Illinois SB 315 convertiría las auditorías anuales de IA por terceros en un requisito legal. Esto es lo que realmente significa.

NewsPals · Jun 12, 2026

La Ley de Medidas de Seguridad en Inteligencia Artificial va más lejos que cualquier ley estatal de IA existente en los Estados Unidos al exigir verificación externa, no solo planes de seguridad declarados por las propias empresas.

La Cámara de Representantes de Illinois votó 110-0 el 27 de mayo de 2026 para aprobar el Proyecto de Ley del Senado 315, la Ley de Medidas de Seguridad para la Inteligencia Artificial. El Senado lo había aprobado el 21 de mayo con una votación de 52-5. El gobernador J.B. Pritzker ha declarado públicamente su intención de firmarlo. En la práctica legislativa, esa combinación convierte un proyecto de ley aprobado en un hecho de planificación: los equipos de cumplimiento no esperan la firma cuando el gobernador ya ha hablado.

Lo que la Ley Realmente Exige

El mecanismo central del SB 315 es estructural y específico, según el reportaje de NBC News por Jared Perlo. Las empresas de IA de frontera, incluidos ejemplos mencionados explícitamente como OpenAI y Anthropic, estarían obligadas a crear, publicar y actualizar anualmente planes para abordar riesgos graves o catastróficos derivados de sus modelos de IA. Más allá de esa obligación de planificación, Illinois añade un requisito que ninguna legislación de IA vigente en Estados Unidos contempla: auditorías anuales independientes de terceros sobre cuestiones de seguridad en esas empresas. Ese mandato de auditoría es el nuevo elemento operativo. La divulgación de planes es territorio conocido; la cadencia de auditorías externas no lo es.

Regulations.AI, que hace seguimiento del proyecto bajo el identificador RAI-US-IL-SB31500-2026, caracteriza la Ley como abarcadora de seguridad, pruebas y evaluación, gestión de riesgos, y transparencia y divulgación. Cada una de esas categorías se traduce en una carga documental distinta. Una categoría de seguridad implica registros de pruebas demostrables, no una declaración de política. Gestión de riesgos implica un registro de riesgos actualizado. Transparencia implica resultados publicados que un auditor pueda examinar realmente.

La palabra "independiente" en el requisito de auditoría es de peso. Cierra la puerta a la práctica de la autoevaluación que ha dominado la gobernanza empresarial de la IA hasta la fecha. Un plan de riesgos que usted mismo redacta y publica es, en la práctica, un documento de marketing, hasta que alguien sin ningún interés en sus ingresos está obligado a evaluarlo en un ciclo anual.

Cómo se Distingue Illinois de California y Nueva York

Illinois se convertiría en el tercer estado de EE. UU. en establecer estándares para modelos de frontera, siguiendo el enfoque de Nueva York y la legislación previa de California, según la cobertura de la Transparency Coalition sobre la aprobación del proyecto el 27 de mayo de 2026. Pero el requisito de auditoría de terceros es la diferencia estructural. California y Nueva York exigen planificación y divulgación. Illinois exige verificación externa de esos planes en un ciclo anual. Esa es una obligación materialmente diferente.

NBC News, citando el reportaje de Jared Perlo, describe el SB 315 como un proyecto de ley que "iría más allá de la legislación de California y Nueva York que regula a las mayores empresas de IA de Estados Unidos". Ese enfoque es acertado, pero subestima la brecha operativa. Los requisitos de divulgación crean rastros documentales. Los requisitos de auditoría crean estructuras de rendición de cuentas, porque alguien externo a la empresa debe poner su nombre en una evaluación sobre si el plan de seguridad es real, está vigente y ha sido probado. No son cargas de cumplimiento equivalentes.

El Problema del Ecosistema de Auditoría

Aquí está la parte que los responsables de cumplimiento y los equipos de productos de IA deberían considerar detenidamente: la ley exigiría auditorías anuales independientes de terceros sobre los protocolos de seguridad de IA de frontera, y como señala el análisis de TechJack Solutions, el ecosistema de auditoría que dicho requisito demanda aún no existe a escala.

No existe un cuerpo establecido de auditores acreditados en seguridad de IA análogo a los auditores de estados financieros bajo la legislación de valores. No existe una metodología acordada sobre qué debe examinar una auditoría de seguridad de modelos de frontera, qué tan profunda debe ser ni cómo se ve un resultado satisfactorio.

Esa brecha no es razón para esperar. Es razón para comenzar a construir prácticas internas de documentación ahora, de modo que cuando los auditores y las metodologías sí emerjan, una empresa no tenga que reconstruir su historial de seguridad desde cero. El análisis jurídico de McDermott sobre el avance del proyecto en Illinois señala los requisitos de transparencia y auditoría como obligaciones distintas, lo que indica que los profesionales ya están desglosando la superficie de cumplimiento en componentes manejables.

Lo que Quienes Aprenden y Construyen Deben Observar

Para quienes estudian gobernanza de IA, el SB 315 es un caso de estudio útil sobre cómo viajan los requisitos estructurales. California y Nueva York establecieron normas de divulgación. Illinois añade la verificación externa. Si ese patrón se mantiene, la próxima oleada de legislación estatal probablemente preguntará no solo si una empresa publicó un plan de seguridad, sino si una parte independiente concluyó que el plan era adecuado. Esa es la dirección del camino.

Para quienes desarrollan productos de IA en educación o cualquier otro sector, la conclusión práctica es la disciplina documental: los registros de pruebas, los registros de riesgos y los resultados de seguridad publicados ya no son higiene interna opcional. Son la materia prima de una auditoría.

La página oficial de estado del proyecto de ley de la Asamblea General de Illinois confirma que el proyecto ha sido aprobado por ambas cámaras, con última acción con fecha 29 de mayo de 2026. La intención declarada del gobernador de firmarlo significa que el reloj de planificación ya está corriendo, independientemente de cuándo aparezca la firma.

Fuentes