Nueva York consolida el muro regulatorio de la IA en ambas costas
El panorama de la gobernanza de la inteligencia artificial en los Estados Unidos cambió decisivamente esta semana con la entrada definitiva de Nueva York en el ámbito de la regulación de los modelos de frontera. Con la promulgación de la Ley de Seguridad y Educación en IA Responsable (Responsible AI Safety and Education Act, RAISE Act), Nueva York se ha unido a California en el establecimiento de un riguroso marco de seguridad a nivel estatal para los sistemas de IA más avanzados del mundo. El movimiento señala el surgimiento de un estándar nacional de facto impulsado por las dos economías tecnológicas más grandes del país, llenando el vacío dejado por un proceso regulatorio federal estancado.
Para la industria de la IA, el mensaje es claro: la era de la autorregulación voluntaria para los modelos de frontera está llegando a su fin. Mientras los desarrolladores lidian con las implicaciones del Proyecto de Ley del Senado de California 53 (SB 53), firmado a finales del año pasado, la RAISE Act de Nueva York añade una segunda capa de obligaciones de cumplimiento, ligeramente diferente. Aunque la gobernadora Kathy Hochul ha enfatizado la "alineación" entre los dos estados, los matices en la legislación de Nueva York crean un entorno de cumplimiento complejo que requerirá un ajuste estratégico significativo por parte de los principales laboratorios de IA.
La RAISE Act: Una mirada más cercana
La RAISE Act (S6953B/A6453B) se centra explícitamente en los "modelos de frontera", definidos por un umbral de cómputo de $10^{26}$ operaciones de punto flotante (FLOPs). Este listón tan alto actualmente solo captura a los sistemas más potentes desarrollados por los gigantes de la industria, como los sucesores de GPT-4, Claude 3 y Gemini Ultra. Al dirigirse a este estrato específico de tecnología, Nueva York pretende mitigar los riesgos catastróficos —como el potencial de la IA para ayudar en ciberataques o la creación de armas biológicas— sin sofocar la innovación en el ecosistema de IA más amplio y de menor riesgo.
Mandatos clave para desarrolladores de modelos de frontera
Bajo la nueva ley, los desarrolladores de los modelos cubiertos deben adherirse a un conjunto estricto de protocolos de seguridad y transparencia. La legislación ordena que estas empresas implementen un "cuidado razonable" para evitar que sus modelos causen daños críticos. Esto incluye pruebas rigurosas previas al despliegue, la implementación de salvaguardias de ciberseguridad para prevenir el robo de modelos y la capacidad de apagar rápidamente un modelo si se comporta de manera peligrosa —una disposición a menudo denominada requisito de "botón de pánico" (kill switch).
Fundamentalmente, la RAISE Act establece una oficina de supervisión dedicada dentro del Departamento de Servicios Financieros del Estado de Nueva York (DFS). Esta oficina está facultada para registrar a los desarrolladores de modelos de frontera, revisar sus certificaciones de cumplimiento anuales y emitir regulaciones que interpreten los amplios mandatos de seguridad del estatuto. La elección del DFS, un regulador conocido por su cumplimiento agresivo en el sector financiero, sugiere que Nueva York tiene la intención de adoptar un enfoque proactivo de "vigilancia" para la seguridad de la IA.
Nueva York frente a California: Alineación con distinciones
Si bien la RAISE Act se redactó con la vista puesta en la SB 53 de California para evitar un mosaico regulatorio caótico, la "alineación" no significa que sean "idénticas". Ambas leyes comparten el mismo umbral de cómputo ($10^{26}$ FLOPs) y la filosofía central de "transparencia y preparación", pero divergen en los mecanismos de aplicación y los cronogramas específicos de presentación de informes. Estas diferencias son el punto donde los equipos legales de los grandes laboratorios de IA probablemente enfrentarán la mayor fricción.
La siguiente tabla resume las diferencias críticas entre los dos marcos estatales:
| Característica | Nueva York (RAISE Act) | California (SB 53) |
|---|---|---|
| Ámbito de aplicación | Modelos de frontera (> $10^{26}$ FLOPs) | Modelos de frontera (> $10^{26}$ FLOPs) |
| Plazo de notificación de incidentes | 72 horas tras la determinación | 15 días (estándar); 24 horas (amenaza inminente) |
| Órgano de supervisión principal | Departamento de Servicios Financieros (DFS) | Fiscal General y Agencia de Operaciones Gubernamentales |
| Mecanismo de aplicación | Acción civil por el Fiscal General; normas administrativas del DFS | Acción civil por el Fiscal General |
| Sanciones civiles | Hasta $1 millón (1.ª infracción); $3 millones (posteriores) | Hasta $1 millón por infracción (con límite) |
| Derecho privado de acción | No | No |
El desafío del cumplimiento: Navegando por el mosaico
La diferencia operativa más significativa reside en el cronograma de notificación de incidentes. El requisito de Nueva York de que los desarrolladores informen sobre "incidentes críticos de seguridad" en un plazo de 72 horas es considerablemente más agresivo que el plazo estándar de 15 días de California. Este cronograma comprimido exige que las empresas de IA tengan capacidades de respuesta a incidentes maduras y activas las 24 horas del día, los 7 días de la semana, que no solo puedan detectar anomalías, sino también evaluarlas legalmente e informarlas casi en tiempo real.
Además, la participación del DFS de Nueva York introduce un nuevo regulador en el espacio tecnológico. A diferencia de California, que depende en gran medida del Fiscal General para la aplicación, Nueva York ha creado una estructura administrativa que podría promulgar reglas detalladas sobre cómo deben realizarse las pruebas de seguridad. Esto plantea la posibilidad de un régimen de cumplimiento de "doble vía", donde un modelo podría superar los requisitos de transparencia de California pero fallar en los protocolos de seguridad específicos de Nueva York si el DFS adopta una interpretación más prescriptiva del "cuidado razonable".
Los analistas de la industria han señalado que, si bien las definiciones de "daño crítico" están armonizadas, la divergencia procesal crea un efecto de "máximo común denominador". Para mayor seguridad, es probable que los desarrolladores opten por defecto por el estándar de informes de 72 horas más estricto de Nueva York y la documentación de transparencia más amplia de California, fusionando efectivamente los aspectos más duros de ambas leyes en un único protocolo interno de cumplimiento.
El contexto federal
La promulgación de la RAISE Act llega en un momento de gran incertidumbre a nivel federal. Con la administración actual revirtiendo órdenes ejecutivas anteriores sobre la seguridad de la IA para perseguir una agenda más centrada en la desregulación, los estados han intervenido para llenar el vacío. Este fenómeno refleja el "Efecto Bruselas", donde una jurisdicción regulatoria estricta establece el estándar para el mercado más amplio. En este caso, se trata de un "efecto de ambas costas", con Sacramento y Albany redactando efectivamente el libro de reglas nacional para la seguridad de la IA.
Los expertos legales advierten que este enfoque liderado por los estados, aunque proporciona las barandillas necesarias, corre el riesgo de fragmentación si otros estados como Colorado, Texas o Massachusetts promulgan sus propias leyes de modelos de frontera con diferentes umbrales o definiciones. Sin embargo, dada la importancia económica de Nueva York y California —hogar de la gran mayoría de la industria de la IA de los EE. UU.— es probable que su marco combinado se convierta en el estándar nacional de facto en el futuro previsible.
Implicaciones para la industria y próximos pasos
Para la industria de la IA, el reloj ya está corriendo hacia las fechas de entrada en vigor en 2027. La prioridad inmediata para los directores de tecnología y los asesores legales generales en los laboratorios de frontera es realizar un "análisis de brechas" entre sus prácticas de seguridad internas actuales y los requisitos legales de la RAISE Act y la SB 53.
Prioridades estratégicas para 2026:
- Marcos de cumplimiento unificados: Desarrollo de una estructura única de gobernanza de seguridad que satisfaga tanto los requisitos del DFS de Nueva York como los mandatos de transparencia de California.
- Mejoras en la respuesta a incidentes: Construcción de la infraestructura técnica y legal para cumplir con el plazo de notificación de 72 horas.
- Preparación para auditorías: Preparación para las auditorías anuales independientes requeridas por las nuevas leyes, lo que necesitará la verificación por terceros de las afirmaciones de seguridad.
- Cabildeo para la claridad en la reglamentación: Colaboración con el DFS de Nueva York a medida que comienza el proceso de elaboración de reglas para garantizar que las definiciones técnicas de "pruebas de seguridad" sigan siendo prácticas y fundamentadas en la realidad de la ingeniería.
A medida que avance 2026, la implementación de la RAISE Act será un caso de prueba crítico para determinar si la regulación a nivel estatal puede gobernar eficazmente una tecnología tan fluida y global como la inteligencia artificial. Por ahora, Nueva York ha plantado su bandera, asegurando que el camino hacia la AGI pase tanto por Albany como por Silicon Valley.
