¿Qué es la regulación de IA en Perú?
Regulación de la IA: países y regiones
La regulación de IA en Perú es un marco por capas construido en torno a la Ley N.° 31814, su reglamento de implementación aprobado en 2025, el régimen más amplio de transformación digital del país y las normas peruanas de protección de datos personales. Otorga a la Presidencia del Consejo de Ministros, a través de la Secretaría de Gobierno y Transformación Digital, el papel rector; clasifica los usos de IA como prohibidos, de alto riesgo o de riesgo aceptable; impone deberes de transparencia, supervisión y gobernanza; y se apoya en las autoridades sectoriales y de protección de datos existentes para gran parte de la aplicación.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Perú cuenta con regulación de IA vinculante, aunque no en forma de un código de IA autónomo. La ley de 2023 es relativamente breve y orientada a principios. El reglamento de 2025 realiza el trabajo práctico: establece las categorías de riesgo, identifica los usos prohibidos y de alto riesgo, asigna responsabilidades y añade calendarios de implementación.
El modelo es basado en riesgos. Algunos usos de IA están prohibidos de plano, otros solo se permiten con controles más estrictos, y los usos de menor riesgo están generalmente permitidos siempre que respeten la ley, la privacidad y los derechos fundamentales. Esto acerca el marco peruano a un modelo de gobernanza gradual más que a un modelo de licencias generalizadas.
Además, coexiste con otros regímenes jurídicos. Si un sistema de IA involucra datos personales, relaciones con consumidores, administración pública, incidentes cibernéticos o propiedad intelectual, las normas y autoridades peruanas correspondientes siguen siendo aplicables. Por ello, el cumplimiento en materia de IA en Perú es más amplio que la ley de IA por sí sola.
Por qué importa
El marco peruano importa porque convierte la IA de un tema puramente de innovación en uno de gobernanza y rendición de cuentas. Un banco que usa IA para la calificación crediticia, un hospital que la emplea en el triaje o el diagnóstico, un ministerio que construye un servicio público respaldado por IA, o un empleador que utiliza herramientas de selección ahora debe preguntarse no solo si el sistema funciona, sino si cae en una categoría prohibida o de alto riesgo, qué transparencia debe ofrecerse, quién puede anularlo, cómo se gestionan sus datos y qué autoridad puede revisar las reclamaciones. La implementación por fases significa que algunos plazos aún están por llegar, pero los consejos de administración, fundadores, equipos de contratación y funcionarios públicos ya deberían estar inventariando los usos, asignando responsabilidades y construyendo evidencia de que existen controles.
Cómo funciona
La arquitectura jurídica central
El régimen de IA de Perú cuenta ahora con varias capas. En primer lugar, la Ley N.° 31814 declara que la promoción de la IA es de interés nacional y establece principios amplios como la seguridad basada en riesgos, la pluralidad de participantes, el desarrollo ético y la privacidad. En segundo lugar, el Decreto Supremo N.° 115-2025-PCM convierte esa ley de alto nivel en normas operativas sobre clasificación de riesgos, transparencia, gobernanza y obligaciones. En tercer lugar, la arquitectura más amplia de transformación digital de Perú otorga sustento institucional al régimen de IA. En cuarto lugar, la Estrategia Nacional de IA 2026-2030, aprobada en 2026, proporciona la hoja de ruta estratégica vigente. En la práctica cotidiana, el reglamento es el texto principal de cumplimiento. Llegó más tarde de lo que el calendario original de la ley preveía, pero es el marco operativo actualmente en vigor.
Quién está a cargo
Perú no creó un superregulador de IA independiente. La autoridad rectora es la Presidencia del Consejo de Ministros, que actúa a través de la Secretaría de Gobierno y Transformación Digital, o SGTD. La SGTD es la autoridad técnica y normativa nacional en materia de IA. Puede emitir normas complementarias y opiniones interpretativas vinculantes, supervisar los usos prohibidos y de alto riesgo, coordinar el desarrollo de capacidades, apoyar entornos de pruebas controlados y actuar como punto de contacto nacional.
Los demás organismos públicos mantienen sus propias competencias. Los asuntos de protección de datos personales siguen siendo competencia de la autoridad nacional de datos personales en el Ministerio de Justicia. Los asuntos de consumo, competencia y algunos de propiedad intelectual pueden corresponder a INDECOPI. Los fallos del sector público pueden escalarse a la Contraloría General. Los asuntos penales pueden derivarse hacia las autoridades competentes en ciberdelincuencia u otras. Esto significa que el modelo de IA de Perú está centralizado en el nivel de política y coordinación, pero distribuido en el nivel de aplicación.
Cómo clasifica Perú los riesgos de IA
El reglamento peruano divide la IA en tres grandes grupos: uso indebido prohibido, uso de alto riesgo y uso de riesgo aceptable.
El uso indebido prohibido incluye sistemas manipuladores o engañosos que distorsionan la toma de decisiones; capacidad letal autónoma en el ámbito civil sin supervisión humana; vigilancia masiva sin base legal o con impacto desproporcionado en los derechos fundamentales; inferencia discriminatoria de rasgos sensibles a partir de datos biométricos; cierta categorización biométrica en tiempo real de personas físicas en espacios públicos; y predicción de delitos basada en perfiles o rasgos de personalidad. La norma biométrica no es absoluta, ya que el reglamento preserva excepciones estrictas para la autenticación de identidad digital y la investigación preliminar de delitos graves específicamente listados.
Los usos de alto riesgo incluyen la gestión de activos críticos que sustentan servicios esenciales; la evaluación educativa de menores; la selección, evaluación, contratación y despido en el ámbito laboral; el acceso a programas sociales; la calificación crediticia al consumidor distinta de la detección de fraude; el acceso a la atención sanitaria y el diagnóstico o triaje clínicamente significativo; la inferencia de emociones en el trabajo o en centros educativos, salvo por razones médicas o de seguridad estrictamente definidas; y otros usos que pongan en riesgo material la vida, la libertad, la dignidad o los derechos fundamentales y que resulten difíciles de supervisar de manera significativa.
Todo lo demás se trata como riesgo aceptable, pero no como no regulado. Los sistemas de menor riesgo igualmente deben respetar la ley, los principios generales del reglamento y otros regímenes aplicables, especialmente en materia de privacidad, seguridad y normas sectoriales.
Qué deben hacer los sistemas de alto riesgo
Para la IA de alto riesgo, el reglamento peruano hace hincapié en la transparencia, la supervisión humana y la gobernanza documentada, en lugar de un régimen de licencias de propósito general. Los desarrolladores o implementadores deben proporcionar a los usuarios información previa y clara sobre el propósito del sistema, sus funciones principales y los tipos de decisiones que puede tomar. Puede ser necesario un etiquetado visible cuando sea relevante para la interacción. Cuando la toma de decisiones automatizada afecte a derechos humanos, el usuario afectado debería poder recibir una explicación accesible de los criterios clave que fundamentan el resultado.
Si una organización no está segura de si un sistema es prohibido o de alto riesgo, puede consultar a la SGTD para obtener orientación sobre su clasificación. Esto resulta útil porque algunos límites, especialmente en torno a la biometría, la educación, la salud y los servicios públicos, requieren criterio en lugar de una etiqueta rápida.
El reglamento también vincula la IA con la privacidad. Si un sistema trata datos personales, debe cumplir con el régimen de protección de datos peruano. Por ello, un programa de IA conforme en Perú necesita conectar sus controles de IA con sus controles de privacidad, en lugar de tratarlos como líneas de trabajo separadas.
Qué deben hacer los sectores público y privado
Perú establece una distinción importante entre las obligaciones públicas y privadas. Los organismos públicos deben adoptar una política institucional sobre el uso seguro, responsable y ético de la IA; utilizar la norma de gestión de IA NTP-ISO/IEC 42001:2025 al desarrollar sistemas de IA; conformar equipos multidisciplinarios; fortalecer las capacidades del personal; incluir los proyectos de IA en la planificación del gobierno digital; y, para los sistemas financiados con fondos públicos, publicar el código fuente bajo una licencia libre o abierta en la plataforma nacional de software público. Para la IA de alto riesgo del sector público, son obligatorias la supervisión humana, los controles de seguridad, la privacidad desde el diseño, las auditorías de seguridad y una evaluación de impacto antes del desarrollo o la implementación.
Las organizaciones privadas también tienen obligaciones reales, aunque el diseño es más ligero. Para la IA de alto riesgo deben mantener registros sobre el funcionamiento del sistema, las fuentes de datos, la lógica algorítmica y los efectos sociales y éticos esperados; adoptar procedimientos internos de seguridad, privacidad, transparencia y rendición de cuentas; capacitar al personal; y garantizar la supervisión humana cuando el sistema pueda afectar materialmente a derechos en áreas como la salud, la educación, la justicia, las finanzas y el acceso a servicios básicos.
Un detalle importa en la práctica: el reglamento hace obligatoria la evaluación de impacto de alto riesgo para la IA de alto riesgo del sector público, pero la enmarca como voluntaria para la IA de alto riesgo del sector privado. Aun así, las organizaciones privadas no deberían tomarlo como razón para omitirla. En el modelo peruano, la documentación es una de las formas más claras de demostrar que la supervisión humana, la privacidad y la equidad fueron tomadas en serio.
El reglamento también orienta a las organizaciones hacia normas y buenas prácticas reconocidas. La SGTD promueve el uso de normas como ISO/IEC 38507, ISO/IEC 23053, ISO/IEC 27002 e ISO/IEC 27005, frecuentemente a través de adopciones peruanas aprobadas por INACAL. Para el sector público, algunas de esas normas tienen mayor relevancia directa porque el reglamento las hace obligatorias o las incorpora de forma sólida en la implementación.
Cómo funcionan la supervisión, las reclamaciones y la implementación
La supervisión en Perú es descentralizada. La SGTD puede solicitar información, emitir recomendaciones técnicas y alertas, y supervisar la IA prohibida y de alto riesgo a través de las estructuras nacionales de seguridad digital. Si identifica una posible vulneración de la privacidad, la propiedad intelectual u otros derechos, remite el asunto a la autoridad competente para su investigación y sanción. Los ciudadanos pueden presentar alertas a través del canal digital de IA en gob.pe/iaperu, y quienes consideren haber sido perjudicados también pueden reclamar ante la autoridad correspondiente, incluida la autoridad de protección de datos personales, INDECOPI o los organismos de ciberdelincuencia, según el caso.
Por eso el marco peruano no debe confundirse con un régimen de código de multas único. No existe un baremo de sanciones de IA autónomo que cubra todas las infracciones. En cambio, Perú se apoya en gran medida en la SGTD para la coordinación y el seguimiento, y luego recurre a las autoridades y regímenes sancionadores existentes para gran parte de la fuerza jurídica.
El marco ya está en vigor, pero muchas de las obligaciones más concretas son graduales. Para los organismos públicos, la norma de transparencia y las principales obligaciones del sector público se implementan progresivamente a lo largo de uno a tres años, con algunos gobiernos locales más pequeños que solo son alentados, en lugar de obligados, según su capacidad. Para los actores privados, la implementación también es escalonada por sector, con la primera oleada que cubre salud, educación, justicia, seguridad, economía y finanzas al cabo de un año, y oleadas posteriores que se extienden a otros sectores. A junio de 2026, esto significa que la arquitectura está vigente, pero muchos de los primeros plazos concretos aún se aproximan a partir de septiembre de 2026.
Cómo se compara Perú con Chile y Colombia
Perú aventaja a dos vecinos regionales cercanos en un aspecto importante: ya cuenta con una ley específica más un reglamento de implementación. Chile tiene una política nacional de IA y un proyecto de ley de IA con un diseño basado en riesgos, pero ese proyecto aún avanza por el Congreso en su segunda etapa constitucional. Colombia ha seguido hasta ahora una vía más orientada a políticas, con la Política Nacional de IA CONPES 2025, orientaciones oficiales de protección de datos sobre IA y propuestas legislativas activas, incluido el Proyecto de Ley 043/25, que aún estaba pendiente en la primera etapa de debate en el Senado según el informe oficial de estado legislativo actualizado en marzo de 2026.
Por tanto, Perú está actualmente más consolidado jurídicamente que Chile o Colombia. Al mismo tiempo, el modelo peruano no es necesariamente más punitivo ni más centralizado en la aplicación. Utiliza la SGTD como coordinador del sistema, pero deja muchas decisiones de investigación y sanción a las autoridades existentes. Esto hace que el marco sea práctico y relativamente desplegable, pero también significa que las organizaciones deben vigilar no solo las normas específicas de IA, sino también los regímenes adyacentes en materia de privacidad, protección al consumidor, integridad pública, incidentes cibernéticos y propiedad intelectual.
Ejemplos
Un banco introduce un modelo de IA para calificar solicitudes de crédito al consumo. En Perú, la evaluación crediticia se trata como de alto riesgo, salvo cuando la IA se utiliza únicamente para la detección de fraude financiero. El banco debe, por tanto, clasificar formalmente el sistema, documentar las fuentes de datos y la lógica algorítmica, preparar avisos de transparencia dirigidos a los usuarios, preservar una revisión humana significativa para las decisiones materiales y alinear el programa con las normas peruanas de protección de datos personales. Una evaluación de impacto de alto riesgo para el sector privado no es obligatoria según el texto del reglamento, pero constituye un paso sólido de gobernanza.
Un hospital público u otro organismo estatal de salud despliega IA para ayudar a priorizar la atención, sugerir diagnósticos o procesar información sanitaria sensible. Esos usos encajan claramente en la categoría de alto riesgo de Perú. Dado que el actor es público, la organización debe ir más allá de lo que haría una empresa privada: necesita una política institucional de IA, la norma de gestión requerida, gobernanza multidisciplinaria, controles de seguridad, privacidad desde el diseño, auditorías continuas y una evaluación de impacto de alto riesgo antes del desarrollo o la implementación.
Un municipio u operador desea utilizar la categorización biométrica en tiempo real en una plaza pública. Perú generalmente trata eso como uso indebido prohibido, salvo que se encuadre en las excepciones estrictamente listadas del reglamento, como la autenticación de identidad digital o la investigación preliminar de delitos graves específicamente tipificados. La medida operativa más segura no es asumir que un objetivo de orden público hace lícito el uso, sino buscar claridad sobre la clasificación y verificar la legalidad antes del despliegue.
Malentendidos frecuentes
"Perú solo tiene una ley de IA simbólica." Eso ya no es correcto. La ley de 2023 es amplia, pero el reglamento de 2025 añade clases de riesgo vinculantes, obligaciones y calendarios de implementación.
"Toda herramienta de IA es de alto riesgo." No. La mayoría de los sistemas caen en la categoría de riesgo aceptable, y solo los usos listados o igualmente perjudiciales pasan a las categorías de alto riesgo o prohibido.
"La SGTD puede sancionar directamente cualquier infracción." No exactamente. La SGTD lidera la coordinación y la supervisión, pero muchas investigaciones y sanciones siguen canalizándose a través de las autoridades existentes, como la autoridad de protección de datos personales, INDECOPI y los organismos de control público.
"Las evaluaciones de impacto del sector privado son obligatorias para todo sistema de alto riesgo." El reglamento vigente las hace obligatorias en el sector público, pero voluntarias en el sector privado.
"Si un sistema no utiliza datos personales evidentes, la ley de privacidad es irrelevante." Incorrecto. La clasificación, la transparencia, la seguridad y los derechos fundamentales siguen siendo aplicables, y muchos sistemas de IA involucran indirectamente datos personales o sensibles de todas formas.
Riesgos y límites
El marco peruano tiene límites reales. No es un régimen de evaluación de la conformidad al estilo del AI Act, no crea un baremo único de sanciones para todas las infracciones de IA, y deja detalles prácticos importantes a orientaciones posteriores de la SGTD sobre transparencia, ética y evaluación de impacto de alto riesgo. Esto significa que algunas preguntas de cumplimiento seguirán requiriendo criterio, especialmente para usos limítrofes en educación, biometría, salud y seguridad pública.
También es fácil sobreinterpretar el régimen. El uso personal queda fuera del ámbito de aplicación, y los usos de defensa o seguridad nacional se tratan de forma diferente, aunque el reglamento remite igualmente esos usos a principios fundamentales como la protección de derechos, la no discriminación, la seguridad, la proporcionalidad, la supervisión y la rendición de cuentas. Por último, la implementación por fases es relevante. A junio de 2026, el marco está jurídicamente establecido, pero muchos plazos operativos aún no han vencido. La lectura más prudente es que las organizaciones deben prepararse ahora, sin esperar a que lleguen los primeros plazos sectoriales.
Qué hacer a continuación
Comenzar con un registro de usos de IA. Listar cada sistema que se construya, adquiera o del que se dependa de forma significativa, y luego mapear cada uno frente a las categorías de usos prohibidos, de alto riesgo y de riesgo aceptable de Perú. No olvidar la IA integrada en herramientas de recursos humanos, modelos crediticios, herramientas clínicas, motores antifraude, chatbots de servicios públicos y funcionalidades de proveedores.
A continuación, asignar responsabilidades. Los responsables de legal, protección de datos, seguridad, contratación y negocio deben decidir conjuntamente quién aprueba la clasificación, los avisos de transparencia, el diseño de anulación humana, la gestión de incidentes y la conservación de documentación. Los organismos públicos deben comenzar ya a alinear su política interna, el plan de gobierno digital, el uso de normas y las obligaciones de publicación. Las organizaciones privadas deben tratar la evaluación de impacto de alto riesgo voluntaria como una herramienta sólida de gobernanza, no como un extra opcional.
Por último, conviene seguir de cerca a la SGTD. Las orientaciones complementarias, las directrices éticas y las instrucciones orientadas a la práctica determinarán cómo funciona el marco en el día a día. En Perú, el cumplimiento en materia de IA se aborda mejor como gobernanza transversal, no como una revisión jurídica de último momento.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Perú ya cuenta con regulación de IA vinculante?
Sí. Perú tiene una ley vinculante y un reglamento de implementación vinculante. La ley establece principios y autoridad, mientras que el reglamento contiene las clases de riesgo prácticas, las obligaciones y el calendario de implementación.
¿Quién es la principal autoridad de IA en Perú?
La autoridad nacional rectora es la Presidencia del Consejo de Ministros, que actúa a través de la Secretaría de Gobierno y Transformación Digital. Coordina la gobernanza de la IA, emite normas complementarias y supervisa los usos prohibidos y de alto riesgo.
¿El modelo de Perú es basado en riesgos?
Sí. El reglamento distingue entre uso indebido prohibido, uso de alto riesgo y uso de riesgo aceptable, y asigna obligaciones más estrictas donde el riesgo para la vida, la dignidad, la libertad o los derechos fundamentales es mayor.
¿Existen usos de IA prohibidos en Perú?
Sí. El reglamento prohíbe varios usos, incluidos los sistemas manipuladores, ciertas formas de vigilancia masiva, la inferencia biométrica discriminatoria, cierta categorización biométrica en tiempo real en espacios públicos y la predicción de delitos basada en perfiles o rasgos de personalidad.
¿Son obligatorias las evaluaciones de impacto de alto riesgo?
Son obligatorias para la IA de alto riesgo del sector público antes del desarrollo o la implementación. Para la IA de alto riesgo del sector privado, el reglamento las enmarca como voluntarias, aunque siguen siendo un paso de gobernanza razonable.
¿La ley de IA de Perú reemplaza la ley de privacidad?
No. Los sistemas de IA que traten datos personales deben seguir cumpliendo con el régimen peruano de protección de datos personales y pueden estar sujetos a revisión por parte de la autoridad de protección de datos personales del Ministerio de Justicia.
¿Cuándo llegan los principales plazos de cumplimiento?
El marco ya está en vigor, pero muchas obligaciones de transparencia y sectoriales son graduales, con los primeros plazos importantes a partir de septiembre de 2026 y oleadas posteriores que los siguen.
¿Cómo se compara Perú con Chile y Colombia?
Perú lleva ventaja al contar con una ley de IA específica más un reglamento de implementación. Chile y Colombia tienen programas activos de política y legislación, pero sus leyes de IA específicas aún no estaban plenamente promulgadas a junio de 2026.