Durante mucho tiempo, cuando a un cliente le sustraían dinero por fraude electrónico, la carga de demostrar qué pasó recaía sobre él: probar que no autorizó la transacción, que fue víctima de phishing o suplantación. Ese esquema está cambiando en varios países de América Latina, y el cambio tiene una consecuencia técnica directa para cualquier entidad financiera: ahora es el banco quien tiene que probar que actuó bien.
Costa Rica: la Ley 10.889 y una carga de la prueba invertida
Desde el 22 de abril de 2026 rige en Costa Rica la Ley N.° 10.889, “Protección a las Personas Consumidoras en la Custodia de su Dinero”. Ante una operación no autorizada o fondos sustraídos por fraude, ahora es la entidad financiera la que debe demostrar que actuó con la diligencia adecuada y que contaba con controles suficientes de prevención, autenticación y monitoreo; ya no el cliente quien debe probar que fue víctima.
El contexto que explica la ley es contundente: en 2025, el Organismo de Investigación Judicial (OIJ) registró 10,027 denuncias por estafas electrónicas, un 41% más que el año anterior, y los ciberfraudes bancarios crecieron un 1,446% entre 2019 y 2025 según la misma fuente. La norma ya enfrenta un reclamo formal: en julio de 2026, la Sala Constitucional admitió para estudio una acción de inconstitucionalidad presentada por la Cámara de Bancos e Instituciones Financieras de Costa Rica contra la ley, lo que confirma que el tema sigue activo, no resuelto.
Colombia: la misma lógica, sin necesidad de una ley nueva
Colombia llegó a un resultado similar por otra vía. Aunque no existe una regulación específica sobre el tema, la Superintendencia Financiera de Colombia (SFC) ha calificado las obligaciones de los bancos frente al fraude electrónico como “obligaciones de resultado”, lo que en la práctica termina aplicando un régimen de responsabilidad objetiva: al banco no le basta con demostrar ausencia de culpa, tiene que probar activamente la causa exacta del fraude. Una sentencia de la Corte Suprema de Justicia (SC18614-2016), citada en análisis jurídicos recientes, dejó sentado que es el banco quien debe probar la culpa del cliente para exonerarse, no al revés.
Chile: la Corte Suprema refuerza el mismo estándar
En 2025, la Corte Suprema de Chile revirtió una decisión de la Corte de Apelaciones y responsabilizó a un banco por fraude electrónico, aplicando la Ley N.° 20.009. El fallo criticó explícitamente que la Corte de Apelaciones hubiera invertido incorrectamente la carga de la prueba hacia el cliente, y estableció que el banco debe acreditar dolo o culpa grave del usuario para eximirse de responsabilidad, no simplemente alegar que sus sistemas funcionaron.
El patrón regional
Costa Rica lo hizo por ley expresa; Colombia y Chile llegaron ahí por vía jurisprudencial y regulatoria. Pero el destino es el mismo en los tres países: la entidad financiera, no el cliente, tiene que aportar la prueba de que actuó con la diligencia debida. Eso convierte algo que antes era un tema operativo interno -el cómo se autentica una transacción- en un tema de exposición legal directa.
Qué necesita un banco para poder probar que actuó bien
Si la entidad tiene que demostrar diligencia, necesita evidencia que sostenga esa demostración frente a un juez o un regulador, no sólo frente a su propio equipo de TI:
- Autenticación robusta y verificable, no sólo una contraseña o un código por SMS que puede ser interceptado.
- Firma electrónica certificada sobre la transacción, que asocie de forma jurídicamente válida esa autorización a la identidad del usuario.
- Sello electrónico con marca de tiempo, que fije el momento exacto de la operación de forma que no pueda alterarse después.
- Trazabilidad completa, para poder reconstruir, meses después, exactamente qué control se aplicó en esa transacción específica.
Sin esos cuatro elementos, la entidad llega a una disputa legal sin la evidencia que la ley y los tribunales de la región ya están exigiendo.
En Costa Rica, la propia Ley 10.889 deja una salida explícita para la entidad: si la transacción fue autorizada mediante firma digital certificada, su validez se presume, y la responsabilidad recae sobre el usuario.
Preguntas frecuentes sobre la firma digital
¿Qué cambia la Ley 10.889 en Costa Rica?
Invierte la carga de la prueba: ante un fraude electrónico, es la entidad financiera la que debe demostrar que actuó con la diligencia adecuada, no el cliente quien debe probar que fue víctima.
¿Cómo maneja Colombia la responsabilidad por fraude electrónico sin una ley específica?
La Superintendencia Financiera de Colombia trata las obligaciones de los bancos como “obligaciones de resultado”, lo que en la práctica equivale a un régimen de responsabilidad objetiva, respaldado por jurisprudencia de la Corte Suprema de Justicia.
¿Qué estableció la Corte Suprema de Chile en 2025 sobre fraude bancario?
Que el banco debe acreditar dolo o culpa grave del usuario para eximirse de responsabilidad, revirtiendo una decisión de instancia inferior que había invertido incorrectamente la carga de la prueba hacia el cliente.
¿Qué evidencia necesita un banco para demostrar que actuó con la diligencia debida?
Autenticación robusta, firma electrónica certificada, sello electrónico con marca de tiempo, y trazabilidad completa de cada transacción.
¿Cómo se conecta Genkos con la Ley 10.889?
La ley presume válida una transacción autorizada mediante firma digital certificada. Genkos, integrado a GAUDI del Banco Central de Costa Rica, respalda cada transacción con esa firma y con trazabilidad jurídica.