En este artículo encontrarás:
La verificación de identidad es el proceso por el cual una empresa confirma que una persona es quien dice ser; ante la entrada en vigor de la Ley 2573, las organizaciones deben transformar ese requisito en controles operativos, técnicos y de gobernanza para reducir riesgos legales y reputacionales en Colombia. Este artículo explica qué exige la norma, cuáles son los riesgos más probables y qué pasos concretos debe seguir un equipo legal y de cumplimiento para pasar del riesgo a la acción, incluyendo la invitación a nuestro webinar sobre el tema.
¿Qué exige la Ley 2573 y por qué afecta a los procesos de verificación de identidad?
La Ley 2573 pone el foco en protección del consumidor, transparencia y obligaciones sobre manejo de datos personales, lo que obliga a las empresas a revisar sus flujos de verificación de identidad y resolución de incidentes. En la práctica, esto significa documentar los criterios de aceptación de identidad, garantizar trazabilidad de decisiones automatizadas y establecer canales claros para la atención de quejas y reclamaciones ante la Superintendencia Financiera. Para cumplir, las áreas de riesgos, legal y tecnología deben coordinar reglas de negocio que integren autenticación, conservación de evidencia y protocolos de remediación.
¿Cuáles son los principales riesgos si una empresa no adapta su verificación de identidad?
El riesgo principal es la exposición a sanciones regulatorias y pérdida de confianza del usuario, pero también existen riesgos operativos: suplantación, fraude y errores de bloqueo de clientes legítimos. La Ley 2573 exige transparencia en los procesos en línea y protección de datos personales; no disponer de registros de prueba de verificación o de un proceso claro de resolución de conflictos puede derivar en investigaciones regulatorias y contingencias legales. Además, los programas de cumplimiento deben considerar SARLAFT y requisitos internos de conocimiento del cliente (KYC) para mitigar lavado de activos y financiación del terrorismo.
¿Qué controles técnicos y de datos son imprescindibles para la verificación de identidad?
Implementar controles técnicos robustos implica combinar varias capas: captura y validación documental, biometría de presentación (prueba de vida), verificación de datos en fuentes confiables y sistemas de detección de fraude en tiempo real. Por ejemplo, la integración de soluciones de biometría y prueba de vida con motores de inteligencia antifraude ayuda a reducir intentos de suplantación y a conservar evidencia técnica que soporte decisiones de rechazo o aprobación. Es esencial aplicar políticas de retención de evidencia y cifrado de datos que cumplan con la normativa de protección de datos colombiana.
¿Cómo deben registrarse y conservarse las evidencias de verificación?
La evidencia debe incluir copia controlada del documento de identidad (OCR en cédula de ciudadanía con hash), registros de la sesión biométrica y metadatos de la transacción (IP, timestamps, versión del SDK). Estos elementos permiten reconstruir el proceso durante una auditoría o un reclamo. Los criterios de retención y acceso deben estar claramente definidos en la política interna de tratamiento de datos y alineados con los plazos legales aplicables.
¿Cómo integrar la verificación de identidad en los procesos de debida diligencia y SARLAFT?
La verificación de identidad debe ser parte integral del onboarding y de la debida diligencia continua: establecer niveles de riesgo y controles proporcionales es la mejor práctica. Un flujo pragmático contempla verificación básica para onboarding digital, verificación reforzada para clientes de riesgo medio/alto (incluyendo listas OFAC y comprobación de personas expuestas políticamente) y monitoreo transaccional para detectar patrones inusuales. Es importante que las listas sancionatorias y los criterios PEP estén actualizados y que los procesos incluyan escalamiento a analistas humanos cuando los modelos automáticos no alcanzan certeza suficiente.
¿Qué medidas organizativas y legales deben implementarse para cumplir con la Ley 2573?
Las medidas organizativas imprescindibles son: políticas y procedimientos documentados de verificación de identidad; responsables claros (CISO, oficial de cumplimiento, equipo legal); canales de atención y resolución de quejas; y capacitación continua para equipos operativos y comerciales. Legalmente, las empresas deben revisar sus avisos de privacidad, contratos con proveedores de verificación y cláusulas de tratamiento de datos para asegurar obligaciones de confidencialidad, subcontratación y respuesta ante incidentes. Además, se recomienda integrar acuerdos de procesamiento de datos con proveedores que permitan auditorías y eliminación de datos cuando lo solicite el titular.
¿Cómo se mide la efectividad de un programa de verificación de identidad?
La efectividad se puede medir con indicadores como tasa de fraude detectado, tasa de rechazo falso (clientes legítimos rechazados), tiempo medio de verificación y porcentaje de casos escalados a revisión humana. Estos indicadores deben evaluarse por segmento de riesgo y canal (web, móvil, presencial) para identificar puntos de fricción que afecten la experiencia del cliente y ajustar umbrales de decisión. Complementar análisis cuantitativos con auditorías cualitativas mejora la gobernanza del programa y facilita reportes ante la Superintendencia Financiera.
Invitación al webinar: “La Ley 2573: del riesgo a la acción”
Participe en nuestro encuentro virtual para profundizar en obligaciones prácticas, responsabilidades y casos de implementación: Martes, 10 de Noviembre, 2026, 11:00 AM (Hora Colombia). En el webinar discutiremos escenarios concretos de verificación de identidad, integración técnica y gobernanza, y responderemos preguntas de abogados y líderes de riesgo.
Regístrese aquí para asegurar su lugar
Recomendaciones prácticas inmediatas (plan de acción en 5 pasos)
- Diagnóstico rápido: mapear flujos actuales de onboarding y puntos donde se realiza la verificación de identidad, identificando brechas de evidencia y trazabilidad.
- Priorizar controles críticos: habilitar captura documental con OCR y hash, implementar pruebas de vida biométrica y activar detección de fraude en tiempo real.
- Actualizar gobernanza: definir responsables, protocolos de escalamiento y plazos SLA para resolución de reclamos.
- Reforzar contratos: auditar acuerdos con proveedores para asegurar subprocesamiento conforme a la ley y capacidad de auditoría.
- Medir y calibrar: establecer KPIs operativos y de fraude, con revisiones periódicas y una política de mejora continua.
Para facilitar la implementación técnica, considere complementar la captura documental con soluciones de validación de documentos y combinarla con herramientas de inteligencia antifraude y TruFace para validar patrones y anomalías en tiempo real.
Preguntas frecuentes
¿La verificación de identidad exige conservar todos los datos personales indefinidamente?
No; la conservación debe estar justificada por la finalidad y su período definido en la política de tratamiento. Las empresas deben establecer plazos claros y procedimientos para eliminación segura cuando cese la necesidad.
¿Basta con verificación documental para cumplir la Ley 2573?
La verificación documental es necesaria pero no siempre suficiente; la ley y las mejores prácticas exigen transparencia en el proceso, medidas de protección de datos y protocolos para resolución de conflictos. En muchos casos se requiere evidencia adicional como prueba de vida o correlación con fuentes confiables.
¿Cómo integrar listas OFAC y controles PEP en el flujo de verificación?
Las listas sancionatorias y la identificación de personas expuestas políticamente deben consultarse en el onboarding y actualizarse periódicamente. Los resultados con coincidencias deben escalarse a un proceso de revisión humana y registrarse con razones y documentación de la decisión.
¿Qué primeros pasos recomiendan para equipos legales y de cumplimiento?
Realizar un diagnóstico de riesgos y flujos, priorizar controles críticos (documental, biometría, detección de fraude), actualizar políticas y contratos, y programar el monitoreo de KPIs para validar la efectividad del programa.
Llena el formulario a continuación y te ayudamos con eso:
