California ordena preparar el 'interruptor de apagado' de la IA y adelanta dos años el registro de auditores

El gobernador de California, Gavin Newsom, firmó el 18 de septiembre de 2026 una orden ejecutiva que mueve dos piezas de la regulación de la inteligencia artificial: encarga el diseño de un mecanismo de apagado para los modelos de frontera y adelanta dos años la entrada en operación del registro estatal de auditores de IA.

Importa más de lo que parece desde México, y no por el contenido legal. Importa porque es la jurisdicción donde se desarrollan los modelos que tu empresa ya está usando.

Las dos piezas

El "interruptor de apagado". La orden instruye a un grupo de expertos a entregar en dos meses un conjunto de recomendaciones para reforzar las leyes estatales de seguridad de la IA. Entre las medidas a evaluar está exigir que los desarrolladores conserven la capacidad de desactivar sus sistemas bajo demanda y que terceros independientes produzcan planes de seguridad.

El registro de auditores, dos años antes. A principios de septiembre California promulgó dos leyes que crean el primer marco estadounidense de auditoría independiente de sistemas de IA: la SB 813, que define organizaciones de verificación independiente para evaluar el cumplimiento, y la AB 1405, que crea un registro estatal de auditores con estándares de independencia y transparencia. La orden ejecutiva adelanta su puesta en marcha de enero de 2029 a diciembre de 2027.

Por qué te afecta si no vendes IA ni vives en California

Por tres caminos, todos indirectos y todos reales:

1. Los modelos que usas se desarrollan bajo esas reglas. Lo que se le exige a un laboratorio en materia de evaluación, retención o capacidad de desactivación termina bajando a tu contrato y a las condiciones de uso del servicio. Ya vimos algo parecido con las obligaciones de retención de datos: es la letra chica que puede frenar un proyecto.
2. Marca el estándar de lo que se considerará buena práctica. Cuando la auditoría independiente se vuelve norma en el lugar donde se construyen los modelos, la pregunta "¿quién evalúa esto?" empieza a aparecer en las licitaciones, en los cuestionarios de proveedores y en las pólizas de seguro.
3. La industria se está moviendo en la misma dirección por su cuenta. La orden llegó pocos días después de que Anthropic anunciara un acuerdo para incorporar evaluadores externos a su proceso de seguridad, y de que su director general pidiera públicamente más regulación. No es una batalla entre reguladores y empresas: es un consenso que se está formando.

Lo que sí conviene hacer esta semana

Ninguna empresa mexicana tiene que reaccionar a una orden ejecutiva de California. Pero hay una tarea que este movimiento vuelve más difícil de seguir posponiendo, y que además paga sola:

Escribir qué IA usa tu empresa. No la política ideal de veinte páginas: la lista.

• Qué herramientas se usan hoy, incluidas las que nadie autorizó formalmente.
• En qué proceso entra cada una.
• Qué datos le entran —y muy en especial, si alguno es dato personal de clientes o empleados.
• Quién es el responsable de ese uso.

Con esa lista en la mano, tres cosas se vuelven posibles: cumplir la Ley Federal de Protección de Datos Personales cuando toque demostrarlo, responder un cuestionario de proveedor sin inventar, y cambiar de modelo si el tuyo sube de precio o cambia de condiciones. Ese último punto es el que más dinero ahorra, y lo desarrollamos en cómo diseñar tus procesos de IA para no depender de un solo modelo.

La lectura de fondo

Durante dos años la conversación pública sobre regulación de IA fue abstracta. Esta orden la aterriza en dos preguntas muy concretas: ¿quién evalúa los modelos? y ¿alguien puede apagarlos?

Para una empresa que usa IA en su operación, la versión doméstica de esas preguntas es igual de concreta: ¿quién revisa lo que la IA produce antes de que salga a un cliente? y ¿qué pasa si mañana la herramienta deja de funcionar?

Las dos se responden con proceso, no con tecnología. Y las dos se responden mucho mejor antes de necesitarlas.