Lo que se escalona son las obligaciones. La prohibición ya rige.
La Ley 31814 promueve el uso de la inteligencia artificial y fija el enfoque basado en riesgos
como principio. Las obligaciones concretas las trae su reglamento, que clasifica los sistemas
en tres categorías —uso indebido, riesgo alto y riesgo aceptable— y le pide al desarrollador o
implementador transparencia, registro, supervisión humana y políticas propias
tomando como referencia estándares técnicos internacionales, y más
adelante enumera cinco de esos estándares con nombre y edición.
Disponible hoy El reglamento rige desde los noventa días hábiles siguientes
a su publicación en El Peruano, del 9 de setiembre de 2025. Lo escalonado es solo una parte.
A quién le aplica
Primero: si le corre a usted
El reglamento se aplica a las entidades de la Administración Pública, a las empresas del Estado
—las del ámbito FONAFE y las públicas de gobiernos regionales y locales— y a las organizaciones
del sector privado, la sociedad civil, la ciudadanía y la academia que integran el Sistema
Nacional de Transformación Digital. Ese último calce, para una empresa determinada, es una
lectura legal: hágala antes de decidir que no le toca.
Dos excepciones expresas
El reglamento no se aplica al uso de sistemas de IA para fines personales, ni al uso para
defensa y seguridad nacional, y este segundo solo si respeta los principios rectores de
protección de derechos fundamentales, no discriminación, seguridad, proporcionalidad y
fiabilidad, y supervisión y rendición de cuentas. Fuera de esos dos supuestos no hay
exclusión por tamaño ni por industria: lo que cambia con el tamaño es el plazo.
Desarrollador o implementador
Las obligaciones del sector privado no se dirigen a «la empresa que hace IA», sino al
desarrollador —quien diseña, programa o entrena el sistema— y al implementador —quien lo
integra o despliega dentro de un proceso productivo u operativo—. Desplegar el sistema de
un tercero en su operación lo pone en la segunda categoría.
El cronograma
Cuándo le corre, y qué es lo que espera
Lo que se implementa de forma gradual es el artículo de transparencia algorítmica y el capítulo
de obligaciones del sector privado. El resto del reglamento no está escalonado y ya le corre: la
clasificación por riesgo, la prohibición del uso indebido, la sujeción a la normativa de datos
personales, y los deberes de conducta ética, que por su letra obligan a todo desarrollador,
implementador y usuario —entre ellos, implementar estándares o normas técnicas para identificar
y minimizar los sesgos de sus algoritmos y de sus datos—. Para la pista general el plazo lo fija
el sector del uso, no el rubro de la empresa: un mismo negocio puede tener usos en bloques
distintos.
1 año
Usos de IA en salud, educación, justicia, seguridad, economía y finanzasVence hacia el 10 de setiembre de 2026
2 años
Usos de IA en transporte, comercio y trabajoVence hacia el 10 de setiembre de 2027
3 años
Usos de IA en producción, agricultura, energía y mineríaVence hacia el 10 de setiembre de 2028
4 años
Todos los usos no incluidos en los sectores anterioresVence hacia el 10 de setiembre de 2029
Si es MYPE o emprendimiento innovador, hay una tercera pista, por tamaño
2 años
Pequeña empresa: ventas anuales sobre 150 UIT y hasta 1.700 UITVence hacia el 10 de setiembre de 2027
3 años
Microempresa: ventas anuales hasta 150 UITVence hacia el 10 de setiembre de 2028
El reglamento escribe plazos, no fechas: de uno a cuatro años contados desde el día siguiente
de su publicación, que fue el 9 de setiembre de 2025. Las fechas de arriba son esa suma y por
eso van con «hacia» — el texto no zanja si el año vence el 9 o el 10 de setiembre. Y el
reglamento tampoco resuelve qué pista manda cuando una MYPE tiene además un uso del primer
bloque: eso es una lectura legal, y hasta tenerla el plazo prudente es el más corto de los dos.
Verifique en la fuente en qué pista y en qué bloque cae cada uno de sus usos.
Qué exige
Qué le pide el reglamento a una empresa privada
No pide una tecnología: pide un sistema de gestión alrededor de la que ya usa. Cuatro de las
seis piezas se activan solo si el sistema quedó clasificado como de riesgo alto; las otras dos
corren sobre todos sus usos de IA.
Clasificación por riesgo
Tres categorías: uso indebido —prohibido, con una lista tasada que incluye la manipulación
deliberada, la vigilancia masiva sin base legal y la inferencia de datos sensibles a partir
de biometría—, riesgo alto, y riesgo aceptable como categoría residual. La clasificación es
el primer acto porque de ella cuelga casi todo lo demás. El reglamento no manda documentar
cómo se llegó a ella; sí faculta a la autoridad a pedir información para verificar el
cumplimiento. Ante la duda, habilita consultar a la autoridad antes de decidir.
Transparencia algorítmica riesgo alto
Informar al usuario de forma previa, clara y sencilla sobre la finalidad o uso del sistema,
sus funcionalidades principales y el tipo de decisiones que puede tomar, respetando el
secreto industrial y comercial. Puede incluir etiquetado visible. Si el sistema toma
decisiones que impactan derechos humanos, hay que poder explicar sus resultados al afectado
en lenguaje accesible.
Registro del funcionamiento riesgo alto
Un registro actualizado y accesible, con enfoque preventivo, sobre los principios de
funcionamiento del sistema, las fuentes de datos utilizadas, la lógica del algoritmo y los
impactos sociales y éticos esperados. El contenido está tasado: no alcanza con la
documentación de proyecto.
Supervisión humana riesgo alto
Exigible en los sistemas de riesgo alto, sobre decisiones con impacto significativo en
salud, educación, justicia, finanzas y acceso a programas y servicios básicos. El personal
debe cumplir dos condiciones mínimas: estar capacitado para no sesgarse por el resultado
del sistema, y poder detener, corregir o invalidar sus decisiones.
Políticas y procedimientos
Políticas, protocolos y procedimientos claros que preserven la seguridad y la privacidad,
promuevan la transparencia y la explicabilidad y garanticen la rendición de cuentas,
tomando como referencia estándares técnicos internacionales. Se suma la concientización
interna del equipo sobre los riesgos del uso de IA. Esta obligación no está acotada a
riesgo alto.
Evaluación de impacto riesgo altovoluntaria
Es la evaluación previa de un sistema de riesgo alto, y para el sector privado el reglamento
la plantea como voluntaria; con el mismo supuesto de hecho es obligatoria para las entidades
de la Administración Pública. Quien la hace documenta sus hallazgos y las medidas
correctivas y conserva esa documentación por un mínimo de tres años, como evidencia frente
a una autoridad judicial o administrativa.
Las seis salen del reglamento, no de la ley. La Ley 31814 promueve el uso de la inteligencia
artificial y designa la autoridad —la Presidencia del Consejo de Ministros, a través de la
Secretaría de Gobierno y Transformación Digital—, pero por sí sola no impone ninguno de estos
deberes.
Los estándares
El reglamento sí nombra contra qué medirse
La obligación de políticas y procedimientos remite a «estándares técnicos internacionales» sin
precisar cuáles. Dos artículos más adelante, en el que trata de estándares y mejores prácticas,
el propio reglamento nombra cinco. Que esa lista sea el referente de aquella obligación es una
lectura razonable, no un reenvío que el texto escriba.
Los que el reglamento enumera
La autoridad promueve el uso de estándares internacionales o de sus adopciones nacionales
aprobadas por INACAL, y nombra cinco: NTP-ISO/IEC 42001:2025 (sistema de gestión de
inteligencia artificial), ISO/IEC 38507:2022 (gobernanza del uso de IA en las
organizaciones), ISO/IEC 23053:2022 (marco para sistemas de aprendizaje automático), y
NTP-ISO/IEC 27002:2022 y 27005:2022 en seguridad de la información. Deja abierto usar otras
normas técnicas vigentes según el sector.
Lo que el Estado se exigió a sí mismo
A las entidades de la Administración Pública el reglamento no les promueve la
NTP-ISO/IEC 42001:2025: se las impone para el desarrollo de sistemas basados en IA. Al
sector privado no le es exigible.
Qué significa para una empresa privada
Que la pregunta «¿qué estándar internacional tomaron como referencia?» tiene cinco
candidatas escritas en el propio reglamento. Alinearse a la 42001 no es una obligación,
pero es la que el texto nombra para un sistema de gestión de IA. Si va a presupuestar una
certificación, confirme antes que exista un organismo acreditado para esta norma.
Cómo ayuda Andin
El sistema de gestión de IA, con la evidencia adentro
Andin es el sistema de gestión donde viven los casos de uso inventariados, clasificados y con
registro de cada decisión material. Cubre el rastro documental; no reemplaza la decisión legal
sobre qué le aplica a usted.
Disponible hoy
Cumplimiento continuo mapeado a norma
El sistema de gestión como proceso vivo: la evidencia se genera trabajando, con registro
por acto y mapeo a la norma.
Disponible hoy
Dato listo para IA, con las personas protegidas
Antes de que el dato llegue al modelo: identificadores protegidos de forma determinista, lo
dudoso a revisión humana, y el catálogo con procedencia de dónde salió cada cosa.
En uso · adopción temprana
La supervisión humana, registrada
Los copilotos de Andin operan bajo la misma regla que el reglamento pide para los sistemas
de riesgo alto: el sistema propone y la persona aprueba, con capacidad de detener o
corregir, y cada acto material queda con su responsable y su fecha.
Andin genera y ordena la evidencia. La certificación contra la norma técnica, cuando
corresponde, la emite un organismo acreditado; Andin sostiene el registro con el que usted la
respalda.
Preguntas frecuentes
Preguntas frecuentes
Usamos IA de un proveedor, no la desarrollamos. ¿Igual nos alcanza?
Sí, en principio. El reglamento define al implementador como quien integra o despliega un
sistema basado en IA dentro de un proceso productivo u operativo, y dirige las obligaciones
del sector privado al desarrollador o implementador, sin distinguir. Quién responde por qué
en su contrato con el proveedor es otra conversación, y es de su asesoría legal. Lo que no
depende de esa lectura es el inventario de sus propios casos de uso: la clasificación por
riesgo mira el uso concreto que usted le da al sistema.
¿Qué estándar internacional deberíamos tomar?
El reglamento nombra cinco, y para un sistema de gestión de inteligencia artificial el que
corresponde es la NTP-ISO/IEC 42001:2025. Para el sector privado es promoción, no
obligación; a las entidades públicas el mismo reglamento se la impone. Alinearse a ella es
la respuesta anclada al texto, y la decisión final es de su asesoría legal.
¿Qué pasa si no cumplimos?
El reglamento no crea un régimen sancionador propio para el sector privado. La autoridad
supervisa, puede requerir información para verificar el cumplimiento y, cuando toma
conocimiento de una vulneración a la propiedad intelectual, a la protección de datos
personales o a otros derechos, lo comunica a la autoridad competente para las acciones
fiscalizadoras y sancionadoras. En datos personales, el régimen aplicable es el de la Ley
29733. Existe además un canal público de alertas y denuncias ciudadanas.
¿Andin nos certifica contra esa norma?
La certificación la emite un organismo acreditado. Andin construye y conserva la evidencia
con la que usted llega a esa auditoría con el trabajo hecho.
Ya tenemos ISO 27001. ¿Sirve de algo?
Sirve como base: la estructura de sistema de gestión es la misma, buena parte del gobierno
se reutiliza, y entre los estándares que el reglamento nombra están las normas peruanas de
controles y de gestión de riesgos de seguridad de la información. Lo que se agrega es el
inventario de casos de uso de IA, su clasificación por riesgo y el registro de la
supervisión humana.
Nuestro sector entra recién en 2028. ¿Podemos esperar?
Primero verifique la fecha: en la pista general el bloque lo fija el sector del uso y no el
rubro de la empresa, y un mismo negocio puede tener usos que caen en el primer bloque. Si
además es MYPE hay una tercera pista, por tamaño, y el reglamento no dice cuál manda cuando
le calzan las dos. Después, verifique qué es lo que espera: el cronograma solo alcanza a la
transparencia algorítmica y al capítulo de obligaciones del sector privado. No están
escalonadas —y por lo tanto ya le corren— la prohibición del uso indebido, la sujeción a la
normativa de datos personales y las obligaciones de conducta ética. Y el inventario de
casos de uso es el insumo de todo lo demás: sin él no hay clasificación ni registro.
Conversemos
Si alguno de sus usos cae en el primer bloque, el plazo ya está encima.
Los usos en salud, educación, justicia, seguridad, economía y finanzas van primero. Conversemos
sobre cómo levantar el inventario de casos de uso, clasificarlos y dejar corriendo el registro
que sostiene la respuesta.