Vence en Perú el primer plazo de la ley de IA para empresas de salud, educación, justicia, seguridad y finanzas

Este jueves 10 de septiembre vence en Perú el primer plazo de adecuación del reglamento de la ley de inteligencia artificial. Desde hoy, las empresas privadas que desarrollan o usan sistemas de inteligencia artificial en salud, educación, justicia, seguridad, y economía y finanzas tienen que cumplir las obligaciones que la norma reservó para esos sectores.

La fecha tiene una cuenta detrás. El reglamento de la Ley 31814, aprobado por el Decreto Supremo 115-2025-PCM, se publicó en el diario oficial El Peruano el 9 de septiembre de 2025 y fijó un calendario escalonado de uno a cuatro años según el sector donde se usa la tecnología. Este es el primer escalón.

Conviene no agrandar su alcance. El estudio CMS en Perú aclaró en una alerta legal que la fecha "no supone la entrada en vigor integral" de todas las obligaciones del reglamento, sino el vencimiento del primer plazo para ciertas disposiciones del sector privado, sobre todo las vinculadas con la transparencia algorítmicaObligación o principio por el cual quien desarrolla o usa un sistema automatizado informa de forma clara para qué sirve, cuáles son sus funciones principales y qué tipo de decisiones toma o apoya. y la gobernanza de los sistemas. Oscar Montezuma, director ejecutivo de la consultora Niubox Legal Digital, lo dijo con menos palabras en El Peruano: "Lo que entra en vigor son las obligaciones específicas por cada sector". Según Montezuma, buena parte de las obligaciones generales, como la rendición de cuentas, la supervisión humana y la transparencia, ya regían para el sector público y para el privado.

Avisar al usuario y poder frenar a la máquina

El centro de lo que se activa es la transparencia algorítmica en los sistemas de alto riesgo. Así lo resumieron por separado CMS y el estudio Echecopar, citado por El Peruano el 31 de agosto. En la práctica, según la descripción de Montezuma, las empresas deben informar a los usuarios por adelantado, de forma clara y sencilla, para qué sirve el sistema, cuáles son sus funciones principales y qué tipo de decisiones automatizadas puede tomar. También deben señalar de manera visible cuándo un contenido, un servicio o un producto está generado u operado con inteligencia artificial.

Para los sistemas de alto riesgo, las exigencias crecen. El personal tiene que poder detener, corregir o invalidar las decisiones automatizadas, y la empresa debe mantener un registro actualizado con los principios de funcionamiento del sistema, las fuentes de datos, la lógica del algoritmo y los impactos sociales y éticos esperados. A eso se suman políticas, protocolos y procedimientos sobre seguridad, privacidad, explicabilidad y rendición de cuentas.

Qué cuenta como alto riesgo depende del uso y no de la tecnología. CMS menciona como posibles casos la selección o evaluación de trabajadores, la evaluación crediticia y el acceso a servicios de salud o de educación. Andin, una empresa que vende software de gestión para cumplir la norma, agrega en su análisis del reglamento que el plazo lo fija el sector del uso y no el rubro de la empresa, y que quien despliega en su operación un sistema desarrollado por un tercero queda como implementador, alcanzado igual que el desarrollador.

Dos puntos que el primer plazo no aclara

El primero es la evaluación de impacto. Montezuma la incluyó entre las obligaciones específicas de los cinco sectores. Andin sostiene otra cosa: para el sector privado, el reglamento plantea esa evaluación previa como voluntaria, mientras que para las entidades de la Administración Pública es obligatoria en el mismo supuesto. Quien la hace, siempre según Andin, debe conservar la documentación por al menos tres años. LatamByte no pudo contrastar ninguna de las dos lecturas con el articulado completo.

El segundo es qué pasa si una empresa no cumple. De acuerdo con Andin, el reglamento no crea un régimen sancionador propio para el sector privado. La autoridad es la Presidencia del Consejo de Ministros, a través de su Secretaría de Gobierno y Transformación Digital, que supervisa, puede pedir información y, si detecta una vulneración de datos personales, de propiedad intelectual o de otros derechos, la comunica a la autoridad competente para que fiscalice y sancione. En datos personales rige la Ley 29733, y existe además un canal público de alertas y denuncias ciudadanas. Según esa lectura, el control del primer plazo descansa en la supervisión y en autoridades que ya existían, no en multas nuevas.

Montezuma dejó su propia advertencia. Perú, dijo, fue uno de los primeros países en regular la inteligencia artificial, pero "ser el primero no equivale siempre a ser el mejor": todavía faltan condiciones para llevar la norma "del papel a la acción".

Un calendario de cuatro años

Después de este primer bloque vienen tres más, uno por año. Al cumplirse dos años del reglamento vence el plazo para los usos en transporte, comercio y trabajo; a los tres años, el de producción, agricultura, energía y minería; y a los cuatro, el de todos los demás usos. Las micro y pequeñas empresas y los emprendimientos innovadores tienen plazos diferenciados: según Andin, dos años para las pequeñas empresas y tres para las microempresas.

Andin señala dos cabos sueltos en ese calendario. El reglamento escribe plazos y no fechas, de modo que no queda claro si cada año vence el 9 o el 10 de septiembre. Tampoco resuelve qué plazo rige para una pequeña empresa que tiene usos en alguno de los cinco sectores de este primer bloque; ante la duda, Andin recomienda tomar el más corto.

Para las empresas alcanzadas, la tarea inmediata es inventariar sus sistemas, clasificarlos por riesgo y cerrar las brechas pendientes. Es lo que CMS y Montezuma pedían antes del vencimiento, y lo que las empresas de transporte, comercio y trabajo tendrán que hacer dentro de un año.