Preparación para que los estados tracen la hoja de ruta regulatoria de la IA
Estamos en un año que se ha definido rápidamente por lo que no es: claro, predecible o alineado a nivel federal, en lo que respecta a las regulaciones de IA y privacidad de datos.
La revocación del Orden Ejecutivo (EO) del presidente Biden que regulaba la IA, por parte del presidente Trump, marcó un cambio significativo en el enfoque regulatorio. En su lugar, se firmó una nueva directiva que buscaba desregular el desarrollo de la IA. Mientras que el EO de Biden se centraba en establecer guardrails, la administración actual se enfoca en la aceleración del desarrollo de la inteligencia artificial.
Este vaivén entre las administraciones ha creado una especie de latigazo regulatorio para los líderes en seguridad, privacidad y cumplimiento, quienes deben interpretar lo que es ejecutable, lo que es simbólico y lo que vendrá a continuación.
Desconexión entre la ambición federal y el cumplimiento práctico
Una de las realidades que enfrentan los CISOs y los líderes de gobernanza, riesgo y cumplimiento (GRC) es la creciente desconexión entre la ambición federal y el cumplimiento práctico. Con reguladores federales como la FTC y el CFPB enfrentando recortes presupuestarios y reducción de autoridad, es muy poco probable que veamos una legislación federal integral sobre privacidad de datos en 2025.
Desde 2018, el Congreso ha introducido cinco propuestas legislativas importantes sobre privacidad de datos, destinadas a unificar el mosaico de regulaciones estatales del país. Sin embargo, cada intento ha fracasado en el comité, a pesar de la creciente presión del sector privado por un estándar unificado.
Regulaciones de IA a nivel estatal
Con el bloqueo de la propuesta de moratoria de 10 años sobre la aplicación de regulaciones de IA a nivel estatal por parte del Senado, muchos estados están avanzando en sus propias regulaciones de IA. Sin la moratoria, la atención regulatoria se ha centrado en los estados, y no es nada uniforme. A lo largo del país, los legisladores están introduciendo una ola de proyectos de ley sobre privacidad y IA, cada uno con sus propias definiciones, obligaciones y mecanismos de aplicación.
Para las organizaciones empresariales que invierten fuertemente en IA, esto crea una red enredada de requisitos que a menudo se superponen, son ocasionalmente conflictivos y siempre están evolucionando. A continuación, se presentan algunos de los esfuerzos estatales más significativos actualmente en movimiento:
- California AB 2930: Este proyecto de ley propuesto requeriría que los desarrolladores y desplegadores de sistemas de decisión automatizados (ADS) realicen evaluaciones de impacto antes del despliegue y anualmente después. También exige notificación a los usuarios cuando un ADS juega un papel sustancial en decisiones importantes, como en contrataciones, préstamos o determinaciones médicas.
- Colorado Artificial Intelligence Act SB 24-205 (CAIA): Promulgada en 2024 y que entrará en vigor en 2026, la CAIA impone obligaciones estrictas a los desarrolladores y desplegadores de sistemas de IA «de alto riesgo», como aquellos utilizados en decisiones relacionadas con el empleo, educación, vivienda, atención médica y servicios financieros.
- New York AB 3265 – La “Ley de Derechos de IA”: Esta propuesta amplia incluye el derecho a optar por salir de sistemas automatizados, exige procesos de apelación y fallback humano, e introduce protecciones contra prácticas abusivas de datos.
- La Ley de IA de la UE: Aunque no es un proyecto de ley estatal, la Ley de IA de la UE tiene un impacto significativo en las empresas globales, introduciendo clasificaciones de riesgo en los sistemas de IA, con obligaciones de cumplimiento que varían desde requisitos de transparencia hasta prohibiciones absolutas.
Mejores prácticas para navegar un entorno regulatorio confuso
Las organizaciones empresariales que invierten en IA no tienen el lujo de trazar su curso de cumplimiento sobre un mapa bien definido. En su lugar, están planificando sus rutas a través de un mosaico de terreno en constante cambio. A continuación, se presentan tres mejores prácticas que ayudarán a los equipos de seguridad y GRC a navegar mejor en este entorno regulatorio confuso:
- Conectar los puntos en la pila de IA de la organización: La visibilidad no se trata solo de conocer dónde vive la información sensible, sino de entender cómo fluye esa información hacia y alimenta los sistemas de IA de la organización.
- Traer orden al caos no estructurado: Los datos no estructurados son cada vez más ingeridos por modelos de IA generativa, pero siguen siendo la parte menos gobernada de muchos entornos.
- Contextualizar el riesgo: Las regulaciones rara vez se trata solo del qué; dependen del quién, dónde y por qué. Por lo tanto, las percepciones contextuales son críticas.
En resumen, el resto de 2025 probablemente permanecerá en una zona gris regulatoria para la IA. Sin embargo, los riesgos reputacionales y legales de la falta de cumplimiento son muy reales. Las organizaciones que tratan la gobernanza de la IA como un simple requisito legal se quedarán atrás. Aquellas que integren la seguridad, la privacidad y el cumplimiento en una capa de inteligencia de datos unificada estarán mejor posicionadas para innovar de manera responsable.
