Sí, Perú ya tiene reglas para la inteligencia artificial: la Ley 31814 (julio de 2023) y su reglamento, el Decreto Supremo 115-2025-PCM (setiembre de 2025), que rige desde enero de 2026. El reglamento clasifica los usos de IA por riesgo y da a las empresas plazos escalonados de 1 a 4 años. No fija multas propias para el sector privado.
Esta es una guía informativa. No es asesoría legal ni reemplaza la opinión de un abogado que revise tu caso.
En resumen
- La Ley 31814 se publicó el 5 de julio de 2023 y promueve el uso de la IA con enfoque en riesgos. El Decreto Supremo 115-2025-PCM la reglamentó el 9 de setiembre de 2025.
- Quien dirige y supervisa es la Presidencia del Consejo de Ministros (PCM), a través de la Secretaría de Gobierno y Transformación Digital (SGTD).
- El reglamento tiene tres niveles: uso indebido (prohibido), riesgo alto (permitido con controles) y riesgo aceptable (todo lo demás).
- Para el sector privado, las obligaciones se aplican por plazos: desde setiembre de 2026 (salud, educación, justicia, seguridad, economía y finanzas) hasta setiembre de 2029 (otros usos). Las micro y pequeñas empresas tienen 3 y 2 años.
- La IA que toque datos personales sigue sujeta a la Ley 29733. Ahí sí hay un régimen de sanciones.
¿Qué es la Ley 31814 y qué establece?
La Ley 31814 se titula "Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país". Se publicó el 5 de julio de 2023 en El Peruano. Es una ley corta: dice que su objeto es promover la IA "privilegiando a la persona y el respeto de los derechos humanos", en un entorno seguro, ético, sostenible, transparente, replicable y responsable (artículo 1).
Sus seis principios incluyen estándares de seguridad basados en riesgos, desarrollo ético y privacidad. El artículo 4 designa a la PCM, a través de la Secretaría de Gobierno y Transformación Digital, como autoridad técnico-normativa que dirige, evalúa y supervisa el uso de la IA.
La ley no detalla obligaciones para las empresas. Eso lo hizo el reglamento, que debía aprobarse en 90 días hábiles y llegó más de dos años después.
¿Ya existe el reglamento de la ley de IA y desde cuándo rige?
Sí. Se aprobó con el Decreto Supremo 115-2025-PCM, firmado el 8 de setiembre de 2025 y publicado el 9 de setiembre de 2025. Tiene 6 títulos, 36 artículos y 6 disposiciones complementarias finales.
| Qué | Fecha |
|---|---|
| Publicación en El Peruano | 9 de setiembre de 2025 |
| Vigencia general | 90 días hábiles siguientes a la publicación, es decir, en enero de 2026 (EY y Cuatrecasas dan el 22 de enero; el decreto no fija el día) |
| Cronograma de plazos (disposición Primera) | Desde el día siguiente a la publicación |
El reloj de los plazos para las empresas empezó en setiembre de 2025, aunque el resto del reglamento tuvo 90 días hábiles de espera.
¿Qué empresas alcanza el reglamento?
El artículo 3 lo aplica al sector público y a "las organizaciones del sector privado, la sociedad civil, ciudadanos y la academia que integran el Sistema Nacional de Transformación Digital". El texto no precisa qué empresas privadas quedan dentro. Lo prudente es asumir que la tuya sí. Las excepciones (artículo 4) son el uso personal y el de defensa y seguridad nacional. Usar IA dentro de tu negocio no es "uso personal".
El reglamento distingue roles. El desarrollador diseña, programa o entrena el sistema. El implementador lo integra o despliega "dentro de un proceso productivo u operativo". Si contratas un chatbot y lo pones a atender clientes, eres el implementador. Ambos tienen obligaciones.
¿Cómo clasifica los riesgos el reglamento de IA?
El artículo 22 define tres categorías. Esto es lo que dice el texto oficial, sin agregados:
| Categoría | Qué significa | Ejemplos del texto |
|---|---|---|
| Uso indebido (prohibido) | IA que impacta de forma irreversible, significativa y negativa en derechos fundamentales o bienestar | Manipular decisiones con técnicas subliminales o engañosas; vigilancia masiva sin base legal; inferir origen étnico u opiniones políticas desde datos biométricos; predecir que una persona cometerá un delito por su perfil (art. 23) |
| Riesgo alto | IA que supone un riesgo para la vida, la dignidad, la libertad, la seguridad física u otros derechos. Se puede usar bajo condiciones y controles | Selección, contratación y cese de trabajadores; evaluación crediticia de personas (salvo detección de fraude); acceso a servicios de salud; diagnóstico en salud; evaluación de menores en educación (art. 24) |
| Riesgo aceptable | Todo sistema que no cae en las dos anteriores | Se rige por el reglamento y la ley, pero sin los controles reforzados (art. 22.2) |
El artículo 24 cierra con una cláusula abierta: también es riesgo alto todo uso que arriesgue la vida, la seguridad física o los derechos fundamentales y tenga elevada probabilidad de discriminación o elevada complejidad de supervisión humana. Si dudas, los artículos 23.3 y 24.2 permiten consultar a la SGTD.
¿Mi chatbot de WhatsApp o mi IA generativa es de riesgo alto?
El reglamento no menciona los chatbots ni la IA generativa. Lo que sigue es nuestra lectura del texto, no una opinión legal:
- Un asistente que responde preguntas, agenda citas o toma pedidos no aparece en las listas de los artículos 23 y 24. Por descarte, caería en riesgo aceptable.
- Si ese mismo sistema decide o filtra cosas de la lista de riesgo alto, cambia de categoría. Ejemplos: calificar postulantes a un puesto, aprobar o negar crédito a una persona, orientar diagnósticos.
Riesgo aceptable no significa "sin reglas": el artículo 22.2 exige igual cumplir el reglamento y la ley.
¿Qué obligaciones tiene el sector privado y desde cuándo?
Las disposiciones que el cronograma gradúa para el sector privado son el artículo 25 (transparencia) y el Capítulo II del Título VI (artículos 31 y 32). Los plazos se cuentan desde el día siguiente a la publicación del decreto (10 de setiembre de 2025).
| Uso de la IA en el sector | Plazo | Fecha aproximada |
|---|---|---|
| Salud, educación, justicia, seguridad, economía y finanzas | 1 año | Setiembre de 2026 (ya venció) |
| Transporte, comercio y trabajo | 2 años | Setiembre de 2027 |
| Producción, agricultura, energía y minería | 3 años | Setiembre de 2028 |
| Todos los demás usos | 4 años | Setiembre de 2029 |
| Pequeñas empresas (ventas anuales de más de 150 UIT y hasta 1700 UIT) | 2 años | Setiembre de 2027 |
| Microempresas (ventas anuales hasta 150 UIT) | 3 años | Setiembre de 2028 |
EY calcula las mismas fechas por sector. Con la UIT de 2026 (S/ 5 500), 150 UIT son S/ 825 000 y 1700 UIT son S/ 9 350 000 (cálculo nuestro). Una empresa mediana, por encima de ese monto, queda con el plazo de su sector. El texto no aclara qué plazo manda si una pequeña empresa está además en salud, por ejemplo. Lo prudente es tomar el más corto.
Qué se exige concretamente al privado en esos capítulos:
- Artículo 31.2: políticas, protocolos y procedimientos claros de seguridad, privacidad, transparencia, explicabilidad y rendición de cuentas.
- Artículo 31.3: educar y concientizar internamente a tus colaboradores sobre los riesgos de la IA.
- Artículo 31.1 y 31.4 (solo riesgo alto): mantener un registro actualizado sobre cómo funciona el sistema, qué datos usa y la lógica del algoritmo, y tener supervisión humana con personal capacitado, capaz de detener, corregir o invalidar las decisiones del sistema.
- Artículo 32: para riesgo alto, el análisis de impacto previo es voluntario en el sector privado ("se puede realizar"). Si lo haces, documentas hallazgos y medidas, y conservas esa documentación al menos 3 años.
¿Qué dice el reglamento sobre transparencia?
El artículo 25.1 obliga a quien desarrolla o implementa un sistema de riesgo alto a informar al usuario, "de forma previa, clara y sencilla", la finalidad del sistema, sus funcionalidades y el tipo de decisiones que puede tomar. El 25.2 dice que entre los mecanismos "se puede incluir" el etiquetado visible de que el servicio o contenido se opera con IA. El 25.3 pide explicar, en lenguaje accesible, los criterios de las decisiones que afecten derechos humanos.
Dos matices. La transparencia expresa se exige para riesgo alto, y el etiquetado figura como una posibilidad. El principio de transparencia del artículo 7 sí cubre a todos los sistemas. Avisar al cliente que habla con IA no está exigido expresamente para un chatbot de riesgo aceptable, pero es la práctica más sana.
¿Cómo se relaciona con la Ley 29733 de datos personales?
El artículo 26 dice que en el desarrollo, implementación y uso de la IA "se debe cumplir con la normativa vigente sobre privacidad y protección de datos personales", y que las responsabilidades se determinan "conforme al régimen sancionador previsto en la Ley N° 29733" y su reglamento.
En la práctica: si tu chatbot guarda nombres, teléfonos o conversaciones de clientes, la Ley 29733 ya te aplica, sin esperar ningún plazo de IA. El nuevo reglamento de esa ley (Decreto Supremo 016-2024-JUS) rige desde marzo de 2025 y, según El Peruano, obliga a informar sobre "la existencia de decisiones automatizadas, incluida la elaboración de perfiles, y las consecuencias de ello". Tenemos una guía aparte para eso: la Ley de protección de datos personales y los chatbots.
¿Hay sanciones por incumplir?
El reglamento de IA no define multas propias para empresas privadas. Remite al régimen de la Ley 29733 para datos personales (art. 26.2), manda a la SGTD a comunicar a las autoridades competentes cualquier presunta vulneración de la propiedad intelectual, de la protección de datos personales o de otros derechos fundamentales (art. 34.2) y permite que cualquier persona alerte en gob.pe/iaperu o denuncie ante Indecopi, la División de Investigación de Ciberdelincuencia o la ANPDP (art. 36).
¿Cómo se compara con el Reglamento de IA de la Unión Europea?
Solo importa si vendes a clientes en Europa. La Comisión Europea describe cuatro niveles: riesgo inaceptable (prohibido), alto, de transparencia y mínimo. La diferencia que más toca a una PYME: la UE tiene una categoría propia para que las personas sepan cuándo interactúan con IA, mientras que Perú concentra la transparencia en el riesgo alto. El reglamento europeo está en vigor desde el 1 de agosto de 2024, con calendario ajustado por el "AI Omnibus" (en vigor desde el 27 de julio de 2026).
Checklist práctico para una PYME que ya usa chatbots o IA generativa
- Haz un inventario. Anota cada IA que usas (chatbot, redacción, filtros de CV, calificación de clientes) y quién es el proveedor.
- Clasifica cada uso. Compáralo con las listas de los artículos 23 y 24. Si toca contratación, crédito o salud, trátalo como riesgo alto.
- Descarta lo prohibido. Nada de manipular al cliente, inferir datos sensibles por biometría o perfilar personas para predecir conductas.
- Avisa que es IA. Dile al cliente que habla con un asistente virtual y ofrece pasar con una persona.
- Revisa datos personales. Aviso de privacidad, finalidad, consentimiento donde corresponda y contrato con el proveedor. Ver la guía de la Ley 29733.
- Pon un humano a cargo. Alguien con nombre y apellido que pueda detener o corregir lo que hace el sistema.
- Escribe una política interna corta y capacita a tu equipo (artículo 31.2 y 31.3).
- Lleva un registro simple: qué hace el sistema, con qué datos, quién responde. Obligatorio en riesgo alto, útil siempre.
- Si es riesgo alto, haz el análisis de impacto (voluntario para el privado) y guárdalo 3 años.
- Anota tu fecha. Según tu sector o tamaño, tu plazo cae entre setiembre de 2026 y setiembre de 2029.
Preguntas frecuentes
¿Hay una ley de IA que prohíba usar ChatGPT en mi empresa?
No. El reglamento no prohíbe herramientas, prohíbe ciertos usos (artículo 23). Usar IA generativa para atender consultas o redactar textos no figura entre ellos. Lo que sí debes cuidar es no cargar datos personales de clientes a una herramienta sin condiciones claras.
¿Tengo que avisar que mi chatbot es una IA?
Para sistemas de riesgo alto, el reglamento exige informar de forma previa y clara su finalidad. Para un chatbot de atención común, el texto no lo exige expresamente, pero conviene hacerlo y ofrecer atención humana.
¿Mi empresa ya está obligada?
Depende de tu sector y tamaño. Si usas IA en salud, educación, justicia, seguridad, economía o finanzas, el primer plazo venció en setiembre de 2026, salvo que seas micro o pequeña empresa.
¿Ya hay lineamientos oficiales de transparencia y ética?
El reglamento encarga a la SGTD aprobarlos (artículos 25.4 y 27.2; los éticos, en un plazo no mayor a 180 días hábiles según la Segunda disposición complementaria final). No pudimos confirmar en las fuentes oficiales que estén publicados. Revisa gob.pe/iaperu antes de decidir.
¿Qué es la Estrategia Nacional de IA 2026-2030?
Es la Resolución Ministerial 152-2026-PCM. Para las empresas privadas es una referencia voluntaria: pueden "tomar como referencia" lo que establece.
¿Cómo empezar?
Si ya usas un chatbot o piensas implementar uno y quieres ordenar qué datos toca, cómo avisa que es IA y cuándo pasa con una persona, puedes escribirnos por WhatsApp o ver un agente funcionando desde /contacto. Quimera atiende empresas de Perú a distancia, por videollamada. Para el panorama completo de qué puede hacer un agente en tu negocio, mira agentes de IA para empresas en Perú. Para la parte legal concreta, consulta con un abogado.
Fuentes (consultadas el 3 de noviembre de 2026)
- Decreto Supremo 115-2025-PCM, Reglamento de la Ley 31814 (El Peruano, 9/9/2025)
- Ley 31814, texto consolidado (Congreso de la República)
- El Peruano: reglamento de IA, vigencia a los 90 días hábiles (9/9/2025)
- EY Perú: Reglamento de la Ley que promueve el uso de la inteligencia artificial
- Cuatrecasas: ¿Qué establece el Reglamento de la Ley de Inteligencia Artificial?
- El Peruano: Resolución Ministerial 152-2026-PCM, Estrategia Nacional de IA 2026-2030
- El Peruano: nuevo reglamento de la Ley 29733 (DS 016-2024-JUS)
- El Peruano: UIT 2026 en S/ 5 500
- Comisión Europea: marco regulatorio de la IA (AI Act)