La ley opera a través de personas e instituciones
Los sistemas de IA no están al margen de la rendición de cuentas ordinaria. Los desarrolladores, los desplegadores, los proveedores, los directivos, las agencias públicas y los usuarios toman decisiones sobre el entrenamiento, el acceso, la integración y la respuesta. La ley puede asignar deberes, exigir evidencia, crear remedios, y autorizar a los reguladores a intervenir. Su eficacia depende del alcance, la capacidad de aplicación, la competencia técnica, y si las obligaciones alcanzan al actor que realmente puede prevenir el daño.
La regulación no es automáticamente más rápida ni más fiable que la presión pública, y la práctica voluntaria no es automáticamente inútil. La elaboración de normas y los litigios pueden ser lentos; los estándares y la contratación pueden avanzar antes, pero pueden carecer de rendición de cuentas democrática. Una estrategia duradera combina pisos exigibles con una implementación técnica flexible y el escrutinio público.
Adecuar la norma al ciclo de vida
Una norma de entrenamiento podría exigir reporte, seguridad, o evaluación para las ejecuciones de desarrollo excepcionalmente grandes o capaces. Una norma de pesos del modelo podría imponer protección o publicación controlada donde el robo o la copia sin restricciones cree un riesgo grave. Una norma de despliegue puede regir a los usuarios, las salvaguardas, y el monitoreo de incidentes de un servicio alojado. Una norma de inferencia o de uso puede restringir una aplicación en el empleo, la salud, el crédito, la infraestructura, o las armas.
Estas no son intercambiables. Prohibir un despliegue no borra los pesos. Un umbral de cómputo de entrenamiento puede no captar a un modelo más pequeño potenciado mediante herramientas o cómputo en tiempo de inferencia. Una norma de aplicación puede proteger a las personas afectadas sin regular la investigación general. Una buena ley identifica al actor, la superficie de control, el detonante basado en evidencia, y el remedio.
El panorama actual ya no es “solo voluntario”
La Ley de IA de la Unión Europea crea obligaciones vinculantes. Los deberes de los proveedores de IA de propósito general comenzaron a aplicarse el 2 de agosto de 2025, incluyendo la documentación técnica, la información para los proveedores posteriores, una política de derechos de autor, y un resumen del contenido de entrenamiento. Los proveedores de modelos clasificados como de riesgo sistémico enfrentan deberes adicionales de evaluación, mitigación, reporte de incidentes y ciberseguridad (panorama de la Comisión Europea sobre IA de propósito general). Las facultades de aplicación pertinentes de la Oficina de IA comenzaron a aplicarse el 2 de agosto de 2026 (marco de aplicación de la UE).
En Estados Unidos, la Orden Ejecutiva 14110 fue revocada en enero de 2025, por lo que los artículos no deben presentar su programa de reporte como política federal vigente (orden ejecutiva de 2025). La política federal sigue distribuida entre las agencias existentes, la ley sectorial, la contratación pública, los controles de exportación, y las normas estatales, en lugar de un único estatuto integral sobre IA.
California promulgó la SB 53, que exige a los grandes desarrolladores de frontera cubiertos publicar marcos de trabajo, abordar los umbrales y las mitigaciones de riesgo catastrófico, reportar incidentes específicos, y proteger a los denunciantes cubiertos (guía del Fiscal General de California sobre la SB 53). La RAISE Act de Nueva York y sus enmiendas de capítulo de 2026 crearon requisitos adicionales de transparencia y reporte para modelos de frontera; el registro oficial del proyecto de ley muestra que la enmienda de capítulo se firmó en marzo de 2026 (Senado de Nueva York S8828). Estas leyes son más estrechas que una garantía general de seguridad, pero refutan la afirmación de que no existe una gobernanza vinculante para los modelos de frontera.
Responsabilidad civil y remedio
La responsabilidad civil puede encarecer el daño prevenible, pero los eslóganes sobre asignar todo el costo a “la parte mejor posicionada” dejan preguntas difíciles. Un desarrollador puede controlar el entrenamiento y las salvaguardas; un hospital o un empleador controla el contexto y la revisión humana; un proveedor posterior controla el ajuste fino; un usuario malicioso puede violar todas las normas. La responsabilidad puede ser compartida.
Los regímenes útiles definen estándares de cuidado, conservan la evidencia, permiten a las personas dañadas obtener explicaciones o impugnar decisiones, y evitan la inmunidad general para el uso indebido previsible. Al mismo tiempo, la responsabilidad ilimitada puede desincentivar la investigación abierta beneficiosa o concentrar el mercado entre las empresas capaces de asegurarse. Los puertos seguros pueden recompensar las pruebas documentadas y la respuesta pronta a incidentes, sin convertirse en inmunidad por marcar una casilla.
Los remedios deben ajustarse al daño: compensación, corrección, eliminación, medida cautelar, retiro del producto, restricción de licencia, sanción civil, o aplicación penal para la conducta intencional. Los sistemas de alto riesgo también necesitan apelaciones administrativas rápidas, porque años de litigio no pueden restituir un beneficio perdido o una decisión médica urgente.
La contratación pública puede crear estándares operativos
Los gobiernos y las grandes empresas pueden exigir protecciones antes de la compra. La orientación de la Oficina de Administración y Presupuesto de Estados Unidos (OMB) para la adquisición federal de IA exige una planificación interfuncional, el monitoreo del desempeño, consideraciones sobre datos y propiedad intelectual, y una gestión de riesgos proporcional al impacto (OMB M-25-22).
Un contrato sólido debe especificar:
- el modelo aprobado y si el proveedor puede cambiarlo automáticamente;
- las pruebas pertinentes previas al despliegue y el acceso a la evaluación independiente;
- los registros de auditoría, la documentación, la retención de datos y la privacidad;
- los plazos de notificación de brechas e incidentes de IA;
- los permisos de herramientas y los puntos de aprobación humana;
- la reversión, la suspensión, la revocación de credenciales, y el retiro seguro de servicio;
- la exportación de datos, la interoperabilidad, y la asistencia para la transición;
- las dependencias de subcontratistas y de la nube;
- los remedios cuando fallan el desempeño o las salvaguardas.
Las condiciones de contratación pueden extenderse por el mercado porque los proveedores reutilizan sus capacidades para múltiples clientes. También pueden afianzar a los actores establecidos si los requisitos son vagos, propietarios, o desproporcionadamente costosos. Los estándares abiertos, los recursos de prueba compartidos, y las obligaciones escalonadas ayudan a competir a los proveedores más pequeños.
Las auditorías necesitan acceso y consecuencias
Una auditoría es tan buena como su alcance. Una revisión documental no puede validar el comportamiento en el mundo real. Los auditores necesitan la configuración desplegada pertinente, la documentación, los registros, los incidentes conocidos, y la autoridad para probar condiciones de fallo plausibles. La independencia, la competencia, la divulgación de conflictos, y la protección de la información sensible importan todas.
Los hallazgos de auditoría deben vincularse a plazos de remediación, límites de despliegue, pruebas de seguimiento, y resúmenes públicos apropiados al riesgo. Un informe completo confidencial puede ser necesario por razones de seguridad o privacidad, pero el secreto no debería permitir que una empresa se anuncie como “auditada” sin declarar qué se examinó.
Los reguladores también necesitan personal técnico y acceso seguro. Exigir informes que ninguna agencia puede interpretar crea un teatro de cumplimiento. Las tarifas sobre las entidades reguladas pueden financiar la supervisión si se estructuran de forma que preserven la independencia institucional.
La política de competencia tiene una disyuntiva real de seguridad
La concentración en los chips, la nube, los datos, la distribución, y los modelos fundacionales puede crear dependencia de un proveedor, puntos de fallo compartidos, y poder político privado. El estudio de 2025 de la FTC sobre las asociaciones entre la nube y la IA identificó el acceso al cómputo y al talento, los costos de cambio, la exclusividad, y el intercambio de información sensible como preocupaciones de competencia (informe del personal de la FTC).
Más competencia puede reducir la dependencia y permitir a los usuarios abandonar a los proveedores inseguros. También puede intensificar las carreras de lanzamiento, multiplicar los repositorios de pesos mal protegidos, y dificultar unas salvaguardas coordinadas. Un único gran proveedor puede invertir más en seguridad mientras crea un punto único de fallo catastrófico. Por ello, la política de competencia debe proteger la disputabilidad del mercado, la interoperabilidad, la movilidad laboral, y el acceso a los insumos esenciales, sin suponer que la estructura de mercado más grande o más pequeña sea automáticamente la más segura.
La coordinación de seguridad entre competidores puede ser beneficiosa —formatos compartidos de incidentes, métodos de referencia, o inteligencia de seguridad— pero también puede encubrir la exclusión o la coordinación de precios. El Departamento de Justicia y la FTC solicitaron en 2026 orientación pública actualizada sobre la colaboración entre competidores, incluyendo explícitamente la fijación algorítmica de precios y el intercambio de información (consulta del DOJ/FTC). Unas normas claras pueden permitir una cooperación de seguridad genuina sin dejar de preservar la competencia.
Respuesta a incidentes y autoridad de emergencia
Las organizaciones deben tener deberes legales de conservar los registros, notificar a las autoridades pertinentes y a las partes afectadas, contener el daño, y cooperar a través de las dependencias. Los reguladores necesitan facultades graduadas: solicitar información, exigir mitigación, restringir una función, u ordenar la suspensión cuando la evidencia muestre un peligro urgente.
Las medidas de emergencia necesitan debido proceso. Deben identificar al responsable de la decisión, el umbral, el alcance, la duración, la revisión, y las condiciones de restauración. Un “apagado de la IA” amplio e indefinido no es ni técnicamente coherente ni compatible con un gobierno que rinda cuentas.
La conclusión práctica
La influencia legal es más sólida cuando es específica. Convierte el “sea responsable” en deberes ligados al entrenamiento, los pesos, el despliegue, la inferencia, la contratación, y el uso de alto impacto. Da a las personas afectadas remedios, y da a los operadores autoridad clara para auditar, revocar privilegios, revertir sistemas, y responder a incidentes.
Ninguna jurisdicción ha resuelto la gobernanza de la IA. Pero para septiembre de 2026, las obligaciones vinculantes de frontera de la UE y de los estados, las normas federales de contratación, la aplicación de la política de competencia, y la ley sectorial proporcionan herramientas reales. La tarea consiste en mejorar su evidencia, su interoperabilidad, su aplicación, y su legitimidad democrática, no en describir el campo como una elección entre promesas voluntarias y una confrontación dramática.