La experiencia financiera en Colombia es cada vez más digital. En la primera mitad de 2026, el 83% de las operaciones del sistema financiero ya se realizaban de forma digital, según Asobancaria. La velocidad también cambió: con iniciativas como Bre-B, pagos y transferencias que podían requerir horas o días hoy pueden realizarse en segundos, a cualquier hora y entre distintas entidades.
Pero, a medida que las interacciones y contrataciones se trasladan al entorno digital, también aumenta la necesidad de abordar una cuestión esencial: cómo puede una entidad verificar que quien solicita un producto o servicio es realmente quien dice ser.
El fraude refuerza la urgencia de esta conversación. Durante 2025, se reportaron más de 765.000 reclamaciones por fraude, por un monto superior a COP 967.000 millones, una cifra que muestra la dimensión de un riesgo que evoluciona junto con la digitalización.
En este contexto, la Ley Estatutaria 2573 de 2026 introduce nuevas medidas para proteger a las personas frente a la suplantación de identidad y plantea desafíos concretos para las entidades financieras y crediticias.
Entender qué cambia y qué pueden empezar a revisar desde ahora será clave para prepararse frente al nuevo escenario regulatorio.
Respuesta rápida
La banca convierte datos en contexto cuando logra relacionar información autorizada, interpretarla según la situación del cliente y utilizarla para tomar decisiones o mejorar una experiencia concreta. Open Finance amplía la información disponible; el diferencial está en cómo cada entidad la conecta con sus canales, su plataforma y su operación.
La Ley 2573 fue promulgada el 19 de mayo de 2026 con el objetivo de proteger a las personas víctimas de suplantación de identidad frente al cobro de obligaciones y los reportes negativos ante operadores de información.
La norma contempla tanto la suplantación mediante documentos o datos como aquella realizada a través de medios electrónicos, y establece obligaciones específicas para operadores de telecomunicaciones, entidades financieras y crediticias y otros establecimientos alcanzados por la ley.
Para las entidades financieras, uno de los puntos más relevantes se encuentra en el artículo 5. La norma establece que deberán adoptar medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de las personas y de los documentos presentados para adquirir productos o servicios, además de contar con mecanismos que permitan validar la información suministrada.
También dispone que la Superintendencia Financiera de Colombia (SFC) y la Superintendencia de Industria y Comercio (SIC), en coordinación con MinTIC y dentro de sus respectivas competencias, reglamenten protocolos que incluyan mecanismos, herramientas y metodologías idóneos para la plena identificación del potencial adquirente.
La entrada en vigencia general de la ley está prevista para el 19 de noviembre de 2026, mientras que los parágrafos primero y segundo del artículo 5 rigen desde su promulgación.
Esto abre un período especialmente relevante para revisar qué tan preparados están hoy los procesos de identificación, autenticación y contratación de las entidades.
Una de las implicancias más importantes de la Ley 2573 es que pone el foco en lo que ocurre antes de aprobar un producto o servicio.
No alcanza solamente con recibir los datos de una persona. La entidad debe contar con medidas que permitan establecer la veracidad de su identidad, validar la información suministrada y respaldar el proceso de vinculación.
Desde una perspectiva tecnológica, esto también implica pensar la identidad y la autenticación como parte de una experiencia digital integral. Una arquitectura modular permite incorporar y evolucionar capacidades de seguridad, validación e integración sin replantear toda la experiencia ante cada nueva necesidad.
La plataforma modular de iuvity cuenta con más de 400 APIs reutilizables para integrar servicios y capacidades con los sistemas existentes de la entidad y facilitar una evolución progresiva de sus procesos digitales.
|
CONTENIDO RELACIONADO Descubre cómo la modularidad y la integración pueden acelerar la evolución de la banca digital. |
La Ley 2573 también refuerza la importancia de contar con evidencia del proceso de aprobación. Si una persona denuncia una posible suplantación, la entidad deberá poder aportar la información y los documentos que utilizó para aprobar el producto o servicio.
Por eso, ya no alcanza con validar la identidad: también es importante poder reconstruir y demostrar cómo se realizó esa validación.
Ante una reclamación por posible suplantación, poder recuperar la información recibida, las verificaciones realizadas y la documentación que respaldó una aprobación adquiere relevancia tanto regulatoria como operativa.
Una experiencia digital segura no termina con la identificación o autenticación: también necesita conservar evidencia de cómo se construyó esa confianza.
La Ley 2573 también establece cómo deben actuar las entidades ante un reporte o solicitud relacionado con una posible suplantación.
Entre otras obligaciones, contempla el trámite oportuno de solicitudes y quejas, el cotejo de documentos y la entrega, a solicitud de la persona presuntamente suplantada, de la información utilizada para aprobar el producto o servicio. Para determinadas actuaciones, establece plazos de 10 días hábiles.
Por eso, prepararse frente a la Ley 2573 no es una tarea exclusiva de los equipos de tecnología o seguridad. También requiere coordinar a las áreas de riesgo, cumplimiento, legal, operaciones y experiencia del cliente, ya que la prevención y la respuesta ante una posible suplantación atraviesan distintos procesos de la entidad.
Las entidades no necesitan esperar a que se definan todos los protocolos complementarios para revisar su situación actual. iuvity estructura este análisis en cuatro frentes que permiten contrastar los compromisos existentes con la operación real, identificar brechas y establecer prioridades de evolución.
Analizar qué establecen hoy los contratos, políticas, procedimientos y acuerdos de servicio relacionados con identificación y autenticación, y detectar posibles diferencias entre lo comprometido, lo establecido en los procesos y lo que efectivamente puede demostrarse.
La identidad interviene en diferentes momentos de la experiencia: vinculación, autenticación, recuperación de credenciales, cambios de dispositivo y otras instancias que pueden modificar el nivel de confianza sobre el usuario.
Mapear esos puntos permite entender qué controles existen, cómo se relacionan y dónde pueden aparecer exposiciones.
Evaluar qué información puede recuperar hoy la entidad si necesita reconstruir el proceso que llevó a la aprobación de un producto o servicio: qué datos conserva, qué verificaciones puede demostrar y cómo se relacionan con el proceso completo.
Una vez identificadas las brechas, es posible ordenarlas según su nivel de exposición y definir qué procesos y capacidades necesitan atención prioritaria, considerando la regulación, la arquitectura y la experiencia digital existente.
Aunque algunos lineamientos complementarios todavía están en definición, la revisión del punto de partida puede comenzar hoy.
Con 25 años de experiencia en banca digital, más de 20 millones de usuarios registrados y 18.700 millones de transacciones en el último año, iuvity trabaja con entidades financieras en la evolución de experiencias digitales seguras, integradas y escalables.
Frente a la Ley 2573, nuestra consultoría de revisión contractual y análisis de brechas permite contrastar los compromisos actuales con los procesos de identidad y autenticación de la entidad, reconocer puntos de exposición y establecer una hoja de ruta para fortalecer las capacidades que lo requieran.
El análisis parte de tres preguntas:
¿Qué exige hoy tu operación? ¿Qué puedes demostrar? ¿Qué necesitas fortalecer?