Colorado SB24-205: la ley “anti-discriminación algorítmica” que llega en 2026 (y afecta a IA en decisiones reales)

Guías & Tutoriales

El Capitolio de Colorado: aquí se firmó una de las leyes estatales más ambiciosas de EE. UU. sobre IA y decisiones de alto impacto.

Imagina que una IA decide (o inclina de forma fuerte) si te contratan, si te conceden un crédito, cuánto pagas de seguro o si accedes a un servicio esencial. Ahora imagina que esa decisión sale mal… y además perjudica de forma ilegal a un grupo protegido.

Colorado quiere que, cuando la IA se meta en esas decisiones, haya algo más que “confía en mí”: documentación, evaluaciones, avisos al consumidor y un plan real de mitigación. Eso es (en esencia) SB24-205.

1) Primero: SB24-205 en una frase (sin humo)

SB24-205 (conocida como la “Colorado AI Act” en muchos resúmenes) crea obligaciones para desarrolladores y deployers (empresas que la usan) de sistemas de IA de alto riesgo, con el objetivo de proteger a “consumidores” (residentes de Colorado) de discriminación algorítmica.

Ojo con un detalle que cambia el juego: la ley no solo mira a la IA que “decide sola”, también mira a la IA que influye lo suficiente como para cambiar resultados. Es decir: el típico “la IA recomienda y un humano firma” no te salva si esa recomendación pesa de verdad.

La ley no discute si tu IA es “muy lista”, sino si impacta decisiones con consecuencias reales.

2) ¿Qué considera “decisión consecuencial” (con ejemplos claros)?

La norma define “decisión consecuencial” como una decisión con efecto legal o similarmente significativo sobre el acceso, denegación, coste o condiciones de cosas como: empleo, vivienda, crédito/servicios financieros, educación, salud, seguros, servicios esenciales del gobierno y servicios legales.

Traducción a la vida real: si tienes un modelo que rankea candidatos, un sistema que puntúa riesgo crediticio, una IA que predice “fraude” para cortar un servicio o un motor que ajusta precios de pólizas, estás en el radar.

3) ¿Qué es “discriminación algorítmica” aquí? (y por qué importa)

La ley usa una definición muy práctica: hay discriminación algorítmica cuando el uso de un sistema de IA produce trato diferencial o impacto diferencial ilegal que perjudica a una persona o grupo por atributos protegidos (edad, raza, sexo, discapacidad, origen nacional, religión, estatus de veterano, y otros).

Lo que esto sugiere (sin complicarnos): no te piden “cero sesgo” en el sentido filosófico. Te piden no generar resultados que violen leyes antidiscriminatorias y, sobre todo, que tengas mecanismos razonables para identificar y mitigar riesgos previsibles.

Si te interesa el lado “operativo” de estos problemas (datos raros, alucinaciones, privacidad y por qué todo acaba afectando a decisiones), te puede venir bien esta guía: errores típicos al usar IA (alucinaciones y privacidad).

4) Alto riesgo no significa “todo”: exclusiones que te pueden salvar (o meterte en líos)

Aquí mucha gente se asusta de más. La ley excluye, por ejemplo, sistemas destinados a tareas procedimentales estrechas o herramientas que solo detectan patrones o desviaciones sin reemplazar una evaluación humana con revisión suficiente. También menciona tecnologías típicas (antivirus, firewalls, bases de datos, etc.) que no deberían entrar… salvo que, al desplegarse, acaben siendo factor sustancial de una decisión consecuencial.

Hay una exclusión especialmente interesante para asistentes conversacionales: tecnología que se comunica en lenguaje natural para informar, recomendar o responder preguntas y que está sujeta a una política de uso aceptable que prohíbe contenido discriminatorio o dañino. ¿Significa que “mi chatbot está fuera”? Depende: si tu chatbot se usa para tomar decisiones (por ejemplo, pre-filtrado automático que determina quién sigue en un proceso), volvemos al “factor sustancial”.

5) Dos roles, dos mundos: Developer vs Deployer (y por qué te interesa definirlo ya)

La ley separa responsabilidades entre: Developer (quien desarrolla o modifica de forma intencional y sustancial un sistema de IA) y Deployer (quien lo usa en producción para tomar o influir decisiones).

Este punto es clave porque, en la práctica, muchas empresas son “deployer” aunque no se consideren “de IA”: si compras una herramienta de scoring o un ATS con IA, tú la estás desplegando. Y si encima ajustas el modelo con tus datos, podrías acercarte a “modificación sustancial”.

6) Obligaciones del Deployer (la parte que más afecta a negocio)

Si despliegas un sistema “alto riesgo”, lo gordo se resume en cuatro bloques: gestión de riesgos, evaluación de impacto, transparencia al consumidor y vigilancia continua.

A) Programa de gestión de riesgos (no vale un PDF olvidado)

Te pide implementar una política y programa que especifique principios, procesos y personal para identificar, documentar y mitigar riesgos previsibles de discriminación. Importante: habla de un proceso iterativo durante el ciclo de vida del sistema.

B) Evaluación de impacto (impact assessment)

El deployer debe completar una evaluación que cubra casos de uso, contexto, beneficios, datos de entrada/salida, métricas, limitaciones, medidas de transparencia y salvaguardas post-despliegue. Además, hay obligación de mantener registros durante un tiempo (piensa en auditoría, no en “presentación bonita”).

C) Avisos al consumidor y derecho a apelar

Si la IA toma o es factor sustancial en una decisión sobre una persona, debes notificarlo antes de decidir y, si la decisión es adversa, ofrecer: explicación principal (incluyendo el grado de contribución de la IA), opción de corregir datos personales incorrectos, y oportunidad de apelar con revisión humana si es técnicamente factible.

D) Revisión anual y statement público

Hay un componente de “higiene continua”: revisar al menos anualmente que el sistema no está causando discriminación algorítmica. Y además, publicar un resumen sobre qué sistemas de alto riesgo despliegas y cómo gestionas riesgos (sin necesidad de revelar secretos comerciales).

Para que esto no se convierta en caos, es oro puro tener un sistema de métricas y seguimiento. Si estás montando un proyecto de IA y quieres medir bien (sin autoengañarte), aquí tienes una guía práctica: KPIs para medir resultados de un proyecto de IA.

7) Obligaciones del Developer (lo que vas a tener que entregar “sí o sí”)

Si tú desarrollas o modificas sustancialmente un sistema de alto riesgo y lo haces disponible a otros, la ley apunta a algo muy concreto: documenta, advierte y comparte lo necesario para que el deployer pueda evaluar impacto y mitigar riesgos.

En la práctica, esto se parece mucho a “productos maduros”: descripción de usos previsibles, usos dañinos, datos de entrenamiento (a alto nivel), limitaciones conocidas, medidas de mitigación, y guías claras de cómo debe usarse (y cómo no) cuando influye decisiones consecuenciales.

Si quieres aterrizar esto a nivel empresa (quién documenta qué, qué guardas, cómo lo presentas sin volverte loco), te recomiendo montar un sistema simple y repetible: cómo documentar el uso de IA en tu empresa.

8) La obligación “sorpresa”: avisar cuando un consumidor interactúa con IA

Además del mundo “alto riesgo”, hay un requisito más general: si despliegas o haces disponible un sistema de IA destinado a interactuar con consumidores, debes asegurar que el consumidor sabe que está interactuando con IA (salvo cuando sea obvio).

Esto afecta a chatbots de soporte, asistentes de onboarding, voicebots… y aquí la recomendación es sencilla: pon el aviso al principio, y no lo escondas. Un “Soy un asistente virtual” funciona, siempre que sea visible.

9) ¿Qué pasa si no cumples? (spoiler: no es una multa automática, pero duele)

La ejecución es por la vía del fiscal general (Attorney General). No es un “formulario” más: es regulación con dientes.

La ley se aplica como una práctica comercial desleal en el marco de protección al consumidor, y la autoridad de enforcement es del Attorney General (no se plantea como “demanda privada automática” por parte de consumidores).

Hay un elemento interesante: una defensa afirmativa si detectas y corriges violaciones a partir de feedback, red teaming o revisión interna, y si estás alineado con marcos de gestión de riesgos reconocidos (por ejemplo, NIST y también ISO/IEC 42001 se mencionan como referencias).

10) Cómo prepararte sin volverte loco (plan realista hasta junio 2026)

Aquí va un plan “de supervivencia” que funciona tanto si eres startup como si eres empresa mediana/grande. La idea es simple: inventario → clasificación → controles → evidencia.

Y si operas también en Europa (o trabajas con clientes europeos), compara esto con el enfoque por niveles del reglamento europeo. Te ayudará a unificar procesos: EU AI Act para pymes y autónomos.

11) Checklist final (si solo haces esto, ya vas por delante)

Fuentes (para leerlo en original)

• Colorado General Assembly – SB24-205 (resumen y texto)
• Colorado General Assembly – SB25B-004 (retraso a junio 2026)
• Clark Hill – análisis del retraso y qué implica

Si quieres, en otro artículo puedo bajarlo aún más a tierra por sector (HR, crédito, seguros, salud) con ejemplos de plantillas de aviso y evaluación de impacto “listas para copiar”.