Nueva York exigirá a las grandes desarrolladoras de IA reportar fallas graves en 72 horas

La regulación que Nueva York empezó a aplicar esta semana no le da a un usuario mexicano ningún derecho legal nuevo: es una ley estatal y no rige fuera de Estados Unidos. El efecto es indirecto, pero alcanza a cualquiera que use estas herramientas desde otro país: los desarrolladores de los modelos de inteligencia artificial generativa más grandes del mundo deberán hacer públicos sus protocolos de seguridad y avisar de las fallas graves a un regulador de ese estado, algo que hasta hoy cada empresa decidía revelar o no por su cuenta.

La gobernadora Kathy Hochul dio a conocer el 21 de septiembre el arranque de la fase de implementación de la ley conocida como RAISE Act, cuyo nombre completo es Ley de Seguridad y Educación en Inteligencia Artificial Responsable, firmada en diciembre de 2025. El registro de las empresas cubiertas ante el estado comienza en noviembre de este año, y el resto de las obligaciones (reportar incidentes y ser transparentes sobre sus medidas de seguridad) entra en vigor el 1 de enero de 2027. Para vigilar su cumplimiento, el gobierno estatal creó una oficina nueva, la de Innovación Digital, Gobernanza, Integridad y Confianza (DIGIT), dentro del Departamento de Servicios Financieros, y puso al frente a Marc Gilman.

La norma no cubre a cualquier compañía de inteligencia artificial. Solo alcanza a los desarrolladores de los llamados modelos de frontera: aquellos que se entrenaron con una cifra de cómputo mayor a 10 elevado a la 26 operaciones de punto flotante (FLOPs, la unidad que mide cuánto poder de cómputo se usó para entrenar un modelo), y cuya empresa matriz reporta ingresos anuales de más de 500 millones de dólares. El filtro deja fuera a la inmensa mayoría de las firmas de inteligencia artificial y apunta solo a las que hoy construyen los modelos generativos de mayor escala.

El incumplimiento tiene costo: la primera infracción puede costarle a una empresa hasta 1 millón de dólares, y cada infracción posterior, hasta 3 millones. Las empresas cubiertas también tendrán que avisar de cualquier incidente crítico de seguridad en un máximo de 72 horas, o de 24 horas si existe riesgo inminente de muerte o lesiones graves.

Hochul explicó que el público tiene derecho a saber qué medidas de seguridad toman estas empresas, y sostuvo: «esas empresas deben rendir cuentas cuando algo sale mal».

Es la segunda ley de este tipo en Estados Unidos: California aprobó la suya primero, y ahora Nueva York suma su propio marco para vigilar la seguridad de los modelos de inteligencia artificial más avanzados. El anuncio del 21 de septiembre no es la aprobación de la ley, que ya ocurrió en diciembre, sino el siguiente paso: el que fija las fechas límite y arma el aparato para hacerla cumplir. El reglamento completo de la nueva oficina, con el detalle operativo del registro, todavía no se ha publicado, y tampoco se ha confirmado si empresas como OpenAI, Anthropic, Google, Meta o Microsoft, que previsiblemente entran en el umbral de la ley, ya comenzaron su proceso de registro.