La Ley 2573 de 2026 marca un cambio importante en la forma en que las empresas colombianas deben gestionar la validación de identidad, la prevención del fraude y la protección de los ciudadanos frente a la suplantación de identidad.
Aunque muchas organizaciones la perciben como una norma relacionada únicamente con el habeas data o las entidades financieras, su alcance es mucho mayor. Hoy impacta directamente a los oficiales de cumplimiento, áreas de riesgo, fraude, seguridad digital, telecomunicaciones y cualquier organización que otorgue productos, servicios o créditos mediante procesos de identificación de personas.
En la práctica, esta ley convierte la validación de identidad en un elemento esencial de la gestión del riesgo empresarial.
¿Qué es la Ley 2573 de 2026?
La Ley 2573 de 2026 fue expedida para fortalecer la protección de las personas víctimas de suplantación de identidad, estableciendo nuevas obligaciones para las organizaciones que recopilan información personal, otorgan créditos o generan reportes ante centrales de riesgo.
Uno de los principales cambios consiste en que las empresas deberán demostrar que implementaron mecanismos adecuados para verificar la identidad del solicitante antes de aprobar un producto o servicio.
En otras palabras, ya no basta con solicitar una copia del documento de identidad. Ahora será necesario demostrar que existieron controles razonables para confirmar que la persona realmente era quien decía ser.
Este enfoque fortalece la protección del ciudadano, pero también incrementa la responsabilidad de las organizaciones frente a posibles fraudes.
¿Qué empresas deben prestar especial atención?
Aunque el mayor impacto recae sobre las entidades financieras, la ley también tiene implicaciones para organizaciones como:
- entidades financieras y cooperativas;
- compañías de financiamiento;
- empresas de telecomunicaciones;
- comercios que ofrecen financiación;
- fintech;
- empresas que realizan procesos de vinculación digital;
- organizaciones sujetas a programas de cumplimiento como SAGRILAFT, PTEE o SARLAFT.
En todos estos casos, los procesos de validación de información y debida diligencia adquieren una relevancia jurídica mucho mayor.
La validación de identidad deja de ser una buena práctica
Uno de los cambios más importantes es que la validación de identidad pasa de ser una recomendación tecnológica a convertirse en una obligación práctica.
La ley exige implementar medidas de seguridad digital suficientes para verificar:
- la identidad del solicitante;
- la autenticidad de los documentos presentados;
- la consistencia de la información suministrada.
En la práctica, esto implica fortalecer procesos de Know Your Customer (KYC) mediante tecnologías como:
- verificación documental mediante OCR;
- lectura del chip NFC de la cédula;
- comparación biométrica facial 1:1;
- pruebas de vida (liveness detection);
- validación automática de documentos;
- motores de prevención de fraude.
Estas herramientas permiten reducir significativamente los casos de fraude por suplantación antes de aprobar una operación.
¿Qué cambia para los oficiales de cumplimiento?
Para un oficial de cumplimiento, la Ley 2573 de 2026 representa un nuevo frente de riesgo.
Hasta ahora, muchos programas de cumplimiento estaban enfocados principalmente en:
- listas restrictivas;
- prevención del lavado de activos;
- conocimiento del cliente;
- monitoreo de operaciones.
Sin embargo, ahora deberán incorporar controles específicos para validar la identidad de las personas y conservar evidencia suficiente para demostrar que dichos controles fueron ejecutados correctamente.
Esto significa que la gestión documental adquiere un papel mucho más estratégico.
Los procesos deberán ser auditables y conservar evidencia como:
- registros del proceso de vinculación;
- documentos utilizados;
- resultados de verificaciones;
- direcciones IP;
- evidencia biométrica cuando aplique;
- decisiones tomadas por los motores antifraude.
En caso de una reclamación, será la empresa quien deba demostrar que actuó correctamente.
La carga de la prueba cambia por completo
Quizá el aspecto más relevante de la Ley 2573 de 2026 es el cambio en la llamada carga dinámica de la prueba.
Anteriormente, muchas víctimas de suplantación debían demostrar que nunca solicitaron un crédito o contrataron un servicio.
Ahora ocurre lo contrario.
Será la organización quien deba acreditar que realizó un proceso adecuado de identificación y validación antes de aprobar la operación.
Esto convierte la trazabilidad documental en un activo fundamental para las áreas jurídicas, de cumplimiento y gestión del riesgo.
Nuevas obligaciones frente a la suplantación de identidad
Cuando una persona informa que fue víctima de suplantación de identidad, la organización deberá actuar con rapidez.
Entre las principales obligaciones se encuentran:
- atender las solicitudes dentro de los plazos establecidos por la ley;
- suspender oportunamente los cobros relacionados con la operación fraudulenta;
- entregar al ciudadano la documentación utilizada durante el proceso de vinculación;
- investigar posibles fallas internas;
- reportar la situación a las autoridades correspondientes cuando aplique.
La norma establece además que las reclamaciones deberán resolverse en un plazo máximo de 10 días hábiles.
Si la organización no responde oportunamente, puede operar el denominado silencio administrativo positivo, favoreciendo al ciudadano.
Cambios en los reportes negativos y el habeas data
Otro aspecto relevante es el tratamiento de los reportes negativos derivados de operaciones fraudulentas.
La ley dispone que, cuando exista una denuncia por suplantación, la persona pueda ser identificada mediante la leyenda «Víctima de Falsedad Personal», sin que ello afecte su historial crediticio.
El objetivo es proteger al ciudadano mientras las entidades realizan validaciones adicionales antes de aprobar nuevas operaciones.
Esto convierte la correcta administración del habeas data en un componente esencial dentro de los procesos de cumplimiento y gestión del riesgo.
¿Cómo se relaciona esta ley con SAGRILAFT y la debida diligencia?
Aunque la Ley 2573 de 2026 no modifica directamente el régimen de SAGRILAFT, ambas normas comparten un objetivo común: reducir el riesgo mediante procesos robustos de identificación y validación.
De hecho, muchas de las actividades exigidas por la nueva ley fortalecen la ejecución de la debida diligencia.
Por ello, las organizaciones pueden aprovechar una misma estrategia tecnológica para:
- validar identidad;
- consultar listas restrictivas;
- verificar antecedentes;
- validar información de personas y empresas;
- documentar la trazabilidad de cada consulta.
Este enfoque reduce riesgos operativos y facilita auditorías internas y regulatorias.
Tecnología como aliado para cumplir la Ley 2573 de 2026
El volumen de validaciones que hoy realizan muchas organizaciones hace prácticamente imposible cumplir estos requisitos mediante procesos manuales.
Por ello, cada vez más empresas implementan plataformas que permiten automatizar la validación de identidad y la consulta de múltiples fuentes de información desde un solo lugar.
Una solución tecnológica como Validiti puede ayudar a:
- validar información de personas naturales;
- consultar antecedentes;
- verificar empresas;
- revisar vehículos;
- consultar listas restrictivas;
- documentar evidencias;
- mantener trazabilidad de cada proceso de debida diligencia.
Además de reducir tiempos operativos, este tipo de herramientas facilita demostrar que la organización actuó conforme a las exigencias regulatorias.
Conclusión
La Ley 2573 de 2026 representa un cambio profundo en la gestión del riesgo asociado a la identidad digital.
La prevención del fraude por suplantación, la validación de identidad, la trazabilidad documental y la conservación de evidencia dejan de ser simples buenas prácticas para convertirse en elementos fundamentales de la responsabilidad empresarial.
Para los oficiales de cumplimiento, las áreas de riesgo y las organizaciones sujetas a obligaciones regulatorias, fortalecer los procesos de identificación ya no es únicamente una medida preventiva: es una necesidad legal.
Implementar tecnologías de validación, automatizar la debida diligencia y mantener evidencia verificable permitirá reducir riesgos, mejorar la experiencia del usuario y responder adecuadamente ante eventuales reclamaciones o auditorías.
