Inteligencia artificial para empresas en Perú: ley de IA, datos personales y comprobantes de la SUNAT

¿Cómo está Perú en inteligencia artificial?

En el Índice Latinoamericano de Inteligencia Artificial (ILIA) 2026 de la CEPAL y el CENIA, Perú ocupa el séptimo lugar entre 20 países, con 52,7 puntos sobre 100, dentro del grupo de adoptantes. Su perfil es particular: tiene la segunda nota de gobernanza de la región (83,2, solo detrás de Brasil), mientras que en factores habilitantes saca 45,5 y en investigación, desarrollo y adopción, 39,4. La comparación completa está en la guía de Latinoamérica.

El uso de la IA es alto. Según el ILIA 2026, Perú encabeza la región en intensidad de uso de sitios web de IA y de IA generativa, y sumó dos centros de investigación especializados en IA respecto de 2025, el mayor incremento que destaca el índice. En la dimensión de gobernanza, el índice ubica a México, Perú y Chile como los países que destacan en protección de datos y privacidad.

Las fichas de país del ILIA 2025 ponen cifras a ese uso: 6 visitas a soluciones de IA por usuario de internet, el valor más alto de la región (promedio: 3,1), y cerca del 10 % de todas las visitas regionales. Perú tenía 5,6 millones de usuarios activos de aplicaciones de IA generativa, el 28 % de sus suscriptores móviles únicos. En uso avanzado, que mide el acceso a plataformas de desarrollo, modelos y APIs, alcanzó 1,19 visitas por usuario, casi el doble del promedio regional de 0,68.

¿Qué exige la ley de inteligencia artificial?

La Ley 31814, que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, se publicó en El Peruano el 5 de julio de 2023. Designa a la Presidencia del Consejo de Ministros, a través de la Secretaría de Gobierno y Transformación Digital (SGTD), como autoridad técnico-normativa en la materia. Según el ILIA 2026, Perú y El Salvador son los únicos países de la región con una ley de IA aprobada.

Su reglamento, el Decreto Supremo 115-2025-PCM, se publicó el 9 de septiembre de 2025, tiene seis títulos y 36 artículos, y entró en vigencia a los 90 días hábiles de su publicación. Su núcleo es una clasificación por riesgo:

La lista de riesgo alto no es cerrada: el artículo 24 termina con una cláusula general para todo uso que suponga un riesgo para la vida humana, la seguridad física o los derechos fundamentales. Por eso la clasificación se decide caso por caso, según para qué se usa el sistema y no según la tecnología.

Para los sistemas de riesgo alto, el artículo 25 exige transparencia algorítmica: informar al usuario, de forma previa, clara y sencilla, la finalidad del sistema, sus funciones principales y el tipo de decisiones que puede tomar, por ejemplo con un etiquetado visible. Si tienes dudas, el reglamento permite consultar a la SGTD si un sistema entra en la categoría de riesgo alto.

Las obligaciones del sector privado entran por etapas, contadas desde el día siguiente a la publicación del reglamento:

• Un año: usos en salud, educación, justicia, seguridad, economía y finanzas.
• Dos años: transporte, comercio y trabajo.
• Tres años: producción, agricultura, energía y minería.
• Cuatro años: los demás usos. Las pequeñas y microempresas tienen plazos propios.

Si tu empresa es financiera o de salud y usa IA de riesgo alto, el primer plazo ya se cumplió en septiembre de 2026.

¿Qué cambió en la protección de datos personales?

La norma base sigue siendo la Ley 29733, del 3 de julio de 2011. Lo nuevo es su reglamento, el Decreto Supremo 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde los 120 días calendario siguientes. La autoridad es la Autoridad Nacional de Protección de Datos Personales (ANPD), del Ministerio de Justicia y Derechos Humanos, ante la que se inscriben los bancos de datos y se presentan las denuncias.

Tres puntos del reglamento tocan directamente a los proyectos de IA:

• Oficial de datos personales (artículo 37). Es obligatorio para quien trate grandes volúmenes de datos, datos sensibles o tratamientos que puedan afectar a muchas personas, y para quien tenga el tratamiento de datos sensibles como actividad principal. Para las empresas entra por tamaño: más de 2.300 UIT de ventas anuales, desde el 30 de noviembre de 2025; medianas, de 1.700 a 2.300 UIT, desde el 30 de noviembre de 2026; pequeñas y micro, en 2027 y 2028.
• Decisiones automatizadas (artículo 6). Al recoger datos hay que informar la existencia de decisiones automatizadas, incluida la elaboración de perfiles, y sus consecuencias para el titular.
• Flujo transfronterizo (artículo 18). Enviar datos fuera del país exige que el receptor esté en un país con nivel adecuado de protección o, si no, que el exportador otorgue garantías adecuadas, salvo las excepciones de la ley. Eso aplica si el modelo de IA procesa los datos en una nube fuera del país; el concepto se explica en transferencia internacional de datos.

¿Cómo ayudan los comprobantes electrónicos de la SUNAT?

La SUNAT administra el Sistema de Emisión Electrónica. La factura electrónica se emite a un comprador con RUC y sustenta costo, gasto y crédito fiscal; la usan los emisores del Régimen General, el Régimen Mype Tributario, el Régimen Especial de Renta y los regímenes agrarios.

El formato está fijado por la Resolución de Superintendencia 117-2017/SUNAT: un archivo XML bajo el estándar UBL (Universal Business Language), y desde el 1 de enero de 2018 solo se admite la versión 2.1 para facturas, boletas, notas y guías de remisión electrónicas. La misma resolución creó la modalidad con Operador de Servicios Electrónicos (OSE), un tercero especializado que hace la comprobación material de los aspectos esenciales de cada comprobante.

Para una empresa, eso significa que cada compra a un proveedor peruano llega con datos ordenados y verificables. Un agente puede leer el XML, cruzarlo con la orden de compra y la recepción y registrarlo en el ERP, y dejar para revisión humana solo las diferencias.

¿Qué procesos conviene automatizar primero?

Las fichas del ILIA 2025 muestran que, en Perú, el 67 % de las visitas a soluciones de IA va a generación de texto, el 21 % a contenido multimedia, el 6 % a asistentes personales o agentes de IA y el 4 % a automatización de procesos. El uso de asistentes supera al promedio regional (4 %), y el ILIA lo lee como el inicio de una diversificación hacia funciones de productividad y agentes conversacionales.

Con una ley que clasifica por riesgo, el orden de los proyectos importa. Una secuencia prudente empieza por procesos de riesgo aceptable, con datos digitales y dinero medible, como cuentas por pagar, conciliación bancaria o atención de pedidos, y deja para después los usos de riesgo alto, como la selección de personal o la evaluación de crédito, que exigen transparencia y controles. La tabla de qué proceso automatizar primero ayuda a puntuar las opciones.

¿Qué pedirle a un proveedor de IA?

En Perú, además de las preguntas de siempre sobre precio y plazo, conviene pedir por escrito:

1. La clasificación de riesgo del uso según el reglamento de la Ley 31814 y, si es de riesgo alto, cómo se cumplirá la transparencia algorítmica.
2. Dónde se procesan los datos y qué garantías cubren el flujo transfronterizo.
3. Cómo se informará al titular si hay decisiones automatizadas o perfiles.
4. Quién revisa las decisiones antes de ejecutarlas.

Advise, una empresa ecuatoriana de IA para medianas y grandes empresas de Ecuador y Latinoamérica, parte de ese mismo orden: rediseña el proceso con el equipo, deja los datos crudos en la infraestructura del cliente y hace que las decisiones irreversibles pasen por una persona.