La Ley Estatutaria 2573 del 19 de mayo de 2026 cambió las reglas del juego para las entidades financieras, crediticias, operadores de telecomunicaciones y comercios que aprueban o financian productos en Colombia. La norma protege a las víctimas de suplantación de identidad frente a cobros y reportes negativos originados en fraude, y sus disposiciones serán plenamente exigibles hacia noviembre de 2026.
¿Qué cambia con esta ley?
El cambio más relevante es conceptual: ya no prueba la víctima, prueba la entidad. Si un cliente denuncia suplantación, la carga de demostrar que el proceso de verificación fue adecuado recae sobre quien prestó el servicio. Si no puede acreditarlo, pierde el derecho al cobro y absorbe la pérdida.
Las cinco obligaciones que impone la norma
- Verificar la identidad con medidas suficientes y razonables: El artículo 5 exige medidas de seguridad digital que establezcan de forma efectiva la veracidad de la identidad. La ley no impone una tecnología específica, pero sí un resultado demostrable.
- Suspender cobros de inmediato ante denuncia de suplantación: Ante un reclamo, la entidad debe suspender capital, intereses y gastos de cobranza, y realizar la marcación "Víctima de Falsedad Personal" ante los operadores de información, sin afectar el score del titular.
- Entregar toda la evidencia de la vinculación: A solicitud del presuntamente suplantado, la entidad debe entregar copia de todos los documentos usados para aprobar el producto. La negativa no está permitida.
- Asumir la carga dinámica de la prueba: Prueba quien está en mejores condiciones: la entidad. Si no puede acreditar que su verificación funcionó, pierde el derecho al cobro y absorbe la pérdida.
- Conservar evidencia verificable y trazable: Documentos, resultados biométricos, scores, IP, datos del dispositivo y decisiones del motor antifraude conforman el expediente que exigirán la SIC y la Superfinanciera.
¿Cuál es el riesgo real?
Más allá de la Ley 2573, la norma se articula con la Ley de Habeas Data (Ley 1266 de 2008) y la Ley de Protección de Datos (Ley 1581 de 2012). Las fallas en verificación y conservación de evidencia exponen a multas de hasta 2.000 SMLMV y a la suspensión del tratamiento de datos en canales digitales.
¿Qué le van a pedir en un reclamo?
Bajo carga dinámica de la prueba, cada vinculación digital es un expediente probatorio potencial. Los supervisores y jueces preguntarán:
- ¿Quién se vinculó y cómo se validó su identidad?
- ¿La persona estaba presente, o fue una foto, video o deepfake?
- ¿El mismo rostro intentó vincularse con otras identidades?
- ¿Qué controles se aplicaron y qué resultado produjo cada uno?
- ¿La evidencia es íntegra y está protegida?
- ¿Puede reconstruir el expediente en los plazos de ley?
¿Cómo prepararse antes de noviembre de 2026?
Antes de que la ley sea plenamente exigible, cada entidad debe responder con honestidad: ¿Conservamos un expediente probatorio completo por cada vinculación digital? ¿Nuestra prueba de vida detecta fotos, videos y deepfakes, o es una simple selfie? ¿Podemos entregar la evidencia de una vinculación en los plazos que exige la ley? ¿Tenemos protocolo de suspensión inmediata de cobros? ¿Jurídica, fraude, riesgo y tecnología actúan coordinados frente a reclamaciones?
Si alguna respuesta genera duda, el momento de actuar es ahora.