La ley de IA de Connecticut empezó el 1 de octubre de 2026 a obligar a los laboratorios de frontera, a los generadores de imagen y vídeo y a los vendedores de suscripciones de IA, mientras otras obligaciones esperan a 2027 y 2028

La ley de IA de Connecticut, la Ley Pública 26-15, empezó a obligar a las empresas el 1 de octubre de 2026. Desde esa fecha, el desarrollador de un modelo de IA muy grande no puede adoptar una norma o un contrato que le permita castigar a un empleado que denuncie un riesgo catastrófico, y un generador popular de imagen, audio o vídeo debe incorporar datos de procedencia en lo que produce, en la medida en que sea razonable desde el punto de vista comercial y técnico.

La ley fue aprobada el 27 de mayo de 2026, y sus secciones empiezan en fechas distintas, desde el día en que se aprobó hasta el 1 de enero de 2028. El CT Mirror informó el 28 de septiembre de que “la mayor parte del poder de aplicación recaerá en la Oficina del Fiscal General.”

Lo que cambió el 1 de octubre para los laboratorios de IA

La ley define a un desarrollador de frontera como una empresa que opera en Connecticut y que entrena, o planea entrenar, un modelo fundacional con más de 10 elevado a la potencia 26 operaciones de números enteros o de coma flotante, contando el ajuste fino posterior. Un gran desarrollador de frontera es el que tiene unos ingresos anuales de más de 500 millones de dólares, contando sus filiales. Nuestro explicativo sobre cómo funcionan los grandes modelos de lenguaje trata la tecnología.

La Sección 2 prohíbe que un desarrollador de frontera adopte cualquier norma, política o contrato que le permita tomar represalias contra un empleado que tenga motivos razonables para creer que la empresa realiza una actividad que plantea un “peligro específico y sustancial para la salud o la seguridad públicas debido a un riesgo catastrófico.” La ley define el riesgo catastrófico como un riesgo previsible de que un modelo contribuya a la muerte o a lesiones graves de más de 50 personas, o a más de 1.000 millones de dólares en daños materiales, en un solo incidente, por ejemplo al dar ayuda de nivel experto con un arma química, biológica, radiológica o nuclear.

A más tardar el 1 de enero de 2027, cada gran desarrollador de frontera debe poner en marcha un proceso interno de denuncia anónima, dar novedades a quien denuncia y compartir los informes con sus directivos y consejeros al menos cada trimestre.

La sanción es de hasta 1.000 dólares por infracción, que cobra el fiscal general ante el tribunal superior de Hartford, el cual también puede dictar órdenes de cese.

Danny Tobey, Ashley Carr y Michael Atleson, de DLA Piper, escribieron el 7 de mayo que la disposición de Connecticut es “independiente y no va acompañada de una ley general de transparencia.” Justine Gluck y Daniel Hales, del Future of Privacy Forum, escribieron que la ley no exige marcos de gobernanza, informes de transparencia ni la notificación de incidentes críticos de seguridad, y que toma sus definiciones clave de la SB 53 de California y de la RAISE Act de Nueva York.

Los generadores de imagen, audio y vídeo deben etiquetar lo que producen

La Sección 15 cubre a un proveedor cuyo sistema de IA generativa tiene más de un millón de usuarios al mes y está abierto a los consumidores para uso personal. Se excluye a los organismos públicos, y la definición gira en torno a la generación de imágenes, audio o vídeo.

Un proveedor así debe, en la medida en que sea razonable desde el punto de vista comercial y técnico, incluir datos de procedencia en el contenido de audio, imagen o vídeo que su sistema cree o altere de forma sustancial, y usar métodos razonables, entre ellos el estándar de la Coalition for Content Provenance and Authenticity, para que sea difícil eliminarlos. La ley exime las ventas entre empresas, los videojuegos y los sistemas usados solo para aumentar la resolución, reducir el ruido o comprimir.

Solo el fiscal general puede hacerla cumplir, como práctica comercial desleal, y la sección no fija ninguna cifra en dólares.

Los resúmenes discrepan sobre el calendario. El aviso de DLA Piper del 7 de mayo decía que “para el 1 de octubre de 2027, dichos desarrolladores deberán asegurarse de que ese contenido esté marcado y sea detectable como tal.” La ley firmada indica que la Sección 15 entra en vigor el 1 de octubre de 2026, y tanto el Future of Privacy Forum como Morrison Foerster incluyen la procedencia entre las obligaciones de octubre de 2026.

La norma de las suscripciones pasó a una segunda ley

La Sección 1 de la ley exigía en un principio un aviso y una aceptación por escrito antes de que una suscripción de IA empezara o se renovara. La Ley Pública 26-100, aprobada el 2 de junio de 2026, la derogó y fijó una norma más estrecha en su propia Sección 46, también en vigor desde el 1 de octubre de 2026.

La nueva norma se aplica a un proveedor cuyo sistema de IA generativa tiene más de un millón de usuarios mensuales y está abierto a los consumidores. Antes de iniciar o renovar una suscripción, debe dar un aviso por escrito de las condiciones clave, y el consumidor debe enviar un aviso escrito de aceptación. El aviso debe cubrir los límites de uso y si el proveedor puede cortar el acceso o reducir la calidad. Solo el fiscal general la hace cumplir.

The Daily Campus informó el 30 de septiembre de que la norma abarca a empresas de IA “como ChatGPT o Google AI.” La definición de la ley se refiere a sistemas que generan imágenes, audio o vídeo, y tuput no encontró ninguna orientación del fiscal general sobre cómo se aplica a un chatbot de texto que también hace imágenes.

Herramientas de contratación y avisos de despido

Las Secciones 7 a 12 cubren el software que procesa datos personales y produce una puntuación, una clasificación o una recomendación que es un factor sustancial en la contratación, el ascenso, la sanción disciplinaria o el despido. Figuran como vigentes desde el 1 de octubre de 2026, pero las obligaciones se aplican a las herramientas desplegadas a partir del 1 de octubre de 2027. Los empleadores deberán entonces decir a los candidatos, en lenguaje claro, cuándo tratan con una herramienta así, y dar un aviso por escrito antes de una decisión que nombre la herramienta, su finalidad y los datos personales que usa. Solo el fiscal general hace cumplir estas secciones y, para las infracciones hasta el 31 de diciembre de 2027, puede conceder primero 60 días para subsanar. El Future of Privacy Forum señala que la ley no exige auditorías de sesgo.

Dos normas laborales sí empezaron el 1 de octubre de 2026. Según las enmiendas a las leyes antidiscriminación del estado, usar una herramienta así “no será una defensa frente a una denuncia”, aunque un tribunal o la comisión pueden ponderar las pruebas de ausencia de sesgo. Y un empleador que presente al Departamento de Trabajo de Connecticut un aviso federal de despidos WARN debe ahora declarar si los despidos guardan relación con su uso de la IA o con otro cambio tecnológico.

Lo que espera a 2027 y 2028

Las normas sobre los chatbots de compañía de IA empiezan el 1 de enero de 2027. El CT Mirror informa de que exigen que los chatbots declaren que no son humanos. Las protecciones para menores en las plataformas sociales cubiertas empiezan el 1 de enero de 2028. El senador estatal James Maroney, uno de los principales artífices de la ley, dijo en una rueda de prensa, según el CT Mirror: “Esto es un comienzo. No es un final; no es un techo. Es el suelo.”

El grupo de trabajo federal y el único caso hasta ahora

La Orden Ejecutiva 14365, firmada el 11 de diciembre de 2025, encargó al fiscal general crear un grupo de trabajo “cuya única responsabilidad será impugnar las leyes estatales de IA” que sean incompatibles con la política federal. El Departamento de Justicia lo creó mediante un memorando el 9 de enero de 2026. La orden dice que su llamamiento a una legislación federal no debe proponer anular por primacía las leyes estatales que, por lo demás, sean lícitas sobre seguridad infantil, centros de datos de IA o uso de la IA por el gobierno estatal.

La única acción judicial que recogen las fuentes está en Colorado. El 27 de abril de 2026 un juez magistrado federal concedió una moción conjunta en X.AI LLC contra Weiser, una demanda en la que Estados Unidos es parte demandante interviniente. La orden impide al demandado, Philip J. Weiser, iniciar la aplicación de la SB24-205 de Colorado, por infracciones hasta 14 días después de que el tribunal resuelva la futura moción de xAI para una medida cautelar preliminar. Las partes acordaron la suspensión, y la orden no se pronuncia sobre la validez de la ley.

Ninguna de las fuentes que tuput revisó hasta el 8 de octubre informa de una impugnación federal o privada contra la ley de Connecticut. DLA Piper escribió en mayo que Connecticut actuó “incluso mientras continúa el debate sobre la primacía federal.”

Los últimos pasos en Bruselas y Delhi

El último paso vinculante de la Unión Europea es el Reglamento (UE) 2026/1744, el Digital Omnibus sobre IA, fechado el 8 de julio de 2026 y publicado en el Diario Oficial el 24 de julio. Entró en vigor el 27 de julio y trasladó las obligaciones de alto riesgo de la Ley de IA al 2 de diciembre de 2027 para los sistemas enumerados en el Anexo III y al 2 de agosto de 2028 para los del Anexo I. Los proveedores de sistemas generativos ya comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado del artículo 50, apartado 2. Los abogados de Gibson Dunn calificaron el paquete de “un aplazamiento y no un desmantelamiento” en un aviso del 27 de mayo sobre el acuerdo político.

La norma más reciente de la India es la notificación G.S.R. 120(E) del 10 de febrero de 2026, que modifica las Normas de TI de 2021 y que, según AZB & Partners, entró en vigor el 20 de febrero. Define la “información generada sintéticamente” como material sonoro, visual o audiovisual hecho o alterado por ordenador que parece real. Según la nueva Regla 3(3), una plataforma que ofrece herramientas para crear ese material debe bloquear los resultados ilícitos, etiquetar de forma destacada el resto e incorporar metadatos permanentes u otro mecanismo de procedencia, en la medida en que sea técnicamente viable. El plazo para retirar contenido por orden de un tribunal o del gobierno bajó de 36 horas a tres. El ministerio responsable de las normas, MeitY, también dirige la plataforma de traducción Bhashini, tratada en La India está construyendo IA en sus propios idiomas.

MediaNama informa de un nuevo aviso de MeitY con fecha del 8 de octubre de 2026, firmado por el secretario adjunto Ajit Kumar, que pide a las plataformas de redes sociales aplicar una “diligencia reforzada” a los contenidos falsos o manipulados y etiquetarlos o contextualizarlos. MediaNama señala que no enumera sanciones y no menciona la enmienda de febrero, y no aclara si es vinculante.

Fechas que quedan por delante

• 2 de diciembre de 2026: se aplican la obligación de marcado del artículo 50, apartado 2, de la UE para los sistemas generativos más antiguos y su nueva prohibición de los sistemas que generan imágenes íntimas no consentidas o material de abuso sexual infantil.
• 1 de enero de 2027: empiezan los canales de denuncia de los grandes desarrolladores y las normas sobre chatbots de compañía de Connecticut.
• 1 de octubre de 2027: las obligaciones de Connecticut sobre herramientas de contratación se aplican a las herramientas desplegadas desde esa fecha.
• 2 de diciembre de 2027: empiezan a aplicarse las obligaciones de alto riesgo del Anexo III de la UE.
• 1 de enero de 2028: empiezan las normas de Connecticut sobre redes sociales para menores.