IA en el Perú: la cuenta regresiva empresarial ante el 10 de septiembre de 2026

Por: SOSLEGAL Abogados
Enfoque: compliance empresarial, tecnología y protección de datos.

La regulación de la inteligencia artificial en el Perú entra en una etapa decisiva. El próximo 10 de septiembre de 2026 se cumple el primer plazo de adecuación establecido por el Reglamento de la Ley N.º 31814 para determinados desarrolladores e implementadores privados de sistemas de inteligencia artificial.

El plazo resulta particularmente relevante para las empresas que utilizan IA en los sectores de salud, educación, justicia, seguridad, economía y finanzas, pues deberán haber implementado las disposiciones sobre transparencia algorítmica y las obligaciones aplicables al sector privado previstas en el Reglamento.

Pero el impacto de la norma va mucho más allá de informar al usuario que está interactuando con inteligencia artificial. El nuevo marco regulatorio obliga a las organizaciones a revisar qué sistemas de IA utilizan, para qué los utilizan, qué riesgos generan, qué datos procesan, qué decisiones apoyan o adoptan y qué mecanismos de supervisión humana existen sobre sus resultados.

En consecuencia, el cumplimiento de la regulación peruana sobre IA empieza a convertirse en un nuevo componente del compliance empresarial y tecnológico.

1. ¿Cuál es el marco legal de la inteligencia artificial en el Perú?

El punto de partida es la Ley N.º 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, publicada el 5 de julio de 2023.

La Ley estableció un modelo regulatorio orientado a promover la IA dentro del proceso nacional de transformación digital, colocando a la persona y al respeto de los derechos humanos en el centro de su desarrollo y utilización.

Entre sus principios se encuentran el enfoque de seguridad basado en riesgos, la pluralidad de participantes, la gobernanza de Internet, el desarrollo de la sociedad digital, el desarrollo ético de una inteligencia artificial responsable y la protección de la privacidad.

Sin embargo, la regulación adquirió verdadera dimensión operativa con la publicación, el 9 de septiembre de 2025, del Decreto Supremo N.º 115-2025-PCM, que aprobó el Reglamento de la Ley N.º 31814.

El Reglamento contiene 36 artículos y seis disposiciones complementarias finales y establece reglas para el desarrollo, implementación y utilización de sistemas basados en inteligencia artificial tanto en el sector público como en determinadas organizaciones del sector privado.

La norma adopta expresamente un enfoque basado en derechos humanos y exige que la IA sea desarrollada y utilizada de manera segura, ética, sostenible, transparente, responsable e inclusiva.

2. ¿A quién alcanza el Reglamento?

El ámbito de aplicación comprende a las entidades públicas y empresas estatales, pero también a las organizaciones del sector privado, sociedad civil, ciudadanía y academia que integran el Sistema Nacional de Transformación Digital dentro del proceso nacional de transformación digital.

El Reglamento distingue, además, dos actores particularmente importantes:

Desarrollador: la persona natural, jurídica o entidad pública que diseña, programa o entrena un sistema basado en IA.

Implementador: la persona natural, jurídica o entidad pública que integra o despliega un sistema basado en IA dentro de un proceso productivo u operativo.

Esta segunda categoría merece especial atención empresarial.

Una organización no necesita haber creado su propio algoritmo para encontrarse dentro del ámbito regulatorio. Una empresa que incorpora una solución de terceros basada en IA a sus procesos de contratación, evaluación crediticia, atención médica, evaluación educativa o prestación de servicios puede asumir la condición de implementador.

Por ello, contratar tecnología de un proveedor externo no necesariamente traslada fuera de la empresa las obligaciones regulatorias asociadas a su utilización.

3. El Reglamento adopta un modelo basado en riesgos

Uno de los elementos centrales del nuevo régimen es la clasificación de los sistemas de IA según el riesgo generado por su utilización.

El artículo 22 distingue, esencialmente, tres categorías:

a) Uso indebido. Comprende sistemas utilizados de una forma capaz de producir impactos irreversibles, significativos y negativos sobre derechos fundamentales o el bienestar de las personas. Estos usos están prohibidos.

b) Riesgo alto. Comprende sistemas cuyo uso supone riesgos para la vida, dignidad, libertad, seguridad física u otros derechos fundamentales. Estos sistemas pueden utilizarse, pero quedan sujetos a condiciones y controles reforzados.

c) Riesgo aceptable. Comprende aquellos sistemas que no califican dentro de las categorías anteriores, sin perjuicio de que igualmente deben respetar la Ley y el Reglamento.

La consecuencia práctica es importante: no todas las aplicaciones de IA generan las mismas obligaciones ni requieren el mismo nivel de control.

El primer paso de cualquier programa corporativo de cumplimiento debería ser, por tanto, identificar los sistemas utilizados por la organización y clasificarlos según su nivel de riesgo.

4. ¿Qué usos de inteligencia artificial están prohibidos?

El artículo 23 establece determinados usos considerados indebidos y, por tanto, prohibidos.

Entre ellos se encuentran sistemas destinados a manipular de manera engañosa las decisiones de las personas aprovechando determinadas vulnerabilidades; sistemas con capacidad letal autónoma sin supervisión humana en el ámbito civil; determinados supuestos de vigilancia masiva; determinados tratamientos biométricos orientados a inferir información sensible; y sistemas destinados a predecir que una persona cometerá un delito basándose exclusivamente en perfiles o características de personalidad.

La regulación también establece restricciones importantes respecto de la identificación biométrica en tiempo real en espacios públicos, aunque contempla excepciones expresamente determinadas por la norma.

Para las empresas, esta clasificación implica que antes de discutir cómo implementar un sistema de IA debería existir una pregunta previa:

¿El uso que pretendemos darle está jurídicamente permitido?

5. ¿Cuándo estamos frente a un sistema de IA de alto riesgo?

El artículo 24 identifica una serie de aplicaciones especialmente sensibles.

Entre ellas se encuentran sistemas utilizados para gestionar infraestructura o activos críticos vinculados a servicios esenciales; determinados sistemas utilizados en educación respecto de niños, niñas y adolescentes; selección, evaluación, contratación y cese de trabajadores; acceso a programas sociales; evaluación crediticia; acceso a servicios de salud; y determinadas herramientas relacionadas con diagnóstico, tratamiento, priorización y evaluación de información médica.

También pueden ser considerados de alto riesgo otros usos que comprometan derechos fundamentales y presenten una elevada probabilidad de generar estigmatización, discriminación o sesgos, o una elevada complejidad para la supervisión humana.

Esto significa que herramientas empresariales aparentemente cotidianas pueden encontrarse dentro de esta categoría.

Un algoritmo que filtre currículums, una herramienta que asigne un score crediticio, un sistema que priorice pacientes o una solución que intervenga significativamente en determinadas decisiones educativas pueden requerir controles jurídicos y técnicos reforzados.

6. Transparencia algorítmica: una de las principales obligaciones

El artículo 25 constituye una de las disposiciones más importantes del Reglamento.

Cuando se utilicen sistemas de IA de riesgo alto, el desarrollador o implementador debe establecer mecanismos que permitan informar previamente al usuario, de manera clara y sencilla, sobre:

• la finalidad o uso del sistema;
• sus principales funcionalidades; y
• el tipo de decisiones que puede adoptar.

Cuando resulte relevante para la interacción o la toma de decisiones, podrán utilizarse mecanismos de etiquetado que permitan al usuario conocer que un producto, servicio o contenido opera mediante inteligencia artificial.

Pero la obligación es todavía más intensa cuando las decisiones afectan derechos humanos.

En esos casos, debe garantizarse que las personas afectadas puedan comprender los criterios y factores clave utilizados en la decisión automatizada, mediante explicaciones formuladas en lenguaje accesible.

La transparencia algorítmica, por tanto, no debe entenderse como un simple aviso del tipo “este servicio utiliza inteligencia artificial”.

Dependiendo del sistema y de su impacto, será necesario proporcionar información suficiente para que el usuario comprenda la intervención de la IA y, especialmente, las razones relevantes detrás de determinadas decisiones.

7. La supervisión humana se convierte en una obligación empresarial

El artículo 31 establece obligaciones específicas para desarrolladores e implementadores privados.

En sistemas de alto riesgo deberán mantener registros actualizados y accesibles sobre aspectos como el funcionamiento del sistema, las fuentes de datos, la lógica del algoritmo y sus impactos sociales y éticos esperados.

Las empresas deberán, además, establecer políticas, protocolos y procedimientos destinados a preservar la seguridad y privacidad, promover la transparencia y explicabilidad y garantizar responsabilidad y rendición de cuentas.

También deberán fomentar la capacitación interna de sus colaboradores sobre los riesgos asociados a la IA.

Especial relevancia tiene la obligación de implementar supervisión humana en sistemas de alto riesgo cuando las decisiones puedan generar impactos significativos en ámbitos como salud, educación, justicia, finanzas y acceso a programas o servicios básicos.

La persona encargada de supervisar el sistema debe encontrarse capacitada y, fundamentalmente, tener capacidad efectiva para detener, corregir o invalidar la decisión producida por la IA.

La supervisión humana, por ello, no puede ser meramente formal.

8. ¿Es obligatoria una evaluación de impacto?

Aquí existe una distinción importante.

El artículo 32 contempla que, antes del desarrollo o implementación de un sistema de alto riesgo, el desarrollador o implementador puede realizar voluntariamente una evaluación de impacto destinada a identificar y minimizar riesgos potenciales.

Cuando esta evaluación se realiza, sus hallazgos y las medidas correctivas adoptadas deben documentarse y conservarse durante un período mínimo de tres años.

Aunque el Reglamento configura esta evaluación como voluntaria para el sector privado, desde una perspectiva de gestión preventiva de responsabilidad, documentar previamente los riesgos de sistemas de alto impacto puede constituir una práctica especialmente recomendable.

Una evaluación adecuadamente realizada puede servir para identificar riesgos de discriminación, privacidad, seguridad, errores automatizados y afectación de derechos antes de que el sistema sea desplegado.

9. Inteligencia artificial y protección de datos personales

El cumplimiento del Reglamento de IA no reemplaza las obligaciones establecidas por la legislación sobre protección de datos personales.

El artículo 26 señala expresamente que el desarrollo, implementación y utilización de sistemas de IA debe respetar la normativa vigente en materia de privacidad y protección de datos personales.

Además, las infracciones vinculadas al tratamiento de datos personales continúan sujetas al régimen sancionador correspondiente de la Ley N.º 29733, Ley de Protección de Datos Personales, y su Reglamento.

Este punto es particularmente relevante porque muchos sistemas de IA requieren grandes cantidades de información para entrenar modelos, elaborar perfiles, efectuar predicciones o generar recomendaciones.

La empresa deberá analizar, entre otros aspectos, la legitimidad del tratamiento, la finalidad para la cual se utilizan los datos, las medidas de seguridad aplicables, los derechos de los titulares y, cuando corresponda, el tratamiento de datos sensibles.

Por ello, compliance de IA y compliance de protección de datos deben analizarse conjuntamente.

10. ¿Qué ocurre el 10 de septiembre de 2026?

La Primera Disposición Complementaria Final estableció un calendario progresivo de implementación.

Para desarrolladores e implementadores del sector privado, las obligaciones contenidas en el artículo 25 y el Capítulo II del Título VI deben implementarse según el sector involucrado.

El cronograma es el siguiente:

Los plazos se computan desde el día siguiente de la publicación del Decreto Supremo N.º 115-2025-PCM. En consecuencia, para el primer grupo de sectores el plazo alcanza el 10 de septiembre de 2026.

Existe un régimen diferenciado para MYPE y emprendimientos innovadores. Las pequeñas empresas comprendidas en el rango previsto por la norma cuentan con dos años y las microempresas con tres años para implementar las disposiciones indicadas.

Esta diferenciación debe ser evaluada caso por caso, considerando tanto la actividad como la clasificación empresarial correspondiente.

11. No existe una única “multa por incumplir la Ley de IA”

Este punto merece especial precisión.

El Reglamento atribuye a la Secretaría de Gobierno y Transformación Digital de la Presidencia del Consejo de Ministros funciones de supervisión y monitoreo. Esta puede requerir información y verificar el cumplimiento de la regulación.

Sin embargo, el Reglamento no configura simplemente una tabla autónoma y general de multas aplicables a toda infracción empresarial relacionada con IA.

Cuando la SGTD advierta posibles vulneraciones de propiedad intelectual, protección de datos personales, derechos fundamentales u otra legislación vigente, deberá comunicar los hechos a las autoridades competentes para que adopten las acciones fiscalizadoras o sancionadoras correspondientes.

Asimismo, cualquier persona puede alertar sobre usos indebidos o incumplimientos mediante el canal digital de inteligencia artificial previsto por la PCM, mientras que las personas afectadas pueden acudir, según corresponda, al INDECOPI, la Autoridad Nacional de Protección de Datos Personales, las autoridades especializadas en ciberdelincuencia u otras entidades competentes.

Esto configura un modelo de responsabilidad transversal.

Una utilización irregular de IA puede activar simultáneamente consecuencias derivadas de la normativa de protección de datos, protección al consumidor, propiedad intelectual, derecho laboral, regulación sectorial o tutela de derechos fundamentales.

12. ¿Qué deberían hacer las empresas antes del 10 de septiembre?

Para las organizaciones comprendidas en el primer plazo de implementación, esperar hasta septiembre para iniciar la adecuación supone un riesgo innecesario.

Un programa básico de AI Compliance debería comenzar por:

1. Inventariar los sistemas de IA utilizados por la organización, incluyendo soluciones contratadas a proveedores externos.
2. Identificar el rol de la empresa frente a cada sistema: desarrollador, implementador o usuario.
3. Clasificar los sistemas según su nivel de riesgo, distinguiendo entre riesgo aceptable, alto riesgo y usos potencialmente prohibidos.
4. Identificar los sistemas que toman o apoyan decisiones sobre personas, especialmente trabajadores, postulantes, clientes, pacientes, estudiantes y usuarios de servicios financieros.
5. Revisar los datos personales utilizados, su origen, finalidad, legitimidad, conservación y medidas de seguridad.
6. Implementar mecanismos de transparencia y explicabilidad cuando corresponda.
7. Establecer supervisión humana real para sistemas de alto riesgo, definiendo quién puede revisar, detener, corregir o invalidar una decisión automatizada.
8. Revisar los contratos con proveedores de tecnología, incorporando obligaciones relacionadas con documentación, seguridad, confidencialidad, datos personales, propiedad intelectual, auditoría, incidentes y cooperación regulatoria.
9. Crear políticas internas de utilización de IA, incluyendo reglas para IA generativa utilizada por trabajadores.
10. Documentar las decisiones de cumplimiento, especialmente respecto de sistemas que puedan afectar derechos fundamentales.

13. El verdadero desafío: pasar de utilizar IA a gobernar la IA

La entrada progresiva en aplicación del Reglamento de la Ley N.º 31814 representa un cambio importante para las organizaciones peruanas.

Hasta ahora, muchas empresas han incorporado herramientas de inteligencia artificial como una decisión principalmente tecnológica o de productividad.

El nuevo escenario exige una aproximación diferente.

La pregunta ya no será solamente “¿podemos utilizar inteligencia artificial para este proceso?”, sino también:

¿Para qué la utilizamos? ¿Qué decisiones adopta? ¿Qué datos procesa? ¿Qué derechos puede afectar? ¿Quién supervisa sus resultados? ¿Podemos explicar una decisión automatizada? ¿Tenemos evidencia de que evaluamos sus riesgos?

Estas preguntas convierten la gobernanza de IA en un asunto que involucra simultáneamente a las áreas de tecnología, legal, compliance, recursos humanos, seguridad de la información, protección de datos y alta dirección.

El 10 de septiembre de 2026 constituye, por ello, mucho más que una fecha regulatoria. Para los sectores comprendidos en esta primera etapa, marca el momento en que la gobernanza de inteligencia artificial empieza a consolidarse como una verdadera obligación de cumplimiento empresarial.