EE. UU. trocea la regulación de IA y Europa recibe una advertencia incómoda: gobernar mejor a los proveedores o pagar después

Washington vuelve a mandar una señal bastante nítida sobre inteligencia artificial: menos entusiasmo por regular ex ante y más apetito por dejar margen a la industria, al menos a escala federal. Esa es la lectura prudente que puede hacerse del giro político descrito en las fuentes disponibles. Lo que no conviene hacer —porque el material aportado no lo sostiene con la solidez necesaria— es convertir esa lectura en una cronología milimétrica, una lista de órdenes ejecutivas con numeración cerrada o un catálogo de instrucciones interagencia demasiado preciso. Cuando faltan documentos oficiales sobre la mesa, el periodista tiene dos opciones: inventar o afinar. Aquí toca afinar.

Y afinar importa, sobre todo para empresas europeas que operan en Estados Unidos o para proveedores de IA que venden a grupos multinacionales. Porque el verdadero asunto no es si una sigla administrativa concreta dijo X o Y en una fecha exacta. El verdadero asunto es otro: la política estadounidense parece moverse hacia un enfoque menos prescriptivo a nivel federal, mientras en Europa el AI Act avanza justamente en la dirección contraria, con obligaciones positivas, categorías de riesgo y una arquitectura de supervisión bastante menos romántica.

Eso crea una tensión regulatoria muy práctica. Si tu grupo desarrolla, integra o comercializa sistemas de IA a ambos lados del Atlántico, no puedes diseñar gobernanza sobre titulares políticos. Tienes que construirla sobre texto legal vinculante, obligaciones ya aprobadas y riesgos reales de enforcement. Lo demás sirve para el debate de panel; para compliance, bastante menos.

Lo que sí puede decirse con seguridad: el tono político ha cambiado

Las fuentes apuntan a un reposicionamiento de la política federal estadounidense sobre IA en favor de una intervención regulatoria más contenida. Esa idea encaja con una línea política conocida en Washington: favorecer la innovación, evitar una carga normativa temprana y desconfiar de marcos que, en la práctica, puedan frenar despliegues comerciales antes de que exista un daño claro o jurídicamente articulable.

Hasta ahí, terreno razonablemente firme. Lo que no queda respaldado de forma estricta en el material disponible es una secuencia cerrada de actos formales —con número de executive order, fecha exacta de firma o asignación concreta de tareas a cada agencia— y mucho menos un diseño federal acabado para desplazar normas estatales. Esa precisión exige el documento primario. Si no está, no se presume.

La diferencia no es menor. Decir que hay un cambio de clima regulatorio es análisis. Decir que una orden concreta obligó a tal agencia a impugnar tal ley estatal es una afirmación verificable o refutable. Sin texto oficial, eso no pasa el corte.

El error más común al leer Washington: confundir orientación política con derecho aplicable

En IA, como en ciberseguridad, la distancia entre la retórica política y la obligación jurídica suele ser enorme. Estados Unidos funciona, además, con un mosaico institucional que invita a la simplificación perezosa: Casa Blanca, agencias sectoriales, FTC, DOJ, estados, fiscales generales, tribunales y reguladores especializados. El resultado es un ecosistema donde un discurso federal desregulador no elimina por arte de magia el riesgo regulatorio.

De hecho, aunque el impulso federal se incline por no imponer un corsé normativo amplio, eso no significa ausencia de control. Significa otra cosa: que el control puede desplazarse hacia enforcement ex post, litigios, normas estatales, protección del consumidor, derecho laboral, antidiscriminación, privacidad, propiedad intelectual o responsabilidad contractual. Menos reglamento horizontal no equivale a barra libre. Equivale, muchas veces, a más incertidumbre jurídica.

Para una empresa, esa distinción es incómoda. También es decisiva. Cumplir una norma detallada puede ser caro, pero al menos sabes a qué atenerte. Operar con principios abiertos, competencias fragmentadas y estándares que se construyen a golpe de investigación o demanda es otra clase de dolor de cabeza. Más estadounidense, si se quiere. Menos elegante en PowerPoint.

Sin documento primario no hay novela institucional

Las afirmaciones más concretas del borrador original fallaban justamente por eso: describían con demasiada seguridad un programa institucional detallado que el extracto aportado no demostraba. No puede sostenerse de forma estricta, con el material disponible, que una orden ejecutiva concreta instruyera al Department of Justice a crear una task force litigiosa sobre IA, ni que Commerce recibiera un mandato específico para identificar normas estatales especialmente gravosas, ni que la FCC quedara encargada de diseñar un estándar federal de reporting con efecto preemptive sobre derecho estatal contradictorio.

Tampoco puede afirmarse, con la base documental ofrecida, que la FTC recibiera una instrucción formal específica para aclarar la aplicación de la Section 5 of the FTC Act a modelos de IA. La FTC, desde luego, ha utilizado y reivindicado de forma reiterada la Section 5 para abordar prácticas desleales o engañosas en entornos algorítmicos y de IA. Pero una cosa es esa posición general y otra atribuirle un encargo concreto derivado de un acto cuya existencia y contenido no constan aquí de forma bastante.

Este tipo de matiz no debilita el análisis. Lo fortalece. Porque obliga a volver a lo que sí sabemos: el terreno real de juego no son las conjeturas sobre arquitectura institucional ideal, sino las palancas jurídicas ya disponibles y los modelos normativos que compiten entre sí.

La batalla de fondo no es técnica: es constitucional, comercial y política

Cuando en Estados Unidos se discute IA, la pelea no gira solo sobre seguridad de modelos, transparencia o sesgos. Gira también sobre reparto de poder. ¿Quién manda aquí: Washington o los estados? ¿Debe existir una norma federal uniforme o conviene dejar que California, Colorado, Nueva York y compañía funcionen como laboratorios regulatorios? ¿La innovación necesita espacio o necesita reglas antes de escalar daños? Ésas son las preguntas de verdad.

Por eso resulta tentador adornar el relato con grandes movimientos de preemption federal. Pero el derecho de preemption no aparece por generación espontánea ni por deseo político. Requiere base legal y una relación concreta entre norma federal y estatal. Sin ese andamiaje, hablar de barrido preventivo de leyes estatales es, como mínimo, prematuro.

Desde una perspectiva empresarial, lo prudente es asumir lo contrario: la fragmentación seguirá siendo un rasgo estructural del mercado estadounidense durante bastante tiempo. Incluso si la Administración federal adopta una postura más contenida, los estados pueden seguir legislando en materias conectadas con IA a través de protección del consumidor, empleo, seguros, educación, biometría, privacidad o discriminación. Y los tribunales seguirán decidiendo. Como casi siempre en Estados Unidos, parte de la política industrial se acabará escribiendo en demandas.

Europa va por otro carril, y eso sí tiene consecuencias operativas inmediatas

Mientras Washington debate cuánto intervenir, la Unión Europea ya ha intervenido. El AI Act no se limita a lanzar principios; construye un marco positivo de obligaciones. Su lógica central es conocida: prohibiciones para ciertos usos, requisitos reforzados para sistemas de alto riesgo, obligaciones de transparencia para casos concretos y un régimen específico para modelos de propósito general. Puede gustar más o menos. Lo que no admite mucha discusión es que existe, avanza y generará evidencia documental exigible.

Para las empresas financieras y tecnológicas, la clave no está en comparar filosofías regulatorias como si esto fuera un seminario. La clave está en identificar dónde nace la obligación auditables. En Europa, esa obligación se engancha a procesos, expedientes técnicos, gobernanza, gestión de riesgos, calidad de datos, supervisión humana, documentación y trazabilidad. En Estados Unidos, dependiendo del caso, puede engancharse más tarde y de forma menos uniforme, pero no necesariamente con menor severidad si media una investigación o un litigio.

Ese contraste se parece bastante al que ya hemos visto entre GDPR y el enfoque estadounidense de privacidad: Europa prefiere definir deberes estructurales ex ante; Estados Unidos tolera más heterogeneidad y se apoya más en enforcement sectorial, estatal o basado en prácticas engañosas. Con IA, la película no es idéntica, pero el guion tiene ecos familiares.

Para el sector financiero, la comparación con DORA es inevitable

Quien trabaje en banca, seguros, pagos o mercados ya conoce la lógica europea del “enséñame tu control, no tu intención”. DORA funciona exactamente así. El reglamento impone un marco de gestión del riesgo TIC, gobernanza, pruebas de resiliencia, gestión de incidentes y control sobre terceros proveedores de servicios TIC. No basta con declarar principios correctos: hay que demostrar procesos concretos. Véanse, por ejemplo, DORA art. 5 y siguientes sobre el marco de gestión del riesgo de las TIC, art. 17 y siguientes sobre gestión, clasificación y notificación de incidentes, y art. 28 sobre gestión del riesgo de terceros proveedores de servicios TIC.

Si una entidad financiera despliega IA en funciones relevantes —detección de fraude, onboarding, scoring, atención automatizada, monitorización de transacciones, ciberdefensa o soporte a decisiones internas—, el cruce entre IA y resiliencia operativa no es teórico. La dependencia de modelos, datos, APIs, proveedores cloud y herramientas externas se traduce en una superficie de riesgo operativa y de terceros que DORA ya obliga a gobernar.

Aquí aparece una ironía regulatoria deliciosa. Mientras parte del debate estadounidense sigue preguntándose si conviene no ahogar la innovación con reglas demasiado tempranas, en Europa muchas entidades no pueden permitirse ese lujo dialéctico: ya tienen que inventariar dependencias, revisar contratos, documentar controles, evaluar concentración de proveedores y preparar capacidades de respuesta. La innovación, sí. Pero con expediente.

Lo que no debe hacerse: construir estrategia sobre rumores de desregulación

El mayor riesgo para compañías globales no es que Washington regule mucho o poco. El mayor riesgo es reaccionar a señales políticas como si fueran derecho consolidado. Si una empresa interpreta que el péndulo estadounidense justifica relajar gobernanza de IA, puede acabar cometiendo un error de manual por tres vías.

Primera: porque Europa no ha relajado nada. Si operas en la UE, el AI Act seguirá importando; y si eres entidad financiera, DORA, GDPR y, en ciertos casos, NIS2 también seguirán ahí. Sobre NIS2, el art. 21 exige medidas de gestión de riesgos de ciberseguridad con bastante más mordiente que un mero ejercicio aspiracional.

Segunda: porque en Estados Unidos siguen existiendo bases jurídicas generales para actuar frente a prácticas desleales, engañosas o discriminatorias, aunque no haya una ley federal horizontal de IA equivalente al AI Act. La ausencia de una gran ley única no es sinónimo de vacío.

Tercera: porque la disciplina contractual y de procurement se está endureciendo aunque el legislador no corra. Los clientes empresariales ya piden auditorías, documentación técnica, controles de uso de datos, garantías de seguridad, derechos de inspección, gestión de subprocesadores y reparto de responsabilidad. El mercado, a veces, regula antes que el Congreso.

La fragmentación normativa en EE. UU. seguirá siendo un problema de producto, no solo de compliance

Hay una lectura corporativa que a menudo se escapa a los equipos jurídicos: la dispersión regulatoria no solo sube el coste de cumplimiento; también condiciona diseño de producto. Si vendes una misma solución de IA a múltiples estados, terminas enfrentándote a exigencias distintas sobre disclosures, usos permitidos, revisión humana, sesgo, explicabilidad o tratamiento de datos biométricos. Eso obliga a tomar una decisión incómoda: crear una versión “máximo común denominador” para todo el mercado o mantener configuraciones diferenciadas por jurisdicción.

La primera opción simplifica operaciones, pero puede encarecer el producto y hacerlo menos competitivo frente a rivales que asuman más riesgo. La segunda reduce sobrecumplimiento, pero multiplica complejidad técnica, contractual y de soporte. Ninguna es gratis.

Por eso el sueño recurrente de una armonización federal total resulta tan atractivo para la industria. El problema es que, sin base normativa clara, sigue siendo eso: un sueño recurrente. Y los presupuestos de ingeniería no se aprueban con sueños.

Sobre Colorado y otras narrativas demasiado perfectas

Una de las afirmaciones marcadas describía una supuesta intervención del DOJ contra el Colorado AI Act y una sustitución legislativa posterior con cambios muy concretos en el estándar de “reasonable care” para prevenir discriminación algorítmica. Esa historia tenía el tipo de precisión que suena fabulosa en una newsletter y peligrosa en un artículo serio si no está documentada a fondo.

Con el material disponible aquí, esa secuencia no puede sostenerse. Lo que sí puede afirmarse de forma responsable es algo más general y más útil: la regulación estatal de IA en EE. UU. está en movimiento, con propuestas, textos aprobados, revisiones, presiones de la industria y discusiones intensas sobre obligaciones empresariales, sesgo y deberes de diligencia. Pretender cerrar ese mapa con una sola anécdota no solo arriesga el dato; también simplifica en exceso un fenómeno regulatorio mucho más fragmentado.

Para el lector europeo conviene traducirlo así: si tu empresa cree que puede resolver EE. UU. con una matriz de cumplimiento de una sola página, va tarde y va mal. El país no funciona como un reglamento europeo. Funciona como un mosaico en disputa permanente.

La FTC sigue siendo relevante, aunque no por las razones hiperespecíficas del borrador

Otra zona que exigía limpieza era la referencia a un asunto concreto atribuido a la FTC, presentado como prueba de un repliegue regulatorio sobre herramientas capaces de generar reseñas o testimonios falsos. Sin documentación suficiente, ni la supuesta anulación de una orden ni la conclusión jurídica exacta sobre la mera posibilidad de uso indebido pasan el estándar de verificación que toca aplicar.

Eso no resta interés a la cuestión de fondo: cómo tratar a los proveedores de IA de uso general cuando su tecnología puede emplearse para fraude, engaño o manipulación. Ahí la tensión regulatoria es real y seguirá creciendo. Un enfoque demasiado expansivo castiga herramientas por usos potenciales de terceros; un enfoque demasiado laxo permite modelos de negocio donde la negación plausible hace de paraguas. Ni una cosa ni la otra están resueltas.

La aportación más útil, por tanto, no es fingir una doctrina cerrada de la FTC que no consta en la fuente, sino recordar el problema operativo: quien comercializa modelos o funcionalidades de propósito general necesita decidir qué salvaguardas incorpora, qué usos prohíbe contractualmente, qué monitorización aplica y qué evidencias conserva. No porque una agencia concreta haya dicho exactamente tal frase en tal expediente, sino porque esa será la primera carpeta que pedirán clientes, reguladores o litigantes cuando algo salga mal.

La obsesión con “la gran ley federal de IA” distrae de lo importante

También había que corregir una frase demasiado rotunda: que la única ley estadounidense específicamente sobre IA aprobada hasta la fecha fuera una determinada norma centrada en imágenes íntimas. Incluso aunque una fuente periodística externa lo sugiera, esa afirmación categórica exige un barrido legislativo muy fino y además depende de cómo definas “específicamente sobre IA”, una etiqueta bastante más resbaladiza de lo que parece.

La cuestión de fondo, otra vez, es más interesante que el titular fácil. Estados Unidos puede influir enormemente en el mercado de IA sin aprobar una ley federal horizontal única y omnicomprensiva. Puede hacerlo mediante compras públicas, estándares técnicos, enforcement de consumo, reglas sectoriales, litigios, guías administrativas y legislación estatal. Quien espere una única pieza legislativa para empezar a ordenar su programa de cumplimiento probablemente ya va por detrás de su exposición real.

La regulación contemporánea rara vez llega en una caja bien etiquetada. A veces llega como contrato. A veces como carta del regulador. A veces como demanda colectiva. A veces como obligación de seguridad o trazabilidad dentro de otra norma que, en teoría, no iba “sobre IA”. Pregunta a cualquier entidad financiera que haya descubierto que un problema de proveedor no era solo un problema tecnológico, sino también DORA art. 28, gobernanza interna y riesgo de continuidad.

Qué significa todo esto para empresas europeas con huella en EE. UU.

Primero, que no deberían leer el aparente giro estadounidense como autorización para rebajar controles. Si tu organización despliega IA en procesos que afectan a clientes, empleados, fraude, crédito, precios, ciberseguridad o vigilancia, el suelo mínimo sensato sigue siendo alto aunque el techo regulatorio federal sea incierto.

Segundo, que la gobernanza debe diseñarse por capas. Una capa legal, basada en obligaciones vinculantes por jurisdicción. Una capa de riesgo, basada en impacto real del caso de uso. Y una capa contractual, porque gran parte del riesgo de IA entra por proveedor, subproveedor, API o modelo integrado. En Europa, esa aproximación encaja de forma natural con DORA, GDPR y el AI Act. En EE. UU., ayuda a sobrevivir a la fragmentación.

Tercero, que conviene documentar decisiones con mentalidad probatoria, no solo de buena práctica. GDPR art. 5.2 consagra la accountability; GDPR art. 24 obliga al responsable a aplicar medidas apropiadas y poder demostrarlo; GDPR art. 25 aterriza la protección de datos desde el diseño y por defecto; GDPR art. 35 impone evaluaciones de impacto cuando el tratamiento pueda entrañar alto riesgo. Si tus casos de uso de IA procesan datos personales a escala o toman decisiones con efectos relevantes, esa disciplina documental no es opcional. Es la diferencia entre defender un programa o defender una intuición.

La convergencia real vendrá por los clientes y por los auditores

Hay un punto donde Bruselas y Washington terminan pareciéndose más de lo que muchos creen: en la práctica corporativa. Una multinacional que compra o despliega IA no suele conformarse con saber que en una jurisdicción la norma es laxa. Pide controles homogéneos porque el riesgo reputacional, operativo y litigioso viaja más rápido que las diferencias doctrinales.

De ahí que muchos programas internos estén creando un estándar global de mínimos: inventario de casos de uso, clasificación por riesgo, revisión legal, due diligence de proveedor, pruebas antes de despliegue, controles de seguridad, validación de datos, intervención humana cuando proceda, logging, gestión de incidencias y procedimiento de retirada o suspensión. No porque todas las leyes del mundo obliguen exactamente a eso con el mismo detalle, sino porque cualquier empresa madura ha entendido ya que improvisar con IA sale carísimo.

En el sector financiero, además, esa convergencia se acelerará por auditoría interna, tercera línea, supervisión prudencial y gestión de outsourcing. Si el modelo influye en operaciones críticas o materiales, acabarás teniendo que responder preguntas muy parecidas en Fráncfort, París, Madrid, Londres o Nueva York, aunque cambie el sello del supervisor.

La comparación útil no es “Europa regula más”; es “Europa obliga antes”

Decir que Europa regula más que Estados Unidos se ha convertido en una muletilla. A veces es cierta. A veces simplifica demasiado. La formulación más precisa, en este momento, es otra: Europa tiende a obligar antes y a exigir estructura documental desde fases tempranas. Estados Unidos puede obligar después, de forma más fragmentada y muchas veces a través de otras ramas del derecho.

Para una empresa eso cambia por completo la secuencia de trabajo. En la UE, muchas preguntas deben resolverse antes del despliegue: clasificación del sistema, base jurídica si hay datos personales, requisitos de documentación, supervisión humana, gestión de riesgos, diseño de controles. En EE. UU., parte de esas preguntas se vuelven urgentes cuando surge un incidente, una reclamación, una investigación o una exigencia contractual del mercado.

¿Cuál de los dos modelos es mejor? Depende de a quién preguntes. Si eres regulador europeo, probablemente dirás que el daño sistémico se previene ex ante. Si eres fundador en Silicon Valley, quizá prefieras experimentar primero y discutir después. Si eres CISO, DPO o responsable de compliance en una multinacional, seguramente pienses algo menos ideológico y bastante más práctico: ojalá se pusieran de acuerdo, porque mantener dos filosofías de control en paralelo cuesta tiempo, dinero y paciencia.

Una hoja de ruta sensata, sin apostar por cuentos regulatorios

Con las afirmaciones no verificables retiradas o reformuladas, el mensaje de fondo no cambia; gana precisión. La política estadounidense parece inclinarse hacia un enfoque menos intervencionista a nivel federal en materia de IA. Pero las empresas no deberían inferir de ahí una desregulación limpia, completa o jurídicamente cerrada. El escenario más probable sigue siendo mixto: menor ambición federal horizontal, más peso de estados, más fragmentación, más enforcement basado en marcos existentes y más presión contractual del mercado.

¿Qué hacer entonces? Tres cosas muy concretas.

• Mapear casos de uso con criterio regulatorio real: no basta con listar herramientas. Hay que identificar finalidad, datos implicados, impacto sobre personas, dependencia de terceros y criticidad operativa.
• Alinear IA con los marcos que ya son exigibles: en Europa eso incluye, según el caso, GDPR arts. 5, 24, 25, 32, 33 y 35; DORA arts. 5 y siguientes, 17 y siguientes, y 28; NIS2 art. 21 para entidades cubiertas.
• Diseñar evidencia, no solo control: políticas, evaluaciones, aprobación de excepciones, validaciones de proveedor, registros de cambios, pruebas y respuesta a incidentes. Si no puedes enseñarlo, en términos regulatorios casi equivale a no tenerlo.

Éste es el quid. En IA abundan las narrativas grandilocuentes: que si la Casa Blanca va a barrer a los estados, que si Europa va a matar la innovación, que si una agencia va a salvar el mercado con una guía milagrosa. La realidad suele ser bastante menos cinematográfica y bastante más administrativa. Lo que decide quién está preparado no es el titular del día. Es la calidad del inventario, del contrato, del control técnico y de la documentación.

Así que sí: el clima político en Washington importa. Mucho. Pero si tu programa de cumplimiento depende de la numeración exacta de una orden no verificada o de una task force que no puedes probar que exista, tienes un problema metodológico antes incluso de tener un problema regulatorio.

Y ése, por desgracia, no lo arregla ninguna executive order.