- La Ley 2573 fortalece la protección de las personas afectadas por suplantación de identidad en Colombia.
- La norma entrará en vigor en noviembre de 2026 y establece nuevas obligaciones para entidades financieras, operadores de telecomunicaciones y comercios.
- Además de proteger a las víctimas, impulsa una revisión de los procesos utilizados para incorporar nuevos clientes y contratar productos o servicios.
- Las organizaciones deberán implementar medidas suficientes para verificar la identidad de sus clientes y validar la información suministrada.
- Anticiparse permitirá fortalecer los controles de prevención del fraude antes de la entrada en vigor de la ley.
La Ley 2573 de Colombia responde a un desafío creciente para organizaciones y consumidores frente a la suplantación de identidad. La norma incorpora nuevas obligaciones para reforzar los procesos de verificación de identidad y proteger a las víctimas.
Entre 2022 y mayo de 2026, SIC Facilita recibió 13.983 reclamaciones relacionadas con suplantación de identidad, lo que refleja la dimensión que ha alcanzado este fenómeno en el país.
La contratación de créditos, líneas telefónicas y otros servicios utilizando la identidad de un tercero dejó hace tiempo de ser un problema aislado. A medida que aumentan las interacciones digitales, también crecen las oportunidades para que personas maliciosas utilicen información ajena para acceder a productos o servicios de forma fraudulenta.
Las consecuencias no recaen únicamente sobre las víctimas. Las organizaciones también deben enfrentar reclamaciones, suspender procesos de cobro, revisar antecedentes y responder frente a un fraude que muchas veces pudo originarse durante la incorporación del cliente.
Con la publicación de la Ley 2573 de 2026, Colombia da un paso importante para fortalecer la protección de las personas frente a la suplantación de identidad. La norma, que entrará en vigor en noviembre de 2026, establece medidas para evitar que las víctimas continúen enfrentando cobros o reportes negativos derivados de operaciones fraudulentas y, al mismo tiempo, incorpora nuevas obligaciones para las organizaciones involucradas en la contratación de bienes y servicios.
Aunque la ley pone el foco en la protección de las víctimas, también obliga a las organizaciones a revisar cómo incorporan nuevos clientes, verifican su identidad y validan la información antes de contratar un producto o servicio. Prepararse antes de noviembre permitirá adaptar esos procesos con tiempo y reducir la exposición al fraude.
La suplantación de identidad ya no es un problema aislado
La suplantación de identidad puede manifestarse de distintas formas. Desde la apertura de un crédito hasta la contratación de una línea telefónica o la adquisición de un producto financiado, el resultado suele ser el mismo: una persona termina enfrentando obligaciones que nunca contrajo.
Además del perjuicio económico, las víctimas pueden ver afectado su historial crediticio mientras logran demostrar que fueron objeto de un fraude. La Ley 2573 busca reducir ese impacto mediante mecanismos que protegen a las personas desde el momento en que denuncian la suplantación de identidad y cumplen con los requisitos establecidos por la norma.
Sin embargo, limitar el análisis únicamente a la protección de las víctimas sería quedarse con una parte de la historia. La ley también impulsa a las organizaciones a revisar los procesos mediante los cuales incorporan nuevos clientes y autorizan la contratación de productos o servicios, fortaleciendo los controles aplicados durante estas etapas para prevenir la suplantación de identidad.
¿Qué establece la Ley 2573 de Colombia?
Publicada el 19 de mayo de 2026, la Ley 2573 establece medidas para proteger a las personas afectadas por suplantación de identidad frente a reportes negativos, cobros derivados de obligaciones fraudulentas y contratación de productos o servicios realizada sin autorización.
Entre otras medidas, la norma dispone que las entidades involucradas suspendan los cobros asociados a la obligación cuestionada mientras la persona afectada formaliza la denuncia y aporta los antecedentes correspondientes. Asimismo, impide que la víctima sea objeto de reportes negativos relacionados con la operación presuntamente fraudulenta y establece que las centrales de riesgo incorporen la anotación “Víctima de Falsedad Personal” cuando corresponda.
La ley también incorpora nuevas obligaciones para entidades financieras, operadores de telecomunicaciones y comercios, quienes deberán implementar medidas suficientes para verificar la identidad de sus clientes, validar la información suministrada y atender oportunamente las reclamaciones derivadas de estos casos.
La ley no exige una tecnología determinada. Su objetivo es que las organizaciones implementen controles suficientes para prevenir la suplantación de identidad y responder adecuadamente cuando ocurra un caso.
En la práctica, ese enfoque suele traducirse en la combinación de distintas capas de verificación de identidad. La validación documental, la biometría, la comparación de datos y otros mecanismos no deben entenderse como controles aislados, sino como herramientas complementarias que, utilizadas de forma conjunta y de acuerdo con el riesgo de cada operación, permiten generar mayor certeza sobre la identidad de quien está contratando un producto o servicio.
En conjunto, estas medidas buscan reducir el impacto de la suplantación de identidad sobre las víctimas y fortalecer los mecanismos de prevención y respuesta de las organizaciones.
¿Por qué esta ley obliga a revisar cómo se incorporan nuevos clientes?
Cada vez que una organización incorpora un nuevo cliente necesita verificar que quien contrata un producto o servicio es realmente quien dice ser. Si ese proceso falla, pueden surgir reclamaciones, suspensión de cobros y pérdidas económicas o reputacionales.
En el sector financiero, estos procesos suelen formar parte del Know Your Customer (KYC). En telecomunicaciones, retail y otros sectores reciben distintos nombres, pero persiguen el mismo objetivo: verificar adecuadamente la identidad del cliente antes de concretar una operación. La Ley 2573 invita a revisar si esos controles siguen siendo suficientes frente a la evolución del fraude.
Verificar la identidad también implica validar la información
La Ley 2573 no solo exige verificar la identidad de los clientes. También obliga a validar la información suministrada durante la contratación de productos o servicios. Esto puede incluir la revisión de documentos, la validación de datos, mecanismos de autenticación y otros controles acordes al riesgo de cada operación.
La evolución del fraude ayuda a entender este enfoque. Herramientas como la inteligencia artificial generativa están facilitando nuevas modalidades de suplantación de identidad y falsificación documental, reforzando la necesidad de revisar estos procesos desde una perspectiva de gestión del riesgo.
¿Qué significa implementar medidas suficientes según la Ley 2573 de Colombia?
Un aspecto clave de la Ley 2573 es la obligación de implementar medidas suficientes para verificar la identidad de los clientes y validar la información suministrada. Sin embargo, la norma evita definir un modelo único de cumplimiento o exigir tecnologías determinadas.
Como las operaciones presentan distintos niveles de riesgo, las medidas también deben ser proporcionales. La contratación de un crédito, la apertura de una cuenta bancaria, la activación de una línea telefónica o la venta de un producto financiado presentan niveles de exposición distintos.
Por eso, los controles que una organización adopte deberían responder a las características de cada proceso y al riesgo que representa una eventual suplantación de identidad.
“La ley no establece una tecnología específica para verificar la identidad. Lo que exige es que las organizaciones implementen medidas suficientes de acuerdo con el riesgo de cada operación. Eso implica revisar si los controles actuales siguen siendo adecuados para prevenir la suplantación de identidad”, explica Matías Soto, Senior Regulatory Counsel de Sovos.
La proporcionalidad es uno de los conceptos que atraviesa la ley. No todas las operaciones presentan el mismo nivel de riesgo y, por lo tanto, tampoco requieren los mismos controles. Una contratación de bajo monto no necesariamente demandará el mismo proceso de validación que la apertura de un crédito o un producto financiero.
De esta manera, la evidencia adquiere un nuevo valor. Registrar cómo se verificó la identidad del cliente, qué controles se aplicaron y qué información respaldó la contratación deja de ser un simple registro operativo para convertirse en un activo que puede respaldar a la organización frente a una investigación o una reclamación.
Cómo prepararse para la Ley 2573 de Colombia antes de noviembre de 2026
Antes de la entrada en vigor de la Ley 2573 es recomendable revisar los procesos de incorporación de clientes y contratación de productos o servicios. Anticiparse permitirá fortalecer los controles antes de enfrentar un caso de suplantación de identidad.
Algunas acciones que conviene revisar son:
- Evaluar los mecanismos utilizados para verificar la identidad de los clientes.
- Revisar cómo se valida la información suministrada durante la contratación.
- Identificar los procesos con mayor exposición al fraude y ajustar los controles según su nivel de riesgo.
- Fortalecer la evidencia generada durante la incorporación de clientes y la contratación de productos o servicios.
- Actualizar los protocolos de atención de reclamos para cumplir con los plazos establecidos por la ley.
“La entrada en vigor de la Ley 2573 representa una oportunidad para revisar los procesos antes de que ocurra un incidente. Esperar a que aparezca un caso de suplantación para fortalecer los controles suele ser mucho más costoso que anticiparse”, advierte Matías Soto.
¿Cómo ayuda Sovos?
La Ley 2573 no exige una tecnología específica, pero sí obliga a las organizaciones a implementar medidas suficientes para prevenir la suplantación de identidad y responder adecuadamente cuando ocurre un fraude.
Sovos ayuda a fortalecer estos procesos mediante soluciones que permiten verificar la identidad de los clientes, validar documentos, incorporar distintos factores de autenticación y generar evidencia digital de cada operación.
Entre sus principales capacidades se encuentran:
- Biometría facial con prueba de vida.
- Validación documental.
- Verificación de información mediante fuentes disponibles.
- Autenticación multifactor según el nivel de riesgo.
- Firma electrónica con evidencia grabada del consentimiento.
- Evidencia digital y trazabilidad para auditorías e investigaciones.
Prepararse para la Ley 2573 de Colombia comienza hoy
La Ley 2573 fortalece la protección de las personas afectadas por suplantación de identidad, pero también impulsa a las organizaciones a revisar la forma en que incorporan nuevos clientes y gestionan sus procesos de contratación.
Fortalecer la verificación de identidad, validar la información y conservar evidencia de cada operación permitirá responder mejor frente al fraude y afrontar con mayor seguridad las nuevas obligaciones que comenzarán a aplicarse en noviembre de 2026.
La entrada en vigor de la Ley 2573 está cada vez más cerca. Revisa tus procesos y fortalece tus controles antes de noviembre de 2026.
Preguntas frecuentes sobre la Ley 2573 de Colombia
¿La Ley 2573 obliga a utilizar biometría?
No. La ley no establece tecnologías específicas. Cada organización deberá implementar medidas suficientes para verificar la identidad de sus clientes de acuerdo con el riesgo de sus operaciones.
¿Qué organizaciones deben cumplir esta ley?
Aplica a entidades financieras, operadores de telecomunicaciones y comercios que ofrezcan bienes o servicios cuya contratación pueda verse afectada por casos de suplantación de identidad.
¿Qué ocurre cuando una persona denuncia una suplantación de identidad?
La entidad deberá suspender los cobros y reportes asociados mientras la persona formaliza la denuncia y se desarrolla el proceso previsto por la ley.
¿Qué significa implementar medidas suficientes?
Significa adoptar controles acordes con el riesgo de cada operación para verificar la identidad de los clientes y validar la información utilizada durante la contratación.
¿Dónde consultar el texto oficial de la Ley 2573?
El texto completo de la norma puede consultarse en el Sistema Único de Información Normativa del Estado Colombiano (SUIN-Juriscol).
