23-09-2026 | CPB, Noticias, Tech
La norma clasifica los sistemas de IA según su nivel de riesgo e impone deberes adicionales para los de alto riesgo, como supervisión humana reforzada, registro de la lógica del algoritmo y explicación de las decisiones automatizadas que impacten en derechos fundamentales.
El 10 de septiembre de 2026 venció el primer plazo de implementación de determinadas obligaciones previstas en el Reglamento de la Ley N.° 31814, aprobado por el Decreto Supremo N.° 115-2025-PCM.
Este primer plazo comprende a los desarrolladores e implementadores privados que utilicen sistemas de inteligencia artificial en los sectores de salud, educación, justicia, seguridad, economía y finanzas.
¿A quiénes aplica?
El Reglamento distingue principalmente entre:
- Desarrolladores: personas o entidades que diseñan, programan o entrenan sistemas de IA.
- Implementadores: personas o entidades que integran o despliegan sistemas de IA dentro de sus procesos productivos u operativos.
- Usuarios: personas que interactúan con los sistemas una vez implementados.
Una empresa puede ser considerada implementadora cuando incorpora herramientas de IA —incluso desarrolladas por terceros— en procesos como selección de personal, evaluación crediticia, atención de clientes, análisis documental, prestación de servicios, elaboración de recomendaciones o toma de decisiones.
¿Qué obligaciones deben implementarse?
Los desarrolladores e implementadores privados deberán:
- Establecer políticas, protocolos y procedimientos que regulen el uso de la IA y permitan preservar la seguridad y privacidad, promover la transparencia y explicabilidad, y garantizar la responsabilidad y rendición de cuentas.
- Capacitar y concientizar a sus colaboradores sobre los riesgos asociados a la IA y sobre su uso seguro, responsable y ético.
- Cumplir la normativa de protección de datos personales, incluyendo la adopción de medidas de seguridad, la determinación de las responsabilidades de los proveedores y la evaluación de los tratamientos de datos efectuados mediante IA.
- Respetar los derechos fundamentales y los derechos de autor, evitando resultados discriminatorios, sesgados o contrarios a los derechos de las personas.
Clasificación de los sistemas de IA
El Reglamento clasifica los usos de IA en tres categorías:
- Uso indebido: comprende usos prohibidos por generar impactos irreversibles, significativos y negativos sobre los derechos fundamentales o el bienestar de las personas.
- Riesgo alto: comprende sistemas que pueden afectar significativamente la vida, dignidad, libertad, seguridad u otros derechos fundamentales, pero que pueden utilizarse bajo condiciones y controles reforzados.
- Riesgo aceptable: comprende los sistemas que no califican como de uso indebido ni de alto riesgo.
Son ejemplos de alto riesgo los sistemas utilizados para seleccionar, evaluar o cesar trabajadores; evaluar crediticiamente a personas, determinar el acceso a servicios de salud, gestionar activos críticos, o adoptar decisiones con elevada probabilidad de generar discriminación, estigmatización o sesgos.
La clasificación no depende únicamente de la herramienta utilizada o del sector de la empresa, sino principalmente de la finalidad, el contexto y las consecuencias del uso concreto.
Obligaciones adicionales para sistemas de alto riesgo
Cuando una empresa desarrolle o implemente sistemas de alto riesgo, deberá adoptar medidas adicionales, entre ellas:
- Mantener un registro actualizado sobre el funcionamiento del sistema, sus fuentes de datos, la lógica del algoritmo y sus impactos sociales y éticos.
- Implementar mecanismos reforzados de supervisión humana en decisiones con impacto significativo.
- Informar previamente a los usuarios sobre la finalidad, funcionalidades principales y tipos de decisiones que puede adoptar el sistema.
- Explicar los criterios y factores relevantes de las decisiones automatizadas que impacten en derechos humanos.
El Reglamento también contempla la posibilidad de realizar voluntariamente una evaluación de impacto para identificar y mitigar los riesgos de los sistemas de alto riesgo. Si se realiza, sus hallazgos y medidas correctivas deben documentarse y conservarse por un periodo mínimo de tres años.
¿Qué deben hacer las empresas?
Recomendamos iniciar con las siguientes acciones:
- Identificar las herramientas y casos de uso de IA existentes.
- Determinar si la organización actúa como desarrolladora, implementadora o usuaria.
- Clasificar cada caso de uso según su nivel de riesgo.
- Aprobar una política corporativa de uso de IA.
- Establecer procedimientos de autorización, supervisión y gestión de incidentes.
- Revisar los contratos y condiciones de privacidad y seguridad de los proveedores.
- Capacitar a los colaboradores.
- Documentar las medidas implementadas.
- Evaluar preventivamente los nuevos proyectos o usos de IA.
Para más información, escríbenos a contacto@compliancelatam.legal o visita compliancelatam.legal/tech.
16-07-2026 | CPB, Noticias
La actualización apunta especialmente a reorganizaciones societarias, operaciones entre vinculadas, préstamos, compraventa de acciones y arrendamientos financieros, estructuras que podrían derivar en observaciones tributarias y de compliance.
El 30 de junio de 2026, la Superintendencia Nacional de Aduanas y de Administración Tributaria (SUNAT) publicó la versión 4.0 del Catálogo de Esquemas de Alto Riesgo Fiscal, incorporando 11 nuevos esquemas y elevando el total a 35 estructuras que serán objeto de especial atención en sus procesos de fiscalización.
¿Qué significa para las empresas?
- SUNAT ha ampliado su Catálogo de Esquemas de Alto Riesgo Fiscal a 35 estructuras, incorporando 11 nuevas modalidades que serán objeto de especial atención.
- Más allá del aspecto tributario, esta actualización debe leerse como una señal de alerta en materia de compliance: operaciones complejas y poco transparentes pueden ser vistas no solo como evasión, sino también como potenciales vehículos para la comisión de delitos.
Los nuevos esquemas
Los nuevos esquemas se concentran principalmente en:
- Reorganizaciones societarias y transferencias de inmuebles
- Operaciones entre empresas vinculadas
- Préstamos y otras estructuras de financiamiento
- Compraventa de acciones y distribución de dividendos
- Arrendamientos financieros con beneficios tributarios
Riesgos desde compliance
- Reputacional: ser asociado a esquemas cuestionados afecta la confianza de clientes, socios y reguladores.
- Legal: estructuras sin sustento económico real pueden ser interpretadas como mecanismos de ocultamiento.
- Lavado de activos: operaciones financieras y societarias complejas son terreno fértil para encubrir origen ilícito de fondos.
Para más información, escríbenos a contacto@compliancelatam.legal.
14-07-2026 | CPB, Opinión
Por Martín Alegría, Senior Legal Manager en Xiaomi
El sector de la tecnología, la Inteligencia Artificial de las Cosas (AIoT) y la conectividad móvil en Perú experimenta una transformación sin precedentes. Para las corporaciones globales de vanguardia tecnológica respaldadas por capitales asiáticos, mantener el liderazgo implica operar bajo un modelo híbrido de alta complejidad: el canal B2B (grandes operadores, retailers y socios estratégicos) y el canal B2C (atención directa al consumidor final).
En este dinámico escenario, los gerentes legales y de compliance en la región hemos evolucionado: nuestra misión ya no se limita a la gestión reactiva de riesgos normativos; nos hemos consolidado como socios estratégicos que habilitan el crecimiento sostenible, integrando los exigentes estándares globales de gobierno corporativo de nuestra matriz con las particularidades regulatorias y las dinámicas comerciales del mercado peruano.
Sinergia corporativa: integrando estándares globales y realidad local
Las multinacionales tecnológicas con casa matriz en Asia se caracterizan por una cultura de alta eficiencia,
innovación acelerada y una infraestructura de control de riesgos fuertemente digitalizada y centralizada. Esta visión global de excelencia constituye nuestra principal fortaleza.
El reto estratégico del liderazgo legal local radica en la “arquitectura de adaptación”: asegurar que estos avanzados sistemas de gobernanza corporativa se acoplen perfectamente con el marco regulatorio peruano (como el sistema de responsabilidad administrativa de las personas jurídicas y la normativa de libre competencia). Lejos de una aplicación rígida, el éxito de nuestra gestión se basa en la capacidad de canalizar la rigurosidad ética y operativa de la matriz, implementando programas de cumplimiento locales que garanticen una debida diligencia de vanguardia en toda nuestra cadena de valor.
Gestión de cumplimiento en modelos comerciales duales
Operar simultáneamente en los frentes corporativo y de consumo masivo exige una matriz de cumplimiento sofisticada, diseñada para mitigar los riesgos inherentes a los canales de distribución externos:
Excelencia operativa en el canal B2B
En el ámbito corporativo, la comercialización de grandes volúmenes de dispositivos y soluciones tecnológicas requiere un entorno de absoluta transparencia y seguridad jurídica.
- Fortalecimiento de la cadena de suministro: implementamos procesos de debida diligencia (due diligence) altamente rigurosos para asegurar que nuestros socios comerciales y distribuidores autorizados compartan nuestros mismos valores de integridad, ética comercial y políticas anticorrupción (anti-bribery and corruption).
- Políticas de incentivos transparentes: en un sector altamente competitivo, regulamos con precisión técnica todos los programas de estímulo comercial, garantizando que operen bajo los más estrictos principios de transparencia y respeto al Derecho de la Competencia.
Confianza y protección en el ecosistema B2C y AIoT
Cuando el usuario final interactúa con nuestros smartphones o dispositivos inteligentes para el hogar, la confianza en la marca se convierte en el activo más valioso. El cumplimiento normativo es aquí el principal garante de esa experiencia.
- Privacidad por diseño y seguridad de datos: en un entorno donde la Autoridad Nacional de Protección de Datos Personales (ANPD) vela por los derechos de los ciudadanos, garantizamos que el ecosistema AIoT cumpla de manera proactiva con los estándares de consentimiento informado y seguridad de la información, respaldados por la robusta infraestructura tecnológica global de nuestra organización.
- Liderazgo en la experiencia del consumidor: trabajamos en estrecha colaboración con las áreas de postventa y marketing para asegurar que la comunicación, la gestión de garantías y la atención al cliente superen los lineamientos del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (Indecopi), consolidando la reputación de la marca en el mercado.
El modelo de prevención como ventaja competitiva
En Perú, el marco de la Ley N° 30424 redefine la forma de hacer negocios. Para una empresa de tecnología líder, contar con un Modelo de Prevención del Delito (MPD) robusto y certificado no es solo un requerimiento legal, sino una credencial de confianza que presentamos con orgullo ante el sector financiero, socios estratégicos y clientes corporativos.
Frente a las externalidades y asimetrías que aún persisten en ciertos sectores del mercado tecnológico local —como la comercialización de productos no autorizados o la reparación informal por terceros—, nuestra organización se erige como un promotor clave de la formalización y las buenas prácticas. Nuestros canales de denuncia y políticas de cumplimiento actúan como un escudo protector que aísla la operación formal de cualquier riesgo del entorno.
Conclusión: el compliance como motor de innovación
El futuro del cumplimiento corporativo en el sector tech no radica en ser un freno para la innovación, sino en ser su principal habilitador seguro.
Demostrar que un programa de compliance estricto y adaptado al entorno local potencia las ventas y acelera el despliegue de tecnología es el mayor logro de una gerencia legal moderna. Al ser tan ágiles como los dispositivos que comercializamos y tan firmes como los principios éticos de nuestra matriz, aseguramos que el liderazgo actual de la empresa sea la base de su sostenibilidad y éxito en el largo plazo.
Martín Alegría, Senior Legal Manager Perú en Xiaomi
Si tienes dudas, escríbenos a contacto@compliancelatam.legal.
30-06-2026 | CPB, Noticias
Durante los últimos años, los programas de compliance han dejado de enfocarse exclusivamente en los riesgos internos de las organizaciones. Hoy, la atención se extiende a toda la cadena de suministro.
Cada vez con mayor frecuencia, grandes corporaciones, empresas multinacionales y compañías sujetas a estándares internacionales exigen a sus proveedores acreditar la existencia de mecanismos mínimos de cumplimiento. La evaluación ya no se limita a aspectos financieros o comerciales; también comprende la forma en que el proveedor gestiona riesgos vinculados con integridad corporativa, derechos humanos, sostenibilidad, protección de datos, libre competencia y prevención de actos de corrupción.
Requerimientos cada vez más habituales
En la práctica, ello se traduce en requerimientos cada vez más habituales, como la adopción de códigos de conducta, políticas anticorrupción, procedimientos de debida diligencia, canales de denuncia, políticas ambientales y mecanismos de gestión de riesgos.
- Integridad corporativa
- Derechos humanos
- Sostenibilidad
- Protección de datos
- Libre competencia
- Anticorrupción
Este fenómeno responde, en gran medida, a la necesidad de las organizaciones de reducir su exposición frente a riesgos regulatorios, reputacionales y contractuales derivados de la actuación de terceros. La conducta de un proveedor puede generar consecuencias significativas para la empresa contratante, especialmente en sectores sujetos a una mayor supervisión o en operaciones con alcance internacional.
“La conducta de un tercero puede comprometer a toda la organización”
Como consecuencia, muchas empresas peruanas vienen siendo sometidas a procesos de evaluación y auditoría por parte de sus propios clientes. En algunos casos, la inexistencia de políticas o controles básicos puede convertirse en un obstáculo para acceder a nuevos contratos, participar en licitaciones privadas o mantener relaciones comerciales estratégicas.
Frente a este escenario, resulta cada vez más relevante adoptar una aproximación preventiva. La realización de procesos de due diligence, diagnósticos de cumplimiento y la implementación de políticas corporativas alineadas con estándares exigidos por clientes y mercados permiten identificar brechas y atenderlas antes de que se conviertan en una contingencia comercial.
El desafío actual no consiste únicamente en cumplir con obligaciones legales propias. Para muchas organizaciones, la capacidad de demostrar prácticas adecuadas de cumplimiento se está convirtiendo en una condición necesaria para integrarse y permanecer dentro de cadenas de suministro cada vez más exigentes.
Para más información, escríbenos a contacto@compliancelatam.legal
18-03-2026 | CPB, Noticias
La directiva incorpora requisitos de experiencia comprobable para el cargo y un plazo de adecuación de 180 días, entre otras medidas.
La Autoridad Nacional de Protección de Datos Personales (ANPD) de Perú publicó un documento de preguntas y respuestas que precisa cómo debe aplicarse la directiva sobre designación, desempeño y funciones del Oficial de Datos Personales (ODP).
Si una compañía o grupo empresarial está evaluando incorporar este rol, estas son las cinco claves prácticas que debe considerar:
- Designación formal y comunicación a la ANPD
La designación debe quedar registrada en un acto formal del máximo organismo de administración de la empresa —mediante un acta, acuerdo, resolución u otro documento equivalente— y comunicarse a la ANPD a través de la mesa de partes virtual, con los datos mínimos del ODP, como su identidad, rol o cargo, y contactos.
- Transparencia obligatoria
Además de informarlo a la ANPD, la empresa debe hacer público —como mínimo— el nombre completo del ODP y un correo electrónico en —por ejemplo— la política de privacidad de la compañía o algún documento similar.
- El ODP se compromete con el deber de seguridad y está sujeto a sanciones
No basta con nombrar a alguien. Si la falta de idoneidad del OPD se traduce en medidas de seguridad inexistentes o ineficaces, la ANPD podría evaluarlo como un incumplimiento del deber/principio de seguridad y aplicar sanciones.
- Requisitos concurrentes para el perfil
Las exigencias son claras: quien asuma el cargo debe tener conocimientos especializados y experiencia práctica en protección de datos personales. La formación puede acreditarse a través de docencia, investigación académica, capacitación formal, entre otras.
- Adecuación progresiva de 180 días
Si el ODP no calza perfecto con el perfil al momento de asumir, la designación no se anula automáticamente. En cambio, la directiva de la empresa contempla una lógica de adecuación progresiva en un plazo general de 180 días, interpretado de maneras amplias para sujetos obligados.
Puedes descargar el folleto de preguntas y respuestas sobre la directiva que establece disposiciones para la designación, desempeño y funciones del Oficial de Datos Personales en el siguiente enlace.
Si deseas más información, comunícate con nosotros a contacto@compliancelatam.legal.
20-01-2026 | CPB, Noticias
1. ¿Quiénes deben designar un ODP?
A. Sector Público: Entidades del sector público y Empresas bajo FONAPE.
B: Sector Privado (empresas): Cuando el tratamiento se realiza sobre grandes volúmenes de datos personales o cuando el giro o actividad principal de la entidad implica tratamiento de datos sensibles (p.e: bancos o centros de salud).
2. Evaluación de grandes volúmenes de datos personales
La Directiva establece cinco criterios de evaluación, distinguiendo entre:
- Criterios determinantes A, B y C.
- Criterios complementarios (moduladores): D y E.
3. Criterios determinantes:
- Criterio A: número de titulares de datos personales:
- Nivel ALTO: > 50,000 titulares.
- Nivel MEDIO: 10,000 a 49,000 titulares.
- Nivel Bajo: Tratamiento puntuales, ocasionales o excepcionales (campañas únicas, encuentras o proyectos específicos.
2. Criterio E: Ubicación del tratamiento:
- Nivel ALTO: Bancos de Datos contenidos en servidores o servicios en la nube ubicados fuera del país.
- Accesos remotos frecuentes a bancos de datos nacionales desde el extranjero (VPN, SSH, FTP, SFTP, etc). Por parte de usuarios o administrados localizados fuera del país.
- Nivel Medio: Bancos de datos contenidos en servidores o infraestructuras localizadas en el territorio nacional.
- Nivel Bajo: Datos gestionados locamente en soportes físicos o servidores nacionales. Sin acceso a internet ni conexiones remotas internacionales.
4. Reglas de decisión: Anexo 1 de la Directiva
1.Se considera de gran volumen de datos personales cuando:
- Si al menos uno de los criterios determinantes A,B o C se encuentra en nivel ALTO.
- Si al menos dos de los criterios determinantes A,B o C se encuentran en nivel MEDIO.
- Si al menos uno de los criterios determinantes A,B o X se encuentran a nivel MEDIO, y adicionalmente, al menos uno de los criterios complementarios D o E se encuentra en nivel MEDIO o ALTO.
2. No se considera de gran volumen de datos personales cuando:
- Si los tres criterios determinantes (A,B y C) se encuentran simultáneamente en nivel BAJO.
5. Perfil y requisitos del ODP
- Experiencia:
- Experiencia general: Mínimo 2 años en labores a fines a protección de datos personales o áreas relacionadas (seguridad de la información, ciberseguridad, gobierno digital, IA, etc), de manera continua o acumulada.
- Experiencia específica: Mínimo 1 año dedicado directamente a protección de datos personales de manera continua o acumulada.
2. Formación académica:
Se requiere al menos una de las siguientes:
- Posgrado en protección de datos personales y/ materias afines.
- Certificación especializada en datos personales o materias afines (mínimo 90 horas).
- Diplomado especializado en datos personales o materias afines (mínimo 120 horas).
- Docencia o investigación continua en la materia.
Los certificados y diplomados deben ser impartidos por instituciones de reconocido prestigio en datos personales.
6. ¿Quién NO puede ser designado ODP?
No puede ser OPD quien:
- Tenga sentencia condenatoria firme por delito doloso.
- Mantenga sanción o inhabilitación vigente como consecuencia de procedimientos disciplinario y otro análogo.
- Se encuentre investigado por delitos informáticos.
- Registre sanciones ética vinculadas al tratamiento de información y protección de datos personales.
7. Funciones del ODP:
1.Funciones principales:
- Coordinar programas de capacitación y sensibilización del personal en protección de datos personales.
- Gestionar la conformación de un equipo de apoyo cuando las funciones de supervisión o asesoramiento lo requieran.
- Elaborar informes, opiniones o recomendaciones técnicas sobre el cumplimiento de la normativa, dirigidos a la alta dirección o directorio.
- Recabar información de las unidades o departamentos pertinentes para verificar el cumplimiento de la normativa.
- Revisar periódicamente documentos emitidos por la ANPD relevantes para sus funciones.
- Promover una cultura de protección de datos personales dentro de la entidad, organización o empresa.
2. Funciones excluidas:
El ODP no:
- Define la finalidad del tratamiento.
- Ejecuta directamente tratamientos de datos personales.
- Reemplaza al responsable del tratamiento.
- Toma decisiones propias del negocio.
8. Comunicación de designación del ODP
1. Ante la ANPD:
- Nombres y apellidos.
- Documento de identidad.
- Cargo.
- Datos de contacto.
2. Frente a los titulares:
- Publicación del nombre completo y correo del ODP en la política de privacidad.
Si necesitas más información a asesoría en materias de protección de datos personales, escríbenos a contacto@compliancelatam.legal
