Este artículo es parte de una serie sobre la Ley 2573 de 2026 y lo que implica para las entidades financieras y crediticias en Colombia. Aquí exploramos qué es la carga dinámica de la prueba y qué debe poder demostrar una entidad ante un caso de suplantación. En el resto de la serie revisamos qué cambia con la ley y cómo construir un expediente digital auditable.
Una persona recibe una notificación de una deuda que dice no haber adquirido. Reclama: fue víctima de suplantación. Y entonces aparece la pregunta que puede cambiar completamente el caso: ¿qué ocurrió realmente cuando se aprobó ese producto?
Para responderla, una entidad no puede depender únicamente de recordar lo que sucedió. Necesita contar con información que permita reconstruir el proceso. Aquí entra uno de los conceptos relevantes de la Ley 2573 de 2026: la carga dinámica de la prueba.
La Ley 2573 de 2026 establece que la obligación de probar recae sobre quien esté en mejores condiciones de hacerlo. Y específicamente, frente a casos de suplantación, establece que las entidades financieras y/o crediticias deberán entregar la información y documentos que recibieron para realizar la aprobación del bien o servicio. En la práctica, la ley le quita a la víctima el peso de demostrar el fraude y se lo traslada a la empresa.
Escenario A: la entidad dice "tenemos un proceso de validación", pero no puede reconstruir con precisión qué pasó durante el onboarding.
Escenario B: la entidad reconstruye la secuencia completa — documento → validación → resultado → biometría → resultado → datos de contacto → fecha y hora → aprobación.
Esa trazabilidad es lo que separa a las dos entidades: convierte los datos del onboarding en algo más que información operativa. Los convierte en evidencia del proceso.
La aprobación de un producto es, al final, el resultado de un proceso. Poder reconstruir ese proceso es lo que permite entender qué información estaba disponible en el momento en que se tomó la decisión.
Este es el cambio de mentalidad más importante: cuando aparece la reclamación, ya es tarde para decidir qué evidencia habría sido útil. Por eso el onboarding tiene una segunda función además de prevenir fraude: dejar una trazabilidad verificable de cada decisión.
El reto suele ser técnico, no conceptual: el documento vive en un sistema, la biometría en otro, los datos de contacto en otro. Cuando llega un reclamo, alguien tiene que unir todo bajo presión y con plazos.
Por eso la pregunta que hoy deberían hacerse los equipos de riesgo no es "¿tenemos KYC?". Es: "si mañana un cliente dice que fue suplantado, ¿podemos reconstruir exactamente cómo validamos su identidad?"
La prevención sigue siendo fundamental. Pero en un entorno donde la identidad digital tiene cada vez más peso, también importa la capacidad de explicar qué sucedió después.
Verificar es el primer paso. Poder demostrarlo es el siguiente.