Árkos Logo
IALey 31814RegulaciónPYMEsPerú

Ley de inteligencia artificial en Perú: qué le exige a tu empresa el reglamento de la Ley 31814

Qué usos de IA prohíbe el reglamento de la Ley 31814, cuáles son de riesgo alto, qué obligaciones tiene una empresa privada y desde cuándo corre cada plazo.

Rodrigo Torres·

Sí, la ley de IA de Perú alcanza a las empresas privadas. Su reglamento (Decreto Supremo 115-2025-PCM, publicado el 9 de setiembre de 2025) prohíbe unos pocos usos, exige transparencia, registros y supervisión humana a los de riesgo alto —como decidir a quién se contrata o a quién se da crédito— y deja el resto como «riesgo aceptable». Los plazos para cumplir van de uno a cuatro años.

Lo escribo desde el lado de quien integra IA en la operación de empresas. No es asesoría legal: es lo que dice el texto oficial, artículo por artículo, y cómo lo traduzco a decisiones de una pyme. Para tu caso concreto, consulta a un abogado.

¿A quién alcanza la ley de IA en Perú?

El reglamento se aplica a las entidades públicas, a las empresas del Estado y a las organizaciones del sector privado, la sociedad civil y la academia que forman parte del Sistema Nacional de Transformación Digital (artículo 3). Quedan fuera el uso de IA para fines personales y el de defensa y seguridad nacional (artículo 4).

Distingue tres roles (artículo 6):

  • Desarrollador: quien diseña, programa o entrena un sistema de IA.
  • Implementador: quien integra o despliega un sistema de IA dentro de un proceso productivo u operativo.
  • Usuario: la persona natural que usa el sistema una vez implementado, distinta del desarrollador y del implementador.

Por esas definiciones, una empresa que mete un asistente de IA en su atención al cliente, en sus cotizaciones o en su selección de personal es implementadora, aunque el modelo sea de un tercero. Esa es mi lectura del texto, no una opinión vinculante: quien emite opinión vinculante sobre el alcance de las normas de IA es la Secretaría de Gobierno y Transformación Digital de la PCM (artículo 8).

¿Qué usos de IA están prohibidos?

El artículo 23 prohíbe, como «uso indebido», los sistemas de IA destinados a:

  • Influir de forma engañosa o manipulativa en las decisiones de las personas, incluido aprovechar sus vulnerabilidades.
  • Generar capacidad letal autónoma en el ámbito civil.
  • Hacer vigilancia masiva sin base legal o con un impacto desproporcionado en derechos fundamentales.
  • Inferir a partir de datos biométricos el origen racial, las opiniones políticas, la religión o la orientación sexual de una persona, o clasificar personas con resultados discriminatorios.
  • Identificar biometría en tiempo real para categorizar personas en espacios públicos, con excepciones puntuales: la verificación que solo sirve para autenticar una identidad digital y la investigación preliminar de ciertos delitos graves.
  • Predecir que una persona cometerá un delito a partir de su perfil o de los rasgos de su personalidad.

Para una pyme típica, ninguno suele ser un uso cotidiano. Lo útil es saber que la lista existe y que el artículo 23.3 permite pedirle a la Secretaría una consulta si dudas de que tu sistema caiga en ella.

¿Qué es un sistema de IA de riesgo alto?

Todo lo que no es prohibido ni de riesgo alto es de «riesgo aceptable» (artículo 22.2) y solo debe cumplir los principios de la ley y del reglamento. El riesgo alto, según el artículo 24, incluye entre otros los sistemas que:

  • Gestionan activos críticos nacionales: energía, telecomunicaciones, salud, transporte, agua y banca.
  • Intervienen en la selección, evaluación, contratación y cese de trabajadores o postulantes, o fijan condiciones laborales.
  • Determinan la evaluación crediticia de una persona, salvo que sea para detectar fraude financiero.
  • Determinan el acceso a servicios de salud, o apoyan el tamizaje, el diagnóstico o el pronóstico del estado de salud de una persona.
  • Evalúan a niñas, niños y adolescentes en educación (acceso, resultados, nivel), salvo que sean una función complementaria que no reemplace la evaluación pedagógica humana.
  • Infieren las emociones de una persona en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad.

El texto agrega un criterio general: cualquier uso que ponga en riesgo la vida, la seguridad o los derechos de las personas, y que tenga alta probabilidad de discriminar o sea muy complejo de supervisar por una persona.

En la práctica: un asistente que responde precios, horarios o el estado de un pedido es de riesgo aceptable. Un filtro de CV con IA, o un modelo que decide a quién se le aprueba un crédito, es de riesgo alto.

¿Qué obligaciones tiene una empresa privada?

Para cualquier desarrollador o implementador, el artículo 31 pide:

  • Políticas y procedimientos claros de seguridad, privacidad, transparencia y rendición de cuentas, tomando como referencia estándares técnicos internacionales (31.2).
  • Educación y concientización interna: fomentar que los colaboradores conozcan los riesgos asociados al uso de IA y la adopten de forma segura, responsable y ética, conforme a la política aprobada por la empresa (31.3).

Solo para los sistemas de riesgo alto, además:

  • Un registro actualizado y accesible de los principios de funcionamiento del sistema, las fuentes de datos, la lógica del algoritmo y los impactos sociales y éticos esperados (31.1).
  • Supervisión humana en las decisiones con impacto significativo en salud, educación, justicia, finanzas y acceso a programas y servicios básicos: el personal debe estar capacitado para no sesgarse con los resultados del sistema y poder detener, corregir o invalidar su decisión (31.4).
  • Transparencia algorítmica (artículo 25): informar al usuario, antes y en lenguaje sencillo, para qué sirve el sistema, qué funciones tiene y qué tipo de decisiones puede tomar. Si el sistema decide algo que afecta derechos, hay que poder explicar a la persona afectada los criterios y factores clave. El etiquetado visible de que algo opera con IA es uno de los mecanismos posibles, y el texto exceptúa la IA que apoya procesos administrativos internos sin impacto directo en derechos o servicios.

Hay dos cosas que el reglamento exige al Estado y no al privado:

  • La evaluación de impacto de riesgo alto es obligatoria para las entidades públicas (artículo 30) y voluntaria para el sector privado (artículo 32). Si la haces, se documentan los hallazgos y las medidas correctivas y se conservan por lo menos tres años.
  • Los estándares técnicos, como la norma NTP-ISO/IEC 42001:2025 de gestión de sistemas de IA, el reglamento los promueve para el privado (artículo 33). Las entidades públicas sí deben usar la 42001 cuando desarrollan sistemas de IA (artículo 28.2).

Para los datos personales, el artículo 26 remite a la Ley 29733 y a su régimen sancionador. Eso lo desarrollé en qué datos de tu empresa puede ver una IA.

¿Desde cuándo corre cada plazo?

El reglamento entró en vigor a los 90 días hábiles de su publicación, así que ya rige. Pero la transparencia algorítmica (artículo 25) y las obligaciones del capítulo del sector privado (artículos 31 a 33) se activan por un cronograma que cuenta desde el día siguiente a la publicación, es decir, desde el 10 de setiembre de 2025 (Primera Disposición Complementaria Final).

Por sector:

  • Un año para salud, educación, justicia, seguridad, economía y finanzas: hasta el 10 de setiembre de 2026. Ese plazo ya venció; El Peruano lo recordó el 29 de agosto de 2026.
  • Dos años para transporte, comercio y trabajo: hasta setiembre de 2027.
  • Tres años para producción, agricultura, energía y minería: hasta setiembre de 2028.
  • Cuatro años para todo uso no incluido arriba: hasta setiembre de 2029.

Para las MYPE y los emprendimientos innovadores hay una lista aparte:

  • Pequeñas empresas, con ventas anuales de más de 150 UIT y hasta 1,700 UIT: dos años, hasta setiembre de 2027.
  • Microempresas, con ventas de hasta 150 UIT: tres años, hasta setiembre de 2028.

Con la UIT de 2026, que es de S/ 5,500, 150 UIT son S/ 825,000 y 1,700 UIT son S/ 9.35 millones al año.

El texto no dice cuál de las dos listas prevalece si una pyme opera, por ejemplo, en salud o finanzas, donde el plazo por sector era de un año. Si estás en ese caso, consúltalo con un abogado.

¿Qué falta por reglamentar?

El reglamento deja a la Secretaría de Gobierno y Transformación Digital emitir por resolución las guías, lineamientos y estándares que lo completan (Segunda Disposición Complementaria Final). Entre ellos están los lineamientos de transparencia algorítmica (artículo 25.4) y los lineamientos éticos (artículo 27.2, con un plazo de 180 días hábiles). Al 26 de octubre de 2026 no encontré publicados ninguno de los dos; si ya salieron cuando leas esto, ajustan los detalles de lo que expliqué arriba.

La norma complementaria más reciente que encontré es la Resolución 004-2026-PCM/SGTD, publicada el 21 de octubre de 2026, que aprueba la Directiva 002-2026-PCM/SGTD con el perfil y las responsabilidades del Oficial de Inteligencia Artificial, en el marco de la Estrategia Nacional de Inteligencia Artificial 2026-2030 (Resolución Ministerial 152-2026-PCM). Es para entidades públicas y no obliga a una empresa privada, pero muestra por dónde va la regulación: roles claros y una persona responsable con nombre.

Qué hacer esta semana si tu empresa usa IA

  1. Haz el inventario. Qué herramientas de IA usa tu equipo, incluidas las que usan por su cuenta, y para qué tarea.
  2. Marca los usos que deciden algo sobre una persona: contratar, evaluar, despedir, dar crédito, dar acceso a un servicio de salud. Esos son los candidatos a riesgo alto. El resto es riesgo aceptable.
  3. Escribe una política corta. Qué datos se pueden pegar en una IA, quién aprueba qué y dónde una persona revisa antes de que algo ocurra. Es lo que pide el artículo 31.2.
  4. Forma al equipo. El artículo 31.3 pide educación interna sobre riesgos y uso responsable. Esa es la razón de ser de un taller de adopción de IA para equipos: 4 horas, hasta 20 personas, S/ 1,900.
  5. Si tienes un uso de riesgo alto, arma el registro (fuentes de datos, lógica, impactos esperados), define quién puede detener la decisión y considera hacer la evaluación de impacto, aunque para el privado sea voluntaria.
  6. Mira la fecha que te toca según tu sector y tu tamaño.

¿Cómo lo trabajamos en Árkos?

En cada proyecto de integración de IA para empresas en Perú dejamos por escrito qué decide el sistema y qué decide una persona, qué fuente produjo cada respuesta y dónde una persona debe aprobar antes de que algo ocurra. Es el tipo de documentación que sirve igual para el equipo que para un registro como el del artículo 31.1. Sobre cómo lograr que esas reglas se usen, escribí adopción de IA en empresas.

Si primero necesitas ordenar qué procesos tienes y dónde usas, o podrías usar, IA, empieza por el diagnóstico de procesos: dos semanas, S/ 950 y garantía de devolución si no encuentra pérdidas de al menos tres veces su precio al año.

Preguntas frecuentes

¿La ley de IA de Perú se aplica a las pymes?

Sí. El reglamento incluye a las organizaciones del sector privado y trae plazos propios para las MYPE: dos años para las pequeñas (ventas de más de 150 UIT y hasta 1,700 UIT) y tres para las microempresas (hasta 150 UIT), contados desde el 10 de setiembre de 2025. Queda fuera el uso de IA para fines personales.

¿Usar ChatGPT o Copilot en mi empresa es de riesgo alto?

No por sí solo. Lo que define el riesgo es para qué se usa, no la herramienta. Redactar correos o resumir documentos internos es de riesgo aceptable; usarla para decidir a quién contratar, despedir o dar crédito es de riesgo alto (artículo 24). Si manejas datos de clientes o trabajadores, además aplica la Ley 29733.

¿Hay multas por incumplir el reglamento de la Ley 31814?

El reglamento no fija una escala propia de multas para el sector privado. Remite al régimen sancionador de la Ley 29733 para los incumplimientos en datos personales (artículo 26.2) y dispone que la Secretaría de Gobierno y Transformación Digital comunique a las autoridades competentes las presuntas vulneraciones de propiedad intelectual, datos personales u otros derechos (artículo 34.2). Cualquier persona puede alertar de un uso indebido en el canal gob.pe/iaperu (artículo 36).

¿Tengo que avisar que un servicio o un contenido usa IA?

Para los sistemas de riesgo alto, el etiquetado visible es uno de los mecanismos de transparencia, cuando sea relevante para la decisión o la interacción del usuario (artículo 25.2). El texto lo exceptúa si la IA solo apoya procesos administrativos internos sin impacto directo en derechos o servicios. Para los de riesgo aceptable, el reglamento no lo exige expresamente.

¿Mi empresa está obligada a seguir la norma ISO 42001?

No. Para el sector privado, el reglamento solo promueve el uso de estándares como la NTP-ISO/IEC 42001:2025 (artículo 33). La obligación de usar esa norma recae sobre las entidades públicas que desarrollan sistemas de IA (artículo 28.2).

Fuentes