En el reciente informe de Check Point Research, IA Security Reporte 2025, se hace hincapié en el fenómeno conocido como deepfake que está alcanzado niveles inesperados. La firma especializada en ciberseguridad advierte que los ciberdelincuentes ya usan la IA para clonar voces, falsificar videollamadas y automatizar fraudes sin intervención humana con herramientas disponibles en la dark web. Los deepfakes se han convertido en herramientas con un nivel de sofisticación altamente eficaz para atacar a individuos y empresas, logrando engañar en entrevistas de trabajo, diversas videollamadas o suplantando directivos y responsables financieros. Con un panorama que ha tenido un impacto económico en Reino Unido y Canadá con pérdidas superiores a los USD 35 millones, analizamos cómo se prepara Colombia para regular estas amenazas. 

Ley 2502 de 2025 

La preocupación por los deepfakes también se ha instalado en América Latina. Según uno de los últimos informes de la plataforma Kapwing, Argentina lidera el interés regional en esta tecnología, seguido por Chile, Perú y Colombia. El informe además deja claro que hay una conciencia real sobre el uso malicioso de esta herramienta digital, pero que la acción regulatoria o técnica avanza a un ritmo mucho más lento, lo que afecta a diferentes sectores de la sociedad. 

En ese sentido, los países han empezado a gestionar avances para controlar y frenar estos ataques que han afectado a políticos, directores de multinacionales, entre otros y han perjudicado la reputación, patrimonio, bienes y servicios. Colombia ha sido uno de los primeros países que ha empezado a modificar la regulación con leyes como la 2502 del 28 de julio de 2025. 

Esta ley busca modificar y establecer un agravante al artículo 296 de la Ley 599 del 2000 del Código Penal Colombiano relacionado con el delito de falsedad personal para la modalidad de suplantación utilizando Inteligencia Artificial (IA). Además, establece políticas públicas para prevenir y controlar el uso indebido de la IA en las suplantaciones de identidad. La modificación se da a través del inciso que quedará así: 

Artículo 296. FALSEDAD PERSONAL. El que con el fin de obtener un provecho para sí o para otro, o causar daño, sustituya o suplante a una persona o se atribuya nombre, edad, estado civil, o calidad que pueda tener efectos jurídicos, incurrirá en multa, siempre que la conducta no constituya otro delito.

Dos años para formulación de políticas públicas 

El componente más importante de la Ley 2502 de 2025 está enfocado en las políticas públicas que, en coordinación con el Gobierno nacional, la Fiscalía General de la Nación, la Policía Nacional, el Ministerio de Justicia y del Derecho y el Ministerio de Tecnologías de la Información y las Comunicaciones generarán unas políticas relacionadas con el uso de la IA. El enfoque se dará en las consecuencias negativas que tendrá el engaño o daño para la privacidad, la dignidad humana, la seguridad, la democracia y la credibilidad y debe contar con mínimo los siguientes lineamientos:

• Marco ético: definir principios y directrices para el uso de la IA que garanticen un ecosistema inclusivo, dinámico, sostenible e interoperable y promover un intercambio seguro, justo, legal y ético de datos, asegurando que se respete la privacidad y los derechos humanos. 
• Colaboración interseccional: establecer estrategias que fomenten la colaboración gubernamental con el fin de compartir conocimientos, recursos y estrategias que identifiquen y gestionen los riesgos relacionados con derechos de autor y suplantación de identidad personal. 
• Educación y capacitación: implementar programas para desarrollar talento local con IA con un enfoque en la ciberseguridad y la ética digital. 
• Desarrollo de tecnología: impulsar la investigación, desarrollo e inversión en la innovación de una IA confiable. La Fiscalia también deberá adoptar herramientas específicas para la detección de deepfakes, fraudes y suplantación de identidad. 
• Transparencia y gobernanza de IA: promover la transparencia en los algoritmos de IA y establecer un sistema de gobernanza que incluya auditorías y revisiones periódicas. 
• Cooperación internacional: fortalecer y fomentar alianzas internacionales para compartir mejores prácticas y tecnologías avanzadas. 
• Respuesta rápida: establecer protocolos para actuar de forma eficiente ante incidentes de suplantación y deepfakes. 
• Relaciones internacionales: promover y colaborar con países de la región y del mundo para implementar acuerdos internacionales que incentiven el desarrollo de políticas públicas contra los deepfakes y la suplantación. 

Aunque la Ley empieza a regir en el momento de su publicación, la modificación del artículo 296 de la Ley 599 de 2000 comenzará a regir un año después y tanto el Gobierno, como la Fiscalía y la Policía contarán con un plazo de dos años para formular acciones e iniciativas dispuestas en los lineamientos presentados. 

Protección de datos como medida crucial 

La Ley 2502 es un paso crucial en la protección de la identidad y dignidad humana y marca un hito en la región, aunque aún quede un largo camino por recorrer. Con esta iniciativa, Colombia no solo muestra un compromiso real por combatir los delitos de falsedad y deepfake, sino que recalca la importancia de la protección de los datos personales. Gracias a este y otros esfuerzos, el país fue además aceptado como país observador del Convenio 108 del Consejo de Europa, tratado más importante en materia de protección de datos personales. 

Es así que como el país está avanzando en la protección de datos, las empresas deben priorizar estos aspectos y entender el deepfake como una amenaza real para sus operaciones, activos y para la dignidad humana de los involucrados. Por eso se recomienda reforzar sus validaciones basadas en datos y no quedarse solo en las validaciones de rostro o voz por los aparentes riesgos de deepfake que se están presentando. 

Con herramientas como la de Tusdatos, las empresas pueden validar a cualquier persona en tiempo real a través de información personal, académica, laboral, entre otras con el fin de apoyar las validaciones biométricas y reducir al máximo suplantaciones que afecten la identidad de los involucrados. 

Además, con el servicio de Tusdatos, las empresas pueden promover y priorizar la protección de datos personales con una herramienta que no solo es rápida y eficiente, sino que protege y respeta los datos de las personas validadas y de las empresas que hacen uso de Tusdatos.