Inteligencia artificial y protección de datos en Perú

Un estudio de abogados que le pide a ChatGPT que resuma un expediente. Una contadora que pega una boleta de pago en Copilot para que le explique un descuento. Un corredor de seguros que le pide a Gemini un correo para un asegurado molesto. Pasa todos los días en oficinas de Lima, Arequipa o Trujillo, y casi nunca alguien se pregunta qué dice la ley.

La respuesta corta es que en el Perú hay dos normas que mirar. La Ley 31814, la ley peruana de inteligencia artificial, con su reglamento de 2025. Y la Ley 29733, de protección de datos personales, que es la que de verdad se aplica cuando pegas en un chat el nombre, el correo o el DNI de un cliente.

Esta guía explica qué dice cada una, qué conviene revisar del proveedor de IA, qué informar en tu política de privacidad y cómo usar estas herramientas sin que los datos de tus clientes salgan de tu computadora.

¿Hay una ley de inteligencia artificial en el Perú?

Sí. La Ley 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, se publicó en El Peruano el 5 de julio de 2023. Es una ley corta y de promoción: declara de interés nacional el fomento del desarrollo y uso de la IA (artículo 2), fija principios para su desarrollo y uso, entre ellos uno de privacidad según el cual la inteligencia artificial no debe transgredir la privacidad de las personas, y encarga a la Presidencia del Consejo de Ministros (PCM), a través de la Secretaría de Gobierno y Transformación Digital, dirigir, evaluar y supervisar su uso.

Lo concreto llegó con su reglamento, aprobado por el Decreto Supremo 115-2025-PCM y publicado en El Peruano el 9 de setiembre de 2025. Según su Disposición Complementaria Final Única, entró en vigencia a los noventa días hábiles de su publicación, en enero de 2026, salvo algunas disposiciones que rigieron desde el día siguiente.

Lo que no hay en el Perú es una ley de IA que reemplace a la de datos personales. El reglamento lo dice expresamente en su artículo 26: en el desarrollo, la implementación y el uso de la IA se debe cumplir la normativa de protección de datos personales, según lo que establezca la Autoridad Nacional de Protección de Datos Personales, y las responsabilidades se determinan con el régimen sancionador de la Ley 29733.

Ley 31814 y su reglamento (D.S. 115-2025-PCM): lo esencial

El reglamento tiene treinta y seis artículos. Para una empresa privada importan sobre todo cinco ideas.

Quién es quién. El artículo 6 distingue tres papeles: el desarrollador, que diseña, programa o entrena un sistema de IA; el implementador, que integra o despliega un sistema de IA dentro de su proceso productivo u operativo; y el usuario, la persona natural que lo usa para obtener un resultado. Una empresa que incorpora un asistente de IA a su atención de clientes es implementadora; la persona que escribe en el chat es usuaria.

Qué queda fuera. El uso de la IA para fines personales no está alcanzado por el reglamento (artículo 4). El trabajo de una oficina no es un fin personal.

Principios. El artículo 7 agrega a los de la ley principios como no discriminación, supervisión humana, transparencia, rendición de cuentas y uno que nos interesa aquí: privacidad de los datos personales, que exige respetar de manera irrestricta la protección de datos en todo el ciclo de la IA, con medidas técnicas, organizativas y legales.

Clasificación por riesgo. El artículo 22 separa los usos de la IA en tres grupos: uso indebido, que está prohibido; uso de riesgo alto, permitido con condiciones; y todo lo demás, que se considera de riesgo aceptable y sólo debe cumplir la ley y el reglamento.

Obligaciones graduales. Las obligaciones del sector privado entran por plazos según el sector y el tamaño de la empresa, como vemos más abajo.

Uso indebido y riesgo alto: qué dice el reglamento

El artículo 23 considera uso indebido, y por eso prohibido, la IA destinada a:

• influir de manera engañosa o manipuladora en las decisiones de las personas, aprovechando sus vulnerabilidades;
• generar capacidad letal autónoma sin supervisión humana;
• hacer vigilancia masiva sin base legal;
• inferir datos sensibles, como el origen racial o étnico, las opiniones políticas, la afiliación sindical, las convicciones religiosas o la vida sexual, a partir de datos biométricos, o clasificar personas con resultados discriminatorios;
• hacer identificación biométrica en tiempo real en espacios públicos, salvo excepciones;
• predecir que una persona cometerá un delito a partir de su perfil.

El artículo 24 considera de riesgo alto, entre otros, los usos que determinan:

• la selección, evaluación, contratación o cese de trabajadores o postulantes;
• la evaluación crediticia de personas, salvo para detectar fraude;
• el acceso a servicios de salud, o que orientan diagnósticos o evalúan datos sensibles de historias clínicas;
• el acceso de niños, niñas y adolescentes a la educación o la evaluación de su aprendizaje.

Para la IA de riesgo alto, el desarrollador o el implementador privado debe llevar un registro actualizado de cómo funciona el sistema y qué datos usa, informar al usuario de forma previa y clara (artículo 25) y asegurar supervisión humana con personal capacitado que pueda detener, corregir o invalidar las decisiones del sistema (artículo 31). La evaluación de impacto es voluntaria para los privados, y si se hace, se documenta y se conserva tres años (artículo 32).

Si en tu oficina usas ChatGPT para redactar cartas, resumir contratos o revisar cálculos, ese uso cae casi siempre en el riesgo aceptable. Lo que no cambia es que, si en el chat van datos de clientes, se aplica la Ley 29733 de punta a punta.

Plazos del reglamento para las empresas

La Primera Disposición Complementaria Final del reglamento fija cuándo se vuelven exigibles, para el desarrollador o implementador privado, la transparencia algorítmica (artículo 25) y las obligaciones del capítulo del sector privado (artículos 31 a 33). Los plazos se cuentan desde el día siguiente de la publicación del decreto (9 de setiembre de 2025):

sector o tipo de empresa	plazo
Salud, educación, justicia, seguridad, economía y finanzas	1 año
Transporte, comercio y trabajo	2 años
Producción, agricultura, energía y minería	3 años
Demás usos	4 años
Pequeñas empresas (ventas de más de 150 y hasta 1,700 UIT)	2 años
Microempresas (ventas de hasta 150 UIT)	3 años

Para los usos de IA en salud, justicia o finanzas, el plazo de un año ya se cumplió en setiembre de 2026. Para los demás usos, el calendario da tiempo, pero las obligaciones de fondo son sencillas de adelantar: políticas y procedimientos claros sobre seguridad y privacidad, y capacitar a los trabajadores en los riesgos de la IA (artículo 31). Una forma ordenada de hacerlo es la política de uso de IA en la empresa.

Inteligencia artificial y protección de datos personales: la ley que ya se aplica

Mientras el reglamento de IA se implementa por etapas, la Ley 29733 rige completa desde hace años, y su reglamento nuevo, el Decreto Supremo 016-2024-JUS, desde marzo de 2025. Cuando alguien pega datos de clientes en un chat de IA, estos son los principios que entran en juego:

• Finalidad (artículo 6): los datos se recopilaron para una finalidad determinada y no se pueden usar para otra. El cliente te dio su DNI para el contrato, no para que lo procese un chatbot, y menos con el dígito verificador del DNI, que sirve para validar su identidad en línea.
• Proporcionalidad (artículo 7): el tratamiento tiene que ser adecuado, relevante y no excesivo. Si la IA sólo necesita el problema, mandarle el nombre, el correo y la dirección es excesivo.
• Seguridad (artículo 9) y confidencialidad (artículo 17): quien guarda los datos y quienes intervienen en su tratamiento deben protegerlos y guardar reserva.
• Nivel de protección adecuado (artículo 11): para mandar datos fuera del país hay que asegurar un nivel suficiente de protección.

La explicación completa de la ley, con los derechos y los plazos, está en Ley 29733 de protección de datos.

¿Es ilegal poner datos personales en ChatGPT?

No hay una norma peruana que diga «prohibido pegar datos en ChatGPT». Pero eso no significa que se pueda hacer sin más. Pegar los datos de un cliente en un chat es un tratamiento de datos y una entrega a otra empresa, y para que esté bien hecho tienen que cumplirse varias condiciones a la vez: que tengas una base para ese uso (consentimiento, contrato o alguna excepción del artículo 14), que no mandes más de lo necesario, que el proveedor ofrezca garantías y que el envío al extranjero esté cubierto.

En la práctica, el problema casi nunca es la herramienta sino la cuenta. Un trabajador que usa su cuenta personal y gratuita, sin que la empresa lo sepa, rompe la cadena de garantías desde el primer mensaje. El reglamento de la Ley 29733 lo anticipa en otro contexto: su artículo 46 pide que el uso de aplicaciones de mensajería, cuentas de correo o redes sociales no institucionales esté aprobado y formalmente establecido, para evitar transferencias no autorizadas de datos. El mismo razonamiento se aplica a una cuenta de IA.

Qué datos conviene no pegar nunca, y por qué, lo detallamos en qué datos no compartir con ChatGPT.

El proveedor de IA: ¿encargado o destinatario?

Cuando usas un servicio de IA con datos de clientes, la pregunta legal es qué papel cumple el proveedor. Hay dos posibilidades.

Encargado de tratamiento. Trata los datos por tu cuenta, para tu finalidad y según tus instrucciones. El reglamento de la Ley 29733 regula el tratamiento por «medios tecnológicos tercerizados», que define como servicios, aplicaciones o infraestructura donde el procesamiento es automático, sin intervención humana (artículo 28). Le pide al proveedor, entre otras cosas, garantizar confidencialidad, integridad y disponibilidad, no asumir la titularidad de los datos, permitirte limitar el tipo de tratamiento y asegurar la supresión al terminar el servicio (artículos 29 y 30). Los planes empresariales de los grandes proveedores suelen ofrecer un contrato de tratamiento de datos con compromisos de este tipo.

Un tercero que usa los datos para lo suyo. Si el servicio puede usar lo que escribes para entrenar sus modelos o para otros fines propios, ya no actúa sólo por tu cuenta. Es lo que suele pasar con las cuentas personales y gratuitas, según la configuración que tenga cada usuario.

Antes de autorizar una herramienta, conviene revisar cuatro cosas: si hay un contrato o condiciones de empresa con compromisos de tratamiento de datos; si lo que escribes se usa para entrenar modelos y si eso se puede desactivar; cuánto tiempo se conservan las conversaciones; y en qué países se procesan. Qué hace Claude con lo que escribes lo resumimos en qué hace Claude con tus datos.

Flujo transfronterizo: el servidor está fuera del Perú

Casi todos los servicios de IA generativa procesan los datos en servidores de Estados Unidos o de Europa. Para la Ley 29733, eso es un flujo transfronterizo: una transferencia a un destinatario situado en otro país (artículo 2, numeral 10).

La regla del artículo 15 es que el envío se hace a países con un nivel adecuado de protección y, si no lo tienen, quien envía debe garantizar que los datos se traten conforme a la ley peruana. El reglamento agrega que esas garantías pueden darse con cláusulas contractuales (artículo 20) y que el flujo debe ponerse en conocimiento de la Dirección de Protección de Datos Personales para su inscripción en el Registro (artículo 21.2).

La ley admite excepciones: por ejemplo, cuando el envío es necesario para ejecutar un contrato en el que el titular es parte, o cuando el titular dio su consentimiento previo, informado, expreso e inequívoco. Pero pegar un expediente en un chat para ahorrar tiempo de redacción rara vez encaja en esas excepciones. Lo más simple, y lo que menos papeleo genera, es que los datos personales no viajen.

Decisiones automatizadas: seleccionar postulantes, evaluar clientes

La Ley 29733 tiene desde 2011 una regla que hoy cobra otro sentido: el derecho al tratamiento objetivo (artículo 23). Toda persona tiene derecho a no verse sometida a una decisión con efectos jurídicos, o que la afecte de manera significativa, sustentada únicamente en un tratamiento automatizado que evalúe aspectos de su personalidad o conducta.

El reglamento de la Ley 31814 va en la misma línea: considera de riesgo alto la IA que determina la selección, contratación o cese de trabajadores, la evaluación crediticia o el acceso a servicios de salud, y pide supervisión humana real.

Para una pyme, la regla práctica es clara: la IA puede ayudarte a ordenar currículums o resumir una evaluación, pero la decisión la toma y la firma una persona, que puede explicar por qué. Cómo hacerlo sin exponer los datos de los postulantes lo vemos en IA para recursos humanos.

La Autoridad de Protección de Datos y la IA

En el Perú hay dos autoridades que miran la IA desde lados distintos.

La Secretaría de Gobierno y Transformación Digital de la PCM es la autoridad técnico-normativa de la IA. Según el reglamento, aprueba lineamientos, monitorea los usos indebidos y de riesgo alto, y cuando advierte una posible vulneración de datos personales la comunica a las autoridades competentes (artículos 8, 34 y 35). El reglamento creó además un canal digital en gob.pe para que cualquier persona alerte sobre un uso indebido de la IA (artículo 36 y Tercera Disposición Complementaria Final).

La Autoridad Nacional de Protección de Datos Personales, del Ministerio de Justicia y Derechos Humanos, es la que fiscaliza y sanciona cuando hay datos personales de por medio. El reglamento de IA la nombra como una de las entidades ante las que una persona afectada por un sistema de IA puede denunciar (artículo 36.2), junto con el Indecopi y la división policial de ciberdelincuencia.

En otras palabras: si un uso de IA expone datos de tus clientes, la conversación no será con la PCM sino con la Autoridad de Protección de Datos, y con las reglas de la Ley 29733.

Qué poner en tu política de privacidad si usas IA

La Ley 29733 exige informar al titular, antes de recoger sus datos, para qué se usarán, quiénes son o pueden ser sus destinatarios, quiénes son los encargados del tratamiento y si habrá transferencias (artículo 18). Si después de obtener el consentimiento sumas un encargado nuevo, como un proveedor de IA, debes informarlo al titular por un mecanismo personalizado.

Si tu empresa manda datos personales a un servicio de IA, la política debería decir, en lenguaje simple:

• para qué tareas usas IA y con qué datos;
• qué proveedor la presta y en qué países procesa los datos;
• si ese proveedor actúa como encargado, con qué garantías;
• cómo ejercer los derechos frente a ese tratamiento.

Si en cambio tapas los datos personales antes de que lleguen al chat, el proveedor de IA recibe un texto en el que los clientes no son identificables por esos datos, y no se convierte en destinatario de sus datos por ese uso. Es la diferencia entre explicar un envío y no tener que hacerlo. En qué se distingue tapar así de anonimizar del todo lo contamos en anonimización y disociación de datos.

Qué contestar si un cliente pregunta si usas IA

Cada vez más clientes lo preguntan, sobre todo en estudios de abogados, clínicas y estudios contables. Una respuesta honesta tiene tres partes: para qué la usas, qué datos llegan a la herramienta y quién decide al final.

Por ejemplo: «Usamos herramientas de inteligencia artificial para redactar borradores y resumir documentos. Antes de usarlas, los nombres, correos, celulares, direcciones y números de documento se reemplazan en nuestra computadora por etiquetas, de modo que el servicio de IA no recibe tus datos personales. Todo lo que te enviamos lo revisa y lo firma un profesional del equipo».

Si trabajas con un contrato de servicios, lo sano es dejarlo escrito desde el principio, con una cláusula de IA en el contrato de locación de servicios.

Un ejemplo: el correo de la corredora

Así es el texto que alguien de una corredora de seguros pegaría en un chat para que le ayude a responder:

Asegurado: Kevin Arturo Mendoza Taboada
Correo: cliente@example.com
Celular: +51 900 000 000
Dirección: Av. Inexistente 000, Lima
Tuvo un choque leve el lunes en la Javier Prado. Pregunta si su póliza cubre el taller y un auto de reemplazo mientras dure la reparación.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Asegurado: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Dirección: [DIRECCION_1]
Tuvo un choque leve el lunes en la Javier Prado. Pregunta si su póliza cubre el taller y un auto de reemplazo mientras dure la reparación.

Para redactar una respuesta sobre la cobertura de taller y auto de reemplazo, la IA no necesita saber quién es el asegurado, ni dónde vive, ni su celular. Lo que sí necesita, el tipo de siniestro y la pregunta, sigue ahí. Si el texto llevara la placa del vehículo o el DNI del asegurado, la app de Nonimo también los cambiaría por etiquetas. Lo que la corredora tiene que mirar con sus propios ojos es el resto del relato: un detalle muy particular del accidente puede bastar para reconocer a alguien. Más casos del sector en corredores de seguros.

Cómo usar IA con datos de clientes sin que salgan de tu computadora

Nonimo es una app para Windows y Mac que trabaja en tu computadora antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini. Seleccionas el fragmento, presionas la tecla que elegiste y los datos personales se cambian por etiquetas como [PERSONA_1] o [CORREO_1]. Cuando copias la respuesta y presionas la misma tecla, cada etiqueta vuelve a su valor en tu pantalla. A Nonimo no le llega tu texto.

En textos peruanos tapa los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. En el lenguaje de la Ley 29733, es una disociación reversible hecha en tu propia computadora: el proveedor de IA trabaja con etiquetas, y solo tú puedes devolver cada dato a su lugar. Más en la página de seguridad.

Para archivos, las herramientas web gratuitas tapan los datos personales, como nombres, correos, celulares o direcciones, de un PDF, un Word, un Excel, un PowerPoint o un CSV antes de que los subas a un chat.

Nonimo no reemplaza tu política de privacidad ni el contrato con tu proveedor de IA. Lo que hace es que la pregunta «¿qué datos de mis clientes recibió la IA?» tenga una respuesta corta.

IA y protección de datos según tu actividad

• Estudios de abogados. Además de la Ley 29733, pesa el secreto profesional que exige el Código de Ética del Abogado. Lo vemos en secreto profesional del abogado e IA.
• Clínicas y consultorios. La información de salud es dato sensible, la Ley General de Salud protege la reserva del acto médico, y el reglamento de IA considera de riesgo alto la IA que evalúa historias clínicas. Más en médicos y clínicas.
• Estudios contables. Boletas de pago y planillas llevan ingresos de trabajadores, que la Ley 29733 cuenta entre los datos sensibles.
• Municipalidades. Las entidades públicas tienen su propio cronograma en el reglamento de IA y obligaciones adicionales, como aprobar una política institucional de uso de IA.

Fuentes

Consultadas el 23 de octubre de 2026.

• Decreto Supremo 115-2025-PCM, aprueba el Reglamento de la Ley 31814, El Peruano, 9-set-2025. Texto en El Peruano. Disposición complementaria final única del decreto; artículos 3, 4, 6, 7, 8, 22 a 26, 31, 32, 34 a 36 y Primera Disposición Complementaria Final del reglamento.
• Ley 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, El Peruano, 5-jul-2023. Texto consolidado del Congreso. Título Preliminar y artículos 1, 2 y 4.
• Ley 29733, Ley de Protección de Datos Personales, con las modificaciones del Decreto Legislativo 1353. Texto en gob.pe. Artículos 2, 6, 7, 9, 11, 14, 15, 17, 18 y 23.
• Decreto Supremo 016-2024-JUS, Reglamento de la Ley 29733, El Peruano, 30-nov-2024. PDF en gob.pe. Artículos 20, 21, 28 a 30 y 46.

Esta guía resume normas vigentes y no reemplaza la asesoría de un abogado.