Illinois convierte en ley la primera norma de seguridad para IA con auditorías independientes obligatorias

Illinois se convirtió el lunes en el tercer estado de Estados Unidos en aprobar una ley de seguridad para la inteligencia artificial. El gobernador JB Pritzker firmó el SB 315, conocido como la "Artificial Intelligence Safety Measures Act", que había sido aprobado por la asamblea estatal en mayo y entra en vigor inmediatamente.

Qué exige la nueva ley

El corazón de la normativa es la exigencia de auditorías independientes a empresas de IA que operen en el estado. Concretamente, las empresas cubiertas deberán:

Someterse a evaluaciones de seguridad realizadas por terceros independientes, no por la propia empresa ni consultoras contratadas por ella.

Publicar los resultados de esas auditorías, lo que introduce un mecanismo de transparencia sin precedentes en el sector.

Demostrar que sus sistemas de IA cumplen unos estándares mínimos antes de desplegarlos en contextos de alto riesgo.

El movimiento regulatorio no es casual. California ya tiene su SB 53 en vigor y Nueva York tiene su propia ley de transparencia operativa para modelos de IA. Illinois se suma a un frente legislativo que, estado a estado, está configurando un mosaico regulatorio de facto a nivel federal.

Por qué importa para la ciberseguridad

Las auditorías independientes no son un mero ejercicio burocrático. En la práctica, una auditoría de seguridad en un sistema de IA incluye:

Evaluación de superficie de ataque: endpoints donde el modelo interactúa con usuarios o sistemas externos.

Análisis de vectores de inyección de prompts y jailbreaks conocidos.

Revisión de cómo el modelo maneja información sensible o personal.

Auditorías de la cadena de suministro de modelos: datos de entrenamiento, pipelines de fine-tuning, dependencias de terceros.

Esto es exactamente el tipo de evaluaciones que empresas como Anthropic (con Project Glasswing) o las startups especializadas en AI-SPM llevan haciendo meses, pero ahora de forma obligatoria y pública.

El contexto político: un debate sin resolver

La ley llega en un momento politicamente sensible. La administración actual ha mostrado escepticismo hacia las regulaciones de IA, y ejecutivos de empresas como OpenAI y xAI han defendido públicamente que la regulación excesiva frena la innovación. Simultáneamente, el gobierno federal ha bloqueado modelos de Anthropic en ciertas infraestructuras y ha abierto investigaciones antimonopolio contra Microsoft y Alphabet.

Lo que hace interesante el enfoque de Illinois es que no exige pausar ni limitar el desarrollo, sino auditarlo. Es una postura pragmática: no impide que una empresa entrene un modelo de 500.000 millones de parámetros, pero sí obliga a que ese modelo pueda demostrar que se han evaluado sus riesgos antes de desplegarlo comercialmente.

Qué empresas se verán más afectadas

Aún está por definir exactamente qué umbrales activan las obligaciones de la ley (número de usuarios, tipo de modelo, sector). Pero en la práctica, las empresas más expuestas serán:

Proveedores de modelos foundation que vendan o desplieguen en Illinois.

Empresas que usen IA en procesos de decisión automatizada: contratación, crédito, diagnóstico médico, seguridad.

Infraestructura: centros de datos y proveedores de computación que ofrezcan servicios de inferencia bajo contrato en el estado.

El siguiente paso es la definición de los estándares concretos de auditoría. Hasta entonces, la ley marca la dirección: la IA en Illinois ya no puede desplegarse sin demostrar que alguien ha mirado lo que puede salir mal.