Regulación de IA en Estados Unidos: el Mapa de 2026

La regulación de IA en Estados Unidos dejó de ser un tema lejano y se convirtió en un problema operativo para quienes venden en el exterior. En junio de 2026, el gobierno federal apostó por reglas voluntarias mientras los estados crearon obligaciones vinculantes y divergentes. Para una empresa brasileña que procesa datos de usuarios estadounidenses, esto cambia las reglas del juego. Voy a explicar lo que sucedió y qué hacer con la información.

TL;DR

• El 02/06/2026 la Casa Blanca emitió la orden ejecutiva "Promoting Advanced Artificial Intelligence Innovation and Security", centrada en ciberseguridad y en marcos voluntarios para modelos frontier.
• Los estados fueron en la dirección opuesta: crearon obligaciones vinculantes. California (SB 53) ya está vigente desde enero de 2026; Colorado (SB 26-189) entra en vigor el 01/01/2027.
• El resultado es un mosaico ("patchwork"): "la regla de EE. UU." no existe — depende del estado.
• Una empresa brasileña (SaaS, agencia, e-commerce) que vende o procesa datos en EE. UU. necesita mapear obligaciones por estado, no por país.
• Quien se organice ahora transforma el cumplimiento en un diferencial comercial, no en un costo muerto.

Qué dice realmente la Orden Ejecutiva de junio de 2026

El 2 de junio de 2026, la Casa Blanca publicó la orden ejecutiva titulada Promoting Advanced Artificial Intelligence Innovation and Security. El objetivo declarado es directo: avanzar el liderazgo de Estados Unidos en inteligencia artificial y, al mismo tiempo, abordar los riesgos de seguridad nacional de sistemas cada vez más capaces.

El texto trabaja en dos frentes. El primero es defensivo: fortalecer las defensas cibernéticas del gobierno y la industria privada frente a la llamada "IA avanzada". El segundo es de gobernanza: desarrollar marcos voluntarios de evaluación comparativa y revisión para el desarrollo y lanzamiento seguro de modelos "frontier" — los modelos de frontera, entrenados con una capacidad de cómputo masiva.

Fíjate en la palabra clave aquí: voluntario. La apuesta federal es innovación primero, con reglas que las empresas adoptan por adhesión, no por imposición. No hay, en esta orden, multa por incumplimiento de evaluación comparativa. Es una señal de dirección, no una camisa de fuerza.

Para quien desarrolla producto, esto parece un alivio. Y lo es — a nivel federal. El problema aparece cuando miras un escalón más abajo, hacia los estados.

La paradoja: federal voluntario, estatal obligatorio

El sistema estadounidense es federativo. Cada estado legisla sobre una serie de temas, y la IA entró en esa lista. Mientras Washington habla de adhesión voluntaria, las capitales estatales redactan leyes con plazos de vigencia, deberes documentales y penalidades.

Esta es la tensión central de 2026. Por un lado, el gobierno federal no quiere obstaculizar la carrera tecnológica. Por otro, los estados quieren proteger a los consumidores y responsabilizar a quienes usan IA en decisiones sensibles. Ambos movimientos ocurren al mismo tiempo y no se comunican.

El efecto práctico es la fragmentación — lo que los juristas llaman "patchwork", el mosaico. Una empresa que opera en cinco estados puede enfrentar cinco conjuntos de reglas diferentes, con plazos diferentes y definiciones diferentes de lo que es un "sistema de IA de alto riesgo".

Ya he visto esta película en privacidad de datos, cuando cada estado comenzó a crear su propia ley después de California. En IA, el guion se repite — y más rápido.

California: el SB 53 y la transparencia de los modelos frontier

California, como es habitual, se adelantó. El Transparency in Frontier AI Act (SB 53) trae múltiples obligaciones que entraron en vigor en enero de 2026.

La ley apunta a los desarrolladores de grandes modelos frontier. No se trata de quien usa un chatbot en el sitio web — se trata de quien entrena y lanza los modelos de mayor tamaño. Para estos actores, el SB 53 exige tres cosas concretas:

1. Publicar marcos de riesgo — documentar cómo la empresa evalúa y mitiga los riesgos del modelo, de forma pública.
2. Reportar incidentes de seguridad — comunicar fallos y eventos críticos de seguridad relacionados con el sistema.
3. Implementar protección a denunciantes — garantizar canales y blindaje para empleados que denuncien riesgos internos.

Quién debe preocuparse realmente

Si eres una agencia o un SaaS brasileño que consume la API de un modelo de frontera, el peso directo del SB 53 recae sobre el proveedor del modelo, no sobre ti. Pero hay un efecto en cascada: los proveedores trasladarán las exigencias de documentación y transparencia contractualmente. Vale la pena leer los términos con atención. La lógica es la misma que ya discutí en Agentes de IA: lo que Gemini Spark cambia para las empresas — la responsabilidad baja por la cadena.

Colorado: del paraguas al bisturí (SB 26-189)

Colorado tomó un camino curioso. En mayo de 2026, el estado derogó y reemplazó su ley anterior de IA por la SB 26-189. Salió una norma amplia; entró un estatuto más estrecho y quirúrgico.

La nueva ley regula un objetivo específico: la tecnología de decisión automatizada (ADMT, por sus siglas en inglés) que influye materialmente en decisiones consecuenciales. Piensa en crédito, empleo, vivienda, seguros — situaciones en las que un algoritmo ayuda a decidir la vida de alguien. La vigencia es el 01/01/2027.

El cambio de filosofía es el punto interesante. La versión anterior apostaba por programas de gestión de riesgos y evaluaciones de impacto — mucha burocracia preventiva. La SB 26-189 cambia eso por deberes más palpables y centrados en el consumidor:

• Aviso previo al consumidor de que una decisión consecuencial utiliza ADMT.
• Explicación de resultado adverso en un plazo de 30 días, cuando la decisión sea desfavorable.
• Derecho a revisión humana significativa — una persona, no solo otro algoritmo, reanalizando el caso.
• Deberes de documentación del desarrollador de la tecnología.

Para una empresa brasileña que vende software de RRHH, scoring o suscripción de seguros en EE. UU., este es el tipo de ley que afecta directamente al producto. "Explicar resultado adverso en 30 días" no es una cláusula de pie de página — es flujo de UX, es registro, es proceso de soporte.

Tabla comparativa: federal vs. California vs. Colorado

He puesto las tres capas lado a lado para que el mosaico sea visible:

Capa	Naturaleza	Qué exige	Objetivo principal	Vigencia
Federal (Orden Ejecutiva 02/06/2026)	Voluntaria	Marcos de evaluación comparativa y revisión; refuerzo de ciberseguridad	Modelos frontier; gobierno e industria	Inmediata (no vinculante)
California (SB 53)	Obligatoria	Publicar marco de riesgo, reportar incidentes, proteger denunciantes	Desarrolladores de grandes modelos frontier	Enero de 2026
Colorado (SB 26-189)	Obligatoria	Aviso previo, explicación de resultado adverso en 30 días, revisión humana, documentación	ADMT en decisiones consecuenciales	01/01/2027

La lectura de la tabla es incómoda a propósito. Tres jurisdicciones, tres naturalezas, tres plazos. Y esto son solo dos estados más el nivel federal — hay decenas de legislaturas estatales trabajando en el tema.

Por qué "la regla de EE. UU." no existe (y qué cuesta)

El error más común que veo al hablar con clientes es preguntar "¿cuál es la ley de IA de Estados Unidos?". La pregunta no tiene una respuesta única. Existe una orientación federal voluntaria y existen leyes estatales obligatorias que divergen entre sí.

Esto tiene un costo. Cada nuevo estado en tu base de usuarios puede significar:

• Revisar avisos y pantallas de consentimiento.
• Ajustar plazos de respuesta (el de 30 días de Colorado, por ejemplo).
• Reorganizar la documentación técnica para auditoría.
• Capacitar al soporte para manejar solicitudes de revisión humana.

El costo de cumplimiento crece de forma no lineal. No es "un país más" — es "una legislatura más". Las grandes empresas lo absorben con equipos legales. Las pequeñas y medianas lo sienten más, porque cada exigencia se convierte en trabajo de ingeniería y de proceso.

Vale recordar que esto no ocurre en el vacío. El mercado laboral tecnológico también está siendo rediseñado por la IA — escribí sobre el lado corporativo de esta presión en Atlassian en 2026: despidos, IA y la apuesta por los agentes. Regulación y reestructuración de equipos van de la mano.

Qué cambia para la empresa brasileña que vende en EE. UU.

Voy a ser concreto, porque así pienso cuando atiendo clientes que facturan fuera de Brasil. Tres perfiles sienten el impacto de diferentes maneras.

SaaS

Si tu software toma o respalda decisiones consecuenciales — crédito, contratación, fijación de precios de riesgo — Colorado es tu señal de alerta. Empieza a diseñar ahora el flujo de aviso previo y de explicación de resultado adverso. Construir esto antes de la vigencia de 2027 es barato; construirlo apresuradamente después es caro.

Agencia

Las agencias que entregan automatización e IA a clientes estadounidenses se convierten en intermediarias en la cadena de responsabilidad. Sus contratos deben dejar claro quién documenta qué. Una cláusula vaga hoy se convierte en disputa mañana.

E-commerce

El e-commerce que utiliza IA para recomendación, antifraude o fijación dinámica de precios debe mapear si esas decisiones son "consecuenciales" según las leyes estatales. La recomendación de producto rara vez lo es; denegar una transacción o ajustar el precio de forma discriminatoria puede serlo.

El denominador común es uno solo: deja de pensar en "mercado estadounidense" como un bloque único. Piensa estado por estado, función por función. Las novedades de plataforma que comenté en Google I/O 2026: lo que cambia para las empresas brasileñas solo aumentan esta superficie — más IA integrada significa más puntos sujetos a reglas estatales.

Lista de verificación práctica de cumplimiento

En Agathas Web, cuando evalúo la exposición regulatoria de un cliente, sigo un itinerario conciso. Adáptalo a tu caso:

1. Mapea dónde están tus usuarios. No el país — el estado. La geolocalización y los datos de facturación ya dicen mucho.
2. Clasifica tus decisiones automatizadas. ¿Cuáles son solo conveniencia y cuáles influyen materialmente en la vida de alguien?
3. Enumera tus proveedores de modelo. Si usas un modelo frontier a través de API, lee los términos bajo la óptica del SB 53.
4. Implementa un registro de auditoría. Registro de qué modelo decidió qué, cuándo y con base en qué. Esto sirve para casi toda ley estatal.
5. Diseña el flujo de revisión humana. Una persona debe poder reanalizar y revertir decisiones adversas.
6. Estandariza los avisos al consumidor. Texto claro de que hay IA en la decisión, listo para activar por estado.
7. Revisa los contratos. Distribuye las responsabilidades de documentación en la cadena, por escrito.

No es necesario hacer todo la próxima semana. Necesitas tener el mapa y priorizar según el plazo más cercano — en este caso, la vigencia de 2027 en Colorado y lo que ya está vigente en California.

Conclusión: cómo prepararme sin frenar el producto

La regulación de IA en Estados Unidos en 2026 es un mosaico, y seguirá así por un tiempo. El nivel federal señala una dirección con reglas voluntarias; los estados imponen deberes concretos con plazos reales. Quien vende allí necesita razonar por estado y por función, no por país.

La buena noticia es que el cumplimiento bien hecho no frena el producto — se convierte en un argumento de venta. El cliente corporativo estadounidense valora a un proveedor que ya tiene registro de auditoría, aviso al consumidor y revisión humana implementados. Esto es confianza, y la confianza cierra contratos.

Si quieres entender cómo se aplica esta exposición a tu producto específico, es exactamente el tipo de diagnóstico que hago a diario. Empieza por la lista de verificación anterior — y si te atas, habla con nosotros. Mapear temprano cuesta poco; correr detrás después de la vigencia cuesta caro.