Última actualización: septiembre 2026 Base legal: Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814 Aplica a: empresas del sector privado y entidades públicas que implementen sistemas de inteligencia artificial, especialmente los clasificados como riesgo alto.
El Reglamento de la Ley de Inteligencia Artificial en Perú introduce una herramienta clave para las empresas que usan IA: la Evaluación de Impacto. Aunque no es obligatoria para el sector privado, hacerla puede ser la diferencia entre defenderte exitosamente ante una fiscalización o quedar expuesto sin respaldo documental.
Aquí explicamos qué es, qué debe contener, cuánto tiempo conservarla y por qué funciona como un escudo legal.
¿Qué es una Evaluación de Impacto de IA?
Es un documento técnico-legal que analiza los riesgos que un sistema de inteligencia artificial puede generar sobre los derechos fundamentales de las personas, y registra las medidas que la empresa ha tomado para mitigarlos.
No es un formulario estándar ni un checklist genérico. Es un análisis personalizado del sistema específico que tu empresa implementa, considerando:
- Qué tipo de decisiones toma el algoritmo.
- Sobre quiénes impactan esas decisiones.
- De dónde vienen los datos con los que se entrenó el modelo.
- Qué puede salir mal y qué has hecho para evitarlo.
El concepto es similar al Data Protection Impact Assessment (DPIA) del Reglamento General de Protección de Datos europeo (RGPD), pero aplicado específicamente a sistemas de IA.
¿Es obligatoria?
Para el sector privado: no. El Reglamento la califica como de adopción voluntaria.
Para el sector público: las entidades estatales tienen un nivel de exigencia mayor en la implementación de la Ley 31814, y las evaluaciones de impacto forman parte de las buenas prácticas exigidas por la SGTD.
Sin embargo, que sea voluntaria no significa que sea irrelevante. Todo lo contrario.
Por qué hacerla aunque no sea obligatoria: el concepto de «safe harbor»
Aquí está el punto estratégico que muchas empresas pasan por alto.
El Reglamento establece que la realización y conservación de una Evaluación de Impacto funciona como un escudo de defensa jurídica — lo que en derecho se conoce como un safe harbor probatorio — ante eventuales fiscalizaciones de la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM.
¿Qué significa esto en la práctica?
| Escenario | Sin evaluación de impacto | Con evaluación de impacto |
|---|---|---|
| La SGTD fiscaliza tu plataforma | No tienes documentación que demuestre diligencia. Quedas expuesto. | Presentas tu evaluación: identificaste riesgos, analizaste datos de entrenamiento, implementaste medidas. Demuestras que actuaste con responsabilidad. |
| Un usuario denuncia discriminación algorítmica | Sin evidencia de que evaluaste sesgos. Posición defensiva débil. | Tu evaluación documenta las auditorías de sesgo realizadas y las medidas correctivas. Posición defensiva sólida. |
| Tu IA toma una decisión que afecta derechos | No hay registro de cómo funciona el sistema ni qué precauciones tomaste. | El documento muestra el diseño del modelo, los datos utilizados y los controles implementados. |
En resumen: la evaluación de impacto transforma tu posición de «no sabía que podía pasar» a «lo anticipé, lo documenté y tomé medidas». Ante un procedimiento sancionador, esa diferencia es sustancial.
¿Qué debe incluir una Evaluación de Impacto de IA?
El Reglamento no prescribe un formato único, pero sí establece los elementos que debe documentar. Basándonos en los lineamientos del D.S. 115-2025-PCM, una evaluación completa debe cubrir como mínimo:
1. Descripción del sistema de IA
- Nombre y propósito del sistema.
- Tipo de tecnología utilizada (machine learning, redes neuronales, modelos de lenguaje, sistemas basados en reglas, etc.).
- Qué decisiones toma o qué resultados genera.
- Sobre quiénes impactan esas decisiones (usuarios, solicitantes, empleados, público general).
- Nivel de riesgo según la clasificación del Reglamento (uso indebido / alto / aceptable).
2. Análisis de los datos de entrenamiento
- Procedencia de los datos: de dónde vienen, cómo se recopilaron, si se obtuvo consentimiento cuando aplica.
- Representatividad: si los datos reflejan adecuadamente a la población sobre la que el sistema tomará decisiones. En el contexto peruano, esto es crítico — un modelo entrenado solo con datos del sector formal puede excluir al 70%+ de la PEA informal.
- Calidad y actualización: si los datos están limpios, actualizados y libres de errores sistemáticos.
- Datos sensibles: si se procesan datos de categorías especiales (origen étnico, salud, opiniones políticas, orientación sexual) y bajo qué base legal.
3. Riesgos identificados
- Sesgos algorítmicos: posibilidad de que el sistema discrimine por género, edad, origen étnico, ubicación geográfica, nivel socioeconómico u otra variable.
- Errores de decisión: consecuencias de un falso positivo o falso negativo del modelo (rechazar a alguien que debería ser aprobado, o viceversa).
- Falta de explicabilidad: si el sistema es una «caja negra» cuyas decisiones no pueden ser explicadas al usuario afectado.
- Impacto sobre derechos fundamentales: privacidad, no discriminación, acceso a servicios, dignidad.
- Riesgos de seguridad: vulnerabilidades del sistema ante ataques adversariales o manipulación de inputs.
4. Medidas técnicas de mitigación
- Qué controles has implementado para cada riesgo identificado.
- Protocolos de supervisión humana (si aplica por ser riesgo alto).
- Frecuencia de auditorías de sesgo.
- Mecanismos de explicabilidad o transparencia para el usuario.
- Procedimiento para que un usuario afectado impugne o solicite revisión de una decisión algorítmica.
- Plan de respuesta ante fallos del sistema.
5. Gobernanza interna
- Quién es responsable del sistema de IA dentro de la organización.
- Quién aprobó su implementación.
- Quién realiza las auditorías y con qué periodicidad.
- Cómo se actualizará la evaluación ante cambios en el modelo o en los datos.
¿Cuánto tiempo debo conservarla?
El Reglamento establece un período mínimo de conservación de 3 años desde su elaboración.
Esto significa que si realizas una evaluación en septiembre de 2026, debes poder presentarla ante la SGTD hasta septiembre de 2029 como mínimo.
Recomendación práctica: conserva todas las versiones, no solo la última. Si actualizas tu sistema de IA y rehaces la evaluación, guarda la versión anterior. Ante una fiscalización que investigue un evento pasado, necesitas la evaluación vigente en el momento del evento, no la actual.
| Acción | Plazo mínimo |
|---|---|
| Conservar cada evaluación de impacto | 3 años desde su elaboración |
| Conservar versiones anteriores | Recomendado: 3 años desde que dejaron de ser vigentes |
| Actualizar la evaluación | Cada vez que el sistema cambie significativamente (nuevo modelo, nuevos datos, nueva funcionalidad) |
Cronograma de adecuación: cuándo deberías tenerla lista
Aunque la evaluación es voluntaria, tiene más valor defensivo si la elaboras antes de que venza el plazo de adecuación de tu sector. Presentar una evaluación hecha después de una fiscalización pierde gran parte de su efecto probatorio.
| Sector económico | Fecha máxima de adecuación a la Ley 31814 |
|---|---|
| Salud, Educación, Justicia, Seguridad, Economía y Finanzas | 10 de septiembre de 2026 |
| Transporte, Comercio y Trabajo | 10 de septiembre de 2027 |
| Producción, Agricultura, Energía y Minería | 10 de septiembre de 2028 |
| Todos los demás sectores | 10 de septiembre de 2029 |
Ejemplo concreto: si tienes una plataforma fintech con scoring crediticio (sector Economía y Finanzas + riesgo alto), tu evaluación de impacto debería estar lista antes del 10 de septiembre de 2026. Es la combinación más urgente posible: sector prioritario + nivel de riesgo alto.
¿Quién debe elaborar la evaluación?
La norma no exige que la elabore un profesional certificado ni un auditor externo. Puede ser un documento interno.
Sin embargo, para que tenga peso defensivo real, es recomendable que participe:
- Un perfil técnico que entienda cómo funciona el modelo de IA, sus datos y sus limitaciones.
- Un perfil legal que evalúe las implicaciones sobre derechos fundamentales y el marco normativo aplicable (Ley 31814, Ley 29733 de protección de datos, Código del Consumidor si aplica).
- Un perfil de negocio que defina el propósito del sistema y las decisiones que se toman con sus resultados.
Para sistemas de alto impacto, contratar una auditoría externa especializada refuerza significativamente la credibilidad del documento.
Diferencia entre Evaluación de Impacto de IA y Evaluación de Impacto de Datos Personales
Son documentos distintos que pueden complementarse pero no se sustituyen:
| Aspecto | Evaluación de Impacto de IA (Ley 31814) | Evaluación de Impacto de Datos Personales (Ley 29733) |
|---|---|---|
| Enfoque | Riesgos del algoritmo y sus decisiones sobre derechos fundamentales | Riesgos del tratamiento de datos personales sobre la privacidad |
| Base legal | D.S. 115-2025-PCM | Ley 29733 y su Reglamento |
| Alcance | Sesgos, discriminación, explicabilidad, supervisión humana | Consentimiento, seguridad, transferencia internacional, derechos ARCO |
| ¿Obligatoria? | Voluntaria para sector privado | Recomendada y exigible en ciertos tratamientos de alto riesgo |
| Organismo | SGTD (PCM) | ANPD (Ministerio de Justicia) |
Si tu sistema de IA procesa datos personales (lo cual es el caso en la mayoría de plataformas web), necesitas considerar ambas evaluaciones. Un scoring crediticio, por ejemplo, tiene riesgos algorítmicos (sesgo, discriminación) y riesgos de privacidad (tratamiento de datos financieros y personales).
Checklist rápido: ¿necesito una Evaluación de Impacto de IA?
| Pregunta | Si la respuesta es SÍ… |
|---|---|
| ¿Mi sistema de IA toma o influye en decisiones sobre crédito, empleo, salud, educación o acceso a servicios? | Tu sistema es probablemente riesgo alto. La evaluación es altamente recomendable. |
| ¿Mi IA procesa datos sensibles (salud, biometría, opiniones políticas)? | La evaluación te protege ante fiscalizaciones cruzadas de SGTD y ANPD. |
| ¿Mi empresa opera en un sector con plazo de adecuación cercano (sept. 2026-2027)? | Hazla ahora. Después de la fecha límite pierde efecto probatorio. |
| ¿Mi IA solo es un chatbot básico o recomendación de productos? | Es riesgo aceptable. No la necesitas urgentemente, pero hacerla no perjudica y te diferencia ante clientes y reguladores. |
| ¿Mi empresa es una startup con recursos limitados? | Haz una versión simplificada interna. Documenta lo esencial: qué hace tu IA, con qué datos, qué riesgos ves y qué haces al respecto. Es mejor que no tener nada. |
Preguntas frecuentes
¿Hay un formato oficial de evaluación?
No. El Reglamento no prescribe un formulario ni una plantilla oficial. Lo que importa es que cubra los elementos que la norma establece: descripción del sistema, análisis de datos, riesgos identificados y medidas de mitigación.
¿Puedo usar una evaluación hecha para cumplir con el RGPD europeo?
Puede servir como base, pero no es suficiente. La evaluación bajo la Ley 31814 tiene un enfoque específico en sesgos algorítmicos, supervisión humana y el contexto socioeconómico peruano que el RGPD no cubre.
¿Debo presentarla proactivamente ante la SGTD?
No. Se conserva internamente y se presenta cuando la SGTD la solicite en el marco de una fiscalización. No hay un registro público de evaluaciones de impacto.
¿Cada cuánto debo actualizarla?
No hay periodicidad fija. Actualízala cuando cambies significativamente tu sistema: nuevo modelo, nuevas fuentes de datos, nueva funcionalidad que altere el tipo de decisiones que toma, o cuando detectes un riesgo no contemplado inicialmente.
¿Si soy una pyme, realmente necesito hacer esto?
El tamaño de la empresa no determina el nivel de riesgo del sistema. Una pyme con un sistema de scoring crediticio automatizado tiene las mismas obligaciones que un banco. La diferencia es que puedes hacer una versión proporcional a tu escala: un documento de 5-10 páginas bien estructurado es mejor que nada.
Referencias legales
- Ley N° 31814 — Ley que promueve el uso de la Inteligencia Artificial en favor del desarrollo económico y social del país.
- Decreto Supremo N° 115-2025-PCM — Reglamento de la Ley 31814. Establece las evaluaciones de impacto, su contenido y el período de conservación de 3 años.
- Ley N° 29733 — Ley de Protección de Datos Personales (para la evaluación complementaria de impacto sobre privacidad).
- Secretaría de Gobierno y Transformación Digital (SGTD-PCM) — Organismo ante el cual se presenta la evaluación en caso de fiscalización.
Este artículo es informativo y no constituye asesoría legal. Para elaborar la evaluación de impacto de tu sistema de IA, consulta con un abogado especializado en derecho digital y un profesional técnico en inteligencia artificial.
¿Necesitas mejorar tu presencia digital?
Cuéntame sobre tu negocio y revisemos qué solución de diseño web, SEO o marketing puede ayudarte a crecer.