El 95 % de las empresas incumple una ley de IA que la mayoría desconoce

Estaba en una llamada con la CHRO —Directora de Recursos Humanos— de una empresa de Fortune 500 a principios de enero cuando dijo algo que me dejó helado a mitad de frase.

«Nuestro equipo legal nos dijo que es más seguro simplemente no cumplir».

Ella no estaba siendo imprudente. Estaba siendo racional. Su empresa utiliza una herramienta de selección basada en IA para la contratación en la ciudad de Nueva York, lo que significa que están sujetos a la Ley Local 144 —una regulación que exige a las empresas publicar de forma transparente auditorías de sesgo de cualquier herramienta automatizada que ayude a tomar decisiones de empleo. Sus abogados habían hecho los cálculos: la sanción por incumplimiento era una multa de 500 a 1500 dólares por infracción. La sanción por el cumplimiento —publicar realmente la auditoría de sesgo— era entregar a los abogados de los demandantes una hoja de ruta estadística hacia una demanda por discriminación.

Esa conversación cristalizó algo a lo que le había estado dando vueltas durante meses. No tenemos un problema de ética de la IA. Tenemos un problema de arquitectura de IA. Y la auditoría de diciembre de 2025 del Contralor del Estado de Nueva York acaba de demostrarlo.

La auditoría que rompió la ilusión

El 2 de diciembre de 2025, el Contralor del Estado de Nueva York, Tom DiNapoli, publicó una auditoría sobre cómo el Departamento de Protección al Consumidor y al Trabajador de la Ciudad de Nueva York —el DCWP— había estado aplicando la Ley Local 144. Los resultados fueron devastadores.

Los propios inspectores de la ciudad habían examinado a 32 empleadores y encontrado exactamente un caso de posible incumplimiento. Los auditores estatales examinaron a las mismas 32 empresas utilizando métodos técnicos más rigurosos. Encontraron 17 infracciones.

Eso no es un error de redondeo. Es una brecha del 1600 % entre lo que la ciudad detectó y lo que realmente estaba sucediendo.

Recuerdo haber leído el informe de auditoría en mi portátil a las 23:00, desplazándome por las conclusiones y sintiendo una mezcla de reivindicación y temor. Reivindicación porque este era exactamente el tipo de fallo sobre el que habíamos estado advirtiendo a nuestros clientes: un cumplimiento superficial de la IA que se desmorona bajo un escrutinio real. Temor porque la magnitud del problema era peor de lo que incluso yo había esperado.

Cuando la ciudad encuentra 1 infracción y el estado encuentra 17 en la misma muestra, eso no es una brecha en la aplicación de la ley: es una ficción de aplicación.

La auditoría descubrió algo casi cómicamente defectuoso: el 75 % de las llamadas de prueba a la línea directa 311 de la ciudad sobre problemas de contratación con IA fueron mal redirigidas y nunca llegaron al DCWP. La agencia admitió que carecía de la experiencia técnica para evaluar si las empresas estaban utilizando realmente herramientas automatizadas de toma de decisiones. Ni una sola vez consultaron a la propia Oficina de Tecnología e Innovación de la ciudad. Todo el aparato de aplicación era, funcionalmente, un pueblo Potemkin.

Por qué la mayoría de las empresas eligieron el silencio

Aquí es donde se pone peor. Un estudio realizado por la Universidad de Cornell, Data & Society y Consumer Reports examinó a 391 empleadores sujetos a la Ley Local 144. De ellos, solo 18 habían publicado las auditorías de sesgo requeridas. Solo 13 habían publicado avisos de transparencia.

Eso significa que aproximadamente el 95 % de los empleadores alcanzados estaban simplemente ignorando la ley.

Mi equipo y yo pasamos una semana revisando ese estudio, cruzando los hallazgos con lo que sabíamos sobre las herramientas de IA que estas empresas estaban utilizando. Tuvimos un debate continuo en nuestra oficina sobre si esto era negligencia masiva o algo más calculado. Mi CTO pensó que era pereza: las empresas simplemente no se habían puesto a ello. Yo no estaba de acuerdo.

Creo que la mayoría de estas empresas realizaron las auditorías internamente, vieron las cifras y entraron en pánico.

La razón es estructural. La Ley Local 144 exige publicar «ratios de impacto»: esencialmente, se comparan las tasas de selección de diferentes grupos demográficos y se comprueba si cumplen la regla de los cuatro quintos de la EEOC. Si su herramienta selecciona a hombres a una tasa del 60 % y a mujeres al 40 %, esa es una proporción de 0,67, por debajo del umbral de 0,80 que señala un posible impacto dispar.

¿El problema? La mayoría de las herramientas de contratación basadas en IA construidas sobre modelos de lenguaje de propósito general suspenderán esta prueba. No porque sean maliciosamente sesgadas, sino porque están entrenadas con datos a escala de internet que reflejan décadas de sesgo social. Cuando se calculan las cifras honestamente, el sesgo aparece. Y cuando se publican esas cifras, se ha creado una prueba judicial.

Esa CHRO con la que hablé no estaba siendo cínica. Estaba describiendo la respuesta racional a un sistema donde las propias herramientas generan evidencia de discriminación en el momento en que se auditan.

Qué sucede cuando se construye IA a base de intuiciones

Necesito explicar algo sobre cómo funciona realmente la mayor parte de la IA empresarial hoy en día, porque es la raíz de toda esta crisis.

El modelo dominante en el mercado en este momento es lo que llamo la «Economía Wrapper». Una empresa consultora toma un modelo fundacional —GPT-4, Claude, Gemini—, lo envuelve en una delgada capa de prompts personalizados y llamadas a la API, y lo vende a una empresa como solución. Cribado de currículums, procesamiento de reclamaciones, evaluación de riesgos: el wrapper maneja la interfaz, pero el razonamiento ocurre dentro de un modelo que nadie en la empresa controla, audita o comprende por completo.

Estos modelos funcionan prediciendo la siguiente palabra estadísticamente más probable en una secuencia. Operan en lo que yo llamaría plausibilidad semántica —lo que suena correcto—, no en la realidad forense —lo que es correcto.

Aprendí esto por las malas. En los inicios de Veriprajna, antes de habernos comprometido por completo con nuestra arquitectura actual, realizamos una prueba en la que pedimos a un LLM líder que evaluara un conjunto de currículums «ignorando el género». Siguió discriminando. No de forma abierta: no marcó «femenino» como algo negativo. Pero favoreció sistemáticamente currículums que mencionaban ciertas universidades, utilizaban ciertos patrones de redacción y enumeraban ciertas actividades extracurriculares, todo lo cual estaba estadísticamente correlacionado con el género en los datos de entrenamiento del modelo.

Decirle a un LLM que «ignore el género» es como decirle a alguien que no piense en elefantes. Las correlaciones están integradas en los pesos. No se puede salir del sesgo estructural a fuerza de prompts.

Cuando Colorado o la UE le piden que explique por qué su IA tomó una decisión adversa, un sistema wrapper solo puede ofrecerle una historia a posteriori: una narrativa con sonido plausible sobre por qué cree que decidió lo que decidió. Eso no es una explicación. Es una alucinación sobre su propio razonamiento. Escribí sobre este problema en profundidad en la versión interactiva de nuestra investigación, donde analizamos cómo se manifiesta esta "brecha de auditabilidad" en diferentes regímenes regulatorios.

El trilema de cumplimiento del que nadie habla

Esto es lo que me quita el sueño: ya no se trata solo de Nueva York.

Para mediados de 2026, las empresas que operen en varios estados y en Europa se enfrentarán al menos a cuatro regulaciones de IA superpuestas y técnicamente contradictorias entre sí:

La Ley Local 144 de la Ciudad de Nueva York exige que publique estadísticas de sesgo interseccional desglosadas por raza y sexo. La ley SB 24-205 de Colorado, en vigor a partir de junio de 2026, exige un estándar más amplio de «diligencia razonable» y la divulgación obligatoria al Fiscal General si descubre discriminación algorítmica. La ley HB 3773 de Illinois prohíbe el uso de códigos postales como variables aproximadas para clases protegidas, una técnica de la que realmente dependen muchas herramientas de mitigación de sesgos. Y la Ley de IA de la UE exige una documentación detallada sobre la procedencia de los datos de entrenamiento y «evaluaciones de conformidad» para los sistemas de alto riesgo.

Estas no son solo normas diferentes. Son arquitectónicamente incompatibles en ciertos aspectos.

Una técnica de enmascaramiento de datos que utilice para cumplir con la prohibición de códigos postales de Illinois podría destruir la representatividad de datos que exige la UE. Una auditoría de sesgo que satisfaga el marco de raza y género de Nueva York podría incumplir el estándar de Colorado si no toma en cuenta también la edad y la discapacidad. Y ninguno de estos marcos acepta «utilizamos GPT-4 y añadimos algunas barreras de protección» como una evaluación de conformidad.

Un inversor me dijo el año pasado: «Solo usa GPT y añade una capa de cumplimiento encima». Le pregunté: ¿qué capa de cumplimiento? ¿Para qué jurisdicción? ¿Probada con qué métricas? No tuvo respuesta, porque no la hay. No se puede acoplar el cumplimiento a un sistema que nunca fue diseñado para ser auditable.

Lo que realmente estamos construyendo en su lugar

En Veriprajna, apostamos desde el principio por algo que admito se sentía solitario en su momento: rechazamos por completo el modelo de wrappers. Sin capas delgadas de API. Sin ingeniería de prompts como producto. En su lugar, construimos lo que llamo Deep AI —sistemas diseñados desde cero para el determinismo, la trazabilidad y el control soberano.

La idea central es una arquitectura neuro-simbólica —un sistema que separa la «voz» del «cerebro». La red neuronal maneja el reconocimiento de patrones: leer currículums, analizar documentos, identificar características relevantes. Pero cada decisión pasa a través de una capa de lógica simbólica —reglas codificadas derivadas de leyes reales, ontologías de la industria y restricciones del dominio— antes de llegar al usuario.

Cuando Illinois dice que no se pueden usar códigos postales como variable sustituta de la raza, nuestra capa simbólica no «intenta» evitarlo. Lo bloquea, de manera determinista, y registra con exactitud qué regla se activó y por qué. Cuando un regulador pide una explicación, no generamos una historia plausible. Proporcionamos una cadena de lógica trazable desde la entrada hasta la salida.

La diferencia entre un wrapper y Deep AI es la diferencia entre «el modelo lo dijo» y «aquí está la regla exacta, la entrada exacta y la ruta lógica exacta que produjo esta decisión».

También insistimos en lo que llamamos infraestructura soberana —desplegar modelos en la propia nube del cliente, sin enrutar datos confidenciales a través de API públicas. Cuando envía registros de empleados o información de candidatos a una API de terceros, esos datos pueden registrarse, integrarse en futuros entrenamientos o exponerse mediante vulnerabilidades de seguridad sobre las que no tiene visibilidad alguna. Para una empresa sujeta al RGPD, a la CCPA y ahora a estas regulaciones específicas de IA, ese es un riesgo inaceptable.

Para el desglose técnico completo de cómo funcionan estas arquitecturas —la trazabilidad basada en grafos, las capas de verificación fundamentadas en la física, los modelos de despliegue nativos en el borde—, le remito a nuestro artículo de investigación detallado. La ingeniería es profunda, pero el principio es simple: cada resultado debe ser demostrablemente correcto, no probablemente correcto.

«¿Pero no es esto una exageración?»

La gente me pregunta esto constantemente. Por lo general, es alguien a quien le han vendido el modelo wrapper y cree que estoy complicando demasiado las cosas.

Aquí está mi respuesta: el Contralor del Estado de Nueva York acaba de demostrar que incluso una revisión regulatoria favorable —una realizada por la propia agencia de la ciudad— operaba con una tasa de error del 1600 %. Los auditores a nivel estatal detectaron 17 infracciones donde la ciudad detectó 1. Y eso fue con una muestra de solo 32 empresas.

¿Qué sucede cuando el Fiscal General de Colorado comience a investigar? ¿Qué sucede cuando la UE comience sus evaluaciones de conformidad? ¿Qué sucede cuando el abogado de un demandante cite los registros de decisiones de su modelo y descubra que su «mitigación de sesgos» era un prompt del sistema que decía «por favor, sé justo»?

Esto no es una hipótesis. La auditoría del Contralor recomendó explícitamente pasar de una aplicación pasiva e impulsada por quejas a una investigación proactiva y basada en la investigación. El DCWP aceptó adoptar esta recomendación. La era de «nadie está revisando» ha terminado.

Hay otra objeción que escucho: «Esperaremos a que las regulaciones se asienten antes de invertir». Entiendo el impulso. Pero el estudio de Cornell encontró que las empresas que esperaron —el 95 % que no cumplió— ahora están sentadas sobre una creciente montaña de exposición legal sin infraestructura para abordarla. Cuando la aplicación de la ley se intensifique, no tendrán meses para construir sistemas conformes. Tendrán semanas.

La noche en que las cifras me hicieron cambiar de opinión

Quiero compartir un momento que cambió fundamentalmente mi forma de pensar sobre este problema.

Hace unos ocho meses, estábamos ejecutando una prueba de concepto para un cliente de servicios financieros. Querían comprobar si su herramienta existente de selección mediante IA —el producto de un proveedor conocido, construido sobre un LLM importante— podía superar una auditoría simulada de la LL144. Mi equipo preparó la prueba, calculó los ratios de impacto y me envió los resultados alrededor de las 21:00.

Esperaba fallos marginales: proporciones de 0,75 o 0,78, lo suficientemente cercanas como para que alguna recalibración pudiera corregirlas. En su lugar, encontramos ratios de impacto de tan solo 0,58 para ciertas categorías interseccionales. Nada cerca del umbral. Nada corregible con ajuste de prompts. Estructural y fundamentalmente sesgados de maneras que eran invisibles para las personas que utilizaban la herramienta todos los días.

Me senté en la oficina de mi casa mirando esas cifras y me di cuenta de algo que creo que toda la industria debe afrontar: las herramientas que la mayoría de las empresas están usando ahora mismo suspenderían sus propias auditorías de sesgo. La tasa de incumplimiento del 95 % no se debe solo a que las empresas ignoren la ley. Se trata de empresas que miraron lo que revelaría el cumplimiento y decidieron que preferían no saberlo.

Eso no es un problema regulatorio. Es un fallo de ingeniería.

Hacia dónde se dirige esto a continuación

La auditoría de diciembre de 2025 no es el fin de los problemas de crecimiento de la regulación de la IA. Es el comienzo de su adolescencia. Los reguladores están aprendiendo de sus errores. La próxima generación de aplicación no dependerá de líneas directas 311 y declaraciones autoinformadas. Utilizará herramientas forenses para examinar lo que su IA realmente hace, no lo que su equipo de cumplimiento dice que hace.

Para la empresa, esto significa que la ventana para tomar decisiones arquitectónicas se está cerrando. No se puede incorporar determinismo a posteriori a un sistema probabilístico. No se puede acoplar auditabilidad a una caja negra. No se puede cumplir con cuatro jurisdicciones en conflicto utilizando una sola plantilla de prompts.

Las empresas que prosperarán en 2026 y más allá son las que toman la decisión más difícil ahora: construir sistemas donde cada decisión tenga una cadena de lógica trazable, auditable y defendible. No porque sea fácil. No porque sea barato. Porque es la única arquitectura que sobrevive al contacto con un regulador que realmente sabe lo que está buscando.

La era de la IA construida sobre intuiciones ha terminado. Lo que la reemplace estará definido por empresas dispuestas a incorporar certeza mediante ingeniería en sistemas que el resto de la industria construyó sobre la probabilidad.

La CHRO con la que hablé en enero me volvió a llamar la semana pasada. Su equipo legal había leído la auditoría del Contralor. Ya no estaban aconsejando el incumplimiento. Estaban preguntando qué tan rápido podíamos implementarlo.