¿Qué es la regulación de la IA en Estados Unidos?
Regulación de la IA: países y regiones
A 4 de junio de 2026, la regulación de la IA en Estados Unidos no se articula en torno a un único AI Act federal. Se trata de un modelo federal por capas compuesto por la política de la Casa Blanca y la OMB para el uso gubernamental y la contratación pública, los estándares voluntarios de NIST, la aplicación de la ley por parte de la FTC en virtud de la normativa vigente de protección al consumidor y competencia, y los reguladores sectoriales que aplican las normas existentes en ámbitos como la salud, el crédito y el empleo. En la práctica, la regulación de la IA en Estados Unidos es un mosaico de leyes, directrices, estándares y medidas de cumplimiento.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Estados Unidos, la "regulación de la IA" suele referirse a una combinación de normas antiguas y nuevas aplicadas a los sistemas de IA, no a un código único redactado específicamente para la IA. La política federal indica a los organismos públicos cómo pueden usar o adquirir IA. Los reguladores federales aplican entonces la legislación vigente cuando la IA afecta a consumidores, trabajadores, prestatarios, pacientes o a la competencia.
Esto hace que el modelo estadounidense sea a la vez flexible y difícil de interpretar. Una empresa puede no estar sujeta a ninguna licencia o registro federal único de IA, y aun así tener una exposición significativa en virtud de la legislación publicitaria, las normas sobre prácticas desleales, la legislación sobre derechos civiles, la normativa crediticia, la regulación de dispositivos médicos, las condiciones de contratación pública o las obligaciones de las plataformas. NIST también es relevante porque su marco es voluntario, pero se utiliza ampliamente como lenguaje práctico de la gobernanza de la IA.
Por qué es importante
Es importante porque el error de cumplimiento más frecuente en Estados Unidos suele ser el más simple: asumir que, si no existe una ley federal general sobre IA, tampoco existe una regulación federal real de la IA. Eso es incorrecto. El gobierno federal ya utiliza la legislación vigente, las condiciones contractuales, las directrices de los organismos y los estándares para determinar cómo se comercializa, adquiere, despliega y supervisa la IA.
Para las organizaciones, las implicaciones prácticas son inmediatas. Una afirmación engañosa sobre un producto de IA puede desencadenar una acción de la FTC. Un modelo crediticio sigue estando obligado a generar razones jurídicamente suficientes para las decisiones adversas. Un dispositivo médico habilitado con IA sigue debiendo ajustarse a las vías de la FDA y a sus expectativas sobre el ciclo de vida. Una empresa que vende IA al gobierno federal puede estar sujeta a condiciones de contratación sobre transparencia, uso de datos y pruebas. Al mismo tiempo, los consejos de administración, los compradores y los clientes del sector público esperan cada vez más evidencias de una gobernanza basada en NIST, incluso cuando el marco no es en sí mismo obligatorio.
Por eso, la pregunta relevante rara vez es "¿Está regulada la IA en Estados Unidos?". Habitualmente es: "¿Qué normas federales se aplican a este caso de uso concreto, qué organismo es competente, qué evidencias necesitamos y cómo interactúa esto con la legislación estatal?"
Cómo funciona
A junio de 2026, el modelo federal es por capas, no general
La posición federal se entiende mejor como un sistema por capas. El Congreso ha aprobado leyes marco para la coordinación federal y el uso gubernamental; la Casa Blanca ha utilizado la acción ejecutiva para fijar la orientación política; la OMB ha emitido memorandos vinculantes para los organismos del ejecutivo; NIST ha desarrollado estándares voluntarios e instrumentos de implementación; y organismos como la FTC, la FDA, la CFPB y la EEOC aplican sus competencias existentes a los casos de uso de IA. Por eso, Estados Unidos se describe habitualmente como un modelo sectorial y horizontal, en lugar de un régimen de código único.
Esto también significa que el estatus jurídico de cada elemento de política varía. Algunas normas provienen de leyes. Otras proceden de executive orders y memorandos que pueden cambiar con las administraciones. Algunas son directrices en borrador. Otras son estándares voluntarios. Una lectura práctica debe, por tanto, distinguir entre la ley aprobada y la política ejecutiva, entre las directrices definitivas y las que están en borrador, y entre las obligaciones vinculantes y las prácticas influyentes pero no vinculantes.
La Casa Blanca y la OMB regulan principalmente el uso federal y la contratación pública
El cambio ejecutivo federal más importante se produjo en enero de 2025. El 20 de enero de 2025, el presidente Trump revocó la Executive Order 14110, la executive order sobre IA de Biden de 2023. El 23 de enero de 2025, la Executive Order 14179 estableció una nueva orientación política centrada en el liderazgo de Estados Unidos en IA, la competitividad económica y la seguridad nacional. También ordenó la revisión de los memorandos de IA de la OMB de la era Biden y la elaboración de un nuevo Plan de Acción sobre IA.
La OMB sustituyó posteriormente los principales memorandos de IA de los organismos de la administración Biden por dos nuevos memorandos con fecha de 3 de abril de 2025. El M-25-21 regula cómo los organismos del ejecutivo utilizan la IA. El M-25-22 regula cómo la adquieren. En conjunto, constituyen las normas operativas fundamentales de la gobernanza de la IA en los organismos federales a junio de 2026.
El M-25-21 exige a los organismos afectados que mantengan o designen un Chief AI Officer, constituyan un consejo de gobernanza de la IA, publiquen estrategias de IA, mantengan inventarios anuales de casos de uso de IA y apliquen controles adicionales a la IA de "alto impacto". En este contexto, la IA de alto impacto se refiere al uso por parte de organismos en el que el resultado de la IA es la base principal de decisiones o acciones con efectos graves sobre derechos, acceso, seguridad, servicios esenciales o activos estratégicos. Antes de desplegar dichos usos, los organismos deben probarlos, documentar la mitigación de riesgos y completar una evaluación de impacto de la IA. Si un uso de alto impacto no cumple las prácticas mínimas, el organismo debe interrumpir la función de IA.
El M-25-22 aplica esta lógica de gobernanza a la contratación pública. Indica a los organismos que utilicen equipos de adquisición multifuncionales, evalúen si una compra puede dar lugar a usos de alto impacto, aborden la privacidad, los derechos civiles y las libertades civiles, controlen los derechos sobre los datos y su uso, y en algunos casos exijan a los proveedores que revelen la IA utilizada en la ejecución del contrato. Para los proveedores del gobierno, esto es relevante porque la regulación federal de la IA se percibe con frecuencia primero a través del lenguaje contractual, y no mediante una licencia general de IA.
Un límite fundamental: estos memorandos de la OMB se refieren principalmente al uso y la adquisición de IA por parte de los propios organismos federales. No crean un conjunto general de obligaciones para el sector privado aplicables a todas las empresas que utilizan IA en la economía.
NIST proporciona el lenguaje común de gobernanza
NIST es central porque aporta la capa de estándares. Su Marco de Gestión de Riesgos de IA, publicado en 2023, sigue siendo el punto de referencia federal más conocido para la gobernanza práctica de la IA. El marco es expresamente voluntario, preserva los derechos, no es específico de ningún sector y es agnóstico respecto al caso de uso. Eso es relevante. No es una ley de IA, pero ofrece a las organizaciones un método común para identificar, mapear, medir y gestionar el riesgo de la IA.
NIST también ha desarrollado material de implementación en torno al marco. El AI RMF Playbook proporciona acciones sugeridas y pasos prácticos. En julio de 2024, NIST publicó un perfil de IA generativa para el marco, orientado a los riesgos específicos de la IA generativa. En abril de 2026 publicó una nota conceptual para un perfil de infraestructuras críticas. En conjunto, estos materiales convierten a NIST en algo más que un organismo de publicación de estándares: actúa como punto de referencia federal sobre cómo las organizaciones documentan la gobernanza, las pruebas, los controles y las garantías.
En la práctica, muchas organizaciones utilizan NIST porque se adapta bien a distintos contextos jurídicos. Resulta útil para la gobernanza interna, la diligencia debida de los compradores, las respuestas a licitaciones, los cuestionarios de proveedores y los informes a los consejos de administración. También ofrece a las organizaciones reguladas una forma de demostrar que no están improvisando.
La FTC es el principal regulador horizontal del mercado
Para las empresas privadas, la FTC es el regulador horizontal federal más claro en el ámbito de la IA. Su relevancia no proviene de una ley especial de IA, sino de la FTC Act y de las competencias relacionadas con la protección al consumidor y la competencia. El mensaje del organismo ha sido coherente a lo largo de distintas administraciones y casos: la comercialización de la IA, las prácticas con datos, las decisiones de diseño y la conducta competitiva se juzgan con arreglo a la legislación vigente.
Esto tiene varias consecuencias prácticas. Si una empresa hace afirmaciones sobre las capacidades de un producto de IA, necesita evidencias que las respalden. Si utiliza la IA de formas que resultan desleales o engañosas para los consumidores, la FTC puede actuar. Si modifica condiciones o compromisos de privacidad para alimentar el desarrollo de IA sin una divulgación adecuada, eso también puede generar escrutinio. El organismo también ha utilizado casos de IA para reforzar las normas ordinarias de sustanciación publicitaria, sin crear una doctrina separada exclusiva para la IA.
Los asuntos recientes de la FTC ilustran este punto. En 2025 finalizó una orden contra DoNotPay por afirmaciones engañosas sobre su "abogado de IA". En 2025 también finalizó una orden contra Workado por afirmaciones de precisión sin respaldo suficiente sobre un detector de contenido generado por IA. La lección es práctica y duradera: la aplicación federal de la normativa sobre IA suele comenzar con afirmaciones falsas ordinarias, análisis de deslealtad, privacidad o competencia.
Los reguladores sectoriales aplican la legislación vigente a los casos de uso de IA
El modelo federal se vuelve más estricto cuando la IA opera dentro de un sector regulado. Aquí la pregunta clave no suele ser si la herramienta es "IA", sino si el uso se encuadra dentro de una actividad regulada existente.
En el ámbito sanitario, la FDA regula los dispositivos médicos habilitados con IA a través de sus vías de dispositivos existentes, incluidas las vías 510(k), De Novo y de aprobación previa a la comercialización cuando corresponde. La FDA ha señalado expresamente que el software de IA adaptativo o cambiante no encaja fácilmente en el antiguo paradigma de dispositivos, razón por la cual ha emitido directrices sobre el ciclo de vida y el control de cambios. A junio de 2026, las organizaciones que trabajan con IA clínica deben tratar a la FDA como un regulador activo de la IA en la práctica, aunque utilice la legislación sobre dispositivos médicos en lugar de una ley de IA independiente.
En las finanzas al consumidor, la CFPB ha dejado claro que los prestamistas no pueden basarse en modelos complejos o de "caja negra" si eso les impide proporcionar las razones específicas exigidas para los avisos de acción adversa. En otras palabras, un modelo no interpretable no exime del cumplimiento de la Equal Credit Opportunity Act y el Reglamento B.
En el ámbito laboral, la EEOC ha señalado que la legislación antidiscriminación vigente se aplica cuando la IA se utiliza en decisiones de contratación, selección, supervisión, fijación de salarios, promoción y despido. Esto no se plantea como ética opcional, sino como la aplicación ordinaria de la legislación antidiscriminación a nuevas herramientas.
Los organismos federales también se han pronunciado conjuntamente. La FTC, el DOJ, la CFPB y la EEOC emitieron una declaración conjunta en 2023 afirmando que los sistemas automatizados y la IA siguen estando sujetos a las leyes vigentes sobre discriminación, sesgo, protección al consumidor y competencia leal. Esa posición conjunta sigue reflejando cómo funciona el modelo federal en la práctica.
El Congreso ha creado instituciones y normas específicas, pero no un código general de IA para el sector privado
El Congreso no ha aprobado una ley federal de IA de propósito general para el uso en el sector privado. En cambio, ha adoptado medidas más específicas que son relevantes de distintas maneras.
A nivel institucional, la National AI Initiative Act creó la National Artificial Intelligence Initiative y la National AI Initiative Office, que apoyan la coordinación federal en materia de investigación sobre IA, participación en estándares, formación de la fuerza laboral y aportaciones del público. La AI in Government Act autorizó un AI Center of Excellence en la GSA. La Advancing American AI Act añadió principios y requisitos de inventario para el uso de IA por parte de los organismos federales. Estas leyes son importantes, pero principalmente organizan la capacidad y la rendición de cuentas del gobierno, en lugar de imponer un régimen de cumplimiento transversal a todos los desarrolladores de IA.
El Congreso también ha aprobado legislación específica que aborda directamente los daños relacionados con la IA. El ejemplo más claro en la actualidad es la Take It Down Act, promulgada en mayo de 2025. En mayo de 2026, la FTC había comenzado a aplicar sus disposiciones de notificación y retirada para plataformas, que se aplican a imágenes íntimas no consentidas, incluidas las falsificaciones digitales generadas por IA. Se trata de una obligación federal real relacionada con la IA, pero es específica y limitada a un daño concreto, no un marco general.
Por tanto, el panorama federal no es ni "nada está regulado" ni "Estados Unidos tiene su propio EU AI Act". Es un sistema específico y modular.
Cómo es el cumplimiento en la práctica
Para la mayoría de las organizaciones, la tarea de cumplimiento federal comienza con la clasificación. Primero hay que identificar si el caso de uso está orientado al consumidor, al entorno laboral, al crédito, a la salud, al sector público, a infraestructuras o a la contratación pública. Luego hay que determinar si la organización se enfrenta a un regulador, a un comprador gubernamental, a una obligación de plataforma o a un riesgo comercial ordinario.
A partir de ahí, la evidencia se convierte en el problema operativo central. Las organizaciones necesitan saber qué afirmaciones están haciendo, qué pruebas respaldan esas afirmaciones, qué revisión humana existe, qué documentación explica el uso previsto y sus límites, qué compromisos sobre datos se han asumido, y qué ley regula los avisos, las apelaciones, las explicaciones, la revisión de seguridad o el seguimiento posterior al despliegue.
Por eso el modelo estadounidense suele impulsar a las empresas hacia la gobernanza antes de que una ley específica de IA se lo exija formalmente. NIST proporciona el lenguaje operativo. Los reguladores aportan el detonante jurídico. La contratación pública genera la presión comercial. En conjunto, crean una base de facto de gobernanza federal de la IA incluso sin un código federal único de IA.
Ejemplos
Una empresa de IA de consumo comercializa su servicio como sustituto de la experiencia jurídica humana. En febrero de 2025, la FTC finalizó una orden contra DoNotPay por afirmaciones engañosas sobre su "abogado de IA". La lección práctica es que la legislación federal estadounidense no requiere un código publicitario específico para la IA para que los reguladores puedan actuar. Si una empresa no puede acreditar lo que su IA es capaz de hacer, las normas ordinarias sobre engaño pueden ser suficientes.
Un proveedor vende un detector de contenido generado por IA y anuncia una precisión muy elevada. En agosto de 2025, la FTC aprobó una orden definitiva contra Workado tras alegar que la empresa carecía de respaldo suficiente para las afirmaciones de precisión que hacía sobre su detector. Para operadores y compradores, esto es un recordatorio de que las afirmaciones sobre el rendimiento de las herramientas de IA necesitan evidencias defendibles, no solo lenguaje de marketing.
Una plataforma aloja medios sintéticos dañinos. El 19 de mayo de 2026, la FTC comenzó a aplicar las obligaciones de notificación y retirada de la Take It Down Act para plataformas. Las plataformas afectadas deben proporcionar un proceso para las denuncias válidas y retirar las imágenes cubiertas, incluidas las falsificaciones digitales generadas por IA, en un plazo de 48 horas. Se trata de una obligación federal concreta relacionada con la IA, pero se aplica a un daño específico y a una categoría definida de plataformas, no a todos los sistemas de IA.
Una empresa de tecnología sanitaria desarrolla software habilitado con IA para uso clínico. La FDA sigue canalizando estos productos a través de las vías de dispositivos médicos existentes y ha añadido directrices específicas de IA sobre el ciclo de vida y el control de cambios. Esto significa que un producto de IA médica no es solo una cuestión de software o de gobernanza: puede ser también una cuestión de producto regulado desde el primer día.
Malentendidos frecuentes
Malentendido: "Estados Unidos tiene un AI Act federal como la UE."
Corrección: No es así. A 4 de junio de 2026, el modelo federal es una combinación de leyes, política ejecutiva, estándares, aplicación normativa y legislación sectorial.
Malentendido: "El NIST AI RMF es una ley vinculante."
Corrección: Es voluntario. Su influencia es real, pero es un marco, no una ley ni un reglamento.
Malentendido: "Si mi producto no está en un sector especialmente regulado, la legislación federal de IA no le afecta."
Corrección: La FTC puede actuar igualmente ante afirmaciones engañosas, prácticas desleales, compromisos débiles sobre datos y otras conductas ilícitas relacionadas con la IA.
Malentendido: "Los memorandos de IA de la Casa Blanca regulan a todas las empresas privadas."
Corrección: Los memorandos de IA fundamentales de la OMB regulan principalmente el uso y la adquisición de IA por parte de los propios organismos del ejecutivo. Las empresas privadas los perciben de forma más directa cuando venden al gobierno.
Malentendido: "Si no podemos explicar un modelo crediticio, eso es solo un problema técnico."
Corrección: En algunos contextos también es un problema jurídico. En el ámbito crediticio, la CFPB ha dejado claro que el uso de modelos de caja negra no exime de las obligaciones de notificación de acción adversa.
Riesgos y límites
El límite más importante es de carácter constitucional e institucional. Gran parte de la postura federal actual en materia de IA es política ejecutiva, no legislación permanente. Eso significa que la orientación federal puede cambiar rápidamente con un cambio de administración. El brusco giro de la Executive Order 14110 de Biden a la Executive Order 14179 de Trump en enero de 2025 es el ejemplo más reciente y claro.
Otro límite es el ámbito de aplicación. Los memorandos de la OMB son importantes, pero vinculan principalmente a los organismos del ejecutivo. Por sí solos, no imponen un código de cumplimiento general a todos los desarrolladores, operadores o compradores privados de IA. Los reguladores independientes y los organismos sectoriales siguen actuando en virtud de sus propias competencias.
También existe incertidumbre en cuanto al estatus de las directrices. Algunos materiales de los organismos son definitivos, mientras que otros siguen siendo borradores. En el ámbito sanitario, por ejemplo, las directrices de la FDA de enero de 2025 sobre el ciclo de vida de las funciones de software de dispositivos habilitados con IA siguen siendo un borrador, por lo que las organizaciones no deben confundirlas con una norma definitiva.
Un límite adicional es que la legislación federal es solo una parte del panorama estadounidense. Los parlamentos y reguladores estatales son activos y pueden añadir obligaciones de divulgación, antidiscriminación o sectoriales por encima de la base federal. La preemption federal no es la respuesta por defecto en este ámbito.
Por último, la ausencia de una ley general crea riesgo de interpretación. Las organizaciones deben trasladar leyes generales a hechos específicos relacionados con la IA. Eso otorga flexibilidad a los reguladores, pero también significa que muchos casos límite se resuelven mediante directrices, postura de aplicación, práctica de contratación o litigios, en lugar de mediante una lista de verificación legal clara y única.
Próximos pasos
Conviene abordar la regulación de la IA en Estados Unidos como un ejercicio de mapeo de casos de uso, no como la búsqueda de un único manual de normas. Comience por identificar dónde su IA afecta a consumidores, trabajadores, crédito, salud, servicios públicos, menores, actividades críticas para la seguridad o contratación pública.
Construya la gobernanza interna en torno a la evidencia. Conviene saber para qué sirve el sistema, qué afirmaciones se hacen sobre él, cómo ha sido probado, dónde se sitúa la revisión humana, qué compromisos sobre datos son aplicables y qué documentos podría mostrar a un regulador, comprador o consejo de administración si fuera necesario.
Utilice el NIST AI RMF como lenguaje operativo aunque no sea obligatorio. Proporciona a los equipos una estructura práctica para la gobernanza, las pruebas, la documentación y el seguimiento que se adapta bien a contextos jurídicos, de contratación pública y de garantía.
Si vende al gobierno federal, revise las condiciones de contratación de IA con antelación. Los memorandos actuales de la OMB implican que los compradores federales pueden solicitar transparencia, restricciones sobre el uso de datos, documentación, información sobre pruebas y, en algunos casos, la divulgación de la IA utilizada durante la ejecución del contrato.
Mantenga un seguimiento activo de los desarrollos federales que evolucionan rápidamente. En Estados Unidos, la orientación ejecutiva, las directrices de los organismos y las leyes específicas pueden avanzar más rápido que un documento de política estático. Para muchas organizaciones, un ciclo de revisión semestral es razonable.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Estados Unidos una ley federal única de IA?
No. A 4 de junio de 2026, no existe una ley federal general de IA que cubra toda la IA del sector privado. El modelo federal es una combinación de política ejecutiva, leyes vigentes, normas sectoriales, estándares y aplicación normativa.
¿Es obligatorio el NIST AI RMF?
No. Es voluntario. Pero es influyente porque los reguladores, los compradores y los equipos de gobernanza lo utilizan como estructura común para la gestión del riesgo de la IA.
¿Quién es el principal regulador federal de la IA?
No existe un único regulador federal de la IA. La FTC es el principal regulador horizontal del mercado, mientras que los reguladores sectoriales como la FDA, la CFPB y la EEOC aplican sus propias leyes a los casos de uso de IA.
¿Se aplican los memorandos de IA de la Casa Blanca directamente a las empresas privadas?
Generalmente no. Regulan principalmente el uso y la adquisición de IA por parte de los propios organismos del ejecutivo. Las empresas privadas los encuentran de forma más directa cuando venden productos o servicios de IA al gobierno federal.
¿Puede la FTC regular las afirmaciones engañosas sobre IA sin una ley especial de IA?
Sí. La FTC utiliza la legislación vigente sobre prácticas desleales y engañosas, junto con competencias relacionadas, para impugnar la comercialización de IA sin respaldo suficiente o engañosa y las conductas dañinas.
¿Regula la FDA la IA en el ámbito sanitario?
Sí, cuando el producto se encuadra dentro de la regulación de dispositivos médicos o de la competencia relacionada de la FDA. La FDA utiliza las vías de productos existentes y ha publicado materiales de orientación específicos de IA para el ciclo de vida de los dispositivos y el control de cambios.
¿Impide la legislación federal que los estados elaboren sus propias normas de IA?
En general, no. Los requisitos federales y estatales pueden coexistir, por lo que las organizaciones suelen necesitar una visión que combine ambos niveles, no solo el federal.