¿Tengo que hacer algo si uso inteligencia artificial en mi negocio? El D.S. 115-2025-PCM sí alcanza a las empresas privadas: aquí están las obligaciones reales, qué cuenta como riesgo alto y el año exacto en que te toca según el tamaño de tu empresa.
Perú tiene reglamento de inteligencia artificial desde el 9 de setiembre de 2025. Lo aprobó el Decreto Supremo N.° 115-2025-PCM y reglamenta la Ley N.° 31814.
No es un proyecto. Está publicado y alcanza expresamente a las empresas privadas.
La buena noticia es que a tu MYPE todavía no le toca, y que cuando le toque va a exigir menos de lo que el nombre sugiere. La mala es que hay un supuesto —muy concreto, y cada vez más común— en el que tu negocio pasa directo a la categoría exigente sin darse cuenta.
¿A quién le aplica: al que hace la IA o al que la usa?
A los dos, y el reglamento los distingue con nombre propio en su artículo 6.
Desarrollador es "toda persona natural, persona jurídica o entidad pública que diseñe, programe o entrene un sistema basado en IA". Si no programas modelos, no eres esto.
Implementador es "toda persona natural, persona jurídica o entidad pública que integra o despliega un sistema basado en IA dentro de un proceso productivo u operativo".
Esa segunda definición es la que te puede alcanzar. Si conectaste un bot a tu WhatsApp Business para atender pedidos, lo integraste a un proceso operativo. La lectura literal dice que sí eres implementador.
Y aquí está la fricción honesta de esta norma: el reglamento no da un solo ejemplo que zanje el caso del comerciante que solo contrata una herramienta de terceros. Usar ChatGPT para redactar las descripciones de tus productos, ¿te convierte en implementador? El texto no lo aclara. Hasta que la Secretaría de Gobierno y Transformación Digital publique lineamientos, esa duda sigue abierta y cualquiera que te diga lo contrario está adivinando.
¿Desde cuándo aplica a tu empresa?
El reglamento escalona su entrada. Lo que se escalona son las disposiciones del artículo 25 —transparencia algorítmica— y el Capítulo II del Título VI, que es donde están las obligaciones del sector privado.
Los plazos corren desde el día siguiente de la publicación, o sea desde el 10 de setiembre de 2025.
Hay dos listas distintas y conviene mirar las dos.
Por sector de actividad:
| Sector | Plazo | Fecha |
|---|---|---|
| Salud, educación, justicia, seguridad, economía y finanzas | 1 año | 10 de setiembre de 2026 |
| Transporte, comercio y trabajo | 2 años | 10 de setiembre de 2027 |
| Producción, agricultura, energía y minería | 3 años | 10 de setiembre de 2028 |
| Todos los demás usos | 4 años | 10 de setiembre de 2029 |
Y una lista aparte para las MYPE y los emprendimientos innovadores:
| Tu empresa | Plazo | Fecha |
|---|---|---|
| Pequeña empresa — ventas anuales de más de 150 UIT y hasta 1,700 UIT | 2 años | 10 de setiembre de 2027 |
| Microempresa — ventas anuales de hasta 150 UIT | 3 años | 10 de setiembre de 2028 |
Con la UIT de 2026 en S/ 5,500, ese corte de 150 UIT son S/ 825,000 de ventas al año y el de 1,700 UIT son S/ 9,350,000. Si no tienes claro de qué lado cae tu negocio, está resuelto en qué es una MYPE en Perú y cómo saber si calificas, y la conversión completa en el valor de la UIT.
Las dos listas se pisan, y el reglamento no dice cuál manda. Una bodega es comercio: por sector le tocaría 2027, pero como microempresa le tocaría 2028. Lo razonable es que prevalezca la regla específica de MYPE, porque para eso existe un párrafo aparte. Pero el texto no lo resuelve, así que si tu fecha está cerca, no te fíes de la interpretación cómoda.
¿Qué cuenta como "riesgo alto"? Esta es la parte que importa
Casi todas las obligaciones duras del reglamento se activan solo con sistemas de riesgo alto. El artículo 24 enumera los supuestos, y hay uno que a una MYPE le llega de lleno:
Determinar procesos de selección, evaluación, contratación y cese de trabajadores o postulantes a un puesto de trabajo; así como, establecer condiciones laborales.
Léelo otra vez. Si usas una herramienta de IA para filtrar postulantes, ordenarlos o descartarlos, ese uso es de riesgo alto según la norma peruana. No hace falta que seas una corporación: basta el uso.
Otros supuestos de la lista que pueden tocar a un negocio pequeño:
- Determinar la evaluación crediticia de personas —salvo cuando la IA se usa para detectar fraude financiero—.
- Determinar el acceso a servicios de salud y servicios complementarios.
- Evaluar a niños, niñas y adolescentes en el sector educativo: acceso al centro, resultados de aprendizaje, comportamiento durante un examen.
- Gestionar activos críticos nacionales de servicios esenciales: energía, telecomunicaciones, salud, transporte, agua, banca.
Un chatbot que responde tu horario de atención no está en ninguna de esas. Un sistema que decide a quién contratas, sí.
¿Qué te obliga exactamente?
Depende de si tu uso es de riesgo alto o no.
Si NO es de riesgo alto, del artículo 31 te quedan dos obligaciones, y las dos son de sentido común documentado:
- Establecer políticas, protocolos y procedimientos claros "que permitan preservar la seguridad y la privacidad, promover la transparencia y la explicabilidad, garantizar la responsabilidad y la rendición de cuentas".
- "Fomentar la educación y concientización interna de sus colaboradores sobre los riesgos asociados con el uso de la IA."
Es decir: escribe cómo usa tu empresa la IA y qué cuidados tiene con los datos, y explícaselo a tu gente. Nada de auditorías externas.
Si SÍ es de riesgo alto, se suman tres cosas de más peso:
- Mantener un registro actualizado y accesible sobre los principios de funcionamiento del sistema, las fuentes de datos y la lógica del algoritmo, y los impactos sociales y éticos esperados.
- Poner supervisión humana en las decisiones. Y el reglamento pone condiciones al personal que supervisa: tiene que estar capacitado "a fin de no sesgarse por los resultados del sistema" y tener "la capacidad de detener, corregir o invalidar las decisiones".
- Cumplir la transparencia algorítmica del artículo 25: informar al usuario, de forma previa, clara y sencilla, para qué sirve el sistema, qué hace y qué tipo de decisiones puede tomar. El reglamento sugiere el etiquetado visible, y respeta el secreto industrial y comercial.
Si además el sistema toma decisiones que impactan derechos, hay que poder explicar el resultado a la persona afectada "en un lenguaje accesible".
La evaluación de impacto es voluntaria
Conviene subrayarlo porque es donde más ruido se va a vender.
El artículo 32 dice que el análisis de impacto para sistemas de riesgo alto se hace "de manera voluntaria". No es un requisito para operar. Quien la haga debe documentar hallazgos y medidas correctivas, y conservar esa documentación un mínimo de tres años desde su emisión.
A cambio, la SGTD "promueve reconocimientos" para quien la elabore. Reconocimientos, no permisos.
Nuestra recomendación. No contrates a nadie para "adecuar tu empresa al reglamento de IA" en 2026. Te faltan uno o dos años, la evaluación de impacto es voluntaria y las guías de aplicación de la SGTD todavía no existen: cualquier servicio que se venda hoy como cumplimiento obligatorio se está adelantando a un texto que aún no está desarrollado.
Lo que sí conviene hacer ya, porque no cuesta nada y te sirve igual, son dos cosas. Escribe una lista de qué herramientas de IA usa tu negocio y con qué datos de clientes trabajan — hoy casi nadie la tiene. Y si estás usando IA para filtrar postulantes, revisa eso primero: es el único uso común en una MYPE que la norma clasifica como riesgo alto, y es el que te va a exigir supervisión humana documentada. Por dónde empezar a ordenar la parte digital del negocio está en gestión y digitalización de una MYPE.
Y si te interesa cómo se está moviendo la regulación fuera de Perú, la Unión Europea acaba de aliviar la suya para empresas pequeñas: lo contamos en Europa alivió sus reglas de inteligencia artificial para las empresas pequeñas.
Fuentes
- El Peruano — Decreto Supremo N.° 115-2025-PCM, que aprueba el Reglamento de la Ley N.° 31814. Publicado el 09/09/2025. Artículos citados: 6 (definiciones de desarrollador e implementador), 24 (usos de riesgo alto), 25 (transparencia algorítmica), 31 (obligaciones generales), 32 (evaluación de impacto) y Primera Disposición Complementaria Final (cronograma de implementación). Ver norma. Consultado el 04/08/2026.
- El Peruano — Ley N.° 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país. Ver norma. Consultado el 04/08/2026.
- MYPES.pe — Valor de la UIT 2026 (S/ 5,500) y topes de clasificación MYPE en UIT, según el registro de parámetros del sitio, verificado contra SUNAT y el TUO de la Ley MYPE.
Este contenido es informativo y refleja la normativa vigente a la fecha de verificación indicada arriba. Las condiciones tributarias y laborales cambian: confirma siempre en SUNAT, el MTPE o Gob.pe antes de tomar una decisión.
Preguntas frecuentes
¿El reglamento ya está vigente?
Sí. El Decreto Supremo N.° 115-2025-PCM se publicó el 9 de setiembre de 2025 y entró en vigencia a los noventa días hábiles siguientes, salvo la Primera, Segunda, Cuarta y Quinta Disposiciones Complementarias Finales del Reglamento, que rigieron desde el día siguiente de la publicación. Lo escalonado no es la vigencia de la norma: es el plazo que tiene cada tipo de actor privado para cumplir sus disposiciones.
Uso ChatGPT para escribir mis publicaciones. ¿Soy implementador?
El reglamento define implementador como quien "integra o despliega un sistema basado en IA dentro de un proceso productivo u operativo", pero no da ejemplos que resuelvan el caso de quien solo usa una herramienta de terceros de forma puntual. Es la ambigüedad más práctica del texto y sigue sin aclararse.
¿Filtrar hojas de vida con IA es riesgo alto?
Según el artículo 24, determinar procesos de selección, evaluación, contratación y cese de trabajadores o postulantes es un uso de riesgo alto. Eso activa las obligaciones de registro, supervisión humana y transparencia algorítmica cuando te llegue tu plazo.
¿Tengo que hacer la evaluación de impacto?
No. El artículo 32 la establece como voluntaria. Si la haces, conserva la documentación al menos tres años.
¿Qué pasa si mi negocio es comercio y además microempresa?
El reglamento tiene una lista por sector —comercio, 2 años— y otra específica para MYPE —microempresa, 3 años—. No indica cuál prevalece cuando ambas aplican. Confírmalo con tu asesor antes de asumir la fecha más cómoda.