California firmó 13 leyes de IA en un día. SB 1000 eliminó el umbral de un millón de usuarios.

El 30 de septiembre, la oficina del gobernador Gavin Newsom anunció que había firmado 13 proyectos de ley relacionados con la IA que abarcan trabajadores, atención médica, transparencia y deepfakes, además de una orden ejecutiva. El más trascendental del paquete para cualquiera que desarrolle IA generativa es el SB 1000, que entra en vigor de inmediato mediante una cláusula de urgencia.

El SB 1000 no inicia un nuevo plazo. Modifica la Ley de Transparencia de IA de California, que ya estaba en vigor el 2 de agosto. La enmienda cambia a quiénes obliga esa ley.

Qué cambió

La definición de proveedor cubierto pierde su umbral de un millón de usuarios mensuales en promedio. Según la ley anterior, un desarrollador de un sistema de IA generativa de acceso público solo se convertía en proveedor cubierto una vez que superaba esa línea. El SB 1000 elimina el umbral por completo, por lo que un desarrollador de un producto de generación de imágenes, audio o vídeo de acceso público disponible para residentes de California queda cubierto independientemente del número de usuarios.

Los servicios más pequeños de texto a imagen, los servicios de clonación de voz y los servicios de generación de vídeo que quedaban por debajo de la línea del millón de usuarios según el marco anterior pierden esa posición y adquieren el conjunto completo de obligaciones. Para una categoría de startups que asumían que eran demasiado pequeñas para ser reguladas, esa suposición acaba de expirar.

El segundo cambio reemplaza la obligación gratuita de una «herramienta de detección de IA» por la obligación de ofrecer una «herramienta de verificación de divulgación». Eso es un requisito de ingeniería significativamente distinto. Detección significa analizar un archivo a posteriori y adivinar si fue generado. Verificación significa dar al usuario una herramienta que pueda ejecutar sobre un archivo para comprobar las señales de procedencia que el proveedor incorporó desde el principio.

La enmienda también alcanza el contenido que un sistema de IA generativa ha modificado sustancialmente, además del contenido que generó desde cero. Los proveedores que crearon herramientas de detección conforme a la ley anterior ahora se enfrentan al trabajo de pasar de la detección a posteriori de sus propios resultados a una herramienta de verificación que un tercero pueda operar.

La letra pequeña que importa

El análisis de la Comisión de Privacidad y Protección al Consumidor de la Asamblea registra varias salvedades. Las obligaciones de divulgación latente vinculan solo en la medida en que sea técnicamente viable. Un proveedor puede dirigir a los usuarios a una herramienta de verificación de terceros compatible en lugar de crear la suya propia. Una licencia debe revocarse dentro de las 72 horas posteriores a que el proveedor descubra que un licenciatario ha eliminado la capacidad de divulgación latente.

Hay exclusiones para plataformas de videojuegos, televisión, streaming y cine que solo alojan contenido que sus usuarios no generaron. Los sistemas cuya función principal es la tecnología de asistencia están exentos hasta el 1 de enero de 2029, con una multa de 50 000 USD por infracción por reclamar falsamente la exención. La multa general se mantiene en 5000 USD.

Vale la pena notar esa asimetría. Reclamar una exención para la que no se califica es diez veces más caro que una infracción ordinaria, lo que sugiere que los reguladores esperan que la línea de exención sea impugnada.

El resto del paquete

Dos proyectos de ley complementarios firmados el mismo día amplían el tema. El AB 2713 prohíbe a las grandes plataformas en línea, definidas como aquellas con más de dos millones de usuarios mensuales únicos, eliminar a sabiendas datos de procedencia del sistema o firmas digitales cuando sea técnicamente viable, a partir del 1 de enero de 2027. El SB 1111 convierte una réplica digital en parte de la voz o la imagen de una persona conforme a la acción civil por derechos de imagen de California, y hace que usar una para suplantar a alguien sea una forma de suplantación falsa bajo una nueva sección del Código Penal.

A principios de septiembre, Newsom firmó el SB 813, que establece un marco para organizaciones de verificación independientes que evalúan sistemas de IA para el cumplimiento legal, y el AB 1405, que crea el primer marco de registro de California para auditores de IA. En conjunto, apuntan a un ecosistema formal para la evaluación de IA por terceros.

No todo sobrevivió. Newsom vetó el AB 1542, el SB 903 y el AB 2575, citando disposiciones demasiado amplias y el costo de implementación. Rechazó el SB 903 en parte por definiciones imprecisas que podrían haber obstaculizado la forma en que trabajan los profesionales de la psicoterapia. Sobre el AB 1542, que habría reemplazado las protecciones reforzadas de consentimiento para datos personales sensibles por una prohibición categórica, cuestionó eliminar por completo a los consumidores del proceso y dijo que los costos de implementación no fueron abordados en el presupuesto estatal.

También hay una cuestión práctica sobre los plazos. Las obligaciones de transparencia se activan en el momento de la disponibilidad, pero la ventana de revocación de 72 horas y las reglas de procedencia para grandes plataformas comienzan en fechas distintas. Un equipo de producto que planifica un lanzamiento tiene que seguir tres o cuatro fechas de entrada en vigor a la vez, y las multas difieren según la disposición. La propia cláusula de urgencia del SB 1000 hace que la primera de ellas sea inmediata, lo que no deja margen para los proveedores que habían estado operando por debajo del umbral anterior.

El lado laboral del paquete

El anuncio del mismo día abarcó más que la transparencia. En las decisiones laborales, el paquete dice que los empleadores no pueden basarse únicamente en la IA para la disciplina o el despido, y deben divulgar cuando un despido masivo, una reubicación o un cese es causado por un sistema de IA. Las herramientas de vigilancia laboral están prohibidas en los baños del lugar de trabajo. Esas disposiciones se suman al SB 947 y al SB 951, los proyectos de ley de decisión automatizada y desplazamiento tecnológico que recibieron elogios públicos de la Federación de Sindicatos Laborales de California.

En atención médica, los médicos y proveedores con licencia conservan su juicio profesional cuando se utilizan herramientas de IA o de decisión clínica, y los desarrolladores de herramientas de decisión clínica deben tomar medidas razonables para reducir sesgos conocidos o previsibles. El AB 1979 y el SB 503 retoman ese tema. El paquete también aborda la síntesis génica, exigiendo a los fabricantes y proveedores de equipos seguir directrices de seguridad, verificar a los clientes y comprobar qué material genético envían.

Cada una de esas áreas tiene su propio grupo sectorial, su propia pila de cumplimiento y su propia línea de tiempo. Una empresa que lanza una herramienta de decisión clínica ahora tiene un deber de mitigación de sesgos, un proveedor que opera un servicio de generación de vídeo tiene un deber de procedencia, y un empleador que utiliza selección automatizada tiene un deber de divulgación. El tejido conectivo es que California está construyendo obligaciones en torno al despliegue, en lugar de esperar un único marco federal.

Esa es la apuesta estratégica detrás del volumen. Con la legislación federal estancada, los estados se han convertido en el escenario donde realmente se escriben las reglas de IA, y California ahora tiene más medidas promulgadas que cualquier otro estado. Las empresas que operan a nivel nacional tienen que planificar para el estado más estricto al que sirven, lo que convierte las decisiones de California en política nacional de facto para muchos productos.

Qué deberían hacer los desarrolladores

La consecuencia práctica es de ingeniería y contratos. Los equipos de distribución de modelos se enfrentan a trabajo en los términos de licencia para preservar la capacidad de divulgación y definir qué sucede cuando un licenciatario la elimina. Los equipos de producto que dependían de una herramienta de detección ahora necesitan una vía de verificación, lo que normalmente significa incorporar señales de procedencia en el momento de la generación en lugar de intentar inferirlas después.

La eliminación del umbral también cambia la planificación. Una startup que asumía que no estaría cubierta hasta tener un millón de usuarios ahora debería tratar el cumplimiento como un requisito de lanzamiento, no como un hito de escala. Las obligaciones se activan con la disponibilidad para los residentes de California.

California ahora tiene 21 medidas de IA promulgadas, más que cualquier otro estado. El patrón a lo largo de los proyectos de ley del día es consistente: obligaciones de transparencia que se amplían, procedencia tratada como una propiedad que debe sobrevivir a la distribución, y autoridad de aplicación concentrada en agencias estatales y el Fiscal General. Para cualquiera que envíe imágenes, audio o vídeo generados a usuarios de EE. UU., el estado con el reglamento más detallado acaba de hacerlo aún más detallado.