Qué dice exactamente, a quién alcanza, qué está prohibido, qué es riesgo alto, qué te obliga y cuánto cuesta incumplir. Con el artículo citado en cada afirmación y enlaces a las fuentes oficiales al final.
La confusión más extendida en el Perú es creer que la ley aplica solo a quien construyó un sistema de inteligencia artificial. No es así. El Art. 24.1 dice, textualmente, que “el uso de un sistema basado en IA se considera de riesgo alto cuando…” y luego lista finalidades. Lo que importa es para qué la usas, no con qué herramienta.
El caso más frecuente del país. Es riesgo alto porque ese uso determina un proceso de selección de personal. Y hay una segunda capa: estás enviando datos personales de postulantes a un proveedor externo, normalmente fuera del Perú, sin base legal, sin informar al titular y sin contrato de tratamiento. Eso ya es materia de la Ley 29733, con su propio régimen de multas.
Evaluar personal, definir condiciones laborales o sustentar un cese apoyándose en IA cae en el mismo supuesto. Si el trabajador impugna, la empresa tiene que poder explicar los criterios usados y demostrar que hubo una persona capacitada con capacidad real de invalidar el resultado.
Orientar el tamizaje, la evaluación, la sugerencia de diagnóstico, el manejo o el pronóstico del estado de salud es riesgo alto. Y los datos de salud son datos sensibles, lo que agrava cualquier infracción de protección de datos. Es la peor combinación posible del marco peruano.
La evaluación crediticia de personas es riesgo alto por texto expreso. La única excepción que la norma nombra es cuando la IA se usa para detección de fraude financiero. Si un cliente pide por escrito por qué le negaron el crédito, “lo decidió el modelo” no es una respuesta admisible.
Riesgo alto, con una excepción que vale oro comercialmente: cuando el sistema cumple una función complementaria y no reemplaza la evaluación pedagógica humana. Cómo diseñas y documentas esa frontera decide de qué lado cae tu producto o tu institución.
El Reglamento pide etiquetado visible que informe con antelación que el producto, servicio o contenido se opera con base en IA, y que permita al público entender sus capacidades y limitaciones. Un “powered by AI” en el pie de página no cumple ese estándar. Frente a un consumidor afectado, esto deja de ser compliance y pasa a ser INDECOPI.
La Ley N° 31814 se publicó el 5 de julio de 2023. Es una ley promocional: su objeto es fomentar el uso de la inteligencia artificial en el marco del proceso nacional de transformación digital, privilegiando a la persona y el respeto de los derechos humanos. Por sí sola no imponía obligaciones operativas concretas.
Lo que cambió todo fue su reglamento: el Decreto Supremo N° 115-2025-PCM, publicado el 9 de septiembre de 2025. Seis títulos, treinta y seis artículos y seis disposiciones complementarias finales. Ahí aparecen la clasificación por niveles de riesgo, los usos prohibidos, las obligaciones concretas del sector privado y el cronograma de adecuación. Entró en vigencia el 22 de enero de 2026, a los noventa días hábiles de su publicación.
La autoridad técnico-normativa es la Presidencia del Consejo de Ministros, a través de la Secretaría de Gobierno y Transformación Digital (SGTD). En mayo de 2026 se sumó la Estrategia Nacional de Inteligencia Artificial 2026-2030, aprobada por la RM N° 152-2026-PCM, que es obligatoria para el sector público y referencial para el privado.
El Perú fue uno de los primeros países de América Latina en contar con un reglamento integral de IA. Eso significa que la mayoría de empresas peruanas está adecuándose sin poder copiar a nadie de la región.
El Art. 3 incluye a las entidades de la Administración Pública, a las empresas del Estado bajo FONAFE y a las organizaciones del sector privado, la sociedad civil, la ciudadanía y la academia. El Capítulo II del Título VI se titula, textualmente, “Obligaciones y buenas prácticas de las organizaciones del sector privado”.
Desarrollador (Art. 6.b): toda persona natural, persona jurídica o entidad pública que diseñe, programe o entrene un sistema basado en IA.
Implementador (Art. 6.d): toda persona natural, persona jurídica o entidad pública que integra o despliega un sistema basado en IA dentro de un proceso productivo u operativo.
El Art. 31 empieza así: “El desarrollador o implementador de los sistemas basados en IA tienen las siguientes obligaciones”. Los dos. Si compraste la herramienta, contrataste la suscripción o simplemente la conectaste a un proceso de decisión, eres implementador y las obligaciones son tuyas.
El Art. 4 excluye el uso de IA para fines estrictamente personales y el uso para defensa y seguridad nacional, siempre que este último cumpla los principios de protección de derechos fundamentales, no discriminación, seguridad, proporcionalidad, fiabilidad, supervisión y rendición de cuentas.
Toda la norma gira alrededor de esta clasificación. Determinar en cuál cae cada uso de IA de tu empresa es literalmente el primer entregable de cualquier trabajo serio de adecuación.
| Nivel | Definición del Reglamento | Consecuencia |
|---|---|---|
| Uso indebido Art. 23 | Sistema usado para impactar de manera irreversible, significativa y negativa en los derechos fundamentales o el bienestar de las personas, bajo cualquier circunstancia. | Prohibido. Sin plazo de adecuación. |
| Riesgo alto Art. 24 | Uso que supone un riesgo para la vida humana, la dignidad, la libertad, la seguridad física y demás derechos fundamentales, en función del objetivo y de las consecuencias no deseadas. | Permitido con condiciones y controles: transparencia, registro y supervisión humana. |
| Riesgo aceptable Art. 22.2 | Todo sistema que no esté comprendido en los artículos 23 y 24. | Debe cumplir igual la Ley y el Reglamento: política, capacitación y principios rectores. |
Estos no tienen cronograma. Rigen desde que el Reglamento entró en vigencia, en enero de 2026. Si tu empresa está en alguno de estos supuestos, no está “en proceso de adecuación”: está incumpliendo hoy.
Permitidos, pero con controles. Basta con que uno solo de tus usos caiga acá para que se activen las obligaciones de transparencia algorítmica, registro y supervisión humana.
| Literal | Uso | A quién alcanza en la práctica |
|---|---|---|
| 24.1.e | Determinar procesos de selección, evaluación, contratación y cese de trabajadores o postulantes; y establecer condiciones laborales | Toda empresa que contrata personas |
| 24.1.g | Determinar la evaluación crediticia de personas. Salvo cuando la IA se usa para detección de fraude financiero | Bancos, cajas, financieras, fintech, retail financiero |
| 24.1.i | Orientar tamizaje, evaluación, sugerencia de diagnóstico, manejo o pronóstico del estado de salud; priorización del daño en emergencias; evaluación de datos sensibles incluidos los de historias clínicas electrónicas | Clínicas, aseguradoras de salud, healthtech |
| 24.1.i | Inferir emociones de una persona en entornos de trabajo y centros educativos. Salvo motivos médicos o de seguridad | Entrevistas en video, plataformas de aula |
| 24.1.b | Evaluación de niños, niñas y adolescentes en educación: acceso a un centro, resultados de aprendizaje, nivel educativo e identificación de comportamientos prohibidos durante un examen. Salvo función complementaria que no reemplace la evaluación pedagógica humana | Colegios, universidades, edtech, proctoring |
| 24.1.a | Gestionar activos críticos nacionales que dan soporte a servicios esenciales: energía, telecomunicaciones, salud, transporte, agua y banca | Utilities, telecom, infraestructura |
| 24.1.f | Determinar acceso, evaluación, orden de priorización o cese de programas sociales y focalización de hogares | Programas sociales, ONG, fundaciones |
| 24.1.j | Cláusula abierta: todo uso que suponga riesgo para la vida, seguridad física, derechos fundamentales, libertad y dignidad, y que además tenga elevada probabilidad de estigmatización, discriminación o sesgo cultural, o elevada complejidad para la supervisión humana | El resto de casos, evaluados uno a uno |
Estas son las obligaciones del sector privado. Ninguna requiere que seas ingeniero: requieren que sepas qué usas, lo escribas y puedas probarlo.
| Art. | Obligación | Qué significa en la práctica |
|---|---|---|
| 25.1 | Transparencia algorítmica | Informar al usuario de forma previa, clara y sencilla la finalidad del sistema, sus funcionalidades principales y el tipo de decisiones que puede tomar. Se respeta el secreto industrial y comercial: no te piden abrir el modelo. |
| 25.2 | Etiquetado visible | Avisar con antelación que el producto, servicio o contenido se opera con IA, de forma suficiente para que el público entienda sus capacidades y limitaciones. Excepción: procesos administrativos internos sin impacto en derechos o servicios. |
| 25.3 | Explicación al afectado | Si la decisión impacta derechos humanos, explicar los criterios y factores clave usados, en lenguaje accesible. |
| 31.1 | Registro actualizado | En sistemas de riesgo alto: registro accesible y con enfoque preventivo sobre los principios de funcionamiento, las fuentes de datos utilizadas, la lógica del algoritmo y los impactos sociales y éticos esperados. |
| 31.2 | Políticas y protocolos | Procedimientos claros de seguridad, privacidad, transparencia, explicabilidad, responsabilidad y rendición de cuentas, tomando como referencia estándares técnicos internacionales. |
| 31.3 | Capacitación | Educación y concientización interna de los colaboradores sobre los riesgos del uso de IA. |
| 31.4 | Supervisión humana | En riesgo alto: personal (i) capacitado para no sesgarse por los resultados del sistema y (ii) con capacidad de detener, corregir o invalidar la decisión. No basta con que alguien “revise”. |
| 32 | Evaluación de impacto | Voluntaria para el sector privado (obligatoria solo para entidades públicas, Art. 30). Si la haces, documentas hallazgos y medidas correctivas y las conservas un mínimo de tres años; sirve como evidencia ante autoridad judicial o administrativa. |
El Art. 33 nombra la NTP-ISO/IEC 42001:2025 (sistema de gestión de inteligencia artificial), la NTP-ISO/IEC 27002:2022, la ISO/IEC 38507:2022 sobre implicancias de gobernanza del uso de IA en organizaciones, la ISO/IEC 23053:2022 y la NTP-ISO/IEC 27005:2022. Si tu empresa ya trabaja con 27001, tienes buena parte del camino recorrido.
El Art. 17 crea un entorno de experimentación y prueba controlada gestionado por la SGTD, que permite probar, validar o mejorar sistemas de IA en condiciones controladas, e incluso flexibilizar o eximir regulaciones en un espacio, sector o área determinada. Todo desarrollador puede solicitar participar.
Los plazos se cuentan desde el día siguiente de la publicación del Reglamento, el 10 de septiembre de 2025, y aplican al Art. 25 y al Capítulo II del Título VI. Son las fechas máximas para terminar de adecuarse, no fechas de inicio. Todo lo demás del Reglamento ya rige desde enero de 2026.
| Grupo | Usos de IA en los sectores de… | Fecha límite |
|---|---|---|
| 1 | Salud, educación, justicia, seguridad, economía y finanzas | 10 SET 2026 |
| 2 | Transporte, comercio y trabajo | 10 SET 2027 |
| 3 | Producción, agricultura, energía y minería | 10 SET 2028 |
| 4 | Todos los demás usos, a nivel nacional | 10 SET 2029 |
| MYPE | Pequeña empresa: ventas anuales de más de 150 UIT y hasta 1700 UIT | 10 SET 2027 |
| MYPE | Microempresa: ventas anuales hasta 150 UIT | 10 SET 2028 |
Acá está el punto que más confusión genera, y conviene decirlo con precisión: la Ley 31814 no creó un régimen sancionador propio. La SGTD supervisa el cumplimiento (Art. 34), monitorea los sistemas de uso indebido y riesgo alto a través del Centro Nacional de Seguridad Digital y puede requerir información para verificar cumplimiento (Art. 35). Pero no sanciona: comunica el caso a las autoridades competentes para las acciones fiscalizadoras y sancionadoras.
Además, el Art. 36 habilita un canal ciudadano en gob.pe/iaperu, y permite que cualquier persona que se considere afectada denuncie directamente ante INDECOPI, la División de Investigación de Ciberdelincuencia o la Autoridad Nacional de Protección de Datos Personales.
El Art. 26.2 del Reglamento remite expresamente a este régimen. Es la vía de entrada más directa cuando hay datos personales de por medio, que es casi siempre.
| Gravedad | Rango en UIT | Monto con UIT 2026 = S/ 5,500 |
|---|---|---|
| Leve | 0.5 – 5 UIT | S/ 2,750 – 27,500 |
| Grave | más de 5 – 50 UIT | S/ 27,500 – 275,000 |
| Muy grave | más de 50 – 100 UIT | S/ 275,000 – 550,000 |
Con un tope legal: ninguna multa puede exceder el 10% de los ingresos brutos anuales que el infractor haya percibido durante el ejercicio anterior. Y además de la multa, la autoridad puede ordenar bloqueo temporal de los datos, eliminación definitiva, rectificación del tratamiento y publicación en el registro de sanciones, que es público.
Entra cuando el uso de IA afecta a un consumidor: falta de información, decisión automatizada sin explicación, promesa incumplida por un bot, ausencia de etiquetado.
| Gravedad | Rango en UIT | Monto con UIT 2026 = S/ 5,500 |
|---|---|---|
| Leve | amonestación o hasta 50 UIT | hasta S/ 275,000 |
| Grave | más de 50 – 150 UIT | hasta S/ 825,000 |
| Muy grave | más de 150 – 450 UIT | hasta S/ 2'475,000 |
La reincidencia puede agravar la multa. A estas dos vías se suman la Contraloría General de la República cuando hay funcionarios públicos involucrados (Art. 34.1), los reguladores sectoriales según la industria y la responsabilidad civil por daños y perjuicios.
Y en la práctica, la multa suele ser la parte barata. Lo que descuadra un presupuesto es que te ordenen apagar un sistema en producción.
Nada de esta página es interpretación creativa. Si vas a discutirlo con tu abogado o llevarlo a tu directorio, estos son los enlaces que necesitas.
Empieza por lo único que importa: saber cuánta IA usa tu empresa realmente y cuáles de esos usos están regulados. En treinta minutos te digo tu fecha límite, qué usos tuyos probablemente son de riesgo alto y por dónde empezar.