J.
IA & GenAI

Legislar la inteligencia artificial: mapa global de un derecho en formación

En menos de cuatro años el mundo pasó de no tener ningún marco jurídico específico para la inteligencia artificial a tener al menos cuatro modelos regulatorios incompatibles entre sí —el europeo, el estadounidense, el chino y el británico— compitiendo por convertirse en el estándar de facto. Un mapa comparado de ese derecho todavía en formación.

Jesús Mario González Siller13 de septiembre de 202612 min de lectura
#Regulación de IA#EU AI Act#Gobernanza Global#Política Pública#Geopolítica Tecnológica#Estados Unidos#China#Unión Europea

Entre 2021, cuando la Comisión Europea presentó la primera propuesta formal de un reglamento horizontal sobre inteligencia artificial, y septiembre de 2026, el mundo pasó de la ausencia casi total de derecho positivo aplicable a sistemas de IA a un mosaico de al menos cuatro arquitecturas regulatorias que no solo difieren en contenido, sino en la lógica jurídica que las sostiene: una basada en la clasificación ex ante del riesgo del sistema, otra construida por acumulación de leyes estatales bajo tensión federal creciente, una tercera que regula por reglamento administrativo sectorial sin ley marco única, y una cuarta que delega deliberadamente la tarea a los reguladores ya existentes en lugar de crear uno nuevo. Ninguna de estas cuatro lógicas es reducible a las otras, y esa irreductibilidad —no la simple diferencia de detalle técnico— es la razón por la que hablar de una "regulación global de la IA" es, en el estado actual del derecho comparado, una simplificación que oculta más de lo que explica.

La Unión Europea: riesgo clasificado y la primera ventana real de sanciones

El AI Act europeo, vigente desde agosto de 2024, es hasta la fecha el único marco comprensivo y horizontal —aplicable a todos los sectores, no solo a algunos— que clasifica los sistemas de inteligencia artificial en una escala de riesgo (mínimo, limitado, alto y prohibido) y hace depender las obligaciones jurídicas de esa clasificación, en un diseño que se asemeja más al derecho de producto —como la regulación europea de dispositivos médicos o juguetes— que al derecho de datos personales del que suele compararse por su origen institucional común. La pieza que en este momento concentra la atención de la industria no es la prohibición de ciertos usos —reconocimiento biométrico masivo en espacios públicos, puntuación social— sino el capítulo dedicado a los modelos de propósito general (GPAI, por sus siglas en inglés), que entró en vigor el 2 de agosto de 2025 para cualquier modelo lanzado después de esa fecha, con un año de gracia práctica hasta el 2 de agosto de 2026, momento en el que la Comisión adquiere plena capacidad de solicitar información, exigir acceso a los modelos y ordenar retiros, respaldada por multas de hasta 15 millones de euros o el 3% de la facturación global del proveedor.

La Comisión optó por instrumentar ese capítulo mediante un Código de Buenas Prácticas —publicado el 10 de julio de 2025 tras un proceso multiactor con cerca de mil participantes, organizado en tres capítulos: transparencia, derechos de autor, y seguridad— que es formalmente voluntario, pero que en la práctica funciona como el estándar de cumplimiento por defecto: quien no lo adopta, o un marco equivalente, queda sujeto a un escrutinio individualizado más costoso por parte de la Oficina de IA y las autoridades nacionales. Es una arquitectura de cumplimiento por incentivos antes que por mandato directo, comparable en su lógica a los estándares técnicos armonizados que la propia Unión Europea usa en otros regímenes de producto, y su prueba de fuego real llega apenas ahora: los modelos lanzados antes de agosto de 2025 tienen hasta agosto de 2027 para ajustarse, lo que significa que, a la fecha de esta nota, la mayoría de los sistemas de frontera que el público ya usa cotidianamente operan todavía bajo un régimen transitorio y no bajo el régimen pleno que eventualmente los regirá.

Estados Unidos: fragmentación estatal frente a una ofensiva federal de preferencia

El caso estadounidense es el que mejor ilustra que la ausencia de una ley federal no equivale a un vacío regulatorio, sino a una acumulación descoordinada de derecho estatal. Solo en 2025 se introdujeron más de 1,200 iniciativas de ley sobre inteligencia artificial en legislaturas estatales, de las cuales California, Colorado, Texas, Illinois y Nueva York convirtieron un número significativo en ley vigente, cada una con requisitos, calendarios de entrada en vigor y estructuras de sanción distintas entre sí —una condición que la propia industria describe como "parche regulatorio" precisamente porque cumplir en un estado no garantiza cumplir en el vecino—. California puso en vigor desde el 1 de enero de 2026 su Ley de Transparencia en IA de Frontera (TFAIA), enfocada específicamente en los modelos más capaces, mientras que Colorado ofrece el ejemplo más elocuente de la inestabilidad del propio proceso legislativo: su Ley de IA original (SB 24-205), que exigía a desarrolladores y desplegadores un deber de cuidado razonable frente a la discriminación algorítmica, evaluaciones de impacto y divulgación al consumidor, fue primero retrasada por una nueva ley en agosto de 2025 y después derogada y sustituida en mayo de 2026 por un estatuto más acotado (SB 26-189) centrado únicamente en la toma de decisiones automatizada, con vigencia recién a partir de enero de 2027 —es decir, dos leyes distintas, una derogación completa y un nuevo objeto regulatorio en un lapso de apenas quince meses.

Sobre ese terreno ya fragmentado, la administración Trump introdujo en 2026 una estrategia deliberada de preferencia federal por la vía ejecutiva: una orden que instruye al Secretario de Comercio a publicar, dentro de 90 días, una lista de leyes estatales de IA calificadas como "onerosas" para la innovación, y que crea dentro del Departamento de Justicia un Grupo de Trabajo de Litigio en IA con el mandato explícito de impugnar en tribunales federales aquellas leyes estatales que, a juicio del Fiscal General, carguen indebidamente el comercio interestatal o resulten incompatibles con la política federal. El instrumento de presión no es solo judicial: la orden autoriza condicionar el otorgamiento de fondos federales discrecionales a que los estados se abstengan de aprobar o de hacer cumplir leyes de IA identificadas como conflictivas, un mecanismo de coacción presupuestaria con precedente directo en otras áreas de política federal-estatal. Que el Congreso ya haya rechazado dos veces una preferencia federal legislada de manera explícita —tanto en la ley fiscal conocida como "One Big Beautiful Bill" como en la Ley de Autorización de Defensa Nacional— deja a esta ofensiva ejecutiva operando en un terreno constitucionalmente más frágil que el de una ley del Congreso, lo que explica que la primera demanda de peso, presentada por xAI LLC contra el Fiscal General de Colorado en abril de 2026 sobre bases de Primera Enmienda, cláusula de comercio y debido proceso, sea apenas el primer episodio de un litigio que definirá, no el Congreso, sino las cortes federales, si el patchwork estatal sobrevive.

China: gobernanza por reglamento sectorial acumulado, no por código único

El modelo chino desmiente la intuición de que un Estado con capacidad centralizada de control regula necesariamente mediante una ley única y comprensiva: China no tiene, a la fecha de esta nota, un "AI Act" propio, sino una acumulación de reglamentos administrativos específicos emitidos por la Administración del Ciberespacio de China (CAC) desde 2022, cada uno dirigido a un riesgo o tecnología puntual —las Disposiciones sobre Gestión de Recomendación Algorítmica de Servicios de Información de Internet (2022), las Disposiciones sobre Gestión de Síntesis Profunda (2023) y las Medidas para la Gestión de Servicios de Inteligencia Artificial Generativa (2023)— y complementado en enero de 2026 con una reforma a la Ley de Ciberseguridad que, por primera vez, eleva la gobernanza de la IA al nivel legislativo formal en lugar de dejarla exclusivamente en reglamento administrativo. El instrumento más visible para el usuario final entró en vigor el 1 de septiembre de 2025: las Medidas para el Etiquetado de Contenido Generado por IA exigen un doble mecanismo de identificación —etiquetas explícitas y visibles (marcas de agua, avisos) y etiquetas implícitas incrustadas en metadatos o firmas digitales—, especificado técnicamente en el estándar nacional GB 45438-2025, que en su nivel de detalle técnico no tiene todavía equivalente exacto ni en la Unión Europea ni en Estados Unidos. El régimen se completa con la obligación, impuesta a todo sistema de recomendación algorítmica, de registrarse ante el Ministerio de Industria y Tecnología de la Información dentro de los 30 días posteriores a su despliegue o a cualquier actualización mayor —un mecanismo de trazabilidad administrativa que convierte al registro regulatorio, y no a la auditoría posterior, en el punto de control principal del sistema.

Reino Unido: la abstención como política deliberada, no como omisión

El caso británico es el que más se presta a la lectura errónea de que la ausencia de ley equivale a laxitud. Desde el Libro Blanco de Inteligencia Artificial de marzo de 2023, bajo el gobierno de Rishi Sunak, el Reino Unido adoptó explícitamente cinco principios transversales —seguridad y robustez, transparencia y explicabilidad apropiadas, equidad, rendición de cuentas y gobernanza, y posibilidad de impugnación y reparación— como guía no vinculante que los reguladores sectoriales ya existentes (la ICO en protección de datos, la FCA en servicios financieros, y así sucesivamente por sector) deben aplicar sobre la IA usando sus propias facultades, en lugar de crear un regulador nuevo o una ley horizontal. El gobierno laborista de Keir Starmer, a pesar del cambio de partido en el poder, mantuvo esa misma orientación: a julio de 2026 no se había presentado al Parlamento ningún proyecto de ley específico sobre IA, y las señales ministeriales apuntan a que no lo habrá en el corto o mediano plazo, mientras que el proyecto de ley "Regulating for Growth" anunciado en el discurso del Rey de 2026 confirma que la dirección de la política británica es hacia sandboxes regulatorios y mayor flexibilidad sectorial, no hacia la codificación horizontal que caracteriza al modelo europeo. Es, en el sentido más estricto, una apuesta regulatoria distinta —no una IA menos vigilada, sino una IA vigilada por el derecho ya existente aplicado con nuevas herramientas, en lugar de por un cuerpo normativo enteramente nuevo.

El intento de coordinación multilateral y su límite estructural

En el plano internacional, el mecanismo más cercano a una gobernanza verdaderamente global de la IA es el Diálogo Global sobre Gobernanza de la IA de Naciones Unidas, nacido del Pacto Digital Global de 2024 y cuya primera sesión se celebró en Ginebra los días 6 y 7 de julio de 2026, junto con el Panel Científico Internacional Independiente sobre Inteligencia Artificial establecido en agosto de 2025 —dos mecanismos que, sin embargo, son explícitamente foros de coordinación e interoperabilidad de regímenes nacionales existentes, no un tratado vinculante ni un regulador supranacional con poder de sanción. El único instrumento internacional que sí tiene fuerza jurídica vinculante es el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial, Derechos Humanos, Democracia y Estado de Derecho, abierto a firma el 5 de septiembre de 2024, cuyo alcance geográfico —limitado en origen a los Estados miembros del Consejo de Europa y a quienes decidan adherirse— y cuyo contenido, centrado en garantías de derechos humanos antes que en estándares técnicos operativos de cumplimiento empresarial, lo distinguen claramente de la función que cumple el AI Act europeo o las medidas chinas de etiquetado. En otras palabras: el mundo tiene ya un foro de diálogo global sobre IA y un tratado vinculante sobre derechos humanos aplicados a la IA, pero no tiene, ni tiene en el horizonte cercano, un tratado vinculante que armonice los estándares técnicos y de responsabilidad que efectivamente determinan dónde y bajo qué condiciones se puede desplegar un modelo de frontera.

Qué significa esta fragmentación para quien despliega o construye sistemas de IA

La consecuencia práctica de que estas cuatro arquitecturas coexistan sin converger es que el diseño de cumplimiento ya no puede tratarse como un ejercicio de "adaptar un estándar único a variaciones locales" —el enfoque que durante años funcionó, con matices, para la protección de datos personales tras el RGPD—, porque los objetos que cada régimen regula no son equivalentes entre sí: la Unión Europea clasifica el sistema por su nivel de riesgo antes de su despliegue; China exige registro administrativo y etiquetado del contenido generado; Colorado, hasta su propia derogación, exigía evaluaciones de impacto sobre discriminación algorítmica; y el Reino Unido no exige, como tal, ningún trámite horizontal, sino cumplimiento con el marco sectorial que ya aplicaba antes de que existiera la IA generativa. Una organización que opera en las cuatro jurisdicciones a la vez —el caso típico de cualquier proveedor de modelos de frontera— enfrenta, en la práctica, cuatro teorías jurídicas distintas de qué es lo que hace peligroso a un sistema de inteligencia artificial, y por tanto cuatro evidencias distintas que debe estar en condiciones de producir si un regulador las solicita.

Mi lectura

Lo que distingue a este momento regulatorio de anteriores olas de regulación tecnológica —telecomunicaciones, internet, protección de datos— es la velocidad con la que la fragmentación se volvió geopolíticamente instrumental en lugar de meramente administrativa: la orden ejecutiva estadounidense de 2026 no busca simplemente ordenar el patchwork estatal por eficiencia regulatoria, busca explícitamente evitar que ese patchwork erosione la ventaja competitiva de la industria de IA estadounidense frente a China, y el propio lenguaje de "onerosidad" que usa para calificar las leyes estatales revela que el criterio de evaluación no es primariamente jurídico sino de política industrial. Del lado europeo, en cambio, el diseño de riesgo por clasificación no es solo una técnica jurídica, es una apuesta explícita de que la Unión puede exportar su estándar regulatorio —como ocurrió, con matices, con el RGPD— convirtiendo el cumplimiento con el AI Act en la vía de acceso de facto al mercado europeo para cualquier proveedor global, sin necesidad de que otras jurisdicciones adopten formalmente ese mismo marco.

La pregunta que esta fragmentación deja abierta, y que ninguno de los cuatro modelos resuelve por sí solo, es qué ocurre cuando un daño causado por un sistema de IA —una decisión de crédito discriminatoria, un contenido sintético que provoca un perjuicio reputacional verificable, una falla de seguridad en un sistema de alto riesgo— cruza jurisdicciones en el mismo incidente: el régimen aplicable, la autoridad competente y el estándar de responsabilidad dependerán, en el estado actual del derecho comparado, de en qué punto exacto de esa cadena transnacional ocurrió cada elemento del daño, y no existe todavía un mecanismo de coordinación —ni el Diálogo Global de la ONU, ni el Convenio del Consejo de Europa, ni ningún acuerdo bilateral— con la autoridad efectiva para resolver ese conflicto de leyes antes de que sea un tribunal, en una sola jurisdicción, quien termine decidiéndolo por default.

Fuentes

Sigue leyendo 01 / 05

← Volver al blog