El gobernador de California, Gavin Newsom, firmó el 9 de septiembre de 2026 dos leyes que regulan a quienes revisan la inteligencia artificial desde fuera. SB 813, del senador Jerry McNerney, encarga a la Government Operations Agency fijar criterios y designar organizaciones de verificación independiente. AB 1405, de la asambleísta Rebecca Bauer-Kahan, crea un registro estatal de auditores de IA y prohíbe realizar sin estar inscrito una de las auditorías que la ley llama cubiertas. El comunicado del gobernador las presenta como las primeras de su tipo en el país. Ninguno de los dos textos obliga a un desarrollador a someter su modelo a esa revisión: el registro solo aplica cuando otra ley estatal exige la auditoría, y los plazos de arranque son enero de 2028 y enero de 2029.
OpenAI anunció el 9 de septiembre que apoya cuatro proyectos californianos, entre ellos SB 813 y AB 1405, y pidió a la vez requisitos nacionales obligatorios de seguridad para la IA; el cable de Reuters recoge que la empresa seguirá apoyando legislación estatal mientras el Congreso no actúe. Politico situó también a Anthropic entre quienes respaldaron las dos leyes.
Ninguna de las dos leyes ordena auditar un sistema de IA
AB 1405 llama auditoría cubierta a la que exige alguna ley estatal sobre un sistema o modelo de IA, y solo sobre esa categoría cae la prohibición de trabajar sin registro. Cuando presentó el texto ante la Comisión de Organización Gubernamental del Senado, en julio de 2025, la propia Bauer-Kahan dijo que su proyecto no obliga a auditar sistemas ni modelos, y que se limita a fijar requisitos de transparencia y ética para quienes ya los auditan. El análisis de la Comisión de Justicia lo describió como una preparación por si ese tipo de auditoría llega a exigirse por ley más adelante.
SB 813 trabaja sobre la otra mitad del esquema y tampoco añade esa obligación. Su resumen oficial encarga a la Government Operations Agency seleccionar y regular a las organizaciones de verificación independiente, convocar grupos de trabajo para recoger la opinión de las partes interesadas, informar al Legislativo y recibir un reporte anual de cada organización designada. Ese resumen no incluye ninguna obligación de contratar una. McNerney y Bauer-Kahan alinearon sus dos proyectos en junio para que funcionaran en conjunto, y el despacho del senador describió el esquema como un marco voluntario cuando el Legislativo aprobó el texto, el 30 de agosto.
SB 1047, la ley de seguridad de IA que Newsom vetó en septiembre de 2024, sí habría obligado a los desarrolladores a auditorías anuales de terceros sobre su cumplimiento, como resumió NBC News al comparar ambas normas. Dos años después, el estado ya tiene el andamiaje de los auditores y sigue sin la obligación que los pondría a trabajar.
La siguiente tabla compara qué crea cada norma y desde cuándo obliga.
| Norma | Qué crea | Desde cuándo obliga y a quién |
|---|---|---|
| SB 813, firmada el 9 de septiembre de 2026 | Criterios y designación de organizaciones de verificación independiente a cargo de la Government Operations Agency | La agencia tiene hasta el 1 de enero de 2028; ningún desarrollador queda obligado a contratar una |
| AB 1405, firmada el 9 de septiembre de 2026 | Registro estatal de auditores de IA, con cuotas anuales, número público y reglas de independencia | Desde el 1 de enero de 2029 nadie puede ofrecer, vender ni realizar una auditoría cubierta sin registro |
| Definición de auditoría cubierta, en AB 1405 | El supuesto que activa la obligación de registrarse | Solo aplica cuando otra ley estatal exige esa auditoría; AB 1405 no ordena auditar nada |
| SB 1047, de 2024 | Auditorías anuales de terceros sobre el cumplimiento de los desarrolladores | Nunca rigió: Newsom la vetó en septiembre de 2024 |
Los plazos dejan el primer efecto para 2028 y 2029
Los dos calendarios están en los resúmenes oficiales de los textos promulgados. SB 813 le da a la Government Operations Agency hasta el 1 de enero de 2028 para tener listos los criterios y la designación de verificadores. AB 1405 fija el 1 de enero de 2029 como límite para que esa misma agencia monte el registro en su sitio web, y a partir de ese día nadie puede ofrecer, vender ni realizar una auditoría cubierta sin estar inscrito.
Cada auditor inscrito recibirá un número único que debe aparecer de forma clara en todo material publicitario donde ofrezca esos servicios. Las cuotas anuales alimentan un AI Auditors Registration Fund en la Tesorería estatal, que solo puede gastarse con asignación del Legislativo. Un auditor registrado no puede negociar empleo con la empresa que audita mientras dura el encargo, ni aceptarlo si tiene un interés financiero, laboral o de negocio que comprometa su independencia. Tampoco puede impedir ni castigar la denuncia interna de sus propios empleados. La agencia puede investigar, sacar del registro y derivar el caso al fiscal general.
La ley abre además una excepción para los contadores. Un auditor de IA que también tenga licencia de contador público en California, o una firma con permiso del California Board of Accountancy, queda fuera de parte de las obligaciones de reporte e independencia si cumple ciertos requisitos. Si la agencia detecta una infracción de un contador o una firma en regla, avisa por escrito al Board, y el Board debe investigar la queja y devolverle un informe con sus hallazgos.
El resumen de SB 813 define a las organizaciones designadas como entidades con experiencia demostrada en medir los riesgos de un sistema o modelo de IA y en identificar las métricas y metodologías que sostienen esa medición. Fathom, la organización que patrocinó el proyecto, sostiene que ningún estado había construido hasta ahora la infraestructura para ese ecosistema de evaluadores.
Patricia Rodriguez
Newsom firma en Sacramento y le pide reglas al Congreso
El comunicado del gobernador no se queda en California. Newsom pidió al gobierno federal regulaciones nacionales sólidas y encuadró la firma dentro de una lista de antecedentes propios: la orden ejecutiva de 2023, el paquete de 2024 sobre deepfakes y marcas de agua, SB 53 en 2025, que obliga a los grandes desarrolladores de frontera a publicar su marco de seguridad y a reportar incidentes críticos, las primeras protecciones del país para menores frente a chatbots de compañía, una orden ejecutiva de marzo de 2026 sobre compras públicas, un grupo contra el fraude tecnológico que sesionó por primera vez en junio y un programa de ciberdefensa con IA anunciado en agosto.
McNerney fue más directo y sostuvo que California toma la delantera en la evaluación de riesgos porque Washington no puede o no quiere hacerlo. Bauer-Kahan resumió el argumento del registro en una frase: "No podemos esperar que la industria simplemente califique su propia tarea". Newsom y OpenAI coinciden en pedirle al Congreso una norma federal.
El primer efecto sobre un desarrollador llegará cuando alguna otra ley estatal ordene una auditoría concreta de IA. Hasta entonces California tendrá criterios publicados, auditores registrados y un fondo en la Tesorería para sostenerlos, sin un solo modelo obligado a pasar por ahí.
