Ley 31814 de inteligencia artificial en Perú: guía general

La Ley 31814 es la ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país. Está vigente desde julio de 2023 y convirtió a Perú en uno de los primeros países de América Latina con una ley específica de IA. Su enfoque es de fomento, no de prohibición: declara de interés nacional el desarrollo de la IA y, al mismo tiempo, exige que ese desarrollo sea responsable, sostenible y centrado en la persona.

Es importante entender su naturaleza. La Ley 31814 es una ley de principios, breve y declarativa. No define multas, no lista sistemas prohibidos y no detalla procedimientos. Ese detalle operativo llegó después, con su reglamento: el Decreto Supremo 115-2025-PCM, publicado en septiembre de 2025 y con vigencia general desde el 22 de enero de 2026. Desde esa fecha, los principios dejan de ser declarativos y se convierten en obligaciones que un regulador puede verificar.

La autoridad técnico-normativa nacional es la Secretaría de Gobierno y Transformación Digital (SGTD) de la Presidencia del Consejo de Ministros. La SGTD supervisa el desarrollo y uso de los sistemas de IA, con foco en los de alto riesgo, en coordinación con los reguladores sectoriales: la SBS en finanzas o el MINSA en salud, por ejemplo.

El núcleo de la Ley 31814 son sus principios rectores. Cuatro de ellos concentran las obligaciones que el reglamento luego desarrolla.

• No discriminación: los sistemas de IA no pueden producir sesgos que afecten derechos o el acceso a servicios.
• Transparencia algorítmica: las personas deben poder saber cuándo interactúan con un sistema de IA y entender, en términos razonables, cómo decide.
• Supervisión humana: una persona debe poder entender, vigilar y revertir una decisión automatizada, en especial en sistemas de alto riesgo.
• Protección de datos personales: el uso de IA se subordina al marco peruano de protección de datos, no lo sustituye.

A estos se suman principios de seguridad, ética y desarrollo sostenible. La lectura práctica para una organización es directa: cada principio se traduce, vía reglamento, en evidencia que habrá que producir. Política institucional de IA aprobada, inventario de sistemas, evaluaciones de impacto y registros de supervisión humana.

La ley aplica tanto al sector público como al privado. No distingue por tamaño de empresa sino por el uso que se hace de la IA. El reglamento organiza ese uso en niveles de riesgo, una estructura claramente inspirada en el EU AI Act.

Un matiz que muchas organizaciones pasan por alto: la responsabilidad recae en quien usa el sistema, no solo en quien lo construye. Si su entidad despliega un modelo de scoring crediticio contratado a un tercero, la clasificación de riesgo, la supervisión humana y la evidencia de cumplimiento son responsabilidad de su entidad. Subcontratar el modelo no subcontrata la responsabilidad.

Sectores con plazo corto. Las obligaciones de transparencia algorítmica se implementan de forma gradual por sector. Finanzas, salud, educación, justicia y seguridad tienen el primer plazo: septiembre de 2026. El detalle del calendario completo está en nuestra guía del reglamento e ISO/IEC 42001.

La comparación es inevitable y útil. La Ley 31814 y su reglamento adoptan la misma arquitectura que el EU AI Act: clasificación por niveles de riesgo, obligaciones concentradas en el alto riesgo, transparencia frente al usuario y una autoridad supervisora designada. Quien ya trabaja en el cumplimiento de la norma europea reconocerá la lógica de inmediato y podrá reutilizar gran parte de la metodología: inventario, clasificación, evaluación de impacto y documentación técnica.

Las diferencias están en el detalle. El AI Act define anexos extensos de sistemas de alto riesgo, un régimen sancionador propio y obligaciones específicas para proveedores de modelos de propósito general; el marco peruano es más compacto, delega el desarrollo fino en lineamientos de la SGTD y escalona los plazos por sector económico. La disciplina es la misma; cambian la autoridad, los plazos y la granularidad. Tratamos esa comparación punto por punto en un artículo dedicado.

Con el reglamento ya vigente, esperar no es una estrategia. Los primeros pasos no requieren un programa grande, pero sí empezar con orden.

1. 1.Inventaríe sus sistemas de IA, propios y de terceros, con caso de uso, datos que consumen, proveedor y responsable interno.
2. 2.Clasifique cada sistema por nivel de riesgo. Identifique cuáles caen en alto riesgo y, por tanto, en las obligaciones más exigentes.
3. 3.Apruebe una política institucional de IA y asigne responsabilidades: quién decide, quién supervisa, quién documenta.
4. 4.Evalúe el impacto de los sistemas de alto riesgo y documente las mitigaciones, incluida la supervisión humana.
5. 5.Mida la brecha contra un estándar internacional reconocido y planifique el cierre por riesgo y por plazo sectorial.

Una autoevaluación tiende a sobrevalorar la gobernanza propia y a subestimar las brechas, igual que ocurre con la madurez de un SOC. Una evaluación independiente devuelve la fotografía honesta de dónde está su organización frente a la Ley 31814 y prioriza el trabajo antes de que lo haga el regulador. En Primedefence realizamos ese análisis de brecha de forma independiente, con un roadmap que su comité y la SGTD pueden leer.

Siguiente lectura. Si su organización ya tiene el inventario y busca operacionalizar el cumplimiento, ISO/IEC 42001 es la vía más práctica. Lo explicamos en detalle en nuestra guía del reglamento DS 115-2025-PCM e ISO/IEC 42001.