Colombia se quedó sin ley de cripto, pero no sin obligaciones

Hay una confusión que cuesta plata: creer que “no hay ley” significa “no hay reglas”.

En Colombia, a septiembre de 2026, no existe una ley integral que regule a los proveedores de servicios de activos virtuales. El proyecto que iba a hacerlo, el 510 de 2025 de Cámara, aparece en la ficha oficial del Congreso con el estado “ARCHIVADO ARTÍCULO 190, LEY 5 DE 1992”. Fue radicado el 25 de febrero de 2025 y se hundió por vencimiento de términos.

Pero de ahí no se sigue que el negocio esté en tierra de nadie. Hay tres cosas que sí rigen hoy, y conviene conocerlas.

Uno: el proyecto que se hundió

El 510 no era una idea suelta. Pasó primer y segundo debate en Cámara, recogió conceptos de la Superintendencia de Industria y Comercio, del Ministerio de Hacienda, del Banco de la República y del gremio fintech, y proponía crear un registro público de proveedores a cargo de la Superintendencia de Sociedades. No alcanzó a llegar a Senado dentro de las dos legislaturas que permite el reglamento.

La Unidad de Información y Análisis Financiero, que es la entidad estatal que recibe los reportes del sector, lo dijo con todas las letras en un artículo institucional de agosto de 2026:

“El archivo de esta iniciativa deja a Colombia, a la fecha, sin un proyecto de ley vigente que designe una autoridad de supervisión integral para los PSAV.”

Y añade que esto abre una brecha frente a la Recomendación 15 del GAFI justo cuando se acerca la Quinta Ronda de Evaluaciones Mutuas del Gafilat, según la propia UIAF.

Traducido: el país llega a su examen internacional con el capítulo sin escribir.

Dos: la resolución que sí está vigente

Aquí está lo que muchos ignoran. Desde 2021 existe la Resolución 314 de la UIAF, y su estado es vigente. Obliga a reportar a quienes provean servicios de activos virtuales en Colombia: cambio entre cripto y pesos o dólares, cambio entre criptos, transferencia, custodia, administración, y participación en la oferta o venta de un activo virtual.

El texto de la norma precisa que la obligación aplica “sin importar el monto” del negocio del proveedor. Los umbrales entran después, en qué operaciones hay que reportar:

Qué se reporta	Desde
Transacciones individuales	USD 150
Transacciones múltiples, sumadas	USD 450

Los envíos empezaron el 1.º de abril de 2022 y son mensuales, dentro de los primeros veinte días calendario del mes siguiente. El reporte de operación sospechosa es inmediato. También hay que enviar reporte de clientes —activos, inactivos y desvinculados— y reportes de ausencia cuando no hubo movimientos. Los anexos técnicos incluyen campos de billetera y hash de la operación.

A eso se sumó una obligación tributaria. Según el oficio 3546 de 2026 de la DIAN, los proveedores domiciliados en Colombia o con operaciones en el país deben reportar en información exógena, formato 2856, las operaciones de sus usuarios que impliquen conversión entre pesos y activos digitales, por el año gravable 2026 y siguientes.

De modo que un exchange que opere en Colombia sin ley específica igual tiene obligaciones de reporte ante dos entidades del Estado.

Tres: la Superintendencia Financiera no está detrás de esto

Esta es la parte que más se malinterpreta en la publicidad de cualquier plataforma.

“…no supervisa, ni regula, ni vigila, ni avala, ni otorga permisos para realizar transacciones o desarrollar modelos de negocio basados en activos virtuales, popularmente conocidos como ‘criptomonedas’.”

Es la posición oficial de la SFC. Las negociaciones con criptoactivos no hacen parte del sistema financiero, y las plataformas de intercambio no están sujetas a su control, vigilancia o inspección.

Hubo un piloto —la Arenera— en el que siete alianzas entre entidades vigiladas y plataformas constituidas en Colombia probaron productos de depósito y servicios de pago en pesos, limitados a entradas y salidas de dinero. Terminó el 13 de junio de 2024. Lo que se aprobó ahí fue el manejo de pesos por parte del banco, no el negocio cripto.

En su material de educación al consumidor la Superintendencia responde de forma tajante: a la pregunta de si vigila esta actividad, “No”. Y a si es seguro invertir o negociar con criptoactivos, “No”.

Qué protección se pierde

Cuando Usted pone plata en un banco inscrito en Fogafín, tiene un seguro de depósitos:

“Es el seguro que protege a los ahorradores colombianos frente a la eventual liquidación de una entidad inscrita en Fogafín y garantiza a los depositantes la recuperación de sus ahorros hasta por 50 millones de pesos.”

Así lo describe Fogafín. Es automático, no le cuesta nada al ahorrador —la entidad paga una prima de 0,3 % de los depósitos asegurados— y cubre cuentas corrientes, de ahorro, CDT, depósitos simples, de bajo monto y ordinarios y bonos hipotecarios.

Lo que no cubre está escrito con la misma claridad: productos ofrecidos por entidades no inscritas, productos fiduciarios, seguros y bonos ordinarios. La SFC lo reitera para el caso puntual: los criptoactivos “no se encuentran amparados por ningún tipo de garantía privada o estatal ni sus operaciones son susceptibles de cobertura por parte del seguro de depósito”.

No hay quien responda. Esa es la diferencia, y no es de matiz.

Un caso concreto de 2026

El vacío legal no impide que el Estado actúe cuando alguien capta dinero sin autorización, porque esa conducta sí está tipificada desde hace décadas.

Mediante la Resolución 0909 del 17 de junio de 2026, anunciada el 3 de julio, la Superintendencia Financiera ordenó suspender de inmediato las actividades de captación de dos personas naturales que habían recibido cerca de $933.255.980 de al menos 48 personas, ofreciendo rentabilidades fijas de entre 10 % y 12 % mensuales, devolución del capital en unos 240 días hábiles e incentivos por vincular nuevos inversionistas. El expediente pasó a la Superintendencia de Sociedades y a la Fiscalía, según el comunicado de la entidad.

Los dos rasgos del anzuelo son los de siempre: rendimiento fijo prometido y premio por traer gente. Ninguno de los dos es compatible con un negocio legítimo de inversión.

La SFC lo recuerda en su alerta actualizada el 11 de junio de 2026: ninguna persona natural puede captar dinero del público sin autorización.

Cómo verificar antes de entregar plata

La Superintendencia publica y mantiene actualizada la lista general de entidades vigiladas, organizada por tipo —establecimientos bancarios, compañías de financiamiento, sociedades especializadas en depósitos y pagos electrónicos, sociedades de financiación colaborativa y demás—, con novedades desde 2006. La página se actualizó el 1.º de septiembre de 2026 y está en el portal de la SFC.

Buscar un nombre ahí toma dos minutos. Si no aparece, no está vigilado. Eso no lo vuelve ilegal —muchos negocios legítimos no requieren vigilancia—, pero sí significa que si algo sale mal, no hay superintendencia que responda ni seguro de depósitos que reponga.

Lo que no sabemos

La ficha de Cámara no publica la fecha exacta del archivo del proyecto, y la UIAF menciona solo una eventual radicación futura sin decir cuándo. Tampoco encontramos pronunciamientos de la Superintendencia Financiera fechados en 2025 o 2026 específicamente sobre criptoactivos y entidades vigiladas: los que localizamos son de 2024, más la pieza de educación financiera actualizada en junio de 2026. Si se radica un nuevo proyecto, lo cubrimos.