Ley de suplantación de identidad en Colombia: qué es la Ley 2573 de 2026 y qué exige
Colombia ya tiene una ley de suplantación de identidad. Se trata de la Ley Estatutaria 2573 de 2026, que protege a las personas a las que les sacaron créditos, líneas o servicios a su nombre sin su consentimiento, y obliga a bancos, operadores de telecomunicaciones y comercios a verificar mejor la identidad de sus clientes.
La ley se sancionó el 19 de mayo de 2026 y la mayoría de sus obligaciones empiezan a regir en noviembre de 2026, seis meses después de su promulgación.
En resumen: la ley de suplantación obliga a las entidades a suspender de inmediato el cobro de una deuda cuando una persona denuncia que fue suplantada, a corregir los reportes negativos en las centrales de riesgo y a demostrar cómo validaron la identidad de quien abrió el producto. La persona, por su parte, debe avisar a la entidad, aportar pruebas y denunciar ante la Fiscalía dentro de 20 días hábiles.
En este artículo te explicamos qué dice la ley, a quién aplica, qué plazos fija, qué debe hacer una víctima y cómo pueden prepararse las empresas.
¿Qué es la ley de suplantación de identidad en Colombia?
Es la Ley Estatutaria 2573 de 2026, “por medio de la cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y del cobro de obligaciones, cuando se presente suplantación de identidad”.
Estos son sus datos principales:
| Dato | Detalle |
|---|---|
| Número | Ley Estatutaria 2573 de 2026 |
| Sanción | 19 de mayo de 2026 |
| Publicación | Diario Oficial n.º 53.496, 20 de mayo de 2026 |
| Origen | Proyecto de ley 190 de 2022 Cámara – 303 de 2023 Senado |
| Control constitucional | Sentencia C-413 de 2025 de la Corte Constitucional, que declaró el proyecto ajustado a la Constitución, con algunos condicionamientos |
| Vigencia | Seis meses después de su promulgación (noviembre de 2026), salvo los parágrafos 1 y 2 del artículo 5, que rigen desde mayo de 2026 |
| Autoridades | Superintendencia de Industria y Comercio (SIC) y Superintendencia Financiera, con apoyo del Ministerio TIC |
Es una ley estatutaria porque regula un derecho fundamental: el hábeas data, es decir, el derecho de las personas a conocer, actualizar y corregir la información que se tiene sobre ellas. Por eso complementa la Ley 1266 de 2008, sobre información financiera y crediticia, y la Ley 1581 de 2012, de protección de datos personales.
¿Desde cuándo rige la ley de suplantación?
El artículo 13 establece que la ley entra en vigencia dentro de los seis meses siguientes a su promulgación. Como se publicó el 20 de mayo de 2026, sus obligaciones empiezan a regir en noviembre de 2026.
Hay dos excepciones que rigen desde mayo de 2026:
- Parágrafo 1 del artículo 5: la SIC y la Superintendencia Financiera, en coordinación con el Ministerio TIC, deben reglamentar en seis meses los protocolos para atender los reportes de posible suplantación.
- Parágrafo 2 del artículo 5: si la entidad no cumplió los lineamientos de seguridad y la víctima pide la corrección, debe suspender el cobro, corregir los reportes y devolver o anular los montos obtenidos con fraude.
Para preparar esos protocolos, la SIC abrió en septiembre de 2026 una consulta pública sobre validación de identidad, que incluye preguntas sobre biometría y otros mecanismos de autenticación. Según el cronograma de la SIC, la expedición de los lineamientos está prevista para el 20 de noviembre de 2026.
¿Por qué se creó esta ley? Las cifras de la suplantación en Colombia
Hasta ahora, una persona suplantada tenía que demostrar que no había pedido el crédito o la línea, mientras seguía recibiendo cobros y aparecía reportada en las centrales de riesgo. La ley invierte esa lógica: la entidad que aprobó el producto debe probar cómo verificó la identidad.
Las cifras de la Superintendencia de Industria y Comercio muestran el tamaño del problema:
- 40.316 denuncias por suplantación de identidad desde 2020, según la SIC, citada por Blu Radio.
- 13.983 reclamaciones por suplantación entre 2022 y mayo de 2026. De ellas, 11.365 (81 %) se dirigieron contra operadores de telefonía e internet.
- 18.535 reclamos por suplantación en la plataforma SIC Facilita desde 2019, cerca del 50 % de todos los reclamos de esa plataforma, según la propia SIC.
- Más de $2.390 millones en sanciones a operadores de telecomunicaciones desde 2023 por fallas en los protocolos de validación de identidad.
Un caso reciente muestra lo que está en juego: la SIC multó a Movistar con $1.358 millones por no usar herramientas adecuadas para verificar la identidad en la reposición de tarjetas SIM. Los usuarios perdieron el control de sus líneas y sufrieron transacciones bancarias no autorizadas, un fraude conocido como SIM swap.
Te puede interesar: Identidad digital avanzada: por qué la selfie y el SMS ya no son suficientes para prevenir la suplantación
¿Qué se considera suplantación de identidad según la ley?
La ley define dos formas de suplantación:
| Tipo | Qué es | Ejemplos |
|---|---|---|
| Suplantación física | Hacerse pasar por otra persona para obtener un beneficio, engañar a terceros, obtener bienes o servicios a su cargo o cometer fraudes | Usar una cédula robada o adulterada para abrir un crédito en una tienda o sacar una línea en un punto de venta |
| Suplantación digital | Lo mismo, pero usando programas informáticos, páginas web, correos electrónicos, ingeniería social o mensajes de texto | Abrir una cuenta en línea con datos robados por smishing o phishing, o crear perfiles falsos en redes sociales |
El artículo 4 agrega que la suplantación puede darse por el uso de documentos de identidad, datos personales, tarjetas o perfiles digitales falsos, o por medios electrónicos diseñados para obtener datos sin autorización.
¿A quién aplica la ley de suplantación?
La ley aplica a quienes otorgan productos o servicios que generan obligaciones a nombre de una persona:
- Operadores de telecomunicaciones: telefonía móvil, internet y televisión.
- Entidades financieras y crediticias: bancos, compañías de financiamiento, cooperativas y fintech que otorgan crédito.
- Otros establecimientos comerciales que vendan productos o servicios a crédito.
- Fuentes y operadores de información, como las centrales de riesgo, en lo que se refiere a los reportes.
Las obligaciones de las empresas según la Ley 2573
El artículo 5 fija diez obligaciones para las entidades:
- Verificar la identidad: adoptar medidas de seguridad digital “suficientes y razonables” para establecer la veracidad de la identidad de las personas y de los documentos que presentan.
- Marcar a la víctima ante las centrales de riesgo como “víctima de falsedad personal” cuando se presente una denuncia, sin afectar su puntaje.
- Validar la información de buena fe, con mecanismos razonables.
- Responder en 10 días hábiles las peticiones y reclamos de la persona suplantada.
- Suspender de inmediato el bien o servicio obtenido con fraude, una vez informada.
- Informar a la persona el plazo que tiene para denunciar y mantener la suspensión.
- Entregar copia de los documentos y la información usados para aprobar el producto, cuando la persona lo pida. No pueden negarse.
- Reportar a la DIAN, para que la víctima no sufra consecuencias tributarias.
- Denunciar la estafa cuando los documentos presentados no coincidan.
- Investigar a sus propios empleados, por si participaron en el fraude.
Además, la ley aplica la carga dinámica de la prueba: quien está en mejor posición para probar un hecho debe hacerlo. En la práctica, la entidad debe aportar la evidencia de cómo validó la identidad de quien abrió el producto.
La ley también prohíbe a la entidad decidir por su cuenta que no hubo suplantación: esa decisión corresponde a las autoridades judiciales.
Plazos clave de la ley de suplantación
| Plazo | Qué ocurre | Artículo |
|---|---|---|
| De inmediato | La entidad suspende el cobro, los intereses y los gastos de cobranza cuando la persona informa la suplantación | Art. 8 |
| 10 días hábiles | La entidad responde las peticiones y reclamos, y la fuente compara los documentos aportados por la víctima | Arts. 5 y 7 |
| 15 días hábiles (+8) | Plazo para resolver la solicitud de corrección del reporte. Si no hay respuesta, se entiende aceptada (silencio positivo) | Art. 7 |
| 20 días hábiles | La persona suplantada debe presentar la denuncia penal y aportar los documentos | Art. 8 |
| Hasta la decisión judicial | La suspensión del cobro se mantiene hasta que termine el proceso penal | Art. 9 |
| 6 meses | La SIC y la Superintendencia Financiera reglamentan los protocolos, y el Gobierno publica la ruta de atención a víctimas | Arts. 5 y 11 |
Qué hacer si te suplantan: el paso a paso
Si descubres un crédito, una línea o una deuda que no pediste, la ley establece estos pasos:
- Avisa a la entidad que otorgó el producto apenas te enteres. Desde ese momento, debe suspender el cobro.
- Pide copia de los documentos que se usaron para aprobar el producto: formularios, fotos, firmas y registros de validación.
- Denuncia ante la Fiscalía General de la Nación o la Policía Nacional dentro de los 20 días hábiles siguientes y entrega la constancia a la entidad.
- Si hay un perfil falso en redes sociales, repórtalo a la plataforma y a la Fiscalía.
- Sométete a la prueba de validación de identidad que te pida la entidad.
- Revisa tu historial crediticio en las centrales de riesgo para confirmar que aparezca la leyenda “víctima de falsedad personal” y no un reporte negativo.
Si no presentas la denuncia en el plazo, la entidad puede reanudar el cobro con intereses desde la fecha de suspensión.
La leyenda “Víctima de falsedad personal”
Es una de las novedades más importantes de la ley. Cuando la víctima demuestra que no es responsable de la deuda, la fuente debe corregir el dato negativo y agregar la leyenda “Víctima de falsedad personal” en su historial.
Esta leyenda:
- No es un reporte negativo.
- No puede bajar la calificación de riesgo de la persona.
- Solo sirve para reforzar la verificación de identidad cuando alguien intente abrir un nuevo producto a su nombre.
¿Qué pasa con la deuda cuando hay suplantación?
La suspensión del cobro dura hasta que un juez decida el caso penal. Hay dos resultados posibles:
- Si se comprueba la suplantación: la persona queda libre de la deuda y de los reportes negativos, y la entidad puede constituirse como víctima en el proceso penal.
- Si no se comprueba: la entidad puede reanudar el cobro con los intereses causados, y quien denunció en falso puede enfrentar responsabilidad penal.
Si la Fiscalía archiva el caso porque no logra identificar al responsable, igual debe indicar si hubo o no suplantación.
Ley de suplantación y Código Penal: ¿es un delito?
La Ley 2573 no crea un delito nuevo. Es una ley de protección de datos y de los consumidores. La suplantación sigue castigándose con las normas penales existentes:
- Falsedad personal (art. 296 del Código Penal): sanciona a quien suplanta a una persona o se atribuye un nombre o una calidad con efectos jurídicos para obtener un provecho o causar daño. La Ley 2502 de 2025 agregó un agravante: si se usa inteligencia artificial, la multa aumenta hasta en una tercera parte.
- Delitos informáticos (Ley 1273 de 2009): como la violación de datos personales o la suplantación de sitios web para capturar datos, que tienen penas de prisión.
- Estafa: cuando la suplantación se usa para obtener dinero o bienes.
La relación con la IA no es menor: los deepfakes y las identidades sintéticas hacen más fácil engañar a los procesos de validación que se basan solo en una foto o un documento.
Profundiza en este contenido: Fraude digital: qué es, tipos y cómo prevenirlo
Cómo prepararse para cumplir la ley de suplantación
Para bancos, telcos, fintech y comercios que venden a crédito, la ley cambia el foco: ya no basta con reaccionar cuando aparece un caso, hay que prevenirlo y poder demostrarlo. Estos son los puntos clave:
- Revisa tu proceso de alta de clientes. Evalúa si tu validación de identidad es “suficiente y razonable” en todos los canales: presencial, web y app.
- Guarda evidencia de cada validación. Si un cliente alega suplantación, tendrás que entregar los documentos y registros que usaste para aprobar el producto.
- Refuerza las operaciones sensibles, como la reposición de SIM, el cambio de datos de contacto o los desembolsos, con una verificación adicional.
- Crea un procedimiento para atender a las víctimas que cumpla los plazos de 10, 15 y 20 días hábiles.
- Prepara la suspensión del cobro y la corrección de reportes, con la leyenda “víctima de falsedad personal”.
- Define cómo investigar la posible participación de empleados.
- Sigue la reglamentación de la SIC y la Superintendencia Financiera, que fijará los protocolos de verificación.
Si tu empresa opera en Colombia, también te puede servir revisar la hoja de ruta de finanzas abiertas de la SFC.
Cómo ayuda Ionix a cumplir la ley de suplantación
Ionix Trust es la plataforma de Ionix para verificar la identidad de las personas y proteger las operaciones sensibles. Con ella, tu empresa puede:
- Verificar la identidad en el alta de clientes, con análisis del documento, validación biométrica facial con prueba de vida y consulta a fuentes oficiales como la Registraduría Nacional.
- Pedir una verificación biométrica en operaciones de riesgo, como reposiciones de SIM, cambios de datos o desembolsos, en lugar de depender de códigos por SMS.
- Guardar la evidencia de cada validación, para responder dentro del plazo cuando un cliente alega suplantación.
- Aplicar más controles solo cuando hay riesgo, para no afectar la experiencia de los clientes legítimos.
Si quieres preparar a tu empresa para la Ley 2573, conversa con nuestro equipo.
Descubre más: Onboarding digital: cómo validar usuarios sin sumar fricción
Una ley que cambia quién debe demostrar la identidad
La ley de suplantación marca un cambio de fondo en Colombia: la responsabilidad de demostrar que se verificó bien la identidad pasa de la víctima a la empresa que aprobó el producto.
Para las personas, significa más protección frente a cobros y reportes injustos. Para las empresas, significa que la validación de identidad deja de ser un trámite y se convierte en una obligación que deben poder probar.
Preguntas frecuentes sobre la ley de suplantación
¿Cuál es la ley de suplantación de identidad en Colombia?
Es la Ley Estatutaria 2573 de 2026. Protege a las personas suplantadas frente a cobros y reportes negativos en las centrales de riesgo, y obliga a bancos, operadores de telecomunicaciones y comercios a verificar la identidad de sus clientes.
¿Desde cuándo rige la Ley 2573 de 2026?
Se sancionó el 19 de mayo de 2026 y entra en vigencia seis meses después de su promulgación, en noviembre de 2026. Los parágrafos 1 y 2 del artículo 5 rigen desde mayo de 2026.
¿Qué debo hacer si me suplantaron?
Avisar a la entidad que otorgó el producto, pedir copia de los documentos usados, denunciar ante la Fiscalía o la Policía dentro de 20 días hábiles y entregar la constancia a la entidad. Desde que avisas, la entidad debe suspender el cobro.
¿La suplantación me afecta en las centrales de riesgo?
No debería. Si demuestras que fuiste suplantado, la entidad debe corregir el reporte negativo y agregar la leyenda “víctima de falsedad personal”, que no baja tu puntaje crediticio.
¿La suplantación de identidad es un delito en Colombia?
Sí. Se sanciona como falsedad personal (art. 296 del Código Penal), con un agravante si se usa inteligencia artificial, y puede sumarse a delitos informáticos o a estafa. La Ley 2573 no crea un delito nuevo: regula cómo proteger a las víctimas.
¿Qué empresas deben cumplir la ley de suplantación?
Operadores de telecomunicaciones, entidades financieras y crediticias, y otros comercios que otorguen productos o servicios que generen obligaciones a nombre de una persona.
