento de IA de la Unión Europea (AI Act), la Recomendación del Consejo sobre IA de la OCDE (2019), la Recomendación de la UNESCO y las normas de China, Corea del Sur, Canadá (AIDA) y Brasil (PL 2338/2023). De ese contraste nace la pieza central del esquema peruano: un enfoque basado en riesgos, heredero directo del modelo europeo.
La Ley 31814: una norma promotora, no restrictiva
Conviene entender qué es —y qué no es— la Ley. Es una ley breve y de fomento. El artículo 1 de la Ley fija como objeto «promover el uso de la inteligencia artificial en el marco del proceso nacional de transformación digital privilegiando a la persona y el respeto de los derechos humanos». El Título Preliminar de la Ley enuncia principios (estándares de seguridad basados en riesgos, pluralidad de participantes, gobernanza de internet, sociedad digital, desarrollo ético y privacidad), y su artículo 4 designa a la PCM, a través de la SGTD, como autoridad técnico-normativa nacional en la materia. La Ley, en rigor, no crea obligaciones ni prohibiciones para los privados: se limita a promover y a habilitar. Todo el andamiaje concreto —quién debe hacer qué— vive en el Reglamento.
El Reglamento y su ámbito: a quién obliga
El Reglamento se estructura en seis títulos: disposiciones generales, gobernanza, formación de capacidades, financiamiento e incentivos, gestión de riesgos y transparencia, y obligaciones específicas. Para una empresa, el dato de partida es el artículo 3 del Reglamento: se aplica no solo a las entidades de la Administración Pública y a las empresas del Estado bajo FONAFE, sino también a las organizaciones del sector privado, la sociedad civil, la ciudadanía y la academia que integran el Sistema Nacional de Transformación Digital. Solo se excluyen (art. 4 del Reglamento) el uso de IA para fines estrictamente personales y el uso para defensa y seguridad nacional —y este último debe respetar igualmente los principios de protección de derechos, no discriminación, seguridad, proporcionalidad y rendición de cuentas.
El Reglamento organiza a los actores en tres roles cuya distinción determina las obligaciones aplicables (art. 6 del Reglamento). Una misma empresa puede asumir varios a la vez —por ejemplo, un banco que entrena y a la vez despliega su propio modelo de scoring es desarrollador e implementador simultáneamente.
Desarrollador
Diseña, programa o entrena el sistema de IA
Implementador
Integra o despliega el sistema en un proceso productivo u operativo
Usuario
Persona natural que interactúa con el sistema ya desplegado
El corazón del sistema: el enfoque basado en riesgos
El Título V del Reglamento clasifica todo sistema de IA según el riesgo que genera para los derechos fundamentales y el bienestar de las personas (art. 22 del Reglamento). Esa clasificación no es decorativa: define qué está prohibido, qué exige salvaguardas reforzadas y qué queda libre de cargas. La lógica subyacente es la del principio rector de «estándares de seguridad basados en riesgos» (art. 7 del Reglamento), que mide el riesgo como el producto de la probabilidad de ocurrencia de una amenaza por su impacto:
P probabilidad de ocurrencia
I impacto sobre derechos y bienestar
¿Cómo se lee? A mayor probabilidad de que el sistema falle o se use indebidamente, y a mayor gravedad del daño que ello causaría, más alto es el riesgo y más estrictas las salvaguardas exigibles. Cuando el impacto es irreversible sobre derechos fundamentales, la ponderación se vuelve absoluta y el uso se prohíbe. Sobre esa base, el Reglamento define tres categorías:
Lo que ninguna empresa puede hacer: usos prohibidos
El artículo 23 del Reglamento enumera los usos «indebidos», vedados por generar daños que —según la exposición de motivos— no podrían mitigarse ni con transparencia ni con supervisión, por lo que la única medida proporcional es la prohibición total. Para una empresa, cruzar esta línea no es una infracción menor: es un acto contrario a derecho que puede activar responsabilidades penales, de protección de datos o de consumo.
Cada prohibición se sostiene en casos reales citados por el regulador: el escándalo Cambridge Analytica para la manipulación, el reconocimiento facial usado contra minorías en China o Etiopía para la vigilancia, o el algoritmo COMPAS —que en el condado de Broward (EE. UU.) marcaba a acusados afroamericanos como de «alto riesgo» de reincidencia al doble de tasa que a los caucásicos— para la predicción delictiva. Toda empresa puede consultar a la SGTD si duda de si su sistema encaja en alguno de estos supuestos (art. 23.3 del Reglamento).
Donde caen la mayoría de las empresas: los usos de alto riesgo
Aquí está la categoría que más importa al sector privado, porque abarca funciones empresariales habituales. El artículo 24 del Reglamento lista los usos de «alto riesgo»: no están prohibidos, pero exigen salvaguardas —supervisión humana efectiva, trazabilidad, gestión de riesgos y, cuando impactan derechos, explicabilidad—. La medida se justifica, según el regulador, con el test de proporcionalidad: son medidas idóneas y necesarias que permiten la innovación sin sacrificar derechos.
Dos precisiones de rigor que las empresas suelen pasar por alto. Primera: el scoring crediticio es de alto riesgo, pero usar IA para detectar fraude no lo es —la norma pondera ese beneficio. Segunda, y más importante: en un proceso de reclutamiento, si la IA solo asiste y la decisión de selección la toma finalmente un profesional de recursos humanos, la exigencia central se cumple; lo que la norma no tolera es que el sistema decida por sí solo sobre derechos de las personas. La frontera relevante es la que separa apoyar una decisión de tomarla.
Obligaciones concretas del sector privado
El Capítulo II del Título VI del Reglamento (arts. 31 a 33) traduce todo lo anterior en deberes exigibles a desarrolladores e implementadores privados. En los sistemas de alto riesgo, las obligaciones son:
Conservación: 3 años
Transparencia algorítmica: el deber de avisar y explicar
El artículo 25 del Reglamento impone, en los sistemas de alto riesgo, garantizar la transparencia algorítmica: informar al usuario de forma previa, clara y sencilla que interactúa con IA —mediante etiquetado visible— y, cuando el sistema tome decisiones que afecten derechos humanos, explicar sus resultados en lenguaje accesible, respetando el secreto industrial y comercial. La exposición de motivos ilustra la distinción con un ejemplo útil: si un banco rechaza una solicitud crediticia de forma automatizada, ese resultado —tomado por la máquina— debe poder explicarse al afectado para que pueda cuestionarlo o pedir su corrección. A ello se suma el artículo 26 del Reglamento: todo tratamiento de datos personales en el ciclo de vida de la IA debe cumplir la Ley N.° 29733, Ley de Protección de Datos Personales (en adelante, la LPDP), y su reglamento (D.S. N.° 016-2024-JUS), bajo la autoridad de la ANPDP del Ministerio de Justicia.
Supervisión y sanción: un régimen que se apoya en otros
Aquí reside una de las claves de rigor de este marco, y una que las empresas deben comprender bien: el Reglamento no crea un régimen sancionador propio. La SGTD conserva un rol técnico-normativo y de supervisión, pero carece de potestad de multa autónoma. Cuando detecta incumplimientos, canaliza la responsabilidad hacia las autoridades que sí pueden sancionar.
SGTD (PCM)
Supervisa y monitorea · art. 34-35
Autoridad competente
ANPDP · INDECOPI · DIVINDAT
Régimen sancionador existente
Datos personales, consumo, penal
En concreto (arts. 34 a 36 del Reglamento): si el incumplimiento proviene de un funcionario público, la SGTD reporta a la Contraloría General de la República; si advierte una vulneración a la propiedad intelectual, a los datos personales o a otros derechos, comunica a la autoridad competente para la fiscalización y sanción correspondientes. Para el sector privado, esto significa que las «consecuencias» reales llegan por vías ya conocidas: el régimen sancionador de la LPDP en materia de datos personales (con multas que el propio análisis regulatorio ubica entre 0,5 y 100 UIT), la protección al consumidor y la competencia ante el INDECOPI, o la persecución penal de los delitos informáticos ante la DIVINDAT de la Policía. Además, el artículo 36 del Reglamento habilita un canal ciudadano de alertas y denuncias en la Plataforma Digital Única del Estado (gob.pe/iaperu). El mensaje para una empresa es doble: el Reglamento sube el estándar de conducta, pero los dientes vienen de regímenes preexistentes.
El cronograma: cuándo te obliga a ti
La entrada en vigor es escalonada, y este es el dato operativo que define la urgencia de cada empresa. El Reglamento, con carácter general, entró en vigor 90 días hábiles después de su publicación (aproximadamente a mediados de enero de 2026). Pero las obligaciones más exigentes —la transparencia algorítmica del artículo 25 y todo el Capítulo II del Título VI del Reglamento— se implementan gradualmente por sector y por tamaño de empresa, contados desde el día siguiente de la publicación del Decreto Supremo (10 de septiembre de 2025):
Para las empresas de menor tamaño el plazo se relaja por tamaño en lugar de por sector: las pequeñas empresas (ventas anuales superiores a 150 y hasta 1700 UIT) cuentan con 2 años, y las microempresas (hasta 150 UIT) con 3 años, para adecuarse al artículo 25 y al Capítulo II del Título VI del Reglamento. Conviene advertir que buena parte del detalle técnico aún está pendiente: la SGTD debe aprobar por Resolución Secretarial los lineamientos éticos (en 180 días hábiles), los lineamientos de transparencia algorítmica y la guía de evaluación de impacto de riesgo alto, además de la Estrategia Nacional de Inteligencia Artificial al 2030. El marco existe; su reglamentación fina todavía se está escribiendo.
Una mirada desde la técnica jurídica
El Reglamento plantea una cuestión clásica del Derecho Administrativo: ¿puede un reglamento imponer obligaciones y prohibiciones a los privados cuando la ley que desarrolla es meramente promotora? El regulador lo defiende invocando la potestad reglamentaria del Poder Ejecutivo (art. 118.8 de la Constitución) y la doctrina del Tribunal Constitucional sobre los reglamentos secundum legem —de ejecución— que «complementan y desarrollan la ley que los justifica» sin transgredirla ni desnaturalizarla (Exp. N.° 1907-2003-AA/TC). El argumento es que el objeto expreso de la Ley —«privilegiando a la persona y el respeto de los derechos humanos»— habilita medidas concretas de protección; excluir al sector privado, se sostiene, crearía un vacío incompatible con la dignidad humana. Es un punto discutible: al alcanzar a los privados y crear prohibiciones no previstas literalmente en la ley, el Reglamento se mueve en el límite entre desarrollar y adicionar. La ausencia de un régimen sancionador propio —que remite a la LPDP y a las competencias del INDECOPI— es, en parte, una respuesta a esa tensión de reserva de ley.
Qué debe hacer una empresa hoy: hoja de ruta
Más allá del debate, el cumplimiento es exigible y conviene abordarlo con método. Una hoja de ruta razonable:
Conclusión
El Perú pasó, en poco más de dos años, de una ley declarativa que se limitaba a «promover» la IA a un reglamento operativo que la gobierna con un enfoque basado en riesgos importado del modelo europeo. Para las empresas, la Ley y el Reglamento no son un obstáculo a la innovación, sino un marco de seguridad jurídica: distinguen lo prohibido de lo permitido con salvaguardas, y ofrecen un cronograma para adecuarse. El desafío no es esperar a que los plazos venzan, sino tratar la IA como se trata cualquier proceso de alto impacto: con gobernanza, trazabilidad y supervisión humana. La regulación, al final, no penaliza usar IA; penaliza usarla sin responder por ella.
¿Te resultó útil este análisis o buscas asesoría en la materia?
Acompaño a empresas y entidades en cumplimiento normativo, derecho administrativo y adopción responsable de tecnología. Conversemos sobre tu caso.
Fuentes
- Ley N.° 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país (El Peruano, 5 de julio de 2023): Título Preliminar, arts. 1, 2, 3, 4, 5 y Disposición Complementaria Final única.
- Decreto Supremo N.° 115-2025-PCM, que aprueba el Reglamento de la Ley N.° 31814 (El Peruano, 9 de septiembre de 2025): arts. 3, 4, 6, 7, 22, 23, 24, 25, 26, 27, 31, 32, 33, 34, 35 y 36; y Primera Disposición Complementaria Final (cronograma de implementación).
- Exposición de Motivos del Decreto Supremo N.° 115-2025-PCM (PCM–SGTD): antecedentes normativos, diagnóstico del problema público, análisis de proporcionalidad de los usos prohibidos y de alto riesgo, y legislación comparada.
- Decreto Legislativo N.° 1412, Ley de Gobierno Digital; Decreto de Urgencia N.° 006-2020 (SNTD) y su Reglamento (D.S. N.° 157-2021-PCM); Decreto de Urgencia N.° 007-2020 (Marco de Confianza Digital).
- Ley N.° 29733, Ley de Protección de Datos Personales (LPDP), y su Reglamento (D.S. N.° 016-2024-JUS); Autoridad Nacional de Protección de Datos Personales (MINJUSDH).
- Tribunal Constitucional: Exp. N.° 1907-2003-AA/TC (potestad reglamentaria y reglamentos secundum legem) y Exp. N.° 1692-2018-AA/TC (funciones supervisora y fiscalizadora).
- Referentes internacionales citados por el regulador: Reglamento de IA de la Unión Europea (AI Act); Recomendación del Consejo sobre IA de la OCDE (2019); Recomendación sobre la Ética de la IA de la UNESCO (2021); GIRAI 2024; Índice Latinoamericano de IA (ILIA 2024).
- Imagen de cabecera: «BalticServers data center», por BalticServers.com (Wikimedia Commons, CC BY-SA 3.0).
El presente artículo tiene fines informativos y académicos; no constituye asesoría legal. La normativa citada está vigente a julio de 2026; parte de su desarrollo reglamentario (lineamientos de la SGTD) se encontraba pendiente de aprobación a esa fecha.
