La Ley de IA original de Colorado, la SB 24-205, aprobada en mayo de 2024 y la primera ley estatal integral sobre IA en Estados Unidos, ya no existe. El 14 de mayo de 2026, el gobernador Jared Polis firmó el proyecto de ley del Senado 26-189, que deroga por completo la SB 24-205 y la sustituye por un marco regulador sustancialmente distinto. La ley sustitutiva entra en vigor el 1 de enero de 2027.
Cómo se llegó hasta aquí
La SB 24-205 fue siempre objeto de controversia. Cuando Polis la firmó en 2024, lo hizo acompañándola de una carta pública en la que instaba a la legislatura a revisar el enfoque. Una sesión especial celebrada en agosto de 2025 amplió la fecha de entrada en vigor del 1 de febrero de 2026 al 30 de junio de 2026 sin modificar el contenido sustantivo. A principios de abril de 2026, xAI, la empresa de Elon Musk, demandó ante un tribunal federal para impedir su aplicación alegando motivos relacionados con la Primera Enmienda y la cláusula de comercio latente ('dormant commerce clause'), lo que constituyó el primer gran desafío judicial a una ley estatal de IA. El Departamento de Justicia de la Administración Trump intervino el 24 de abril de 2026, en lo que supuso el primer movimiento del gobierno federal para invalidar una ley estatal de IA al amparo de la orden ejecutiva sobre IA de diciembre de 2025. El 27 de abril, un juez federal ('magistrate') suspendió cautelarmente su aplicación mientras continuaba el litigio. Con la ley paralizada y su marco central bajo un ataque sostenido tanto de los tribunales como de un grupo de trabajo designado por el gobernador, la legislatura actuó con rapidez: se presentó la SB 26-189, que se aprobó por 34 votos a 1 en el Senado y por 57 a 6 en la Cámara, y se firmó en un plazo de dos semanas.
Qué exige la ley sustitutiva
La SB 26-189 regula la «tecnología de toma de decisiones automatizada» (ADMT), definida como aquella tecnología que procesa datos personales para producir resultados utilizados para «influir materialmente» en una «decisión trascendental». Las decisiones trascendentales incluyen el empleo (contratación, promoción, medidas disciplinarias, despido), la vivienda, los servicios financieros, los seguros, la sanidad y la educación.
El umbral, la influencia material, es relevante. La ADMT que desempeña un papel incidental en un proceso de decisión no queda necesariamente cubierta. El foco se centra en los sistemas que alteran de forma significativa el resultado de una decisión trascendental que afecta a una persona.
Para los usos cubiertos, la ley exige: avisos dirigidos a los consumidores que revelen que se está utilizando ADMT y las categorías de datos procesados; un mecanismo para que los consumidores puedan excluirse ('opt out') del uso de ADMT en decisiones trascendentales; y, en determinadas circunstancias, el derecho a recibir una explicación significativa de una decisión trascendental y a recurrirla. Los desarrolladores de ADMT deben proporcionar a los implementadores ('deployers') la información suficiente para permitirles cumplir con la ley. La aplicación corresponde al Fiscal General como práctica comercial desleal, con un periodo de subsanación ('cure period') hasta finales de 2027 y sin derecho de acción privada.
Qué elimina la ley sustitutiva
Desaparecen por completo: el deber de diligencia razonable para prevenir la discriminación algorítmica; los programas obligatorios de gestión de riesgos alineados con el NIST AI RMF o la ISO 42001; las evaluaciones de impacto anuales dentro de los 90 días posteriores a la implementación; las obligaciones de divulgación de las evaluaciones de impacto; y el régimen de clasificación de sistemas de IA de alto riesgo. La SB 24-205 original era arquitectónicamente similar a la Ley de IA de la UE, basada en el riesgo, con obligaciones afirmativas para desarrolladores e implementadores. La SB 26-189 se acerca arquitectónicamente más a un estatuto de derechos del consumidor: notificación, exclusión voluntaria y derechos de explicación, con la aplicación a través del marco de protección al consumidor.
Tres proyectos de ley adicionales sobre IA en Colorado
La SB 26-189 no fue la única legislación sobre IA de Colorado firmada en este periodo. La HB 1263 (seguridad de los chatbots, en vigor a partir del 1 de enero de 2027) impone requisitos de divulgación para los chatbots y compañeros de IA, en particular cuando existe riesgo de daño para usuarios vulnerables, incluidos los menores. La HB 1139 (IA en las decisiones de cobertura de los seguros de salud, en vigor a partir del 1 de enero de 2027) exige una revisión humana de las decisiones de cobertura adversas generadas por IA. La HB 1195 (IA en psicoterapia, en vigor a partir del 12 de agosto de 2026) restringe el uso de la IA en los servicios de psicoterapia. En conjunto, estos proyectos de ley representan enfoques específicos de protección al consumidor que complementan el marco más amplio de la ADMT.
Qué significa esto para las organizaciones
La fecha de entrada en vigor del 1 de enero de 2027 ofrece un margen para el cumplimiento. Sin embargo, el Fiscal General ha indicado que la aplicación no comenzará hasta que se complete el proceso reglamentario, y dicho proceso aún no se ha iniciado. Esto genera incertidumbre sobre el alcance operativo de la ley. Las organizaciones deberían seguir de cerca la evolución del proceso reglamentario.
El impacto sustantivo es considerable para cualquier empresa que tome decisiones influidas por IA sobre empleados o clientes en Colorado, lo que abarca una proporción sustancial de la implementación de IA empresarial en Estados Unidos. Incluso el marco de divulgación, más ligero, exige identificar dónde se utiliza la ADMT, qué datos procesa y cómo comunicar esa información a las personas afectadas. El mecanismo de exclusión voluntaria requiere una infraestructura de cumplimiento que la mayoría de las organizaciones aún no ha construido.
La lección más amplia que deja Colorado es que el panorama de las leyes estatales de IA en Estados Unidos no es estable. Las leyes se aprueban, se paralizan, se impugnan, se derogan y se sustituyen en plazos que los programas de cumplimiento no pueden absorber con facilidad. La respuesta mínima viable para cualquier organización que opere en varios estados de EE. UU. consiste en: mantener un inventario de sistemas de IA, hacer un seguimiento de qué leyes estatales se aplican a cada sistema y a cada estado, y construir una infraestructura de gobernanza capaz de adaptarse a medida que cambia la ley, en lugar de recurrir a ejercicios de cumplimiento puntuales vinculados a fechas de entrada en vigor concretas.
Fuentes primarias: SB 26-189 de Colorado (Asamblea General) | Seyfarth, Colorado Enacts AI Replacement Law (mayo de 2026) | Norton Rose Fulbright, Colorado Enacts Revised AI Law