La Ley 2573 de 2026 cambió las reglas para cualquier organización que verifique personas antes de aprobar un producto o servicio. Es una ley estatutaria pensada para proteger a las víctimas de suplantación de identidad frente a cobros, obligaciones y reportes negativos originados en fraude, y para eso traslada una responsabilidad clara hacia las empresas: verificar la identidad de forma confiable y poder demostrarlo con evidencia. En esta guía pilar te explicamos qué es la ley, a quién obliga, qué exige realmente y cómo se conecta con la firma electrónica y la verificación de identidad del firmante.
¿Qué es la Ley Estatutaria 2573 de 2026?
La Ley 2573 de 2026 fue publicada en el Diario Oficial No. 53496 del 20 de mayo de 2026. Al ser una ley estatutaria, toca derechos fundamentales, en particular la protección frente a la suplantación de identidad y el buen nombre de quien es víctima de un fraude. Su entrada en vigencia es escalonada: parte de sus disposiciones rigen desde la promulgación y el régimen general aplica meses después, lo que da a las empresas un plazo para ajustar sus procesos.
El objetivo de la norma es directo: cuando una persona es suplantada, no debería cargar ella con la deuda, el cobro ni el reporte negativo derivado del fraude. Para lograrlo, la ley exige a las organizaciones fortalecer la verificación de identidad, atender con rapidez los reportes de presunta suplantación y demostrar cómo validaron a sus usuarios. Se apoya, además, en el marco de protección de datos personales de la Ley 1581 de 2012 y del régimen de habeas data financiero de la Ley 1266 de 2008.
¿A quién obliga la Ley 2573 de 2026?
La ley menciona de forma expresa a tres grupos de sujetos obligados:
- Operadores de telecomunicaciones, que vinculan usuarios y activan líneas y servicios.
- Entidades financieras y crediticias, incluidas las fintech, que abren cuentas, otorgan crédito o aprueban productos.
- Establecimientos comerciales con capacidad de ofrecer o financiar productos y servicios que generen obligaciones.
El común denominador es claro: se trata de organizaciones que tratan datos personales y aprueban productos o servicios en nombre o a favor de terceros. Por eso el estándar de cuidado que introduce la ley alcanza, en la práctica, a más actores de los que aparecen en el listado. Una inmobiliaria o arrendadora que estudia y aprueba a un candidato a arrendatario, o un comercio que financia una compra, verifica identidad y toma decisiones con base en ella; ese proceso también debe ser confiable y quedar respaldado con evidencia.
¿Qué exige exactamente la ley?
Más allá de la letra, la Ley 2573 de 2026 impone tres obligaciones prácticas a las empresas:
- Verificar la identidad de forma confiable. Ya no basta con recibir un dato o una foto sin validación; el mecanismo debe permitir sostener, con razonabilidad técnica, que la persona es quien dice ser.
- Atender oportunamente los reportes de presunta suplantación. Cuando alguien alega que fue suplantado, la organización debe tener un canal y un procedimiento para responder a tiempo.
- Demostrar los procesos de validación realizados. La empresa debe poder mostrar, con evidencia verificable y trazable, cómo verificó a la persona y cómo protegió tanto al negocio como al consumidor frente al fraude.
Ese último punto es el que conecta la ley con la tecnología de firma: la evidencia no se improvisa después del reclamo, se construye en el momento de la operación. La siguiente tabla resume qué pide la ley y cómo lo cubre una plataforma de firma electrónica con verificación de identidad como FirmaRaíz.
| Qué exige la Ley 2573 de 2026 | Cómo lo cubre FirmaRaíz |
|---|---|
| Verificar la identidad de forma confiable | Verificación del firmante con OTP (código al celular), biometría con selfie y validación de documento de identidad |
| Conservar evidencia verificable de la operación | Audit trail con evidencia forense: dirección IP, dispositivo o user agent, sello de tiempo y hash SHA-256 del documento |
| Demostrar el proceso ante un tercero o un juez | Certificado de trazabilidad descargable, que reconstruye quién firmó, cuándo, desde dónde y con qué mecanismo |
| Proteger los datos personales tratados | Tratamiento conforme a la Ley 1581 de 2012, con custodia cifrada de la información |
La carga de la prueba se inclina hacia la empresa
Uno de los cambios de fondo de la Ley 2573 es que aligera el peso probatorio de la persona víctima de fraude y refuerza una carga dinámica de la prueba: quien está en mejor posición para demostrar algo debe hacerlo. Ese principio, coherente con el Código General del Proceso, significa que la organización debe estar lista para probar que verificó la identidad de manera adecuada.
Dicho de otro modo, la evidencia deja de ser un extra y pasa a ser tu mejor defensa. Si no puedes mostrar cómo validaste a la persona, quedas en una posición débil frente a un reclamo por suplantación. Si sí puedes hacerlo, con un rastro completo y verificable, proteges a tu negocio y al consumidor al mismo tiempo.
Cómo se conecta con la firma electrónica y la verificación de identidad
La firma electrónica en Colombia ya descansa en un marco sólido: la Ley 527 de 1999 otorga validez jurídica y eficacia probatoria a los mensajes de datos, y el Decreto 2364 de 2012 precisa cuándo una firma electrónica se considera confiable. Si quieres profundizar en ese fundamento, revisa nuestra guía sobre la validez legal de la firma electrónica y la Ley 527.
La Ley 2573 de 2026 se apoya en ese mismo terreno pero sube el listón en un punto concreto: la identidad del firmante y la evidencia que la respalda. Ya no alcanza con que un documento esté firmado; hay que poder demostrar que quien firmó era realmente esa persona. Por eso la elección del mecanismo importa, y entender la diferencia entre una firma electrónica y una firma con certificado ayuda a decidir bien; lo explicamos en firma electrónica vs firma digital.
Cómo FirmaRaíz te ayuda a cumplir
FirmaRaíz está construida para que la verificación y la evidencia queden integradas en cada firma, no como un trámite aparte:
- Verificación de identidad del firmante: puedes exigir OTP por celular, biometría con selfie y validación del documento de identidad, según el riesgo de la operación.
- Audit trail con evidencia forense: cada firma registra dirección IP, dispositivo o user agent, sello de tiempo y el hash SHA-256 que garantiza la integridad del documento.
- Certificado de trazabilidad descargable: un documento que reconstruye todo el proceso y que puedes presentar ante un cliente, una autoridad o un juez.
Puedes conocer en detalle nuestras medidas técnicas en la página de seguridad, validar la autenticidad de cualquier documento firmado en verificación de documentos y resolver dudas puntuales en el centro de ayuda.
Preguntas frecuentes
¿Desde cuándo aplica la Ley 2573 de 2026?
Fue publicada en el Diario Oficial No. 53496 del 20 de mayo de 2026, con entrada en vigencia escalonada: parte rige desde la promulgación y su régimen general aplica seis meses después. Lo prudente es ajustar los procesos de verificación cuanto antes.
¿A qué empresas obliga la Ley 2573 de 2026?
De forma expresa, a operadores de telecomunicaciones, entidades financieras y crediticias, y establecimientos comerciales que financian u ofrecen productos que generan obligaciones. En la práctica, alcanza a toda organización que trate datos personales y apruebe productos o servicios en nombre de terceros.
¿Qué evidencia debo conservar para demostrar que verifiqué la identidad?
Un rastro de auditoría verificable: momento de la firma, dirección IP, dispositivo o user agent, el mecanismo de verificación usado y un hash que garantice la integridad del documento. Ese conjunto con trazabilidad es lo que demuestra cómo validaste la identidad.
¿La Ley 2573 cambia quién debe probar el fraude?
Sí. Refuerza la protección de datos y una carga dinámica de la prueba, de modo que la empresa en mejor posición debe demostrar sus procesos de validación. Contar con evidencia forense y trazable pasa a ser lo que respalda tu posición ante un reclamo.
La Ley 2573 de 2026 no es solo una obligación más: es la oportunidad de demostrar que tu empresa verifica bien y guarda evidencia sólida. Con FirmaRaíz puedes firmar con verificación de identidad y trazabilidad desde el primer documento. Crea tu cuenta y pruébalo gratis hoy mismo.
