Colombia sancionó en mayo la Ley Estatutaria 2573 de 2026, la norma que regula qué pasa cuando alguien es víctima de suplantación de identidad para sacar un crédito o comprar a plazos. El cambio de fondo es que ya no es la víctima quien debe probar el fraude, sino tu empresa la que debe demostrar que verificó bien a su cliente. El régimen general entra en vigencia hacia el 19 de noviembre, pero varios plazos para atender reclamos ya corren desde la sanción de la ley. Si vendes a crédito, financias directamente o haces onboarding digital, esto te interesa.
Colombia tiene una nueva regla de juego para el fraude de identidad, y si tu negocio vende a crédito, te toca de frente. La Ley Estatutaria 2573 de 2026, sancionada el 19 de mayo, traslada a las empresas —no a la persona suplantada— la responsabilidad de probar que hicieron bien las cosas antes de entregar un crédito, un servicio o un producto a plazos. A poco más de tres meses de que el régimen general entre en plena vigencia, el 19 de noviembre, vale la pena entender qué exige la ley y qué está en juego si tu negocio no está listo.
¿A quién obliga esta ley?
La norma cobija a tres tipos de negocio: entidades financieras y crediticias (bancos, fintechs de crédito, cooperativas, compañías de financiamiento), operadores de telecomunicaciones (planes pospago, financiación de equipos) y, el grupo que suele pasar desapercibido, cualquier establecimiento comercial —físico o digital— que venda a crédito, ofrezca ventas a plazos o financie directamente mediante contrato. En términos prácticos: si tu pyme vende con cuotas, fiado formal, tarjeta propia o financia equipos e insumos a sus clientes, ya eres un sujeto obligado por esta ley.
El cambio de fondo: ya no es tu cliente quien tiene que probar el fraude
Antes, si alguien sacaba un crédito suplantando a otra persona, la víctima cargaba con la tarea de demostrarlo. La Ley 2573 invierte esa lógica. Ahora, ante un reclamo, es la empresa la que debe aportar las pruebas de que actuó con la diligencia debida al validar la identidad del cliente. La ley también exige adoptar medidas de seguridad suficientes y razonables para confirmar esa identidad, un estándar que se volvió más exigente con la proliferación de documentos alterados digitalmente. Es decir, una revisión visual de una cédula ya no basta para sostener que tu negocio hizo bien la verificación.
Este blog te interesa: El dólar barato desata una guerra comercial por tu dinero
Los plazos que ahora corren en tu contra
Según el análisis de la Asociación de Compañías de Financiamiento (AFIC), la ley fija tiempos estrictos que tu equipo de atención al cliente debe tener marcados en el calendario:
- Tu empresa tiene 10 días hábiles para responder al reclamo y suspender de inmediato el cobro o la prestación del servicio cuestionado.
- Debes informar a la persona que tiene 20 días hábiles para presentar la denuncia respectiva ante la Fiscalía; si no lo hace en ese plazo, puedes reanudar el cobro.
- Por las reglas generales de habeas data, si tu empresa no resuelve el reclamo dentro de 15 días hábiles (prorrogables 8 días más), la ley asume el fraude como cierto: tendrás que borrar la deuda y devolver lo cobrado, sin que un juez tenga que ordenarlo.
Ojo: tampoco sirve ignorar el reclamo esperando que la deuda prescriba. Mientras el cobro esté suspendido o el caso siga en la Fiscalía, el plazo para cobrarla tampoco corre.
Qué está en juego si tu negocio falla
La Ley 2573 no crea una multa nueva por no tener biometría, pero sí conecta el incumplimiento con el régimen de habeas data ya vigente (leyes 1266 de 2008 y 1581 de 2012), que la Superintendencia de Industria y Comercio y la Superintendencia Financiera pueden aplicar con fuerza: multas de hasta 2.000 salarios mínimos —cerca de $3.500 millones de pesos con el salario mínimo de 2026— y, en los casos más graves, la suspensión de las actividades relacionadas con el tratamiento de datos personales hasta por seis meses.
¿Qué hacer esta semana?
- Si vendes a crédito, fías o financias equipos: revisa cómo verificas hoy la identidad de un cliente nuevo. Si el proceso es solo mirar una cédula o pedir una foto, ya no cumple el estándar que exige la ley.
- Si tienes canal de ventas online con financiación o pagos a plazos: asegúrate de guardar evidencia técnica —fecha, hora y método de verificación— de cada cliente que valides. Sin ese registro, pierdes cualquier reclamo automáticamente.
- Si aún no tienes un protocolo de atención de reclamos por suplantación: diséñalo ya, con los 10 días hábiles para responder bien marcados. Llegar tarde te obliga a borrar la deuda, sin importar si el fraude realmente ocurrió.
Sigue conectado con MisiónPyme para más contenido especializado.
