Saltar al contenido
AI Policy Generator

ENQué me toca

Biometría, reconocimiento facial o de emociones en Perú: normas relacionadas

Identificación o verificación de personas por rasgos físicos o de comportamiento, categorización biométrica y reconocimiento de emociones. Es el uso más restringido: hay prohibiciones en la UE y Perú, consentimiento escrito en varios estados de EE. UU. y datos sensibles en toda la región.

Clasificación de riesgo

JurisdicciónNivelFechaNota
PerúPráctica prohibida22 de enero de 2026Uso indebido: vigilancia masiva sin base legal, inferencia de datos sensibles e identificación biométrica remota en tiempo real en espacios públicos.

Obligaciones relacionadas con este caso de uso

Mantener un registro de cada sistema de IA de riesgo alto

Ley 31814 y DS 115-2025-PCMDS 115-2025-PCM, art. 31.1Vigente

Aplicable desde 10 de septiembre de 2026

Plazos por perfil

  • : Salud, educación, justicia, seguridad, economía y finanzas: plazo de 1 año (venció el 10-sep-2026)
  • : Usos de salud, educación o finanzas en cualquier empresa: plazo de 1 año (venció el 10-sep-2026)
  • : Pequeña empresa (ventas anuales de más de 150 hasta 1.700 UIT): plazo de 2 años
  • : Comercio, transporte y trabajo: plazo de 2 años
  • : Usos laborales (selección, evaluación o gestión de personal): plazo de 2 años
  • : Microempresa (ventas anuales de hasta 150 UIT): plazo de 3 años
  • : Producción, agricultura, energía y minería: plazo de 3 años
  • : Demás sectores y usos: plazo de 4 años
Cuándo se relaciona
Empresas privadas que desarrollan o usan IA de riesgo alto (empleo, crédito, salud, educación, programas sociales, biometría). El plazo depende del sector y del tamaño.
Qué prevé la norma
  • Mantener un registro actualizado y accesible que describa cómo funciona el sistema, de qué fuentes obtiene los datos, la lógica del algoritmo y los impactos sociales y éticos esperados.
  • Actualizar el registro cuando cambie el modelo, los datos o el uso.
Evidencias habituales
  • Ficha de cada sistema con funcionamiento, fuentes de datos, lógica e impactos
  • Historial de versiones del registro
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Texto oficial del DS 115-2025-PCM revisado en El Peruano. Las fechas se calculan desde el 10-sep-2025, día siguiente a la publicación. La norma no aclara cómo se combina el plazo de micro y pequeñas empresas con el plazo del sector; aplicamos la fecha más temprana que corresponda. La norma mide el tamaño por ventas en UIT; el cuestionario lo aproxima por número de personas.

Informar a las personas antes de usar IA de riesgo alto

Ley 31814 y DS 115-2025-PCMDS 115-2025-PCM, art. 25.1 y 25.2Vigente

Aplicable desde 10 de septiembre de 2026

Plazos por perfil

  • : Salud, educación, justicia, seguridad, economía y finanzas: plazo de 1 año (venció el 10-sep-2026)
  • : Usos de salud, educación o finanzas en cualquier empresa: plazo de 1 año (venció el 10-sep-2026)
  • : Pequeña empresa (ventas anuales de más de 150 hasta 1.700 UIT): plazo de 2 años
  • : Comercio, transporte y trabajo: plazo de 2 años
  • : Usos laborales (selección, evaluación o gestión de personal): plazo de 2 años
  • : Microempresa (ventas anuales de hasta 150 UIT): plazo de 3 años
  • : Producción, agricultura, energía y minería: plazo de 3 años
  • : Demás sectores y usos: plazo de 4 años
Cuándo se relaciona
Empresas que desarrollan o usan IA de riesgo alto que afecta a personas. El plazo depende del sector y del tamaño.
Qué prevé la norma
  • Informar a la persona, antes del uso y en lenguaje sencillo, la finalidad del sistema, sus funciones principales y el tipo de decisiones que puede tomar, sin revelar secretos comerciales.
  • Etiquetar de forma visible el contenido o la interacción con IA cuando corresponda; no es necesario si la IA solo apoya procesos administrativos internos sin impacto directo en las personas.
Evidencias habituales
  • Texto del aviso y capturas de dónde se muestra
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Texto oficial del DS 115-2025-PCM revisado en El Peruano. El art. 25.1 se dirige a sistemas de riesgo alto; el etiquetado del 25.2 se exige cuando corresponda. La SGTD aprobará lineamientos de transparencia. Las fechas se calculan desde el 10-sep-2025, día siguiente a la publicación. La norma no aclara cómo se combina el plazo de micro y pequeñas empresas con el plazo del sector; aplicamos la fecha más temprana que corresponda. La norma mide el tamaño por ventas en UIT; el cuestionario lo aproxima por número de personas.

Explicar las decisiones de IA que afectan derechos

Ley 31814 y DS 115-2025-PCMDS 115-2025-PCM, art. 25.3Vigente

Aplicable desde 10 de septiembre de 2026

Plazos por perfil

  • : Salud, educación, justicia, seguridad, economía y finanzas: plazo de 1 año (venció el 10-sep-2026)
  • : Usos de salud, educación o finanzas en cualquier empresa: plazo de 1 año (venció el 10-sep-2026)
  • : Pequeña empresa (ventas anuales de más de 150 hasta 1.700 UIT): plazo de 2 años
  • : Comercio, transporte y trabajo: plazo de 2 años
  • : Usos laborales (selección, evaluación o gestión de personal): plazo de 2 años
  • : Microempresa (ventas anuales de hasta 150 UIT): plazo de 3 años
  • : Producción, agricultura, energía y minería: plazo de 3 años
  • : Demás sectores y usos: plazo de 4 años
Cuándo se relaciona
Empresas cuyos sistemas de IA de riesgo alto toman o apoyan decisiones que afectan derechos de las personas. El plazo depende del sector y del tamaño.
Qué prevé la norma
  • Permitir que la persona afectada obtenga, en lenguaje accesible, una explicación de los criterios y factores principales que llevaron al resultado.
Evidencias habituales
  • Procedimiento de solicitud de explicación y modelos de respuesta
  • Registro de explicaciones entregadas
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Texto oficial del DS 115-2025-PCM revisado en El Peruano. Las fechas se calculan desde el 10-sep-2025, día siguiente a la publicación. La norma no aclara cómo se combina el plazo de micro y pequeñas empresas con el plazo del sector; aplicamos la fecha más temprana que corresponda. La norma mide el tamaño por ventas en UIT; el cuestionario lo aproxima por número de personas.

Asegurar supervisión humana con poder para detener o corregir la IA

Ley 31814 y DS 115-2025-PCMDS 115-2025-PCM, art. 31.4Vigente

Aplicable desde 10 de septiembre de 2026

Plazos por perfil

  • : Salud, educación, justicia, seguridad, economía y finanzas
  • : Pequeñas empresas; transporte, comercio y trabajo
  • : Microempresas; producción, agricultura, energía y minería
  • : Demás sectores
Cuándo se relaciona
Sistemas de IA de riesgo alto en salud, educación, justicia, finanzas o acceso a programas esenciales. El plazo sigue el sector de la empresa: salud, educación y finanzas vencieron el 10-sep-2026; un proveedor de otro sector que opera un sistema de acceso a programas sociales tiene un plazo posterior.
Qué prevé la norma
  • Asignar personal capacitado que supervise el sistema y pueda detener, corregir o invalidar sus decisiones.
  • Definir cuándo debe intervenir una persona y dejar constancia de cada intervención.
Evidencias habituales
  • Procedimiento de supervisión humana con responsables nombrados
  • Registros de intervenciones y anulaciones
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Texto oficial del DS 115-2025-PCM revisado en El Peruano. El art. 31.4 limita la supervisión humana a sistemas de riesgo alto en salud, educación, justicia, finanzas y acceso a programas esenciales; todos esos sectores tienen plazo de 1 año. Revisión 2-nov-2026: el art. 31 está en el capítulo del Título VI sujeto a implementación gradual, por lo que ahora sigue los mismos plazos por sector que el resto del art. 31.

Informar y permitir revisar las decisiones automatizadas

Ley 29733 y DS 016-2024-JUSLey 29733, art. 23; DS 016-2024-JUS, arts. 6.1.8 y 87Vigente

Aplicable desde 30 de marzo de 2025

Cuándo se relaciona
Organizaciones que usan IA para perfilar personas o tomar decisiones con efectos jurídicos o significativos sobre ellas.
Qué prevé la norma
  • Informar a las personas que existen decisiones automatizadas, incluida la elaboración de perfiles.
  • Respetar el derecho a no ser objeto de decisiones basadas solo en tratamiento automatizado que produzcan efectos jurídicos o significativos, salvo las excepciones de la ley.
  • Si los datos alimentan una decisión sin participación de la persona, informarle lo antes posible.
Evidencias habituales
  • Aviso de privacidad que menciona decisiones automatizadas y perfiles
  • Procedimiento de revisión humana y registro de solicitudes
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): art. 6.1, num. 8 (informar la existencia de decisiones automatizadas y perfiles) y art. 87 (derecho al tratamiento objetivo, con las excepciones del art. 23 de la Ley). El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Designar un Oficial de Datos Personales

Ley 29733 y DS 016-2024-JUSDS 016-2024-JUS, arts. 37 a 39Vigente

Aplicable desde 30 de marzo de 2025

Plazos por perfil

  • : Entidades públicas: desde la entrada en vigor del reglamento
  • : Ventas anuales de más de 2.300 UIT: 1 año desde la publicación
  • : Ventas anuales de 1.700 a 2.300 UIT: 2 años desde la publicación
  • : Ventas anuales de 150 a 1.700 UIT: 3 años desde la publicación
  • : Ventas anuales de hasta 150 UIT: 4 años desde la publicación
Cuándo se relaciona
Entidades públicas, desde la entrada en vigor del reglamento, y empresas que tratan datos a gran escala, datos sensibles o que pueden afectar significativamente a las personas, con un plazo que depende de sus ventas anuales.
Qué prevé la norma
  • Designar un Oficial de Datos (interno, externo o compartido en el grupo) y publicar sus datos de contacto.
  • Comunicar la designación a la Autoridad Nacional de Protección de Datos dentro de 15 días.
Evidencias habituales
  • Acta de designación y constancia de comunicación a la autoridad
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el DS 016-2024-JUS (separata de El Peruano del 30-nov-2024, copia en gob.pe): arts. 37 a 39 (37.4: publicar el contacto; 37.5: comunicarlo a la Autoridad en 15 días) y primera disposición complementaria final: para los casos de los numerales 2 y 3 del art. 37.1 el plazo es de 1 a 4 años "después de la fecha de publicación" según ventas (30-nov-2025 a 30-nov-2028); las entidades públicas no tienen escalonamiento. El cuestionario aproxima las ventas por número de personas. El reglamento rige "a partir de los 120 días calendario siguientes" a su publicación del 30-nov-2024; el día 120 es el 30-mar-2025.

Documentos base relacionados

Descubre qué te toca (gratis)Perú