Veinte estados tienen ahora leyes de privacidad que afectan los datos de entrenamiento de IA, y no están de acuerdo entre sí
Veinte estados de EE. UU. tienen ahora leyes integrales de privacidad en vigor en 2026, y un subconjunto creciente de ellas aborda específicamente cómo las empresas recopilan y utilizan datos para el entrenamiento de IA, no como una promesa futura, sino como ley ejecutable hoy. El mandato de divulgación de Connecticut entró en vigor el 1 de julio. Las reglas de toma de decisiones automatizadas de California se están implementando gradualmente hasta 2027. Ninguna de estas leyes utiliza las mismas definiciones, umbrales o mecanismos de aplicación, lo que significa que un solo producto de IA puede ser legal en un estado e incumplidor en otro utilizando exactamente la misma tubería de datos.
Connecticut acaba de convertir los datos de entrenamiento de IA en un requisito de divulgación, no solo un problema de privacidad
A partir del 1 de julio de 2026, cualquier empresa sujeta a la Ley de Privacidad de Datos de Connecticut debe declarar en su aviso de privacidad si recopila, usa o vende datos personales para entrenar modelos de lenguaje grandes, incluido el uso indirecto a través de proveedores. Esto es un requisito de transparencia, no un derecho de exclusión voluntaria: las empresas aún pueden usar datos de consumidores para el entrenamiento de IA, pero ya no pueden hacerlo en silencio. La cláusula de uso indirecto es el filo más afilado aquí. Cierra la laguna en la que una empresa afirma que no entrena modelos por sí misma mientras suministra datos en silencio a un proveedor que sí lo hace, una estructura en la que varias empresas adyacentes a la IA han confiado precisamente porque las mantuvo un paso alejadas de las obligaciones de datos de entrenamiento.
Los residentes de Connecticut también obtuvieron un derecho más amplio a partir de la misma fecha: la posibilidad de excluirse de cualquier perfilado automatizado que produzca un efecto legal o similarmente significativo sobre ellos, cubriendo decisiones crediticias, suscripción de seguros, elegibilidad de vivienda, selección de empleo y banderas de fraude. Críticamente, esta exclusión se aplica incluso cuando un humano está nominalmente en el circuito, una disposición dirigida directamente a las empresas que utilizan la "revisión humana" como un escudo de cumplimiento para lo que es funcionalmente una decisión automatizada.
California está construyendo algo más estructural
El enfoque de California superpone dos mecanismos separados. AB 2013 requiere que los desarrolladores de IA generativa publiquen divulgaciones detalladas de conjuntos de datos en sus sitios web públicos, cubriendo si los datos de entrenamiento incluyen información personal o material protegido por derechos de autor, qué rango de tiempo abarcan y limitaciones conocidas, con aplicación por parte del Fiscal General del estado y multas de hasta $5,000 por infracción. Por separado, la Agencia de Protección de la Privacidad de California finalizó las regulaciones de Tecnología de Toma de Decisiones Automatizadas (ADMT) que entraron en vigor el 1 de enero de 2026, otorgando a los consumidores derechos para acceder, excluirse y exigir revisión humana de las decisiones automatizadas, con disposiciones específicas que cubren la tecnología utilizada para generar deepfakes o realizar identificación biométrica.
La definición funcional de ADMT de la CPPA (cualquier tecnología que utilice computación para reemplazar o reemplazar sustancialmente la toma de decisiones humanas) es deliberadamente amplia, y es la pieza con más probabilidades de atrapar productos de IA que no fueron construidos explícitamente teniendo en cuenta el cumplimiento de California. Las empresas que utilizan ADMT para decisiones importantes deben cumplir para el 1 de enero de 2027, y las obligaciones de evaluación de riesgos para las empresas cubiertas comenzaron el 1 de enero de 2026, con plazos de certificación hasta abril de 2028.
Por qué la fragmentación es el problema real, no una ley individual
Individualmente, ninguna de estas veinte leyes estatales es irrazonable. El problema es que no comparten un marco común. Connecticut requiere la divulgación del uso indirecto del entrenamiento de IA; California requiere la divulgación de la composición directa del conjunto de datos más un régimen de exclusión voluntaria de ADMT separado; otros estados agregan sus propios requisitos de consentimiento de datos sensibles. Una empresa que opera a nivel nacional ahora tiene que construir el mínimo común denominador más restrictivo en cada producto, independientemente de dónde se encuentre un usuario, o mantener tuberías de datos y lenguaje de divulgación genuinamente diferentes por estado, ambos costosos, y el segundo es operativamente frágil a escala.
Este es un entorno de cumplimiento materialmente diferente al GDPR, que al menos dio a las empresas un estándar único y unificado contra el cual construir. Veinte estándares estatales diferentes, que evolucionan en diferentes plazos con diferentes organismos de aplicación, se acerca más a ejecutar veinte programas de cumplimiento separados que se superponen.
Qué significa esto si estás construyendo o comprando productos de IA
Si tu empresa entrena modelos con datos de usuarios o compra datos de proveedores que lo hacen, audita tu cadena de uso indirecto ahora: el requisito de divulgación de Connecticut cierra específicamente la defensa de "nosotros no entrenamos, nuestro proveedor lo hace", y es probable que otros estados copien ese lenguaje dado lo directamente que apunta a un truco de cumplimiento conocido. Si operas en California, trata las regulaciones de ADMT como la red más amplia: la definición funcional es lo suficientemente amplia como para cubrir productos en los que tu equipo puede no pensar como "toma de decisiones automatizada" en el sentido coloquial: los motores de recomendación, la puntuación de riesgos y las herramientas de selección de elegibilidad son todos objetivos plausibles.
Para los equipos orientados al consumidor: tu aviso de privacidad ya no es una formalidad legal que puedas copiar y pegar entre estados. Dado lo específicas que ya son las regulaciones de Connecticut y California, y cuántos estados más se espera que agreguen un lenguaje similar para 2027, construir una lógica de divulgación estado por estado ahora es más barato que readaptarla después de que una acción de aplicación defina los límites por ti.