Hace unas semanas, tuve la oportunidad de aparecer en el Wall Street Journal para hablar sobre lo que está ocurriendo a nivel federal en materia de regulación de la IA.
Aunque el panorama federal cambia constantemente, sigue siendo fundamental estar al tanto de las novedades que se producen a nivel estatal y local, ya que tendrán un impacto significativo en la forma en que su organización adopta la IA, incluidos los requisitos para regular su uso entre toda la plantilla y evitar importantes sanciones civiles y penales.
Una de las jurisdicciones con las que hemos colaborado estrechamente es mi estado natal, Colorado. El año pasado, tuve la oportunidad de trabajar codo con codo con otros líderes tecnológicos del estado para tratar de influir en la ley de Colorado sobre la regulación de la IA, conocida como Proyecto de Ley del Senado (SB) 205.
Acerca del proyecto de ley 205 del Senado de Colorado
La SB 205 de Colorado, la histórica ley de Colorado sobre inteligencia artificial, fue promulgada por el gobernador Jared Polis el 17 de mayo de 2024. El proyecto de ley establece requisitos para las empresas que utilizan la IA (es decir, todas las empresas con usuarios que tienen acceso a Internet) a fin de que implanten controles que protejan a los ciudadanos de Colorado. Se espera que las empresas protejan a los consumidores frente a «riesgos razonablemente previsibles» en los que la IA pueda tomar decisiones que afecten a los consumidores de forma discriminatoria o sesgada. Esto significa que todas las empresas que operan en el estado de Colorado deben informar a todos los consumidores sobre cómo utilizan la IA sus empleados y sobre las medidas de protección que han implantado para mitigar los riesgos derivados del uso de la IA en la organización.
Aunque en la sesión legislativa más reciente se propuso una enmienda a la SB 205 (SB 318) para intentar reducir la carga de cumplimiento normativo de las empresas que operan en Colorado, la propuesta fue rechazada en comisión. Dado que la legislatura de Colorado volverá a reunirse en enero de 2026, es poco probable que se modifique la SB 205 antes de la fecha de entrada en vigor actualmente prevista, el 1 de febrero de 2026, por lo que las empresas deben estar preparadas para cumplirla a más tardar en esa fecha.
Qué significa esto para las empresas que operan en Colorado
En virtud de la SB 205, cualquier riesgo para los consumidores que se prevea que pueda derivarse del uso de la IA por parte de una organización deberá comunicarse a los consumidores y al fiscal general de Colorado antes de su implementación. Las empresas deberán cumplir las disposiciones de la SB 205 antes del 1 de febrero de 2026 o se enfrentarán a medidas coercitivas por parte de la Fiscalía General de Colorado.
Afortunadamente, muchas organizaciones tecnológicas de Colorado aunaron esfuerzos para ejercer presión con éxito y lograr que la SB 205 incluyera disposiciones que establecen una presunción refutable de cumplimiento cuando una organización aplica controles adecuados de IA. Al implantar programas de gestión de riesgos que incluyan controles de gobernanza adecuados, las organizaciones se benefician de una presunción de cumplimiento que reduce considerablemente su carga de cumplimiento normativo y su exposición a medidas coercitivas.
Mis reflexiones sobre la SB 205
Tuve la oportunidad de comparecer ante el Senado de Colorado cuando el proyecto de ley SB 205 se estaba debatiendo en comisión. Consideré que mi principal obligación era garantizar que el propio proyecto de ley no impusiera una carga excesiva que obstaculizara la innovación en el estado de Colorado ni impidiera la adopción de tecnologías esenciales que permiten a las empresas de Colorado ser competitivas en la era de la IA.
Identifiqué dos grandes problemas en la SB 205 que afectarán a las organizaciones que operan en Colorado. Lamentablemente, no se resolvieron antes de su aprobación:
- La definición de «sistema de inteligencia artificial» es preocupantemente amplia. Se define como cualquier sistema que genera un resultado a partir de unos datos de entrada. Esto podría incluir una fórmula de una hoja de cálculo de Excel, una ecuación algebraica o una tostadora. La imposibilidad de definir qué es la «IA» implica que las empresas no sepan en qué ámbitos deben aplicar correctamente los requisitos de la SB 205, lo que aumenta la carga regulatoria y los riesgos de incumplimiento legal.
- La definición de «sistema de inteligencia artificial de alto riesgo» se basa en el uso que se haga de un «sistema de inteligencia artificial». La forma en que se utiliza una herramienta suele venir determinada por su consumidor o usuario final o, según este proyecto de ley, por el «responsable del despliegue». Esto significa que ahora los empleadores son responsables de controlar cómo utilizan sus empleados cualquier herramienta basada en IA, desde ChatGPT hasta Grammarly, independientemente de que estuviera destinada o no a utilizarse como una solución de IA de «alto riesgo».
Preparación para cumplir los requisitos normativos sobre IA, como la SB 205, entre otros
Aunque todos esperamos que los requisitos de la SB 205 se flexibilicen en el periodo legislativo de 2026, es poco probable que esto ocurra antes de la fecha de aplicación actualmente prevista, el 1 de febrero de 2026. Treinta y siete estados han promulgado normativas sobre IA con requisitos similares, además del Reglamento de IA de la UE y de numerosas normativas en las regiones de Asia-Pacífico. Orrick ofrece un recurso excepcional en el Centro de Derecho de la IA, donde realizan un seguimiento activo de estas normativas.
Para seguir cumpliendo la SB 205 y muchas de estas normativas emergentes, las organizaciones deben determinar cómo pretenden obtener visibilidad sobre el uso que hacen los empleados de las soluciones de IA y garantizar que los datos de los consumidores relativos a categorías protegidas no queden expuestos a modelos de IA, ya sean ChatGPT, DeepSeek, Claude o modelos propios implementados internamente, como AWS Bedrock, OpenAI en Azure, etc.
No creamos Workforce AI Security, anteriormente denominado SurepathAI, con la intención de hacer cumplir una legislación excesivamente gravosa; de hecho, nos opusimos activamente a las dificultades que plantea la SB 205. Creamos Workforce AI Security para proteger sus datos más sensibles frente a terceros y ayudarle a adoptar la IA de forma segura y generalizada en toda su organización. No obstante, a medida que siguen surgiendo normativas sobre IA, podemos ayudarle. F5 Workforce AI Security simplifica la obtención de visibilidad y la transformación del uso de la IA, para que su organización pueda seguir cumpliendo normativas como la SB 205 sin reducir la adopción de soluciones de IA, que son fundamentales para mantener la competitividad en el mercado actual.
Aviso legal: Esta publicación no constituye asesoramiento jurídico. Para analizar las posibles implicaciones legales de la ley SB 205 u otras normativas sobre IA aplicables específicamente a su empresa, consulte con su propio asesor jurídico. Asimismo, estaremos encantados de ponerle en contacto con expertos de firmas líderes del sector con las que colaboramos en cuestiones relacionadas con la gobernanza de la IA.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.