Ley 2573 de 2026: verificación de identidad contra la suplantación

Si tu empresa vende a crédito, presta servicios de telecomunicaciones o abre productos financieros en Colombia, la Ley 2573 de 2026 te pide verificar la identidad de tus clientes con medidas “suficientes y razonables” y responder rápido cuando alguien denuncia una suplantación. Esta guía resume qué dice el texto oficial, qué falta por reglamentar y cómo armar un flujo de verificación por API que deje evidencia.

Qué es la Ley 2573 de 2026 y a quién aplica

La Ley Estatutaria 2573 de 2026 se expidió el 19 de mayo de 2026 y se publicó en el Diario Oficial No. 53.496 del 20 de mayo de 2026. Su objeto es proteger a las personas cuya identidad fue suplantada frente a reportes negativos en centrales de riesgo y frente a cobros de obligaciones que no adquirieron.

La ley se dirige a 3 tipos de empresas que entregan bienes o servicios, de forma física o por medios electrónicos:

• Operadores de telecomunicaciones.
• Entidades financieras y/o crediticias.
• Demás establecimientos comerciales “con esta competencia”.

Según su artículo 13, la ley entra en vigencia dentro de los 6 meses siguientes a su promulgación. La excepción son los parágrafos 1 y 2 del artículo 5 (protocolos y consecuencias de incumplirlos), que rigen desde la promulgación.

Qué exige la ley en verificación de identidad

El artículo 5 lista 10 deberes para las empresas. Los que más impactan el onboarding son estos:

1. Numeral 1: adoptar “las medidas de seguridad digital suficientes y razonables necesarias para establecer la veracidad de la identidad de las personas y los documentos presentados”.
2. Numeral 3: adoptar mecanismos suficientes y razonables para validar la información que suministran los clientes, bajo el principio de buena fe.
3. Numeral 4: atender las reclamaciones dentro de los 10 días hábiles siguientes, conforme a la Ley 2157 de 2021.
4. Numeral 5: suspender de inmediato los bienes o servicios cuando se reporta la suplantación.
5. Numeral 7: entregar a la persona copia de los documentos aportados para adquirir el producto; según la ley, esa entrega no se puede negar.

Otros artículos completan el cuadro:

• Carga dinámica de la prueba (art. 2, literal d): en casos de suplantación, telcos y entidades financieras o crediticias deben entregar la información y los documentos que recibieron para aprobar el bien o servicio. El normograma marca este literal como condicionalmente constitucional.
• Prueba de validación de identidad (art. 6, numeral 5): la persona que denuncia la suplantación debe realizar la prueba que establezca la empresa ante la que reportó el caso.
• Cotejo en 10 días hábiles (art. 7): la fuente debe cotejar, dentro de los 10 días hábiles siguientes a la solicitud, los documentos usados para adquirir la obligación con los que aporta el titular, y pedir la modificación del dato negativo con la leyenda “Víctima de Falsedad Personal”. Esa marca no puede contar como dato negativo y se usa solo para una “verificación intensificada de la identidad”.
• Plazo de respuesta (art. 7, numeral 8): las solicitudes se resuelven en 15 días hábiles, prorrogables 8 días más; si no hay respuesta, opera el silencio administrativo positivo.
• Sin decisión unilateral (art. 10): la empresa debe verificar en detalle lo que dice el titular y no puede determinar por sí misma que no hubo suplantación.

Qué viene: el protocolo de la SIC y la Superfinanciera

El parágrafo 1 del artículo 5 ordena a la Superintendencia de Industria y Comercio (SIC) y a la Superintendencia Financiera, en coordinación con el MinTIC, reglamentar en un plazo de 6 meses los protocolos para atender los reportes de posible suplantación. La ley dice que esos protocolos “deberán incluir mecanismos, herramientas y metodologías idóneos que permitan la plena identificación del potencial adquirente”.

El parágrafo 2 fija la consecuencia: si se incumplen los protocolos y el titular pide la corrección, procede la suspensión del cobro, la modificación del reporte en las centrales y la devolución oportuna del dinero o la eliminación de las deudas.

La SIC abrió el 8 de septiembre de 2026 una consulta pública sobre validación de identidad. Recordó que desde 2019 se han presentado 18.535 reclamos por suplantación en SIC Facilita (el 50% del total) y 1.316 en 2026 hasta el 31 de mayo. Este es el cronograma que publica la SIC (actualizado el 25 de septiembre de 2026):

Etapa	Fecha
Convocatoria	8 de septiembre al 9 de octubre de 2026
Selección	28 de septiembre al 10 de octubre de 2026
Mesas de trabajo	Hasta el 16 de octubre de 2026
Publicación de la propuesta para comentarios	2 de noviembre de 2026
Expedición	20 de noviembre de 2026

El formulario de la consulta preguntaba por la efectividad, precisión y confiabilidad de las tecnologías de verificación, los riesgos en el tratamiento de datos, los modelos regulatorios, los estándares y los costos. El contenido final del protocolo todavía no se conoce, así que conviene revisar la propuesta cuando se publique.

Verificación “suficiente y razonable” en la práctica

La ley no enumera tecnologías concretas. Un enfoque operativo común es verificar por capas, de modo que cada capa responda a una pregunta distinta:

1. ¿La cédula existe y a quién pertenece? Consulta el número contra fuentes oficiales y compara el nombre devuelto con el que escribió el cliente.
2. ¿El documento presentado está vigente? El numeral 1 habla de la veracidad de “los documentos presentados”. El certificado de vigencia de la Registraduría confirma el estado de la cédula a partir de la fecha de expedición, un dato adicional que el cliente debe conocer.
3. ¿Quien está frente a la cámara es el titular? Una comparación facial con prueba de vida reduce el riesgo de que alguien use la foto o el documento de otra persona.
4. ¿Puedes demostrarlo después? Guarda la evidencia de cada paso para el cotejo del artículo 7 y para la carga dinámica de la prueba.

Para el titular marcado como “Víctima de Falsedad Personal”, la ley pide una verificación intensificada: en la práctica, eso puede significar exigir las 3 capas en cada nueva solicitud, aunque el cliente ya sea conocido.

Cómo encaja Verifik: flujo por API

Necesitas tu token de Verifik en el encabezado Authorization: Bearer. Estos ejemplos vienen de la documentación oficial.

Paso 1: validar la cédula

La documentación de la consulta de cédula pide documentType (por ejemplo CC o PPT) y documentNumber (solo números, de 5 a 10 dígitos):

import axios from "axios";

const options = {
  method: "GET",
  url: "https://api.verifik.co/v2/co/cedula",
  params: { documentType: "CC", documentNumber: "123456789" },
  headers: {
    Accept: "application/json",
    Authorization: `Bearer ${process.env.VERIFIK_TOKEN}`,
  },
};

const { data } = await axios.request(options);
console.log(data);

Respuesta 200 de ejemplo:

{
  "data": {
    "arrayName": [
      "JULIO",
      "CESAR",
      "CABANA",
      "CONTRERAS"
    ],
    "documentNumber": "1121329662",
    "documentType": "CC",
    "firstName": "JULIO CESAR",
    "fullName": "JULIO CESAR CABANA CONTRERAS",
    "lastName": "CABANA CONTRERAS"
  },
  "signature": {
    "dateTime": "October 8, 2025 8:21 PM",
    "message": "Certified by Verifik.co"
  },
  "id": "I70IL"
}

Si la cédula no existe, la API responde 404 con "Record not found."; si falta un parámetro, responde 409. Compara fullName con el nombre que declaró el cliente y guarda el id y la signature.

Paso 2: confirmar la vigencia del documento

El endpoint del certificado de la Registraduría pide el número de cédula y date, que es la fecha de expedición en formato DD/MM/AAAA (no la fecha de nacimiento):

import os, requests

url = "https://api.verifik.co/v2/co/registraduria/certificado"
headers = {"Accept": "application/json", "Authorization": f"Bearer {os.getenv('VERIFIK_TOKEN')}"}
params = {"documentNumber": "123456789", "date": "10/10/2020"}

r = requests.get(url, headers=headers, params=params)
print(r.json())

Respuesta 200 de ejemplo (sin el campo pdfBase64, que trae el certificado en PDF):

{
  "data": {
    "codigoVerificacion": "ABC123XYZ",
    "novedad": "VIGENTE",
    "documento": {
      "cedula": "123456789",
      "fechaExpedicion": "10/10/2020",
      "lugarExpedicion": "BOGOTA D.C.",
      "nombre": "JUAN PEREZ"
    }
  },
  "signature": {
    "dateTime": "August 23, 2022 11:42 AM",
    "message": "Certified by Verifik.co"
  }
}

Si novedad no es “VIGENTE” o el nombre no coincide, envía el caso a revisión manual. La documentación recomienda tratar pdfBase64 como información sensible.

Paso 3: comparación facial con prueba de vida

Comparar con detección de vitalidad recibe una selfie (probe) y una o más imágenes de referencia (gallery), y aplica primero la comparación y luego la prueba de vida:

import os, requests

url = "https://api.verifik.co/v2/face-recognition/compare-with-liveness"
headers = {
    "Content-Type": "application/json",
    "Authorization": f"Bearer {os.getenv('VERIFIK_TOKEN')}"
}
payload = {
    "probe": "<base64>",
    "gallery": ["<base64>"],
    "search_mode": "FAST",
    "liveness_min_score": 0.6,
    "compare_min_score": 0.8
}

r = requests.post(url, json=payload, headers=headers)
print(r.json())

Respuesta 200 de ejemplo:

{
  "id": "CWL01",
  "data": {
    "comparison": {
      "score": 0.88
    },
    "liveness": {
      "liveness_score": 0.91,
      "min_score": 0.6,
      "passed": true
    }
  },
  "signature": {
    "message": "Certified by Verifik.co",
    "dateTime": "January 16, 2024 3:44 PM"
  }
}

liveness_min_score usa 0.6 por defecto y compare_min_score admite valores entre 0.67 y 0.95. Define tus umbrales según tu apetito de riesgo y regístralos en tu política.

Si además de cumplir la Ley 2573 necesitas antecedentes, listas PEP y biometría en el mismo onboarding, la guía de API KYC Colombia reúne las 10 consultas con código.

Evidencia para el cotejo de 10 días hábiles

Cuando llega una reclamación, el reloj del artículo 7 empieza a correr. Tener la evidencia ordenada desde el onboarding acelera el cotejo y te permite entregar los documentos que exige el numeral 7 del artículo 5. Un expediente mínimo puede incluir:

• El id y la signature (con dateTime) de cada respuesta de Verifik.
• El codigoVerificacion y la novedad del certificado de vigencia.
• El score de comparación, el liveness_score y los umbrales que usaste ese día.
• Los documentos e imágenes que aportó el cliente, con la fecha en que se recibieron.

El artículo 2 de la Ley 2573 remite a los principios de la Ley 1266 de 2008 y de la Ley 1581 de 2012 de protección de datos. Guarda solo lo necesario, restringe el acceso a imágenes y PDF, y define cuánto tiempo los conservas.

Si tu caso de uso es más amplio, revisa también la verificación rápida de identidad con cédula de ciudadanía, cómo usar la prueba de vida para evitar la suplantación de identidad y el análisis del costo de la suplantación de identidad en las empresas.

Cómo evaluar un proveedor de verificación

Si vas a revisar tu proveedor antes de que salga el protocolo, estas preguntas te ayudan a decidir:

• ¿Qué fuentes oficiales colombianas consulta y qué campos devuelve cada una?
• ¿Puede confirmar la vigencia del documento, no solo que el número existe?
• ¿Incluye comparación facial y prueba de vida en la misma integración?
• ¿Cada respuesta trae un identificador o firma que puedas guardar como evidencia?
• ¿La documentación está en español y tiene ejemplos listos para copiar?

Si estás en esa evaluación, esta guía para elegir la mejor solución eKYC para tu empresa amplía los criterios.

En Verifik cada consulta se descuenta de los créditos de tu plan de smartCHECK, con planes desde $49 al mes.

Checklist de cumplimiento

Una lista de trabajo para preparar tu operación antes del 19 de noviembre de 2026:

• Inventaria los canales (presenciales y digitales) donde se adquieren productos o servicios y qué verificación aplicas en cada uno.
• Valida la cédula contra fuentes oficiales y compara el nombre devuelto con el declarado.
• Confirma la vigencia del documento presentado, no solo que el número existe.
• Agrega comparación facial con prueba de vida en los flujos de mayor riesgo.
• Guarda la evidencia de cada paso (identificador, firma, puntajes, umbrales y fecha) para entregarla al titular si la pide (art. 5, num. 7).
• Define un procedimiento para atender reclamaciones por suplantación en 10 días hábiles y suspender cobros de inmediato.
• Acuerda con tus operadores de información el cotejo del art. 7 y el manejo de la leyenda “Víctima de Falsedad Personal”.
• Aplica verificación intensificada a los titulares con esa leyenda.
• Revisa la propuesta de protocolo de la SIC y la Superfinanciera y ajusta tu flujo cuando se expida.
• Aplica los principios de las leyes 1581 de 2012 y 1266 de 2008: minimización, acceso restringido y plazos de conservación.