El acuerdo de Meta con 52 procuradores generales crea un estándar que puede impactar a todo negocio que use algoritmos.

Estados Unidos no tiene una ley federal de inteligencia artificial. No tiene un equivalente al  EU AI Act, ni una agencia que certifique modelos de IA, ni un registro de sistemas de alto riesgo. Sin embargo, el pasado 26 de agosto de 2026, Meta -compañía matriz de Facebook, Instagram y WhatsApp, entre otras – aceptó someterse a Instagram y Facebook a un régimen de gobernanza algorítmica con umbrales de error obligatorios, pruebas anuales realizadas por terceros y un auditor independiente que rinde informes a los procuradores generales.

No hizo falta una ley de IA para lograr esto. Hizo falta voluntad política de una colación bipartita de procuradores generales estatales decidida a llevar un proceso legal contra Meta que llegó a un acuerdo transaccional cuyos efectos se sentirán a través de todos los estados y sus territorios, incluyendo Puerto Rico.

Este es el dato importante para cualquiera que trabaje en gobernanza de IA: mientras esperábamos legislación, la regulación algorítmica en Estados Unidos llegó por la puerta del litigio de protección al consumidor.

¿Cuál fue el caso que trajo este resultado?

Este acuerdo se realizó dentro de un pleito consolidado llamado In re Social Media Adolescent Addiction/Personal Injury Products Liability Litigation, (MDL 3047, Distrito Norte de California), el cual unió varias demandas estatales contra Meta presentadas bajo 2 teorías legales:

1. Prácticas injustas y engañosas (conocidas como leyes “UDAP” estatales, que quiere decir “Unfair and Deceptive Acts or Practices). Los estados alegaron que Meta diseñó sus plataformas para maximizar el tiempo que los adolescentes las usarían, por ejemplo, con las instalaciones de notificaciones, scroll infinito, y recompensas sociales, mientras representaba públicamente que sus productos eran seguros y que sus herramientas de protección funcionaban adecuadamente.
2. Violaciones a COPPA, la ley federal de privacidad que protege a menores de 13 años, por recopilar datos de niños sin el consentimiento verificable de sus padres, entre otras cosas.

Meta negó toda responsabilidad y el acuerdo firmado la pasada semana no contiene una admisión de culpa. Sin embargo, Meta pagará bajo este acuerdo un mínimo garantizado de aproximadamente $12.7 billones a potencialmente 48 estados, el Distrito de Columbia, y 3 territorios, incluyendo Puerto RIco, que se repartirán durante los próximos 10 años. Sin embargo, esta cifra, según Meta, podría subir hasta aproximadamente $18 billones si otras plataformas cumplen con varios requisitos.

5 piezas de gobernanza de IA escondidas dentro de un acuerdo de derechos del consumidor

Más allá del pago de una cantidad billonaria, la cual sería catástrofica para la gran mayoría de las empresas mundiales, quizás es aún más significativo el hecho que, bajo este acuerdo, Meta se comprometió, potencialmente por la próxima década, a someterse al que es potencialmente el primer acuerdo de gobernanza de IA establecido dentro de un proceso legal. Este acuerdo va a necesitar ser estudiado por todos los negocios, y en particular, por aquellos que hacen promociones dirigidas a menores de edad, o que saben que sus páginas web y aplicaciones son usadas por menores.

El marco de gobernanza creado bajo el acuerdo establece:

1. Un modelo con umbral de error establecido.

Meta se obliga a implementar métodos de estimación de edad —clasificadores entrenados, no formularios— y cumplir tasas máximas de falsos positivos: aproximadamente 10% para menores de 16 y 17 años, y 3% para el grupo de 13 a 15, con tolerancias más amplias durante el primer año para métodos propietarios. El acuerdo también le exige desarrollar y probar un modelo específico para detectar menores de 13 año, con metas anuales de detección.

Esto es notable. Un acuerdo judicial estadounidense está fijando el desempeño estadístico mínimo de un modelo de aprendizaje automático, por grupo etario, con números concretos, lo cual no deja espacio de ambiguedad como lo hubiese sido establecer criterios “razonables” o “comercialmente apropiados”.

2. Auditoría algorítmica anual por un tercero independiente.

Un auditor independiente verificará anualmente las tasas de falsos positivos, los volúmenes de detección  de cuentas de menores, la efectividad de los modelos de vinculación de cuentas y eficacia de las pausas de uso, y rendirá informes a los estados. En la práctica, esto será una auditoría de sistema algorítmico análoga a la que el artículo 37 del DSA europeo exige anualmente a las plataformas muy grandes, con la diferencia que, en Estados Unidos, este requisito no llegó por la vía legislativa, sino incorporado a una sentencia por consentimiento.

3. Limitación de propósito sobre los datos del modelo.

Los datos recogidos para estimar la edad serán borrados inmediatamente después de la determinación de edad, protegidos bajo los estándares más altos de la empresa, y no pueden usarse para publicidad, mercadeo o para optimizar los modelos de recomendación.

4. Derecho a impugnar una decisión automatizada.

Si el sistema te clasifica la edad incorrectamente, Meta deberá ofrecer un mecanismo claro y visible para apelar esta determinación, y resolverla en tiempo razonable.

5. Que el sistema de recomendación será regulado.

Meta deberá ofrecer un feed cronológico —sin personalización algorítmica— de forma razonablemente accesible, presentarlo activamente a las cuentas nuevas de adolescentes dentro de los primeros 10 días, y recordarlo cada 90 días. Los padres supervisores podrán fijar este feed como opción “default”. A esto se suma que se ocultara por default la habilidad de ver cuantos  “likes” o reacciones tiene tus posts en las plataformas, las pausas a los 60 y 90 minutos de uso, el bloqueo nocturno y el silencio de notificaciones durante horario escolar.

El acuerdo trata al algoritmo de recomendación no como un secreto comercial intocable, sino como una característica del producto que el regulador puede examinar y considerar defectuosa, engañosa o abusiva.

La perspectiva global: Europa llegó antes a una determinación similar, pero por otra vía legal

Si estos términos le parecen familiares a alguien trabaja con regulación europea, es porque lo son. El 29 de abril de 2026, la Comisión Europea concluyó preliminarmente que Meta incumplió el Reglamento de Servicios Digitales (“DSA” por sus siglas en inglés) precisamente por no identificar, o ni mitigar el riesgo que menores de 13 años accedan a Instagram y Facebook. La Comisión estimó que entre 10% y 12% de los niños menores de 13 años en la UE usan esas plataformas, y criticó que la herramienta para reportar cuentas de menores requería hasta 7 clics. Las multas bajo el DSA pueden llegar al 6% de la facturación global anual de la empresa.

Las piezas europeas que conviene considerar en este caso y otros similares son:

• DSA (Ley de Servicios Digitales). El artículo 28 exige medidas de privacidad, seguridad y protección de menores, y prohíbe la publicidad basada en perfilado dirigida a menores; los artículos 34 y 35 obligan a evaluar y mitigar riesgos sistémicos, incluyendo efectos sobre el bienestar físico y mental de menores; el artículo 37 impone auditorías independientes anuales; y el artículo 38 obliga a las plataformas muy grandes a ofrecer al menos una opción de recomendación que no se base en perfilado. Es decir: el feed cronológico que los estados le impusieron a Meta por acuerdo ya es una obligación legal en Europa.
• GDPR. El artículo 8 regula el consentimiento de menores; el 5(1)(b) y (c), la limitación de propósito y la minimización; el 22 y el considerando 71, las decisiones automatizadas, que “no deberían afectar a un niño”; el 25, la protección de datos desde el diseño y por defecto; y el 35, la evaluación de impacto. En febrero de 2025, el Comité Europeo de Protección de Datos publicó una declaración sobre verificación de edad con 10 principios que anticipan casi punto por punto lo que el acuerdo con Meta ahora exige: proporcionalidad, minimización, efectividad demostrable, salvaguardas frente a decisiones automatizadas, y la advertencia que la verificación de edad “no debe convertirse en un medio adicional para identificar, localizar, perfilar o rastrear personas”.
• AI Act. Menos aplicable de lo que uno esperaría, y vale la pena entender por qué. El artículo 5 —vigente desde el 2 de febrero de 2025— prohíbe los sistemas de IA que exploten vulnerabilidades derivadas de la edad para distorsionar materialmente la conducta y causar daños significativos, lo cual describe la teoría de los estados sobre los diseños adictivos de Meta. Sin embargo, las obligaciones a sistemas de alto riesgo del Anexo III, que son las que traen la gestión de riesgos, la gobernanza de datos, la documentación técnica, la supervisión humana y los requisitos de exactitud, se aplazaron mediante el Digital Omnibus acordado en 2026 para ahora comenzar el 2 de diciembre de 2027.

Así que, como están las cosas, el instrumento europeo diseñado expresamente para gobernar la IA todavía no aplica en su totalidad a estos sistemas, mientras que un acuerdo estatal estadounidense, negociado bajo leyes de protección al consumidor de los años 70, ya está formalmente fijando umbrales de error y auditorías. La gobernanza de IA no llegó por la creación de un marco legal específico, como se pensaba.

¿Por qué debe importarte esto?

Porque no necesitas una ley de IA para que te exijan tener políticas de gobernanza de IA. Cualquier estatuto de prácticas engañosas —incluyendo los de Puerto Rico— puede ser usado para preguntarte si tu modelo hace lo que dijiste que hace. Si tu empresa afirma que su sistema “detecta fraude con 99% de precisión” o que su algoritmo “no discrimina”, esa es una representación exigible legalmente, y tu tienes la obligación de probarla

Porque el estándar probatorio para estos casos se movió. Meta no perdió por lo que hizo; simplemente quedó expuesta legalmente por la distancia entre sus representaciones públicas y sus propios documentos internos. En estos casos de gobernanza algorítmica, la evidencia adversa la generas tú mismo: tus métricas de evaluación, tus memos de riesgo, los tickets de servicio o quejas que nadie atendió en la empresa

Porque la imposición de obligaciones numéricas se están normalizando. Una vez que un acuerdo público establece que un clasificador de edad debe operar con 3% de falsos positivos para el grupo de 13 a 15 años, ese número se convierte en referencia para el próximo caso, el próximo contrato y la próxima negociación con un cliente empresarial.

Porque la convergencia transatlántica se están haciendo realidad. El acuerdo en este caso y la regulación europea apunta a un sistema de muy similar, que mira los defectos, riesgos y daños que cause el producto, y establecen remedios casi idénticos. Si construyes aplicaciones para ambos mercados, diseñar 2 sistemas cada día será considerado como una pérdida de dinero:  para estar seguro y minimizar responsabilidad, tendrás que seguir los estándares operativos más restrictivos.

¿Cómo puedo cumplir con la ley?

1. Haz un inventario de tus sistemas automatizados. No sólo de lo que llamas “IA”. Incluye aquí tus modelos de puntaje, los clasificadores, motores de recomendación y reglas de segmentación, entre otros. No puedes gobernar lo que no has contabilizado.
2. Define las métricas antes de desplegar, no después. ¿Cuál es la tasa de error aceptable? ¿Para qué subgrupos? ¿Quién la mide y con qué frecuencia? Escríbelo antes que lo escriba un regulador. o tribunal por ti.
3. Fija la limitación de propósito en tu “tubería de datos”. Los datos recogidos para cumplir —verificación, seguridad, prevención de fraude— no deben ser reciclados para entrenar, mercadear o perfilar. Aparte de la creación de políticas para cumplir con esto, crea documentación técnica que sustente esto.
4. Construye mecanismos para responder a querellas de personas. Toda decisión automatizada que afecte a una persona necesita una vía visible de apelación y una persona que la atienda. Esto ya es requerido en Europa bajo el GDPR, y será cada día más requerido en lo estados.
5. Prepárate para una auditoría que no podrás controlar. Asume que un tercero va a pedir en algún momento tu documentación de evaluación, tus registros de decisiones y tu historial de cambios de modelo. Si eso no existe hoy, te recomendamos que lo prepares en los próximos 3 meses.
6. Revisa tus proveedores de modelos. Si tu clasificador es preparado o mantenido por un tercero, sus tasas de error son tus tasas de error. Pide certificaciones y guárdalas.
7. Si estás en Puerto Rico, empieza a hacer esto ahora, y no esperes por una ley local de IA. Ya tenemos la Ley 163 de 2026, que enmendó la Ley del Derecho sobre la Propia Imagen para regular expresamente representaciones generadas, clonadas o simuladas por inteligencia artificial, conocidas como deepfakes. Además, si tu negocio ofrece servicios a personas en la Unión Europea, el GDPR y el DSA te aplican aunque tu oficina esté en San Juan, Aguadilla o Ponce.

Conclusión

Durante años, la conversación sobre gobernanza de IA en Estados Unidos giró en torno a una pregunta: ¿cuándo llegará la ley? El acuerdo con Meta sugiere que esta pregunta no era la correcta.

La regulación algorítmica llegó sin ley de IA, sin agencia especializada y sin proceso legislativo: llegó como remedio negociado dentro de un caso, con números, plazos y un auditor. Además, llegó con un principio que aplica a cualquier organización que despliegue modelos, ya sea con 50 empleados o 50,000: si no puedes medir tu sistema, no puedes defenderlo.

Europa estableció este ordenamiento mediante reglamentos. Estados Unidos lo acaba de crear en una sentencia por consentimiento. El resultado, para quien construye los productos, es prácticamente el mismo.

¿Quieres saber si los sistemas automatizados de tu negocio resisten este tipo de escrutinio? Puedes agendar una consulta con nosotros hoy. Estamos disponibles para ayudarte.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia con LL.M. en Derecho Internacional, enfocado en temas de privacidad, ciberseguridad y regulación de inteligencia artificial para negocios y proveedores de salud.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este artículo o por contactar al autor.