El impulso de la legislatura de California por más regulaciones de privacidad y IA
La sesión legislativa de California de 2025 terminó con un mensaje familiar para las empresas: el cumplimiento de la privacidad se está ampliando y la gobernanza de la inteligencia artificial (IA) avanza rápidamente de las mejores prácticas voluntarias a obligaciones de transparencia y seguridad exigibles. En el último día de 2025, los legisladores introdujeron 33 proyectos de ley sobre privacidad e IA y aprobaron 16 para que el gobernador pudiera firmar o vetar. En última instancia, el gobernador firmó cuatro leyes de privacidad y siete de IA, mientras que vetó cinco más. A continuación se presenta un resumen de las medidas más significativas y algunas consideraciones prácticas para el cumplimiento de las organizaciones que operan o prestan servicios en California.
Nueva Ley de Privacidad
La Ley de Opción de Exclusión de California exige señales de exclusión universal basadas en navegadores y manda que las empresas que desarrollan o mantienen navegadores web proporcionen a los consumidores una señal de preferencia de exclusión universal que se aplique a todos los sitios web que visiten. Aunque el mandato está dirigido a los desarrolladores de navegadores, las empresas deben prepararse para más señales de exclusión legibles por máquinas y asegurarse de que herramientas de publicidad, análisis, personalización, consentimiento y flujos de proveedores puedan reconocer y honrar las señales universales de manera coherente en todos los sitios web.
La Ley AB1043 (señales de verificación de edad en línea) adopta un modelo alternativo para la seguridad en línea de los niños al trasladar las obligaciones; bajo esta regulación, los proveedores de sistemas operativos deben ofrecer una interfaz para que los usuarios ingresen información de verificación de edad durante la configuración de la cuenta. Este modelo se diferencia de otros estados al imputar responsabilidad a los desarrolladores y excluir a los proveedores de sistemas operativos y tiendas de aplicaciones de la responsabilidad.
La Ley SB 361 (recolección y eliminación de datos de corredores de datos) amplía la supervisión de corredores de datos a través de divulgaciones más amplias y un cumplimiento más estricto. Los corredores deben revelar si recopilan información personal en numerosas categorías, incluyendo orientación sexual, estado de ciudadanía, información biométrica y números de identificación gubernamentales. Los corredores deben informar a la Agencia de Protección de la Privacidad de California si han vendido o compartido datos con actores extranjeros, agencias federales o estatales, o desarrolladores de sistemas de IA generativa.
La Ley AB 45 (límites en la recolección de datos de salud y ubicación) extiende las prohibiciones para incluir la recolección, uso, divulgación, venta, compartición o retención de información personal de un individuo ubicado en o dentro de la geolocalización precisa de clínicas o centros de atención sanitaria reproductiva. Dado que esta regulación proporciona un derecho privado de acción por violaciones, las organizaciones deben inventariar la recolección y retención de ubicaciones, la lógica publicitaria cerca de lugares sensibles y el comportamiento de SDK, incluyendo rastreadores de terceros.
Transparencia y Seguridad en IA
La Ley de Transparencia en la Inteligencia Artificial Fronteriza requiere que ciertos desarrolladores de IA fronteriza, con ingresos de al menos $500 millones, divulguen esfuerzos de seguridad, incluyendo:
- Divulgaciones a la Oficina de Servicios de Emergencia más auditorías de terceros obligatorias;
- Las divulgaciones deben identificar qué estándares aceptados se integraron en sus marcos;
- Un marco de seguridad claro debe ser adoptado y publicado en el sitio web del desarrollador.
Los desarrolladores que estén en el ámbito de aplicación deben hacer que la gobernanza esté lista para auditorías, a través de marcos de seguridad por escrito, estándares mapeados y procesos de divulgación. Las empresas que compren servicios de modelos fronterizos deben esperar cambios en la adquisición y la diligencia debida a medida que los proveedores se alineen con las expectativas de auditoría y divulgación.
Además, la Ley SB 243 (chatbots de compañía con divulgación, protocolos de seguridad e informes de prevención del suicidio) regula a los chatbots de compañía, descritos como sistemas diseñados para utilizar respuestas similares a las humanas, satisfacer necesidades sociales y mantener relaciones. La regulación requiere:
- Divulgación clara y conspicua de que el usuario está interactuando con IA, no con un humano, si una persona razonable podría ser engañada;
- Salvaguardias que impidan la interacción si no existe un protocolo para prevenir contenido dañino, incluyendo autolesiones, ideaciones suicidas o contenido sexual si el usuario es un menor conocido.
Qué esperar en 2026
La segunda mitad de la sesión legislativa de California ha comenzado. Más de 22 proyectos de ley se llevarán adelante, con una fecha límite del 20 de febrero de 2026 para nuevos proyectos. Los proyectos de ley de privacidad en comité incluyen ajustes a la Ley de Privacidad del Consumidor de California (CCPA) y la Ley de Invasión de la Privacidad de California (CIPA), así como proyectos de ley sobre vigilancia en el lugar de trabajo. También están en la lista posibles nuevas obligaciones para los corredores de datos y nuevos informes para las empresas que recopilan geolocalización precisa.
Diez proyectos de ley de IA están pendientes de acción adicional, incluyendo múltiples proyectos sobre precios algorítmicos, además de proyectos sobre bots de IA, toma de decisiones automatizada de alto riesgo, derechos de autor y discriminación.
En conjunto, estas leyes confirman que California está convirtiendo gradualmente la gestión de riesgos de privacidad e IA en requisitos operacionales que los reguladores y demandantes pueden evaluar a través de documentación, divulgaciones y controles demostrables. Las organizaciones deben alinear ingeniería, producto, adquisiciones y legal en torno a una única hoja de ruta de cumplimiento que abarque el reconocimiento de señales de exclusión universal, salvaguardias relacionadas con la edad y los menores, flujos de informes y eliminación al estilo de corredores de datos, límites de datos de salud y geolocalización sensible, y gobernanza de transparencia y seguridad en IA que pueda resistir auditorías y diligencia de proveedores.
Con docenas de proyectos de ley en curso y nuevas propuestas inminentes, la postura más resiliente es institucionalizar procesos repetibles ahora, incluyendo mapeo de datos, supervisión de proveedores, actualizaciones de políticas y avisos, pruebas y monitoreo, así como manuales de respuesta a incidentes, para que los nuevos requisitos de California puedan ser absorbidos como cambios incrementales en lugar de trabajo disruptivo.
