Llega el extracto y aparece un crédito que usted nunca solicitó. O una línea de celular a su nombre. O peor: un reporte negativo por una compra que jamás hizo. Con la inteligencia artificial clonando voces y rostros en segundos, este fraude dejó de necesitar un documento falsificado.
La buena noticia: en Colombia cambiaron dos reglas de juego. Y una de ellas le quita a usted el peso de tener que probar su inocencia.
Lo que cambia el 28 de julio de 2026
La Ley 2502 de 2025 modificó el artículo 296 del Código Penal (el delito de falsedad personal) y le añadió un agravante cuando la suplantación se comete usando inteligencia artificial. Ese agravante empieza a regir el 28 de julio de 2026, un año después de sancionada la ley.
Aquí conviene ser precisos, porque varios titulares lo han contado mal: el artículo 296 se castiga con multa, no con cárcel. Lo que hace el agravante es aumentar esa multa hasta en una tercera parte cuando se usó IA. Además es un delito subsidiario: la propia norma dice «siempre que la conducta no constituya otro delito». Si el suplantador además lo estafó o le sacó un crédito, se le imputa ese otro delito —que sí contempla prisión—, no el 296.
La ley también definió por primera vez qué es un deepfake en la legislación colombiana y ordenó al Gobierno, la Fiscalía y el MinTIC formular una política pública contra el uso indebido de la IA.
Qué dijo la Corte Constitucional
Alguien demandó ese agravante argumentando que era inconstitucional, porque castiga con base en un concepto —«inteligencia artificial»— que el Congreso nunca definió.
En la Sentencia C-212 de 2026 (ponente: magistrado Jorge Enrique Ibáñez), la Corte lo declaró exequible. Su razonamiento: aunque no exista una definición legal cerrada, sí hay referentes objetivos y verificables (documentos de la OCDE, los Conpes 3975 de 2019 y 4144 de 2025, el Decreto 1263 de 2022, la recomendación de la Unesco y el Reglamento Europeo de IA) que permiten identificar sus rasgos comunes. Exigir una definición rígida, dijo la Corte, volvería la norma obsoleta frente al avance tecnológico.
Un matiz importante para usted: el agravante no se activa por usar cualquier herramienta digital. Solo aplica cuando la IA efectivamente facilitó la suplantación. Serán los jueces, caso por caso, quienes lo determinen.
La ley que de verdad lo defiende: 2573 de 2026
Castigar al delincuente está bien, pero no le paga la deuda. Para eso está la Ley Estatutaria 2573 de 2026, sancionada el 19 de mayo de 2026 y ya vigente. Esta sí cambia su situación concreta:
1. Ya no le toca a usted probar que no pidió el crédito. La ley introduce la carga dinámica de la prueba: la responsabilidad recae en quien está en mejores condiciones de probar. Es decir, el banco, el operador o el comercio deben demostrar qué mecanismos usaron para verificar la identidad antes de aprobar la operación. Si no lo acreditan, pueden perder el derecho a cobrar esa obligación.
2. El cobro se suspende de inmediato. Desde el momento en que usted informa que fue víctima de suplantación, la entidad debe suspender todo cobro: capital, intereses y gastos de cobranza, mientras avanzan las actuaciones.
3. Le deben entregar los documentos. La entidad está obligada a darle copia de todos los soportes con los que aprobó el crédito o el servicio a su nombre.
4. Si se confirma el fraude, queda libre. Usted queda exonerado de pagar la deuda, sin intereses ni cobros asociados, y deben eliminarlo de los reportes negativos asociados a esa obligación.
Qué hacer si le pasa: paso a paso
- Informe de inmediato a la entidad (banco, operador o comercio) que fue víctima de suplantación. Deje constancia escrita, con número de radicado.
- Exija la suspensión del cobro y la copia de los documentos con los que aprobaron la operación. Es su derecho por ley.
- Denuncie ante la Fiscalía dentro de los 20 días hábiles siguientes a haber informado a la entidad. Este plazo es clave: si lo deja pasar, se debilita su posición.
- Aporte los documentos que respalden su caso a la entidad y al proceso.
- Guarde todo: correos, radicados, capturas, extractos. La trazabilidad es lo que sostiene el reclamo.
Cómo bajar el riesgo antes de que ocurra
- Revise sus productos financieros y su historial con regularidad. Detectar temprano un crédito ajeno es la diferencia entre un trámite y un problema de años.
- Desconfíe de las llamadas y audios «de su banco», aunque la voz suene idéntica a la de alguien conocido. Clonar una voz hoy toma segundos. Cuelgue y llame usted al número oficial.
- No comparta fotos de su cédula por WhatsApp ni por correo con terceros no verificados.
- Active las alertas y la doble autenticación en sus productos financieros.
- Si ya le pasó, no espere. Los plazos de la Ley 2573 corren.
En resumen
El 28 de julio entra a regir el agravante por usar IA en suplantación de identidad —una multa mayor, no cárcel—. Pero la herramienta que de verdad le sirve si ya fue víctima es la Ley 2573 de 2026: le quita a usted la carga de probar, obliga al banco a demostrar cómo lo verificó, suspende el cobro y, si se confirma el fraude, lo exonera y lo saca de los reportes negativos.
En DataFinSolutions, con nuestro 360 Financiero, lo ayudamos a organizar y entender su información financiera para que detecte a tiempo lo que no cuadra. Conozca más en datafinsolutions.com/360-financiero.
Fuentes: Ley 2502 de 2025 (Diario Oficial, 28 de julio de 2025); Sentencia C-212 de 2026, Corte Constitucional (M.P. Jorge Enrique Ibáñez); Ley Estatutaria 2573 de 2026 (sancionada el 19 de mayo de 2026); El Tiempo, 18 de julio de 2026.
Recuerda: esto es orientación educativa, no asesoría financiera ni jurídica. Para un análisis con tus datos entra a datafinsolutions.com.
¿Te fue útil? Compártelo y síguenos: