El 19 de mayo de 2026 se promulgó la Ley Estatutaria 2573 de 2026, la norma con la que Colombia organizó por primera vez la respuesta institucional frente a la suplantación de identidad: qué pasa cuando alguien usa la cédula de otra persona para adquirir un producto, un servicio o un crédito. La lectura que circuló en prensa fue la del consumidor —las víctimas de suplantación dejan de cargar con deudas ajenas—, y es correcta. Pero para una empresa del Atlántico que vende a crédito hay una segunda lectura, bastante más incómoda: cambia quién debe probar que la obligación es legítima, y cambia qué pasa con esa cartera mientras el asunto se define.
Conviene decir de entrada por qué hablamos de esto ahora y no en mayo. La ley aún no rige en su totalidad: su artículo de vigencia dispone que entra a regir dentro de los seis meses siguientes a su promulgación —es decir, hacia noviembre de 2026—, con excepción de los parágrafos primero y segundo del artículo 5.º, que rigen desde la promulgación misma. Ese desfase es justamente el punto. El plazo de adecuación es el que está corriendo en este momento, una parte de la norma ya es exigible, y la reglamentación que debe expedir el Estado todavía no está.
Su empresa puede estar cubierta aunque no sea un banco
El error de lectura más costoso sería suponer que esto es asunto de bancos y operadores de telefonía. El artículo 5.º de la Ley 2573 de 2026 dirige sus obligaciones a los operadores de telecomunicaciones, a las entidades financieras y/o crediticias y a los demás establecimientos comerciales con esta competencia. Esa tercera categoría es la que recoge a buena parte del comercio de Barranquilla, Soledad y Malambo:
- El almacén que otorga cupo propio de crédito a sus clientes.
- La distribuidora que despacha mercancía a plazo y respalda la operación con pagaré o letra.
- La empresa de servicios que financia directamente el valor del contrato en cuotas.
- La comercializadora que vende a plazos sin intermediación de una entidad financiera.
Si su empresa genera obligaciones crediticias a nombre de un tercero, la discusión sobre identidad la involucra. Y no es una discusión teórica: el numeral 1 del artículo 5.º le impone adoptar medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de quien contrata y de los documentos que presenta. Eso ya no es una buena práctica de gestión de riesgo; es un deber legal con consecuencias sobre la cartera.
Qué ocurre el día en que alguien dice "yo no adquirí eso"
El artículo 8.º de la ley describe una secuencia que a un empresario le conviene conocer antes de vivirla. Cuando la persona informa que fue suplantada, la empresa debe suspender de manera inmediata el cobro del bien o servicio, y la suspensión cubre expresamente los intereses y los gastos de cobranza que se hubieran generado. No hay etapa previa de evaluación interna: la suspensión opera desde que se recibe la información.
En paralelo, el numeral 5 del artículo 5.º obliga a suspender de forma inmediata la prestación o el suministro de los bienes o servicios adquiridos por la conducta fraudulenta, y el numeral 2 exige reportar el caso a los operadores de información marcándolo como "víctima de falsedad personal", sin que esa marcación afecte la puntuación de la persona. Es decir: el reporte negativo que su empresa hubiera hecho deja de operar como tal.
Los plazos que corren contra la empresa, no a su favor
Aquí está la parte que suele sorprender. La ley fija términos cortos y, sobre todo, fija una consecuencia por dejarlos vencer:
- Diez (10) días hábiles para dar trámite a las solicitudes o quejas de la persona que alega haber sido suplantada, contados desde la radicación (artículo 5.º, numeral 4).
- Diez (10) días hábiles para que la fuente coteje los documentos con los que se adquirió la obligación frente a los que aporta el titular, y para efectuar la modificación del dato negativo cuando corresponda (artículo 7.º, que adiciona el artículo 16 de la Ley 1266 de 2008 en la redacción que le dio la Ley 2157 de 2021).
- Quince (15) días hábiles, prorrogables por ocho (8) días hábiles más, para resolver las peticiones o reclamos. Si en ese lapso no hay resolución, la solicitud se entiende resuelta favorablemente para todos los efectos legales.
Ese último punto merece subrayarse: es un silencio administrativo positivo en contra de la empresa. Un reclamo que se queda represado en un correo sin dueño no se vuelve un problema pendiente, se vuelve un problema perdido.
Y hay una obligación probatoria que conviene mirar de frente. El numeral 7 del artículo 5.º dispone que, a solicitud de la persona presuntamente suplantada, la empresa debe entregarle copia de la información y los documentos que recibió para aprobar el producto o servicio, y precisa que bajo ninguna circunstancia podrá negarse esa entrega. Sumado al principio de carga dinámica de la prueba que la propia ley adopta —prueba quien esté en mejores condiciones de hacerlo—, el resultado práctico es directo: si su empresa no conserva el expediente de vinculación, no tiene con qué defender el crédito. Una carpeta incompleta ya no es un descuido administrativo; es la pérdida de la cartera.
El escudo que la ley sí le deja a su empresa
La norma no es unidireccional, y esta es la parte que rara vez se comenta. El artículo 8.º obliga a la empresa a comunicarle a la persona que a partir de ese momento cuenta con veinte (20) días hábiles para interponer ante la Fiscalía General de la Nación la denuncia por falsedad personal y delitos conexos, y para allegar los soportes respectivos. Y su parágrafo primero establece la contrapartida: si la denuncia y los documentos no se presentan dentro de ese plazo, la empresa puede reanudar el cobro —incluidos los intereses y demás gastos causados desde el momento en que se suspendió— y efectuar el reporte ante los operadores de información.
El artículo 9.º completa el cuadro. Si la autoridad judicial concluye que no hubo suplantación y que quien alegaba serlo sí adquirió el bien o servicio, la empresa puede reanudar el cobro con todos los intereses y valores causados como si nunca se hubiera suspendido. Más aún: durante el tiempo en que el cobro estuvo suspendido a la espera de la decisión judicial no corre el término de prescripción, que solo empieza cuando quede en firme la decisión que archive o culmine el proceso penal.
Ese escudo, sin embargo, es condicional. Depende por completo de que la empresa pueda demostrar dos cosas: que suspendió el cobro cuando debía, y que comunicó el término de los veinte días hábiles. Una empresa que suspendió por teléfono, sin dejar rastro de la comunicación, tendrá el deber cumplido y ninguna forma de probarlo. En una discusión posterior sobre reanudación del cobro, esa comunicación es la pieza que decide.
Lo que ya es exigible desde mayo
Aunque el grueso de la ley empieza a regir hacia noviembre, los parágrafos primero y segundo del artículo 5.º rigen desde el 19 de mayo de 2026. El parágrafo segundo es el más relevante para la operación: si se verifica el incumplimiento de los lineamientos, recomendaciones y protocolos de seguridad expedidos por las autoridades competentes y existe una solicitud de corrección de quien manifiesta ser víctima de suplantación, ello da lugar a la suspensión de la gestión de cobranza, a la modificación del reporte ante las centrales y los operadores de información, y a la devolución de los dineros o la eliminación de las acreencias objeto de la defraudación.
El parágrafo primero, por su parte, encargó a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera, en coordinación con el Ministerio de Tecnologías de la Información y las Comunicaciones, reglamentar dentro de los seis meses siguientes a la expedición de la ley los protocolos para atender los reportes de posible suplantación. Esa reglamentación es la que definirá el estándar concreto de diligencia exigible. Por ahora, en el frente de hábeas data financiero, la SIC publicó el 26 de mayo de 2026 un proyecto de resolución que modifica el Título V de su Circular Única, sometido a comentarios entre el 27 de mayo y el 10 de junio de 2026.
Qué revisar antes de que la ley entre a regir
Con la reglamentación pendiente, lo sensato no es esperarla, sino usar los meses de transición en lo que ya se sabe que será exigible:
- Reconstruya el expediente de vinculación. Por cada crédito vigente en cartera, verifique que existe copia legible del documento de identidad, constancia del mecanismo de validación aplicado y el contrato o pagaré firmado. Los créditos sin expediente son los que se perderán primero.
- Documente el mecanismo de validación de identidad, no solo el resultado. Importa poder mostrar qué se hizo para verificar, no únicamente que se aprobó.
- Defina una ruta interna con dueño y plazo para las solicitudes por suplantación. Los términos de diez y quince días hábiles corren desde la radicación, no desde que el caso llega al área correcta.
- Estandarice la comunicación del término de veinte días hábiles en un formato con constancia de envío y recepción. Es la pieza que habilita la reanudación del cobro.
- Revise su política de retención documental. Destruir soportes de vinculación por antigüedad puede dejar sin defensa créditos que todavía están en cobro.
- Ajuste el contrato de su casa de cobranza para que la orden de suspensión inmediata sea operativa y quede registrada.
Esta norma se cruza además con la discusión sobre cómo se constituye y se hace exigible el título que respalda la venta a crédito, que abordamos en nuestro análisis sobre la factura electrónica como título valor. En materia de estructuración y defensa de cartera empresarial, el trabajo que desarrollamos como abogados en derecho comercial en Barranquilla parte de una premisa que la Ley 2573 vuelve norma positiva: un crédito vale lo que vale su expediente.
Este artículo tiene carácter informativo y no constituye concepto jurídico formal. Para una asesoría específica sobre su caso, le invitamos a contactar a nuestro equipo.
