Para una entidad financiera, un caso de suplantación no empieza cuando llega una reclamación. Empieza mucho antes: cuando alguien solicita un producto, presenta una identidad y atraviesa un proceso de validación que, meses después, puede convertirse en la principal evidencia para determinar qué ocurrió.
La Ley Estatutaria 2573 de 2026, promulgada el 19 de mayo y con vigencia plena desde noviembre de 2026, cambia las reglas para operadores de telecomunicaciones, entidades financieras y/o crediticias, y comercios que otorgan crédito. El motivo es claro: solo en 2025, la Policía Nacional recibió más de 62.000 denuncias por delitos informáticos de suplantación, en un país donde el 82% de las transacciones bancarias ya ocurre en canales digitales.
Para las entidades financieras y/o crediticias, esto pone una pregunta sobre la mesa: ¿qué tan preparada está tu organización para demostrar cómo verificó la identidad de una persona?
La respuesta no está únicamente en tener un proceso de KYC. Está en poder reconstruirlo, demostrarlo y entregar la información correspondiente cuando sea necesario.
La Ley 2573 establece medidas para proteger a las personas frente a situaciones de suplantación de identidad y sus consecuencias sobre reportes de información y obligaciones que la persona afirma no haber adquirido. Mientras se resuelve el reclamo, la entidad debe además suspender el cobro de esa obligación.
La norma contempla diferentes modalidades de suplantación, incluyendo el uso ilícito de documentos o datos personales y determinadas formas de suplantación mediante medios electrónicos. Para las entidades financieras y/o crediticias, uno de los cambios más relevantes está en la carga dinámica de la prueba.
La ley establece que debe probar quien esté en mejores condiciones de hacerlo. En materia de suplantación, señala específicamente que los operadores de telecomunicaciones y las entidades financieras y/o crediticias deberán entregar la información y documentos que recibieron para aprobar el bien o servicio.
Esto cambia la conversación. Ya no se trata solamente de preguntar "¿validamos la identidad?". La pregunta pasa a ser: "¿podemos demostrar qué hicimos para validarla?"
En la práctica, una entidad necesita capacidad para reconstruir el proceso de vinculación o aprobación de un producto. Cada validación genera información. Cada interacción puede convertirse en evidencia. Y cada pieza debería poder relacionarse con el proceso que llevó a la aprobación.
La verificación de identidad suele verse como una etapa del onboarding. Sin embargo, para una entidad financiera, puede convertirse también en una fuente crítica de evidencia. La diferencia está entre hacer una validación y conservar la trazabilidad de esa validación y esa diferencia puede ser determinante cuando aparece una suplantación.