El uso de inteligencia artificial (IA) en Perú entra en una nueva etapa de regulación. Desde el 10 de septiembre de 2026, comenzará a aplicarse el primer tramo de obligaciones del Reglamento de la Ley N.° 31814 para el Estado y para determinados sectores privados.
La norma no se limita a las grandes empresas tecnológicas. Su alcance comprende a las entidades públicas y a organizaciones privadas que desarrollen o implementen sistemas de IA dentro del marco del Sistema Nacional de Transformación Digital.
Por eso, una empresa, startup, pyme u organización que utilice estas herramientas debe identificar qué obligaciones le corresponden.
El reglamento busca que el desarrollo y uso de IA avance bajo criterios de seguridad, transparencia, responsabilidad y respeto de los derechos humanos.
Para ello, establece distintos niveles de riesgo y mayores controles para los sistemas que puedan afectar la vida, la seguridad, la libertad, la dignidad o derechos fundamentales.
Cinco usos de IA que requieren atención
Más allá de los grandes sistemas tecnológicos, existen herramientas que ya forman parte de las operaciones cotidianas de empresas y organizaciones.
Entre ellas están los chatbots, los sistemas que procesan bases de datos y las aplicaciones utilizadas para seleccionar personal o generar contenido.
1. Chatbots: informar al usuario
Las empresas que utilicen un chatbot basado en IA deben informar al cliente cuando este interactúe con un sistema de este tipo, especialmente cuando la herramienta intervenga directamente en la prestación de un servicio.
La transparencia es uno de los ejes del reglamento. El objetivo es que las personas sepan cuándo interactúan con una IA y puedan ejercer sus derechos frente a decisiones o resultados que puedan afectarlas.
La exposición de motivos destaca precisamente la importancia del etiquetado y la transparencia algorítmica.
2. Acceso a información: proteger los datos
Otro punto de atención aparece cuando una organización entrega a una herramienta de IA documentos internos, hojas de cálculo, archivos PDF o bases de datos que contienen información de clientes o trabajadores.
En estos casos, la empresa debe establecer medidas de seguridad y privacidad acordes con los riesgos del sistema.
Para los sistemas de alto riesgo, el reglamento exige políticas que garanticen la seguridad y la transparencia, además de registros sobre su funcionamiento y los datos utilizados.
Esto resulta especialmente relevante cuando los archivos contienen datos personales o información sensible.
El uso de IA no elimina las obligaciones que ya existen en materia de protección de datos.
3. Contratación: la IA no puede ser una caja negra
Las empresas que utilicen IA para seleccionar candidatos o tomar decisiones relacionadas con el empleo deben prestar especial atención a los criterios que utiliza el sistema.
El reglamento considera de alto riesgo los sistemas empleados para la selección, evaluación, contratación o cese de trabajadores y postulantes.
Por ello, estos procesos requieren controles que permitan conocer cómo funciona la herramienta y detectar posibles sesgos o discriminaciones.
La trazabilidad también resulta clave. El desarrollador debe mantener información sobre el funcionamiento del sistema, los datos utilizados y la lógica empleada, de manera que el proceso pueda ser revisado.
4. Decisiones sensibles: debe existir supervisión humana
Una empresa no debería delegar completamente en una IA decisiones que puedan afectar derechos fundamentales.
En los sistemas de alto riesgo, el reglamento contempla mecanismos de supervisión humana.
La exposición de motivos señala que, en sectores sensibles como salud, educación, justicia y finanzas, se requiere personal capacitado que pueda intervenir oportunamente frente a decisiones críticas.
La lógica es sencilla: cuando una decisión automatizada puede generar un impacto importante sobre una persona, debe existir una instancia humana capaz de revisar el resultado y actuar frente a un posible error, sesgo o afectación de derechos.
5. Creación de contenido: cuidado con los usos dañinos
El reglamento también pone límites a determinados usos de la IA que pueden afectar los derechos de las personas.
Entre los usos indebidos contempla, por ejemplo, la manipulación mediante técnicas engañosas, la vigilancia masiva sin base legal y determinados usos de información biométrica.
Por ello, las organizaciones y creadores que utilicen IA para producir contenido deben evaluar el riesgo de generar material falso, engañoso o perjudicial.
La tecnología puede utilizarse para crear contenido, pero no convierte en legítimo un uso que vulnere otras normas o derechos.
¿Qué pasa si se incumplen las reglas?
El Reglamento de la Ley N.° 31814 no establece un régimen propio de multas. En su lugar, el incumplimiento puede generar consecuencias a través de las normas sectoriales que ya están vigentes.
En materia de protección de datos personales, las infracciones a la Ley N.° 29733 pueden ser sancionadas por la Autoridad Nacional de Protección de Datos Personales (ANPDP), con multas de hasta 100 UIT.
Si el uso de IA afecta los derechos de los consumidores, el caso puede ser llevado ante Indecopi bajo el Código de Protección y Defensa del Consumidor.
Cuando se trata de entidades públicas, los incumplimientos pueden ser derivados a la Contraloría General de la República para evaluar eventuales responsabilidades administrativas.
Los casos relacionados con ciberdelitos vinculados al uso de IA pueden, además, ser investigados por la unidad especializada de la Policía Nacional.
La IA también puede agravar una responsabilidad penal
A estas vías se suma la Ley N.° 32314, aprobada en abril de 2025, que incorporó el uso de inteligencia artificial como agravante en determinados delitos.
La norma contempla, entre otros supuestos, delitos vinculados con la difamación o injuria mediante deepfakes, la estafa o fraude mediante suplantación de identidad, la producción o distribución de pornografía infantil generada con IA y determinadas infracciones relacionadas con el plagio o los derechos de autor.
Cualquier persona puede reportar un uso indebido
El reglamento también habilita un mecanismo de denuncia ciudadana. Cualquier persona puede alertar sobre un posible uso indebido de sistemas de IA por parte de una empresa o entidad pública a través del canal digital de inteligencia artificial de la Presidencia del Consejo de Ministros.
La Secretaría de Gobierno y Transformación Digital (SGTD) recibe estas alertas y, cuando corresponde, las deriva a las autoridades competentes.
Sin embargo, existe una brecha regulatoria: la SGTD no cuenta con una potestad sancionadora general para todos los incumplimientos del Reglamento.
Cuando una conducta no está comprendida en una normativa sectorial con un régimen de sanciones, el marco actual no contempla una multa específica creada por el propio reglamento.
¿Quiénes deben prestar atención desde septiembre?
El primer plazo de implementación alcanza a los tres poderes del Estado y a los usos de IA en los sectores de salud, educación, justicia, seguridad, economía y finanzas.
El reglamento establece un plazo de un año contado desde el día siguiente de su publicación para este primer grupo.
Esto significa que el 9 de septiembre de 2026 marca la primera fecha relevante de cumplimiento. No obstante, no todos los usos de IA en el país quedan sujetos a este mismo plazo.
Para el sector privado, el reglamento establece una implementación gradual. Los usos vinculados con transporte, comercio y trabajo cuentan con dos años; producción, agricultura, energía y minería, con tres años; y los demás usos, con cuatro años.
Las micro y pequeñas empresas también cuentan con plazos diferenciados.
Por eso, antes de septiembre, empresas y organizaciones deberían identificar qué sistemas de IA utilizan, qué información procesan, qué decisiones toman y qué nivel de riesgo presentan.