Durante un par de años, "regulación de la IA" en EE. UU. significó muchos marcos anunciados y muy poco que una empresa tuviera que hacer distinto un lunes por la mañana. Eso cambió en unas cinco semanas este verano.

Tres estados aprobaron leyes con tres enfoques bastante distintos —uno dirigido a los modelos punteros, otro a las interfaces de chatbot, otro a la procedencia del contenido—, un regulador federal anunció medidas en un cuarto frente, y el proyecto que debía armonizarlo todo se atascó. Ninguna es de alcance total. Juntas son el primer conjunto de reglas de IA en EE. UU. con obligaciones y fechas concretas.

Illinois: alguien de fuera de la empresa tiene que mirar el modelo

En julio, Illinois aprobó la Artificial Intelligence Safety Measures Act, conocida como SB 315. Los análisis jurídicos la describen como la primera ley estatal de EE. UU. que exige auditorías de seguridad independientes por terceros sobre modelos de IA punteros, aplicable a desarrolladores por encima de cierto umbral de facturación, con sanciones civiles de hasta 3 millones de dólares por infracción. Las obligaciones principales entran en vigor antes de enero de 2028.

El requisito de auditoría es lo que la diferencia de las leyes de transparencia anteriores. Una norma de divulgación pide a la empresa que publique lo que sabe de su propio modelo. Una norma de auditoría pide que otro vaya a comprobarlo. Suenan parecido y no lo son: la primera produce un documento escrito por quien más interés tiene en cómo se lee, y la segunda uno escrito por alguien que tiene que poner su nombre en la valoración.

Que funcione en la práctica depende casi por completo de detalles aún sin cerrar: quién está cualificado para auditar un modelo puntero, a qué accede y si una empresa que suspende una auditoría puede encargar sencillamente otra. Esas preguntas han tardado años en responderse mal en la auditoría financiera, y no hay motivo para esperar que aquí se resuelvan más rápido.

Colorado: una ley sobre la interfaz, no sobre el modelo

Colorado firmó el 1 de julio una Chatbot Safety Act, descrita como la primera ley estatal de EE. UU. escrita específicamente para la IA conversacional y no para los sistemas de IA en general. Cuando hay menores implicados, restringe funciones que fomentan la dependencia emocional, las mecánicas de gamificación y los contenidos inapropiados.

Lo interesante es dónde sitúa el daño. Casi toda la regulación de IA apunta al modelo: con qué se entrenó, qué puede producir, cuán capaz es. Colorado apuntó al producto que envuelve al modelo: rachas, afecto simulado, calendarios de recompensa variable, las mecánicas que hacen difícil soltar una app. Son decisiones que toma un equipo de diseño en una reunión de planificación, no propiedades que emerjan del entrenamiento.

Ese enfoque tiene una consecuencia práctica. Una empresa no puede cumplir cambiando el modelo subyacente, porque el modelo nunca fue lo regulado. Tiene que cambiar el producto.

California: la procedencia pasó a ser exigible en agosto

Los requisitos de procedencia de la SB 942 de California pasaron a ser exigibles el 2 de agosto de 2026. A grandes rasgos obligan a revelar que un contenido ha sido generado con IA, junto con documentación de su origen.

La procedencia es una de las pocas normas de IA genuinamente técnica y no procedimental. No pide un documento de política: pide una señal duradera adherida a un archivo, que es un problema de ingeniería con modos de fallo conocidos —las señales se pierden al recodificar, las capturas de pantalla las destruyen y quien quiera las quita a propósito—. La norma sigue siendo útil en el caso corriente, que es la mayor parte del contenido la mayor parte del tiempo, pero no es un detector ni pretende serlo.

Un régimen transfronterizo de transparencia distinto, con obligaciones solapadas, entró en vigor la misma fecha. Para quien distribuye un producto a escala internacional, el resultado práctico es que el cumplimiento se construye según el estándar más estricto y se aplica en todas partes, porque mantener dos comportamientos de divulgación en un mismo producto sale más caro que cumplir dos veces.

La FTC apuntó a la distancia entre el marketing y el ajuste

El 1 de julio, la Comisión Federal de Comercio publicó una declaración de política avisando de que tratará como conducta engañosa, al amparo de la Sección 5, que una empresa desvíe discretamente las salidas de su IA respecto de la exactitud mientras comercializa ese sistema como optimizado para el rendimiento; y de que cumplir la normativa estatal no protegerá esa conducta.

Conviene leerla con atención si construyes sobre modelos en lugar de entrenarlos. El objetivo no es la inexactitud: los modelos se equivocan continuamente y todo el mundo lo sabe. El objetivo es la distancia entre lo que un producto afirma sobre sus salidas y aquello que se le ha ajustado para producir. El usuario no puede ver el ajuste. Lo único sobre lo que puede actuar es la afirmación de la etiqueta, que es exactamente la situación para la que se construyó el derecho del consumidor.

El proyecto federal que debía simplificar esto no lo hizo

La Great American AI Act, bipartidista, seguía siendo un borrador de trabajo durante julio, y las informaciones atribuían el retraso al desacuerdo sobre la preferencia normativa: si un estándar federal debe desplazar a las reglas estatales o convivir con ellas.

Ese es todo el debate, y no es técnico. Una ley federal que desplace a las estatales sustituiría las auditorías de Illinois, las disposiciones de chatbots de Colorado y los deberes de procedencia de California por un único estándar nacional. Una que conviva con ellas añade una capa. Qué estados conservan sus reglas más estrictas es una pregunta sobre poder, no sobre IA, y por eso el proyecto no avanza.

Hasta que lo haga, la realidad operativa para los desarrolladores es el mosaico: varios conjuntos de obligaciones con distintos supuestos, umbrales y fechas de aplicación, todos vigentes a la vez.

Si distribuyes un producto, se siguen tres cosas

Averigua si eres desarrollador o implantador. Casi todas estas leyes distinguen entre quien construye un modelo y quien lo pone delante de usuarios, y las obligaciones difieren mucho. Una empresa que afina un modelo existente y lo distribuye en una app suele estar en ambas categorías a la vez, que es la posición más incómoda.

Comprueba los umbrales antes de darte por exento. Las normas sobre modelos punteros apuntan a grandes desarrolladores, pero los umbrales de facturación se mueven, y las reglas sobre chatbots o procedencia con frecuencia no tienen umbral alguno.

Documenta qué hace realmente tu producto. La declaración de la FTC, los requisitos de auditoría y las normas de procedencia premian lo mismo, y es poco lucido: un registro interno fiel de cómo se ajustó el sistema, qué se le indicó hacer y qué se afirmó de él en marketing. Las empresas que llevan ese registro viven el cumplimiento como papeleo. Las que no, como arqueología.

Esto describe lo que dicen las normas; no es asesoramiento jurídico. Si algo de esto afecta a tu producto, la persona a la que preguntar es un abogado de la jurisdicción correspondiente. Nuestro directorio de herramientas legales y de cumplimiento recoge software de esta área, y la línea de tiempo de regulación de la IA sigue cada cambio por fechas.