Las empresas SaaS están construyendo un único programa de cumplimiento para 20 leyes de privacidad estatales distintas
Veinte estados de EE. UU. tienen ya leyes de privacidad del consumidor integrales en 2026, y ninguna ley federal las anula. Indiana, Kentucky y Rhode Island activaron sus estatutos en enero; Arkansas se unió el 1 de julio. Oklahoma y Alabama seguirán en 2027. Cada ley tiene sus propios umbrales de aplicabilidad, su propia lista de derechos del consumidor, su propio mecanismo de ejecución y, en un número creciente de casos, obligaciones de cumplimiento abiertamente incompatibles. Para una empresa SaaS que opera a nivel nacional, la pregunta real en 2026 no es si cumplir con la ley de privacidad estatal. Es si construir un único programa de cumplimiento que cubra los veinte estados con capas específicas, o tratar cada estado como su propio proyecto; y la segunda opción se está volviendo silenciosamente inviable.
Ni siquiera los umbrales coinciden
Tres estados —Delaware, Montana y Nevada— aplican sus leyes de privacidad a cualquier empresa que procese datos de sus residentes, sin un mínimo de ingresos o volumen de datos. Virginia y Connecticut fijan el umbral en 100.000 consumidores. Rhode Island lo fija en 35.000. Texas exime a las empresas que califican como pequeñas según los estándares de la Administración de Pequeñas Empresas de EE. UU. (SBA), una excepción que ninguno de los otros diecinueve estados utiliza. Una empresa con un tamaño que le permite ignorar con seguridad el umbral de Virginia puede seguir estando plenamente dentro del de Delaware, simplemente porque la ley de Delaware se redactó para aplicarse a casi todo el mundo.
Los mecanismos de exclusión (opt-out) difieren igualmente. Al menos diez estados —incluidos California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nueva Jersey, Nueva Hampshire y Oregón— exigen ahora legalmente a las empresas respetar la señal Global Privacy Control (GPC), una exclusión universal a nivel de navegador. Si construyes una capa de consentimiento que solo verifica un clic en el banner de cookies e ignora la cabecera GPC, estarás incumpliendo en aproximadamente la mitad de los estados con una ley integral, incluso si tu banner en sí es impecable.
Donde las leyes realmente entran en conflicto, no solo difieren
El problema más difícil no es el volumen de normas, sino que algunas se contradicen por diseño. La ley de privacidad de Colorado exige una evaluación de riesgos documentada para actividades de procesamiento de alto riesgo, incluido todo lo relacionado con la toma de decisiones automatizada, con requisitos de contenido específicos establecidos en las propias regulaciones de Colorado. Las normas más recientes de California sobre tecnología de toma de decisiones automatizada (ADMT) imponen un régimen de evaluación y divulgación separado y estructurado de forma distinta. Los dos estados no se redactaron para ser mutuamente satisfacibles con un solo documento. Una empresa que elabora una plantilla única de «evaluación de impacto en la privacidad» y asume que supera el umbral de ambos estados probablemente esté equivocada respecto a, al menos, uno de ellos.
La venta de datos de geolocalización precisa es un ejemplo más claro porque viene con fechas de entrada en vigor concretas. La SB 338 de Virginia prohibió la venta de datos de geolocalización precisa a partir del 1 de julio de 2026. El Proyecto de Ley del Senado 4 de Connecticut, firmado por el gobernador Ned Lamont el 27 de mayo de 2026, impone una prohibición similar que entra en vigor el 1 de octubre de 2026 y, al mismo tiempo, crea un requisito de registro para corredores de datos. La versión de Maryland está en vigor desde octubre de 2025. Estos no son regímenes de exclusión que una empresa pueda satisfacer con un banner; son prohibiciones directas sobre una categoría específica de venta de datos, que llegan en tres calendarios distintos, en tres formas legales distintas, para tres estados distintos. Una empresa cuyo producto o pila de ad-tech toque datos de ubicación precisa tiene que saber, estado por estado, no solo si la venta está restringida, sino exactamente desde cuándo esa restricción comenzó a aplicarse.
Los dos caminos que las empresas realmente están eligiendo
En la práctica, las empresas SaaS que operan en los cincuenta estados están convergiendo en una de dos estrategias, y el terreno intermedio está desapareciendo. La primera es un programa de privacidad unificado: un conjunto central de prácticas de datos, acuerdos de procesamiento de datos y flujos de consentimiento construidos sobre el común denominador más estricto entre los veinte estados, con capas adicionales estrechas y bien documentadas para el puñado de requisitos —como las evaluaciones ADMT separadas de Colorado y California, o las distintas fechas de entrada en vigor de la prohibición de venta de geolocalización en los tres estados— que genuinamente no pueden satisfacerse con una única base. Esto exige más trabajo de ingeniería y legal por adelantado, pero escala mejor a medida que más estados aprueban leyes, porque la base absorbe la mayor parte de lo nuevo y solo los conflictos genuinos necesitan una excepción específica por estado.
La segunda estrategia, más común entre empresas más pequeñas sin asesoría de privacidad interna, es reactiva y más estrecha: cumplir plenamente solo donde el umbral de aplicabilidad claramente aplica —Delaware, Montana, Nevada y un puñado de estados más grandes— y tratar el resto como una lista de monitoreo a la que volver si la actividad de ejecución de un estado específico se intensifica. Esto funciona hasta que deja de hacerlo; una empresa que calculó mal un umbral, o que no notó una nueva fecha de entrada en vigor en el calendario, lo descubre de la manera difícil, porque los fiscales generales estatales han demostrado que actuarán en casos que un regulador federal nunca habría priorizado.
Qué hacer realmente al respecto
Si gestionas el cumplimiento de un producto SaaS multiestatal en 2026, la lista obligatoria se ha vuelto lo bastante específica como para anotarla en orden: confirma cuáles de los umbrales de aplicabilidad de los veinte estados cruza realmente tu empresa, en lugar de asumir que el tamaño por sí solo te exime; implementa el reconocimiento de la señal GPC a nivel de navegador, no solo un banner de cookies, ya que aproximadamente la mitad de los estados ya lo exigen por ley; mantén documentación de evaluación de riesgos separada para Colorado y California en lugar de una plantilla compartida; y calendariza las fechas de entrada en vigor específicas para cualquier práctica de datos de geolocalización precisa frente a Virginia, Connecticut y Maryland individualmente, ya que «cumplimos con la CCPA» no dice nada sobre si cumples con cualquiera de las otras diecinueve leyes, y mucho menos con las tres que tratan los datos de ubicación como un caso especial. El mosaico no va a desaparecer —Oklahoma y Alabama llegan en 2027— y cada año de inacción hace que el eventual proyecto de unificación sea más grande, no más pequeño.