Ley TRAIGA: el derecho texano de la IA ya en aplicación

Lo esencial

• La ley TRAIGA (HB 149) se aplica desde el 1 de enero de 2026 y alcanza a toda organización cuyo sistema de IA sea utilizado por residentes en Texas, con independencia de dónde tenga su domicilio social.
• El texto prohíbe siete prácticas. Tres recaen únicamente sobre entidades públicas, motivo por el cual la mayoría de los operadores privados las descarta ya en una primera lectura.
• La ley TRAIGA se asienta en la intención y no en el resultado. La sección 552.056 precisa que el impacto discriminatorio indirecto no basta para acreditar una discriminación ilícita.
• La obligación efectiva es probatoria: la sección 552.105(e)(2)(D) reconoce una eximente a quien cumple sustancialmente el marco de gestión de riesgos del NIST.
• La acción corresponde en exclusiva al fiscal general de Texas, con un plazo de subsanación de sesenta días y sanciones que alcanzan los 200.000 dólares.

Por qué una ley texana afecta a una empresa española

La Texas Responsible Artificial Intelligence Governance Act, que todo el mundo designa con el acrónimo TRAIGA, fue promulgada por el gobernador Greg Abbott el 22 de junio de 2025 y despliega efectos desde el 1 de enero de 2026. Casi todos los análisis que siguen circulando datan de las dos semanas posteriores a la firma, cuando la pregunta interesante era qué acababa de aprobar el legislador. Esa pregunta ya tiene respuesta. La que se plantea ahora es otra: qué debe poder acreditar quien responde del cumplimiento normativo. Para un grupo español la cuestión no es teórica. El ámbito de aplicación de la ley TRAIGA no depende del domicilio social ni de un establecimiento permanente, sino del uso: en cuanto un producto o servicio es utilizado por residentes texanos, el texto resulta aplicable. Basta una filial estadounidense, una plataforma SaaS comercializada al otro lado del Atlántico o un módulo de IA incorporado a una solución de exportación para que el grupo entre en el perímetro. La ley TRAIGA incorpora cuatro capítulos nuevos al Business and Commerce Code texano. El capítulo 551 recoge las definiciones, el capítulo 552 reúne las prohibiciones y el aparato sancionador, el capítulo 553 crea un entorno controlado de pruebas encomendado al Department of Information Resources y el capítulo 554 constituye un consejo consultivo sobre IA. La norma modifica además la legislación biométrica estatal en la sección 503.001, disposición que las síntesis suelen pasar por alto.

Un ámbito de aplicación basado en el uso

El criterio de conexión merece repetirse, porque desconcierta a los juristas habituados al razonamiento territorial. La ley TRAIGA alcanza a quien desarrolla o pone en servicio un sistema de IA en Texas, a quien realiza allí actividad publicitaria o comercial, y a quien ofrece productos o servicios utilizados por residentes texanos. No se prevé umbral alguno de facturación, ni de plantilla, ni requisito de implantación. De ello se sigue que el perímetro no puede deducirse del organigrama societario. Ha de construirse a partir de un inventario de los sistemas de IA y de las poblaciones a las que afectan, ejercicio que para la mayor parte de las organizaciones sigue siendo el dato de partida más difícil de obtener.

Las siete prácticas prohibidas, sección a sección

Leer las prohibiciones como un bloque homogéneo constituye el error más frecuente, puesto que no se dirigen a los mismos destinatarios.

Obligaciones que recaen solo sobre entidades públicas

La sección 552.051 obliga a la administración a informar, en términos claros y perceptibles, de que la persona está interactuando con un sistema de IA. La información debe preceder o acompañar a la interacción y no puede quedar relegada a unas condiciones generales. La sección 552.053 prohíbe a la entidad pública recurrir a la IA para asignar una puntuación social o una valoración categorial análoga de la que se derive un trato desfavorable. La sección 552.054 prohíbe a la entidad pública identificar de forma unívoca a una persona determinada mediante datos biométricos sin su consentimiento. Estas tres disposiciones explican que la doctrina describa la ley TRAIGA como un texto orientado principalmente al sector público. Para un operador privado constituyen contexto más que obligación, salvo que suministre a la administración texana, en cuyo caso regresan por vía contractual.

Obligaciones que alcanzan a los operadores privados

La sección 552.052 prohíbe desarrollar o poner en servicio un sistema de IA concebido para incitar a una persona a autolesionarse, a dañar a terceros o a cometer un delito. La sección 552.055 contempla el sistema desarrollado o puesto en servicio con la única finalidad de menoscabar los derechos constitucionales de una persona. La sección 552.056 prohíbe el sistema desarrollado o puesto en servicio con la intención de discriminar ilícitamente a una categoría protegida. El texto añade expresamente que el impacto discriminatorio indirecto no basta por sí solo para acreditar esa intención. La sección 552.057 prohíbe los sistemas concebidos para producir material de abuso sexual infantil o ultrafalsificaciones de contenido sexual. Una empresa gestionada con normalidad descarta las cuatro. Nadie construye una herramienta de preselección de candidaturas con la intención de discriminar, y la norma no pregunta si el modelo discrimina de hecho. Precisamente por ello el esfuerzo de cumplimiento no debe concentrarse en las prohibiciones. Las pruebas sobre sesgos de la IA conservan todo su valor, pero bajo la ley TRAIGA cambian de naturaleza: pasan a ser prueba en lugar de obligación.

La intención frente al efecto: la decisión que vertebra el texto

El criterio intencional constituye la decisión fundacional del legislador texano. El reglamento europeo de IA y la ley originaria de Colorado partían ambos del resultado posible y le obligaban a indagarlo por anticipado. La ley TRAIGA pregunta si usted quiso ese resultado. El alivio es real y sería deshonesto minimizarlo: ningún deber de diligencia, ninguna evaluación de impacto obligatoria, ningún registro, ningún depósito de algoritmo. Las versiones anteriores contenían una obligación general de transparencia para los operadores privados y una política de mitigación de riesgos obligatoria; ambas desaparecieron antes de la aprobación, según documentó en su momento el despacho K&L Gates. La trampa reside en lo que un criterio intencional provoca en un litigio. Cuando la responsabilidad depende del efecto, la discusión es estadística. Cuando depende de la intención, la discusión versa sobre lo que usted sabía, sobre aquello de lo que había sido advertido y sobre lo que hizo a continuación. Cada documento interno se convierte entonces en elemento de cargo o de descargo: un informe de equipo rojo que acredite que detectó una deficiencia y la corrigió le protege, mientras que ese mismo informe, si acredita que la detectó y aun así puso el sistema en producción, le perjudica. La ley TRAIGA no le obliga a desplegar una gestión de riesgos de IA. Convierte discretamente su rastro escrito en el terreno sobre el que será juzgado.

La eximente es lo esencial del dispositivo

Se trata de la disposición que la mayoría de las síntesis despacha en una frase antes de pasar a otra cosa. La sección 552.105(e)(2)(D) reconoce a quien deba responder una eximente cuando cumpla sustancialmente la versión más reciente del marco de gestión de riesgos de IA del NIST, incluido su perfil dedicado a la IA generativa NIST-AI-600-1, o bien otro marco de gestión de riesgos reconocido en el plano nacional o internacional. La paradoja merece subrayarse. Un texto carente de evaluación de impacto obligatoria y de todo trámite declarativo señala sin embargo un referente externo preciso y convierte su aplicación efectiva en causa de exclusión de responsabilidad. La obligación no ha desaparecido: se ha desplazado desde el inicio del proceso, donde un supervisor la habría recabado, hasta el final, donde será su propia asesoría jurídica quien deba aportarla.

Qué significa cumplimiento sustancial

El cumplimiento sustancial no se acredita mediante certificado alguno y Texas no lleva ningún registro de empresas conformes. Es una afirmación que después hay que sostener, lo que la hace enteramente dependiente de la documentación. En la práctica, las cuatro funciones del NIST AI RMF deben ir acompañadas de elementos probatorios: GOVERN en forma de políticas, funciones y responsables designados; MAP en forma de inventario con finalidad documentada por sistema; MEASURE en forma de resultados de pruebas, evaluaciones y campañas de equipo rojo fechadas; MANAGE en forma de tratamiento trazado de los riesgos así detectados. El adjetivo decisivo es fechado. Un marco adoptado tras recibir la notificación del fiscal general no constituye cumplimiento sustancial, sino reacción. La eximente solo existe si el rastro precede a la reclamación.

Las otras tres vías de exoneración

El cumplimiento sustancial no es la única salida. La ley TRAIGA reconoce igualmente las infracciones detectadas mediante pruebas internas, ejercicios de equipo rojo o evaluaciones adversarias, premiando así a las organizaciones que buscan activamente sus propios defectos. Reconoce la observancia de las orientaciones emitidas por una agencia estatal competente. Y reconoce, por último, las medidas adoptadas a raíz de un proceso de revisión interna documentado. El texto ampara además a desarrolladores y operadores cuando un tercero hace un uso desviado de su sistema. El amparo no opera de forma automática en la práctica: demostrar que el uso indebido es imputable al tercero presupone poder acreditar para qué había sido diseñado su sistema y cómo había sido instruido, lo que sigue siendo una cuestión documental. Nuestra guía de auditoría de sistemas de IA detalla cómo estructurar esas verificaciones para que sus resultados sigan siendo utilizables más adelante.

El aparato sancionador: quién actúa, en qué plazos y a qué coste

La persecución está centralizada y es estrecha. La sección 552.101 atribuye al fiscal general de Texas una competencia exclusiva. No se abre acción privada alguna, de modo que la ley TRAIGA no expone al litigio en masa, debilidad que asociaciones como EFF-Austin han señalado desde la óptica de la protección del consumidor. La secuencia procedimental conviene memorizarla. La sección 552.102 obliga al fiscal general a mantener un canal telemático de recepción de reclamaciones. La sección 552.103 le autoriza a emitir un requerimiento de investigación civil una vez recibida la reclamación, requerimiento que puede alcanzar extremos operativos, incluidos los datos de entrenamiento. La sección 552.104 exige notificación escrita y veda la acción antes del sexagésimo día siguiente, abriendo una ventana de subsanación. Las sanciones de la sección 552.105 están graduadas: de 10.000 a 12.000 dólares por infracción subsanable, de 80.000 a 200.000 dólares cuando no lo sea, y de 2.000 a 40.000 dólares diarios si persiste. La sección 552.106 permite a las agencias estatales añadir sanciones administrativas a las entidades que autorizan, hasta 100.000 dólares e incluso la revocación del título habilitante. La cifra que debe orientar su organización no es el techo de 200.000 dólares, sino el plazo de sesenta días. Una ventana de subsanación solo sirve a la organización capaz de identificar todos los sistemas afectados, determinar su comportamiento y modificarlos en dos meses. Se trata de una capacidad operativa, la misma que exige la preparación para la notificación de incidentes. Las organizaciones incapaces de inventariar con rapidez verán cómo sus infracciones subsanables se convierten mecánicamente en insubsanables. Procede una reserva sobre el estado actual de la práctica. La ley TRAIGA es reciente, el aparato de control del fiscal general y la normativa de desarrollo del Department of Information Resources se han ido construyendo a lo largo de 2026, y no existe todavía un cuerpo resolutorio significativo. Conviene por tanto razonar sobre el texto y no sobre una casuística inexistente.

La ley TRAIGA y Colorado tras el giro de 2026

Durante dieciocho meses la contraposición al uso enfrentaba un Colorado exigente a un Texas permisivo. Esa lectura ha quedado obsoleta. El 14 de mayo de 2026 el gobernador Polis promulgó la norma SB 26-189, que deroga la Colorado AI Act y la sustituye por la Automated Decision-Making Technology Act, aplicable desde el 1 de enero de 2027. El texto sustitutivo suprime el deber de diligencia, la obligación de programa de gestión de riesgos y las evaluaciones de impacto en favor de un régimen informativo, según analizó el despacho Skadden. Ha sido Colorado quien se ha aproximado a Texas, y no al revés. La consecuencia es de orden arquitectónico. Los dos regímenes estadounidenses que siguen en pie difieren en su mecánica pero convergen en lo que exigen conservar: <table header-row=»true»> <tr> <td></td> <td>Ley TRAIGA (Texas, vigente)</td> <td>Colorado ADMT (desde enero de 2027)</td> </tr> <tr> <td>Presupuesto</td> <td>Intención de causar un daño prohibido</td> <td>Decisiones de repercusión significativa</td> </tr> <tr> <td>Criterio discriminatorio</td> <td>Solo intencional, impacto indirecto insuficiente</td> <td>Sin deber general de diligencia</td> </tr> <tr> <td>Evaluación de impacto</td> <td>No exigida</td> <td>No exigida tras la derogación</td> </tr> <tr> <td>Obligación principal del privado</td> <td>Abstenerse de las prácticas prohibidas</td> <td>Informar, también de los efectos adversos</td> </tr> <tr> <td>Mecanismo de protección</td> <td>Eximente basada en el NIST AI RMF</td> <td>Cumplimiento de los deberes de información</td> </tr> <tr> <td>Supervisión</td> <td>Solo fiscal general, sesenta días</td> <td>Fiscal general, régimen propio</td> </tr> </table> Un único conjunto de controles responde a ambos, y ese conjunto nada tiene de específicamente estadounidense: un inventario, una finalidad documentada por sistema, pruebas de evaluación y una capacidad de información. Nuestro análisis de la ley de Colorado tras SB 26-189 desarrolla la segunda columna.

El entorno controlado de pruebas: a quién se dirige realmente

El capítulo 553 crea en el Department of Information Resources un entorno controlado que permite al participante autorizado ensayar un sistema de IA sin obtener previamente la licencia o autorización normalmente exigida. La sección 553.053 limita la participación a treinta y seis meses, prorrogables previa aprobación. El acceso no es en absoluto informal. La sección 553.052 exige una descripción del sistema, una evaluación de los beneficios esperados, planes de mitigación de los riesgos detectados y la prueba del cumplimiento de la legislación federal aplicable en materia de IA. Las secciones 553.101 a 553.103 imponen rendición de cuentas trimestral. La lectura honesta, que las comunicaciones comerciales suelen evitar: el entorno controlado interesa cuando un régimen de autorización estatal bloquea efectivamente un despliegue, lo que en la práctica afecta a sanidad, seguros, servicios financieros y una parte de la contratación pública. Si nada le bloquea, el mecanismo añade una obligación de reporte y un ejercicio de evaluación a cambio de una dispensa que usted no necesita. Debe valorarse por tanto en el conjunto de las leyes de inteligencia artificial y no como una curiosidad texana.

Un plan de adecuación a noventa días

Para una organización que parta de cero, este es el orden que asegura terreno defendible con mayor rapidez.

1. Inventariar lo que toca Texas. Todo sistema de IA que sirva a usuarios texanos, incluidas las funcionalidades incorporadas en herramientas SaaS y la shadow AI que nadie ha declarado. El perímetro se define por los usuarios, no por las sociedades.
2. Contrastar cada sistema con las siete prohibiciones. Con toda probabilidad las descartará todas. Deje constancia del examen de todos modos, con fecha y responsable designado, porque la ausencia de intención prohibida es una afirmación que quizá deba acreditar.
3. Implantar la conformidad con el NIST AI RMF como activo de defensa. No como un cartel. GOVERN, MAP, MEASURE y MANAGE, cada uno respaldado por documentos fechados y dimensionado según el riesgo del sistema. Este trabajo es el que pone a su alcance la sección 552.105(e)(2)(D), y es con diferencia la partida más rentable de la lista.
4. Incorporar el plazo de sesenta días a la gestión de crisis. Ensaye el recorrido que va de la notificación del fiscal general a la identificación de los sistemas, la modificación del comportamiento y la respuesta escrita. Compruebe que es capaz, en lugar de presuponerlo.
5. Constituir el rastro intencional. Finalidades por sistema, resultados de evaluación y de equipo rojo, aprobaciones de revisión y decisiones adoptadas sobre los hallazgos. Bajo un criterio intencional ese rastro es el expediente, y una política de IA que precise quién lo alimenta y con qué cadencia evita tener que reconstruirlo después.

Nada de esto es específico de Texas, y ahí reside el argumento. Es el mismo sustrato que la auditabilidad exige en cualquier jurisdicción.

Preguntas frecuentes

Qué significa el acrónimo TRAIGA? TRAIGA designa la Texas Responsible Artificial Intelligence Governance Act, aprobada con el número HB 149 por la 89 legislatura texana, promulgada el 22 de junio de 2025 y aplicable desde el 1 de enero de 2026. El acrónimo coincide con una forma verbal española de uso corriente, por lo que las búsquedas devuelven resultados mezclados. El texto pertinente es el que inserta los capítulos 551 a 554 en el Business and Commerce Code de Texas. Puede una empresa española quedar sujeta a la ley TRAIGA? Sí. El texto alcanza a quien desarrolla o pone en servicio un sistema de IA en Texas, a quien ejerce allí actividad comercial y a quien ofrece productos o servicios utilizados por residentes texanos. No se requiere domicilio social ni establecimiento, y no existe umbral de tamaño. Bastan una filial estadounidense, una oferta SaaS accesible desde Texas o un componente de IA integrado en un producto exportado. Exige la ley TRAIGA una evaluación de impacto? No. A diferencia del reglamento europeo de IA y de la ley originaria de Colorado, la ley TRAIGA no impone evaluación de impacto, ni registro, ni depósito de algoritmo. El matiz reside en la eximente de la sección 552.105(e)(2)(D), que valora un cumplimiento documentado del marco NIST. La mayoría de las organizaciones acaba por producir entregables análogos, aunque por una razón distinta. Qué sanciones se prevén? De 10.000 a 12.000 dólares por infracción subsanable, de 80.000 a 200.000 dólares cuando no lo sea, y de 2.000 a 40.000 dólares diarios si persiste. Las agencias estatales pueden añadir sanciones administrativas de hasta 100.000 dólares a las entidades que autorizan. Dado que el fiscal general debe notificar y esperar sesenta días, el carácter subsanable depende en gran medida de su rapidez de reacción. Cómo se articula la ley TRAIGA con el reglamento europeo de IA? Ambos textos se solapan poco: el reglamento europeo clasifica los sistemas por nivel de riesgo e impone obligaciones previas, mientras que la ley TRAIGA prohíbe conductas y premia la prueba posterior. Quien esté sujeto a los dos no necesita mantener dos dispositivos. La documentación que el cumplimiento normativo europeo ya exige alimenta directamente la eximente texana, siempre que esté fechada y referida a cada sistema. Pueden los consumidores demandar? No. La sección 552.101 reserva la acción al fiscal general y el texto no abre vía privada alguna. Los consumidores pueden presentar reclamación a través del canal previsto en la sección 552.102, pero carecen de remedio propio. La ley neutraliza además las ordenanzas municipales o de condado contrarias, de modo que la supervisión permanece deliberadamente en un solo canal. Merece la pena solicitar el entorno controlado de pruebas? Solo si un régimen de autorización estatal bloquea realmente un despliegue. La participación dura hasta treinta y seis meses y suspende determinadas autorizaciones, pero el acceso presupone una evaluación de beneficios, planes de mitigación y la prueba del cumplimiento del derecho federal aplicable, con rendición trimestral. Para un operador privado a quien nada bloquea, el mecanismo añade obligaciones sin retirar ninguna.

Conclusión

La ley TRAIGA se presta a ser infravalorada porque su lectura inmediata es correcta: las prohibiciones son estrechas, la mayoría de los operadores privados las descarta y nada ha de depositarse ante nadie. Detenerse ahí constituye el error. Un criterio intencional no elimina la necesidad de prueba, la desplaza, y la sección 552.105(e)(2)(D) enuncia sin ambigüedad qué prueba admitirá el Estado. El repliegue de Colorado hacia un régimen informativo agrava la cuestión en lugar de aliviarla, pues el planteamiento texano se convierte en el modelo probable para los Estados que legislen a continuación. Las organizaciones que absorberán con menor coste las próximas cinco leyes estatales serán las que hayan construido un solo inventario, un solo conjunto de controles y una sola cadena probatoria anclada en un marco reconocido. Es una cuestión de gobernanza de la IA, no una cuestión texana, y admite una única solución duradera.