Lo que la nueva Ley 2573 de 2026 nos obliga a preguntarnos

Un lunes cualquiera, recibe un mensaje de cobro por un crédito o una línea celular que nunca pidió. Llama al banco, a la empresa, revisa correos, busca contratos, niega firmas. Al otro lado, la entidad ve una solicitud digital, datos personales correctos y una obligación desembolsada. La escena parece simple: una víctima y un fraude. No obstante, la recién promulgada Ley 2573 de 2026, que fortalece los mecanismos de protección a las personas víctimas de suplantación de identidad, vuelve incómoda una pregunta esencial: ¿y si quien alega la suplantación no fue suplantado y, en realidad, es un deudor que está intentando detener el cobro?

Esa es la paradoja. Nadie cuestiona que la buena fe merece protección inmediata, no una peregrinación entre call centers, pero también puede instrumentalizarse en el mundo digital. Un mismo “clic” puede esconder a una víctima real o a alguien que descubrió una nueva forma de ganar tiempo frente a una deuda legítima.

Antes de esta ley, el asunto se tramitaba como un problema de información crediticia: se corregía el dato, se limpiaba el reporte en centrales de riesgo y punto, como si borrar la huella fuera lo mismo que resolver el problema.

La Ley 2573 cambia ese equilibrio. Desde el momento en que la entidad es informada de la posible suplantación, debe suspender el cobro y advertirle al reclamante –­quien, repito, podría ser una víctima real o no– que tiene veinte días hábiles para denunciar ante la Fiscalía. Si no lo hace, el cobro se reanuda con intereses como si nada hubiera pasado. Si denuncia, la suspensión se extiende hasta que un juez penal o civil ponga fin al proceso (lo que, como todos sabemos, puede tomar años). Y si ese proceso termina por razones distintas a confirmar o negar la suplantación –piénsese en la prescripción–, la ley no tiene una respuesta clara y ahí está la grieta.

Ahora, hay algo más incómodo aún. La ley, y el ambiente regulatorio, también eleva el estándar de autenticación que se exige a quienes ponen productos en el mercado. Ya no basta con una llamada de confirmación ni con asumir que superar un filtro básico traslada el riesgo al consumidor. Tan es así que las superintendencias ya no están haciendo la vista gorda: Movistar fue sancionada por la SIC con más de $1.358 millones de pesos (y sí, leyeron bien esa cifra) por no usar herramientas idóneas para verificar identidad en reposiciones de SIM card. El mensaje, francamente, es imposible de ignorar.

Esto ha dejado de ser un asunto marginal de atención al consumidor. Es un problema de recuperación de cartera a gran escala, con litigio penal, procesos civiles, actuaciones administrativas y un escrutinio interno que también va a doler. La respuesta, entonces, no puede ser tratar cada reclamación como sospechosa ni resignarse a absorber el costo del “auto-fraude” como una contingencia inevitable. La salida es afinar protocolos: prevenir con controles serios, documentar con evidencia trazable y litigar con datos reales –logs, biometría, geolocalización y trazabilidad de operaciones–, no con pantallazos del sistema.

Así que, volvamos al lunes cualquiera. Al crédito desconocido, a la llamada al banco o al operador de telecomunicaciones, a la pregunta que nadie quiere responder en voz alta: ¿hubo una víctima o una estrategia? Esa incomodidad no desaparece sola y las empresas que decidan ignorarla descubrirán, más temprano que tarde, que el costo de no tener una respuesta es mucho más alto que el de construirla.