El Decreto Supremo N° 115-2025-PCM, publicado el 9 de setiembre de 2025, aprobó el Reglamento de la Ley N° 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país. A un año de su publicación, el cronograma previsto por el propio Reglamento adquiere especial relevancia para el sector privado: las obligaciones de transparencia algorítmica y las obligaciones y buenas prácticas previstas para desarrolladores e implementadores se implementan de manera gradual según el sector y el tamaño de la empresa.
A continuación, resumimos los principales aspectos que las organizaciones deberían revisar desde setiembre de 2026.
- ¿Qué aprobó el Decreto Supremo N° 115-2025-PCM?
El Reglamento establece disposiciones para el desarrollo, implementación y uso de sistemas basados en inteligencia artificial (IA), con énfasis en un uso seguro, responsable, ético, sostenible, transparente e inclusivo y en la protección de los derechos fundamentales. La Presidencia del Consejo de Ministros, a través de la Secretaría de Gobierno y Transformación Digital (SGTD), actúa como autoridad técnico-normativa nacional en esta materia.
Su ámbito incluye a las entidades de la Administración Pública, empresas estatales y, en los términos previstos por el Reglamento, organizaciones del sector privado, sociedad civil, ciudadanía y academia. Además, el Título VI contiene obligaciones específicas para desarrolladores e implementadores del sector privado.
- Enfoque basado en riesgos
El Reglamento organiza el tratamiento de los sistemas de IA según el nivel de riesgo que generan. Esta clasificación es relevante porque determina las salvaguardas que deben aplicarse y permite identificar los usos que se encuentran prohibidos.
- Uso indebido: comprende usos prohibidos que pueden afectar de manera irreversible, significativa y negativa los derechos fundamentales o el bienestar de las personas.
- Uso de riesgo alto: comprende sistemas cuyo uso puede comprometer la vida, dignidad, libertad, seguridad física u otros derechos fundamentales. Pueden utilizarse, pero sujetos a condiciones y controles.
- Riesgo aceptable: comprende los sistemas que no califican como uso indebido ni como riesgo alto, sin perjuicio del cumplimiento de la Ley y del Reglamento.
- Impacto para las empresas
La clasificación de riesgo alto alcanza actividades que ya forman parte de procesos empresariales habituales. Entre otros supuestos, el Reglamento considera de riesgo alto el uso de IA para gestionar activos críticos que soportan servicios esenciales, evaluar el crédito de personas, determinar el acceso a determinados servicios de salud y adoptar decisiones relevantes en materia educativa.
De particular importancia para los empleadores, también se considera de riesgo alto el uso de sistemas de IA para determinar procesos de selección, evaluación, contratación y cese de trabajadores o postulantes, así como para establecer condiciones laborales. Por ello, las empresas que utilicen herramientas automatizadas en recursos humanos deberían identificar qué decisiones son tomadas o apoyadas por IA y evaluar las obligaciones que resultan aplicables.
- ¿Qué usos se consideran prohibidos o de riesgo alto?
El Reglamento prohíbe, entre otros, los sistemas destinados a influir de manera engañosa o manipulativa en la toma de decisiones; la vigilancia masiva sin base legal o con impacto desproporcionado; ciertos usos biométricos para inferir datos sensibles o categorizar personas; y la predicción de que una persona cometerá un delito basada únicamente en perfiles o rasgos de personalidad.
En los sistemas de riesgo alto, la regulación exige un mayor nivel de transparencia y supervisión. Entre los ámbitos expresamente señalados se encuentran infraestructura crítica, educación de niñas, niños y adolescentes, empleo, programas sociales, evaluación crediticia y determinadas aplicaciones de salud. El desarrollador o implementador puede formular una consulta a la SGTD cuando requiera determinar si un sistema se encuentra dentro de los supuestos de uso indebido o riesgo alto.
- Obligaciones para el sector privado
El Capítulo II del Título VI establece obligaciones y buenas prácticas para el sector privado. Adicionalmente, el artículo 25 regula medidas de transparencia algorítmica aplicables a sistemas de riesgo alto.
Obligación 1: Transparencia frente al usuario. En los sistemas de riesgo alto se debe informar, de manera previa, clara y sencilla, la finalidad del sistema, sus principales funcionalidades y el tipo de decisiones que puede adoptar. Cuando una decisión impacte derechos humanos, debe existir un mecanismo que permita explicar sus resultados y los factores clave utilizados.
Obligación 2: Políticas y procedimientos internos. Los desarrolladores e implementadores deben establecer políticas, protocolos y procedimientos que preserven la seguridad y privacidad, promuevan transparencia y explicabilidad y permitan una adecuada rendición de cuentas.
Obligación 3: Registro y supervisión humana en sistemas de riesgo alto. Debe mantenerse un registro actualizado y accesible sobre el funcionamiento del sistema, fuentes de datos, lógica del algoritmo e impactos sociales y éticos esperados. Asimismo, en decisiones con impacto significativo en salud, educación, justicia, finanzas y acceso a programas o servicios básicos, debe existir supervisión humana con capacidad real de detener, corregir o invalidar la decisión.
Obligación 4: Capacitación y gestión de riesgos. Las organizaciones deben fomentar la educación interna sobre los riesgos asociados al uso de IA. Para sistemas de riesgo alto, el sector privado puede realizar voluntariamente una evaluación de impacto; si la realiza, debe documentar sus hallazgos y medidas correctivas y conservar esa documentación por un mínimo de tres años.
El Reglamento también exige respetar la normativa de protección de datos personales y promueve el uso de estándares técnicos internacionales o sus adopciones nacionales, entre ellos la NTP-ISO/IEC 42001:2025 y otras normas vinculadas con seguridad de la información, gobernanza y gestión de riesgos.
- Cronograma y comentario práctico para empresas
La Primera Disposición Complementaria Final establece un cronograma gradual específicamente para el artículo 25 y el Capítulo II del Título VI. Conforme al texto del Reglamento, los plazos se computan desde el día siguiente de la publicación del Decreto Supremo.
- Salud, educación, justicia, seguridad, economía y finanzas: un (1) año. A setiembre de 2026, este primer plazo ya ha transcurrido.
- Transporte, comercio y trabajo: dos (2) años, por lo que el siguiente hito del cronograma corresponde a setiembre de 2027.
- Producción, agricultura, energía y minería: tres (3) años, con horizonte de implementación en setiembre de 2028.
- Usos no comprendidos en los sectores anteriores: cuatro (4) años, con horizonte de implementación en setiembre de 2029.
Para MYPES y emprendimientos innovadores, el Reglamento establece un cronograma especial: dos (2) años para pequeñas empresas con ventas anuales superiores a 150 UIT y hasta 1700 UIT, y tres (3) años para microempresas con ventas anuales de hasta 150 UIT y otros equivalentes.
En términos prácticos, resulta recomendable que las empresas no esperen al vencimiento de su plazo sectorial. Un programa básico de adecuación debería comenzar por identificar los sistemas de IA utilizados, determinar quién actúa como desarrollador o implementador, clasificar los casos de uso según su nivel de riesgo, revisar los avisos de transparencia, documentar la supervisión humana, capacitar al personal y verificar el cumplimiento de las reglas sobre privacidad y protección de datos personales.
- Conclusión
El Reglamento de la Ley N° 31814 introduce un marco de gobernanza de IA que combina prohibiciones para determinados usos, un enfoque de riesgo y obligaciones específicas de transparencia, documentación, capacitación y supervisión. Para el sector privado, la revisión no debería limitarse a empresas tecnológicas: el uso de IA en recursos humanos, finanzas, salud, educación o procesos operativos puede activar obligaciones concretas.
En Araya & Cía. Abogados, asesoramos a las empresas en la identificación de las obligaciones legales aplicables al uso de inteligencia artificial y en la revisión de sus políticas y procedimientos internos. Acompañamos la evaluación de riesgos en procesos empresariales, el tratamiento de datos personales y la elaboración de medidas de adecuación, considerando las características de cada organización y los plazos previstos por la normativa.
Hugo Ernesto Paz A.
Abogado de Araya & Cía.
