Ley de inteligencia artificial en el Perú: qué exige el reglamento a las empresas

El 10 de septiembre de 2026 venció el primer plazo del reglamento de la ley de inteligencia artificial. Desde ese día, las empresas privadas de salud, educación, justicia, seguridad, economía y finanzas que desarrollan o usan sistemas de IA de riesgo alto deben cumplir obligaciones de transparencia, supervisión humana y evaluación de impacto. Para los demás sectores el calendario también está fijado.

Qué norma es y desde cuándo rige

La Ley N.° 31814, publicada el 5 de julio de 2023, promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país y fija principios generales para su uso. Las obligaciones concretas llegaron con su reglamento, aprobado por el Decreto Supremo N.° 115-2025-PCM, publicado en El Peruano el 9 de septiembre de 2025 y vigente desde el 22 de enero de 2026.

El reglamento se aplica a entidades públicas, empresas del Estado y organizaciones privadas que desarrollan, implementan o usan sistemas de IA. El ente rector es la Presidencia del Consejo de Ministros, a través de la Secretaría de Gobierno y Transformación Digital.

El riesgo depende del uso, no de la herramienta

El reglamento clasifica usos. Un mismo modelo puede tener riesgo aceptable al redactar textos de marketing y riesgo alto al filtrar postulantes a un puesto. El artículo 22 distingue tres niveles:

• Uso indebido: prohibido, por su impacto negativo significativo e irreversible sobre los derechos fundamentales o el bienestar de las personas.
• Riesgo alto: permitido con controles, porque puede afectar la vida, la dignidad, la libertad, la seguridad física o los derechos fundamentales.
• Riesgo aceptable: todos los demás usos.

Qué usos prohíbe

El artículo 23 prohíbe usar sistemas de IA para:

• Influir en las decisiones de las personas con técnicas subliminales o aprovechando sus vulnerabilidades cognitivas o emocionales.
• Tomar decisiones sin supervisión humana que puedan causar daño físico o afectar la vida en contextos civiles.
• Hacer vigilancia masiva sin base legal.
• Deducir, a partir de datos biométricos, el origen étnico, las opiniones políticas, las creencias religiosas o la orientación sexual de una persona.
• Identificar personas por biometría en tiempo real en espacios públicos, salvo excepciones como la verificación de identidad digital o la investigación de delitos graves.
• Predecir que una persona cometerá un delito a partir de la evaluación de su personalidad.

Qué considera de riesgo alto

Es la categoría que alcanza a más empresas, muchas veces sin que lo sepan. El artículo 24 incluye el uso de IA para:

• Seleccionar, evaluar, contratar o despedir personal, o definir sus condiciones de trabajo.
• Evaluar créditos, con excepción de la detección de fraude.
• Gestionar activos críticos del país: energía, telecomunicaciones, salud, transporte, agua y banca.
• Decidir el acceso a servicios de salud, o hacer tamizaje, diagnóstico o pronóstico.
• Evaluar a niñas, niños y adolescentes en el sistema educativo, salvo que el sistema complemente la evaluación docente sin reemplazarla.
• Dar acceso, priorizar o retirar beneficiarios de programas sociales.
• Inferir emociones en el trabajo o en centros educativos.

Un filtro automático de currículums o un modelo que aprueba o rechaza solicitudes de crédito entran en esta categoría, aunque la empresa no se dedique a la tecnología.

Qué obligaciones tiene una empresa con sistemas de riesgo alto

Para el sector privado, las obligaciones están en el artículo 25 y en los artículos 31 y 32 del reglamento. En resumen:

1. 01Informar antes del uso: para qué sirve el sistema, cuáles son sus funciones principales y qué tipo de decisiones puede tomar.
2. 02Etiquetar: indicar de forma visible que el producto, servicio o contenido funciona con IA, salvo en procesos administrativos internos sin impacto directo en las personas.
3. 03Explicar las decisiones: cuando el resultado afecta derechos, dar a conocer en lenguaje comprensible los criterios y factores clave que llevaron a él.
4. 04Mantener supervisión humana: personal capacitado para no dejarse sesgar por el resultado del sistema, con capacidad de detenerlo, corregirlo o invalidar su decisión.
5. 05Llevar un registro: principios de funcionamiento, fuentes de datos, lógica del algoritmo e impactos sociales y éticos esperados.
6. 06Evaluar el impacto antes de implementar: identificar los riesgos para los derechos fundamentales, adoptar medidas de mitigación y conservar la documentación al menos tres años.

Además, el reglamento pide definir políticas de seguridad, privacidad, transparencia y rendición de cuentas, y capacitar al personal sobre los riesgos de la IA.

Los plazos por sector

Estas obligaciones se aplican de forma gradual. Los plazos se cuentan desde el 10 de septiembre de 2025, el día siguiente a la publicación del decreto:

• Salud, educación, justicia, seguridad, economía y finanzas: 10 de septiembre de 2026. Ya vencido.
• Transporte, comercio y trabajo: 10 de septiembre de 2027.
• Producción, agricultura, energía y minería: 10 de septiembre de 2028.
• Usos no incluidos en los sectores anteriores: 10 de septiembre de 2029.

Las mypes y los emprendimientos innovadores tienen un cronograma propio:

• Pequeñas empresas (ventas anuales de más de 150 y hasta 1700 UIT): 10 de septiembre de 2027.
• Microempresas (ventas anuales de hasta 150 UIT): 10 de septiembre de 2028.

¿Hay sanciones?

El reglamento no crea un régimen de sanciones propio. La Secretaría de Gobierno y Transformación Digital supervisa su cumplimiento, puede emitir opiniones vinculantes y remite los incumplimientos a las autoridades competentes, por ejemplo cuando un sistema vulnera la protección de datos personales o la propiedad intelectual.

Para una empresa, la exposición llega por esas otras vías: un reclamo por datos personales, un conflicto laboral o una disputa con un cliente, originados en una decisión automatizada que nadie puede explicar ni documentar.

Por dónde empezar

1. 01Hacer inventario. Listar los sistemas que usan IA, incluidos los que vienen dentro de software de terceros: plataformas de reclutamiento, calificación de clientes, chatbots o herramientas de analítica.
2. 02Clasificar cada uso según los artículos 23 y 24, empezando por recursos humanos, crédito y atención al cliente.
3. 03Asignar un responsable con capacidad real de revisar y revertir las decisiones de los sistemas de riesgo alto.
4. 04Documentar antes de ampliar: registro, evaluación de impacto y medidas de mitigación.
5. 05Revisar los contratos con proveedores: quién documenta el modelo, quién explica sus decisiones y quién responde ante un reclamo.

Este artículo resume el Decreto Supremo N.° 115-2025-PCM con fines informativos y no constituye asesoría legal. Para evaluar un caso concreto, conviene revisar el texto oficial con un abogado especializado.