- La Ley 2573 de 2026 es una ley estatutaria, sancionada el 19 de mayo de 2026 y publicada en el Diario Oficial 53.496 del 20 de mayo (Secretaría del Senado).
- Rige seis meses después de su publicación, salvo dos parágrafos del artículo 5 que rigen desde mayo (art. 13). Según su cronograma, la SIC prevé expedir el protocolo de validación de identidad el 20 de noviembre de 2026.
- Obliga a operadores de telecomunicaciones y entidades financieras y crediticias a adoptar medidas "suficientes y razonables" para establecer la veracidad de la identidad y de los documentos (art. 5).
- Ante una suplantación alegada, la entidad tiene que entregar los documentos con los que aprobó el producto, y la fuente debe cotejarlos en diez días hábiles (arts. 5 y 7).
La Ley 2573 de 2026 es una ley estatutaria que Colombia sancionó el 19 de mayo de 2026 y publicó en el Diario Oficial 53.496 del 20 de mayo. Protege a las víctimas de suplantación de identidad frente al reporte negativo y al cobro de deudas que no contrajeron, y para eso impone deberes de verificación a las entidades que venden el producto o el servicio.
El texto oficial está en la base de leyes del Senado y en el Gestor Normativo de Función Pública.
El 20 de noviembre de 2026 reúne dos hechos con distinto grado de certeza. La Superintendencia de Industria y Comercio (SIC) publicó un cronograma que prevé expedir ese día los protocolos de validación de identidad. Y si se cuentan seis meses desde la publicación en el Diario Oficial, es también el día en que entra en vigencia la mayor parte de la ley, aunque esa fecha sale de una cuenta y ninguna autoridad la fijó por acto propio.
Lo que la ley le pide a un banco o a un operador de telecomunicaciones es verificar identidad y documento con medidas razonables, y poder entregar, cuando alguien dice haber sido suplantado, los documentos con los que aprobó el producto.
Qué es la Ley 2573 y a quién obliga
La Ley 2573 es una norma de hábeas data financiero que obliga a operadores de telecomunicaciones, entidades financieras y crediticias, y "demás establecimientos comerciales con esta competencia" a proteger a la persona suplantada del reporte negativo y del cobro. Esa fórmula se repite en todo el articulado.
La ley no define qué es un establecimiento comercial "con esta competencia", y la Sentencia C-413 de 2025 de la Corte Constitucional tampoco.
Lo único que registra la Corte es el origen de la frase: en el tercer debate se ajustó el proyecto para que aplicara también a los establecimientos con competencias en telecomunicaciones, financieras y crediticias. Qué empresas quedan adentro no lo dicen ni la ley ni la Corte; puede aclararlo el protocolo o un pronunciamiento de la SIC o de la Superintendencia Financiera.
La ley cubre la suplantación de identidad física y la digital. No hay que confundirla con la Ley 2502 de 2025, que modificó el artículo 296 del Código Penal para aumentar la multa cuando la falsedad personal se comete con inteligencia artificial.
Qué rige desde mayo y qué rige desde el 20 de noviembre
Desde la publicación rigen los parágrafos 1 y 2 del artículo 5; el resto de la ley rige seis meses después. Lo dice el artículo 13: "La presente ley entrará en vigencia dentro de los seis (6) meses siguientes a su promulgación, con excepción de los parágrafos Primero y segundo del artículo quinto (5), los cuales entrarán en vigencia con la promulgación de la ley."
| Qué | Desde cuándo rige |
|---|---|
| Parágrafo 1 del art. 5: mandato de reglamentar los protocolos | Desde la promulgación |
| Parágrafo 2 del art. 5: consecuencias de incumplir los protocolos | Desde la promulgación |
| Deberes del art. 5 y procedimiento de los arts. 6 a 10 | Seis meses después de la promulgación |
La fecha exacta depende de cuándo se considera promulgada la ley. Según la Ley 4 de 1913, la promulgación se consuma en la fecha del número del periódico oficial que la inserta, y los meses se cuentan según el calendario.
Con el Diario Oficial del 20 de mayo, la cuenta llega al viernes 20 de noviembre de 2026. Ninguna autoridad fijó ese día por acto propio, y la edición interactiva de la Rama Judicial toma como promulgación la fecha de sanción, el 19 de mayo, y fecha la vigencia el 19 de noviembre.
El plazo para reglamentar corre desde la expedición. El parágrafo 1 les da a la SIC y a la Superintendencia Financiera, en coordinación con el Ministerio TIC, seis meses para reglamentar protocolos que incluyan "mecanismos, herramientas y metodologías idóneos que permitan la plena identificación del potencial adquirente".
A octubre de 2026, la SIC es la única de las tres autoridades con un proceso público. Su comunicado del 8 de septiembre fija estas etapas:
| Etapa | Fecha anunciada |
|---|---|
| Convocatoria a la consulta | Hasta el 9 de octubre de 2026 |
| Propuesta publicada para comentarios | 2 de noviembre de 2026 |
| Expedición | 20 de noviembre de 2026 |
La SIC lo anunció, pero todavía no expidió ningún acto. No se localizó un proyecto de la Superintendencia Financiera ni del Ministerio TIC ligado a la ley, y como el parágrafo reparte la tarea "en el marco de cada una de sus competencias", todavía no está claro si el protocolo de la SIC alcanzará a las entidades que vigila la Superintendencia Financiera.
La ley exige verificar identidad y documento con medidas razonables y no nombra tecnologías
El artículo 5 obliga a "Adoptar las medidas de seguridad digital suficientes y razonables necesarias para establecer la veracidad de la identidad de las personas y los documentos presentados para adquirir sus productos y/o servicios". Son dos objetos, la persona y el documento, y la verificación de identidad tiene que cubrir los dos. El numeral 3 suma la validación de los datos que declara el cliente, "bajo el principio de buena fe".
La Corte leyó esos dos numerales como aplicación del principio de responsabilidad demostrada: el deber de demostrar ante la autoridad de datos "que cuentan con una estructura institucional adecuada y con los procedimientos internos para asegurar el goce efectivo del derecho al habeas data". Por eso la pregunta práctica para la entidad es qué puede mostrar, además de qué medidas tiene.
La ley no menciona biometría, prueba de vida, verificación documental ni ningún estándar técnico. La biometría aparece en la consulta de la SIC, que pregunta por las tecnologías disponibles, su precisión, "las alternativas a la biometría" y sus riesgos para los datos personales, así que la elección sigue abierta.
La validación también hace falta en el reclamo: el artículo 6 le pide a quien denuncia la suplantación "Realizar la prueba de validación de identidad que establezca" la entidad. Tampoco ahí la ley dice cuál.
La evidencia que hay que poder mostrar es el expediente de vinculación
La evidencia que la ley hace exigible es el conjunto de documentos y datos con los que la entidad aprobó el producto. El numeral 7 del artículo 5 obliga a entregarle copia a la persona presuntamente suplantada: "Bajo ninguna circunstancia podrá negarse la entrega de esta información a la persona." El proyecto pedía que la solicitud viniera con copia de la denuncia; la Corte declaró inconstitucional ese requisito, así que la solicitud alcanza.
El artículo 7, que modifica la Ley 1266 de 2008, obliga a la fuente a "cotejar, dentro de los diez (10) días hábiles siguientes, los documentos utilizados para adquirir la obligación que se disputa, con los documentos allegados por el titular".
Después se incluye la leyenda "Víctima de Falsedad Personal", que no cuenta como reporte negativo y sirve "con el único fin de realizar una verificación intensificada de la identidad del titular". Es la única vez que la ley gradúa la verificación.
Una entidad que no conservó los documentos con los que vinculó al cliente no tiene contra qué cotejar. El expediente tiene que existir, poder recuperarse y poder entregarse: qué documento se presentó, qué datos se validaron y cómo.
En la motivación de la sentencia, la Corte acogió que el principio de carga dinámica debe abarcar "todo tipo de interacción con el bien o servicio" y los datos de tiempo, modo y lugar en que se usó. Eso no está en la parte resolutiva y opera solo en procesos judiciales no penales, por decisión del juez. Ni la ley ni la sentencia fijan un plazo de conservación.
La carga de la prueba es dinámica y la decide el juez
La ley adopta la carga dinámica de la prueba: "Tendrá obligación de probar la parte que mejor se encuentre en condiciones de hacerlo" (art. 2, literal d). El mismo literal agrega que las entidades "deberán entregar la información y documentos que recibieron para hacer la aprobación del bien o servicio".
Como es estatutaria, la ley pasó por control previo. La Sentencia C-413 de 2025, del 2 de octubre de 2025, con ponencia del magistrado Juan Carlos Cortés González, declaró ese literal constitucional con tres condiciones:
- Al remitir la información, la entidad "deberá cumplir con la carga de veracidad respecto de la plena identidad del cliente".
- La carga dinámica "se aplicará en los procesos judiciales, que no sean de naturaleza penal, en los que se discuta sobre la ocurrencia de una suplantación personal".
- "el juez de conocimiento determinará la operancia de la inversión de la carga de la prueba".
En lo penal no aplica porque investiga la Fiscalía, según el artículo 250 de la Constitución. Donde la Corte le ve sentido es en un eventual proceso por responsabilidad civil contra la entidad financiera, porque sin esta regla toda la prueba recaería en el titular que alega el fraude. Lo incondicional es entregar los documentos con veracidad sobre la identidad del cliente; probar algo más depende del proceso y del juez.
Si no se cumple el protocolo, la entidad asume la pérdida
Según el parágrafo 2 del artículo 5, vigente desde mayo, si se verifica que la entidad incumplió los protocolos de seguridad expedidos por las autoridades y el titular pidió la corrección alegando suplantación, la entidad tiene que devolverle los dineros a la persona suplantada y/o eliminar las acreencias.
Además se suspende la cobranza y se modifica el reporte en las centrales. La norma habla de "los lineamientos, recomendaciones y protocolos de seguridad expedidos por las autoridades competentes" y de la "devolución oportuna de los dineros y/o la eliminación de las acreencias que fueron objeto de defraudación".
Tampoco puede congelar esos dineros ni esperar la autorización del titular de la cuenta a la que fueron transferidos para revertir la transacción.
Los protocolos de la Ley 2573 todavía no existen. Una lectura posible, que ninguna fuente oficial confirma, es que mientras tanto el parágrafo opera solo contra lineamientos que ya existan por otra vía.
La ley no crea un régimen sancionatorio propio: su artículo 11 remite a cada autoridad en su competencia, solo en hábeas data, y la Ley 1266 reparte la vigilancia entre la SIC y la Superintendencia Financiera. Ninguna autoridad dijo todavía cómo se sancionará el incumplimiento del numeral 1 del artículo 5. Y la entidad no decide sola: según el artículo 10, no puede determinar que no hubo suplantación, porque eso queda reservado a los jueces.
| Plazo | Qué corre | Base |
|---|---|---|
| Inmediato | Suspender el servicio adquirido con fraude, una vez informada la entidad | Art. 5, num. 5 |
| Inmediato | Suspender el cobro, los intereses y los gastos de cobranza | Art. 8 |
| 10 días hábiles | Dar trámite a solicitudes y quejas de personas suplantadas | Art. 5, num. 4 |
| 10 días hábiles | Cotejar documentos y pedir la modificación del dato negativo | Art. 7 |
| 15 días hábiles, prorrogables por ocho | Resolver peticiones o reclamos; si no, silencio positivo | Art. 7 |
| 20 días hábiles | La persona suplantada denuncia y aporta soportes; la entidad también debe denunciar | Art. 8 y Sentencia C-413 de 2025 |
| Hasta pronunciamiento judicial | Dura la suspensión del cobro | Art. 9 y Sentencia C-413 de 2025 |
Los dos plazos de respuesta conviven en el texto, y cómo se articulan en la práctica no está definido.
Qué hace VU
Verifica, la verificación de identidad de VU, comprueba el documento y a la persona que lo presenta. La prueba de vida facial evaluada contra ISO/IEC 30107-3 es parte de esa verificación.
ISO/IEC 30107-3 define el método, las métricas y cómo se reporta un ensayo de detección de ataques de presentación. Los grados de sofisticación del ataque no los define la norma: los define el programa de ensayo de iBeta, que aplica esa metodología y los ordena por lo que cuesta construir el instrumento, en tiempo, pericia y equipamiento. Son tres. Lo que VU tiene evaluado es la prueba de vida facial, en el Nivel 2 de ese programa.
La conservación del expediente es un deber de la entidad, que define su política de retención; VU aporta evidencia técnica del proceso de identidad según la configuración que se implemente. Qué medidas pedirá el protocolo de la SIC se sabrá cuando se expida.
revisemos tu verificación de identidad.
