Reglamento de la Ley 31814: qué implica para las empresas en Perú

¿Eres una entidad pública? Lee la guía del reglamento para entidades públicas.

Nota editorial: resumen informativo, no asesoría legal. Fuente primaria: Decreto Supremo N.° 115-2025-PCM, publicado en El Peruano el 9 de setiembre de 2025 (gob.pe). Este resumen explica qué dice la Ley 31814 para empresas. Si el sistema trata datos de clientes, revisa también protección de datos personales e IA en Perú.

Qué es

La Ley 31814 promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país. Su reglamento, aprobado por el DS 115-2025-PCM, tiene seis títulos, 36 artículos y seis disposiciones complementarias finales. La rectoría la ejerce la PCM a través de la Secretaría de Gobierno y Transformación Digital (SGTD).

Cuándo entra en vigencia

El decreto entró en vigencia a los 90 días hábiles de su publicación, salvo algunas disposiciones complementarias que rigen desde el día siguiente. Las obligaciones de transparencia y las del capítulo para el sector privado se aplican de forma gradual (ver plazos abajo).

Cómo están adoptando IA las empresas peruanas frente a esta norma: informe de adopción de IA en empresas peruanas 2026.

Tres niveles de riesgo

• Uso indebido (prohibido): por ejemplo, manipular decisiones con técnicas engañosas, vigilancia masiva sin base legal, inferir datos sensibles a partir de biometría o predecir que una persona cometerá un delito a partir de su perfil.
• Riesgo alto (permitido con controles): entre otros, determinar la evaluación crediticia de personas (salvo detección de fraude), procesos de selección, evaluación, contratación y cese de trabajadores, evaluación de estudiantes menores de edad, y acceso a servicios de salud.
• Riesgo aceptable: todo lo demás, que igual debe cumplir la ley y el reglamento.

Qué deben hacer las empresas privadas

Para sistemas de riesgo alto, el desarrollador o implementador debe:

• Transparencia algorítmica: informar al usuario, de forma previa, clara y sencilla, la finalidad del sistema, sus funciones principales y el tipo de decisiones que toma; incluso con etiquetado visible de que opera con IA.
• Explicar resultados cuando el sistema toma decisiones que impactan derechos.
• Mantener un registro actualizado sobre funcionamiento, fuentes de datos y lógica del algoritmo.
• Supervisión humana con personal capacitado que pueda detener, corregir o invalidar decisiones en salud, educación, justicia, finanzas y acceso a servicios básicos.

Para todos los sistemas: políticas y procedimientos de seguridad, privacidad y rendición de cuentas, y capacitación interna sobre riesgos. La evaluación de impacto de riesgo alto es voluntaria; si se hace, se documenta y conserva al menos tres años.

Plazos para el sector privado

Contados desde el día siguiente de la publicación (9 de setiembre de 2025):

• 1 año: usos en salud, educación, justicia, seguridad, economía y finanzas. Este plazo ya venció en setiembre de 2026.
• 2 años: transporte, comercio y trabajo.
• 3 años: producción, agricultura, energía y minería.
• 4 años: todos los demás usos.

Las MYPE y los emprendimientos innovadores tienen un cronograma propio, según su nivel de ventas.

Qué hacer ahora

1. Inventaria dónde usas IA hoy, incluidas herramientas de terceros.
2. Clasifica cada uso según los tres niveles.
3. En los de riesgo alto, define supervisión humana, registro y mensajes de transparencia.
4. Aprueba una política interna de uso de IA y capacita al equipo.

En ANDE Studio diseñamos con estos controles desde el diagnóstico. Ver IA para legal y cumplimiento y nuestro artículo sobre IA y cumplimiento en Perú.