California AI Transparency Act: entran en vigor las obligaciones de marca de agua y detección

Desde el 2 de agosto de 2026 la California AI Transparency Act (CAITA) está operativa. La SB 942, modificada por la AB 853 y firmada el pasado octubre, define como «covered provider» a cualquier entidad que ofrezca un sistema de inteligencia artificial generativa accesible en el estado con más de un millón de visitantes o usuarios mensuales. A estos sujetos el legislador les impone un paquete preciso de medidas técnicas: poner gratuitamente a disposición una herramienta pública de detección — cualquiera puede subir un archivo o pegar una URL y saber si ese contenido salió de ese sistema, también vía API, sin que el proveedor pueda conservar los datos personales de quien la consulta —, la opción de que el usuario añada una etiqueta visible (manifest disclosure) y, sobre todo, la inserción de una «latent disclosure» permanente en los contenidos generados. Esta marca de agua digital debe incluir el nombre del proveedor, la versión del sistema, la fecha y hora de creación y un identificador único, de modo que el archivo sea técnicamente rastreable, y debe ser detectable por la propia herramienta de verificación del proveedor.

El mecanismo sancionador que dibuja el texto es rígido. Cada día de incumplimiento constituye una infracción separada, castigada con una sanción civil de 5.000 dólares. La acción legal corresponde al Attorney General de California, a los city attorneys o a los county counsel, y la parte vencedora puede obtener el reembolso de las costas. La responsabilidad se extiende por contrato a lo largo de la cadena de distribución: si un licenciatario tercero modifica el sistema para eliminar las disclosures, el proveedor debe revocar la licencia en un plazo de 96 horas. Es un enfoque que intenta blindar el origen del contenido aguas arriba y confía a los creadores el control sobre el uso posterior de sus tecnologías.

La arquitectura normativa prevé un calendario de ampliación progresiva. Si el 2 de agosto marca el arranque para los proveedores, desde el 1 de enero de 2027 las obligaciones de detección y conservación de los datos de procedencia alcanzarán a las «large online platforms» con más de dos millones de usuarios únicos mensuales y a las plataformas de alojamiento, que no podrán distribuir a sabiendas sistemas sin las etiquetas exigidas. Un año después, en 2028, la carga recaerá sobre los fabricantes de dispositivos de captura, que deberán ofrecer la opción de insertar la latent disclosure activada por defecto. Mientras Europa, con el artículo 50 del Reglamento de IA, obliga a informar al lector, California obliga además a montar la infraestructura técnica para comprobarlo.

No faltan, sin embargo, las incertidumbres aplicativas. Por ahora no existen datos verificables sobre la adopción real de las nuevas especificaciones por parte de los proveedores. Tampoco constan acciones sancionadoras iniciadas por el Attorney General. Un rastreador de política digital describe la entrada en vigor acompañada de un periodo de tolerancia hasta el 1 de enero de 2027, lectura que no coincide con la de los despachos consultados, para los que el 2 de agosto de 2026 es la fecha operativa plena para los covered providers, mientras que el 1 de enero de 2027 afecta a las nuevas categorías introducidas por la AB 853. En el texto legal la expresión no aparece. Además, el perímetro de la ley podría redibujarse con la SB 1000, en trámite en el Senado, que propone eliminar el umbral del millón de usuarios y cambiar la naturaleza de las herramientas de verificación. Queda por último abierto el problema técnico de los modelos de pesos abiertos (open-weight), donde la posibilidad de modificar los pesos después podría dejar sin efecto las garantías que la ley impone en el origen.

— Olya