La regulación federal de IA está bloqueada. Los estados y los demandantes privados llenan el vacío — y el mapa de cumplimiento se complica

No existe ninguna ley federal de IA en Estados Unidos. El Congreso no ha aprobado ninguna. La orden ejecutiva de la administración Trump de diciembre de 2025, que instruía a las agencias a preemptir las normas estatales sobre IA, enfrenta impugnaciones constitucionales, y los organismos de supervisión trabajan con los estatutos que ya tenían. En ese vacío, los estados y los demandantes privados han actuado con rapidez.

El análisis publicado por Morgan Lewis el 2 de abril describe con claridad el panorama regulatorio actual: las empresas que despliegan IA en Estados Unidos navegan ahora por un entorno de cumplimiento multijurisdiccional fragmentado que, paradójicamente, crea más exposición legal que una norma federal única.

La FTC es el actor federal más activo. Utiliza la Sección 5 de la Ley FTC — actos o prácticas desleales o engañosas — para perseguir sistemas de IA que engañen a consumidores, generen afirmaciones falsas o produzcan resultados discriminatorios en crédito, vivienda y empleo. La postura de aplicación de la comisión no ha cambiado dramáticamente con la nueva administración, pero su marcha atrás de enero en la orden de aplicación contra Rytr muestra que algunas iniciativas específicas sobre IA enfrentan presión política interna.

Colorado es el caso estatal más importante a seguir ahora mismo. La Ley de IA de Colorado entra en vigor el 30 de junio de 2026. Impone requisitos de gestión del riesgo y no discriminación algorítmica a los desarrolladores y desplegadores de “sistemas de IA de alto riesgo” — sistemas que toman decisiones de consecuencias en empleo, educación, servicios financieros, sanidad y vivienda. El cumplimiento exige evaluaciones de impacto documentadas, auditorías de sesgos y obligaciones de transparencia hacia el consumidor. Colorado no es un mercado pequeño, y su ley se aplica a cualquier sistema que afecte a residentes en Colorado independientemente de dónde esté la empresa.

California, Texas e Illinois aplican normativa existente de protección al consumidor, privacidad biométrica (BIPA en Illinois) y antimonopolio. La fiscal general de California ha abierto varias investigaciones relacionadas con IA desde 2025, dirigidas contra empresas que desplegaron herramientas de contratación con IA sin pruebas de sesgo adecuadas y plataformas de marketing que usaron IA para segmentar grupos demográficos protegidos.

La Ley de IA de la UE es el punto de presión global. Las reglas de cumplimiento para sistemas de alto riesgo entran en vigor en agosto de 2026. Cualquier empresa con exposición en la UE ya está inmersa en la preparación del cumplimiento — y las multinacionales tienden a aplicar los estándares europeos globalmente en lugar de mantener conjuntos de normas separados, lo que significa que las reglas de la UE fijan de facto el nivel mínimo para los despliegues globales.

La litigación privada añade una capa adicional. Los abogados de demandantes están testando nuevas teorías de responsabilidad en sanidad (errores de diagnóstico con IA), servicios financieros (discriminación algorítmica en préstamos) y empleo (herramientas de filtrado que rechazan de forma desproporcionada a grupos protegidos). Varios casos avanzan en tribunales federales y los primeros descubrimientos han producido documentos internos comprometedores de empresas que desplegaron IA sin evaluaciones de sesgo previas.

La implicación práctica para equipos que comercializan productos de IA: esperar claridad federal ya no es una estrategia de cumplimiento viable. El plazo del 30 de junio en Colorado es real. Los requisitos europeos de agosto son reales. Y la aplicación por parte de los fiscales estatales está ocurriendo ahora, sin esperar nueva legislación. Documenta tus pruebas de sesgo, realiza evaluaciones de impacto antes del despliegue y guarda los registros.