Imagen

Mariana Henao Hincapié
Abogada penalista y socia en María Morales, Henao Abogados y Asociados

La Ley 2573 de 2026 fue promulgada el 19 de mayo de 2026 y entrará en vigencia en noviembre de este año. Si bien esta ley contempla herramientas importantes para las personas que han sido víctimas de falsedad personal, frente a operadores de telecomunicaciones, entidades financieras y/o crediticias, demás establecimientos comerciales con esta competencia, constituye apenas un primer avance en la construcción de mecanismos integrales destinados a contrarrestar las consecuencias jurídicas y económicas derivadas del delito de falsedad personal y, particularmente, de aquellas conductas que se ejecutan mediante el uso de medios tecnológicos e inteligencia artificial (IA).

Antes de entrar en detalle, debe tenerse en cuenta desde la óptica jurídico penal el desarrollo normativo de la Ley 2502 de 2025, que modificó y estableció un agravante al artículo 296 de la Ley 599 de 2000. A la fecha, el artículo dispone: “Falsedad personal. El que con el fin de obtener un provecho para sí o para otro, o causar daño, sustituya o suplante a una persona o se atribuya nombre, edad, estado civil, o calidad que pueda tener efectos jurídicos, incurrirá en multa, siempre que la conducta no constituya otro delito”. Una vez esta ley entre en vigencia, el 28 de julio de este año, la anterior disposición contemplará el siguiente agravante: “(...) Cuando la falsedad personal se realizare con la utilización de Inteligencia Artificial la multa se aumentará hasta en una tercera parte, siempre que la conducta no constituya otro delito”.

Por su parte, la Ley 2573 de 2026, integra los principios generales de la Ley 1266 de 2008 (disposiciones generales del habeas data) y la Ley 1581 de 2012 (disposiciones generales para la protección de datos personales) e implementa –como primer gran acierto– el principio de carga dinámica de la prueba, que determina qué tendrá la obligación de probar la parte que mejor se encuentre en condiciones de hacerlo. Puntualmente, hace referencia a que, en materia de suplantación, los operadores de telecomunicaciones y las entidades financieras y/o crediticias deberán entregar la información y documentos que recibieron para hacer la aprobación del bien o servicio. Esto, en la cotidianidad de una persona que haya sido víctima de suplantación es un gran avance, habida cuenta de la reserva legal que protege justamente los documentos e información que son utilizados en aras de obtener un bien o servicio.

Otro aspecto relevante que trae esta ley es la diferenciación que hace en los tipos de suplantación de identidad. Prevé entonces dos clases: (i) la suplantación de identidad mediante la expedición y uso de datos para fines ilícitos y (ii) La suplantación de identidad mediante medios electrónicos. Frente al primero, podemos resumirlo de forma genérica como el uso de documentos de identificación, datos personales, tarjetas débito o crédito que no le pertenecen a quien los posee. Frente a la segunda clase, se dice que ocurre cuando “... la suplantación se da a través de prácticas consistentes en el diseño, elaboración, desarrollo, descarga, comercialización, envío, venta, suministro, o uso para fines ilícitos de medios electrónicos que están dirigidos a obtener sin autorización del titular información o datos personales”.

Desde la práctica penal, la diferenciación del método empleado para materializar la suplantación de una persona no conlleva, por ahora, consecuencias jurídicas diferentes. No obstante, una vez entre en vigencia la Ley 2502 de 2025, será posible analizar la aplicación del agravante allí previsto para aquellos eventos en los que la conducta se ejecute mediante herramientas de IA.

Ahora bien, resulta importante precisar que toda utilización de IA implica necesariamente el empleo de medios electrónicos. Sin embargo, la relación inversa no es predicable, pues no todo uso de medios electrónicos supone la intervención de sistemas de IA. En términos más ilustrativos, constituyen medios electrónicos dispositivos y herramientas tales como computadores, teléfonos celulares, correos electrónicos, plataformas digitales o aplicaciones informáticas. Estos medios pueden ser utilizados de manera convencional, sin incorporar mecanismos de IA, o pueden integrar funcionalidades basadas en dicha tecnología. Por consiguiente, la IA constituye una categoría específica dentro del universo de los medios electrónicos, mas no se identifica ni se confunde con ellos.

Hechas las precisiones anteriores, el agravante previsto en la Ley 2502 de 2025 para efectos de la responsabilidad penal se configurará únicamente cuando la conducta de suplantación haya sido ejecutada mediante el empleo de herramientas de IA. En cuanto a los mecanismos de protección orientados a salvaguardar los intereses comerciales, financieros y patrimoniales de las víctimas de suplantación en relación con los sujetos relacionados en aquella ley, tienen un ámbito de aplicación más amplio, pues resultan procedentes frente al uso general de sistemas electrónicos o digitales, con independencia de que estos incorporen o no tecnologías de IA.

Desaciertos

Por otra parte, el primer desacierto que podemos encontrar en la Ley 2573 es su reducida aplicación. Las disposiciones solo tendrán efectos frente a operadores de telecomunicaciones, entidades financieras, crediticias y demás establecimientos comerciales con esta competencia. Esta delimitación genera un vacío relevante, en la medida en que excluye a entidades públicas y autoridades administrativas que también pueden verse involucradas en situaciones derivadas de la suplantación de identidad. Como consecuencia, las herramientas de protección diseñadas por esta ley no resultan aplicables frente a actuaciones o registros adelantados ante dichas entidades públicas o administrativas, aun cuando estos generen afectaciones patrimoniales significativas para la víctima.

De tal forma que, por ejemplo, si una persona es suplantada para la compra y registro de un vehículo, y este comienza a generar impuestos y/o multas de tránsito en diferentes secretarías de movilidad, la víctima de suplantación se verá sin herramientas frente al cobro de aquellos, de conformidad con la nueva normativa. En consecuencia, la protección y los mecanismos de esta ley no resultan integrales dentro del escenario que debe de enfrentar el titular de la identidad suplantada.

Se destaca que la Ley 2573 establece un conjunto de obligaciones tanto para los operadores de telecomunicaciones, las entidades financieras y crediticias, así como para los demás establecimientos comerciales comprendidos dentro de su ámbito de aplicación, como para la persona que afirma haber sido víctima de suplantación de identidad.

En lo que respecta a los prestadores de servicios económicos y comerciales, la normativa impone diversas obligaciones encaminadas a la protección de la presunta víctima y a la prevención de nuevas afectaciones derivadas de la conducta fraudulenta. Entre ellas: (i) la incorporación, dentro de sus sistemas internos de información, de una marca o anotación que identifique al usuario como “víctima de falsedad personal”; (ii) la suspensión inmediata de la prestación de los servicios o del suministro de los bienes que hubieren sido adquiridos como consecuencia de la conducta presuntamente fraudulenta; (iii) la entrega a la víctima de copias de los documentos, formularios, soportes y demás información utilizada para la aprobación del producto o servicio, destacándose que la ley prohíbe expresamente negar el acceso a dicha información bajo cualquier circunstancia; (iv) el deber de denuncia del delito de estafa; (v) la realización de las investigaciones internas necesarias para determinar si existió participación, colaboración u omisión por parte de funcionarios de la entidad en la materialización de la conducta fraudulenta, y la presentación de las respectivas acciones judiciales.

En cuanto a las obligaciones que recaen sobre la persona cuya identidad fue suplantada, se incluyen: (i) la presentación de la denuncia en un plazo de 20 días hábiles, desde la oposición al cobro del bien o servicio, así como el reporte a las plataformas utilizadas para la suplantación en caso de que aplique; (ii) la realización de una prueba de validación de identidad que establezcan los prestadores de servicios económicos y comerciales. De no presentarse la denuncia, soportes y demás documentos necesarios para acreditar la existencia de la falsedad personal en el término establecido, los agentes económicos podrán reanudar el cobro del bien o servicio, incluyendo los intereses y demás gastos, desde el momento en que se había suspendido el cobro, así como efectuar el reporte ante los operadores de información financiera.

Procedimiento

Asimismo, la Ley 2573 regula el procedimiento que debe surtirse frente a las solicitudes de corrección de información formuladas por las personas que afirman haber sido víctimas de suplantación de identidad.

En ese sentido, una vez recibida la solicitud, la entidad correspondiente deberá, dentro de los 10 días hábiles siguientes, realizar el cotejo entre los documentos que sirvieron de soporte para la adquisición del producto, servicio u obligación cuestionada y aquellos aportados por el titular de la petición. La normativa dispone expresamente que los documentos allegados por el solicitante constituyen prueba sumaria de la falsedad alegada, sin que pueda exigirse requisito adicional alguno para iniciar el trámite de verificación.

De manera concomitante con el inicio del procedimiento, la entidad deberá incorporar en los registros correspondientes la anotación “víctima de falsedad personal”. No obstante, dicha leyenda no podrá ser considerada como un reporte negativo, ni constituir fundamento para disminuir la calificación de riesgo del titular, afectar su historial crediticio o alterar los análisis financieros que se realicen respecto de este. Por el contrario, su única finalidad consiste en habilitar mecanismos reforzados de validación de identidad que permitan prevenir nuevos eventos de suplantación.

La solicitud deberá resolverse dentro de los 15 días hábiles siguientes a su recepción. Este término podrá prorrogarse por un plazo adicional de ocho días hábiles. Sin embargo, si transcurridos los términos legalmente previstos la entidad no ha emitido una decisión de fondo, operará el silencio administrativo positivo, entendiéndose, para todos los efectos legales, que la solicitud ha sido resuelta favorablemente en beneficio del titular de la información objeto de suplantación, esto es, la suspensión del cobro.

En lo relacionado a la duración de la suspensión del cobro de las obligaciones controvertidas, la Ley 2573 dispone que los operadores de telecomunicaciones, entidades financieras, crediticias y demás establecimientos comerciales deberán mantener dicha suspensión hasta que exista un pronunciamiento que ponga fin a la actuación penal. A partir de esa decisión se determinará si la persona que alegó haber sido víctima de suplantación debe ser desvinculada definitivamente de la obligación o si, por el contrario, procede la reanudación del cobro.

En aquellos eventos en los que se compruebe la existencia de la falsedad personal y/o de delitos conexos, la persona suplantada será exonerada de las obligaciones adquiridas fraudulentamente y deberá ser retirada de cualquier reporte negativo asociado a ellas. Por su parte, los operadores y entidades afectadas podrán constituirse como víctimas dentro del respectivo proceso penal.

En contraste, si en el marco de la actuación penal se determina que no existió suplantación, la entidad podrá reanudar el cobro de la obligación junto con los intereses, gastos y demás valores causados durante el tiempo en que permaneció suspendida. Adicionalmente, la ley prevé que el término de prescripción de la obligación permanecerá suspendido mientras se encuentre vigente la actuación penal y solo comenzará a correr nuevamente una vez quede en firme la decisión que archive o finalice el proceso, en ese sentido.

Aspectos discutibles

Uno de los aspectos más problemáticos de esta regulación se encuentra en el parágrafo del artículo 9º, según el cual, cuando la actuación penal finalice mediante archivo por imposibilidad de identificar al autor de la conducta, la Fiscalía General de la Nación (FGN) deberá indicar si efectivamente ocurrió o no la falsedad personal, con el propósito de definir los efectos comerciales y financieros derivados de la reclamación presentada por la presunta víctima.

Esta previsión resulta discutible desde la perspectiva procesal penal. Lo anterior, porque la FGN no es el órgano constitucionalmente llamado a declarar la existencia de un delito. Su función consiste en adelantar la investigación y formular acusación cuando, a partir de los elementos materiales probatorios, evidencia física e información legalmente obtenida, sea posible afirmar, con probabilidad de verdad, que la conducta punible existió y que una determinada persona participó en ella. Así lo reconoce expresamente el artículo 336 de la Ley 906 de 2004.

En consecuencia, exigir que la FGN determine de manera concluyente si ocurrió o no una falsedad personal parece desbordar el estándar probatorio propio de la etapa investigativa (escenario propio del archivo de las diligencias) y aproximarse a una declaración de responsabilidad o de ocurrencia definitiva del hecho, valoración que, en un Estado de Derecho, corresponde exclusivamente a los jueces. La disposición genera así una tensión entre los fines protectores perseguidos por la Ley 2573 y la distribución constitucional de competencias dentro del proceso penal

Finalmente, otro aspecto que genera importantes inquietudes se encuentra en el artículo 10 de la Ley 2573, disposición que regula el deber especial del operador o de la entidad.

La norma establece que, cuando el operador de telecomunicaciones, la entidad financiera o crediticia, o el establecimiento comercial correspondiente encuentre elementos que evidencien la existencia de una suplantación, deberá exonerar a la persona afectada de presentar denuncia penal y desvincularla de cualquier cobro derivado de la adquisición del bien o servicio cuestionado.

Sin embargo, en el mismo artículo se dispone que dichas entidades no podrán determinar que no existió suplantación, por tratarse de una decisión reservada a las autoridades judiciales competentes. Esta regulación plantea una aparente contradicción normativa. En efecto, si la entidad se encuentra facultada para identificar elementos suficientes que le permitan concluir que existió una suplantación y, con fundamento en ello, exonerar a la persona afectada de denunciar y liberarla de las obligaciones económicas controvertidas, resulta difícil sostener que dicha valoración no implique, en alguna medida, un pronunciamiento sobre la existencia de la conducta.

Desde una perspectiva jurídico penal, la disposición parece trasladar a sujetos privados una carga valorativa que ordinariamente corresponde a las autoridades encargadas de la investigación y juzgamiento de los delitos. En estricto sentido, la determinación de si una conducta constituye o no un delito (falsedad personal), así como la definición de sus circunstancias de ocurrencia, forma parte del objeto propio de la investigación adelantada por la FGN y, en última instancia, del control judicial ejercido por los jueces de la República.

Por esta razón, aunque resulta razonable que las entidades adopten medidas preventivas y de protección cuando adviertan indicios serios de suplantación, no parece técnicamente adecuado atribuirles facultades que, en la práctica, exigen realizar valoraciones sobre la ocurrencia de una conducta punible. La norma termina ubicando a los operadores y entidades en una posición compleja: les exige actuar como si pudieran concluir que la suplantación ocurrió para efectos de proteger al usuario, pero simultáneamente les prohíbe pronunciarse sobre la inexistencia de dicha conducta por tratarse de una materia reservada a las autoridades judiciales.

En consecuencia, el artículo 10 evidencia una tensión entre la finalidad protectora perseguida por el legislador y la distribución constitucional y legal de competencias en materia penal, pues termina asignando a actores privados una función que se aproxima a la valoración preliminar de la existencia de una conducta delictiva, ámbito que tradicionalmente corresponde a la FGN y a la jurisdicción penal.

Conclusiones

A modo de colofón, puede afirmarse que la Ley 2573 de 2026 incorpora herramientas sumamente necesarias para la protección de los derechos de las personas que han sido víctimas de suplantación de identidad. La implementación de mecanismos como la carga dinámica de la prueba, la suspensión de cobros, la entrega obligatoria de documentación por parte de los agentes económicos, la anotación de “víctima de falsedad personal” y el procedimiento especial para la corrección de información constituyen avances significativos en un escenario en el que las víctimas, históricamente, han debido soportar no sólo las consecuencias derivadas del delito, sino también las cargas administrativas, financieras y probatorias, asociadas a demostrar que no fueron quienes contrajeron las obligaciones objeto de reclamación.

Lo anterior adquiere especial relevancia si se tiene en cuenta que las personas suplantadas suelen enfrentarse simultáneamente a una investigación penal encaminada a esclarecer los hechos y a las consecuencias económicas derivadas de obligaciones, productos o servicios que jamás solicitaron. En este contexto, la Ley 2573 procura corregir una situación que, durante años, trasladó injustificadamente a las víctimas las consecuencias patrimoniales de conductas delictivas cometidas por terceros.

Sin embargo, tal como se expuso a lo largo de este artículo, la ley constituye apenas un primer paso dentro de un fenómeno cada vez más complejo. Su ámbito de aplicación continúa siendo limitado frente a múltiples escenarios en los que la suplantación de identidad genera efectos jurídicos y económicos. Igualmente, algunas de sus disposiciones plantean interrogantes sobre la distribución de competencias entre los agentes económicos, la FGN y las autoridades judiciales, y, adicionalmente, el acelerado desarrollo de tecnologías digitales e inteligencia artificial exigirá respuestas normativas mucho más robustas que las actualmente previstas.

Por ello, aunque la Ley 2573 de 2026 debe ser reconocida como un avance importante en la protección de las víctimas de suplantación personal, su verdadera eficacia dependerá de la forma en que sea interpretada y aplicada por las entidades obligadas, así como de la capacidad del legislador para continuar perfeccionando un marco regulatorio que responda adecuadamente a las nuevas formas de fraude, suplantación e identidad digital que caracterizan y retan a la sociedad contemporánea.

Siga nuestro canal de WhatsApp

Gracias por leernos. Si le gusta estar informado, suscríbase y acceda a todas nuestras noticias, los datos identificadores y los documentos sin límites.