La ley empieza por quien examina
California ha puesto bajo regulación a los profesionales que examinan modelos de IA. AB 1405, firmada por el gobernador Gavin Newsom el 9 de septiembre de 2026, ordena crear antes del 1 de enero de 2029 un registro público de auditores y fija las condiciones para vender ciertas auditorías. Desde esa fecha, una persona no podrá ofrecer, vender ni realizar una «auditoría de IA cubierta» sin estar inscrita.
La palabra «cubierta» limita el alcance. AB 1405 define esa auditoría como la evaluación de controles internos, procesos o sistemas implementados para que un sistema o modelo de IA cumpla la legislación estatal. La definición separa estas auditorías de comentarios técnicos, evaluaciones académicas o pruebas informales que no evalúan controles, procesos o sistemas necesarios para el cumplimiento legal. La prohibición alcanza a quien ofrezca, venda o realice el trabajo cubierto, incluso si no intervienen las tres actividades.
Ese mismo 9 de septiembre, California promulgó SB 813, que crea un marco para designar organizaciones de verificación independientes. El texto centra su función en evaluar los riesgos que plantean sistemas y modelos de IA y en establecer métricas y metodologías. También aclara que una organización no necesita auditar cumplimiento legal para inscribirse ante la agencia. El comunicado del gobernador presentó la ley como una vía para evaluar cumplimiento de normas estatales; esa descripción no reemplaza la definición más precisa del texto promulgado. AB 1405 aborda otra pieza: quién puede ofrecer una auditoría cubierta, qué debe revelar y qué reglas de independencia debe respetar.
Un número de registro no es una medalla
El Gobierno de Operaciones de California debe crear el registro y emitir un número único para cada auditor. Ese número tendrá que aparecer de manera visible en los materiales publicitarios que ofrezcan o soliciten servicios de auditoría cubierta. La agencia publicará la información entregada por cada auditor y habilitará un mecanismo para que las personas comuniquen conductas indebidas de profesionales inscritos.
La misma ley impide vender el registro como aval. La página estatal deberá advertir de forma destacada que la inscripción no constituye una recomendación ni un respaldo del auditor por parte de California. La precisión parece obvia hasta que se imagina la publicidad: «registrado por el estado» suena a evaluación estatal, aunque el registro no sea una declaración de que un sistema supera una prueba de seguridad. El legislador anticipó esa confusión y ordenó combatirla en la propia interfaz del registro.
La inscripción sí exige información que permite escrutar al auditor. Debe identificar las leyes o regulaciones que sus servicios evalúan, las certificaciones pertinentes y los estándares que aplica. La ley requiere procedimientos operativos y que el auditor describa en qué basa sus afirmaciones sobre exactitud, fiabilidad o validez de sus protocolos. Permite redacciones razonables para proteger secretos comerciales. La agencia publica la información que recibe, pero cada informe de auditoría no se convierte por ello en un documento abierto al público.
Ese último punto determina a quién le habla el examen. AB 1405 ordena entregar el informe al cliente auditado. El documento debe describir objetivos y alcance, presentar los resultados y la evidencia que los sostiene, identificar deficiencias y proponer medidas razonables para corregirlas cuando corresponda. También debe indicar si la entidad auditada implementó y siguió los estándares y protocolos de seguridad internos comprendidos en el alcance. Debe decir qué quedó fuera de la evaluación y qué lagunas materiales de evidencia, información, sistemas o acceso limitaron el trabajo. El auditor firma y fecha una declaración de que cumplió los requisitos de la ley. El destinatario inmediato es la organización evaluada; la publicación íntegra no está impuesta por esta regla de registro.
Independencia significa algo más que no trabajar para la empresa
El auditor recibirá honorarios de quien lo contrata. AB 1405 no considera que cobrar una tarifa razonable, por sí solo, destruya la independencia. Prohíbe la auditoría cuando una relación financiera, laboral, comercial o de otra clase pueda razonablemente afectar la objetividad. También impide que el auditor evalúe su propio trabajo —por ejemplo, controles que diseñó o implantó para el cliente— y que una persona encargada de la auditoría negocie o acepte empleo con ese cliente mientras participa en el examen. Quien haya tenido en los doce meses anteriores responsabilidad material o participación material en el objeto auditado no puede ser asignado a revisarlo.
La norma reconoce así el conflicto sin recurrir a una ficción cómoda: que un tercero cobre del cliente no lo convierte automáticamente en dependiente, pero la etiqueta «externo» tampoco demuestra imparcialidad. El registro permite distinguir requisitos formales; no puede sustituir el juicio sobre cada encargo. El informe debe mostrar su base y sus límites precisamente porque la independencia institucional y la calidad de una auditoría se ponen a prueba en trabajos concretos.
La conservación de antecedentes también cuenta. El auditor debe guardar durante al menos diez años los documentos que entregó al cliente y la información necesaria para fundamentar los resultados. Esa obligación permite reconstruir qué se revisó si después aparece una controversia, aunque la existencia de archivos no garantiza que la auditoría haya sido profunda ni que el auditor recibiera acceso suficiente. La propia obligación de declarar carencias de acceso deja esa posibilidad a la vista.
El estado puede investigar denuncias, retirar a un auditor del registro y remitir una infracción al fiscal general u otra autoridad competente. AB 1405 además protege determinadas actividades de denuncia de irregularidades frente a represalias de los propios auditores. El registro regula la conducta de los prestadores inscritos; cualquier responsabilidad por daños de un sistema dependerá de las demás normas y de los hechos del caso.
California regula el trabajo de auditoría, no el resultado del modelo
Una auditoría responde preguntas acotadas: qué controles existen, cómo se aplican, qué evidencia los respalda y qué deficiencias quedan abiertas. No responde por sí sola si el modelo es justo en cualquier contexto, si será seguro para todo uso futuro o si la organización debe desplegarlo. Un resultado válido para comprobar cumplimiento de una obligación concreta puede no abarcar el efecto del sistema sobre grupos distintos, otros idiomas, cambios de versión o usos que el cliente no incluyó en el encargo.
AB 1405 convierte parte de esas fronteras en contenido obligatorio del informe. El auditor debe detallar objetivos, resultados, fundamentos, deficiencias y límites; así, una evaluación acotada queda descrita como tal y no como una certificación general. La compañía que recibe el documento no puede presentar con fidelidad una evaluación estrecha como si cubriera todo riesgo imaginable; el auditor debe dejar constancia de lo que no examinó.
El mecanismo sigue teniendo una dependencia incómoda: la empresa contrata la revisión y recibe el informe. La ley introduce criterios de independencia, transparencia, retención documental, denuncias y supervisión estatal para disciplinar esa relación. No elimina el incentivo del cliente a escoger una auditoría útil para su negocio ni garantiza acceso irrestricto a todos los datos. Su aporte es hacer más difícil ocultar esas condiciones detrás de una palabra solemne.
El número del registro confirmará que el auditor está inscrito. Para juzgar el trabajo habrá que leer qué revisó, bajo qué estándar, con qué acceso y qué limitaciones dejó anotadas. California reguló a quienes venden esa respuesta y prohibió que el estado aparezca como garante de cada juicio. La calidad de la auditoría seguirá a la vista en el informe, sobre todo en lo que admite que no pudo saber.