El mapa fragmentado de la gobernanza de la IA
Mientras la Unión Europea avanza con su ley integral de inteligencia artificial y Estados Unidos discute sin cerrar acuerdos federales, un puñado de jurisdicciones subnacionales y un país latinoamericano han tomado la delantera con normas concretas que, lejos de ser experimentales, ya están operando y obligando a las empresas a rediseñar sus procesos de desarrollo y despliegue algorítmico. Illinois, Nevada y México no esperaron a que la tormenta regulatoria global se aclarara: legislaron. Y lo hicieron con lógicas propias que, analizadas en su conjunto, ofrecen una hoja de ruta de lo que se viene.
El movimiento no es menor. Mientras en el Congreso estadounidense se acumulan decenas de propuestas sin destino, los estados y un país emergente han aprovechado los resquicios de la falta de consenso para imponer reglas que afectan directamente a empresas tecnológicas, aseguradoras, plataformas de contratación y sistemas de vigilancia. La pregunta que surge no es si la regulación llegará, sino qué forma tendrá y quién la está definiendo primero.
Illinois: pionero en transparencia algorítmica y sesgos
Illinois ha sido durante años un laboratorio de políticas públicas en materia algorítmica. Su Ley de Transparencia en la Contratación Algorítmica, aprobada en 2022 y vigente desde 2023, obliga a las empresas que utilizan herramientas de IA para decisiones de empleo —desde la selección de currículums hasta la evaluación de entrevistas grabadas— a realizar auditorías de sesgo anuales y a informar a los candidatos sobre el uso de estos sistemas. Es la primera ley en Estados Unidos que exige una auditoría externa independiente de algoritmos de contratación.
El impacto es tangible. Empresas como HireVue, que analiza expresiones faciales y patrones de habla para evaluar candidatos, tuvieron que modificar sus productos para cumplir con los requisitos de Illinois, y varias startups de recursos humanos reescribieron sus términos de servicio para excluir explícitamente el estado o crear versiones adaptadas. La ley también obliga a publicar los resultados de las auditorías, lo que expone a las compañías a un escrutinio público que antes solo ocurría cuando un caso llegaba a tribunales.
Pero Illinois no se detuvo allí. En 2024, el estado amplió el marco con la Ley de Protección contra la Discriminación Algorítmica, que cubre no solo el empleo sino también la vivienda, el crédito y los seguros. Cualquier modelo de IA que tome decisiones en estos sectores debe ser evaluado por sesgos raciales, de género y etarios, entre otros. La sanción por incumplimiento puede alcanzar los 10.000 dólares por infracción, más daños punitivos. Para las empresas que operan en múltiples estados, esto implica que el estándar de Illinois se convierte en un piso, no en un techo.
Nevada: privacidad y vigilancia en la era de la IA
Nevada, por su parte, ha tomado un camino diferente pero igualmente disruptivo. Su Ley de Privacidad de la Información de Salud Genética y Biométrica, actualizada en 2024, amplía la definición de datos biométricos para incluir no solo huellas dactilares o escaneos de iris, sino también patrones de comportamiento extraídos por sistemas de IA, como la forma de caminar, los gestos faciales en espacios públicos y los patrones de voz. Esta ley es la primera en Estados Unidos que cubre explícitamente el perfilamiento conductual generado por algoritmos de vigilancia.
El contexto es clave. Nevada alberga a Las Vegas, un centro de vigil masiva con sistemas de reconocimiento facial en casinos, hoteles y espacios públicos. La nueva ley obliga a cualquier entidad que recolecte datos biométricos —pública o privada— a obtener consentimiento explícito, a informar sobre el propósito y la duración del almacenamiento, y a eliminar los datos una vez cumplido el fin. Las empresas que no cumplan se exponen a demandas colectivas con una compensación mínima de 5.000 dólares por persona afectada.
El efecto dominó ya se siente. Compañías de seguridad como Motorola Solutions y plataformas de análisis de video como BriefCam han tenido que rediseñar sus productos con funciones de "olvido biométrico" para cumplir con Nevada. Y dado que los casinos son operados por grandes conglomerados que también tienen presencia en otros estados, las prácticas obligadas en Nevada se están extendiendo de facto a otras jurisdicciones.
México: la apuesta regulatoria latinoamericana
México ha dado el paso más ambicioso en América Latina con su Ley General de Inteligencia Artificial, publicada en septiembre de 2024. La norma no solo regula algoritmos de alto riesgo —los que afectan derechos humanos, acceso a servicios básicos o decisiones judiciales— sino que crea una Agencia Nacional de Supervisión de la IA, con facultades de inspección, sanción y revocación de licencias de operación para sistemas que demuestren sesgos sistémicos o violaciones a la privacidad.
El corazón de la ley es la obligación de realizar evaluaciones de impacto algorítmico antes de poner en marcha cualquier sistema de alto riesgo. Estas evaluaciones deben ser públicas y actualizarse cada dos años o tras cambios sustanciales en el modelo. Las empresas que operan en sectores como banca, salud, educación y seguridad pública —y que atienden a millones de mexicanos— ya han comenzado a contratar auditores externos y a formar comités de ética internos.
La ley también incluye un capítulo pionero sobre la participación ciudadana en la gobernanza algorítmica, con mecanismos de consulta pública para la aprobación de sistemas que afecten a comunidades específicas. Esto va más allá de lo que exigen la mayoría de las regulaciones en Europa y Estados Unidos, y coloca a México como un referente en democracia algorítmica. Por supuesto, la implementación enfrenta desafíos: la Agencia carece aún de presupuesto completo y de personal especializado suficiente, y el sector privado ha presionado para suavizar ciertos plazos de cumplimiento.
Comparativa: tres caminos, un destino
Aunque diferentes en alcance y enfoque, las tres jurisdicciones comparten un patrón que revela hacia dónde se dirige la regulación de la IA. Primero, todas ponen el foco en la transparencia y la auditabilidad: no se prohíbe la IA, pero se exige que sus decisiones sean explicables y verificables por terceros independientes. Segundo, todas incluyen sanciones económicas significativas como disuasión. Tercero, todas trasladan la responsabilidad del desarrollador al implementador, es decir, la empresa que despliega la IA responde por ella aunque el modelo haya sido creado por un tercero.
Las diferencias son igualmente instructivas. Illinois se centra en la discriminación y el empleo; Nevada, en la privacidad y la vigilancia; México, en la gobernanza sistémica y la participación ciudadana. Esto sugiere que la regulación de la IA no será homogénea, sino que se fragmentará por sectores y por riesgos específicos. Las empresas globales deberán navegar un mosaico de leyes, similar a lo que ocurrió con la privacidad de datos después del GDPR y la CCPA.
Impacto en empresas y perspectivas futuras
Para las compañías tecnológicas y los fondos de inversión, este entorno regulatorio fragmentado impone costos de cumplimiento crecientes. Las startups que desarrollan IA para contratación, vigilancia o servicios financieros ya no pueden escalar sin un equipo legal y de ética algorítmica. Los capitales de riesgo, por su parte, están incluyendo cláusulas de "riesgo regulatorio" en sus términos de inversión, y algunos fondos han empezado a exigir auditorías independientes antes de cerrar una ronda.
A largo plazo, esta ola regulatoria temprana podría tener un efecto inesperado: así como el GDPR se convirtió en un estándar global de facto por el poder de mercado de Europa, las reglas de Illinois, Nevada y México podrían influir en las negociaciones de la ley federal estadounidense y en las discusiones de otros países latinoamericanos. Colombia y Brasil ya han solicitado asesoría técnica a la Agencia mexicana, y California mira con atención el modelo de auditoría de Illinois.
La nueva ola no es una tormenta pasajera. Es un cambio estructural en la relación entre la tecnología y el derecho. Las empresas que entiendan que el cumplimiento no es un obstáculo sino una ventaja competitiva —una señal de confianza ante usuarios, inversionistas y reguladores— serán las que sobrevivan a la próxima década algorítmica.
