Cumplimiento digital 2026 en Perú: datos, IA y ciberseguridad

2026: el año en que cumplir la ley dejó de ser opcional

Durante años, en el Perú la protección de datos, la inteligencia artificial y la ciberseguridad se trataron como temas «de TI»: importantes, pero periféricos. El 2026 rompe esa lógica. Las tres agendas dejan de ser islas y convergen en un mismo lugar —el compliance empresarial— y ya no como recomendación, sino como obligación exigible, con plazos, evidencia y sanciones concretas.

Si tu empresa guarda una base de datos de clientes, usa un CRM, despliega herramientas de IA o simplemente tiene una web con formularios, ya está dentro del alcance. Esta guía resume qué cambió, qué vence este año y qué debería tener listo tu organización para no llegar tarde.

Tres frentes que ahora son uno solo

Hasta hace poco, cada frente vivía en un área distinta: los datos en legal, la IA en innovación, la ciberseguridad en infraestructura. El nuevo ciclo regulatorio los obliga a integrarse en el corazón de la gestión de riesgos. Los tres comparten premisa: las decisiones tecnológicas ya son decisiones de cumplimiento, y una empresa que no puede demostrar cómo trata los datos, cómo usa la IA y cómo se protege, no está cumpliendo —aunque no haya tenido ningún incidente.

1. Protección de datos personales: el nuevo reglamento ya está vigente

El Decreto Supremo N.º 016-2024-JUS, publicado el 30 de noviembre de 2024, reemplazó por completo el reglamento de 2013 de la Ley N.º 29733 y entró en vigencia el 30 de marzo de 2025. Con sus 135 artículos, elevó el estándar de un marco que ya no se sostiene con «tener una política». Esto es lo que cambia en la práctica:

Un Oficial de Protección de Datos (DPO) obligatorio

Es exigible si tu empresa es entidad pública, trata grandes volúmenes de datos personales o utiliza datos sensibles como parte de su actividad principal. La exigencia es escalonada según ventas anuales, así que muchas empresas peruanas ya están dentro del primer o segundo tramo:

Nivel de empresa	Ventas anuales	Plazo para designar DPO
Grande (Nivel 1)	Más de 2,300 UIT	30 de noviembre de 2025
Grande (Nivel 2)	1,700 a 2,300 UIT	30 de noviembre de 2026
Pequeña / Mediana	150 a 1,700 UIT	30 de noviembre de 2027
Micro	Menos de 150 UIT	30 de noviembre de 2028

Notificación de brechas en 48 horas

Si ocurre un incidente que exponga grandes volúmenes de datos, datos sensibles o que pueda causar un perjuicio evidente a los titulares, la empresa debe notificar a la Autoridad Nacional de Protección de Datos Personales (ANPD) y a los afectados dentro de las 48 horas de tener conocimiento. Los sectores de infraestructura crítica (energía, finanzas, salud, telecomunicaciones, agua) deben notificar además al Centro Nacional de Seguridad Digital. Tres días es el tiempo que separa un incidente gestionado de una infracción agravada.

Derechos ampliados: ARCO-PD

A los clásicos Acceso, Rectificación, Cancelación y Oposición se suman dos derechos nuevos: portabilidad (vigente desde el 30 de septiembre de 2025) y desindexación. Además, la definición de dato personal se amplió explícitamente para incluir identificadores en línea (IP, cookies) y datos de ubicación, que ahora requieren consentimiento previo cuando excedan lo estrictamente necesario.

Registro de bancos de datos y multas reales

Todo banco de datos personales debe inscribirse en el Registro Nacional (gratuito, vía SIPDP) antes de iniciar el tratamiento. La falta de registro es una infracción grave. Las multas van de 0.5 a 100 UIT según la gravedad; con la UIT de 2026 en S/ 5,500, esto equivale a un rango de S/ 2,750 hasta S/ 550,000, con un tope del 10% de los ingresos netos anuales de la empresa infractora.

2. Inteligencia artificial: la primera etapa vence el 10 de septiembre de 2026

La Ley N.º 31814 (julio de 2023) promueve el uso de IA en el Perú. Su reglamento, aprobado por el Decreto Supremo N.º 115-2025-PCM el 9 de septiembre de 2025, es donde la norma se vuelve exigible. El enfoque es basado en riesgos: no todas las aplicaciones generan las mismas obligaciones.

Usos indebidos (prohibidos): manipulación engañosa de decisiones, vigilancia masiva, ciertos tratamientos biométricos y sistemas que perfilan delitos sin base, entre otros.
Alto riesgo: selección y evaluación de personal, scoring crediticio, diagnóstico o priorización médica, acceso a programas sociales, sistemas sobre niños y adolescentes, activos críticos. Se permiten, pero con controles reforzados.
Riesgo aceptable: el resto, que igualmente debe respetar la ley.

Dos obligaciones concentran el esfuerzo real:

Transparencia algorítmica: informar al usuario, en lenguaje claro, la finalidad del sistema, sus funcionalidades y el tipo de decisiones que puede adoptar. Cuando la decisión afecta derechos, hay que poder explicar los criterios y factores clave.
Supervisión humana real: en sistemas de alto riesgo debe existir una persona capacitada con capacidad efectiva de detener, corregir o invalidar la decisión de la IA. No basta un formalismo: tiene que poder intervenir.

¿Y si solo usas IA de un tercero? También te alcanza

El reglamento distingue entre desarrollador e implementador. Una empresa que integra una solución de IA de proveedor en sus procesos —contratación, evaluación crediticia, atención— puede asumir la condición de implementador y, con ella, sus obligaciones. Contratar la tecnología no traslada la responsabilidad.

El cronograma de adecuación

El plazo se cuenta desde el día siguiente a la publicación del reglamento, según el sector:

Salud, educación, justicia, seguridad, economía y finanzas: 1 año → 10 de septiembre de 2026.
Transporte, comercio y trabajo: 2 años.
Producción, agricultura, energía y minería: 3 años.
Demás usos: 4 años.

Existe un régimen diferenciado para MYPE y emprendimientos innovadores: pequeñas empresas cuentan con 2 años y microempresas con 3. Es decir, la primera etapa ya está encima.

3. La arista penal: datos que ahora pueden costar cárcel

Dos normas recientes endurecen el terreno:

Decreto Legislativo N.º 1700 (23 de enero de 2026): modifica la Ley de Delitos Informáticos e incorpora un nuevo delito —la adquisición, posesión y tráfico ilícito de datos personales—, con penas de hasta 10 años en determinados supuestos. Ya no se sanciona solo a quien roba datos, también a quien los posee, compra, recibe, comercializa o facilita bases obtenidas sin consentimiento o vía brechas.
Ley N.º 32314 (abril de 2025): trata el uso de IA para cometer delitos como circunstancia agravante y sanciona los deepfakes con fines de fraude, daño reputacional o abuso.

La conclusión es directa: gestionar mal un dato personal dejó de ser un riesgo puramente administrativo. Ahora puede ser también penal.

Las multas ya son reales, no una amenaza futura

La etapa declarativa terminó. Solo en 2025, la autoridad de protección de datos aplicó sanciones que superaron los S/ 11 millones. A ese ritmo de fiscalización se suma un contexto institucional cargado: 2026 es año electoral —elecciones generales, regionales y municipales—, se discute una nueva Ley de Telecomunicaciones y avanza la Agenda Digital 2026-2030. Más volatilidad normativa y más presión fiscalizadora, en simultáneo.

Checklist: por dónde empezar

Inventariar todos los sistemas de IA que usa la empresa, incluidos los contratados a terceros.
Definir el rol frente a cada uno: desarrollador, implementador o usuario.
Clasificar por riesgo (aceptable, alto, prohibido) y priorizar los que deciden sobre personas.
Mapear los datos personales: origen, finalidad, base legal, conservación y seguridad.
Registrar los bancos de datos ante la ANPD si aún no están inscritos.
Evaluar si necesitas un DPO y en qué tramo del cronograma caes.
Montar un protocolo de brechas que permita notificar en 48 horas.
Implementar transparencia y supervisión humana donde corresponda.
Revisar contratos con proveedores: seguridad, datos personales, auditoría e incidentes.
Documentar las decisiones de cumplimiento: la evidencia es tu mejor defensa.

En resumen

Cumplir ya no es solo evitar sanciones: es una ventaja estratégica. Las empresas que integren datos, IA y ciberseguridad en su compliance estarán mejor preparadas para un entorno más exigente; las que sigan tratándolo como un tema accesorio llegarán tarde, y esta vez con consecuencias administrativas y penales.

En 24 Labs acompañamos a las empresas peruanas en esta ruta: diagnóstico de cumplimiento, diseño de arquitectura de datos, implementación de controles de ciberseguridad y adopción responsable de IA. Si tu empresa usa IA o trata datos personales, el mejor momento para revisarlo es ahora.

Conversemos sobre el cumplimiento de tu empresa →