Reglamento de IA para entidades públicas en Perú: obligaciones y plazos

Ámbito: qué entidades están obligadas

Según el artículo 3 del reglamento, aplica a las entidades de la Administración Pública del artículo I del Título Preliminar del TUO de la Ley N.º 27444, a las empresas del Estado bajo FONAFE y a las empresas públicas de gobiernos regionales y locales, además de los actores privados del Sistema Nacional de Transformación Digital.

Cronograma: plazos por tipo de entidad

La Primera Disposición Complementaria Final establece que el artículo 25 y el Capítulo I del Título VI se implementan gradualmente, contando desde el día siguiente a la publicación del decreto supremo:

Con la publicación del 9 de setiembre de 2025, el plazo de un año para el Poder Ejecutivo, el Legislativo, el Judicial y los organismos autónomos ya se cumplió.

El reglamento tiene vigencia general desde el 22 de enero de 2026; lo resumimos junto con los datos de adopción en el informe de IA en Perú 2026.

Las 11 obligaciones generales del artículo 28

1. Aprobar una política institucional del uso seguro, responsable y ético de la IA.
2. Usar la NTP-ISO/IEC 42001:2025 (sistema de gestión de IA) para desarrollar sistemas de IA.
3. Conformar equipos multidisciplinarios según la complejidad del problema público.
4. Generar y consolidar datos y evidencias de los problemas públicos para evaluar casos de uso.
5. Reforzar las capacidades digitales del personal.
6. Cumplir las normas sobre uso, adquisición y evaluación de software.
7. Poner a disposición datos de alto valor a través del Centro Nacional de Datos.
8. Publicar el código fuente de los sistemas de IA financiados con fondos públicos, con licencia libre o abierta, en la Plataforma Nacional de Software Público Peruano.
9. Promover el cumplimiento del Código de Ética de la Función Pública y de los principios de la OCDE.
10. Incluir los proyectos de IA en el Plan de Gobierno Digital.
11. En sistemas de riesgo alto, implementar supervisión humana en decisiones con impacto significativo en salud, educación, justicia, finanzas y acceso a programas y servicios básicos, con personal capacitado y con capacidad de detener, corregir o invalidar las decisiones del sistema.

Transparencia algorítmica, seguridad digital y evaluación de impacto

Artículo 25, Transparencia algorítmica. El desarrollador o implementador de un sistema de IA de riesgo alto debe informar al usuario, de forma previa, clara y sencilla, la finalidad del sistema, sus funcionalidades principales y el tipo de decisiones que puede tomar. Puede incluir el etiquetado visible del uso de IA (salvo en procesos administrativos internos sin impacto directo en derechos o servicios) y, si el sistema toma decisiones que impactan derechos humanos, debe garantizar la explicación de sus resultados en lenguaje accesible. La SGTD aprueba los lineamientos.

Artículo 29, Seguridad digital. Gestión de riesgos (cifrado, detección de anomalías, robustez de modelos), privacidad desde el diseño, auditorías de seguridad obligatorias antes de la implementación y durante la operación, y gestión de incidentes dentro del Sistema de Gestión de Seguridad de la Información.

Artículo 30, Evaluación de impacto de riesgo alto. Antes de desarrollar o implementar un sistema de riesgo alto, se analiza su impacto para evitar afectar derechos fundamentales, desigualdades o sesgos. Las medidas de mitigación deben documentarse.

Hoja de ruta práctica para una entidad

1. Inventario de sistemas y proyectos de IA en uso o en evaluación, incluidas las herramientas que el personal ya usa.
2. Clasificación de riesgo de cada uno.
3. Política institucional de IA y responsables.
4. Brechas frente a la NTP-ISO/IEC 42001:2025, la transparencia y la seguridad.
5. Plan de Gobierno Digital actualizado con los proyectos de IA.
6. Capacitación del personal.
7. Primer piloto de bajo riesgo con supervisión humana.

Es el tipo de trabajo que hacemos en el diagnóstico de 1 a 2 semanas. Más contexto en IA para el sector público. También puedes revisar IA para municipalidades y gobiernos regionales, protección de datos personales y el diagnóstico de IA.

Fuentes

• DS N.º 115-2025-PCM, Reglamento de la Ley N.º 31814 (El Peruano, 9-09-2025) · gob.pe
• Plataforma del Estado Peruano y LP Derecho (texto del reglamento)
• PCM, Obligaciones específicas de las entidades públicas y privadas en el uso de la IA