Leyes de Inteligencia Artificial de Colorado y su Regulación (2026)

Colorado no tiene hoy un estatuto integral de IA en vigor. La SB 24-205, la Ley de Inteligencia Artificial de Colorado, se firmó el 17 de mayo de 2024 y habría sido la primera ley integral de protección al consumidor sobre IA en Estados Unidos, pero fue derogada antes de que llegara su fecha de aplicación. El gobernador Polis promulgó la SB 26-189 el 14 de mayo de 2026, que deroga y vuelve a promulgar la parte 17 del artículo 1 del título 6 como la Ley de Tecnología de Toma de Decisiones Automatizada (ADMT, por sus siglas en inglés), más limitada, codificada en los C.R.S. 6-1-1701 a 6-1-1709 y vigente a partir del 1 de enero de 2027. Dos leyes de IA más limitadas de Colorado ya están en vigor: las divulgaciones de deepfakes electorales (C.R.S. 1-46-101 a 1-46-106) y las leyes sobre divulgaciones digitales íntimas (C.R.S. 18-7-107 a 18-7-109 y 13-21-1501 a 13-21-1507).

Colorado hizo historia el 17 de mayo de 2024, cuando el gobernador Jared Polis promulgó el Proyecto de Ley del Senado 24-205, creando lo que entonces era la primera ley integral de protección al consumidor sobre IA en Estados Unidos. Nunca entró en vigor. Después de dos retrasos, la legislatura la derogó y la volvió a promulgar en 2026 como la Ley de Tecnología de Toma de Decisiones Automatizada (ADMT) de Colorado, un régimen de divulgación considerablemente más limitado que entra en vigor el 1 de enero de 2027.

Esta guía cubre primero la ley que realmente vincula a las empresas de Colorado, luego el marco derogado y cómo colapsó, y después las dos leyes de IA de Colorado que ya están en vigor. Este artículo tiene fines exclusivamente informativos. Consulte a un abogado para obtener asesoramiento específico para su situación.

La Ley ADMT de Colorado (SB 26-189): La Ley Vigente

La Ley ADMT está codificada en los C.R.S. 6-1-1701 a 6-1-1709. Entra en vigor el 1 de enero de 2027 y se aplica a las decisiones consecuentes tomadas a partir de esa fecha. Tres disposiciones entraron en vigor al momento de la aprobación para que el Fiscal General pudiera comenzar a redactar reglas: C.R.S. 6-1-1704(4), 6-1-1705(3) y 6-1-1706(6).

¿Qué Es un ADMT Cubierto?

La «tecnología de toma de decisiones automatizada» es la tecnología que procesa datos personales y usa cómputo para tomar o influir materialmente en una decisión. Un «ADMT cubierto» es más limitado: tecnología de toma de decisiones automatizada usada para influir materialmente en una decisión consecuente (C.R.S. 6-1-1701(5)). El término de la ley derogada, «sistema de inteligencia artificial de alto riesgo», no aparece en ninguna parte de la ley vigente.

Los Siete Dominios Cubiertos

Una decisión consecuente es aquella relacionada con el acceso, la elegibilidad, la selección o la compensación de un consumidor en un dominio cubierto, o con precios diferenciados o condiciones materiales que limiten materialmente ese acceso. El C.R.S. 6-1-1701(6) enumera siete dominios cubiertos.

El estatuto también excluye una larga lista de asuntos que no son decisiones consecuentes, entre ellos los procesos comerciales rutinarios o de bajo riesgo, la publicidad y la moderación de contenido, las hojas de cálculo que requieren análisis manual humano, los sistemas que solo resumen u organizan información para revisión humana, las herramientas de ciberseguridad y prevención de fraude, y el cumplimiento en materia de sanciones y prevención de lavado de dinero.

Deberes de los Desarrolladores (C.R.S. 6-1-1702)

A partir del 1 de enero de 2027, un desarrollador debe poner a disposición de cada implementador de su ADMT cubierto una declaración general de usos perjudiciales previstos y conocidos, una descripción de las categorías de datos usados para entrenar el sistema, las limitaciones y riesgos conocidos, instrucciones para el uso adecuado y la revisión humana significativa, y la información que el implementador necesita para cumplir con sus propios deberes de divulgación. Los desarrolladores también deben notificar a los implementadores sobre actualizaciones materiales y modificaciones sustanciales, y deben conservar los registros de cumplimiento durante al menos tres años.

Registro de los Implementadores (C.R.S. 6-1-1703)

Un implementador debe conservar los registros razonablemente necesarios para demostrar el cumplimiento durante al menos tres años después de la fecha de una decisión consecuente. Esos registros pueden incluir identificadores de versión del ADMT cubierto, registros de cambios y documentación de modificaciones materiales de mitigación.

Divulgaciones del Implementador (C.R.S. 6-1-1704)

Este es el núcleo de la ley. Antes de usar un ADMT cubierto para influir materialmente en una decisión consecuente, un implementador debe dar al consumidor un aviso claro y visible de que se usó o se usará un ADMT cubierto, además de instrucciones para obtener más información. Un implementador cumple con este deber manteniendo un aviso público destacado y razonablemente accesible en los puntos de interacción con el consumidor, como un enlace o un aviso razonablemente próximo a la transacción.

Si la decisión resulta en un resultado adverso, el implementador debe proporcionar tres cosas dentro de los treinta días posteriores a la decisión:

• Una descripción en lenguaje sencillo de la decisión y del papel que jugó el ADMT cubierto en ella
• Instrucciones y un proceso simple para solicitar más información sobre el sistema y sus entradas, incluidos el nombre del sistema, el número de versión, el desarrollador, y los tipos, categorías y fuentes de los datos personales usados
• Una explicación de los derechos del consumidor conforme al C.R.S. 6-1-1705 y cómo ejercerlos

Nada en esta sección exige divulgar un secreto comercial, pero un implementador que retenga información debe informárselo al consumidor. Los acreedores que ya proporcionan los avisos de la Ley de Igualdad de Oportunidades de Crédito o de la Ley Justa de Informes Crediticios pueden cumplir esta sección mediante esos avisos en lugar de emitir uno duplicado, y los implementadores sujetos a FERPA pueden usar sus canales de aviso de FERPA existentes para las decisiones educativas.

Derechos del Consumidor (C.R.S. 6-1-1705)

Cuando un consumidor experimenta un resultado adverso de una decisión consecuente en la que un ADMT cubierto influyó materialmente, el consumidor puede solicitar, y el implementador debe proporcionar, instrucciones para solicitar sus datos personales y corregir datos personales factualmente incorrectos o materialmente inexactos, y una oportunidad de revisión y reconsideración humana significativa de la decisión, en la medida en que sea comercialmente razonable. El derecho de corrección no se extiende a opiniones, predicciones, puntuaciones ni evaluaciones protegidas.

Aplicación (C.R.S. 6-1-1706 y 6-1-1709)

Una infracción de la parte 17 es una práctica comercial engañosa bajo la Ley de Protección al Consumidor de Colorado, y las disposiciones de divulgación y derechos del consumidor son exigibles exclusivamente por el Fiscal General. Antes de iniciar una acción de aplicación, el Fiscal General debe emitir un aviso de infracción cuando se considere posible una subsanación, y el desarrollador o implementador cuenta con sesenta días para subsanarla. Ese período de subsanación no es obligatorio cuando el Fiscal General puede demostrar una infracción consciente o repetida. La ley no crea ningún derecho privado de acción nuevo.

El Fiscal General debe adoptar reglas que aclaren los requisitos de divulgación posterior a un resultado adverso y los requisitos de derechos del consumidor a más tardar el 1 de enero de 2027, y debe reportar anualmente sobre las acciones de aplicación y los períodos de subsanación a partir de enero de 2028.

La Ley de IA de Colorado Derogada (SB 24-205)

Todo lo que se describe en esta sección corresponde a un marco que fue derogado antes de que llegara a ser exigible. Se conserva aquí porque la CAIA todavía se cita ampliamente en guías de cumplimiento escritas entre 2024 y 2026, y las empresas necesitan saber que nada de esto las vincula.

La Ley de Inteligencia Artificial de Colorado se construyó en torno a prevenir la discriminación algorítmica, definida como cualquier condición en la que un sistema de IA produce un trato diferencial ilegal basado en características protegidas como la edad, raza, color, etnia, sexo, orientación sexual, identidad de género, discapacidad, religión, condición de veterano u origen nacional.

La ley se habría centrado en los «sistemas de inteligencia artificial de alto riesgo», que definía como sistemas de IA que toman, o son un factor sustancial en la toma de, «decisiones consecuentes».

Lo Que la CAIA Habría Llamado una Decisión Consecuente

Bajo la SB 24-205 derogada, una decisión consecuente era aquella con un efecto legal material o similarmente significativo en la prestación o denegación a cualquier consumidor de, o en el costo o las condiciones de, servicios en ocho categorías. La Ley ADMT vigente redujo esta lista a siete y eliminó por completo los servicios legales.

Deberes de los Desarrolladores Que Nunca Entraron en Vigor

La CAIA habría impuesto un deber de cuidado razonable a los desarrolladores de sistemas de IA de alto riesgo. Los desarrolladores habrían tenido que proporcionar a los implementadores una declaración general que describiera los usos perjudiciales razonablemente previsibles y los riesgos conocidos de discriminación algorítmica, documentación detallada que cubriera los datos de entrenamiento, las limitaciones del sistema, los propósitos previstos y los métodos de prueba de discriminación, y cualquier documentación que los implementadores necesitaran para sus propias evaluaciones de impacto.

Esos deberes no habrían sido requisitos de una sola vez. Un desarrollador que descubriera que su sistema de IA de alto riesgo había causado o contribuido materialmente a la discriminación algorítmica habría tenido que notificar al Fiscal General de Colorado y a todos los implementadores conocidos dentro de los 90 días.

Deberes de los Implementadores Que Nunca Entraron en Vigor

Las obligaciones de los implementadores bajo la CAIA habrían sido extensas, y son la mayor diferencia entre la ley derogada y la ley que realmente entra en vigor.

Los implementadores habrían tenido que implementar una política de gestión de riesgos que incorporara principios, procesos y personal para identificar y mitigar los riesgos de discriminación. Habrían tenido que completar una evaluación de impacto para cada sistema de IA de alto riesgo, al menos anualmente y dentro de los 90 días posteriores a cualquier modificación intencional y sustancial, que cubriera el propósito y el contexto de implementación del sistema, un análisis de los riesgos conocidos o previsibles de discriminación, las medidas de mitigación, las categorías de datos procesados como entradas y salidas, las métricas de transparencia y el monitoreo posterior a la implementación. Esas evaluaciones se habrían tenido que conservar durante al menos tres años después de la implementación final y proporcionar al Fiscal General, previa solicitud, dentro de los 90 días.

Los implementadores también habrían debido a los consumidores un aviso de que se estaba usando un sistema de IA, una descripción de cómo influyó en la decisión, una oportunidad de corregir información personal incorrecta y una oportunidad de apelar una decisión adversa. Habrían tenido que revisar cada sistema implementado anualmente y publicar una declaración pública que describiera los sistemas de alto riesgo que implementan. Un implementador con menos de 50 empleados a tiempo completo habría podido calificar para requisitos reducidos bajo tres condiciones.

Ninguna de estas obligaciones está en la Ley ADMT vigente. La Ley ADMT no tiene requisito de política de gestión de riesgos, ni requisito de evaluación de impacto, ni requisito de revisión anual, ni requisito de declaración pública. Sus deberes para los implementadores son las disposiciones de registro, divulgación y derechos del consumidor descritas anteriormente.

El Puerto Seguro del NIST Derogado

La SB 24-205 derogada contenía un puerto seguro: el cumplimiento del Marco de Gestión de Riesgos de IA del NIST, la norma ISO/IEC 42001, u otro marco de gestión de riesgos de IA reconocido nacional o internacionalmente, habría creado una presunción refutable de que el desarrollador o implementador ejerció un cuidado razonable.

Ese puerto seguro no existe en la ley de Colorado. La SB 26-189 derogó y volvió a promulgar la parte completa, y el texto vigente no contiene ninguna referencia al NIST, a la norma ISO/IEC 42001, al cuidado razonable, a los marcos de gestión de riesgos, ni a ninguna presunción refutable. Debido a que la Ley ADMT impone deberes de divulgación y derechos del consumidor en lugar de un deber de cuidado, no existe un estándar de cuidado al cual pueda aplicarse una presunción. Una empresa que construya un programa de cumplimiento en Colorado en torno a la certificación de un marco se está preparando para una ley que fue derogada antes de entrar en vigor.

Adoptar el AI RMF del NIST o la norma ISO/IEC 42001 puede seguir siendo una buena práctica de gobernanza y puede importar bajo las leyes de otros estados o los contratos con clientes, pero en Colorado no tiene ningún efecto legal estatutario.

Aplicación Bajo la Ley de IA Derogada

Bajo la CAIA, el Fiscal General de Colorado habría tenido autoridad exclusiva de aplicación y de reglamentación en seis áreas. Las infracciones se habrían tratado como prácticas comerciales desleales bajo la Ley de Protección al Consumidor de Colorado. La ley no habría creado un derecho privado de acción, y los desarrolladores e implementadores habrían tenido una defensa afirmativa por infracciones descubiertas mediante retroalimentación, pruebas o revisión interna y subsanadas con prontitud.

La Ley ADMT vigente conserva la aplicación exclusiva del Fiscal General y el enfoque de práctica comercial engañosa, y conserva la ausencia de un derecho privado de acción, pero sustituye la defensa afirmativa por el período de subsanación de sesenta días descrito anteriormente.

Cronograma de Aplicación

La CAIA experimentó cambios significativos en su cronograma desde su promulgación.

Los Retrasos y la Derogación

La fecha de entrada en vigor original era el 1 de febrero de 2026. Sin embargo, el gobernador Polis convocó una sesión legislativa especial en agosto de 2025 para abordar las preocupaciones sobre la ley. Los legisladores no lograron llegar a un acuerdo sobre enmiendas sustantivas, por lo que en su lugar aprobaron la SB 25B-004, que retrasó la fecha de entrada en vigor cinco meses, hasta el 30 de junio de 2026.

Esa fecha del 30 de junio de 2026 tampoco llegó a aplicarse. Durante la sesión ordinaria de 2026, la legislatura aprobó el Proyecto de Ley del Senado 26-189, que el gobernador Polis promulgó el 14 de mayo de 2026. La SB 26-189 deroga y vuelve a promulgar la parte 17 del artículo 1 del título 6 en su totalidad, sustituyendo la CAIA por la Ley de Tecnología de Toma de Decisiones Automatizada de Colorado. La nueva ley elimina el estándar de deber de cuidado, los programas obligatorios de gestión de riesgos y las evaluaciones de impacto anuales, y los reemplaza con obligaciones de aviso y divulgación al consumidor que cubren siete dominios cubiertos. Debido a que la SB 24-205 fue derogada antes de que llegara su fecha de aplicación, ninguna de sus disposiciones sobre deber de cuidado, gestión de riesgos o evaluaciones de impacto llegó nunca a tener vigencia legal.

Enmiendas Propuestas (SB 25-318)

Durante la sesión ordinaria de 2025, se presentó la SB 25-318 para modificar los requisitos de la CAIA. El proyecto de ley habría ajustado los requisitos del programa de gestión de riesgos, modificado las obligaciones de evaluación de impacto y refinado las disposiciones de notificación al consumidor. Sin embargo, la SB 25-318 no se aprobó durante la sesión ordinaria. Al año siguiente, se logró un objetivo similar por otra vía: la SB 26-189 derogó y sustituyó la CAIA por completo en lugar de enmendarla (vea Los Retrasos y la Derogación, arriba).

Ley de Deepfakes Electorales (HB 24-1147)

Colorado promulgó la Ley de Divulgación de Deepfakes de Candidatos Electorales (HB 24-1147) el 24 de mayo de 2024. La ley entró en vigor el 1 de julio de 2024 y está codificada en los C.R.S. 1-46-101 a 1-46-106. Se aplica a las comunicaciones distribuidas a partir del 1 de julio de 2024.

Requisitos de Divulgación

La ley exige descargos de responsabilidad claros en las comunicaciones que hayan sido generadas o sustancialmente alteradas por IA y que representen falsamente lo que un candidato o funcionario electo ha dicho o hecho. La declaración de divulgación requerida dice: «Esta [imagen/audio/video/multimedia] ha sido editada y representa un discurso o conducta que falsamente parece ser auténtico o veraz».

El C.R.S. 1-46-103(2) establece normas de formato y ubicación. En una comunicación visual, la divulgación debe aparecer en un tamaño de fuente no menor que el mayor tamaño de fuente usado en el resto de la comunicación. En una comunicación de audio, debe leerse en el mismo tono, velocidad, idioma y volumen que la mayor parte del audio, al inicio y al final, y a intervalos no mayores de un minuto si el audio dura más de dos minutos. Los metadatos de la comunicación deben incluir la declaración de divulgación, la identidad de la herramienta usada para crear el deepfake, y la fecha y hora en que se creó, y la divulgación debe ser permanente o difícil de eliminar en la medida técnicamente factible.

Sanciones

Las comunicaciones que no incluyan los descargos de responsabilidad adecuados están sujetas a sanciones civiles. Un funcionario de audiencias debe imponer una sanción de al menos $100 por cada infracción que no involucre publicidad pagada u otro gasto promocional. Cuando hubo publicidad pagada, la sanción es de al menos el 10% del monto pagado o gastado para anunciar, promocionar o llamar la atención sobre la comunicación. En cualquier caso, el funcionario de audiencias puede imponer un monto mayor según el grado de distribución y exposición pública.

Derecho Privado de Acción

A diferencia de la Ley de IA, la ley de divulgación de deepfakes sí crea un derecho privado de acción (C.R.S. 1-46-105). Un candidato que sea objeto de una comunicación con un deepfake no divulgado o divulgado de forma inadecuada puede entablar una acción civil para obtener una medida cautelar o reparación equitativa, daños compensatorios, daños punitivos, o ambos.

Divulgaciones de Imágenes Íntimas Digitales (SB 25-288)

El gobernador Polis promulgó la SB 25-288 el 2 de junio de 2025. La ley crea la Ley para Prevenir la Divulgación No Autorizada de Representaciones Digitales Íntimas, codificada en los C.R.S. 13-21-1501 a 13-21-1507, y modifica los estatutos penales de Colorado en los C.R.S. 18-7-107 a 18-7-109 para cubrir imágenes generadas por IA y alteradas digitalmente.

Qué Cubre la Ley

Una «representación digital íntima» es una imagen creada o alterada digitalmente que aparenta mostrar a una persona identificable. Las disposiciones penales alcanzan divulgar, o amenazar con divulgar, una imagen íntima privada o una representación digital íntima sin el consentimiento de la persona representada, en lugar del acto de crearla. Disposiciones separadas en los C.R.S. 18-7-108 y 18-7-109 abordan la divulgación con fines de lucro y la divulgación, posesión o intercambio por parte de un menor.

Sanciones

La acción civil da a las víctimas un recurso legal directo sin depender de las fuerzas del orden ni de la oficina del Fiscal General, y un tribunal también puede ordenar una orden de restricción temporal, una medida cautelar preliminar o una medida cautelar permanente que obligue al demandado a dejar de divulgar la representación.

Contexto

La ley cerró una brecha en los estatutos existentes de Colorado sobre pornografía no consentida, que anteriormente no cubrían material generado por IA o alterado digitalmente.

Política Federal de IA y Colorado

La Ley de IA integral de Colorado la convierte en un objetivo principal de los esfuerzos del gobierno federal por establecer uniformidad en la política de IA.

Orden Ejecutiva 14365

El 11 de diciembre de 2025, el presidente Trump emitió la Orden Ejecutiva 14365, que ordena al Departamento de Justicia establecer un Grupo de Trabajo de Litigios de IA para impugnar las leyes estatales de IA. La orden se dirige específicamente a las leyes estatales que la administración considera que podrían obstruir la política nacional de IA.

Impacto en las Leyes de IA de Colorado

Las leyes de IA de Colorado podrían enfrentar un escrutinio federal bajo varias teorías. El Grupo de Trabajo de Litigios de IA podría impugnarlas como una regulación inconstitucional del comercio interestatal, argumentando que perjudican a las empresas de IA que operan a nivel nacional. La orden ejecutiva también condiciona ciertos fondos federales al cumplimiento estatal de los objetivos de la política federal de IA.

Sin embargo, la orden ejecutiva tiene limitaciones significativas. La preempción federal generalmente requiere acción del Congreso, no órdenes ejecutivas. La orden también excluye las protecciones de seguridad infantil y la adquisición gubernamental estatal de IA de una posible preempción. Estas exclusiones podrían proteger las leyes de deepfakes de Colorado.

El 20 de marzo de 2026, la Administración Trump publicó su "Marco de Política Nacional para la Inteligencia Artificial", instando al Congreso a aprobar legislación federal sobre IA. Si el Congreso actúa, la Ley ADMT de Colorado podría enfrentar impugnaciones de preempción antes o después de su fecha de entrada en vigor del 1 de enero de 2027.

La Posición del Gobernador Polis

El gobernador Polis expresó preocupaciones sobre la carga que la CAIA original impondría a las empresas, lo que coincidía con algunas de las preocupaciones de la administración federal respecto a la regulación de IA a nivel estatal. En lugar de dejar que esas obligaciones entraran en vigor, Colorado derogó y volvió a promulgar la ley mediante la SB 26-189 en mayo de 2026, limitándola a un marco ADMT basado en divulgación, preservando al mismo tiempo las protecciones básicas de aviso al consumidor.

Resumen de las Leyes de IA de Colorado

Más Leyes de Colorado

• Leyes de Grabación de Colorado
• Leyes de Privacidad de Datos de Colorado
• Leyes de Cámaras de Vigilancia de Colorado
• Leyes de Verificación de Antecedentes de Colorado
• Leyes de Denunciantes de Colorado