Salvaguardas de IA vigentes: leyes, normas y etiquetas

Cinco tipos de salvaguardas

Leyes basadas en el riesgo que clasifican la IA según el daño que puede causar, encabezadas por la Ley de IA de la UE (EU AI Act).
Reglas de transparencia para chatbots, deepfakes y contenido multimedia generado con IA.
Aplicación de las leyes contra el fraude y la suplantación, incluida la clonación de voz con IA.
Normas voluntarias como el Marco de Gestión de Riesgos de IA del NIST (NIST AI RMF) e ISO/IEC 42001.
Etiquetas de procedencia como las Content Credentials de C2PA.

En todas partes, la dirección va de los principios a las pruebas: inventarios, revisión humana, registros y avisos que se puedan mostrar.

La Ley de IA de la UE y el Omnibus de 2026

La página de la Comisión Europea sobre la Ley de IA (en inglés) explica las etapas: prohibiciones de las prácticas inaceptables y obligaciones de alfabetización en IA desde el 2 de febrero de 2025, reglas para los modelos de IA de uso general desde agosto de 2025, y aplicación general desde el 2 de agosto de 2026. El Digital Omnibus de 2026 movió las obligaciones de alto riesgo: los sistemas usados en áreas como el empleo, la educación y los servicios esenciales ahora se aplican desde el 2 de diciembre de 2027, y la IA integrada en productos regulados, como juguetes y ascensores, desde el 2 de agosto de 2028.

La demora no pausa todo. Las reglas de transparencia para chatbots y contenido sintético siguen aplicándose. Un negocio de EE. UU. queda afectado si ofrece servicios con IA a personas en la UE, o si sus proveedores de software incorporan funciones de la UE en herramientas que se venden en todas partes.

Estados Unidos: un mosaico que igual tiene dientes

No existe una sola ley federal de IA. Las leyes existentes siguen aplicándose a la IA: protección al consumidor, derechos civiles, empleo, privacidad y comunicaciones.

FCC: en 2024, la Comisión Federal de Comunicaciones resolvió que las voces generadas con IA en las llamadas automatizadas (en inglés) cuentan como voces artificiales según la Telephone Consumer Protection Act (TCPA), así que se aplican las mismas reglas de consentimiento.
FTC: las afirmaciones engañosas sobre IA, las reseñas falsas y las estafas de suplantación se persiguen con las leyes existentes; su norma sobre reseñas de consumidores (en inglés) prohíbe las reseñas falsas, incluidas las escritas con IA.
California: la SB 53, firmada el 29 de septiembre de 2025, exige que los mayores desarrolladores de IA de frontera publiquen marcos de seguridad y reporten los incidentes de seguridad críticos.
Colorado: dos leyes que entran en vigor el 1 de enero de 2027 abarcan las decisiones automatizadas sobre personas y los chatbots públicos; vea nuestra guía sobre las leyes de IA de Colorado.

Las normas convierten las reglas en práctica diaria

El Marco de Gestión de Riesgos de IA del NIST (en inglés) es gratuito y voluntario, y se organiza en cuatro funciones: gobernar, mapear, medir y gestionar. ISO/IEC 42001 es una norma certificable de sistemas de gestión de la IA. La mayoría de las pequeñas empresas no necesitan la certificación, pero la estructura ayuda a responder los cuestionarios de empresas grandes y del gobierno: quién es responsable del riesgo de IA, qué usos existen, cómo se prueban los resultados y qué pasa cuando alguien impugna un resultado.

Etiquetas en el contenido de IA

Las Content Credentials de C2PA (en inglés) agregan registros firmados de cómo se hizo o se editó una imagen o un video, y algunas herramientas de imágenes con IA las agregan automáticamente. Las etiquetas ayudan, pero los metadatos se pueden quitar y la falta de una etiqueta no prueba que una foto sea real. Nuestra guía ¿Esta imagen fue hecha con IA? explica cómo comprobarlo.

Las pruebas de seguridad de los desarrolladores de IA

Los principales desarrolladores de IA ahora publican marcos de seguridad, hacen pruebas de ataque simulado (red team) antes de cada lanzamiento y, con leyes como la SB 53 de California, deben reportar ciertos incidentes críticos. Eso reduce algunos riesgos dentro del modelo. No cubre cómo su negocio usa la herramienta: qué datos le da, qué se le permite hacer y quién revisa sus resultados sigue siendo su responsabilidad.

Lo que debe hacer ahora una pequeña empresa

Haga una lista de todas las herramientas de IA en uso, incluidas las funciones de IA dentro del software que ya tiene.
Clasifique los usos en riesgo bajo (generar ideas), moderado (chat con clientes, mercadeo) y alto (contratación, préstamos, vivienda, salud, elegibilidad).
Agregue revisión humana y una forma de impugnar los resultados en los usos de riesgo moderado y alto.
Informe sobre los chatbots, las voces de IA y el contenido sintético cuando la gente pueda ser engañada.
Guarde registros del consentimiento de cualquier voz o imagen de una persona que clone.
Revise en las condiciones de los proveedores el uso de los datos, la conservación y el aviso de incidentes.
Nombre a un responsable y revise la lista cada trimestre.

Nuestra guía sobre la política de uso aceptable de IA convierte esto en una política para el personal.

Dónde encaja ASL

Nuestros productos están hechos para mostrar la incertidumbre, las pruebas y la procedencia, y para dejar las decisiones de gran impacto en manos de personas; vea nuestra página de seguridad y automatización responsable. Nuestro trabajo de consultoría de IA empieza con el inventario de arriba, y nuestro equipo de desarrollo de software a medida incorpora avisos, revisiones y registros en sus herramientas. Contáctenos para conversarlo.

Preguntas frecuentes

¿Cuándo se aplican las reglas de alto riesgo de la Ley de IA de la UE?

Tras el Digital Omnibus de 2026, desde el 2 de diciembre de 2027 para los usos de alto riesgo como el empleo y la educación, y desde el 2 de agosto de 2028 para la IA integrada en productos regulados.

¿Existe una ley federal de IA en Estados Unidos?

No una sola. Las leyes existentes de protección al consumidor, derechos civiles, privacidad y comunicaciones se aplican a la IA, además de leyes estatales como la SB 53 de California y las leyes de Colorado de 2027.

¿Son legales las llamadas automatizadas con voces de IA?

La FCC resolvió en 2024 que las voces generadas con IA son voces artificiales según la TCPA, así que se aplican los mismos requisitos de consentimiento.

¿Las pequeñas empresas necesitan la certificación ISO/IEC 42001?

Por lo general, no. La norma y el NIST AI RMF son estructuras útiles para gestionar el riesgo de la IA y responder los cuestionarios de los clientes.

¿Las etiquetas de contenido de IA prueban que una imagen es real o falsa?

No. Las Content Credentials muestran el historial registrado cuando existe, pero los metadatos se pueden quitar y la falta de una etiqueta no prueba nada por sí sola.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites