Ley 31814: qué tiene que hacer tu empresa, y qué no es urgente

El reglamento (DS 115-2025-PCM) impulsa el fomento de la capacitación interna en inteligencia artificial. Cómo se traduce eso en una obligación exigible para tu empresa concreta es una lectura que tiene que hacer tu área legal, no yo. Lo que sí te digo con seguridad es que un equipo sin formar es la razón número uno por la que los proyectos de IA no llegan a ningún lado, con ley o sin ella.

No te voy a dar una cifra de multa porque la fiscalización todavía es difusa y cualquier número que te den hoy hay que mirarlo con desconfianza. Lo que sí es concreto es el otro costo, y ese no depende de que te fiscalicen: si hoy no sabes qué usos de inteligencia artificial hay dentro de tu empresa, no los estás gobernando, y eso ya te está costando. Empezar tarde sigue siendo mucho mejor que no empezar, y el orden es el mismo: primero saber qué se usa, después la política, después formar al equipo.

No, pero tampoco corras. Los plazos son escalonados y el tuyo llega después. Lo que sí conviene es aprovechar que no tienes la fecha encima para hacerlo en orden: primero saber qué se usa, después escribir la política, después formar. Quien lo hace con prisa termina con un documento que nadie sigue.

Casi con seguridad no, y menos para empezar. El inventario, la política y el registro de decisiones caben en documentos y en una hoja de cálculo bien llevada. Una plataforma tiene sentido cuando ya tienes decenas de casos en marcha y el seguimiento manual se te fue de las manos, que no es el punto donde está la mayoría.

No, y es importante que quede claro. Yo no soy abogada y esta página no interpreta la norma. Lo que hago es la parte operativa: ordenar qué se está usando, ayudar a que la política sea aplicable, formar al equipo y montar el registro. El texto legal final lo valida tu área legal o tu estudio, y trabajo con ellos sin problema.

Depende sobre todo de cuántas áreas hay que recorrer para el inventario. En una empresa mediana, el inventario y el borrador de política se trabajan en semanas, no en meses. La formación del equipo se agenda aparte y va por tandas. Lo que no se puede es hacerlo todo la semana antes de la fecha.

No te voy a dar una cifra, y desconfía de quien te la dé. A hoy la fiscalización sigue siendo difusa y nadie ha visto una multa aplicada por esta ley. El régimen de sanciones concreto para tu empresa lo tiene que leer tu área legal sobre el texto vigente, no yo. Lo que sí te puedo decir es cuál es el costo que ya estás pagando: no saber qué usos de inteligencia artificial hay dentro de tu organización.

El reglamento marcó un primer plazo, el 10 de setiembre de 2026, para seis sectores: salud, educación, justicia, seguridad, economía y finanzas. El resto entra después de forma escalonada. Si estás en uno de esos seis, esa fecha ya pasó. Si no, tienes lo que casi nadie tiene en este tema, que es tiempo para hacerlo en orden.

No automáticamente, y conviene no confundirlo. Son cosas distintas: la ley es obligatoria, peruana y la verifica la autoridad competente; la norma es voluntaria, internacional y la audita un organismo de certificación acreditado. Lo que sí pasa es que el trabajo de fondo se solapa mucho, así que la empresa que ordena una tiene medio camino hecho para la otra. Qué te exige exactamente la ley lo tiene que leer tu área legal. Cuál norma es cuál lo tienes en la tabla de más arriba.

No. La ley no te pide ninguna certificación y puedes cumplir sin haber oído hablar de la norma. La 42001 te da un método probado para ordenar el trabajo y un certificado que sirve para mostrar afuera, que son dos cosas útiles pero distintas de la obligación legal. Si nadie te está pidiendo el certificado, haz primero el trabajo y deja la certificación para cuando un cliente la exija.

Con el mismo método con el que evalúas cualquier otro riesgo, más una lista de los que son propios de la IA y que una matriz clásica no suele traer: que el modelo se equivoque con seguridad, que arrastre sesgos de sus datos, que no puedas explicar una decisión, que dependas de un proveedor que cambia el modelo sin avisarte y que se degrade solo con el tiempo. El marco general está en la ISO 31000 y su aplicación a IA en la ISO/IEC 23894. Lo importante: no hace falta una evaluación de riesgos por cada norma, se hace una y sirve para todas.

Es la otra mitad del problema y casi siempre aparece en la misma reunión. Una cosa es proteger el dato de accesos indebidos y otra es poder responder por qué lo tienes y para qué lo usas. Lo segundo es lo que casi nunca está resuelto, y es lo que la Ley 29733 te va a pedir. El método internacional para ordenarlo es la ISO/IEC 27701, y el inventario que pide es el mismo que ya vas a hacer para la ley de IA.

No, son dos cosas distintas y conviene no mezclarlas. La Ley 31814 es sobre el uso de inteligencia artificial; la protección de datos personales en Perú tiene su propia norma, la Ley 29733, con su propio reglamento y su propia autoridad. Se cruzan cuando tu sistema de IA procesa datos de personas, que es casi siempre, y por eso el inventario sirve para las dos. Qué exige cada una a tu empresa lo define tu área legal.

Hago la parte operativa, que es donde suele estar el hueco: saber qué datos entran a qué herramienta, quién tiene acceso, qué se está pegando en un chat gratuito y cómo dejar eso registrado. El texto legal, la inscripción de bancos de datos y la interpretación de la norma son de un abogado o de un estudio, y trabajo con ellos sin problema. Si lo que necesitas es solo lo legal, te lo digo de frente y no te cobro un diagnóstico.

Sí, y está más arriba en esta misma página: son cuatro cosas y van en ese orden. Inventario de lo que ya se usa, política escrita que se pueda aplicar, equipo formado y registro de decisiones. Cualquier checklist que te vendan con treinta puntos antes de tener el inventario es humo, porque no se puede gobernar lo que todavía no sabes que existe.

Sí, y es la pregunta que más aparece en las reuniones de cumplimiento. Hay modelos que corren dentro de tu propia infraestructura, con herramientas como Ollama o LM Studio, y ahí la información no viaja a ningún proveedor. La contra es que un modelo local rinde menos que los grandes de pago y necesita una máquina que alguien tiene que mantener. Lo que hago normalmente es partir el problema: lo sensible se queda adentro, el resto va a la nube con un contrato que diga qué se puede hacer con tus datos. Cómo funciona la parte técnica lo explico en automatización y agentes de IA.

Te afecta si vendes a Europa o si tu casa matriz está allá, y no te afecta directamente si no. Igual conviene mirarlo, porque la Ley 31814 y su reglamento se escribieron mirando ese marco y la clasificación por nivel de riesgo es parecida. En la práctica lo que pido a las empresas que ya trabajan con Europa es un solo inventario que sirva para las dos cosas, en vez de dos ejercicios distintos.

Por lo que ya está pasando y nadie mira: en qué herramientas gratuitas está pegando información el equipo, quién sigue teniendo acceso después de irse de la empresa, y dónde vive la única copia de algo importante. Eso no cuesta software, cuesta una tarde de preguntar. Los controles caros vienen después, y varios terminan sobrando cuando aparece el mapa real.

La Ley 31814 es la primera ley peruana de inteligencia artificial, de julio de 2023, y su reglamento (DS 115-2025-PCM) fija un primer plazo sectorial el 10 de setiembre de 2026 para salud, educación, justicia, seguridad, economía y finanzas. Cumplir no es comprar una plataforma: es saber qué usos de IA ya existen puertas adentro, tener una política escrita y aprobada, formar al equipo que la usa y dejar registro de las decisiones. La parte legal la valida tu área legal; lo demás es trabajo de adopción, y es el mismo que hay que hacer para que la IA funcione, con plazo o sin él.

En este orden, que importa. Primero el inventario: qué herramientas de IA usa hoy tu gente, incluidas las que nadie autorizó. Segundo la política, corta y escrita en el idioma de tu empresa, no copiada de una plantilla europea. Tercero formar al equipo que la va a aplicar, porque una política que nadie leyó no protege de nada. Y cuarto dejar registro de las decisiones, para poder mostrar el criterio si alguien pregunta. Los cuatro pasos están desarrollados más arriba en esta página.

Gera Flores (Miss Yera) trabaja la parte de adopción: el inventario de usos, la política escrita para tu empresa y la formación del equipo que la aplica. La validación legal la hace tu área legal o tu estudio, y eso conviene decirlo de entrada porque hay quien te va a vender las dos cosas juntas. Se puede empezar con un diagnóstico antes de comprometer nada.

Corta y con ejemplos, o no la lee nadie. Tiene que decir qué herramientas están permitidas y cuáles no, qué información no puede salir de la empresa ni pegada en un prompt, quién aprueba una herramienta nueva, y qué pasa cuando alguien se salta la regla. Lo que la hunde es escribirla en abstracto: "usar la IA de forma responsable" no le dice nada a quien está por pegar el listado de clientes en un chat.

Es el documento que dice qué se puede y qué no con IA dentro de la empresa. La necesitas por dos motivos distintos y conviene no confundirlos. Uno es el reglamento de la Ley 31814, que la empuja. El otro, el que muerde de inmediato: tu equipo ya está usando IA sin que nadie le haya dicho nada, y sin política cada persona decide por su cuenta qué información pega en un chat que no controlas.

El más caro es la fuga de información sin mala intención: alguien pega un contrato, una planilla o una base de clientes en una herramienta gratuita para que se lo resuma. Después vienen las decisiones tomadas sobre una respuesta inventada que nadie verificó, y el gasto disperso en suscripciones que se pagan por triplicado en tres áreas distintas.

Es la lista de dónde hay IA dentro de tu empresa: las herramientas contratadas, las que vienen dentro de un software que ya pagabas, y las que usa tu gente por su cuenta. Es el primer paso de todo lo demás, porque no se puede escribir una política sobre algo que no sabes que existe. Casi siempre aparecen tres o cuatro usos que nadie en la gerencia conocía.

Preguntando sin castigar, que es la parte difícil. Si la gente cree que declarar una herramienta le va a traer un problema, no la declara y el inventario nace incompleto. Lo que funciona es levantarlo por área, con una pregunta concreta ("qué usas para redactar, para resumir, para buscar") en vez de una genérica sobre inteligencia artificial, y cruzarlo después con lo que aparece en las facturas de tarjeta corporativa.

Tres reglas cubren casi todo. La primera es decidir qué información no sale, y decirlo con nombres concretos: datos de clientes, planillas, contratos sin firmar. La segunda es usar las versiones de empresa de las herramientas, que no entrenan con lo que les pegas, en vez de las gratuitas. Y la tercera es que alguien sepa quién tiene acceso a qué, porque la mayoría de los incidentes no son un ataque, son un permiso que quedó abierto. Hay más sobre esto en seguridad de datos en la era de la IA.

Tres que el reglamento mira y uno que mira tu contador. Que se tomen decisiones sobre personas sin que nadie pueda explicar el criterio. Que datos personales salgan de la empresa sin base para tratarlos. Que el sistema repita un sesgo que estaba en los datos y eso toque a alguien de carne y hueso. Y el cuarto, que no es regulatorio pero hunde igual: el costo por uso creciendo sin techo. Los riesgos operativos del día a día están en cómo usar ChatGPT en tu empresa.

Sin montar un comité de doce personas, que es como muere. Con una persona responsable que pueda decir que sí o que no, una política escrita, un criterio simple para separar los usos que necesitan aprobación de los que no, y una revisión cada tanto de lo que se está usando. En una empresa mediana eso son semanas, no meses. La versión larga está en riesgos y gobernanza de agentes de IA.

Es separar los usos según lo que pasa si el sistema se equivoca. Redactar un borrador de correo y decidir a quién se le da un crédito no pueden tener el mismo control. La clasificación sirve para no poner el mismo trámite a todo: los usos de bajo impacto avanzan solos y los que tocan a una persona pasan por revisión humana.

Con dos preguntas por cada uso. ¿A quién afecta si sale mal, a un documento interno o a una persona de carne y hueso? ¿Alguien revisa antes de que la decisión salga de la empresa? Con eso quedan tres grupos: los que van solos, los que necesitan que una persona firme, y los que directamente no deberían automatizarse todavía.

Es cuidar lo que entra a la herramienta, no solo lo que sale. Un prompt puede llevar dentro un contrato entero, y un asistente conectado a los documentos de la empresa puede devolverle a una persona algo que no le tocaba ver. Importa porque casi todos los controles de seguridad de una empresa miran los archivos, y este camino no pasa por ahí.

Es que el asistente respete los mismos permisos que ya tienen las personas. Si alguien no puede abrir la carpeta de remuneraciones, tampoco debería poder preguntárselo a un asistente conectado a esa carpeta. Suena obvio y es el error más común al conectar una herramienta de IA a los documentos de la empresa: se conecta todo a todos y se descubre tarde.

Es revisar si el sistema sigue haciendo lo que decía hacer, con datos de hoy y no con los de cuando se probó. Hace falta cuando el sistema decide sobre personas (crédito, selección, precios) o cuando lleva meses funcionando sin que nadie lo mire: los modelos se degradan solos porque el mundo del que aprendieron cambia.

Midiendo por grupos y no en promedio, que es donde se esconden. Un sistema puede acertar el 90 por ciento de las veces y fallar sistemáticamente con un grupo concreto, y el número global no lo muestra. Después hay que decidir qué diferencia es aceptable y cuál no, y esa decisión es del negocio, no del que programa.

Pregúntale qué NO va a hacer. Quien te dice que resuelve el cumplimiento entero, incluida la parte legal, con una plataforma, está vendiendo algo que no existe todavía. Pide que te separe la validación legal (de tu abogado) del trabajo de adopción (política, inventario, formación). Y desconfía de cualquier cifra de multa: la fiscalización del reglamento peruano todavía es difusa y nadie ha visto una sanción.

Cinco. ¿Qué parte es legal y quién la firma? ¿Me entregas documentos o también formas al equipo que los va a aplicar? ¿Qué pasa cuando termines, quién mantiene esto vivo? ¿Puedes mostrarme una política que hayas escrito antes, aunque sea anonimizada? ¿Y qué me recomiendas NO hacer todavía? La última es la que más separa a un consultor de un vendedor.

El inventario y la política, entre dos y cuatro semanas en una empresa mediana. La formación del equipo depende de cuánta gente sea y de si se hace en una sesión o en un programa. Lo que no se termina nunca, porque no es un proyecto sino una rutina, es la revisión periódica de lo que se está usando. Quien te venda esto como algo que se cierra y se archiva te está vendiendo un documento, no una capacidad.

Que al terminar sepas qué IA se usa en tu empresa, tengas una política aprobada y el equipo que la aplica la conozca. Eso es entregable y comprobable. Lo que no puede prometerte es que estás "en cumplimiento", porque quien determina eso es el regulador y todavía no hay práctica fiscalizadora, ni que no vas a tener un incidente: eso depende de la gente, no del documento.

Es saber qué hacen con tu información las herramientas que contratas: si entrenan con lo que les mandas, dónde guardan los datos, qué pasa si te vas. Importa porque el riesgo que asumes no termina en tu empresa: si tu proveedor tiene un incidente con datos de tus clientes, quien da la cara eres tú.

Empezando por no mandarla. La mayoría de los casos de uso funcionan igual de bien con los datos anonimizados o con una muestra sin nombres, y esa decisión se toma al diseñar, no después. Para lo que sí necesita datos reales, van las versiones de empresa con acuerdo de tratamiento, y queda registrado quién autorizó ese uso.