Un nuevo estándar para la gestión de fraude en Colombia
La Ley Estatutaria 2573 del 19 de mayo de 2026 marca un cambio relevante para entidades financieras, telecomunicaciones, fintechs y comercios que otorgan bienes o servicios financiados en Colombia. Su objetivo es fortalecer la protección de las personas frente a casos de suplantación de identidad, reportes negativos y cobros derivados de fraude.
Sin embargo, más allá del componente jurídico, la ley redefine el estándar operativo de las organizaciones.
El espíritu de la norma es reforzar la protección de los titulares frente a la falsedad personal y la suplantación, armonizando la operación de las entidades con principios de seguridad, veracidad, acceso y circulación restringida, protección de datos personales y carga dinámica de la prueba.
Ese último concepto cambia completamente la conversación.
La pregunta crítica ya no es únicamente si la entidad validó la identidad. La pregunta es si puede demostrar, con evidencia suficiente y dentro de los tiempos regulatorios:
- Cómo validó la identidad
- Qué señales utilizó
- Qué decisión tomó
- Qué acciones ejecutó frente a una reclamación por suplantación
En otras palabras, la trazabilidad se convierte en un elemento clave de cumplimiento, gestión de riesgo y protección reputacional.
¿Qué exige la Ley 2573?
La norma establece obligaciones concretas para operadores de telecomunicaciones, entidades financieras y establecimientos comerciales que participan en procesos de originación y financiación.
Entre los principales requerimientos se destacan:
Validación reforzada de identidad
Las entidades deberán adoptar mecanismos suficientes y razonables para verificar la identidad de las personas y validar la información suministrada durante la adquisición de productos o servicios.
Gestión oportuna de reclamaciones
La ley exige responder solicitudes y reclamaciones relacionadas con suplantación dentro de tiempos específicos, incluyendo la suspensión inmediata de cobros cuando exista una denuncia por falsedad personal.
Conservación y entrega de evidencia
Las organizaciones deberán entregar copia de los documentos e información utilizados durante el proceso de aprobación de productos o servicios.
Carga dinámica de la prueba
La ley establece que la obligación de probar recaerá sobre quien esté en mejores condiciones de hacerlo.
En la práctica, esto significa que las entidades deben contar con capacidades robustas para documentar y demostrar cómo ejecutaron sus controles antifraude.
El verdadero desafío: la trazabilidad
Muchas organizaciones ya cuentan con herramientas de prevención de fraude. El problema es que, en numerosos casos, operan de forma aislada:
- Un proveedor para biometría
- Otro para validación documental
- Otro para scoring
- Otro para señales digitales
El resultado suele ser una operación fragmentada, donde reconstruir un caso puede tardar días o incluso semanas.
Bajo el nuevo marco regulatorio, esa fragmentación representa un riesgo operativo.
La Ley 2573 no solo obliga a validar identidades. También obliga a demostrar de manera verificable qué ocurrió durante el proceso de originación, autenticación o aprobación.
La evolución del fraude digital en LATAM
La presión regulatoria responde a una realidad clara: el fraude digital continúa creciendo en sofisticación.
El auge de la banca digital, el onboarding remoto y el comercio electrónico ha incrementado la exposición a amenazas como:
- Suplantación de identidad
- Ingeniería social
- Fraude sintético
- Toma de cuentas
- Manipulación documental
- SIM swapping
La propia ley incorpora conceptos asociados a ciberseguridad, ingeniería social y seguridad digital como parte de su marco conceptual.
Esto obliga a las organizaciones a equilibrar tres objetivos críticos:
| Objetivo | Riesgo asociado |
| Mejorar experiencia digital | Mayor exposición al fraude |
| Aprobar más clientes | Incremento de riesgo |
| Reducir fricción | Menor capacidad de validación |
Por eso, las estrategias modernas de prevención de fraude requieren modelos más integrados y orquestados.
Cómo puede ayudar una estrategia integral de Identity & Fraud
Desde el portafolio de Identity & Fraud de Experian, la conversación puede apoyarse en capacidades que ayudan a fortalecer tanto la prevención de fraude como la trazabilidad regulatoria.
Entre ellas:
Orquestación antifraude
Centraliza señales, reglas y decisiones dentro de una misma arquitectura.
Validación de identidad y documental
Permite verificar autenticidad documental y consistencia de información.
Biometría facial
Fortalece la autenticación remota y reduce riesgos de suplantación.
Señales digitales y riesgo de dispositivo
Ayuda a detectar anomalías relacionadas con comportamiento y contexto transaccional.
Validaciones de telefonía
Incluye señales asociadas a:
- Cambio de SIM
- Portabilidad
- Antigüedad del número celular
Scoring antifraude
Prioriza decisiones utilizando múltiples variables de riesgo e identidad.
La arquitectura específica debe configurarse según la industria, el canal, el apetito de riesgo y el tipo de cliente.
El valor diferencial: evidencia centralizada y verificable
Uno de los principales retos operativos frente a casos de fraude es consolidar rápidamente toda la evidencia necesaria.
Cuando las señales están distribuidas entre múltiples proveedores, la documentación del caso puede volverse lenta y compleja.
El valor de una plataforma integrada no está únicamente en detectar fraude. También está en permitir:
- Centralizar evidencia
- Documentar decisiones
- Mantener trazabilidad
- Responder más rápido ante reclamaciones
- Facilitar auditorías y cumplimiento
No solo se trata de recibir información. Se trata de ayudar a que las organizaciones produzcan información más confiable, verificable y segura desde el origen.
Conclusión
La Ley 2573 acelera una transformación que ya venía tomando fuerza en Colombia y América Latina: la necesidad de construir ecosistemas de confianza digital más robustos.
En adelante, las entidades más preparadas no serán únicamente las que detecten fraude con mayor precisión. Serán aquellas capaces de demostrar, con trazabilidad integral y evidencia verificable, cómo protegieron al negocio y al consumidor.
En un entorno donde la identidad digital se convierte en uno de los principales frentes de riesgo, fortalecer capacidades de validación, orquestación y documentación ya no es solo una decisión tecnológica. Es una necesidad estratégica y regulatoria.
Preguntas frecuentes sobre la Ley 2573 de 2026, fraude no paga e identidad digital
¿Qué es la Ley 2573 de 2026 o ley de fraude no paga en Colombia?
La Ley 2573 de 2026 establece medidas para proteger a las personas que han sido víctimas de suplantación de identidad frente a cobros, obligaciones y reportes negativos originados en fraude. Para las entidades, el reto no es solo prevenir el fraude, sino demostrar que validaron correctamente la identidad y que pueden soportar esa decisión con evidencia verificable.
¿Desde cuándo aplica la Ley 2573 de 2026?
La Ley 2573 fue promulgada el 19 de mayo de 2026 y contempla una entrada en vigencia escalonada: algunos aspectos aplican desde la promulgación y otras disposiciones seis meses después. Para las organizaciones, esto implica anticipar la revisión de procesos de validación, atención de reclamaciones, conservación de evidencia y trazabilidad.
¿A quiénes aplica la Ley 2573 de 2026?
La norma aplica a operadores de telecomunicaciones, entidades financieras y crediticias, y establecimientos comerciales que participan en la aprobación o financiación de productos y servicios. En la práctica, impacta procesos de originación digital, onboarding remoto, aprobación de crédito, adquisición de líneas móviles y ventas financiadas.
¿Qué significa la carga dinámica de la prueba en casos de suplantación de identidad?
La carga dinámica de la prueba significa que debe probar quien esté en mejores condiciones de hacerlo. En casos de suplantación, esto exige que la entidad pueda entregar la información y los documentos usados para aprobar el producto o servicio. Operativamente, implica conservar registros sobre cómo se validó la identidad, qué señales se analizaron, qué regla o score se aplicó y por qué se tomó una decisión.
¿Qué evidencia debe conservar una entidad para demostrar la validación de identidad digital?
Una entidad debería conservar evidencia suficiente para reconstruir el proceso de punta a punta: documentos aportados, resultados de validación documental, biometría facial cuando aplique, señales digitales, riesgo de dispositivo, validaciones de telefonía, fecha y hora de la evaluación, canal utilizado, reglas aplicadas, score antifraude, decisión tomada y acciones posteriores ante una reclamación.
¿Qué pasa con los cobros y reportes negativos cuando una persona denuncia suplantación?
Cuando se informa un caso de suplantación, la entidad debe activar el trámite de reclamación, gestionar la solicitud dentro de los plazos definidos por la ley, suspender la prestación o suministro del bien o servicio adquirido fraudulentamente cuando corresponda y adoptar las medidas asociadas a cobros y reportes negativos según el procedimiento aplicable. Por eso, la evidencia debe estar disponible desde el primer contacto con el cliente.
¿Por qué la trazabilidad es clave para la prevención de fraude financiero?
La trazabilidad permite demostrar qué ocurrió antes, durante y después de la aprobación de un producto o servicio. Validar la identidad sin trazabilidad puede dejar a la organización sin capacidad de explicar cómo se tomó una decisión. Una arquitectura integrada ayuda a centralizar evidencia, reducir tiempos de investigación, facilitar auditorías y responder mejor ante reclamaciones por suplantación.
¿Qué tecnologías ayudan a cumplir la Ley 2573 de 2026 y reducir la suplantación de identidad?
Las capacidades más relevantes incluyen orquestación antifraude, validación de identidad y documental, biometría facial, señales digitales, riesgo de dispositivo, validaciones de telefonía, detección de cambio de SIM, portabilidad, antigüedad del número celular y scoring antifraude. La combinación debe ajustarse según industria, canal, apetito de riesgo y tipo de cliente.
¿Cómo pueden prepararse las entidades para reclamaciones y auditorías bajo la Ley 2573?
Las entidades pueden prepararse mapeando los puntos críticos del proceso de originación, integrando proveedores de validación y fraude, definiendo reglas de conservación de evidencia, estandarizando paquetes de respuesta para reclamaciones, monitoreando señales de riesgo y auditando periódicamente sus decisiones. El objetivo es que cada caso sea reconstruible, verificable y defendible.
