Una responsable de cumplimiento en Madrid recibe en octubre de 2026 la misma pregunta que sus homólogos de Fráncfort o Milán: «¿qué nos exige exactamente la regulación de la IA en Estados Unidos?». La respuesta tiene tres partes. No existe una ley federal general sobre IA; las normas federales que sí obligan a una empresa son anteriores a la IA y sectoriales; y la campaña de la Casa Blanca contra las leyes estatales no ha anulado ninguna.
Para quien ya prepara con la AEPD y con AESIA el Reglamento de IA de la UE (AI Act), la buena noticia es que el expediente de evidencias es el mismo. Esta guía recorre los textos vigentes a 31 de octubre de 2026 y los registros que prueban el cumplimiento en ambas capas.
Lo esencial
- La regulación de la IA en Estados Unidos no tiene ley federal general, ni licencia, ni registro obligatorio, ni ley que anule las normas estatales.
- Una sola ley federal específica de IA obliga a las empresas: la TAKE IT DOWN Act, aplicada por la FTC desde el 19 de mayo de 2026.
- Las demás obligaciones nacen de leyes anteriores (FTC Act, ECOA, Título VII, ACA 1557, derecho de valores) aplicadas a la IA.
- La EO 14365 ha producido un pleito suspendido y una propuesta de la FTC; ningún tribunal ha anulado una ley estatal.
- Un expediente del nivel del AI Act, con registros fechados por sistema, responde a la OMB, a los estados y a la UE.
¿Existe una ley federal de IA? La respuesta en octubre de 2026
La respuesta corta es no. El Congreso no ha aprobado ninguna ley general sobre inteligencia artificial, ningún régimen de licencia o registro de modelos y ninguna norma que desplace las leyes de los estados. El informe R48555 del Congressional Research Service enumera las leyes federales que mencionan la IA; todas se dirigen a la Administración.
La National Artificial Intelligence Initiative Act of 2020 (<code>Pub. L. 116-283</code>) contiene la definición legal de «inteligencia artificial» en <code>15 U.S.C. 9401(3)</code>, la que citan las órdenes ejecutivas posteriores. La AI in Government Act of 2020 encargó a la OMB orientar a las agencias y la Advancing American AI Act de 2022 las obliga a inventariar y publicar sus casos de uso (sección 7225). La ley de defensa para 2026 (18 de diciembre de 2025) veda al Departamento de Defensa y a sus contratistas la IA «cubierta» extranjera, sin cláusula alguna de preempción.
Una única ley del 119.º Congreso se dirige a las empresas privadas: la TAKE IT DOWN Act (<code>Pub. L. 119-12</code>), sobre imágenes íntimas no consentidas, incluidas las generadas por IA.
Queda el vocabulario. La orden ejecutiva EO 14434 «Inaugurating the Era of Super Intelligence» (inaugurar la era de la superinteligencia), firmada el 29 de septiembre de 2026 y publicada en el Federal Register el 2 de octubre, ordena a las agencias decir «Super Intelligence» en lugar de «inteligencia artificial» en sus documentos no estatutarios. Su sección 3 conserva el significado de <code>15 U.S.C. 9401(3)</code> y encarga una propuesta de definición legal hacia el 28 de noviembre de 2026. Nada cambia en el NIST ni en el CAISI. Para situar la regulación de la IA en Estados Unidos frente al calendario europeo, véase nuestra guía de la regulación de la IA.
Regulación de la IA en Estados Unidos: las normas que hoy obligan a una empresa
Si la regulación de la IA en Estados Unidos carece de ley general, ¿de dónde nacen las obligaciones? De leyes anteriores a la IA que los reguladores aplican a los sistemas automatizados, más una ley nueva. Ninguna lleva «IA» en el título; todas producen un registro.
| Ley o norma | A quién alcanza | Obligación | Registro que la prueba | Estado a 31/10/2026 |
|---|---|---|---|---|
| TAKE IT DOWN Act, sección 3 | Plataformas «cubiertas» | Retirada en 48 horas, copias incluidas | Flujo de retirada fechado | FTC desde el 19/05/2026; hasta 53 088 USD por infracción |
| FTC Act, sección 5 | Toda empresa que vende IA | Ni engaño ni prácticas desleales | Soporte de cada afirmación | Activa desde 2024 (Operation AI Comply) |
| ECOA y Regulation B, <code>12 CFR 1002.9</code> | Entidades de crédito | Motivos específicos de denegación | Motivos por decisión | Intacta; circulares de la CFPB retiradas el 12/05/2025 |
| Título VII y ADA | Empleadores | No discriminar en el empleo | Pruebas de sesgo por herramienta | Intactas; guía de la EEOC retirada el 27/01/2025 |
| Derecho de valores | Emisores y asesores | No exagerar el uso de IA | Soporte de cada mención | Casos de la SEC en 2026 |
| ACA 1557, <code>45 CFR 92.210</code> | Entidades sanitarias | Detectar variables protegidas en el apoyo clínico | Inventario clínico | Desde el 01/05/2025; confirmada el 02/06/2026 |
| SR 26-2 / OCC Bulletin 2026-13 | Bancos supervisados | Inventario, validación y documentación de modelos | Expediente de validación | Desde el 17/04/2026; sustituye a SR 11-7 |
La TAKE IT DOWN Act obliga a cualquier plataforma pública con contenido de usuarios: la FTC abrió TakeItDown.ftc.gov el 19 de mayo de 2026 y no hay todavía ningún caso. Con leyes antiguas, la FTC cerró el 27 de agosto de 2026 por 930 000 USD las órdenes contra Cox Media Group y dos socios por «escucha activa» con IA, y la SEC presentó tres casos de «AI washing» entre el 26 de agosto y el 29 de septiembre.
Las retiradas de guías no alteran el derecho: la CFPB retiró el 12 de mayo de 2025 sus circulares, pero la Regulation B sigue exigiendo motivos específicos, y la EEOC retiró la suya, pero el Título VII no ha cambiado (nuestra guía sobre IA en recursos humanos detalla las pruebas de sesgo que conservar). La notificación del HHS de 2 de junio de 2026 dejó <code>45 CFR 92.210</code> en vigor (véase cumplimiento HIPAA e IA), y la SR 26-2 conserva inventario y validación independiente con una cadencia basada en el riesgo.
Órdenes ejecutivas y memorandos de la OMB: la política federal que rige a las agencias y a sus proveedores
La segunda capa federal no está en el Código de los Estados Unidos, sino en las órdenes del presidente y los memorandos de la Oficina de Gestión y Presupuesto (OMB). Formalmente solo obligan a las agencias; en la práctica, a cualquier empresa que les venda IA.
La EO 14179, de 23 de enero de 2025, revocó la EO 14110 de 2023 y encargó el America’s AI Action Plan, publicado el 23 de julio de 2025. El plan pide al NIST revisar el AI Risk Management Framework, voluntario y referencia de los puertos seguros estatales.
El texto que más se parece a una ley federal de IA es el memorando OMB M-25-21 «Accelerating Federal Use of AI through Innovation, Governance, and Public Trust» (acelerar el uso federal de la IA), de 3 de abril de 2025. Cada agencia nombra un Chief AI Officer y publica un plan de cumplimiento y un inventario de casos de uso. La «IA de alto impacto», la que pesa en decisiones con efecto jurídico o material sobre derechos o seguridad, exige pruebas previas al despliegue, evaluación de impacto, monitorización, supervisión humana y vía de recurso; la que no cumpla debe detenerse. Su gemelo M-25-22 lo traslada a los contratos desde el 1 de octubre de 2025: ni entrenar con datos de la Administración sin consentimiento, portabilidad y monitorización continua.
El M-26-04, de 11 de diciembre de 2025, añade a toda licitación de modelos de lenguaje los «Unbiased AI Principles» (principios de IA imparcial): el proveedor aporta política de uso aceptable, model card y un canal para notificar resultados. La EO 14409, de 2 de junio de 2026, añade una evaluación clasificada y voluntaria de los «modelos frontera cubiertos», sin licencia previa.
El inventario consolidado de 2025, publicado el 14 de abril de 2026, recoge 3611 casos de uso, 445 de ellos de alto impacto. Quien vende IA a esas agencias ya mantiene inventario, evaluación de impacto, registros de pruebas y cláusulas: los mismos registros que piden los estados y el AI Act. La parte de la regulación de la IA en Estados Unidos que afecta hoy a un proveedor está en estos tres memorandos.
La preempción federal de las leyes estatales de IA: lo que la EO 14365 ha hecho y lo que no
La <b>preempción</b> es la regla constitucional por la que el derecho federal desplaza al estatal cuando ambos chocan. El Congreso lo ha intentado dos veces y ha fracasado dos veces: el 1 de julio de 2025 el Senado eliminó por 99 votos a 1 la moratoria de diez años sobre leyes estatales, y en diciembre de 2025 la cláusula cayó de la ley de defensa ante 36 fiscales generales y unos 280 legisladores estatales.
Cuatro días después llegó la EO 14365 «Ensuring a National Policy Framework for Artificial Intelligence» (asegurar un marco nacional de política de IA), de 11 de diciembre de 2025. Su sección 1 señala la ley de Colorado como el problema y la sección 9 niega que la orden cree derechos exigibles. Por sí misma no anula ninguna ley estatal:
| Instrumento | Fecha | Qué puede hacer | Estado a 31/10/2026 |
|---|---|---|---|
| AI Litigation Task Force (sección 3) | 09/01/2026 | Impugnar leyes estatales | Una intervención, suspendida |
| Lista de leyes «onerosas» (sección 4) | Vencía el 11/03/2026 | Activar las secciones 5 y 6 | No publicada |
| Condición BEAD (sección 5) | Vencía el 11/03/2026 | Negar fondos a los estados designados | Inactiva sin la lista |
| Procedimiento de la FCC (sección 6) | 90 días tras la lista | Estándar federal de divulgación | No abierto |
| Declaración de la FTC (sección 7) | Propuesta el 01/07/2026 | Declarar desplazadas las leyes que alteran resultados veraces | Comentarios cerrados el 31/07/2026; no definitiva |
| Marco legislativo (sección 8) | 20/03/2026 | Recomendar al Congreso qué desplazar | No vinculante; sin texto legislativo |
El grupo de litigio, creado el 9 de enero de 2026, ha actuado una vez: intervino el 24 de abril de 2026 en X.AI LLC v. Weiser y una suspensión pactada tres días después impide a Colorado aplicar su ley, y la que la sustituya, hasta 14 días después de resolverse una cautelar que xAI pedirá tras las reglas del fiscal general, previstas para el 1 de enero de 2027. En cambio, en xAI v. Bonta un tribunal federal denegó el 4 de marzo de 2026 la cautelar contra la ley californiana AB 2013 sobre datos de entrenamiento, que sigue aplicándose con apelación pendiente. Ningún tribunal ha declarado desplazada una ley estatal de IA.
La declaración propuesta por la FTC el 1 de julio de 2026 sigue sin ser definitiva. El marco nacional del 20 de marzo de 2026 pide al Congreso desplazar las leyes que graven el desarrollo de modelos o responsabilicen al desarrollador del mal uso de terceros. Ningún proyecto de preempción ha pasado por comisión: ni la H.R. 5388, ni la TRUMP AMERICA AI Act, un borrador de 291 páginas sin número, ni la SANDBOX Act. Veintiséis fiscales generales pidieron el 23 de septiembre de 2026 una cláusula expresa de no preempción. En la regulación de la IA en Estados Unidos la preempción es hoy un proyecto, no un hecho: su programa de cumplimiento normativo de la IA debe asumir ambas capas.
La capa estatal que un lector federal no puede ignorar
Mientras Washington debate, los estados legislan; aquí basta el mapa.
Colorado derogó su ley de IA de 2024 y la sustituyó por la SB 26-189, firmada el 14 de mayo de 2026 y en vigor el 1 de enero de 2027: transparencia y derechos del consumidor ante la tecnología de decisión automatizada (ADMT). La aplicación está suspendida por el pleito con xAI y el fiscal general celebró la audiencia sobre sus reglas el 26 de octubre de 2026. Véase la ley de Colorado sobre ADMT.
California acumula el mayor bloque: la SB 53 exige desde el 1 de enero de 2026 a los desarrolladores frontera un marco de seguridad publicado y la notificación de incidentes críticos a Cal OES; las reglas ADMT de la CCPA imponen avisos y exclusión el 1 de enero de 2027 y la entrega de evaluaciones de riesgo a la CPPA antes del 1 de abril de 2028; y en septiembre de 2026 el gobernador firmó 22 proyectos, entre ellos la SB 947 sobre decisiones de empleo y un registro de auditores de IA. Detalle en leyes de IA de California, normativa CCPA, chatbots acompañantes y ley de transparencia de la IA.
Texas aplica desde el 1 de enero de 2026 la TRAIGA, con aplicación exclusiva del fiscal general, 60 días de subsanación y puerto seguro NIST AI RMF. Illinois prohíbe desde la misma fecha la IA con efecto discriminatorio en el empleo (HB 3773). Nueva York enmendó su RAISE Act el 27 de marzo de 2026, con efecto el 1 de enero de 2027, y firmó el 28 de octubre de 2026 su ley de chatbots para menores. Washington aplica la HB 2225 desde el 1 de enero de 2027 y ya son 14 las leyes estatales de chatbots de 2026.
La regulación de la IA en Estados Unidos como cuestión de registros: el expediente que cubre ambas capas
Lea la lista como un auditor. Cada norma, federal o estatal, termina pidiendo lo mismo: un documento fechado que pruebe que la obligación se cumplió para un sistema concreto. Ahí la regulación de la IA en Estados Unidos deja de ser un mosaico y se convierte en una lista de registros, casi idéntica a la del Reglamento de IA de la UE (AI Act): artículo 50 sobre transparencia vigente desde el 2 de agosto de 2026, anexo III de alto riesgo desde el 2 de diciembre de 2027 tras el Digital Omnibus (Reglamento (UE) 2026/1744).
| Registro | Anclaje federal | Anclaje estatal | AI Act | Guía de AI Sigil |
|---|---|---|---|---|
| Inventario de sistemas de IA | <code>M-25-21</code>; Advancing American AI Act, sección 7225 | Colorado; TRAIGA | Artículo 49 | Inventario de sistemas de IA |
| Evaluación de impacto | <code>M-25-21</code> | CCPA; SB 26-189 | Artículo 27 | Evaluación de impacto de la IA |
| Pruebas de sesgo | Título VII; <code>45 CFR 92.210</code> | Local Law 144; Illinois HB 3773 | Artículo 10 | Sesgo en la IA |
| Avisos y explicaciones | Regulation B; TAKE IT DOWN Act | Colorado; CCPA; TRAIGA; SB 243 | Artículos 50 y 86 | Explicabilidad de la IA |
| Registro de incidentes | TAKE IT DOWN Act, 48 horas | SB 53; RAISE Act | Artículo 73 | Notificación de incidentes de IA |
| Modelo y datos de entrenamiento | Model cards de <code>M-26-04</code> | AB 2013 | Artículo 53 y anexo XI | Model card |
| Cláusulas con proveedores | <code>M-25-22</code> | Debida diligencia | Artículo 25 | Due diligence de proveedores de IA |
| Supervisión humana y recurso | <code>M-25-21</code> | SB 947 | Artículo 14 | Supervisión humana |
| Riesgo de modelo | <code>SR 26-2</code> | Sin equivalente | Artículos 9 y 15 | Gestión del riesgo de modelos |
La evaluación de impacto que la OMB exige a un proveedor federal es la que la CPPA recibirá en 2028 y la que pide el artículo 27 del AI Act. El registro vale si está fechado y vinculado a la obligación que prueba. Y el inventario es la columna vertebral: sin él, los demás registros no tienen dónde colgarse.
De ahí la recomendación: un expediente por sistema de IA, construido una vez al nivel del AI Act, con vistas federal, estatal y europea. Es la lógica de AI Sigil: inventario, controles y evidencias enlazados en un mismo registro; la misma prueba sirve a la OMB, a Colorado y a la autoridad europea.
Qué vigilar de aquí a 2027
El calendario de la regulación de la IA en Estados Unidos para los próximos catorce meses depende de piezas que todavía no existen.
- 28 de noviembre de 2026: propuesta de definición legal de «Super Intelligence» (sección 3 de la EO 14434).
- Sin fecha: la lista de leyes «onerosas» de Comercio, de la que dependen la condición BEAD y el procedimiento de la FCC, y la declaración definitiva de la FTC.
- Noveno Circuito: la apelación de xAI v. Bonta.
- Cierre del Congreso: la NO FAKES Act, bloqueada el 30 de septiembre de 2026, la KOSA y la KIDS Act, y la CREATE AI Act (29 votos a 0); ninguna desplaza una ley estatal.
- 1 de enero de 2027: entran en vigor la SB 26-189 de Colorado, la RAISE Act y la ley de chatbots de Nueva York, la HB 2225 de Washington y los avisos ADMT de la CCPA; el fiscal general de Colorado publica sus reglas y, 28 días después, xAI pide su cautelar.
- Enero de 2027: el 120.º Congreso; el NIST revisa el AI RMF y el Cyber AI Profile; el CAISI espera su codificación legal.
- Para las multinacionales, el reloj europeo del artículo 50 y del anexo III; véase la guía operativa del Reglamento de IA de la UE.
Un comité de gobernanza de la IA que revise estas fechas cada trimestre evita que una entrada en vigor sorprenda a la empresa.
Preguntas frecuentes
<b>¿Existe una ley federal general sobre inteligencia artificial en Estados Unidos?</b>
No. El Congreso no ha aprobado ninguna ley general de IA ni ninguna norma que desplace las leyes estatales. Las leyes federales que mencionan la IA se dirigen a la Administración. Solo la TAKE IT DOWN Act obliga a empresas privadas; el resto de la regulación de la IA en Estados Unidos procede de órdenes ejecutivas, memorandos de la OMB y leyes anteriores aplicadas por reguladores sectoriales.
<b>¿Qué exige la TAKE IT DOWN Act y quién es una «plataforma cubierta»?</b>
La sección 3 obliga a las plataformas cubiertas a retirar en 48 horas las imágenes íntimas no consentidas, incluidas las generadas por IA, y sus copias idénticas conocidas. Es plataforma cubierta cualquier sitio o aplicación pública que aloje principalmente contenido de usuarios, no solo las redes sociales. Cada infracción se sanciona con hasta 53 088 USD. La FTC la aplica desde el 19 de mayo de 2026 en TakeItDown.ftc.gov; no consta ningún caso.
<b>¿La orden ejecutiva EO 14365 anula las leyes estatales de IA?</b>
No. La orden de 11 de diciembre de 2025 encarga tareas a agencias federales y no crea derechos exigibles. Solo un tribunal o una ley del Congreso puede anular una norma estatal, y ninguno lo ha hecho: la única intervención del grupo de litigio está suspendida y la única sentencia sobre el fondo, xAI v. Bonta, mantuvo la ley californiana. Una empresa debe cumplir hoy las leyes estatales que le alcanzan.
<b>¿Se aplica el memorando OMB M-25-21 a las empresas privadas?</b>
Directamente, no: rige el uso de IA por las agencias federales. Indirectamente, sí. El M-25-22 traslada sus exigencias a los contratos públicos desde el 1 de octubre de 2025 y el M-26-04 añade la política de uso aceptable y la model card en toda licitación de modelos de lenguaje. Quien venda IA a una agencia federal, o a su integrador, hereda el estándar de registros del M-25-21.
<b>¿Qué agencias federales aplican hoy normas sobre IA y con qué leyes?</b>
La FTC, con la sección 5 de la FTC Act y la TAKE IT DOWN Act. La CFPB, con la ECOA y la Regulation B. La EEOC y los tribunales, con el Título VII y la ADA. La SEC, contra el «AI washing». El HHS, con <code>45 CFR 92.210</code>. La Reserva Federal, la OCC y la FDIC, con la SR 26-2. La FDA, con sus guías sobre dispositivos con IA.
<b>¿Qué cambió la orden ejecutiva sobre la «Super Intelligence»?</b>
Poco en derecho. La EO 14434, de 29 de septiembre de 2026, ordena a las agencias federales usar «Super Intelligence» y «SI» en lugar de «inteligencia artificial» en documentos no estatutarios. Su sección 3 conserva el significado de <code>15 U.S.C. 9401(3)</code> y encarga una propuesta de definición legal hacia el 28 de noviembre de 2026. No crea obligaciones para las empresas, no toca al NIST ni al CAISI y solo vincula al poder ejecutivo.
Conclusión
La regulación de la IA en Estados Unidos no cabe en una ley porque no hay ley. Cabe en una lista: una ley nueva sobre retirada de imágenes, las leyes anteriores que los reguladores aplican a los algoritmos, tres memorandos de la OMB para los proveedores públicos, una orden ejecutiva con un pleito suspendido y una propuesta de la FTC, y las leyes estatales que entran en vigor sin esperar a Washington. Ningún tribunal ha anulado ninguna de ellas. Una empresa europea que ya prepara el AI Act con la AEPD y AESIA no necesita un segundo programa: necesita un expediente de evidencias legible en ambos continentes. Empiece por lo que cualquier supervisor pedirá primero: un registro por sistema de IA, fechado y vinculado a la obligación que prueba.