La ley de IA más dura de Estados Unidos fue reescrita antes de empezar

Durante dos años, la Ley de IA de Colorado (SB 24-205) fue la norma que todos señalaban: la primera regulación integral de IA en Estados Unidos, la que iba a forzar una rendición de cuentas real sobre los sistemas «de alto riesgo» que toman decisiones de peso sobre empleo, vivienda, salud y crédito. Las empresas montaron programas de cumplimiento a su alrededor. Los consultores vendieron listas de verificación de preparación. El reloj corría hacia una fecha de implementación en 2026.

Entonces, en cuestión de pocas semanas, básicamente se evaporó. Una jueza magistrada federal suspendió su aplicación el 27 de abril, y el 14 de mayo el gobernador firmó una norma de reemplazo, la SB 26-189, que empuja la fecha de vigencia a enero de 2027 y elimina las partes más duras de la ley: el deber de cuidado contra la discriminación algorítmica, los programas obligatorios de gestión de riesgos, las evaluaciones de impacto anuales. La ley de IA más dura de Estados Unidos fue reescrita antes de siquiera entrar en vigor.

Si estás construyendo cualquier cosa con IA dentro, hay una lección genuinamente útil en este latigazo, y no es «ignora la regulación».

La fecha límite era un blanco móvil. Casi siempre lo son.

Los equipos que más sufrieron aquí son los que trataron los requisitos específicos de una ley específica como la meta: los que armaron una carpeta de cumplimiento para esta norma, en esta fecha, con estas plantillas de evaluación. Optimizaron para un blanco que se movió, y ahora una buena parte de ese trabajo apunta a una ley que ya no existe.

Esta es la condición normal de la regulación de IA en este momento, no la excepción. Las reglas se están escribiendo, impugnando, congelando y reescribiendo en tiempo real, a menudo más rápido de lo que puedes lanzar un proyecto de cumplimiento. Colorado es solo el ejemplo más dramático: una ley emblemática vaciada por su propia legislatura semanas antes del lanzamiento. Si tu estrategia es «cumplir al pie de la letra con lo que esté por entrar en vigor», vas a pasar los próximos años reconstruyendo para cada nuevo borrador. La fecha límite es lo incorrecto para lo que construir, porque la fecha límite no deja de cambiar.

Construye para lo que sobrevive a cada reescritura

Aquí está la jugada más útil. Mira lo que no se recortó. Incluso en la ley de reemplazo recortada, unas pocas obligaciones sobrevivieron: avisar a las personas cuando se usa IA en una decisión sobre ellas, darles una notificación y una vía para apelar una decisión adversa, y dejarles corregir los datos erróneos que el sistema usó. No discriminar. Mantener documentación de cómo funciona la cosa.

Fíjate en lo que tienen en común: no son trámite burocrático para llenar casillas. Son simplemente buena ingeniería y decencia básica, de la que querrías incluso si ninguna ley la exigiera. Una IA que toma una decisión de peso debería poder explicarla, una persona afectada debería poder impugnarla, y los datos detrás de ella deberían ser corregibles. Eso es lo mismo que vengo defendiendo por sus propios méritos — los agentes en dominios de alto riesgo necesitan anclaje, un rastro de auditoría y un humano que pueda ser anulado — y es la misma razón por la que «lo hizo la IA» no puede permitirse ser el final de una conversación.

Por eso estas son las partes que sobreviven. Los reguladores siguen aterrizando en ellas en cada jurisdicción y en cada reescritura porque son el núcleo irreductible: transparencia, posibilidad de impugnación, rendición de cuentas, no discriminación. Las peleas son por el papeleo que rodea ese núcleo, no por el núcleo en sí.

Lo que un constructor debería hacer en realidad

No necesitas un equipo legal para actuar sobre esto. El manual duradero es pequeño:

• Construye los principios dentro, no el papeleo. Haz que cada decisión de IA de peso sea explicable, apelable y registrada, por diseño, desde el inicio. Eso satisface el espíritu de esencialmente cualquier ley de IA, actual o por venir, y no hay que rehacerlo cuando la norma cambia.
• No te sobreajustes a las plantillas de una sola jurisdicción. Los formularios de evaluación específicos y los formatos de presentación son justamente la parte con más probabilidad de cambiar. Mantén tu trabajo de cumplimiento modular para que un nuevo marco sea un remapeo, no una reconstrucción.
• Deja que la gente vea y corrija sus datos, y diles que hubo IA de por medio. Estos aparecieron en la ley original y sobrevivieron a la reescritura. Estarán también en la próxima. Simplemente hazlos.
• Vigila la dirección, no la fecha. La señal útil no es «esto entra en vigor el 30 de junio». Es «toda propuesta seria de IA, aquí y en la UE, apunta al mismo puñado de deberes». Construye hacia la dirección y las fechas dejan de importar.

La conclusión

Colorado acaba de demostrar, a máximo volumen, que no puedes construir tu estrategia de IA en torno a una ley específica en una fecha específica, porque la ley de IA más famosa del país fue reescrita semanas antes de aterrizar. Los que perseguían la fecha límite sostienen ahora una carpeta para una norma muerta.

Los constructores que estarán bien son los que nunca construyeron para la fecha límite. Construyeron sistemas donde una decisión de IA puede ser explicada, apelada y corregida, donde nada importante ocurre sin un humano responsable y un registro del porqué, porque esa era la forma correcta de construir sin importar lo que cualquier legislatura hiciera este mes. La regulación seguirá dando tumbos. Los principios que están debajo apenas se mueven. Construye para esos, y estarás en cumplimiento con la ley que se aprueba, la ley que se reescribe y la ley que todavía no se ha redactado.