Lo que la AB 1405 realmente otorga en licencia
El 9 de septiembre, el gobernador Gavin Newsom firmó la AB 1405, redactada por la asambleísta Rebecca Bauer-Kahan, junto con su ley complementaria, la SB 813, del senador Jerry McNerney. Ambas leyes salieron de la misma sesión de firmas que las nuevas normas de seguridad infantil de California para chatbots compañeros de IA, pero cumplen una función distinta: deciden quién puede llamarse auditor de IA en primer lugar.
La AB 1405 ordena a la Government Operations Agency del estado crear un Registro Público de Auditores de IA antes del 1 de enero de 2029. A partir de esa fecha, queda prohibido ofrecer, vender o realizar una auditoría de IA cubierta sin un número de registro estatal válido. Una auditoría de IA cubierta, según el propio texto de la ley, es una auditoría que revisa los controles internos, procesos o sistemas que un sistema o modelo de IA usa para cumplir con la ley de California. Cada auditor registrado recibe un número único, que debe aparecer en cualquier publicidad de sus servicios de auditoría.
Bauer-Kahan explicó la razón sin rodeos: "No podemos esperar que la industria simplemente se ponga su propia nota; los auditores independientes son esenciales para garantizar que la IA sea segura para nuestras comunidades e infraestructura crítica."
Las reglas de independencia que nadie más ha escrito
El texto de la ley va más allá de repartir números de registro. Un auditor registrado no puede tener una relación financiera, comercial o laboral con la empresa auditada que razonablemente pudiera perjudicar su independencia. No puede revisar su propio trabajo anterior. No puede buscar empleo en la empresa que audita mientras la auditoría sigue abierta, y debe esperar 12 meses tras dejar un empleo antes de poder auditar a ese mismo empleador.
Los auditores también deben proteger a quienes denuncien irregularidades, y la agencia puede retirar un registro y remitir el caso a la Fiscalía General si se incumple alguna de estas reglas. Nada en la regulación de IA en ningún otro lugar se parece a esto. Se lee como las reglas de independencia escritas para los auditores financieros tras Enron, aplicadas por primera vez a quienes comprueban si un sistema de IA hace lo que la ley exige.
No hay auditoría obligatoria. La licencia sí.
Aquí está la parte que casi todos los primeros titulares sobre esta ley entendieron mal: la SB 813 aclara, en su propio texto, que ninguna de las dos leyes obliga a ninguna persona, sociedad o corporación que desarrolle, despliegue u opere un sistema de IA a contratar una organización de verificación independiente ni a someterse a una auditoría de IA cubierta como condición para operar en California. No existe un mandato de auditoría. Puede que nunca lo haya. Lo que existe ahora es solo la credencial que alguien necesitaría si un cliente, un tribunal o una futura ley llegaran a exigir una auditoría.
La SB 813 fija su propio plazo, anterior al de la otra ley: la Government Operations Agency debe publicar los criterios de designación para las Organizaciones de Verificación Independiente, el nivel más especializado de auditor registrado, antes del 1 de enero de 2028, un año entero antes del registro público de la AB 1405. California está construyendo la infraestructura de licencias e independencia antes de escribir ninguna norma que haga que esa licencia importe para todas las empresas, no solo para las que eligen contratar a un auditor. Como ley de la UE, el AI Act también se aplica directamente en España, sin que exista todavía un registro similar al de California.
| Pregunta | California (AB 1405 / SB 813) | AI Act de la UE |
|---|---|---|
| Quién debe ser auditado de forma independiente | Nadie, por ley, a fecha de esta firma | Solo los sistemas de identificación biométrica remota (Anexo III, punto 1) |
| Quién puede llamarse auditor de IA | Solo quien tenga un número de registro estatal, desde el 1 de enero de 2029 | No existe registro ni credencial para ese papel |
| Reglas de independencia para auditores | Período de espera de 12 meses, sin autorrevisión, protección a denunciantes, remisión a la Fiscalía | Reglas de acreditación para organismos notificados, aplicadas solo en el caso obligatorio limitado |
| Primer plazo de cumplimiento | 1 de enero de 2028 (criterios de designación de las OVI) | Reglas de designación de organismos notificados ya en vigor |
Lo que esto significa si vende servicios de cumplimiento a California
Para una consultora europea o británica de cumplimiento, auditoría o riesgos, esto abre un nicho de mercado que todavía no existe en ningún otro lugar. Cualquier firma que quiera ofrecer servicios de auditoría de IA a un cliente que opere en California necesitará al menos una persona registrada en su equipo antes de 2029, del mismo modo que los auditores europeos antes necesitaban una credencial estadounidense aparte para firmar las cuentas de una empresa cotizada en una bolsa de Estados Unidos. Hoy nadie en la UE tiene una credencial californiana equivalente, lo que significa que las firmas que se registren pronto serán las primeras en combinar el conocimiento del AI Act de la UE con un número de registro de California en la misma práctica.
También anticipa hacia dónde podrían evolucionar las propias reglas de la UE. La evaluación obligatoria de terceros del AI Act hoy solo alcanza a los sistemas de identificación biométrica remota; casi cualquier otro sistema de IA de alto riesgo en la UE todavía puede autocertificarse mediante control interno, sin que ningún auditor externo tenga que revisarlo nunca. California acaba de construir la infraestructura de licencias e independencia que necesitaría un mandato de auditoría más amplio, sin haber escrito aún ese mandato. Si Bruselas decide alguna vez ampliar su propio requisito de terceros, la profesión que tendría que regular ya cuenta con un modelo que funciona, escrito en Sacramento, no en Bruselas.
Servola Journal
Hacemos esto por todos los que intentan mantenerse al día con lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.
Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién pueda permitirse pagar por ello.
Si esto te dio algo hoy, dinos que sigamos adelante. Síguenos, deja un me gusta, o escribe un comentario positivo. Leemos cada uno, y son lo que nos mantiene en marcha.
Leer a continuación: La UE acaba de mover su plazo del Reglamento de IA 16 meses | Bruselas acaba de probar su nuevo poder en 30 empresas de IA
