Lo que debe saber sobre la ley que eleva los estándares para prevenir la suplantación de identidad
La suplantación de identidad dejó de ser un problema limitado a documentos físicos o fraudes tradicionales. Hoy una persona puede ser suplantada mediante datos personales, perfiles falsos, ingeniería social, mensajes de texto, correos electrónicos y diferentes mecanismos digitales.
En Colombia, este escenario ha llevado a fortalecer el marco legal y las obligaciones relacionadas con la prevención del fraude. En particular, la Ley Estatutaria 2573 de 2026 establece medidas para proteger a las personas que son víctimas de suplantación frente a reportes negativos y cobros de obligaciones que realmente no adquirieron. La norma fue promulgada el 19 de mayo de 2026.
Además, la Ley 2502 de 2025 incorporó un agravante relacionado con la falsedad personal cuando se utiliza inteligencia artificial para la suplantación y estableció directrices para políticas públicas orientadas a prevenir el uso indebido de la IA con estos fines.
Estas normas reflejan una realidad importante: la protección de la identidad necesita combinar legislación, gestión de riesgos, seguridad de la información, ciberseguridad y mecanismos efectivos de verificación.
¿Por qué es necesaria una regulación más fuerte?
La identidad se ha convertido en uno de los activos más sensibles dentro de la economía digital. Para abrir una cuenta, contratar un servicio, solicitar un crédito, adquirir una línea telefónica o realizar determinadas operaciones, las organizaciones necesitan verificar quién está realmente detrás de una solicitud.
El problema aparece cuando un tercero utiliza información ajena para hacerse pasar por otra persona.
Las consecuencias pueden ser muy serias. Una víctima puede encontrarse con créditos que nunca solicitó, servicios contratados a su nombre, compras que no realizó o reportes negativos que afectan su historial.
La Ley 2573 de 2026 busca precisamente fortalecer la protección de las personas que se encuentran en esta situación y establecer responsabilidades para operadores de telecomunicaciones, entidades financieras y crediticias y otros establecimientos comerciales con competencia para ofrecer estos productos o servicios.
¿Qué establece la Ley 2573 de 2026?
La Ley Estatutaria 2573 de 2026 tiene como objetivo establecer medidas, procesos y políticas para proteger los derechos de las personas suplantadas frente al reporte negativo ante operadores de información y al cobro de obligaciones adquiridas fraudulentamente.
La norma reconoce que la suplantación puede producirse tanto en entornos físicos como digitales y vincula la protección de la identidad con conceptos como gestión del riesgo, tratamiento adecuado de datos personales y medidas de ciberseguridad.
Esto es especialmente importante porque cambia la conversación. La prevención de la suplantación no depende únicamente de que una persona sea cuidadosa con sus documentos o contraseñas. También exige que las organizaciones que ofrecen productos y servicios cuenten con mecanismos razonables para verificar la identidad de quienes los solicitan.
La ley, por tanto, pone mayor atención en la prevención y en la responsabilidad de las entidades que manejan información y realizan procesos de vinculación de clientes.
¿Qué formas de suplantación contempla?
La Ley 2573 reconoce diferentes escenarios de suplantación de identidad.
Suplantación mediante documentos y datos
La norma contempla situaciones relacionadas con el uso ilícito de documentos de identificación, datos personales y tarjetas que no pertenecen a quien los utiliza.
También contempla la creación de perfiles digitales falsos que puedan afectar la honra y el buen nombre de una persona.
Suplantación mediante medios electrónicos
La suplantación también puede producirse mediante medios electrónicos utilizados para obtener información o datos personales sin autorización.
En este escenario aparecen prácticas como el uso de herramientas digitales, correos electrónicos, mensajes y técnicas de ingeniería social.
Esto demuestra que la protección de identidad ya no puede limitarse a revisar físicamente un documento. Las organizaciones necesitan considerar también el entorno digital en el que se realizan las operaciones.
Nuevas responsabilidades para las empresas
Uno de los aspectos más relevantes de la norma es que establece obligaciones para operadores de telecomunicaciones, entidades financieras y crediticias y otros establecimientos comerciales con competencia para ofrecer productos o servicios.
Entre las obligaciones se encuentra la adopción de medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de las personas y de los documentos presentados. También se contemplan mecanismos para validar la información suministrada por quienes adquieren productos o servicios.
Esto tiene una consecuencia importante para las organizaciones: los procesos de vinculación de clientes deben analizarse desde una perspectiva de riesgo.
No basta con recopilar información. Es necesario preguntarse si los mecanismos utilizados realmente ayudan a determinar que la persona que está realizando una operación corresponde con la identidad que afirma tener.
La implementación de controles adecuados puede incluir procesos de validación, autenticación, análisis de señales de riesgo, trazabilidad y monitoreo, siempre respetando las obligaciones aplicables en materia de protección de datos.
¿Qué debe hacer una persona víctima de suplantación?
`La protección que establece la ley también contempla responsabilidades para la persona afectada.
Cuando una persona tenga conocimiento de que su identidad fue utilizada fraudulentamente, debe informar a la entidad correspondiente para solicitar la cancelación o corrección de los productos o servicios adquiridos sin autorización.
La norma también establece que la persona suplantada debe aportar documentos y elementos que permitan demostrar la situación, denunciar ante las autoridades competentes los hechos que correspondan y realizar los procesos de validación de identidad solicitados por la entidad.
En los casos relacionados con perfiles digitales falsos, también resulta importante realizar oportunamente la denuncia o reclamación ante la plataforma correspondiente y ante las autoridades cuando sea procedente.
Actuar rápidamente es fundamental. Mientras más tiempo permanezca activo un producto, cuenta o servicio obtenido fraudulentamente, mayores pueden ser las consecuencias para la víctima.
Protección frente a reportes negativos
Uno de los problemas más graves de una suplantación puede aparecer después del fraude: la víctima puede terminar enfrentando obligaciones que nunca adquirió y recibir reportes negativos derivados de ellas.
La Ley 2573 establece mecanismos para que, cuando exista una denuncia de falsedad personal o delitos relacionados, el caso pueda ser reportado como “víctima de falsedad personal”, sin que esta situación afecte la puntuación de la presunta víctima de la suplantación, en los términos establecidos por la norma.
Esto representa un cambio importante porque busca evitar que una persona termine pagando las consecuencias financieras y reputacionales de un fraude cometido por un tercero.
Sin embargo, la protección no significa que las personas deban permanecer pasivas. La denuncia, la entrega de soportes y el seguimiento del caso continúan siendo elementos fundamentales.
Seguridad de la información y verificación de identidad
La nueva realidad normativa demuestra que la seguridad de la información está directamente relacionada con la prevención del fraude.
Una organización que almacena datos personales debe protegerlos adecuadamente, pero también debe establecer controles para evitar que esos datos sean utilizados para crear productos, servicios o cuentas de manera fraudulenta.
Esto requiere una combinación de procesos y tecnología.
Dependiendo del riesgo, las organizaciones pueden implementar mecanismos como autenticación multifactor, validación de documentos, verificación biométrica, análisis de comportamiento, controles antifraude y monitoreo de operaciones sospechosas.
La Registraduría Nacional, por ejemplo, informó en agosto de 2026 sobre el fortalecimiento de controles de verificación y reconocimiento facial para prevenir el fraude documental y la falsa identidad.
La tecnología puede ayudar, pero ningún mecanismo funciona por sí solo. La seguridad debe formar parte de un modelo integral de gestión de riesgos.
La inteligencia artificial cambia el escenario
Uno de los grandes cambios de los últimos años es la facilidad con la que pueden generarse contenidos falsos utilizando inteligencia artificial.
Una fotografía, una grabación de voz o un video pueden ser manipulados para aparentar que una persona dijo o hizo algo que nunca ocurrió.
Precisamente por esto, la Ley 2502 de 2025 abordó la suplantación mediante inteligencia artificial y estableció un agravante relacionado con el delito de falsedad personal cuando se utiliza IA para esta modalidad. La norma también contempla el concepto de DeepFake y establece directrices para políticas públicas de prevención y control del uso indebido de la IA en la suplantación.
El avance de la IA obliga a las organizaciones a replantear algunos mecanismos tradicionales de verificación. Una imagen o una voz ya no necesariamente constituyen evidencia suficiente de que estamos interactuando con la persona que creemos.
Por eso serán cada vez más importantes los mecanismos de autenticación robusta, análisis de contexto, validación cruzada y controles adicionales para operaciones de alto riesgo.
Gestión de riesgos: la mejor forma de anticiparse
La prevención de la suplantación debe comenzar con una pregunta sencilla: ¿qué podría salir mal?
Una organización debería identificar los puntos en los que una persona puede ser vinculada a un producto o servicio y analizar qué sucedería si un atacante consiguiera superar esos controles.
Algunos escenarios que conviene analizar son:
- Creación fraudulenta de cuentas.
- Solicitud de créditos utilizando datos de otra persona.
- Activación fraudulenta de servicios de telecomunicaciones.
- Uso indebido de documentos.
- Robo de credenciales.
- Manipulación de información personal.
- Creación de perfiles digitales falsos.
- Uso de inteligencia artificial para engañar durante un proceso de identificación.
Una metodología de gestión de riesgos permite valorar estos escenarios y establecer controles de acuerdo con su probabilidad e impacto.
Este enfoque está alineado con principios de gestión de riesgos como los contemplados en ISO 31000 y puede complementarse con estándares de seguridad de la información y ciberseguridad.
```El papel de las auditorías y el cumplimiento
Implementar controles no es suficiente. También es necesario comprobar periódicamente si funcionan.
Las auditorías especializadas permiten evaluar los procesos de identificación, gestión de datos, autenticación, prevención del fraude y respuesta ante incidentes.
Una evaluación puede ayudar a detectar preguntas que muchas organizaciones pasan por alto:
- ¿Los mecanismos de identificación realmente funcionan?
- ¿Quién puede acceder a los datos personales?
- ¿Existen registros de las operaciones realizadas?
- ¿Los controles se revisan periódicamente?
- ¿Qué ocurre cuando una persona denuncia una suplantación?
- ¿Existe un procedimiento claro para corregir información fraudulenta?
- ¿Los proveedores externos cumplen con los requisitos de seguridad?
Las auditorías ayudan a transformar el cumplimiento en una práctica permanente y no simplemente en una actividad realizada cuando existe una inspección o certificación.
La importancia de la formación
La tecnología puede ser una herramienta poderosa para prevenir la suplantación, pero las personas siguen siendo una pieza fundamental.
Los empleados que trabajan con información personal deben saber reconocer intentos de fraude, solicitudes sospechosas, técnicas de ingeniería social y comportamientos inusuales.
También es importante que los equipos conozcan los procedimientos internos para reportar un incidente y sepan cómo actuar cuando existe una sospecha de suplantación.
La formación debería incluir tanto a los equipos técnicos como a las áreas comerciales, servicio al cliente, recursos humanos, cumplimiento, riesgos y alta dirección.
Una organización preparada no espera a que ocurra un incidente para explicar qué hacer.
¿Qué deberían hacer las organizaciones?
La entrada en escena de nuevas obligaciones y el crecimiento de las amenazas digitales hacen recomendable que las organizaciones revisen sus modelos actuales de prevención.
Algunas acciones importantes son:
- Revisar los procesos de identificación: comprobar que existen mecanismos adecuados para verificar la identidad.
- Evaluar los riesgos de suplantación: identificar los puntos vulnerables del proceso de vinculación de clientes.
- Fortalecer la seguridad de los datos: proteger la información personal durante todo su ciclo de vida.
- Implementar controles de autenticación: utilizar mecanismos adecuados al nivel de riesgo de cada operación.
- Mejorar la trazabilidad: mantener registros que permitan investigar operaciones sospechosas.
- Establecer protocolos de respuesta: definir qué hacer cuando se detecta una posible suplantación.
- Capacitar al personal: desarrollar una cultura de prevención y seguridad.
- Auditar los controles: comprobar periódicamente que las medidas implementadas son eficaces.
- Revisar proveedores: evaluar los riesgos asociados a terceros que procesan información personal.
- Prepararse para nuevos escenarios de IA: considerar el uso de deepfakes, automatización y nuevas técnicas de fraude.
La prevención no debe verse solamente como una obligación legal. También representa una oportunidad para mejorar la confianza de los clientes y fortalecer los procesos internos.
Conclusión: proteger la identidad es una responsabilidad compartida
La suplantación de identidad representa uno de los desafíos más importantes de la economía digital. La combinación de datos personales, servicios digitales, ingeniería social e inteligencia artificial ha creado un escenario en el que los mecanismos tradicionales de protección deben evolucionar.
La Ley 2573 de 2026 establece nuevas medidas de protección para las personas víctimas de suplantación y eleva las expectativas sobre los procesos de verificación y seguridad de las entidades involucradas. Por su parte, la Ley 2502 de 2025 reconoce el impacto que puede tener la inteligencia artificial en este tipo de delitos.
Para las organizaciones, esto significa que la prevención debe abordarse desde diferentes frentes: cumplimiento normativo, seguridad de la información, ciberseguridad, gestión de riesgos, auditoría, tecnología y formación.
Para los ciudadanos, significa estar atentos, proteger sus datos, revisar periódicamente su información financiera y actuar rápidamente cuando exista sospecha de fraude.
La protección de la identidad no depende de una única herramienta. Es el resultado de combinar procesos adecuados, tecnología, conocimiento y una cultura permanente de prevención.
En un mundo donde cada vez es más fácil hacerse pasar por otra persona, verificar quién está realmente detrás de una operación se convierte en una de las tareas más importantes de la seguridad digital.
Nota: este artículo tiene finalidad informativa y no constituye asesoría jurídica. Para determinar las obligaciones concretas aplicables a una organización o un caso particular, debe revisarse el texto vigente de la normativa y, cuando corresponda, obtener asesoría legal especializada.
Comentarios