Suplantación de identidad: empresas deberán frenar cobros y corregir reportes mientras investigan el fraude

La suplantación de identidad se convirtió en uno de los riesgos digitales de mayor crecimiento en Colombia entre 2022 y 2026, obligando a empresas, entidades financieras, operadores de telecomunicaciones y comercios a reforzar sus mecanismos para verificar quién solicita un producto o servicio. El uso de inteligencia artificial para imitar voces, fabricar documentos o engañar controles aumentó la preocupación por este tipo de fraude.

El nuevo escenario normativo también amplía las responsabilidades de las compañías cuando una persona demuestra que fue víctima de una contratación realizada sin su autorización. La Ley 2573 de 2026 establece procedimientos para suspender cobros, corregir reportes negativos y definir quién debe aportar las pruebas necesarias para esclarecer el caso.

En entrevista con Revista Semana, el abogado Camilo Gantiva, socio de Holland & Knight, explicó que la carga probatoria deberá asumirla quien esté en mejores condiciones de demostrar los hechos. Por eso, bancos, compañías de telecomunicaciones y entidades crediticias tendrán que entregar los documentos y la información que recibieron durante la contratación cuestionada.

Cuando el usuario presenta oportunamente la reclamación y denuncia el posible fraude ante las autoridades, la empresa deberá asumir inicialmente las consecuencias de la suplantación y suspender los cobros correspondientes hasta que exista una decisión sobre la autenticidad de la operación.

Reportes negativos deberán ser corregidos

Una de las consecuencias más frecuentes de la suplantación ocurre cuando la víctima aparece reportada en centrales de riesgo por créditos, líneas telefónicas o servicios que nunca solicitó. En estos casos, la persona puede acudir directamente a la entidad que generó el reporte y pedir la corrección del dato.

Según Gantiva, la empresa cuenta con 10 días hábiles para comparar los documentos utilizados en la supuesta contratación con los aportados por la víctima. Si se encuentran elementos que respaldan la reclamación, deberá solicitar la modificación del reporte sin imponer requisitos adicionales.

En lugar del dato negativo, deberá aparecer la leyenda “Víctima de falsedad personal”. Esa anotación no podrá interpretarse como incumplimiento ni utilizarse para reducir la calificación de riesgo crediticio de la persona afectada.

Mientras se resuelve el caso, la denuncia también permitirá que los operadores de información identifiquen al ciudadano como posible víctima sin perjudicar su puntaje. Si la empresa no responde la reclamación dentro de 15 días hábiles, prorrogables por otros ocho días, la petición se entenderá resuelta a favor del afectado, de acuerdo con la explicación entregada por el experto.

Las compañías, además, deberán adoptar medidas técnicas, humanas y administrativas para impedir la pérdida, adulteración o utilización fraudulenta de la información personal. Esto incluye controles que permitan comprobar la identidad del solicitante antes de aprobar créditos, contratos o productos.

Ruta que debe seguir una víctima

La primera acción recomendada es informar inmediatamente a la empresa o comercio sobre la suplantación y solicitar la cancelación del producto adquirido sin autorización. Después, la persona deberá acudir ante la autoridad competente para denunciar posibles delitos de falsedad personal, documental u otras conductas relacionadas.

La víctima debe reunir soportes que ayuden a demostrar que no realizó la contratación. Entre ellos pueden aparecer documentos de identidad, comunicaciones con la empresa, movimientos financieros, registros de ubicación o cualquier evidencia que permita establecer inconsistencias en la operación.

La normativa contempla un plazo de 20 días hábiles, contado desde el momento en que se informa al comercio, para presentar la denuncia y entregar los respectivos soportes. Sin embargo, si la propia empresa verifica que existen pruebas claras de suplantación, podría liberar al ciudadano de la obligación de denunciar.

Gantiva también advirtió que todavía existen vacíos regulatorios. Mientras las entidades financieras pueden utilizar mecanismos biométricos para identificar clientes, en otros sectores su uso no está expresamente autorizado como método obligatorio o exclusivo.

Esta diferencia limita la capacidad de algunas empresas para detectar fraudes de manera anticipada. Por eso, la Superintendencia de Industria y Comercio, la Superintendencia Financiera y el Ministerio TIC deberán reglamentar protocolos de identificación dentro de los seis meses siguientes a la entrada en vigor de la ley.

El reto para las compañías será equilibrar controles más estrictos con la protección de los datos personales. En adelante, una verificación deficiente no solo podrá ocasionar pérdidas económicas, sino también responsabilidades por cobros indebidos y daños al historial crediticio de las víctimas.