Una nueva ley busca proteger a los colombianos víctimas de suplantación de identidad, uno de los delitos digitales de mayor crecimiento en el país. Se trata de la Ley 2573 de 2026, que establece un procedimiento claro y obligatorio para que empresas financieras, operadores de telecomunicaciones y comercios actúen de inmediato cuando un cliente demuestre haber sido víctima de este fraude. La norma, que entró en vigencia este año, obliga a estas entidades a suspender cobros, corregir reportes en centrales de riesgo y, por primera vez, asumir la carga probatoria inicial, invirtiendo la responsabilidad que hasta ahora recaía casi exclusivamente en el afectado.
La suplantación de identidad se ha convertido en uno de los riesgos digitales de mayor crecimiento en Colombia entre 2022 y 2026, potenciado por el uso de inteligencia artificial para imitar voces, fabricar documentos o engañar controles biométricos. Ante esta realidad, la Ley 2573 de 2026 establece plazos concretos: la empresa dispone de diez días hábiles para comparar los documentos de identidad presentados por el reclamante con los que obran en su sistema; luego tiene quince días hábiles, prorrogables por ocho más, para responder formalmente a la reclamación. Si no lo hace en ese lapso, la petición se entenderá resuelta a favor de la víctima. Además, el afectado cuenta con veinte días hábiles desde que informa al comercio para presentar la denuncia formal ante las autoridades y reunir los soportes necesarios, como documentos de identidad, comunicaciones, movimientos financieros y registros de ubicación.
¿Cómo funciona la nueva carga probatoria?
El abogado Camilo Gantiva, socio de la firma Holland & Knight, explicó en entrevista con Revista Semana que la carga probatoria deberá asumirla quien esté en mejores condiciones de demostrar los hechos, que en este caso es la empresa. Esto significa que cuando una persona demuestra que fue víctima de una contratación no autorizada, la compañía debe suspender los cobros y corregir de inmediato los reportes negativos en las centrales de riesgo, reemplazando la anotación desfavorable por la leyenda “Víctima de falsedad personal”, la cual no puede perjudicar la calificación crediticia del afectado. La empresa también debe entregar al usuario los documentos que recibió durante la contratación fraudulenta para facilitar su defensa.
La ley aplica a entidades financieras, operadores de telecomunicaciones y comercios, y contempla una excepción importante: si la empresa verifica por sí misma pruebas claras e inequívocas de suplantación, puede liberar al ciudadano de la obligación de presentar denuncia formal. En todos los casos, las compañías deben adoptar medidas técnicas, humanas y administrativas para impedir la pérdida, adulteración o uso fraudulento de la información personal de sus clientes. Una verificación deficiente puede generar responsabilidades por cobros indebidos y daños al historial crediticio de las víctimas.
Vacios regulatorios y próximos pasos
A pesar de los avances, persisten vacíos regulatorios. Mientras las entidades financieras pueden utilizar mecanismos biométricos para identificar a sus clientes, otros sectores no cuentan con autorización expresa para emplear estos métodos como obligatorios. Para cerrar esa brecha, la Ley 2573 de 2026 ordena a la Superintendencia de Industria y Comercio, la Superintendencia Financiera y el Ministerio de Tecnologías de la Información y las Comunicaciones reglamentar protocolos de identificación en un plazo máximo de seis meses contados desde la entrada en vigor de la norma. Con esta legislación, Colombia da un paso significativo en la protección de los consumidores frente a uno de los fraudes más sofisticados y extendidos en la era digital.
