Ley 31814 e ISO/IEC 42001: cómo cumplir el reglamento de IA del Perú

La Ley 31814, vigente desde 2023, fijaba principios generales para el uso de la inteligencia artificial en favor del desarrollo económico y social del país. Lo que faltaba era el detalle operativo: cómo se traducen esos principios en obligaciones concretas. Ese detalle llegó con el Decreto Supremo 115-2025-PCM, publicado en el Diario Oficial El Peruano el 9 de septiembre de 2025, que aprueba el reglamento de la ley.

El reglamento entra en vigencia general el 22 de enero de 2026, con la excepción del canal digital sobre IA y la Estrategia Nacional de IA, ya vigentes desde el 10 de septiembre de 2025. A partir de esa fecha los principios dejan de ser declarativos y se convierten en obligaciones verificables para el sector público y el privado.

Perú es uno de los primeros países de América Latina en pasar de una ley de principios a un reglamento con obligaciones vinculantes y un calendario de cumplimiento por sector. Para cualquier organización regulada que opere en el país, eso convierte la gobernanza de IA en un asunto de fecha, no de intención.

La autoridad técnico-normativa nacional es la Secretaría de Gobierno y Transformación Digital (SGTD) de la Presidencia del Consejo de Ministros. La SGTD asume el seguimiento y la supervisión del desarrollo y uso de los sistemas de IA, con foco en los de alto riesgo, y puede emitir lineamientos y protocolos de aplicación.

Fecha clave. 22 de enero de 2026: entra en vigencia el reglamento (DS 115-2025-PCM). Desde ese día, la SGTD puede exigir evidencia de cumplimiento.

El reglamento baja a tierra cuatro principios rectores: no discriminación, transparencia algorítmica, supervisión humana y protección de datos personales. Sobre esa base define obligaciones concretas que aplican tanto a entidades públicas como a empresas privadas.

• Aprobar políticas institucionales de IA: un marco interno que defina cómo la organización desarrolla, adquiere y opera sus sistemas.
• Adoptar estándares internacionales reconocidos para gestionar el ciclo de vida de la IA.
• Realizar auditorías de seguridad sobre los sistemas, en especial los de alto riesgo.
• Garantizar mecanismos de supervisión humana en sistemas de alto riesgo, de modo que una persona pueda entender, vigilar y revertir una decisión automatizada.
• Mantener trazabilidad y documentación: inventario de sistemas, datos utilizados, decisiones de diseño y registros que permitan reconstruir cómo opera cada sistema.

La palabra clave es evidencia. El reglamento no premia la intención sino la capacidad de demostrar, ante la SGTD o un regulador sectorial, que esos controles existen y funcionan.

La vigencia general es el 22 de enero de 2026, pero las obligaciones de transparencia algorítmica y las buenas prácticas para el sector privado se implementan de forma gradual según el sector de uso del sistema de IA. El calendario es el siguiente.

La lectura para un CISO o un Chief AI Officer es directa: los sectores más regulados, finanzas y salud, tienen el plazo más corto, poco más de ocho meses después de la entrada en vigencia. No es tiempo suficiente para empezar de cero en septiembre de 2026.

El reglamento concentra las obligaciones más exigentes en los sistemas de IA de alto riesgo, una categoría alineada con el enfoque del EU AI Act. Son los sistemas cuyo fallo o sesgo puede afectar derechos, seguridad o acceso a servicios esenciales: crédito y scoring, selección de personal, diagnóstico o triaje en salud, decisiones en justicia o seguridad, y la operación de infraestructura crítica.

Para estos sistemas, la SGTD monitorea y supervisa su desarrollo e implementación, así como el mal uso. La organización que los opera, el deployer, es responsable de la clasificación de riesgo, la evaluación de impacto y las mitigaciones, aunque el modelo lo haya construido un tercero. Subcontratar el modelo no subcontrata la responsabilidad.

El reglamento exige adoptar estándares internacionales pero no impone uno concreto. Aquí es donde ISO/IEC 42001:2023, el primer estándar internacional para sistemas de gestión de inteligencia artificial (AIMS, por sus siglas en inglés), se vuelve la opción más práctica. No es obligatoria, pero traduce casi una a una las obligaciones del reglamento en controles auditables.

ISO/IEC 42001 sigue la misma lógica de gestión que ISO 27001: política, roles, evaluación de riesgos, controles, evidencia y mejora continua, aplicada al ciclo de vida de la IA. Quien implementa el estándar produce justo los artefactos que la SGTD espera ver.

Atajo para entidades con presencia UE. Si la organización ya prepara el EU AI Act o ya opera bajo ISO 27001, gran parte del trabajo de gobernanza, riesgos y evidencia se reutiliza para la Ley 31814. Cambian la autoridad supervisora y los plazos, no la disciplina.

1. 1.Inventario de sistemas de IA, propios y de terceros, con caso de uso, datos que consumen, proveedor y responsable interno.
2. 2.Clasificación de riesgo: identificar qué sistemas son de alto riesgo según el reglamento y, por tanto, sujetos a las obligaciones más exigentes.
3. 3.Análisis de brecha contra ISO/IEC 42001: medir la distancia entre la gobernanza actual y la que exige el estándar y el reglamento.
4. 4.Políticas y roles: aprobar la política institucional de IA, asignar responsabilidades y definir los mecanismos de supervisión humana.
5. 5.Evidencia y trazabilidad: documentar evaluaciones de impacto, decisiones de diseño y registros que permitan reconstruir el comportamiento de cada sistema.
6. 6.Auditoría y mejora continua: establecer un ciclo de auditoría de seguridad y re-evaluación, no un esfuerzo único de cara a la fecha límite.

Una autoevaluación de cumplimiento tiende a sobrevalorar la gobernanza y a subestimar las brechas, igual que ocurre con la madurez de un SOC. Cuando es el regulador quien revisa, esa diferencia se paga. Una evaluación independiente devuelve la fotografía honesta de dónde está la organización frente a la Ley 31814 y a ISO/IEC 42001, y prioriza el trabajo por riesgo y por plazo.

En Primedefence evaluamos la madurez de la IA de forma independiente: inventario y clasificación de sistemas, análisis de brecha contra ISO/IEC 42001 y las obligaciones del reglamento, y un roadmap firmado que su comité y el regulador pueden leer. No operamos su IA ni vendemos la herramienta que después auditamos, así que el resultado no tiene un interés comercial detrás.

• Decreto Supremo 115-2025-PCM, texto oficial en El Peruano: https://busquedas.elperuano.pe/dispositivo/NL/2436426-1
• Texto del DS 115-2025-PCM en PDF (gob.pe): https://cdn.www.gob.pe/uploads/document/file/8619777/7133522-decreto-supremo-n-115-2025-pcm.PDF
• EY Perú, análisis del reglamento de la Ley 31814: https://www.ey.com/es_pe/technical/tax-alert/reglamento-ley-promueve-uso-inteligencia-artificial
• Garrigues, nota sobre el reglamento de la Ley 31814: https://www.garrigues.com/es_ES/noticia/peru-aprueba-reglamento-ley-promueve-uso-inteligencia-artificial-favor-desarrollo-economico
• LP Derecho, reglamento DS 115-2025-PCM: https://lpderecho.pe/reglamento-ley-promueve-uso-inteligencia-artificial-desarrollo-economico-pais-decreto-supremo-115-2025-pcm/
• ISO/IEC 42001:2023, sistema de gestión de IA: https://www.iso.org/standard/81230.html