Según registros oficiales de la Superintendencia de Industria y Comercio (SIC), entre el año 2022 y mayo de 2026 se contabilizaron 13.983 reclamaciones formales por suplantación de identidad en Colombia. Un 81% del total corresponde al sector de las telecomunicaciones. Frente a esta realidad, el Congreso de la República expidió la Ley 2573 de 2026, un cambio regulatorio sin precedentes en el país, que obligará a bancos y operadoras de telecomunicaciones a redefinir sus procesos digitales de vinculación (onboarding) y su gestión documental.
A partir del 19 de noviembre de 2026, fecha en que rige el régimen general de la ley, ya no bastará con haber verificado la identidad del cliente: habrá que demostrar, documental y digitalmente, que se autenticó de forma correcta al solicitante.
Índice de contenidos
Qué es la Ley 2573 de 2026 y desde cuándo aplica
La Ley Estatutaria 2573 de 2026 se promulgó el 19 de mayo de 2026. Su objetivo es proteger a las personas afectadas por la suplantación de identidad y los fraudes financieros, como el robo de datos personales, la apertura irregular de créditos, y las estafas digitales. Concretamente, establece medidas para impedir que las víctimas de estos delitos sigan siendo cobradas o reportadas negativamente en centrales de riesgo por obligaciones que nunca adquirieron.
Ley 2573 de 2026 en Colombia: ¿Tu empresa es sujeto obligado?
La norma, de aplicación obligatoria en todo el territorio colombiano, afecta directamente a tres tipos de organizaciones:
- Operadores de telecomunicaciones, que activan líneas y servicios a nombre de una persona.
- Entidades financieras y crediticias: bancos, compañías de financiamiento, cooperativas con actividad financiera, fintech y otras entidades que otorgan crédito.
- Establecimientos comerciales con esta competencia. En la práctica, cualquier empresa que venda a plazos o financie directamente a sus clientes: como concesionarios, e-commerce con crédito propio o hasta almacenes de electrodomésticos.
El cambio de fondo: la carga de la prueba pasa a la empresa
La suplantación de identidad es un fraude frecuente en Colombia. Muchas personas descubren que fueron suplantadas cuando reciben un cobro jurídico o una notificación de una central de riesgo por un servicio que nunca solicitaron. Hasta ahora, las víctimas debían atravesar procesos legales largos para demostrar que no firmaron un contrato, mientras las entidades podían tardar meses en investigar y responder.
Con la Ley 2573, esto cambia. La norma aplica el principio de carga dinámica de la prueba: debe probar quien está en mejores condiciones de hacerlo, y en un caso de suplantación esa parte es la entidad, que recibió los documentos y aprobó el producto. Por eso la ley le exige entregar a la persona suplantada copia del expediente de aprobación, sin poder negarse, y suspender el cobro de inmediato al ser informada.
Si se comprueba que la entidad incumplió los protocolos de seguridad expedidos por las autoridades, deberá suspender la cobranza, corregir el reporte en centrales de riesgo y devolver el dinero o eliminar la deuda. Y si no responde un reclamo dentro del plazo, opera el silencio positivo: la solicitud se entiende resuelta a favor de la persona.
Qué evidencias necesitas en cada fase
La ley 2573 de 2026 no se conforma con que tengas datos de tus clientes: exige que puedas demostrar cómo verificaste su identidad. Como explicamos en por qué la evidencia se ha convertido en el recurso más valioso, un registro solo sirve si es íntegro, tiene fecha cierta y puede atribuirse a una persona. Así se traduce en cada fase del proceso:
Vinculación del cliente (onboarding digital)
La Ley exige adoptar medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de las personas y de los documentos que presentan. Aquí entran la validación documental, la autenticación biométrica y la videoidentificación remota, que permite verificar a la persona en tiempo real y dejar registro de todo el proceso.
Capturar un selfie o una foto de la cédula no basta: esa captura debe quedar vinculada al contrato, garantizar la fecha y hora ciertas de la validación, y estar protegida contra cualquier alteración posterior.
Contratación
Aquí importa el tipo de firma y su vinculación con el firmante. Una firma digital certificada con estampado cronológico de una entidad de certificación digital (ECD) acreditada ante ONAC, permite demostrar qué se firmó, cuándo y con qué garantías de integridad.
Esto es posible, porque La Ley 527 de 1999 y el Decreto 2364 de 2012 (actualmente compilado en el Decreto Único 1074 de 2015) reconocen la validez de la firma electrónica en el país cuando es confiable y apropiada para las circunstancias.
Gestión del reclamo
Cuando alguien reporta una posible suplantación, empiezan a correr los plazos legales. Las notificaciones certificadas por SMS, correo electrónico o WhatsApp permiten acreditar el envío, la entrega y el contenido de cada comunicación.
Entrega de expedientes
La ley obliga a entregar a la persona presuntamente suplantada, cuando lo pida, los documentos y/o información para la aprobación del producto y/o servicio que se haya solicitado en su nombre. Dejar constancia certificada de esa entrega puede terminar siendo una prueba robusta en un proceso penal.
Ley 2573 de 2026: ¿cómo te ayuda Lleida.net?
Lleida.net opera en Colombia como entidad de certificación digital acreditada por ONAC y ofrece servicios de confianza digital que cubren, con un solo proveedor, las fases donde la Ley 2573 de 2026 exige prueba:
- Validación de identidad (eKYC Video): videoidentificación remota que contrasta los datos contra el Archivo Nacional de Identificación (ANI), la base biográfica y biométrica administrada por la Registraduría Nacional del Estado Civil (RNEC).
- Contratación con firma electrónica certificada y firma digital, para demostrar quién firmó y qué firmó.
- Estampado cronológico (timestamp), para dar fecha cierta a cada evidencia del proceso de vinculación o emisión de archivos electrónicos.
- Correo electrónico y SMS certificado para acreditar plazos y comunicaciones a tiempo. También disponemos de notificaciones por WhatsApp certificado.
- Evidencias emitidas por un tercero de confianza, independiente de tu empresa, con más peso probatorio ante una Superintendencia o un juez que un registro interno.
Desde 2023, la SIC ha impuesto multas por $2.390.372.596 a operadores de telecomunicaciones por incumplimientos en la verificación de identidad de los usuarios. Con la entrada en vigor de la ley cada vez más cerca, adelantarse a estos requisitos no solo evita multas: protege la relación de confianza con tus clientes.
Este contenido tiene fines informativos y no constituye asesoría legal; te recomendamos validar cada caso con tu equipo jurídico.