¿Escudo para las víctimas o atajo para los morosos? La perspectiva de la Ley Estatutaria 2573 de 2026 en los negocios

1.     Qué cambió realmente

El 19 de mayo de 2026 el Gobierno colombiano sancionó la Ley Estatutaria 2573 de2026, la norma que da forma jurídica a la discusión que motiva este blog. No se trata de un decreto sino de una ley estatutaria (de mayor jerarquía, porque desarrolla derechos fundamentales como el habeas data y el buen nombre),aplicable a tres tipos de sujetos obligados: entidades financieras y crediticias, operadores de telecomunicaciones y establecimientos comerciales que otorgan bienes o servicios a crédito.

El corazón de la norma es el principio de carga dinámica de la prueba: en un caso de suplantación de identidad, ya no es el ciudadano quien debe demostrar que  él quien pidió el crédito, activó la línea o hizo la compra. Es la entidad la que debe acreditar, con evidencia técnica y documental, que su proceso de verificación de identidad fue razonable, suficiente y que efectivamente fue el titular quien contrató. Si la entidad no logra probarlo, pierde el derecho a cobrar y debe asumir la pérdida.

Además, la ley obliga a suspender de inmediato cobros, intereses y reportes negativos en centrales de riesgo tan pronto la persona alega la suplantación, mientras se investiga. La víctima debe, eso sí, presentar la denuncia penal por falsedad personal dentro de los 20 días hábiles siguientes y aportar los soportes que tenga; si no lo hace, la entidad puede reanudar el cobro con los intereses causados. La reglamentación técnica de los estándares de verificación (biometría, validación documental, trazabilidad digital) queda en manos de laSuperintendencia Financiera, la Superintendencia de Industria y Comercio y elMinisterio TIC, con plazo hasta noviembre de 2026.

‍

2.El avance: por qué la norma corrige una asimetría real

Antes de esta ley, la carga probatoria recaía casi por completo sobre la víctima, que debía demostrar un hecho negativo (que ella no hizo algo) frente a una entidad que controlaba toda la evidencia del proceso de vinculación: documentos, biometría, IP, dispositivo, grabaciones. Esa asimetría de información hacía que miles de personas terminaran pagando deudas ajenas o cargando reportes negativos en Datacrédito por años, mientras las entidades se amparaban en cláusulas de aceptación automática. Solo en 2025 se registraron más de 62.000 denuncias por delitos informáticos asociados a fraude de identidad en Colombia, y la cifra sigue creciendo en 2026.

Desde este ángulo, la ley es coherente con la lógica general del derecho probatorio colombiano: prueba quien está en mejores condiciones de hacerlo. Un banco que aprueba un crédito digital en minutos, sin intervención humana, es quien decide qué controles usar y qué evidencia conservar; no tiene sentido que después le exija al ciudadano suplantado reconstruir un proceso que nunca vivió. En ese sentido, el mensaje de fondo no es antibancario: es un incentivo para que las entidades inviertan en verificación de identidad seria (biometría facial, prueba de vida, validación de dispositivo) en lugar de trasladar el riesgo operativo al usuario más débil de la relación.

‍

3.La otra cara: ¿puerta abierta al fraude del deudor?

La pregunta que propones para este blog ya está circulando entre abogados colombianos, y con razón. Un análisis reciente en Ámbito Jurídico lo plantea sin rodeos: existe riesgo de riesgo moral, es decir, que un deudor real, sin haber sido suplantado, alegue fraude para dilatar el cobro de una obligación legítima mientras dura la investigación penal. La suspensión automática de cobros e intereses desde el momento del aviso (sin que medie previamente una decisión judicial) crea un incentivo económico concreto: declararse víctima congela la deuda de inmediato, y el proceso penal puede tardar meses.

El legislador intentó blindar esta puerta trasera de dos maneras. Primero, exige denuncia penal por el delito de falsedad personal dentro de 20 días hábiles; quién miente en una denuncia penal se expone a responsabilidad penal propia, lo cual eleva el costo de usar la ley de mala fe. Segundo, si la entidad demuestra (dentro del plazo de diez días hábiles que tiene para responder) que existió una verificación de identidad robusta y que fue el propio titular quien contrató, puede reanudar el cobro con los intereses causados durante la suspensión. En teoría, esto castiga al oportunista. En la práctica, el resultado dependerá de qué tan rápido y bien puedan las entidades reconstruir y presentar esa evidencia, y de qué tan expedita sea la investigación penal, dos variables que en Colombia no siempre operan con la celeridad que la norma presupone.

Una segunda hipótesis, más sutil, es la de la suplantación parcial o el fraude interno: casos en los que el crédito sí fue solicitado por el titular, pero bajo presión, engaño de un tercero cercano (familiar, pareja, socio) o mediante ingeniería social donde la víctima entregó voluntariamente sus datos. La ley distingue mal estos matices frente al fraude puro por terceros desconocidos, y deja a las entidades la carga de investigar internamente si hubo culpa grave del usuario (por ejemplo, si compartió claves), un terreno probatorio mucho más gris que el de una suplantación documental clásica.

‍

4.La perspectiva de negocio: qué pasa con el acceso al crédito

Aquí está el punto que más te interesa desde la óptica del emprendimiento y las pymes. Si la entidad asume el riesgo íntegro de cualquier fraude de identidadque no logre probar como legítimo, la respuesta racional del sector financiero es endurecer el filtro de entrada. Eso ya se está viendo en el mercado:proveedores de identidad digital como Veridas o Facephi promocionan activamente sus soluciones de biometría y trazabilidad como la manera de que bancos, fintechs y comercios generen "evidencia técnica auditable" ante cualquier reclamo, y firmas de riesgo como GateKeeperX hablan abiertamente de que la verificación de identidad dejó de ser un procedimiento operativo para convertirse en una variable de cumplimiento y gestión de riesgo del negocio.

Para una persona natural que quiere emprender o para una pyme que busca capital de trabajo, esto puede traducirse en más pasos de verificación, más solicitud de soportes, procesos de onboarding más lentos y, en el margen, entidades más conservadoras a la hora de otorgar cupos a perfiles nuevos o sin historial extenso, precisamente porque un cliente nuevo es el que representa mayor incertidumbre sobre si la identidad detrás de la solicitud es real. El riesgo no es solo de fricción: es de exclusión. Los negocios más pequeños, con menostrazabilidad digital previa (facturación electrónica limitada, poca huella bancaria, dispositivos compartidos), pueden terminar pareciendo, ante los nuevos motores antifraude, más "sospechosos" que una empresa grande con historial robusto, aunque no exista fraude alguno de por medio.

Hay, sin embargo, un contrapeso interesante que introduce la propia ley: el  exige verificación intensificada para quienes han sido víctimas de suplantación prohíbe expresamente que esa condición se use para negarles el acceso a nuevos créditos. Es decir, el legislador previó el riesgo de que las entidades usen la etiqueta de "víctima de falsedad personal" como excusa para excluir del sistema financiero a quien ya fue afectado una vez. La tensión que señalan los analistas de Ámbito Jurídico es que esa prohibición choca con la autonomía de la voluntad privada de las entidades para decidir a quién le prestan, un conflicto que previsiblemente se resolverá en la reglamentación técnica que deben expedir la Superintendencia Financiera y elMinisterio TIC antes de noviembre de 2026.

Desde la óptica estrictamente financiera, además, el riesgo se traslada al estado de resultados: las pérdidas por acreencias eliminadas por fraude no probado dejan de ser una contingencia y pasan a ser un costo operacional recurrente, lo que presiona a las entidades a repricing del riesgo, es decir, tasas de interés o comisiones más altas para compensar la mayor probabilidad de pérdida, un costo que terminan pagando todos los usuarios, cumplidos e incumplidos por igual.

‍

5.Balance: dos lecturas que no se excluyen

Lalectura optimista es clara: la ley corrige una injusticia estructural, obliga amodernizar la verificación de identidad en un país donde más del 80 % de lasoperaciones bancarias ya son digitales, y pone el costo del fraude en quientiene la capacidad técnica de prevenirlo. La lectura escéptica, igualmenteválida, es que toda regla que traslada una carga probatoria genera espacio parael uso estratégico por parte de quien enfrenta esa carga en sentido inverso —eldeudor de mala fe—, y que el endurecimiento defensivo del sector financieropuede terminar encareciendo o restringiendo el acceso al crédito justo para losperfiles que más lo necesitan: emprendedores y pymes sin historial extenso.

Ninguna de las dos lecturas anula a la otra. La norma apenas entra en su régimen general hacia noviembre de 2026, y buena parte de su efecto real dependerá de cómo se reglamenten los estándares técnicos de verificación y de qué tan ágil sea el sistema judicial para resolver las denuncias penales que la propia ley exige. El verdadero test de la Ley 2573 no está en su texto, sino en siColombia logra construir, en los próximos meses, la infraestructura de identidad digital y la capacidad judicial necesarias para que la carga dinámica de la prueba proteja a las víctimas reales sin convertirse, de facto, en una vía de insolvencia informal para quien simplemente no quiere pagar.

‍

Referencias

• Congreso de la República deColombia. Ley Estatutaria 2573 de 2026 (texto oficial). https://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?dt=S&i=193210

• Cambio. "Nueva ley enColombia: si le roban la identidad, los bancos tendrán que frenar los cobros ylimpiar su reporte" (25 de mayo de 2026). https://cambiocolombia.com/pais/articulo/2026/5/nueva-ley-protege-a-las-victimas-de-suplantacion-bancos-tendran-que-congelar-cobros-y-eliminar-reportes-negativos

• Portafolio. "No másdeudas ajenas: es oficial la ley que protege a los colombianos de cobrosproducto de fraudes o suplantación". https://www.portafolio.co/economia/gobierno/no-mas-deudas-ajenas-es-oficial-la-ley-que-protege-a-los-colombianos-de-cobros-producto-de-fraudes-o-suplantacion-496385

• Infobae Colombia. "Losbancos en Colombia tendrán que suspender cobros y dejar de hacer reportesnegativos de millones de personas" (25 de mayo de 2026). https://www.infobae.com/colombia/2026/05/25/los-bancos-en-colombia-tendran-que-suspender-cobros-y-dejar-de-hacer-reportes-negativos-de-millones-de-personas-aplica-en-estos-casos/

• Ámbito Jurídico. "Laseguridad digital en la Ley 2573 de 2026: ¿hacia una responsabilidad objetivaen la suplantación de identidad?". https://www.ambitojuridico.com/noticias/comercial/analisis-la-seguridad-digital-en-la-ley-2573-de-2026-hacia-una-responsabilidad

• Asuntos Legales. CatalinaGodoy Rojas. "Lo que la nueva Ley 2573 de 2026 nos obliga apreguntarnos". https://www.asuntoslegales.com.co/analisis/catalina-godoy-rojas-4424506/lo-que-la-nueva-ley-2573-de-2026-nos-obliga-a-preguntarnos-4424479

• Crowe Colombia. "Ley2573 de 2026: una protección necesaria frente a la suplantación deidentidad". https://www.crowe.com/co/news/ley-2573-de-2026-una-proteccion-necesaria-frente-a-la-suplantacion-de-identidad

• Facephi Observatory."Ley 2573 de 2026: obligaciones para bancos y telcos en Colombia". https://facephi.com/observatory/ley-2573-suplantacion-identidad-colombia/

• La Nota Económica."Empresas en riesgo ante la nueva Ley 2573 por debilidades en laverificación de identidad digital". https://lanotaeconomica.com.co/movidas-empresarial/empresas-en-riesgo-ante-la-nueva-ley-2573-por-debilidades-en-la-verificacion-de-identidad-digital/

• Datacrédito Datablog."Trazabilidad, identidad digital y fraude: lo que exige la Ley 2573 de2026". https://www.datacredito.com.co/blogs/datablog/trazabilidad-identidad-digital-y-fraude-lo-que-exige-la-ley-2573-de-2026/

• Vanguardia. "Colombiaestrena ley que protege a víctimas de fraude y suplantación financiera"(27 de mayo de 2026). https://www.vanguardia.com/colombia/2026/05/26/nueva-ley-frena-los-reportes-en-datacredito-por-suplantacion-de-identidad-asi-funciona/

‍