Entra en vigor la ley de IA de Texas (TRAIGA): multas, sandbox y prohibiciones que muchas empresas no esperan

OPINIÓN & FUTURO · REGULACIÓN · TEXAS

Lo importante no es memorizar siglas. Lo importante es entender el patrón: Texas quiere “innovación con barandillas”. Y esas barandillas van a pillar a más de una empresa a contrapié, sobre todo a quien vende chatbots, automatizaciones con IA o herramientas que “orientan” decisiones de usuarios.

1. Qué es TRAIGA (y por qué te afecta aunque estés en España)

TRAIGA es el nombre con el que se está conociendo a la nueva ley de “protección y gobernanza” de sistemas de inteligencia artificial en Texas. Está pensada para cubrir tanto quien desarrolla como quien despliega un sistema de IA.

La parte que más debería importarte si estás fuera de EE. UU. es esta: la ley se aplica si promocionas o haces negocio en Texas, si tu producto o servicio lo usan residentes de Texas o si desarrollas o despliegas IA en Texas. Traducido: si vendes SaaS, automatizaciones o consultoría a una empresa con clientes allí, ya estás en el radar aunque tu equipo esté en Madrid, Barcelona o Valencia.

Y hay un detalle adicional que muchas empresas pasan por alto: la norma dice que se debe interpretar de forma amplia para cumplir sus objetivos. En un mundo de “esto lo usa cualquiera desde cualquier sitio”, esa frase no es decoración.

2. El shock: no es “la EU AI Act”, es una lista de líneas rojas

Si vienes con la cabeza en el marco europeo, esto te va a sonar raro. La EU AI Act te empuja a clasificar riesgos, documentar y demostrar controles. TRAIGA, en cambio, se centra en dos palancas muy directas:

• Prohibiciones concretas (cosas que no puedes desarrollar o desplegar con ciertos objetivos).
• Un mecanismo de quejas e investigación con obligación práctica: poder explicar tu sistema cuando te pregunten.

Esto cambia el juego para muchos productos: si tu negocio es “ayudar a convertir”, “hacer que la gente haga X” o “guiar decisiones”, lo que antes era marketing ahora puede convertirse en un problema si el sistema empuja hacia daño, fraude o discriminación.

3. Qué prohíbe TRAIGA (las 5 zonas rojas que más vas a ver)

Aquí no hay que filosofar demasiado: el texto marca prohibiciones y, si estás cerca de alguna, necesitas barandillas fuertes. Te resumo lo más relevante para empresas privadas.

3.1 Manipulación para empujar a daño, violencia o delito

Se prohíbe desarrollar o desplegar IA que intencionalmente busque incitar o animar a alguien a hacerse daño, hacer daño a otros o cometer un delito. Ojo con el matiz: no es “tu IA se equivoca”, es “tu IA está diseñada/ajustada para empujar”. Si vendes automatizaciones de ventas agresivas, bots persuasivos o sistemas de “engagement” que juegan con vulnerabilidades, aquí hay un riesgo real.

3.2 Discriminación ilegal (con intención)

Se prohíbe desarrollar o desplegar IA con intención de discriminar ilegalmente contra una “clase protegida” (raza, color, origen nacional, sexo, edad, religión, discapacidad). La ley dice explícitamente que un disparate impact por sí solo no prueba intención, pero no te confíes: si tu sistema se usa en admisión, scoring, selección o precios y tus decisiones de diseño huelen a “esto filtra a X”, el riesgo sube.

3.3 Contenido sexual y menores (incluye deepfakes)

Aquí la línea es dura: prohibiciones vinculadas a material sexual con menores y a deepfakes ilegales. Si trabajas con generación de imagen/vídeo o con chatbots “roleplay”, necesitas un enfoque serio de prevención, detección y respuesta. Si este tema te preocupa por el lado operativo, te puede venir bien repasar cómo se están usando los deepfakes para estafas y manipulación en anuncios y fraudes con deepfakes.

3.4 “Social scoring” y biometría: más del lado público, pero con efecto arrastre

Hay prohibiciones específicas para entidades gubernamentales: no pueden usar IA para “social scoring” ni para identificar de forma única a personas con biometría a partir de imágenes/medios de internet sin consentimiento si eso infringe derechos. Aunque seas empresa privada, esto importa si vendes tecnología a administraciones, educación pública, servicios municipales o proyectos de “seguridad” con reconocimiento.

3.5 Derechos constitucionales: la norma se guarda una puerta grande

Se prohíbe desarrollar o desplegar IA con el único objetivo de infringir, restringir o deteriorar derechos constitucionales. Esto es amplio a propósito. No significa que tu chatbot “sea polémico”; significa que si construyes un sistema cuyo objetivo real es recortar derechos, la ley te lo marca como territorio prohibido.

4. Multas, quejas y la parte práctica: “explícame tu IA”

TRAIGA centraliza la aplicación en el Fiscal General (Attorney General) y establece un mecanismo online para que un consumidor presente una queja. A partir de ahí, el Fiscal General puede abrir investigación y pedir documentación.

Lo interesante es el tipo de información que te pueden solicitar. No es “enséñame tu código fuente”. Es más bien:

• Finalidad, uso previsto, contexto de despliegue y beneficios.
• Qué datos se usaron para programar/entrenar y qué categorías de datos procesa como entrada.
• Qué salidas genera, cómo mides rendimiento, limitaciones conocidas.
• Cómo monitorizas tras el despliegue y qué salvaguardas tienes para usuarios.

Después viene un punto clave: ventana de cura. Si te notifican una violación, hay un periodo de 60 días en el que, si corriges y demuestras cambios (incluyendo políticas internas para prevenir repetición), el Fiscal General no puede demandarte por esa violación.

¿Y si no curas o la cosa se considera “incurable”? Aquí entran las cifras que duelen:

• 10.000–12.000 $ por violación “curable” (o por incumplir lo prometido al curar).
• 80.000–200.000 $ por violación “incurable”.
• 2.000–40.000 $ al día por violación continuada.

Hay más matices que importan en la vida real:

• No hay “private right of action”: no es una ley que abra la puerta a demandas privadas automáticas solo por existir una infracción. El peso está en la autoridad.
• Defensas útiles: si un tercero usa tu sistema de forma prohibida, o si descubres el problema mediante feedback, testing o red-teaming y actúas, el marco es más favorable.
• Se menciona explícitamente NIST: cumplir sustancialmente con marcos de gestión de riesgo (como el perfil de IA generativa) puede ayudarte a demostrar diligencia.

Si todo esto te suena a “documentación y gobernanza”, es que lo es. Y por eso enlaza directamente con la disciplina de documentar el uso de IA en la empresa: cuando te pidan explicar tu sistema, no quieres improvisar con un PDF a medianoche.

5. El “sandbox” de Texas: cómo funciona y cuándo te interesa de verdad

El sandbox es la parte más “pro-innovación” de TRAIGA. La idea: permitir que empresas prueben sistemas de IA innovadores con acceso limitado al mercado y con ciertas exenciones regulatorias, bajo supervisión, para aprender antes de escalar.

Lo esencial del funcionamiento:

• Te aprueban como participante tras una solicitud que explica el sistema, su uso previsto, beneficios y riesgos (incluyendo privacidad y seguridad), y tu plan de mitigación.
• La duración puede ser de hasta 36 meses (con posibles extensiones por causa justificada).
• Tienes obligaciones de reportes periódicos (por ejemplo, informes trimestrales) y de notificar cambios materiales del sistema.
• Se protege la confidencialidad de información sensible (propiedad intelectual, secretos comerciales), pero no confundas eso con “carta blanca”.

El matiz que mucha gente no ve: el sandbox no sirve para “probar cosas prohibidas”. Hay un bloque de obligaciones y prohibiciones (las líneas rojas de antes) que no se pueden eximir. Si las cruzas, el sandbox no te salva.

Entonces, ¿cuándo tiene sentido? En proyectos donde el bloqueo no es “la ética”, sino la fricción regulatoria típica: licencias, registros, requisitos sectoriales, y donde quieres validar con usuarios reales a pequeña escala sin comerte un muro desde el día uno. Piensa en: asistentes para trámites, herramientas para salud con supervisión humana, sistemas de detección de fraude, o automatizaciones complejas que tocan sectores regulados.

6. Lo que muchas empresas no esperan (y cómo prepararte sin volverte loco)

Lo inesperado no es la existencia de multas. Lo inesperado es que la conversación cambia de “¿cumplo un estándar?” a “¿puedo justificar mis decisiones de diseño si alguien se queja?”. Aquí tienes una guía práctica, pensada para equipos pequeños y medianos.

6.1 Define tu “mapa Texas” (aunque solo tengas dos clientes allí)

Haz un inventario rápido: qué productos llegan a residentes de Texas, qué integraciones vendes (WhatsApp, CRM, llamadas, email), y qué parte es “IA” (modelo externo, reglas, prompts, agentes). La ley distingue entre desarrollador y despliegue, pero en la práctica, si tú vendes la solución empaquetada, te van a mirar a ti.

6.2 Pon por escrito usos prohibidos (y haz que el producto lo respete)

No basta con “lo pone en los términos”. Si tu sistema permite, por diseño, comportamientos que empujan a daño, fraude o discriminación, el papel no te salva. Traduce las prohibiciones a controles reales: límites de contenido, moderación, rate limits, revisión humana en casos sensibles y un sistema claro de escalado.

6.3 Haz red-teaming de lo que de verdad te podría denunciar un usuario

No “testees al azar”. Testea escenarios con intención: manipulación, presión psicológica, contenido sexual con menores, discriminación. La propia ley menciona el valor del testing (incluido el adversarial). Si no sabes por dónde empezar, empieza por lo básico: qué prompts, qué respuestas, qué logs guardas y cómo paras el sistema si algo se sale.

6.4 Prepara el paquete “explícame tu IA”

Tu mejor defensa es poder responder rápido y con calma: propósito, datos (por categorías), outputs, métricas, limitaciones, monitorización y salvaguardas. Si ya estás construyendo con agentes o automatizaciones complejas, este punto se vuelve todavía más importante (la complejidad técnica no suele impresionar a un regulador; la claridad, sí).

6.5 Si estás en salud o cerca de salud, revisa el tema “disclosure”

La norma incluye obligación de aviso cuando se usa un sistema de IA en relación con servicios o tratamientos de salud. Si tu producto toca telemedicina, triaje, recordatorios clínicos o atención al paciente, este es el típico detalle que se olvida y luego cuesta caro arreglar deprisa.

7. Mi lectura: TRAIGA es el inicio del “patchwork” serio en EE. UU.

Si vendes IA o automatizaciones, no puedes pensar solo en “cumplo Europa” o “cumplo EE. UU.” como bloque. Vas a un mosaico: estados con marcos propios, sectores con reglas específicas y una presión creciente por demostrar diligencia.

La parte positiva: TRAIGA, bien entendida, no es un monstruo burocrático. La parte incómoda: te obliga a madurar como fabricante de sistemas. A dejar de pensar “es solo un modelo” y empezar a pensar “es un producto con impactos”. Y si alguna vez te has pegado con alucinaciones, privacidad o mal uso de prompts, sabes por qué esta conversación no es teórica. En ese sentido, se conecta bien con los errores típicos al usar IA: la mayoría de problemas empiezan como “pequeñas concesiones” y acaban como incidentes.

Mi recomendación práctica: si tienes clientes (o ambición) en Texas, trata TRAIGA como un checklist de producto, no como un documento legal. ¿Tus flujos pueden empujar a daño? ¿Tu sistema puede discriminar? ¿Puedes explicar cómo funciona sin humo? Si respondes bien a eso, lo demás suele encajar.

Fuentes y lectura recomendada

Para profundizar (texto legal y análisis):

• HB 149 (Texas) – Texto de la ley (versión enrolled)
• Análisis legal en medios especializados (Latham & Watkins)
• Cobertura generalista y contexto (Chron)