Ley de deepfakes en Colombia: qué cambia en julio de 2026 (y qué respaldo te da si te atacan)
En julio empiezan a aplicarse las sanciones de la Ley 2502, la norma con la que Colombia metió por primera vez la inteligencia artificial dentro del Código Penal. Se aprobó en julio de 2025, pero dejó un año de transición. Ese año se acaba ahora.
La leímos con calma porque varios clientes empezaron a preguntar por ella, casi siempre con la pregunta equivocada. Quieren saber si la ley los protege. La respuesta corta es que sí, pero no de la forma en que esperan, y desde luego no lo suficiente. Una ley penal es un castigo después del hecho. El dinero que ya salió de la cuenta no vuelve porque exista un agravante en el artículo 296.
Aclarado eso, vale la pena entender qué dice la norma de verdad, porque hay bastante ruido alrededor.
Qué dice la Ley 2502
No creó un delito nuevo. Modificó el artículo 296 del Código Penal —el de la falsedad personal, hacerse pasar por otro— para agregarle un agravante: cuando la suplantación se comete con inteligencia artificial, la sanción puede aumentar hasta en una tercera parte. La ley además define términos que antes no estaban en el Código, como deepfake e identidad digital. Eso es todo, y es menos de lo que muchos titulares dieron a entender. No es una “ley de IA” integral, no regula el uso de la tecnología, no obliga a las empresas a hacer nada. Es un agravante penal, puntual, sobre un delito que ya existía.Si te atacan, ¿qué respaldo legal tienes ahora?
Esta es la parte que de verdad le sirve a una empresa, y donde la mayoría de los resúmenes se equivocan al tirar una cifra de cárcel como si fuera fija. Si alguien usa una voz o un video clonado para estafar a tu compañía, lo que tienes a favor es más de lo que parece. La suplantación ya era delito; con la 2502, hacerlo con IA agrava la falsedad personal hasta en un tercio. Pero ese agravante casi nunca es lo que más pesa a tu favor. El artículo 296 trae una frase clave: “siempre que la conducta no constituya otro delito”. Y contra una empresa casi siempre constituye otro. Nadie clona una voz por deporte. Lo hacen para sacarte plata, desviar un pago a un proveedor, extorsionar. Cada uno de esos fines es un delito por su cuenta —estafa, fraude informático, extorsión— y normalmente con penas mayores que la falsedad personal. Eso juega a tu favor: el responsable no responde solo por el agravante del 296, responde por el delito de fondo, que es el que tiene dientes, con la IA encima como circunstancia que lo empeora. Por eso, cuando alguien te pregunte “¿cuántos años le caen?”, la respuesta honesta es: depende de qué te hicieron. La diferencia entre una multa y varios años de prisión está en el delito que se cometió usando el deepfake, y eso lo valora un juez caso por caso. Si tu empresa llega a estar en esa situación, esa es una consulta con un penalista, no un párrafo de blog. Tienes además un segundo frente que muchos olvidan: el civil. El rostro y la voz son datos biométricos, amparados por el derecho a la imagen y por el Habeas Data. Puedes ir por la vía penal y, en paralelo, demandar por los daños. Dos caminos, no uno. Y la propia ley obliga ahora a la Fiscalía y a la Policía a capacitarse para investigar este tipo de pruebas digitales —que era, hasta hace nada, uno de los grandes vacíos cuando una empresa intentaba denunciar.Lo que la ley no toca
Conviene decirlo porque genera confusión real: la 2502 no persigue memes, parodias ni contenido artístico, mientras no haya daño, fraude o usurpación de derechos. El video editado del político no es el blanco. Lo que se castiga es engañar para hacer daño o sacar provecho. La frontera no la marca la herramienta sino la intención —y eso, en la práctica, va a dar mucho trabajo a los jueces, porque la intención es lo más difícil de probar.
Por qué esto le importa a tu empresa
Hasta acá es un tema de abogados. Lo que lo vuelve un tema tuyo es otra cosa.
El fraude es el incidente más común en Colombia, por mucho. Los datos de ColCERT del último corte ponen cerca del 80% de los incidentes en esa categoría, con el phishing y la suplantación arriba. No es un riesgo exótico; es el riesgo, el más frecuente, y la voz clonada solo lo hace más creíble.
Y lo que vemos en campo es que el hueco casi nunca es técnico. Cuando entramos a revisar una empresa, el firewall suele estar, el antivirus suele estar. Lo que falta es un proceso: cómo se aprueba una transferencia, quién confirma un cambio de cuenta de un proveedor, qué se hace cuando “el gerente” llama de afán un viernes a las cinco. Ese vacío de procedimiento es por donde entra el fraude, con o sin IA. La IA solo bajó el costo de explotarlo.
El mito más extendido —y el más caro— es creer que esto le pasa solo a las grandes. Es al revés. Una empresa de cincuenta personas, con un único aprobador de pagos y sin nadie que valide nada, es un objetivo más cómodo que un banco con tres capas de control. El atacante automatizado no discrimina por tamaño; va por el que tenga la puerta entornada.
Qué hacer, en concreto
No hace falta presupuesto grande. Hace falta decisión, que suele ser más escasa que la plata. Lo que de verdad mueve la aguja:
Una palabra clave verbal para confirmar operaciones sensibles. Si “el gerente” pide una transferencia urgente por teléfono y no la sabe, no es el gerente. Es ridículamente simple y frena en seco la voz clonada.
Doble confirmación por un canal distinto para pagos grandes y cambios de cuentas de proveedores. Una llamada se valida por otro medio y, si se puede, con una segunda persona. Nunca una sola orden, un solo canal.
Y lo más difícil de todo, que no es técnico: quitarle a la gente el miedo a cuestionar al jefe. El fraude del CEO funciona porque nadie quiere ser el que duda de una orden de arriba. Mientras verificar se sienta como una insolencia, el hueco sigue abierto. Eso se cambia desde la gerencia, no desde el área de TI.
Por encima de las charlas, sirve simular el ataque. Una cosa es que a alguien le expliquen el fraude del CEO en una presentación y otra muy distinta es que le llegue la llamada en un ejercicio controlado y vea, con vergüenza sana, que habría caído. Eso enseña más que diez diapositivas.
En resumen
La Ley 2502 es un paso correcto y pone a Colombia adelante de buena parte de la región. Pero hay que verla como lo que es: disuasión, no escudo. Llega después del daño y, francamente, está calibrada más para la suplantación personal que para el fraude corporativo sofisticado.
Tu protección real no está en el Código Penal. Está en el procedimiento que tu equipo sigue cuando suena el teléfono y la voz del otro lado se parece demasiado a la de tu jefe.
Si quieres ver cómo reacciona tu equipo ante un intento real de ataque —antes de que el intento sea de verdad— escríbenos.
En TI RESCUE trabajamos esa parte: concienciación con casos reales, simulaciones de ingeniería social y fraude del CEO vía Red Team, y monitoreo desde nuestro SOC 24/7.Temas que podrían interesarte:
Como mínimo una vez al año y después de cualquier cambio importante en tu infraestructura. Pero la pregunta de fondo ya no es "cada cuánto", sino "qué hago los otros 364 días". Ahí entra el monitoreo continuo.
No. CTEM es el programa continuo; el pentest es la validación profunda dentro de ese programa. Se complementan.
Sirve, y arguably más. Las pymes suelen ser el objetivo preferido de los ataques automatizados precisamente porque asumen que "a mí no me va a pasar". Empezar por mapear lo expuesto y cerrar lo básico cuesta poco y evita la mayoría de los incidentes.
Suscríbete a Nuestro Blog: Mantente actualizado con las últimas noticias y consejos en ciberseguridad. Suscríbete ahora.
