Una ley retrasada entra por fin en vigor

La Ley de Transparencia de IA de California, Senate Bill 942 y conocida ampliamente por su sigla CAITA, entró en vigor el 2 de agosto de 2026, con lo que se convierte en la primera ley obligatoria de marcado de agua y divulgación de procedencia para contenido generado por IA en Estados Unidos. La ley se firmó años antes con una fecha de entrada en vigor del 1 de enero de 2026, pero una ley posterior, la AB 853, aprobada en 2025, retrasó esa fecha hasta el 2 de agosto de 2026 para dar a los proveedores más tiempo de construir la infraestructura de detección que exige la ley.

CAITA obliga a todo proveedor de IA generativa con más de un millón de usuarios o visitantes mensuales que sean accesibles públicamente en California, un umbral que en la práctica llega mucho más allá del propio mercado californiano. OpenAI, Google, Meta, Microsoft y Adobe lo superan sin dificultad, y también lo hace en efecto casi cualquier producto de IA de consumo construido para una audiencia global, porque un producto usado por millones en todo el mundo rara vez se queda por debajo de un millón de usuarios en el estado más grande de Estados Unidos.

Tres obligaciones, una de ellas invisible

La norma impone tres obligaciones separadas. Un proveedor obligado debe ofrecer, sin coste, una herramienta pública de detección de IA que acepte un archivo cargado, una URL o una llamada a la API y devuelva si el contenido fue generado por IA; la herramienta no puede recopilar información personal salvo comentarios voluntarios y con consentimiento explícito. También debe ofrecer a los usuarios una marca visible y opcional de divulgación que identifique de forma clara e inequívoca el contenido como generado por IA y que sea permanente, o extremadamente difícil de eliminar, siempre que sea técnicamente viable.

La tercera obligación es imperativa, no opcional, y es la que los usuarios nunca ven. Las imágenes, el vídeo y el audio generados por IA sujetos a la norma deben portar metadatos invisibles y legibles por máquina que identifiquen el sistema generador, su versión y la fecha en que el contenido fue creado o alterado, incrustados en una forma lo bastante duradera para sobrevivir al manejo habitual y conforme a estándares del sector ampliamente aceptados. Los videojuegos, la televisión, el streaming y las películas quedan expresamente excluidos del alcance de CAITA, y el análisis de un despacho de abogados sobre la norma señala que el contenido de IA puramente textual también queda fuera de ella.

Una cifra pequeña que se acumula rápido

CAITA no otorga ningún derecho de acción privada. Solo el fiscal general de California y otros agentes estatales pueden presentar un caso, y la sanción por una infracción probada es de 5000 dólares, contando cada día que un proveedor permanece incumpliendo como una infracción independiente. Una brecha que persiste durante un mes frente a un solo requisito no es una sola exposición de 5000 dólares; son unas treinta de ellas, acumulándose mientras la brecha permanezca abierta.

Esa estructura recompensa a los proveedores que corrigen una brecha de cumplimiento con rapidez y castiga a los que no la advierten. También se sitúa en el extremo opuesto del espectro de aplicación respecto de la Ley de IA de la Unión Europea, cuyo propio régimen de transparencia impone multas de hasta 15 millones de euros o el 3 por ciento de la facturación anual mundial, lo que resulte mayor. California reparte un goteo lento; Bruselas empuña un garrote mucho más grande. Ignorar cualquiera de las dos sale caro, solo que en un reloj distinto.

La misma fecha, dos marcos independientes

La fecha de entrada en vigor de CAITA, el 2 de agosto de 2026, cae el mismo día en que la Ley de IA de la Unión Europea pone en marcha su propio régimen de transparencia. El artículo 50 de la Ley de IA exige a los proveedores de sistemas de IA, incluidos los sistemas de propósito general, que generan audio, imagen, vídeo o texto sintéticos que garanticen que la salida esté marcada en un formato legible por máquina y sea detectable como generada por IA, y esas obligaciones también resultaron aplicables el 2 de agosto de 2026. Que ambas fechas coincidan es casualidad, no coordinación; el legislador de California y el Parlamento Europeo redactaron estas normas en calendarios separados sin referirse entre sí.

Las especificaciones técnicas no coinciden solo porque lo haga el calendario. CAITA indica a un proveedor exactamente qué deben contener sus metadatos invisibles: el nombre del sistema generador, su versión y una fecha de creación o alteración, incrustados de forma duradera. El artículo 50 exige una marca legible por máquina y detectable sin nombrar esos mismos campos en el propio texto legal, y el código de buenas prácticas de la Comisión Europea se inclina hacia un enfoque de procedencia al estilo C2PA para la forma técnica. Un único esquema de incrustación construido para superar una barrera no supera automáticamente la otra, y ninguna de las dos leyes promete que lo haga.

Lo que un responsable debería comprobar de verdad

La pregunta útil no es si CAITA existe, sino si los metadatos de procedencia que su producto ya incrusta la satisfacen. Tome una muestra de su propia salida generada por IA y confirme que los metadatos invisibles identifican el sistema generador y su versión y portan una fecha de creación en una forma que sobrevive a una exportación normal, una recompresión o una nueva carga en otra plataforma. Después haga pasar esa misma muestra por su propia herramienta pública de detección y confirme que la identifica correctamente, porque una herramienta de detección que no reconoce la salida de su propio proveedor es en sí misma una infracción esperando a ser descubierta.

A continuación, haga la misma comprobación frente al lado europeo en lugar de asumir que la primera ya lo cubre. Confirme que la marca es legible por máquina y detectable según los propios términos del artículo 50, y tenga en cuenta que el acuerdo sobre el AI Omnibus alcanzado en mayo de 2026 concede a los sistemas generativos ya presentes en el mercado antes del 2 de agosto de 2026 hasta el 2 de diciembre de 2026 para cumplir específicamente esa obligación de marcado legible por máquina del régimen europeo. Ese desfase en el calendario es una ventana para probar el solapamiento de forma adecuada, no un motivo para asumir que no existe.

Leer a continuación: El 2 de agosto las multas de IA de la UE se vuelven reales  |  Su política de moderación puede quedarse en casa