Dos Legisladores, una Ley, un Objetivo Concreto

El representante Josh Gottheimer, demócrata de Nueva Jersey, y el representante Mike Lawler, republicano de Nueva York, presentaron la Stop Rogue AI Act en la Cámara de Representantes de EEUU el 3 de septiembre de 2026. La alianza bipartidista apunta a una solución técnica concreta, no a una pelea más amplia sobre la regulación de la IA. La oficina de Gottheimer planteó la preocupación sin rodeos: "Los agentes de IA andan sueltos en nuestras redes, y nadie puede verlos ni verificar quién los construyó."

La ley llega tres días después de que un incidente de seguridad de agentes reportado a principios de este mes pusiera esa falta de visibilidad a la vista de todos. Sus impulsores no esperaron un relato completo de ese episodio antes de redactar una respuesta; fueron directo al mecanismo que, según ellos, faltaba, una forma de saber qué agentes están operando y qué hacen.

Lo Qué la NIST Tendría que Construir en Realidad

La Stop Rogue AI Act ordena al National Institute of Standards and Technology redactar estándares para el despliegue seguro de IA agéntica, con un plazo de un año tras la promulgación. Tres requisitos sostienen el mandato: verificación continua de lo que un agente realmente hace, registros a prueba de manipulación de las acciones de los agentes, y un inventario legible por máquina de todos los agentes de IA que operan dentro de una organización.

Se instruye a la NIST a coordinar ese trabajo con la Cybersecurity and Infrastructure Security Agency, vinculando los nuevos estándares al aparato de ciberdefensa ya existente del gobierno en lugar de crear una oficina de IA independiente. El requisito de inventario pesa más que los otros dos, porque trata a un agente de IA como un objeto distinto y rastreable, en lugar de incluirlo dentro del modelo o producto de software que lo originó.

Obligatorio para Algunos, Opcional para el Resto

Los estándares que redacte la NIST serán obligatorios solo para los contratistas federales; cualquier otra organización que despliegue agentes de IA podrá adoptarlos de forma voluntaria. Esa división mantiene el alcance inmediato de la ley limitado a las empresas que hacen negocios con el gobierno, apostando a que un estándar redactado por la NIST se extienda después por el mercado más amplio, tal como ocurrió con marcos de ciberseguridad anteriores de la NIST.

La ley ya cuenta con respaldo de la industria: Palo Alto Networks, GoDaddy, Infoblox, el AI Policy Network y la Alliance for Secure AI la han apoyado, según la oficina de Gottheimer. Esa lista se inclina hacia proveedores de seguridad e infraestructura más que hacia los grandes laboratorios de IA que construyen los propios agentes, un detalle que sugiere quién ve una ventaja defensiva o competitiva en un requisito formal de inventario.

Agentes, no Modelos: un Objeto Regulatorio Distinto

Todo gran marco de gobernanza de IA escrito hasta ahora, incluida la Ley de IA de la UE, regula el modelo: sus capacidades, sus datos de entrenamiento, su clasificación de riesgo. La Stop Rogue AI Act regula otra cosa, el agente, una instancia de software que actúa de forma autónoma en una red, a veces construida sobre un modelo sin que el propio desarrollador de ese modelo sepa que existe. Es un objeto regulatorio significativamente distinto, y es la primera ley de EEUU que propone un requisito de inventario y procedencia escrito específicamente para el.

Un inventario legible por máquina y un registro de acciones a prueba de manipulación no preguntan qué puede hacer un sistema de IA en abstracto; preguntan qué agentes concretos existen ahora mismo, quién los desplegó y qué han hecho realmente. Eso es regulación centrada en la procedencia en lugar de centrada en la capacidad, y nada en el texto actual de la Ley de IA de la UE exige un inventario equivalente específico para agentes.

Lo Qué Esto Anticipa para los Reguladores Europeos

La UE todavía está trabajando en sus propios plazos de la Ley de IA, con las obligaciones para los modelos de IA de propósito general y otras fechas de cumplimiento que siguen entrando en vigor de forma escalonada durante 2026. Ninguna de esas disposiciones exige hoy el tipo de inventario permanente y legible por máquina de agentes que crearía la Stop Rogue AI Act, porque la Ley de IA se construyó en torno a modelos y niveles de riesgo, no en torno a los agentes autónomos como categoría propia.

Ese vacío deja a los reguladores europeos con dos formas de leer esta ley. Una lectura la trata como una plantilla, un patrón viable y respaldado por la industria para la supervisión de agentes que la UE podría incorporar a una futura enmienda de la Ley de IA o a un instrumento propio específico para agentes, con un año de ventaja en experiencia de implementación una vez que la NIST termine sus estándares. La otra lectura la trata como una advertencia, un régimen voluntario fuera del ámbito federal que aún así podría endurecerse hasta convertirse en un requisito de facto del mercado si suficientes proveedores lo adoptan para vender a la administración federal de EEUU, creando un segundo estándar de inventario que los operadores europeos tendrían que seguir junto a sus propias obligaciones de la Ley de IA. Qué lectura se impone dependerá de cómo sean los estándares de la NIST dentro de un año, no de lo que el texto de la ley resuelva hoy.

Leer a continuación: Ninguna norma de IA vincula aún a su proveedor  |  Proyecto en EEUU amenaza con 20 años de cárcel por IA