Ley 31814: obligaciones y plazos para empresas que utilizan IA

La Ley N.° 31814 fue publicada el 5 de julio de 2023. Promueve el uso de la inteligencia artificial en la transformación digital del país, con respeto de los derechos humanos. Establece principios de seguridad basada en riesgos, desarrollo ético, transparencia y protección de la privacidad. El artículo 4 designa a la Presidencia del Consejo de Ministros (PCM), a través de la Secretaría de Gobierno y Transformación Digital, como autoridad técnico-normativa nacional. Esa autoridad dirige, evalúa y supervisa el uso y la promoción de la tecnología. (Congreso de la República del Perú, 2023)

El Decreto Supremo N.° 115-2025-PCM se publicó el 9 de setiembre de 2025. Aprobó el Reglamento de la Ley N.° 31814. El Reglamento tiene seis títulos, 36 artículos y seis disposiciones complementarias finales. (Presidencia del Consejo de Ministros, 2025) Su artículo 3 incluye en el ámbito de aplicación a las organizaciones del sector privado, además de las entidades públicas, la sociedad civil, la ciudadanía y la academia. El artículo 4 excluye el uso de sistemas de inteligencia artificial para fines personales. (Diario Oficial El Peruano, 2025)

El artículo 6 distingue entre desarrollador e implementador. El desarrollador diseña, programa o entrena sistemas de inteligencia artificial. El implementador integra o despliega esos sistemas en procesos productivos u operativos. Una empresa que incorpora inteligencia artificial de terceros a un proceso operativo puede quedar comprendida como implementadora sin haber desarrollado el modelo. Un caso hipotético: una empresa contrata un agente de atención al cliente a un proveedor externo y lo conecta a su operación. En ese caso, la empresa puede ser implementadora. (Diario Oficial El Peruano, 2025)

Los artículos 22, 23 y 24 clasifican los sistemas de inteligencia artificial en tres categorías: uso indebido, riesgo alto y riesgo aceptable. El uso indebido está prohibido. Incluye la manipulación engañosa de decisiones, la vigilancia masiva sin base legal y ciertos usos discriminatorios de datos biométricos. Los sistemas de riesgo alto pueden utilizarse bajo condiciones y controles específicos. Los sistemas de riesgo aceptable no quedan exentos del cumplimiento de la Ley y el Reglamento. (Diario Oficial El Peruano, 2025)

El artículo 25 obliga al desarrollador o implementador de un sistema de riesgo alto a informar previamente al usuario. La información abarca la finalidad del sistema, sus principales funcionalidades y las decisiones que puede tomar. Debe ser clara y sencilla, y respeta el secreto industrial y comercial. Cuando las decisiones impactan derechos humanos, debe garantizarse una explicación comprensible de los criterios y factores clave. (Diario Oficial El Peruano, 2025)

El artículo 31 exige a desarrolladores e implementadores de sistemas de riesgo alto mantener registros actualizados y accesibles. Los registros cubren el funcionamiento, las fuentes de datos, la lógica algorítmica y los impactos sociales y éticos esperados. El artículo también dispone políticas y procedimientos de seguridad, privacidad, transparencia, explicabilidad y rendición de cuentas. Exige supervisión humana en sistemas de riesgo alto cuyas decisiones puedan producir impactos significativos en salud, educación, justicia, finanzas y acceso a servicios básicos. La PCM identifica estas responsabilidades como obligaciones del sector privado. (Presidencia del Consejo de Ministros, 2026)

• Un inventario de sistemas permite identificar cuáles quedan sujetos a las obligaciones de riesgo alto. (Diario Oficial El Peruano, 2025; Presidencia del Consejo de Ministros, 2026)
• El artículo 26 exige cumplir la normativa vigente de privacidad y protección de datos personales. (Diario Oficial El Peruano, 2025)
• El artículo 31 dispone fomentar la educación interna de los colaboradores. (Presidencia del Consejo de Ministros, 2026)
• El etiquetado visible admite una salvedad para la inteligencia artificial que apoya procesos administrativos internos sin impacto directo en decisiones que afecten derechos o servicios de las personas. (Diario Oficial El Peruano, 2025)

El decreto establece que el Reglamento entra en vigencia a los 90 días hábiles siguientes de su publicación. Las disposiciones complementarias finales primera, segunda, cuarta y quinta rigen desde el día siguiente de la publicación. (Presidencia del Consejo de Ministros, 2025) La primera disposición establece una implementación progresiva del artículo 25 y del capítulo II del título VI para desarrolladores e implementadores privados. Estos plazos de implementación no suspenden la vigencia general del Reglamento. (Diario Oficial El Peruano, 2025)

Los plazos se cuentan desde el día siguiente de la publicación del decreto. Salud, educación, justicia, seguridad, economía y finanzas tienen un año, con vencimiento nominal el 10 de setiembre de 2026. Transporte, comercio y trabajo tienen dos años, hasta el 10 de setiembre de 2027. Producción, agricultura, energía y minería tienen tres años, hasta el 10 de setiembre de 2028. Los usos no incluidos en esos sectores tienen cuatro años, hasta el 10 de setiembre de 2029. (Diario Oficial El Peruano, 2025)

La primera disposición fija además un cronograma para desarrolladores o implementadores privados considerados MYPES o emprendimientos innovadores. Las pequeñas empresas con ventas anuales superiores a 150 UIT y hasta 1700 UIT tienen dos años. Las microempresas con ventas anuales de hasta 150 UIT y otros equivalentes tienen tres años. La disposición no desarrolla expresamente cómo resolver todos los supuestos de concurrencia entre este cronograma y el sectorial. (Diario Oficial El Peruano, 2025) Cada organización puede documentar el criterio que aplica.

El artículo 36 establece un mecanismo para alertar sobre usos indebidos de inteligencia artificial o incumplimientos de las obligaciones de desarrolladores e implementadores. El mecanismo opera mediante el canal digital de inteligencia artificial de la PCM. Cuando se advierte afectación de derechos fundamentales, la Secretaría de Gobierno y Transformación Digital traslada la información a las autoridades competentes. (Diario Oficial El Peruano, 2025)

Las personas afectadas también pueden comunicar los hechos o denunciar ante Indecopi, la División de Investigación de Ciberdelincuencia, la Autoridad Nacional de Protección de Datos Personales u otras entidades competentes. El artículo 36 no establece por sí mismo una escala general de multas monetarias por infracciones al Reglamento. El artículo 26 exige cumplir la normativa vigente de privacidad y protección de datos personales. (Diario Oficial El Peruano, 2025)

La segunda disposición complementaria final faculta a la Secretaría de Gobierno y Transformación Digital para aprobar normas complementarias, especificaciones técnicas, estándares, guías y lineamientos. La cuarta disposición encargó formular la Estrategia Nacional de Inteligencia Artificial al año 2030. La PCM registra la Resolución Ministerial N.° 152-2026-PCM como aprobación de la Estrategia Nacional de Inteligencia Artificial 2026-2030. (Presidencia del Consejo de Ministros, 2026)

El método DMG-RT de Dmunoz Group asocia cada intervención tecnológica con un indicador de negocio. Ninguna configuración, automatización o tablero entra al plan sin un indicador que lo justifique y una línea base medida. El beneficio se calcula contra una línea base reproducible, aprobada por finanzas del cliente.

En procesos financieros, Dmunoz Group trabaja con dos indicadores: días de cobranza y días de cierre contable. Para la cobranza aplica seguimiento automatizado de pagos, recordatorios por niveles y un tablero de cartera por antigüedad. Para el cierre aplica importación de extractos, reglas de conciliación y plantillas de asientos recurrentes. Cuando un sistema de inteligencia artificial participa en decisiones financieras con impacto significativo, el artículo 31 exige supervisión humana si el sistema es de riesgo alto. (Presidencia del Consejo de Ministros, 2026)

El servicio de agentes de inteligencia artificial de Dmunoz Group atiende un problema frecuente: las consultas repetidas por WhatsApp y correo consumen horas del equipo y no quedan registradas. El servicio incluye un agente conectado a WhatsApp o a la aplicación del cliente. Registra las solicitudes de forma automática en el ERP y aplica reglas de escalamiento a una persona. Incluye también un panel de conversaciones. Dmunoz Group empieza por un caso acotado, mide con el equipo del cliente y amplía cuando funciona.

En la fase de diseño, DMG-RT fija una línea base firmada y un plan de medición. En la implementación, los indicadores, las acciones correctivas y las actas se registran en el ERP del cliente. Todo indicador comprometido se calcula con una consulta o un tablero repetible. El proyecto termina con dueños de indicador nombrados, un manual de operación y revisiones a los 3, 6 y 12 meses. Una oportunidad sin fuente de datos se reporta como cualitativa.