La verificación de identidad es el proceso por el cual una empresa confirma que una persona es quien dice ser; ante la entrada en vigor de la Ley 2573, las organizaciones deben transformar ese requisito en controles operativos, técnicos y de gobernanza para reducir riesgos legales y reputacionales en Colombia. Este artículo explica qué exige la norma, cuáles son los riesgos más probables y qué pasos concretos debe seguir un equipo legal y de cumplimiento para pasar del riesgo a la acción, incluyendo la invitación a nuestro webinar sobre el tema.
La Ley 2573 pone el foco en protección del consumidor, transparencia y obligaciones sobre manejo de datos personales, lo que obliga a las empresas a revisar sus flujos de verificación de identidad y resolución de incidentes. En la práctica, esto significa documentar los criterios de aceptación de identidad, garantizar trazabilidad de decisiones automatizadas y establecer canales claros para la atención de quejas y reclamaciones ante la Superintendencia Financiera. Para cumplir, las áreas de riesgos, legal y tecnología deben coordinar reglas de negocio que integren autenticación, conservación de evidencia y protocolos de remediación.
El riesgo principal es la exposición a sanciones regulatorias y pérdida de confianza del usuario, pero también existen riesgos operativos: suplantación, fraude y errores de bloqueo de clientes legítimos. La Ley 2573 exige transparencia en los procesos en línea y protección de datos personales; no disponer de registros de prueba de verificación o de un proceso claro de resolución de conflictos puede derivar en investigaciones regulatorias y contingencias legales. Además, los programas de cumplimiento deben considerar SARLAFT y requisitos internos de conocimiento del cliente (KYC) para mitigar lavado de activos y financiación del terrorismo.
Implementar controles técnicos robustos implica combinar varias capas: captura y validación documental, biometría de presentación (prueba de vida), verificación de datos en fuentes confiables y sistemas de detección de fraude en tiempo real. Por ejemplo, la integración de soluciones de biometría y prueba de vida con motores de inteligencia antifraude ayuda a reducir intentos de suplantación y a conservar evidencia técnica que soporte decisiones de rechazo o aprobación. Es esencial aplicar políticas de retención de evidencia y cifrado de datos que cumplan con la normativa de protección de datos colombiana.
La evidencia debe incluir copia controlada del documento de identidad (OCR en cédula de ciudadanía con hash), registros de la sesión biométrica y metadatos de la transacción (IP, timestamps, versión del SDK). Estos elementos permiten reconstruir el proceso durante una auditoría o un reclamo. Los criterios de retención y acceso deben estar claramente definidos en la política interna de tratamiento de datos y alineados con los plazos legales aplicables.
La verificación de identidad debe ser parte integral del onboarding y de la debida diligencia continua: establecer niveles de riesgo y controles proporcionales es la mejor práctica. Un flujo pragmático contempla verificación básica para onboarding digital, verificación reforzada para clientes de riesgo medio/alto (incluyendo listas OFAC y comprobación de personas expuestas políticamente) y monitoreo transaccional para detectar patrones inusuales. Es importante que las listas sancionatorias y los criterios PEP estén actualizados y que los procesos incluyan escalamiento a analistas humanos cuando los modelos automáticos no alcanzan certeza suficiente.
Las medidas organizativas imprescindibles son: políticas y procedimientos documentados de verificación de identidad; responsables claros (CISO, oficial de cumplimiento, equipo legal); canales de atención y resolución de quejas; y capacitación continua para equipos operativos y comerciales. Legalmente, las empresas deben revisar sus avisos de privacidad, contratos con proveedores de verificación y cláusulas de tratamiento de datos para asegurar obligaciones de confidencialidad, subcontratación y respuesta ante incidentes. Además, se recomienda integrar acuerdos de procesamiento de datos con proveedores que permitan auditorías y eliminación de datos cuando lo solicite el titular.
La efectividad se puede medir con indicadores como tasa de fraude detectado, tasa de rechazo falso (clientes legítimos rechazados), tiempo medio de verificación y porcentaje de casos escalados a revisión humana. Estos indicadores deben evaluarse por segmento de riesgo y canal (web, móvil, presencial) para identificar puntos de fricción que afecten la experiencia del cliente y ajustar umbrales de decisión. Complementar análisis cuantitativos con auditorías cualitativas mejora la gobernanza del programa y facilita reportes ante la Superintendencia Financiera.
Participe en nuestro encuentro virtual para profundizar en obligaciones prácticas, responsabilidades y casos de implementación: Martes, 10 de Noviembre, 2026, 11:00 AM (Hora Colombia). En el webinar discutiremos escenarios concretos de verificación de identidad, integración técnica y gobernanza, y responderemos preguntas de abogados y líderes de riesgo.
Regístrese aquí para asegurar su lugar
Para facilitar la implementación técnica, considere complementar la captura documental con soluciones de validación de documentos y combinarla con herramientas de inteligencia antifraude y TruFace para validar patrones y anomalías en tiempo real.
No; la conservación debe estar justificada por la finalidad y su período definido en la política de tratamiento. Las empresas deben establecer plazos claros y procedimientos para eliminación segura cuando cese la necesidad.
La verificación documental es necesaria pero no siempre suficiente; la ley y las mejores prácticas exigen transparencia en el proceso, medidas de protección de datos y protocolos para resolución de conflictos. En muchos casos se requiere evidencia adicional como prueba de vida o correlación con fuentes confiables.
Las listas sancionatorias y la identificación de personas expuestas políticamente deben consultarse en el onboarding y actualizarse periódicamente. Los resultados con coincidencias deben escalarse a un proceso de revisión humana y registrarse con razones y documentación de la decisión.
Realizar un diagnóstico de riesgos y flujos, priorizar controles críticos (documental, biometría, detección de fraude), actualizar políticas y contratos, y programar el monitoreo de KPIs para validar la efectividad del programa.