EE.UU. avanza con leyes sobre IA

El Congreso de Estados Unidos tramita varias iniciativas que tocan ciberseguridad marítima, privacidad en chatbots de IA, control de agentes autónomos y resiliencia en salud. Entre ellas figuran el S.4564, el H.R.9619 y el Stop Rogue AI Act, además de un proyecto para reforzar la ciberseguridad sanitaria. En conjunto, esas propuestas podrían terminar funcionando como nuevos marcos de cumplimiento para filiales y operaciones de empresas latinoamericanas expuestas a esos sectores.

¿Qué busca el proyecto marítimo S.4564?

El S.4564, Maritime Cybersecurity Act, busca que la Guardia Costera de Estados Unidos evalúe riesgos de ciberseguridad asociados al software y hardware utilizados en el ámbito marítimo. El texto también incorpora disposiciones de confidencialidad para la información recopilada bajo la sección 552(b)(3) del Código de Estados Unidos, según la versión en trámite en el Senado.

La iniciativa forma parte del 119º Congreso, correspondiente a 2025-2026, y sigue en discusión legislativa en la cámara alta. Por su alcance, introduce un enfoque de evaluación de riesgos sobre tecnología operativa y sistemas usados en actividades marítimas, un punto sensible para navieras, operadores portuarios y cadenas logísticas con presencia regional.

¿Qué cambia para los chatbots de IA?

El H.R.9619 propone obligar a los proveedores de chatbots de inteligencia artificial en Estados Unidos a garantizar privacidad y seguridad de datos. La ficha legislativa oficial lo presenta como una iniciativa federal específica sobre protección de datos y ciberseguridad aplicada a servicios de IA conversacional.

El proyecto también integra el paquete de propuestas del 119º Congreso, en trámite durante 2025-2026. Para empresas que operan o prestan servicios transfronterizos desde América Latina, el dato relevante es que el debate ya no se limita a modelos de IA en abstracto, sino a obligaciones directas para proveedores de herramientas conversacionales.

¿Qué pide el Stop Rogue AI Act?

El Stop Rogue AI Act ordenaría al NIST desarrollar estándares, guías y buenas prácticas para detectar, verificar y controlar agentes de IA, y exigiría que contratistas federales y agencias incorporen esas salvaguardas en la adquisición y despliegue de esos sistemas. La implementación se haría en coordinación con CISA.

Según el despacho de Mike Lawler, el proyecto busca que los estándares no dependan solo de auto certificaciones o de afirmaciones de un único proveedor para establecer la identidad de los agentes. También prevé requisitos mínimos organizacionales sobre cómo desplegar y autenticar agentes en sistemas federales.

La oficina de Josh Gottheimer añadió que las especificaciones técnicas deberán incluir inventarios continuos y legibles por máquina de todos los agentes de IA, verificación de identidad y procedencia, monitoreo en tiempo real de comportamientos anómalos como prompt injection y robo de datos, y capacidad de revocar de forma granular el acceso y las acciones de los agentes.

Coberturas de Forkast, Techstrong.ai e Integrated.social describen la iniciativa como el primer proyecto federal orientado específicamente a imponer estándares de seguridad para agentes de IA desarrollados por NIST. Esos análisis señalan además que el organismo tendría un plazo de un año desde una eventual promulgación para emitir guías y buenas prácticas de despliegue seguro, con inventarios legibles por máquina, registros resistentes a alteraciones, monitoreo continuo y evaluaciones de confiabilidad.

Quasa.io agrega que, en su estado actual, el proyecto sigue sin aprobarse y que los futuros estándares del NIST serían obligatorios principalmente para agencias y contratistas federales, mientras que para muchas organizaciones privadas operarían al inicio como marcos de adopción voluntaria, aunque con potencial de convertirse en referencia sectorial de cumplimiento.

¿Qué pasa en salud?

El Health Care Cybersecurity and Resiliency Act of 2025 fue introducido en el Congreso de Estados Unidos, pero según IEEE todavía no fue aprobado. El objetivo es fortalecer la ciberseguridad en el sector salud mediante recursos, incentivos y actualización de marcos regulatorios frente al aumento de brechas de datos y ataques de ransomware en organizaciones sanitarias.

Ese proyecto amplía el alcance del debate regulatorio más allá de IA y transporte marítimo, hacia un sector que ya viene presionado por incidentes de robo de información y por la necesidad de modernizar controles, especialmente en redes de atención y servicios conectados.