Última actualización: septiembre 2026 Base legal: Reglamento de la Ley 31814 — Decreto Supremo N° 115-2025-PCM Aplica a: toda empresa o entidad que integre inteligencia artificial en plataformas digitales dirigidas al mercado peruano.
El Reglamento de la Ley de Inteligencia Artificial en Perú no regula toda la IA por igual. Clasifica cada sistema en tres niveles de riesgo según el impacto que puede tener sobre los derechos de las personas, y asigna obligaciones distintas a cada nivel.
Antes de implementar cualquier funcionalidad con IA en tu sitio web —desde un chatbot hasta un sistema de evaluación crediticia— necesitas saber en qué categoría cae y qué te exige la ley.
Los 3 niveles de riesgo de la IA según la norma peruana
El D.S. 115-2025-PCM establece una escala de tres niveles. De mayor a menor restricción:
| Nivel | Nombre oficial | Resultado regulatorio |
|---|---|---|
| 1 | Uso indebido | Prohibido. No se puede implementar en Perú. |
| 2 | Riesgo alto | Permitido con condiciones estrictas. Supervisión humana, auditorías, evaluaciones de impacto. |
| 3 | Riesgo aceptable | Permitido con transparencia. Informar al usuario que interactúa con IA. |
Este modelo es similar al del AI Act de la Unión Europea, pero adaptado a la realidad socioeconómica peruana — particularmente al alto nivel de informalidad económica y la falta de historiales crediticios bancarizados en gran parte de la población.
A continuación, cada nivel explicado con casos concretos de aplicación web.
Nivel 1: IA de uso indebido — prohibida en Perú
Son sistemas cuyo uso genera un impacto negativo, irreversible y significativo sobre los derechos fundamentales o el bienestar de las personas. Su implementación está tajantemente prohibida en territorio peruano, sin excepciones comerciales.
¿Qué prohíbe exactamente?
- Reconocimiento facial para inferir datos sensibles del usuario sin base legal excepcional: origen racial o étnico, orientación política, preferencias sexuales, creencias religiosas.
- Manipulación subliminal del comportamiento mediante algoritmos diseñados para explotar vulnerabilidades psicológicas sin que el usuario sea consciente.
- Scoring social generalizado al estilo de sistemas que califican a ciudadanos con puntajes de comportamiento para restringir derechos o servicios.
Ejemplos en contexto web
| Funcionalidad | ¿Permitida? | Por qué |
|---|---|---|
| Cámara web que analiza expresiones faciales para inferir estado emocional y ajustar precios | ❌ No | Inferencia de datos sensibles + manipulación |
| Script que usa la cámara del dispositivo para estimar origen étnico del visitante | ❌ No | Inferencia de dato sensible (raza) sin base legal |
| Algoritmo que perfila psicológicamente al usuario para mostrar contenido diseñado a explotar ansiedad o impulsividad | ❌ No | Manipulación subliminal del comportamiento |
¿Qué pasa si lo implementas?
La norma establece la prohibición absoluta. Un sistema que caiga en esta categoría debe ser retirado. Las consecuencias pueden escalar a través de normas conexas: sanciones por la Autoridad Nacional de Protección de Datos Personales (ANPD) si hay tratamiento ilícito de datos sensibles, o procedimientos ante Indecopi si afecta derechos del consumidor.
Nivel 2: IA de riesgo alto — permitida con supervisión humana obligatoria
Son sistemas que generan riesgos tangibles para la vida, la dignidad, la seguridad física de las personas, o que gestionan el acceso a servicios esenciales como crédito, empleo, salud o educación.
Están permitidos, pero con un paquete de obligaciones que la empresa debe cumplir antes de desplegarlos.
¿Qué tipo de sistemas caen aquí?
- Plataformas fintech que usan algoritmos para evaluación crediticia (scoring).
- Portales de empleo que filtran candidaturas mediante IA.
- Plataformas educativas que automatizan la calificación de aptitudes o el acceso a programas.
- Plataformas de seguros que usan perfilamiento algorítmico para determinar primas o cobertura.
- Sistemas que gestionan acceso a infraestructura o servicios críticos.
Obligaciones para sistemas de riesgo alto
| Obligación | Qué implica |
|---|---|
| Supervisión humana | Las decisiones del algoritmo deben estar sujetas a revisión y control por analistas humanos capacitados. No puede haber decisiones 100% automatizadas sin posibilidad de intervención. |
| Auditorías de sesgo | Documentar y evaluar periódicamente si el modelo produce resultados discriminatorios o injustos. |
| Evaluación de impacto | Documento que analiza riesgos del sistema, origen de los datos de entrenamiento y medidas técnicas de mitigación. Conservar mínimo 3 años. |
| Registro del sistema | Documentar el funcionamiento del sistema: qué datos procesa, qué decisiones toma, cómo funciona el modelo. |
| Resultados éticos y justos | Garantizar que las decisiones algorítmicas sean libres de sesgos injustos. |
¿Por qué la supervisión humana es tan importante en Perú?
Este punto merece contexto. Perú tiene una realidad particular que la norma reconoce explícitamente:
- Más del 70% de la Población Económicamente Activa (PEA) trabaja en el sector informal.
- Una gran parte de la población carece de historial crediticio bancarizado.
- Los datos formales disponibles para entrenar modelos de IA no representan a la mayoría de peruanos.
Un algoritmo de scoring crediticio entrenado solo con datos del sistema financiero formal invisibiliza a millones de personas: emprendedores informales con negocios rentables, trabajadores independientes sin recibos de honorarios, familias que operan en efectivo.
La supervisión humana no es un formalismo burocrático. Es la exigencia de que un analista pueda contextualizar la realidad del solicitante más allá del puntaje algorítmico — entender que una persona sin historial en Sentinel o Equifax no es necesariamente un mal pagador, sino alguien que el sistema formal no registra.
Ejemplo práctico
Una plataforma fintech que evalúa solicitudes de microcrédito:
- ❌ Incorrecto: el algoritmo rechaza automáticamente a todo solicitante sin historial crediticio, sin revisión adicional.
- ✅ Correcto: el algoritmo genera un puntaje inicial, pero un analista humano revisa los casos rechazados, evalúa factores complementarios (referencias, flujo de ingresos demostrable, historial de pagos de servicios) y puede revertir la decisión algorítmica.
Nivel 3: IA de riesgo aceptable — la mayoría de sitios web
Aquí cae la gran mayoría de funcionalidades de IA que usan los sitios web convencionales. Son sistemas de bajo impacto sobre derechos fundamentales que gozan de mayor flexibilidad regulatoria.
¿Qué funcionalidades entran aquí?
- Chatbots de atención al cliente para consultas de inventario, horarios, preguntas frecuentes.
- Motores de recomendación de productos en e-commerce («también te puede interesar»).
- Filtros de búsqueda semántica o inteligente en catálogos.
- Optimización de interfaz de usuario basada en datos de navegación.
- Generación automatizada de respuestas para consultas básicas.
- Personalización de contenido según comportamiento del usuario.
¿Qué obligación tienen?
La obligación principal es la transparencia algorítmica: informar claramente al usuario que está interactuando con una inteligencia artificial y no con un ser humano.
Esto se traduce en acciones concretas:
| Acción | Ejemplo de implementación |
|---|---|
| Aviso visible de que el chat es con IA | «Estás hablando con un asistente virtual impulsado por inteligencia artificial» al inicio de la conversación. |
| Diferenciación clara entre agente humano e IA | Si el usuario puede ser transferido a una persona, indicar explícitamente cuándo habla con IA y cuándo con un humano. |
| Adopción de Códigos de Buenas Prácticas | Revisar si la SGTD ha emitido lineamientos para tu sector y adoptarlos. |
Lo que NO necesitas hacer (si tu IA es solo riesgo aceptable)
- No necesitas supervisión humana sobre cada decisión del chatbot.
- No necesitas auditorías formales de sesgo.
- No necesitas elaborar una evaluación de impacto (aunque hacerla voluntariamente te protege ante fiscalizaciones).
- No necesitas registrar el sistema ante ninguna autoridad.
Precaución: si tu chatbot o sistema de recomendación evoluciona para tomar decisiones que afectan derechos (por ejemplo, un chatbot que decide si aprueba o rechaza solicitudes de servicio), puede reclasificarse como riesgo alto. La categoría no la define el nombre de la tecnología, sino el tipo de decisión que toma y su impacto sobre las personas.
Tabla resumen: cómo saber en qué nivel está tu sitio web
| Tu sitio web usa… | Nivel de riesgo | Qué hacer |
|---|---|---|
| Chatbot para preguntas frecuentes | Aceptable | Aviso de que es IA. |
| Recomendación de productos | Aceptable | Aviso de que es IA. |
| Búsqueda inteligente en catálogo | Aceptable | Aviso de que es IA. |
| Personalización de contenido | Aceptable | Aviso de que es IA. |
| Scoring crediticio automatizado | Alto | Supervisión humana + auditorías + evaluación de impacto. |
| Filtrado algorítmico de CVs | Alto | Supervisión humana + auditorías + evaluación de impacto. |
| Perfilamiento para seguros o salud | Alto | Supervisión humana + auditorías + evaluación de impacto. |
| Calificación automatizada de aptitudes educativas | Alto | Supervisión humana + auditorías + evaluación de impacto. |
| Reconocimiento facial para inferir raza o religión | Prohibido | No implementar. Retirar si existe. |
| Manipulación subliminal del comportamiento | Prohibido | No implementar. Retirar si existe. |
¿Qué hacer si no estoy seguro del nivel de riesgo de mi sistema?
Tres pasos:
- Pregúntate qué decisión toma tu IA y sobre quién. Si decide algo que afecta acceso a crédito, empleo, salud, educación o servicios esenciales → probablemente riesgo alto. Si solo recomienda, informa o asiste → probablemente riesgo aceptable.
- Documéntalo. Aunque no estés obligado a hacer una evaluación de impacto formal, redactar un documento interno que describa tu sistema, los datos que procesa y las decisiones que toma te protege ante cualquier fiscalización.
- Consulta con un abogado especializado en derecho digital. Especialmente si tu plataforma opera en sectores regulados (fintech, salud, educación) o si procesa datos sensibles.
Preguntas frecuentes
¿Un filtro de spam en mi formulario de contacto es IA regulada?
No en la práctica. Los filtros antispam son herramientas técnicas de seguridad que no toman decisiones sobre derechos de personas. Caen fuera del alcance operativo de la norma.
¿Google Analytics con IA predictiva me pone en riesgo alto?
No. Las herramientas de analítica web que procesan datos agregados para medir tráfico están en riesgo aceptable. Eso sí, el tratamiento de datos personales que hagan estas herramientas sí está regulado por la Ley 29733 de Protección de Datos Personales y requiere consentimiento del usuario (ver artículo sobre política de cookies).
¿Si uso la API de ChatGPT o Claude en mi web, quién es responsable?
Tú. El responsable ante la ley peruana es quien despliega el sistema de IA dirigido al usuario final. Usar una API de terceros no transfiere la responsabilidad regulatoria.
¿Puedo tener un chatbot sin aviso de IA si es obvio que es un robot?
No. La norma exige transparencia explícita. «Es obvio» no es un criterio legal válido. El aviso debe ser claro e inequívoco.
¿Los plazos de adecuación aplican solo a riesgo alto?
Los plazos sectoriales del cronograma (septiembre 2026 a 2029) aplican a todos los niveles. La obligación de transparencia para riesgo aceptable también debe estar implementada dentro del plazo correspondiente a tu sector.
Referencias legales
- Ley N° 31814 — Ley que promueve el uso de la Inteligencia Artificial en favor del desarrollo económico y social del país.
- Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814. Define la clasificación de riesgo, obligaciones por nivel y plazos de adecuación sectorial.
- Secretaría de Gobierno y Transformación Digital (SGTD-PCM) — Organismo fiscalizador del cumplimiento.
Este artículo es informativo y no constituye asesoría legal. Para clasificar tu sistema de IA y definir las medidas de cumplimiento, consulta con un abogado especializado en derecho digital.
