Leyes de IA de Colorado: SB 26-189 y SB 24-205 (2027)

A noviembre de 2026, Colorado ha promulgado la ADMT Act (SB 26-189, C.R.S. 6-1-1701 ff.), una reescritura de la Colorado AI Act (SB 24-205) que está programada para entrar en vigor el 1 de enero de 2027, pero una orden de un tribunal federal impide que el Fiscal General (Attorney General) inicie acciones de aplicación por presuntas violaciones ocurridas o que ocurran hasta 14 días después de una decisión sobre la solicitud de medida cautelar que se espera de xAI.

Colorado también tiene leyes de IA más acotadas sobre chatbots, cobertura de salud, psicoterapia, seguros y deepfakes. Al 4 de noviembre de 2026, Colorado es el único estado que encontramos con una ley transversal sobre decisiones automatizadas, entre las leyes estatales revisadas para nuestra guía nacional, y esa ley comienza el 1 de enero de 2027. Esa revisión no fue una búsqueda de texto completo en el código de cada estado. California llega a un terreno parecido por vía reglamentaria. Para el panorama nacional, consulte nuestra guía de leyes de IA de Estados Unidos.

Estado al 4 de noviembre de 2026: la SB 26-189 está firmada y programada, y solo unas pocas de sus disposiciones entraron en vigor al ser aprobada. Las reglas de implementación del Fiscal General (4 CCR 904-6) tuvieron una audiencia el 26 de octubre de 2026, y la página de reglamentación del Fiscal General no muestra ninguna adopción. La copia pública del expediente de xAI v. Weiser no muestra ninguna moción de medida cautelar preliminar ni decisión de fondo.

Leyes de IA de Colorado de un vistazo

La ADMT Act de Colorado (SB 26-189): qué cubre

La SB 26-189 es el Capítulo 131 de las leyes de sesión de 2026. El gobernador Polis la firmó el 14 de mayo de 2026. Su encabezado en el estatuto es «Automated Decision-Making Technology in Consequential Decisions» (tecnología de toma de decisiones automatizada en decisiones trascendentes).

Regula algo más acotado que la «IA». La prueba tiene tres partes: una tecnología que cuente como ADMT, una decisión trascendente en un ámbito cubierto y una influencia material que conecte ambas.

¿Qué es la tecnología de toma de decisiones automatizada?

La ADMT es «a technology that processes personal data and uses computation to generate output, including predictions, recommendations, classifications, rankings, scores, or other information that is used to make, guide, or assist a decision, judgment, or determination concerning an individual» (una tecnología que procesa datos personales y usa cómputo para generar resultados, incluidas predicciones, recomendaciones, clasificaciones, rankings, puntajes u otra información que se usa para tomar, orientar o asistir una decisión, juicio o determinación sobre una persona) (C.R.S. 6-1-1701(2)(a)).

Una «covered ADMT» (ADMT cubierta) es una ADMT «that is used to materially influence a consequential decision» (que se usa para influir de manera material en una decisión trascendente) (6-1-1701(5)). El estatuto excluye la infraestructura ordinaria, como antivirus, calculadoras, bases de datos, firewalls, filtros de spam, correctores ortográficos y alojamiento web. Las hojas de cálculo se excluyen solo si «require human analysis and do not use machine learning, foundation models, or large language models» (requieren análisis humano y no usan aprendizaje automático, modelos fundacionales ni modelos de lenguaje de gran tamaño).

Dos exclusiones más importan para la IA generativa:

• Una herramienta «used by an individual solely to summarize, organize, translate, draft, route, or present information for human review of administrative processing» (usada por una persona únicamente para resumir, organizar, traducir, redactar, canalizar o presentar información para revisión humana de un trámite administrativo).
• La tecnología conversacional dirigida al consumidor, pero solo si no está «contracted, advertised, marketed, configured, or intended» (contratada, anunciada, comercializada, configurada ni destinada) para una decisión trascendente y está sujeta a una política de uso aceptable que prohíbe usar su contenido en una decisión trascendente. Deben cumplirse ambas condiciones.

Los siete ámbitos cubiertos

Una decisión trascendente debe estar relacionada con uno de los siete ámbitos cubiertos del C.R.S. 6-1-1701(6):

• Inscripción en educación u oportunidad educativa
• Empleo u oportunidad de empleo que crea o puede crear una relación entre empleador y empleado
• Arrendamiento o compra de bienes raíces residenciales en Colorado
• Un servicio financiero o de crédito
• Seguros, incluidos la suscripción, la fijación de precios, la cobertura, la resolución de reclamaciones u otras determinaciones que afecten materialmente el acceso a beneficios
• Servicios de atención médica
• Servicios gubernamentales esenciales y beneficios públicos, incluidas las determinaciones de elegibilidad y renovación

Los servicios legales no figuran en la lista.

Una decisión trascendente es una decisión sobre un consumidor relacionada con la prestación de un ámbito cubierto, el acceso a él, la elegibilidad para él, la selección para él o la compensación en él. También incluye un precio diferenciado, una participación en los costos, una compensación u otros términos materiales «reasonably likely to materially limit, delay, effectively deny, or otherwise fundamentally alter» (razonablemente probables de limitar, retrasar, negar en la práctica o alterar de otro modo en lo fundamental) el acceso.

La definición excluye procesos rutinarios o de bajo riesgo, como la programación de citas de rutina y la clasificación del servicio al cliente. También excluye, entre otros, la publicidad, el marketing, las recomendaciones diferenciadas de productos, la búsqueda, la moderación de contenido, la ciberseguridad, los controles contra el lavado de dinero y la prevención del fraude.

Qué significa «influir de manera material»

Según el C.R.S. 6-1-1701(13), un resultado influye de manera material en una decisión solo si se cumplen ambas condiciones:

• Es «a non-de minimis factor that is used in making a consequential decision» (un factor no insignificante que se usa para tomar una decisión trascendente).
• «affects the outcome of a consequential decision, including by constraining, ranking, scoring, recommending, classifying, or otherwise meaningfully altering how a consequential decision is made» (afecta el resultado de una decisión trascendente, incluso al restringir, ordenar, puntuar, recomendar, clasificar o alterar de otro modo en forma significativa cómo se toma una decisión trascendente).

Los «Incidental, trivial, or clerical uses» (usos incidentales, triviales o administrativos) no cuentan. Las reglas propuestas del Fiscal General abordan esta frase, como se describe en la sección de reglamentación más abajo.

A quién cubre

Un desarrollador o implementador debe ser «a person doing business in Colorado» (una persona que hace negocios en Colorado). Las definiciones no fijan ningún umbral de ingresos ni de número de empleados.

• Implementador (deployer): una persona que hace negocios en Colorado y que implementa una ADMT cubierta (6-1-1701(7)).
• Desarrollador: una persona que hace negocios en Colorado y que desarrolla, ofrece, vende, arrienda, licencia o pone de otro modo a disposición comercial una ADMT cubierta. También incluye a quien construye un componente diseñado para ese uso, o modifica de forma intencional y sustancial una ADMT para que quede cubierta (6-1-1701(8)).
• No es desarrollador: quienes desarrollan solo para investigación o solo para uso interno, bajo las condiciones del estatuto; un desarrollador previo cuyo sistema una persona no afiliada cambia para un uso distinto; y un fabricante de componentes que carece de conocimiento real de la integración.
• Consumidor: el significado de la Colorado Privacy Act, más un empleado, un solicitante de empleo que sea residente de Colorado y «any individual whose access to, eligibility for, or opportunity in Colorado is evaluated in a consequential decision by a person doing business in Colorado» (cualquier persona cuyo acceso, elegibilidad u oportunidad en Colorado sea evaluado en una decisión trascendente por una persona que hace negocios en Colorado) (6-1-1701(4)).

Agencias gubernamentales. El Colorado Department of Law dice en la carta de presentación de su borrador provisional del 6 de octubre de 2026 que, con base en las definiciones de implementador y de persona, «the ADMT Law does not apply to governments» (la ley de ADMT no se aplica a los gobiernos). Agrega que «would encourage governments to comply with the ADMT Act to the extent they provide essential government services such as Medicaid» (alentaría a los gobiernos a cumplir con la ADMT Act en la medida en que presten servicios gubernamentales esenciales como Medicaid). Su análisis regulatorio del 21 de octubre de 2026 no coincide del todo con eso: dice que la ley puede añadir trabajo mínimo a la Office of Information Technology del estado «to ensure covered state agencies are in compliance» (para asegurar que las agencias estatales cubiertas cumplan). Estas son declaraciones de la agencia, no una decisión judicial. La lectura de la carta de presentación se apoya en quién cuenta como persona, por lo que no saca del ámbito de servicios esenciales a una empresa privada que hace negocios en Colorado.

Qué deben hacer los desarrolladores (C.R.S. 6-1-1702)

A partir del 1 de enero de 2027, un desarrollador debe entregar a cada implementador, en forma comprensible y que proteja los secretos comerciales:

• Una declaración general de los usos previstos y de los usos dañinos o inapropiados conocidos
• Las categorías de datos, incluidos los datos personales, usados para entrenar el sistema, en la medida en que se conozcan
• Las limitaciones conocidas, incluidos los riesgos conocidos y las circunstancias en que no debe usarse
• Instrucciones para el uso apropiado, el monitoreo y la revisión humana significativa, cuando corresponda
• La información razonablemente necesaria para que el implementador cumpla con el C.R.S. 6-1-1704, con aviso al implementador si algo se retiene

Los desarrolladores también deben dar aviso de las actualizaciones materiales, las modificaciones intencionales y sustanciales, y los cambios en el uso previsto, las limitaciones o la mitigación de riesgos «within a reasonable time» (dentro de un plazo razonable). Las notas públicas de la versión sirven solo si el desarrollador da a cada implementador un aviso directo de esa versión.

Estos deberes se aplican solo cuando la ADMT «was marketed, advertised, configured, contracted, sold, or licensed to be used to materially influence a consequential decision» (fue comercializada, anunciada, configurada, contratada, vendida o licenciada para usarse con el fin de influir de manera material en una decisión trascendente). Los desarrolladores conservan registros de cumplimiento durante al menos tres años después de la creación de un registro, o más tiempo si otra ley lo exige.

Qué deben hacer los implementadores (C.R.S. 6-1-1703 y 6-1-1704)

Antes del uso. Un implementador debe dar a los consumidores un aviso claro y visible de que usó o usará una ADMT cubierta en una decisión trascendente, con instrucciones para obtener más información. Un aviso público destacado «reasonably accessible at points of consumer interaction» (razonablemente accesible en los puntos de interacción con el consumidor) cumple con esto, incluido un enlace o un anuncio razonablemente cercano a la transacción.

Después de un resultado adverso. Dentro de los 30 días posteriores a la decisión, el implementador debe proporcionar:

• Una descripción en lenguaje sencillo de la decisión y del papel que desempeñó la ADMT cubierta
• Instrucciones y un proceso sencillo para solicitar más información, incluidos el nombre del sistema, el número de versión si corresponde, el desarrollador, y los tipos, categorías y fuentes de datos personales usados, en la medida en que el implementador los haya recibido del desarrollador
• Una explicación de los derechos del consumidor y de cómo ejercerlos

Un resultado adverso es una decisión que niega, termina, revoca, o reduce o restringe materialmente el acceso, la elegibilidad, la selección, la compensación o un servicio. También incluye términos diferenciados materialmente menos favorables en comparación con consumidores en situación similar (6-1-1701(1)).

Límites y atajos. Un implementador no necesita revelar secretos comerciales, pero debe informar al consumidor si retiene información. Un acreedor cuyo aviso bajo la Equal Credit Opportunity Act federal también cumpla estos requisitos no necesita enviar un aviso duplicado. Las escuelas sujetas a FERPA pueden usar sus canales de FERPA. Los avisos deben ser razonablemente accesibles para personas con discapacidad y personas con dominio limitado del inglés.

Registros. Los implementadores conservan los registros razonablemente necesarios para demostrar el cumplimiento durante al menos tres años desde la fecha de la decisión, o más tiempo si otra ley lo exige (6-1-1703).

Derechos del consumidor tras una decisión adversa (C.R.S. 6-1-1705)

Si una ADMT cubierta influyó de manera material en una decisión que produjo un resultado adverso, el consumidor puede solicitar, y el implementador debe proporcionar:

• Instrucciones para solicitar los datos personales y para corregir los datos personales «factually incorrect or materially inaccurate» (fácticamente incorrectos o materialmente inexactos) usados en la decisión
• «An opportunity for meaningful human review and reconsideration of the consequential decision, to the extent commercially reasonable» (una oportunidad de revisión humana significativa y de reconsideración de la decisión trascendente, en la medida en que sea comercialmente razonable)

El derecho de corrección no alcanza a las «opinions, predictions, scores, or protected evaluations» (opiniones, predicciones, puntajes o evaluaciones protegidas). Así, un consumidor puede corregir un dato erróneo, pero no puede exigir un puntaje distinto bajo esta sección.

La revisión humana significativa tiene un significado definido. El revisor debe ser designado por el implementador, tener autoridad para «approve, modify, or override» (aprobar, modificar o anular) la decisión, considerar la evidencia primaria relevante disponible, estar capacitado para hacer la revisión, no adoptar por defecto el resultado del sistema y contar con información suficiente para entender ese resultado (6-1-1701(15)).

Aplicación, sanciones y el período de subsanación de 60 días (C.R.S. 6-1-1706)

El Fiscal General hace cumplir la ley a través de la Colorado Consumer Protection Act. Las violaciones de las secciones de divulgación y de derechos del consumidor, 6-1-1702 a 6-1-1705, se hacen cumplir «exclusively by the attorney general» (exclusivamente por el fiscal general). El análisis regulatorio del Department of Law del 21 de octubre de 2026 se refiere de pasada a «the Attorney General and district attorneys» (el Fiscal General y los fiscales de distrito) al hablar de esos deberes de la ADMT, pero la redacción del estatuto es la citada aquí.

Sanciones. Una violación es una práctica comercial engañosa (6-1-1706(2)(a), 6-1-105(1)(uuuu)). La ley en sí no fija una cifra en dólares. La Consumer Protection Act, según se publicó en los C.R.S. de 2025, establece una multa civil de no más de $20,000 por cada violación, contada por separado por cada consumidor o transacción involucrada (6-1-112(1)(a)). El inciso (1)(c) fija hasta $50,000 por violación cuando la violación se cometió contra una persona de edad avanzada.

Subsanación. El período de subsanación tiene condiciones:

• Antes de hacer cumplir la ley, el Fiscal General debe emitir un aviso de violación «if a cure is deemed possible by the attorney general» (si el fiscal general considera posible una subsanación).
• El Fiscal General puede demandar si la violación no se subsana dentro de los 60 días posteriores al aviso.
• No se requiere período de subsanación si el Fiscal General «finds and can demonstrate» (determina y puede demostrar) una violación a sabiendas o violaciones repetidas.
• Un tribunal puede tratar una subsanación dentro de los 60 días como factor atenuante de las sanciones.
• Todo el inciso de subsanación, 6-1-1706(3), se deroga con efecto el 1 de enero de 2030.

Demandas privadas. «Nothing in this part 17 creates a new private right of action» (nada en esta parte 17 crea un nuevo derecho de acción privado). El mismo inciso agrega que nada en la ley limita los derechos existentes bajo la ley estatal o federal, incluidas la Colorado Anti-Discrimination Act, la Consumer Protection Act y la ley de responsabilidad por productos (6-1-1706(4)).

Informes. A partir de enero de 2028, el Fiscal General debe informar cada año sobre las acciones iniciadas y los períodos de subsanación ofrecidos, en la audiencia SMART Act del Department of Law.

Responsabilidad y contratos con proveedores (C.R.S. 6-1-1707)

La reescritura mantiene los reclamos por discriminación en el panorama sin añadir un nuevo deber de cuidado. Un desarrollador o implementador «may be held liable» (puede ser considerado responsable) en una acción que alegue discriminación ilícita bajo la ley estatal antidiscriminación, derivada de una decisión influida materialmente por una ADMT cubierta.

• Culpa: se distribuye entre implementadores y desarrolladores según su culpa relativa. La sección no crea responsabilidad solidaria, salvo en lo que permita la ley vigente.
• Desarrolladores: responden bajo esta sección solo en la medida en que el implementador usó el sistema según lo previsto, documentado, comercializado, anunciado, configurado o contratado, y este influyó de manera material en la decisión.
• Indemnización: una cláusula contractual que indemniza a una parte por su responsabilidad por sus propios actos u omisiones en violación de la ley antidiscriminación de Colorado es «contrary to public policy and void» (contraria al orden público y nula), con excepciones señaladas. Los reclamos de seguros no se limitan.
• Sin defensa: el cumplimiento de la ley «is not a defense to» (no es una defensa frente a) el incumplimiento de cualquier otra ley aplicable.

Exenciones: aseguradoras, entidades de HIPAA y productos regulados por la FDA

La sección 6-1-1708 de la propia SB 26-189 establece exclusiones sectoriales:

• Aseguradoras: una aseguradora y sus afiliadas sujetas al C.R.S. 10-3-1104.9 «are in compliance with this part 17 in the practice of insurance» (cumplen con esta parte 17 en el ejercicio de los seguros). Los usos en las decisiones de empleo de la propia aseguradora siguen cubiertos.
• Entidades cubiertas y socios comerciales de HIPAA: las secciones 6-1-1701 a 6-1-1706 no se aplican, salvo para una decisión sobre empleo o una oportunidad de empleo. Para un proveedor de atención médica, esto aplica solo si opera desde una ubicación en Colorado.
• Deberes de aviso que permanecen para las entidades cubiertas: un aviso general a los pacientes sobre el uso de tecnologías avanzadas. Si una ADMT cubierta determina la elegibilidad para asistencia financiera, incluida la atención con descuento, la entidad debe cuatro divulgaciones específicas, ya sea por adelantado o dentro de los 30 días calendario posteriores a un resultado adverso.
• FDA: los dispositivos médicos bajo supervisión de la FDA, y la investigación y el desarrollo de los fabricantes de medicamentos o dispositivos bajo supervisión de la FDA.
• Ley de privacidad: nada exige una divulgación que violaría la ley federal de privacidad de la salud o la Gramm-Leach-Bliley Act.

Colorado AI Act (SB 24-205): qué pasó con la ley de 2024

Colorado aprobó en 2024 una amplia ley de IA de alto riesgo. La SB 24-205, firmada el 17 de mayo de 2024, iba a exigir a los desarrolladores e implementadores de sistemas de IA de alto riesgo que usaran cuidado razonable contra la discriminación algorítmica a partir del 1 de febrero de 2026.

La SB 25B-004, firmada el 28 de agosto de 2025, movió entonces la fecha una vez, al 30 de junio de 2026.

La SB 24-205 se convirtió en ley el 17 de mayo de 2024, y sus deberes para desarrolladores e implementadores se redactaron para aplicarse «On and after June 30, 2026» (a partir del 30 de junio de 2026), la fecha fijada por la SB 25B-004. La SB 26-189 se firmó el 14 de mayo de 2026 pero, salvo unos pocos incisos que entraron en vigor al ser aprobada, la Sección 5 de esa ley fija su fecha de vigencia en el 1 de enero de 2027. Esa es la fecha en que la derogación y nueva promulgación entra en vigor, y la nueva ley se aplica a las decisiones tomadas a partir de esa fecha.

No encontramos nada en ninguna de las dos leyes que suspenda los deberes de 2024 del 30 de junio al 31 de diciembre de 2026, ni ninguna decisión sobre la cuestión en la copia pública del expediente de xAI. Una orden de un tribunal federal impide que el Fiscal General inicie acciones de aplicación por presuntas violaciones ocurridas o que ocurran hasta 14 días después de una decisión sobre la medida cautelar preliminar, y la copia pública del expediente no muestra tal decisión.

La tabla compara el texto promulgado de la SB 24-205 con el texto promulgado de la SB 26-189.

No hay puerto seguro del NIST ni de ISO en la SB 26-189. Además, el cumplimiento de la ley no es una defensa frente a otras leyes.

Reglamentación del Fiscal General (4 CCR 904-6)

La SB 26-189 exige que el Fiscal General adopte reglas sobre las divulgaciones posteriores a un resultado adverso y sobre los derechos del consumidor «on or before January 1, 2027» (a más tardar el 1 de enero de 2027) (6-1-1704(4)(b), 6-1-1705(3)). Esos dos incisos de reglamentación entraron en vigor al ser aprobada la ley, junto con el 6-1-1706(6), una disposición sobre acumulación de partes, y la autoridad reglamentaria sobre seguros en el 10-3-1104.9(3)(e). La autoridad reglamentaria general del Fiscal General en el 6-1-1706(5) no está en la lista de lo vigente desde la aprobación.

La página de reglamentación cubre tanto la ADMT Act como la Chatbot Safety Act en un solo conjunto de reglas:

El mayor asunto abierto es el significado de «materially influence» (influir de manera material). El aviso de agosto ofrecía dos definiciones de un factor insignificante (de minimis): una con «only a trifling, trivial, or incidental impact» (solo un impacto mínimo, trivial o incidental), la otra «not a substantial factor» (no un factor sustancial). El borrador provisional del 6 de octubre usa la redacción «not a substantial factor».

El borrador provisional también propone una presunción refutable de influencia material. Se aplica cuando un resultado restringe un conjunto de opciones, fija un umbral, o produce un ranking, puntaje, clasificación, recomendación, predicción u otra inferencia que se refiere a la persona, es revisado por quien decide o filtra datos para quien decide, y es coherente con el resultado. La Regla 1.3 del borrador dice que las reglas entran en vigor el 1 de enero de 2027.

Como el borrador no es definitivo, su presunción, sus ejemplos y su numeración pueden cambiar. Importa más allá de la planificación del cumplimiento: la adopción final de las reglas inicia el plazo de xAI en el tribunal federal.

xAI v. Weiser: la demanda federal y la orden sobre las acciones de aplicación

X.AI LLC v. Weiser, No. 1:26-cv-01515 (D. Colo.), se presentó el 9 de abril de 2026 contra el Fiscal General de Colorado y cuestiona la SB 24-205. Está asignada al juez presidente Daniel D. Domenico y remitida al magistrado Cyrus Y. Chung.

xAI alega reclamos de la Primera Enmienda (dos cargos), un reclamo de extraterritorialidad bajo la Cláusula de Comercio, un reclamo de carga bajo Pike, vaguedad e igual protección. No hay cargo de preeminencia federal.

El 24 de abril de 2026, el Departamento de Justicia intervino en la demanda de xAI. Se apoya en 42 U.S.C. 2000h-2, parte de la Civil Rights Act de 1964, y alega dos cargos de igual protección. Su demanda cita la Executive Order 14365 y no menciona el AI Litigation Task Force.

Qué dice la orden del 27 de abril de 2026

El 27 de abril de 2026, el magistrado Chung dictó una orden breve (minute order, ECF 24) que concede una moción conjunta y una estipulación de xAI, Estados Unidos y el Fiscal General (ECF 22). Los términos operativos:

• El Fiscal General «shall not initiate enforcement, including but not limited to the initiation of an investigation, for alleged violations of SB24-205 (or any legislation replacing or amending SB24-205 enacted during this legislative session) that occurred or may occur on or before 14 days after the date the Court issues a ruling on xAI's forthcoming motion for a preliminary injunction in this case» (no iniciará acciones de aplicación, incluido, entre otros, el inicio de una investigación, por presuntas violaciones de la SB24-205 (o de cualquier legislación que la reemplace o modifique promulgada durante esta sesión legislativa) que hayan ocurrido o puedan ocurrir hasta 14 días después de la fecha en que el tribunal emita una decisión sobre la próxima moción de xAI de medida cautelar preliminar en este caso).
• xAI debe presentar su moción de medida cautelar preliminar y, si es necesario, una demanda enmendada «within 28 days after final adoption of rulemaking implementing SB24-205 or any legislation that may replace or amend SB24-205» (dentro de los 28 días posteriores a la adopción final de la reglamentación que implemente la SB24-205 o cualquier legislación que pueda reemplazarla o modificarla).
• La conferencia de calendario del 16 de junio de 2026 queda anulada, y los plazos del caso quedan suspendidos hasta que se decida esa moción.

Qué hace y qué no hace la orden

• Se basa en la conducta. El impedimento se formula según cuándo ocurrió la presunta violación, hasta 14 días después de una decisión sobre la medida cautelar preliminar. No es una fecha final fija.
• No es una decisión sobre el fondo. El tribunal encontró causa justificada para suspender el caso y no hizo ninguna determinación sobre la validez de la ley. No se ha concedido ninguna medida cautelar preliminar tras una moción impugnada.
• Obliga al Fiscal General, el demandado. En la estipulación, se describe al Fiscal General como titular de la autoridad exclusiva para hacer cumplir la SB 24-205.
• No dice que los deberes estén suspendidos. Restringe las acciones para hacer cumplir la ley. El texto de la propia SB 26-189 sigue fijando el 1 de enero de 2027 como su fecha de vigencia.

La cadena corre en este orden: adopción final de las reglas, una moción de medida cautelar preliminar dentro de 28 días, una decisión y luego el fin del período cubierto 14 días después. La copia pública de RECAP del expediente muestra 25 asientos, el último fechado el 2 de octubre de 2026, y ninguna moción de ese tipo. Las copias de RECAP pueden ir rezagadas respecto del sistema del propio tribunal, por lo que una presentación posterior podría no aparecer allí.

Por separado de la orden, la carta de presentación del Department of Law al borrador provisional del 6 de octubre de 2026 responde a las solicitudes de un período de gracia. Dice que las leyes entran en vigor el 1 de enero de 2027, que la política del Fiscal General «has been to focus on egregious and intentional violations of the law» (ha sido centrarse en violaciones flagrantes e intencionales de la ley) y que la oficina «will exercise appropriate discretion in enforcement of the laws» (ejercerá una discreción apropiada en la aplicación de las leyes) mientras las entidades trabajan para ponerse en cumplimiento. Esa es una declaración de política, no una regla.

Chatbot Safety Act (HB 26-1263)

La HB 26-1263 (Capítulo 208, aprobada el 29 de mayo de 2026) regula a los operadores de un «conversational artificial intelligence service» (servicio de inteligencia artificial conversacional). Eso significa un sistema de IA «accessible to the general public» (accesible al público en general) que «primarily simulates human conversation and interaction through adaptive textual, visual, or aural communications» (simula principalmente la conversación y la interacción humanas mediante comunicaciones adaptativas textuales, visuales o auditivas).

La ley enumera 12 exclusiones. Incluyen herramientas para desarrolladores e investigadores, bots de comercio y de servicio al cliente, bots de temas acotados que no pueden producir contenido sexual ni mantener un diálogo sobre autolesiones, herramientas empresariales, uso empresarial interno, ciertos asistentes de voz, personajes de videojuegos y parques temáticos, entidades cubiertas por HIPAA y ciertas herramientas escolares. Una tienda de aplicaciones o un motor de búsqueda no es un operador únicamente por dar acceso.

Deberes respecto de menores (menores de 18 años), desde el 1 de enero de 2027, cuando el operador sabe que un usuario es menor:

• Revelar claramente que el usuario está hablando con una IA, mediante un aviso persistente, un aviso de audio intermitente, o al inicio de cada interacción y al menos cada tres horas
• Ningún punto ni recompensa similar a intervalos impredecibles destinados a aumentar la interacción
• Medidas técnicamente factibles contra la conducta sexual explícita, las representaciones digitales íntimas y la interacción sexualizada con el menor
• Medidas razonables contra respuestas que simulen «emotional dependence or isolation from real-world supports» (dependencia emocional o aislamiento de los apoyos del mundo real), incluidas afirmaciones de ser humano o sintiente, declaraciones de compañía romántica y juegos de rol románticos entre adulto y menor
• Herramientas de privacidad y de cuenta para el menor y para su padre, madre o tutor, incluido el control sobre la memoria y el uso de datos para entrenamiento

Los operadores deben usar «commercially reasonable methods or generally accepted methods» (métodos comercialmente razonables o generalmente aceptados) para estimar la edad y no pueden «willfully disregard clear and convincing information» (ignorar deliberadamente información clara y convincente) de que un usuario es menor.

Deberes respecto de todos los usuarios, desde el 1 de enero de 2027:

• Divulgación de que es una IA en la primera interacción de cada día, al menos cada tres horas o de forma persistente, y en respuesta a una indicación (prompt) del usuario
• Un protocolo de suicidio y autolesiones con derivación a un proveedor de servicios de crisis, «but not including a law enforcement agency» (pero sin incluir a una agencia de aplicación de la ley)
• Ninguna afirmación de que el resultado es prestado por, avalado por o equivalente a los servicios de un profesional de la salud con licencia, un profesional del derecho con licencia, un profesional de salud mental con licencia o un dietista calificado

Informes. «On and after July 1, 2027» (a partir del 1 de julio de 2027), los operadores informan anualmente al Fiscal General sobre las derivaciones de crisis y los protocolos, sin identificadores de usuarios. El Fiscal General debe publicar datos de los informes.

Aplicación. La HB 26-1263 no tiene un inciso de aplicación propio y no fija ninguna sanción. Las reglas propuestas del Fiscal General cubren la ley, citando su autoridad reglamentaria. El análisis regulatorio del Colorado Department of Law del 21 de octubre de 2026 dice que «a violation of the ADMT Act or Chatbot Safety Act is considered an unfair trade practice under the CCPA» (una violación de la ADMT Act o de la Chatbot Safety Act se considera una práctica comercial desleal bajo la CCPA), es decir, la Colorado Consumer Protection Act, y se refiere a la aplicación por «the Attorney General and district attorneys under the Chatbot Safety Act» (el Fiscal General y los fiscales de distrito bajo la Chatbot Safety Act). Esa es la lectura de la agencia, no una decisión judicial. Si se sostiene, la multa civil de la Consumer Protection Act de hasta $20,000 por violación sería el punto de partida. Vea las preguntas abiertas más abajo.

IA en la atención médica: HB 26-1139 y HB 26-1195

HB 26-1139: revisión de utilización y cobertura de psicoterapia con IA

La HB 26-1139 (Capítulo 325, aprobada el 2 de junio de 2026) entra en vigor el 1 de enero de 2027, a menos que se haya presentado una petición de referéndum. Añade los C.R.S. 10-16-112.7 y 25.5-1-209.

Se aplica a las aseguradoras (carriers) que usan IA para la revisión de utilización o que trabajan por medio de alguien que lo hace. También se aplica a los administradores de beneficios de farmacia y a las organizaciones privadas de revisión de utilización contratadas por una aseguradora, así como a las organizaciones administrativas de servicios de salud conductual y a las entidades de atención administrada que revisan servicios de salud mental o conductual.

Esas entidades deben asegurarse de que la IA base su determinación en el historial clínico y las circunstancias de la persona, y no únicamente en datos de grupo. Deben conservar documentación, registros de auditoría y registros de gobernanza de modelos, y presentar divulgaciones escritas ante la Division of Insurance, el Department of Human Services o el Department of Health Care Policy and Financing, según corresponda.

El límite clave: la denegación de una aseguradora basada total o parcialmente en la necesidad médica «shall not be issued solely on the output of an artificial intelligence system without human review and approval of the denial by a licensed clinician, licensed physician, or other regulated professional» (no se emitirá únicamente con base en el resultado de un sistema de inteligencia artificial sin la revisión humana y la aprobación de la denegación por un clínico con licencia, un médico con licencia u otro profesional regulado) competente para evaluar las cuestiones clínicas. La IA aún puede asistir en la revisión de utilización, incluidas las aprobaciones aceleradas.

La ley también prohíbe la cobertura o el pago de servicios de psicoterapia «provided directly to an individual» (prestados directamente a una persona) y «conducted by an artificial intelligence system» (realizados por un sistema de inteligencia artificial). Para las aseguradoras, eso aplica a los planes emitidos o renovados a partir de la fecha de vigencia. Una sección paralela alcanza a los pagadores bajo la Colorado Medical Assistance Act y la Children's Basic Health Plan Act.

HB 26-1195: IA y terapeutas

La HB 26-1195 (Capítulo 358, aprobada el 3 de junio de 2026) fija el 12 de agosto de 2026 como su fecha de vigencia si la sesión terminó el 13 de mayo de 2026 y no se presentó una petición de referéndum. Se aplica a las acciones a partir de esa fecha. No hemos confirmado el estado de la petición.

Un titular de licencia, un registrado, un titular de certificado u otra persona legalmente autorizada para prestar servicios de psicoterapia (un proveedor, en adelante) puede usar IA para apoyo administrativo y complementario, como la programación de citas, la facturación y las notas de terapia, y sigue siendo responsable de revisar los resultados. Un proveedor no puede permitir que la IA participe en comunicación terapéutica sin la participación sincrónica y en tiempo real del proveedor, ni que genere recomendaciones terapéuticas o planes de tratamiento sin la revisión y aprobación del proveedor.

Usar IA para grabar o transcribir una sesión requiere aviso previo por escrito y consentimiento por escrito del cliente o de su representante legalmente autorizado. El consentimiento se necesita para el uso inicial, no para cada sesión, salvo que el propósito o la forma de uso cambie materialmente. Una negativa o revocación no puede usarse para negar servicios.

Los proveedores también deben dar a los clientes información escrita sobre estas prohibiciones en el contacto inicial. Para una persona con licencia, registro o certificación bajo el artículo de práctica de salud mental, el incumplimiento es una violación del C.R.S. 12-245-224(1)(y).

La sección no se aplica a un proveedor que use o recomiende herramientas de autoayuda, coaching, diario, monitoreo del estado de ánimo o bienestar similares, o ciertas herramientas autorizadas por la FDA, que no diagnostiquen ni traten trastornos de salud mental y que revelen claramente que no sustituyen la atención clínica (12-245-224.5(9)). Los programas de capacitación aprobados y la investigación de las juntas de revisión tienen sus propias exclusiones.

Por separado, el nuevo C.R.S. 6-1-1705.2 se aplica a cualquier «person» (persona). Prohíbe lenguaje de publicidad, de interfaz o de resultados que implique que el resultado de la IA proviene de un terapeuta con licencia, está avalado por él o equivale a sus servicios, que represente que el sistema presta servicios de psicoterapia, o que sugiera una confidencialidad al estilo terapeuta-cliente. Los programas de capacitación, la investigación de las juntas de revisión y ciertas herramientas de bienestar o autorizadas por la FDA que no diagnostican ni tratan, y que revelan que no sustituyen la atención clínica, están excluidos.

IA en la contratación y el empleo

El empleo es uno de los siete ámbitos de la ADMT Act, por lo que los deberes de aviso, de resultado adverso y de revisión humana de la ley se aplican a las decisiones cubiertas de contratación y empleo desde el 1 de enero de 2027, sujetos a la orden judicial sobre las acciones de aplicación descrita arriba. «Consumer» (consumidor) incluye expresamente a un empleado y a un solicitante de empleo que sea residente de Colorado.

La SB 26-189 no tiene un requisito de auditoría de sesgo, y no encontramos ninguno para herramientas de contratación en las otras leyes de Colorado revisadas en esta página. Esa búsqueda no fue un barrido completo de la ley de Colorado. Los reclamos de discriminación existentes siguen disponibles bajo la Colorado Anti-Discrimination Act, y el 6-1-1707 aborda cómo se reparte la culpa en esos casos.

Algoritmos de seguros: SB 21-169

La SB 21-169, en el C.R.S. 10-3-1104.9, prohíbe a las aseguradoras discriminar injustamente por raza, color, origen nacional o étnico, religión, sexo, orientación sexual, discapacidad, identidad de género o expresión de género en cualquier práctica de seguros, incluso mediante datos externos de consumidores, algoritmos y modelos predictivos.

El Reglamento 10-1-1 modificado de la Division of Insurance, que cubre a las aseguradoras de vida individual, de automóviles particulares y de planes de beneficios de salud, está vigente desde el 15 de octubre de 2025. Las aseguradoras que no usan tales datos o modelos presentan una atestación cada 1 de diciembre.

La SB 26-189 añadió el 10-3-1104.9(3)(e), vigente desde su aprobación, que permite al comisionado adoptar reglas sobre los avisos y las divulgaciones de las aseguradoras a los consumidores.

Deepfakes en Colorado

La HB 24-1147, vigente desde el 1 de julio de 2024, restringe los deepfakes no divulgados de candidatos cerca de una elección y exige una declaración de divulgación determinada. La SB 25-288 cubre las representaciones digitales íntimas, con delitos en los C.R.S. 18-7-107 a -109 y un reclamo civil cuyos remedios incluyen el mayor entre los daños reales o $150,000 en daños liquidados (C.R.S. 13-21-1506). Nuestra guía de leyes de deepfakes de Colorado cubre ambas en detalle.

Asistentes de IA que toman notas y grabación en Colorado

Los asistentes de reuniones con IA plantean preguntas sobre el consentimiento para grabar que se tratan en nuestra página sobre leyes de grabación de reuniones con IA en Colorado. La única regla de grabación específica de IA entre las leyes revisadas en esta página es el aviso y consentimiento por escrito de la HB 26-1195 para las sesiones de terapia, descrito arriba.

Otros proyectos de ley de IA de Colorado y uso gubernamental

Grupo de trabajo. La HB 24-1468 reconstituyó el grupo de trabajo sobre el impacto de la IA en el C.R.S. 2-3-1707, con 26 miembros, cuatro de ellos legisladores. La sección se deroga con efecto el 1 de septiembre de 2027.

Proyectos de ley que no se convirtieron en ley. Al 4 de noviembre de 2026, las páginas de proyectos de ley de la Asamblea General muestran estos estados:

• HB 26-1210, que limita el uso de datos personales íntimos para hacer inferencias sobre la situación financiera de una persona: Did Not Become Law (no se convirtió en ley).
• HB 25-1004, sobre dispositivos algorítmicos de fijación de rentas: Did Not Become Law (no se convirtió en ley).
• HB 24-1057, sobre la fijación algorítmica de rentas por arrendadores: Lost (perdido).
• SB 25-318, un proyecto de ley de 2025 para modificar la ley de 2024: Lost (perdido).

No encontramos ningún estatuto de Colorado sobre seguridad de modelos de frontera. Esa búsqueda cubrió proyectos de ley nombrados y resultados web, no un barrido completo de las leyes de sesión.

Política federal de IA y Colorado

Al 4 de noviembre de 2026, no encontramos ningún estatuto federal en las leyes públicas del 119.º Congreso que establezca reglas generales para los sistemas de IA privados o que, en general, prevalezca sobre las leyes estatales de IA. En diciembre de 2025, la Executive Order 14365 ordenó a las agencias federales impugnar o desalentar las leyes estatales de IA que el gobierno considera en conflicto con la política nacional, y pidió al Congreso un marco federal. La orden en sí no declara inválida ninguna ley estatal. Vea nuestras páginas sobre las órdenes ejecutivas de Trump sobre IA y la preeminencia federal sobre las leyes estatales de IA.

La Executive Order 14365 se refiere a «a new Colorado law banning 'algorithmic discrimination'» (una nueva ley de Colorado que prohíbe la «discriminación algorítmica») sin nombrar una ley. La declaración de política propuesta de la FTC nombra la «Colorado's recently revised Artificial Intelligence Act» (Artificial Intelligence Act de Colorado, recientemente revisada) y dice que «the new version poses many of the same concerns» (la nueva versión plantea muchas de las mismas preocupaciones). Esa es una declaración propuesta sobre los puntos de vista de la agencia.

Qué cambia en la ley de IA de Colorado en 2027

La sesión ordinaria de 2027 no se ha iniciado. Al 4 de noviembre de 2026, no encontramos ningún proyecto de ley de IA de Colorado presentado con anticipación para 2027. Esa búsqueda cubrió páginas de proyectos de ley que abrimos en leg.colorado.gov y resultados web, no un barrido de texto completo, por lo que no demuestra que ninguno exista.

Preguntas abiertas que la ley de Colorado no ha resuelto

• Del 30 de junio al 31 de diciembre de 2026. No encontramos ninguna decisión judicial sobre cómo se aplican los deberes de 2024, fechados el 30 de junio de 2026, a las decisiones tomadas antes de que la derogación entre en vigor el 1 de enero de 2027. No adoptamos ninguna posición más allá de la redacción de arriba.
• Dos secciones numeradas 6-1-1708. La SB 26-189 y la HB 26-1263 promulgan cada una un 6-1-1708. El borrador provisional del Fiscal General se refiere a la sección sobre chatbots como 6-1-1710. Hasta que el codificador publique, la citamos como C.R.S. 6-1-1708 según lo promulgado por la HB 26-1263.
• Aplicación respecto de chatbots. La HB 26-1263 y el 6-1-1705.2 de la HB 26-1195 están ambos en la parte 17, y la SB 26-189 dice que una violación de la parte 17 es una práctica comercial engañosa. Ninguno de esos dos proyectos dice cómo se aplica eso a su nueva sección. El análisis regulatorio del Department of Law trata una violación relacionada con chatbots como una práctica comercial desleal bajo la Consumer Protection Act y menciona a los fiscales de distrito además del Fiscal General. En la SB 26-189, la cláusula de exclusividad del 6-1-1706(1)(b) nombra solo del 6-1-1702 al 6-1-1705. Pero el 6-1-1706(1)(a) dice que el Fiscal General hace cumplir la parte 17, y el 6-1-1706(2)(b) deja de lado las disposiciones de la Consumer Protection Act incompatibles con la autoridad exclusiva del Fiscal General respecto de una violación de la parte 17. No encontramos ninguna decisión judicial sobre cómo encajan esas disposiciones.
• Alcance de la orden. El ECF 24 cubre la SB 24-205 y la legislación que la «replacing or amending» (reemplace o modifique) promulgada en esa sesión. No nombra la HB 26-1263 ni la HB 26-1195, y no encontramos nada que aborde si las alcanza.
• Momento de la estimación de edad. En la HB 26-1263, la oración que exige la estimación de edad no lleva una fecha propia. La fecha del 1 de enero de 2027 se aplica a los deberes que la siguen.
• Una referencia cruzada. La HB 26-1139 toma prestada su definición de «artificial intelligence system» (sistema de inteligencia artificial) del C.R.S. 6-1-1701(2). Tras la nueva promulgación de la SB 26-189, ese inciso define la ADMT.
• Peticiones de referéndum. La HB 26-1263, la HB 26-1139 y la HB 26-1195 llevan cada una una cláusula de referéndum. No hemos confirmado si se presentó alguna petición. La SB 26-189 tiene en cambio una cláusula de seguridad.

Más leyes de Colorado

• Leyes de Grabación de Colorado
• Leyes de Privacidad de Datos de Colorado
• Leyes de Cámaras de Vigilancia de Colorado
• Leyes de Verificación de Antecedentes de Colorado
• Leyes de Denunciantes de Colorado

Preguntas frecuentes

¿Tiene Colorado una ley de IA?

Sí. La principal ley de IA de Colorado es la ADMT Act (SB 26-189), firmada el 14 de mayo de 2026 y programada para entrar en vigor el 1 de enero de 2027. Colorado también tiene leyes sobre chatbots, IA en la cobertura de salud, IA en la psicoterapia, algoritmos de aseguradoras y deepfakes, con fechas distintas.

¿Cuándo entra en vigor la Colorado AI Act?

La ley reescrita, la SB 26-189, entra en vigor el 1 de enero de 2027, para las decisiones trascendentes tomadas a partir de esa fecha. Esa fecha no permite por sí sola iniciar acciones para hacer cumplir la ley. Una orden de un tribunal federal impide que el Fiscal General inicie acciones de aplicación por presuntas violaciones ocurridas o que ocurran hasta 14 días después de una decisión sobre la esperada moción de medida cautelar preliminar de xAI, y esa fecha final se desconoce.

¿Se derogó la Colorado AI Act?

La SB 24-205 se convirtió en ley el 17 de mayo de 2024, con deberes para desarrolladores e implementadores fechados el 30 de junio de 2026. La SB 26-189, firmada el 14 de mayo de 2026, la deroga y la vuelve a promulgar, y según la Sección 5 de esa ley la derogación entra en vigor el 1 de enero de 2027. La ley reescrita se aplica a las decisiones tomadas a partir de esa fecha. No encontramos nada en ninguna de las dos leyes que suspenda los deberes de 2024 del 30 de junio al 31 de diciembre de 2026, y una orden de un tribunal federal impide que el Fiscal General inicie acciones de aplicación por presuntas violaciones ocurridas o que ocurran hasta 14 días después de una decisión sobre la medida cautelar preliminar.

¿Bloqueó un tribunal la Colorado AI Act?

Ningún tribunal se ha pronunciado sobre el fondo, y no se ha concedido ninguna medida cautelar tras una moción impugnada. El 27 de abril de 2026, un magistrado dictó una orden, a partir de una estipulación, que impide que el Fiscal General inicie acciones de aplicación durante un período definido de presuntas violaciones. El tribunal no hizo ninguna determinación sobre la validez de la ley.

¿Demandó el Departamento de Justicia a Colorado por su ley de IA?

El Departamento de Justicia intervino en la demanda de xAI contra el Fiscal General de Colorado el 24 de abril de 2026, apoyándose en 42 U.S.C. 2000h-2 y alegando dos cargos de igual protección. Su demanda no menciona el AI Litigation Task Force.

¿A quién se aplica la ADMT Act de Colorado?

Se aplica a las personas que hacen negocios en Colorado y que desarrollan o implementan una ADMT cubierta, es decir, tecnología usada para influir de manera material en una decisión trascendente en uno de siete ámbitos. Las definiciones no fijan ningún umbral de ingresos ni de número de empleados. Se aplican exclusiones y exenciones sectoriales, incluidas las de las aseguradoras sujetas al C.R.S. 10-3-1104.9 y las de las entidades cubiertas por HIPAA. La carta de presentación del Colorado Department of Law a su borrador provisional de octubre de 2026 dice que la ley de ADMT no se aplica a los gobiernos, lo cual es la lectura de la agencia, no una decisión judicial.

¿Qué exige la SB 26-189 de Colorado?

Los desarrolladores entregan documentación a los implementadores. Los implementadores dan aviso antes del uso, explican un resultado adverso en un plazo de 30 días y, previa solicitud, ofrecen una vía para corregir datos personales y una revisión humana significativa en la medida en que sea comercialmente razonable. Ambos conservan registros por al menos tres años.

¿Cuáles son las sanciones bajo la Colorado AI Act?

La SB 26-189 no fija una cifra en dólares. Una violación es una práctica comercial engañosa, y la Colorado Consumer Protection Act, según se publicó en los C.R.S. de 2025, establece una multa civil de hasta $20,000 por violación, o hasta $50,000 cuando se comete contra una persona de edad avanzada. El Fiscal General hace cumplir la ley, con un período de subsanación de 60 días cuando el Fiscal General considera posible la subsanación.

¿Puedo demandar a una empresa bajo la Colorado AI Act?

La SB 26-189 no crea ningún derecho de acción privado nuevo. Tampoco limita los derechos existentes, incluidos los reclamos bajo la Colorado Anti-Discrimination Act y la Consumer Protection Act.

¿Hay un puerto seguro del NIST en la ley de IA de Colorado?

No en la SB 26-189. Una defensa vinculada a un marco reconocido de gestión de riesgos de IA aparecía en la SB 24-205. La ley reescrita no tiene deber de cuidado razonable, programa de riesgos ni evaluación de impacto a los que una defensa así pueda asociarse, y su cumplimiento no es una defensa frente a otras leyes.

¿Ha adoptado Colorado reglas para su ley de IA?

Al 4 de noviembre de 2026, la página del Fiscal General muestra reglas propuestas (4 CCR 904-6) y una audiencia el 26 de octubre de 2026, pero ninguna adopción. La SB 26-189 exige reglas de divulgación y de derechos del consumidor a más tardar el 1 de enero de 2027.

¿Tiene Colorado una ley sobre chatbots?

Sí. La HB 26-1263, la Chatbot Safety Act, exige a los operadores de servicios públicos de IA conversacional que revelen que los usuarios están hablando con una IA, sigan un protocolo de suicidio y autolesiones y protejan a los menores conocidos, con deberes desde el 1 de enero de 2027. Los informes anuales al Fiscal General comienzan a partir del 1 de julio de 2027. Muchas herramientas empresariales y de propósito acotado están excluidas.

¿Puede una aseguradora de salud de Colorado denegar un reclamo usando IA?

A partir del 1 de enero de 2027, a menos que se haya presentado una petición de referéndum, la HB 26-1139 dice que la denegación de una aseguradora por necesidad médica no puede emitirse únicamente con base en el resultado de un sistema de IA sin la revisión y aprobación de un clínico con licencia, un médico con licencia u otro profesional regulado competente. La IA aún puede asistir en la revisión de utilización.

¿Puede un terapeuta usar IA en Colorado?

La HB 26-1195 permite la IA para apoyo administrativo y complementario si el proveedor revisa los resultados. Prohíbe que la IA participe en comunicación terapéutica sin la participación en tiempo real del proveedor, y que genere planes de tratamiento sin la revisión y aprobación del proveedor. Grabar o transcribir una sesión con IA requiere aviso y consentimiento por escrito. Ciertas herramientas de bienestar y autorizadas por la FDA que no diagnostican ni tratan están excluidas.

¿Exige Colorado auditorías de sesgo para las herramientas de contratación con IA?

La SB 26-189 no tiene un requisito de auditoría de sesgo, y no encontramos ninguno para herramientas de contratación en las otras leyes de Colorado revisadas en esta página, aunque esa búsqueda no fue un barrido completo de la ley de Colorado. La ADMT Act cubre las decisiones de empleo desde el 1 de enero de 2027, con deberes de aviso, de resultado adverso y de revisión humana en lugar de una auditoría.