La Corte Encuentra que un Agente de IA Puede Violar la Ley Estatal y Federal al Acceder a Cuentas de Amazon Sin Autorización
Una corte en el Distrito Norte de California determinó, en la etapa de la orden de restricción preliminar, que cuando un sitio web prohíbe a los agentes de inteligencia artificial (IA) acceder a cuentas de usuario, el acceso continuo por parte de estos agentes puede violar la ley estatal y federal, incluso si el usuario ha otorgado permiso al agente.
El Caso
En el caso de Amazon.com Services LLC contra Perplexity AI, Inc., Amazon alegó que Perplexity configuró su agente de IA para que, a petición de los usuarios de Perplexity, accediera a las cuentas de Amazon protegidas por contraseña. Los usuarios podían instruir a la función de agente Comet de Perplexity para que navegara por productos e incluso realizara compras en su nombre. Los términos de servicio de Amazon requieren que los agentes de IA se identifiquen (por ejemplo, a través de una cadena de agente de usuario) y limiten el acceso del agente únicamente a las partes públicas del sitio web de Amazon. Amazon alegó que Comet violó estos términos al acceder al sitio web de comercio electrónico de Amazon en un estado de inicio de sesión sin identificarse como un agente de IA, y que Amazon no podía distinguir la actividad de Comet de la de un usuario humano.
La Decisión
El 9 de marzo de 2026, la jueza Maxine M. Chesney concedió la moción de Amazon para una orden de restricción preliminar, encontrando que Amazon tenía probabilidades de prevalecer en sus afirmaciones bajo la Ley Federal de Fraude y Abuso Informático (CFAA) y la Ley de Acceso y Fraude de Datos Informáticos de California (CDAFA). Una cuestión central en el caso era si el consentimiento del usuario para el acceso del agente de IA era suficiente autorización o si los términos de servicio del operador del sitio web controlaban. La corte se alineó con Amazon sobre este punto en la etapa de orden de restricción preliminar, encontrando que el acceso de Comet no estaba autorizado por Amazon a pesar de cualquier permiso otorgado por el usuario.
La corte señaló que Amazon envió correspondencia de cese y desista a Perplexity, reafirmando su posición de que el acceso continuo a las cuentas de usuario de Amazon por parte del agente de IA de Perplexity era no autorizado. La corte prohibió a Perplexity acceder a «los sistemas informáticos protegidos de Amazon utilizando agentes de IA» y de «usar cuentas … con el propósito de permitir que los agentes de IA de Perplexity accedan a los sistemas informáticos protegidos de Amazon». La orden también requiere que Perplexity elimine cualquier dato de cliente de Amazon que haya recopilado utilizando su agente de IA en áreas protegidas por contraseña del sitio web de Amazon. Perplexity apeló esta decisión al día siguiente, y el Noveno Circuito podría eventualmente llegar a una conclusión diferente sobre el fondo del asunto.
Implicaciones para los Sitios Web
Los sitios web que desean evitar que los agentes de IA accedan a datos de cuentas o realicen acciones como hacer compras en nombre de los usuarios, pueden querer redactar términos explícitos que prohíban este comportamiento. Los sitios web también pueden requerir que los agentes de IA se identifiquen como tales al interactuar con el sitio, para que el sitio pueda tratar el tráfico de agentes de manera diferente a las visitas humanas. Si los agentes de IA violan estos términos, los sitios web pueden querer enviar correspondencia de cese y desista para reforzar aún más el argumento de que el acceso es no autorizado. Estos pasos pueden apoyar los esfuerzos para buscar órdenes de restricción que bloqueen la conducta, aunque el panorama legal en esta área sigue siendo incierto.
Implicaciones para los Agentes de IA
Los fabricantes de agentes de IA que acceden a cuentas protegidas por contraseña deben ser conscientes de esta decisión y sus posibles implicaciones. La decisión de la corte sugiere que la conducta que viola los términos de servicio de un sitio web puede dar lugar a reclamaciones bajo la CFAA y la CDAFA, y que el consentimiento del usuario por sí solo puede no constituir una autorización suficiente cuando el operador del sitio web la ha revocado expresamente. Sin embargo, esta fue una resolución preliminar, y hay argumentos significativos en contra, incluida la cuestión de si los términos de servicio deben anular la decisión afirmativa de un usuario de autorizar a un agente a actuar en su cuenta, y si tales restricciones de términos de servicio son aplicables en este contexto. La revisión del Noveno Circuito en apelación puede proporcionar mayor claridad. Mientras tanto, los fabricantes de agentes de IA también deben tener en cuenta que ambas leyes no solo crean derechos de acción privada, sino que también conllevan potencial responsabilidad penal.
