Tag: ai

Puerto Rico House Bill Requires AI Data Centers to Install their own Electricity.

But who decides where will they be installed?

In our two previous articles on Artificial Intelligence data centers, which you can read here and here, we discussed whether Puerto Rico should enact specific rules for data centers before the first permit application arrives. This question was partially answered on October 15, 2026, when Representatives Jerry Nieves Rosario (PNP), Luis J. Jiménez Torres (PNP), and Jorge “Georgie” Navarro Suárez (PNP) filed the “Law for the Development of Computing and Artificial Intelligence Infrastructure of Puerto Rico,” H. Bill 1523. It was assigned to the House Government Committee. This is not yet a law.

This is not the first bill to address data centers in Puerto Rico. The Puerto Rico Incentives Code (Law 60-2019) already recognizes electronic information processing centers, cloud computing distribution, and “development service centers for data processing and storage” as eligible activities. What H. Bill 1523 does differently: it is the first bill that ties incentives to electric service conditions for the first time.

We read it in full. The bill speaks extensively about incentives and electricity, but says little about where centers would be built or how much the public could weigh in on them.

Below, Farrant Explains H. Bill 1523.

What does it propose?

Section 2 of the Bill establishes as public policy to “promote the establishment and expansion in Puerto Rico of data centers and computing facilities for artificial intelligence, as a high technological value industrial activity, and the export of their services,” provided that costs are not transferred to other electrical grid customers, that centers have their own capacity to generate energy under insufficiency conditions, that water is protected, and that verifiable benefits for the country exist.

The Bill seeks to implement this public policy at two levels.

Level 1: rules for all centers of 5 MW or more. These apply with or without incentives to any “Large Load Data Center” that requests new or expanded electric service (Sec. 8). One megawatt (MW) equals approximately the demand of hundreds of homes. These centers would have to:

  • Have own firm capacity of at least 100% of their operating load, certified by the Energy Bureau (“Bureau”), and shall not operate above that certified capacity.
  • Not draw energy from the system generation during reserve alerts, load sheds, and emergencies.
  • Pay for all studies, interconnection, and electrical grid improvements attributable to their service.
  • Purchase energy from the grid only within blocks awarded by competitive solicitation (Sec. 11).
  • Use closed-loop cooling, by air, with reused or non-potable water. Potable water from the Puerto Rico Aqueduct and Sewer Authority (“AAA”) may only be used up to the limit that the AAA establishes, in consultation with the Department of Natural and Environmental Resources (“DRNA”) (Sec. 7(a)).

To aggregate loads, installations of the same person or its affiliates located on the same property, contiguous properties, or served by the same substation will be counted. The Bill excludes telecommunications and submarine cable landing stations from this definition (Sec. 3(l)).

Level 2: the price of incentives. The person or entity that wants to receive an incentive decree under the Incentives Code will have to assume the “Megawatt Commitment” (Sections 4 through 6 and 14 through 17), which establishes that:

  • In addition to their own firm capacity, maintain a reserve for the grid of at least 50% of their operating load, available to inject when the operator requests it. Compensation cannot exceed the avoided system cost.
  • Supply at least 50% of their consumption with additional renewable energy by the sixth year, with a PUE (“Power Usage Effectiveness”) design no greater than 1.3. PUE measures how much total energy the center spends for each unit consumed by computing equipment.
  • The center will be designed to resist Category 5 hurricanes and operate isolated from the electrical grid.
  • Reserve at least 5% of their computing capacity—or an equivalent portion of space, energy, and cooling—at cost, for UPR, government, and entrepreneurs, under the “Sovereign Computing Bank” (Sec. 14).
  • Sign an agreement with the host municipality to contribute 25% of property and municipal patent contributions that remain exempt. Section 15(b) clarifies that this contribution “will constitute a contractual obligation of the concessionaire and not a municipal contribution.”
  • Report annually to the Puerto Rico Department of Economic Development and Commerce (“DDEC”) and the Energy Bureau their total energy consumption, energy drawn from the grid and injected to it, operator requests attended, their PUE and WUE (“Water Usage Effectiveness”), percentage of additional renewable energy, use of the Sovereign Computing Bank, and direct employment (Sec. 17(a)).

Existing centers could expand with a fixed rate of 2% on export income attributable to the first 20 MW added, for 10 years, and sales and use tax exemptions (Sections 9, 20, and 21). If the added load reaches 5 MW, Level 1 rules would apply only to that incremental load, not to base load.

How to obtain a decree. DDEC, in coordination with the Bureau, would award by competitive solicitation blocks of system capacity and the preferential right to lease properties and interconnection points (Sec. 11). The DSEC Secretary may designate “Computing and Energy Zones” on properties with existing or planned transmission infrastructure, including Fomento Industrial lands and Puerto Rico Electric Power Authority (“AEE”) lands (Sec. 12). Projects in those zones, and expansions with decrees, would process permits under the special process of Section 6070.69 of the Incentives Code.

The Energy Bureau would have 180 days from the law’s approval to adopt regulations. Until that occurs, the grid operator could not approve new or expanded service for these centers without prior authorization from the Bureau (Sec. 8(c)).

What the Bill does address

The bill addresses the problem described in its statement of purpose: Puerto Rico’s grid has no surplus power for AI data centers. According to the statement of purpose, peak electricity demand in the summer of 2026 hovered around 3,234 MW, against available generation of about 3,200 MW, and there were 15 manual load sheds between July and August. The record electricity rate of 33.86 cents per kWh took effect on October 1, 2026, which is nearly double the U.S. residential average of 18.3 cents per kWh.

This harsh reality of our electrical system was felt this very week, the week this article comes out. On Tuesday, October 27, according to El Nuevo Día, LUMA Energy warned that more than 100,000 customers could suffer outages from generation shortfalls during the night, after about 270 MW was lost through the shutdown of Unit 5 at the San Juan plant and limitations at Unit 2 of the Aguirre plant. At 8:00 p.m., LUMA’s portal reported 140,841 customers without service because of this shortfall. According to a LUMA spokesperson, even with both units back online and residential batteries feeding power into the grid, the projected reserve would be a mere 20 MW. As we write this paragraph, the power is out at our home.

Screenshot of LUMA Energy’s portal (lumapr.com), taken by us on Tuesday, October 27, 2026, at 8:26 p.m. It shows an available capacity of 2,612 MW and a forecasted load of 2,737 MW, resulting in a total reserve of −125 MW.

Faced with that reality, the Bill does 3 things that no local instrument does today:

  1. Prohibits transferring costs to other customers (Sec. 8(a)(4)).
  2. Requires that centers bring their own energy instead of competing for existing capacity.
  3. Restricts potable water for cooling and orders reports and financial guarantees per megawatt, in favor of the Government, that would be executed in case of noncompliance (Sec. 8(b)(7)).

What the bill does not mention

  • Citizen participation. It contains no requirements for public notification, holding public hearings, or community intervention on where a center would be built. The only local mechanism the Bill mentions is the municipal contribution of Article 15. Here is an important detail: if the municipality does not sign the agreement with the entity within 60 days, Sec. 15(c) allows DDEC to issue the decree with that contribution as a condition in favor of the municipality. Therefore, the bill allows DDEC to substitute municipal will. It remains to be seen whether this is compatible with the municipal autonomy protected by Law 107-2020—whose Sec. 1.007 the bill itself invokes—since, to the extent we could verify, we are not aware of any case where this controversy has been litigated. Additionally, for decrees, Law 60 already provides that the DDEC Secretary’s decisions on the approval of an incentive application and its content are final, without judicial or administrative review or other remedy, and that once the concession is granted, no municipality or agency may challenge its legality (Sec. 6020.01(k)). The bill does not change this rule, as Section 18(c) maintains it “without prejudice.” This could complicate a challenge based on municipal autonomy.
  • Transparency. DDEC would publish reports from centers with decrees, except confidential commercial information. Centers of 5 MW or more that do not have a decree would only have to report their water and energy consumption to the Bureau, and the bill only says that the Bureau will protect confidential commercial information (Sec. 17). It does not order publication of these reports. Nor does it define what “confidential commercial information” is, which leaves open the possibility that consumption data—which is of public interest in a system in crisis—could remain outside public reach by administrative decision.
  • Environment. It does not exempt from environmental laws (Secs. 7(c) and 13(b)), but neither does it reinforce them. It remains silent on the heat a center releases into the environment and does not establish a consumptive water usage cap, only the duty to report WUE and annual water consumption (Sec. 17(c)). On the other hand, the potable water consumption limit will be set by the AAA, that is, the entity that sells water, “in consultation with” the DRNA.
  • Permits. Section 13 accelerates permit approval, but it is worth being precise about how it does so. Its subsection (b) states that substantive requirements are not altered nor exempts from environmental compliance. However, the Section creates a legal fiction by ordering these projects to be processed “as if they were Priority Projects in Opportunity Zones.” That is, it could happen that the special process is activated even if the property is not formally designated in an Opportunity Zone. The question that remains unanswered here is one of time, not substance: will it be possible to rigorously evaluate and assess the environmental impact of a project within the abbreviated timelines that this process entails?

The Bill has a drafting error: it gives two different names to the same law.

Section 1 christens the Bill as “Law for the Development of Computing and Artificial Intelligence Infrastructure of Puerto Rico.” However, Sections 20(b) and 21(g) with amendments to the Incentives Code, refer to the “Megawatt Pact Law for the Development of Computing and Artificial Intelligence Infrastructure of Puerto Rico.”

These are two different names for the same law. And, since the new sections proposed here depend on that referral to define their terms and conditions, the error leaves these sections citing a law that does not exist. This is an error that can be corrected during the legislative process, but we wish to point it out now so the correction is made.

The clash between DDEC and the Bureau that the Bill creates

According to our reading, the Bill divides decisions about centers between 2 agencies with different mandates, and that division merits questions at public hearings.

Section 11(a) provides that DDEC “in coordination with the Bureau,” will award through public competitive solicitations, by megawatt blocks: (1) the preferential right to lease available properties and interconnection points in Computing and Energy Zones, and (2) the system capacity blocks for large load centers to purchase energy outside a reserve alert. Regarding energy blocks, the Bureau will grant “the corresponding authorization” and, before each solicitation, will certify the available reserve margin and maximum block size. Additionally, it will certify each center’s own firm capacity (Sec. 8(a)(1)), authorize case by case while adopting regulations (Sec. 8(c)), and has jurisdiction to impose penalties (Sec. 8(a)(6)).

On the other hand, according to the Bill’s text, a large load center cannot purchase energy from the grid outside an alert without a block that the Bureau authorizes (Sec. 8(a)(3)). However, DDEC—the agency whose mandate is to attract and retain investment—is the one that designates the Zones (Sec. 12(a)) and awards properties. The factors enumerated in Sec. 11(b) to evaluate proposals are the reserve offered, renewables, efficiency, investment, employment, and contribution to the Sovereign Computing Bank. It mentions nothing about community acceptance of the Project or environmental impact of the site, although the list includes “among other factors.”

This implementation design decision is not justified anywhere, and leaves a practical question unanswered. The text requires “coordination” between DDEC and the Bureau, but what happens if they disagree? For example, it could occur that DDEC awards a property to a center and the Bureau does not authorize the energy block that center needs. This will need to be asked and clarified at public hearings, along with another question: why should the Bureau—not DDEC—conduct the solicitations, given that the Bureau is the regulator that exists to protect ratepayers, with DDEC in a role of promoting investment?

Section 4(e) only leaves 1 door for incentives

Section 4(e) provides that, from the law’s effective date, no decree shall be granted under any chapter of the Incentives Code that covers totally or partially the operation of a Large Load Data Center, except as Qualified Computing Center (Sec. 4) or as expansion of an Existing Data Center (Sec. 9). This rule does not apply to decree applications filed before the law’s effective date. Likewise, Section 23(a)(8) exempts from sales and use tax (IVU) and state levies the equipment of an Exempt Business that operates a Qualified Computing Center with a decree.

Meanwhile, Level 1 rules apply to all centers of 5 MW or more “whether they have a Decree or not” (Sec. 3(l)). Therefore, a center that does not want to assume the Megawatt Commitment will not receive incentive tax breaks, but would still have to comply with Level 1. It can also compete for the capacity blocks it needs to purchase energy from the grid, and awarding does not carry a decree (Secs. 8(a)(3) and 11(d)).

The result here is that, in practice, the tax incentive becomes tied to a single package. Whoever rejects it will assume Level 1 without incentives. Whoever accepts it, will additionally assume the reserve for the grid, additional renewables, the Sovereign Computing Bank, and the municipal contribution. It would be useful to ask at public hearings whether this design was intentional, or if it is an unintended effect of provisions drafted separately, and whether what is required in Level 2 is proportional to what is offered.

The international comparison is different than what the statement of motives says

The bill presents in its statement of motives the cases of Ireland, Texas, and Singapore, and then notes that this proposed law “adopts the best of those experiences and adapts them to the reality of Puerto Rico […].” However, the reality is more nuanced. Let us see:

  1. Ireland: Puerto Rico would be more lenient. Ireland’s Commission for the Regulation of Public Services (CRU) adopted its connection policy for large users on December 12, 2025 (CRU2025236). This requires that data centers of 1 MVA or more supply at least 80% of their annual demand with additional renewable energy generated in Ireland, within six years, and that sites of 10 MVA or more provide dispatchable generation or storage, with separate metering, capacity equal to their maximum import capacity, and mandatory market participation. On the other hand, Puerto Rico would require 50% by the sixth year (Sec. 6(a)). It would be prudent to ask how the 50% figure was reached and why the 80% figure was not copied.
  2. Texas: Puerto Rico would be stricter. SB 6 was signed in Texas on June 20, 2025 and applies to loads of 75 MW or more. This requires covering interconnection costs, proving land control and financial solvency, and accepting disconnection during firm load shed events. However, this law does not require self-supply, as Puerto Rico does.
  3. Singapore: Puerto Rico copies its mechanism. Singapore assigned 200 MW of new capacity to four operators in August 2026 through its second competitive solicitation (Data Centre – Call for Application), with the requirement that more than 50% of capacity be fed from green energy sources and with PUE of 1.3 or better at full IT equipment load, plus liquid cooling technologies and 100% efficient IT equipment. The PUE threshold matches almost exactly with that of Sec. 6(b) of the bill, and the green energy percentage is comparable to the 50% of Sec. 6(a). More importantly: the competitive solicitation of Sec. 11 is precisely the mechanism Singapore uses. In that aspect, the bill does not improvise, it copied Singapore.

With this in hand, we can say that, regarding own firm capacity, H. Bill 1523 is more demanding than Texasand comparable to Ireland. Regarding renewable energy use, it is weaker than Ireland. And, regarding efficiency and allocation mechanism, it runs parallel with Singapore. It is not “the best of each model,” as the statement says, but a mixture without explanatory analysis.

Where does this bill leave the proposed Permitting Code?

Section 13 mandates that projects in Computing and Energy Zones, and expansions with decrees, process permits under the process of Section 6070.69 of the Incentives Code “as if they were Priority Projects in Opportunity Zones.” That process already exists in Law 60: notification includes notice in 2 newspapers and a sign, agencies and municipalities have 10 business days to comment (and if they do not, the proposal is understood favorable), the environmental document is evaluated in 20 business days and judicial review must be requested within 20 natural jurisdictional days.

On the other hand, the Permitting and Planning Code (S. Bill 1173) approved by the Senate (which is not yet law) considers strategic the Priority Projects in Opportunity Zones that comply with eligibility of Law 60 (Sec. 2.06(d)). These strategic projects would be in the category of “Priority Socioeconomic Impact Projects,” to which Sec. 12.40 of the proposed Code applies a special process. They are filed directly with the Central Permit Office, although the municipality may have delegated jurisdiction; notification is made through a presentation sign; agencies and municipalities have 20 natural days to issue recommendations (10 more if the environmental analysis is complex), and the affected municipality, 20 business days for its formal consultation; the final determination is issued in 10 natural days after completing recommendations; and judicial review must be requested within 20 jurisdictional days, without work stoppage unless a court orders it to prevent irreparable harm. If the “as if” of Section 13 suffices to meet eligibility of Law 60, a data center could be considered under this route.

Here we want to clarify something about Opportunity Zones, which are a federal tax designation. According to federal guidelines, Puerto Rico’s original designations end on December 31, 2027, one year before those in the rest of the United States. The new map will depend on nominations and will not automatically cover the entire island. For this Bill, that change matters less than it seems: as Section 13 uses the formula “as if,” activating its process does not require the property to be actually in a federally designated zone. However, the map could matter if one wanted to additionally access the strategic route of the Permitting Code, since Law 60 eligibility requires a federally designated zone and committee designation.

How would this bill treat one like Seabase?

A cluster of 10 to 20 MW like the one Seabase considered in our recent article would be covered, since loads aggregate. Seabase told us they evaluate combining computing with new generation and batteries, which fits with the own firm capacity requirement. Therefore, it seems that, under this bill, if it becomes law, a development like Seabase could obtain permits and their corresponding tax incentives.

Details to verify

  • Exit from solicitation. An applicant that fully self-supplies, is not located in a Computing and Energy Zone, and does not purchase energy from the grid can request their decree at any time, without solicitation (Sec. 11(c)). However, they do not get exempted from the Megawatt Commitment nor from maintaining the interconnection necessary to inject their reserve.
  • Fiscal effect not stated. The statement of motives says that the bill’s fiscal effect will need to be estimated during the legislative process. It is necessary that this figure be presented before voting, since the bill reduces the tax rate from 4% to 2% for incremental export income and adds IVU and levy exemptions. In Puerto Rico’s fiscal context and fragile economy, someone will have to pay that difference.
  • Special Rates. The Bill does not establish that data centers will pay special water and electricity rates for high consumption, contrary to what is happening in several states and the European Union, as we mentioned last week.
  • Pending Regulations. Almost everything operational is relegated to Regulations that the Bureau, DDEC, and AAA will be required to adopt within 180 days after the law is approved. Until then, Sec. 8(c) puts the Bureau authorizing case by case.
  • Staggered Effective Date. Sec. 28 provides that decrees as Qualified Computing Center and amendments to the Incentives Code can only be granted once the regulations of Sections 8 and 24(a) go into effect. That is, even if the law were approved today, it would really begin to operate in 180 days, or when regulations arrive.

What can you do?

The bill has just begun its legislative process, so there is time to learn more and weigh in. Since approvals of rights cannot be challenged (Sec. 6020.01(k) of Law 60), the moment to participate is now, in the Legislature and regulations.

You can follow this project on SUTRA, submit testimony if the Government Committee holds hearings, and contact your legislators.

After reviewing this initial version of the Bill, we believe it is important that the following three things be considered for review:

  1. That the Bureau hold public hearings before designating a Computing and Energy Zone. Sec. 12 currently allows the DDEC Secretary to designate them in consultation with the Planning Board, the Bureau, and the AEE, without participation from affected communities.
  2. That the 60-day clock of Section 15(c) be eliminated or amended so that DDEC cannot unilaterally impose a contribution on a municipality that refused to negotiate it.
  3. That the fiscal effect figure of the project be published before its final vote, not after.

If you believe the bill should include binding community participation, now is the time to ask for it. Also, you can subscribe to Farrant Explains, where we will be covering the advances of this bill.

¿Puedo Ser Acusado de Discrimen en el Trabajo bajo las leyes de Puerto Rico por Haber Usado ChatGPT y Claude para revisar résumés?

En nuestro artículo de hace 2 semanas, hablamos sobre como usar IA para filtrar résumés te expone a leyes que prohiben el discrimen en el trabajo. Hoy queremos enfocarnos en los riesgos que tienes si operas en Puerto Rico bajo una ley que seguramente nadie te mencionará cuando evalúas una herramienta de “screening” automatizado: la Ley Núm. 100 de 30 de junio de 1959, nuestra ley contra el discrimen en el empleo, la cual aplica aunque su texto no contenga la palabra “algoritmo” — y añade consecuencias que las leyes federales y la Unión Europea no tienen.

¿Qué dice la Ley 100 Actualmente?

Antes del 2017, la Ley 100 tenía una herramienta poderosa a favor del empleado, ya que establecía que una acción adversa — como no contratar, no ascender, despedir a una persona— tomada sin justa causa, se presumía discriminatoria. Una vez el empleado activaba esa presunción, la carga pasaba casi por completo al patrono, quien tenía que probar afirmativamente que no hubo discrimen.

Eso cambió con la Ley de Transformación y Flexibilidad Laboral (Ley 4 de 2017), que eliminó esa presunción para alinear a Puerto Rico con el estándar federal conocido como McDonnell Douglas. Hoy, un reclamo bajo la Ley 100 funciona de forma muy parecida a uno federal: el empleado debe establecer un caso preliminar (que pertenece a una clase protegida, que estaba cualificado, que hubo una acción adversa, y que otros en circunstancias similares fuera de esa clase protegida fueron tratados mejor). Si lo logra, el patrono debe articular una razón legítima y no discriminatoria para la decisión. Si el patrono hace esto, la carga vuelve al empleado, quien debe probar que esa razón fue un pretexto.

En resumen, hoy día, la carga de persuadir al tribunal que hubo discrimen recae más sobre el empleado que el patrono.

No obstante, la IA introduce un problema real para un patrono incluso bajo este estándar más favorable. El segundo paso del análisis te exige poder articular una razón legítima para el rechazo. Si tu único proceso fue subir résumés a una herramienta de terceros y dejar que un algoritmo los descartara, ¿cuál es tu razón legítima para rechazarlos? “El sistema le dio menor puntaje” no siempre basta, sobre todo si el candidato puede mostrar —con estadísticas, como permite la teoría de impacto discriminatorio bajo Título VII— que el patrón de rechazos de la herramienta, como por ejemplo, que descarta mayormente mujeres para una posición, correlaciona con una categoría protegida. En ese escenario, la falta de explicación se convierte en la evidencia de pretexto que el empleado necesita para prevalecer

Por otro lado, aunque la carga de la prueba ya no está automáticamente en contra del patrono, la Ley 100 sigue teniendo algo que el Título VII no tiene: penalidades más severas, que veremos a continuación.

¿Cuáles son las penalidades bajo la Ley 100?

La Ley 100 impone responsabilidad civil al patrono por el doble de los daños causados (o entre $500 y $2,000 si los daños no se pueden determinar). Además, la conducta discriminatoria podría constituir un delito menos grave, castigado con multa de hasta $5,000 o cárcel de hasta 90 días, o ambas penas. Nada de esto existe bajo ninguna ley antidiscrimen federal. Por consiguiente, aunque es inusual que estos casos se persigan criminalmente, el usar IA para revisar résumés podría técnicamente exponerte a responsabilidad penal en Puerto Rico. Es una consecuencia que muchos patronos no conocen o anticipan.

¿Cómo está regulado este tema en otras jurisdicciones?

  • Estados Unidos: no existe una ley federal sobre IA en el empleo. En su lugar, hay un mosaico de leyes locales y estatales tales como la Local Law 144 de la ciudad de Nueva York que impone auditorías de sesgo (bias audits), la notificación a un candidato cuando sea entrevistado en video por IA en Illinois, las evaluaciones de riesgo de Colorado, además de las leyes federales antidiscrimen ya existentes (Título VII, ADEA, ADA) por la EEOC, las cuales se interpretan bajo el estándar del caso del Tribunal Supremo de Estados Unidos McDonnell Douglas. Todas estas leyes y ordenanzas pueden reducirse a que permiten el uso de herramientas de IA, pero prepárate para justificarla si alguien la cuestiona y además, conoce los requisitos específicos de cumplimiento que existan en el estado donde trabajas o evaluas candidatos.
  • Unión Europea: si tu empresa trabaja con candidatos o empleados en la Unión Europea, o si simplemente quieres entender hacia dónde va la regulación de IA en el mundo, vale la pena mirar el EU AI Act (Reglamento (UE) 2024/1689), que ya está en vigor, y es probablemente el cuerpo legal más comprensivo en el mundo actualmente sobre la Inteligencia Artificial. El EU AI Act clasifica las herramientas de IA usadas para reclutamiento y selección de personal —incluyendo filtrar solicitudes de empleo y evaluar candidatos— como sistemas de “alto riesgo.” Eso significa que, antes de poder usarse legalmente, la herramienta debe pasar por una evaluación de conformidad, tener documentación técnica, sistemas de gestión de riesgo, mecanismos de supervisión humana, y registrarlos en una base de datos de la UE. Además, el patrono tiene la obligación específica de informar a los trabajadores y sus representantes de la existencia de este sistema antes de utilizarlo. En la Unión Europea, contrario a Puerto Rico y Estados Unidos, un patrono necesita demostrar que su plataforma es segura antes de usarla.

Las diferencias en enfoque son significativas.  Mientras en la UE se certifica la herramienta previo a su uso, en Puerto Rico y Estados Unidos no se exige nada por adelantado, pero se imponen consecuencias legales si la herramienta produce un resultado discriminatorio. 

¿Por Qué Debe Importarte Esto?

Porque usar un IA que discrimina contra candidatos te pone en riesgo de pagar indemnización y, si estás en Puerto Rico, te pone en riesgo de ir a la cárcel.

Piénsalo en términos prácticos: si tu herramienta de IA rechaza desproporcionadamente a candidatos de cierta edad u origen, y un candidato logra probar pretexto —por ejemplo, mostrando que no pudiste explicar de forma coherente por qué el sistema lo descartó, enfrentas la posibilidad de indemnizar a las personas afectadas por el algoritmo y de ser responsable penalmente por haberlo usado. Para un negocio pequeño o una clínica, esa es una exposición realmente significativa que va más allá de lo que anticiparías si sólo miras las leyes federales como referencia o si descansas en que ChatGPT fue hecho “sin intención de discriminar” o porque usaste la herramienta de IA de “buena fe”.

¿Cómo Puedo Cumplir con la Ley?

  1. Ten siempre una razón articulable para cada rechazo. No basta con “el sistema le dio menor puntaje a X candidato.” Debes poder explicar, en términos concretos y relacionados con las cualificaciones del puesto, por qué un candidato no avanzó en el proceso de entrevistas.
  2. Exígele documentación al vendedor. Pregunta si la herramienta ha sido auditada por sesgo, con qué frecuencia, y si te proveen esa documentación. Esa evidencia es lo que te permite cumplir con el paso de “articular una razón legítima” si te cuestionan.
  3. Guarda un registro de cada decisión. Qué datos entraron, qué puntaje o resultado produjo el sistema, y qué revisión humana se hizo antes de las decisiones finales. Esa bitácora es tu evidencia si algún día tienes que defender el proceso.
  4. Notifica a los candidatos que usas IA en el proceso. Es buena práctica en Puerto Rico y ya es obligatorio bajo el EU AI Act si tienes candidatos o empleados en Europa.
  5. Haz una evaluación de riesgo antes de adoptar la herramienta, no después de la primera querella. Pregúntate: ¿con qué datos fue entrenada? ¿Qué categorías protegidas podría estar afectando indirectamente? Recuerda que la Ley 100 protege, entre otras, edad, raza, color, sexo, orientación sexual, identidad de género, origen social o nacional, condición social, afiliación política, ideas políticas o religiosas, ser víctima de violencia doméstica/agresión sexual/acecho, condición de veterano, estado civil, y hasta ciertos peinados y texturas de cabello asociadas a identidades raciales u orígenes nacionales particulares.
  6. Revisa el contrato con el vendedor. ¿Quién asume responsabilidad si la herramienta produce un resultado discriminatorio? Negocia esa cláusula si puedes.

En Resumen

Desde la reforma laboral de 2017, la Ley 100 ya no te coloca en una posición probatoria peor que la ley federal — el análisis hoy se parece bastante al estándar de McDonnell Douglas. Lo que sí distingue a Puerto Rico es lo que pasa si pierdes: daños dobles automáticos y la posibilidad de responsabilidad penal, ninguno de los cuales existe bajo el Título VII. Recuerda además que si no puedes explicar por qué tu herramienta rechazó a un candidato, podrías estar violando la ley. Finalmente, recuerda que necesitas mantener documentados tus procesos, asegurarte que sean supervisados por personas, y que puedas explicar y justificar cada decisión. Conoce y formaliza tus procesos antes que necesites hacerlo frente a una agencia gubernamental o un tribunal.

¿Piensas que tus procesos de contratación actuales con IA te dejarían expuesto a responsabilidad legal bajo la Ley 100 si un candidato presenta una querella hoy, o simplemente quieres asegurarte de tener procesos que cumplen con la ley? Conversemos. Agenda una consulta aquí.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Can I Use AI to Review Résumés and Hire Employees?

You’re hiring for several positions. You get 105 résumés for a single role and you don’t have time to read them all. You mention your situation to a colleague and they say: “use ChatGPT” or “there’s an AI tool that screens résumés for you.” It sounds perfect. You save hours, cut down on administrative tasks, get to the candidates who actually fit the role faster, and you can return to your “real” work more quickly.

However, there is an important question almost nobody asks before uploading résumés to an AI tool for screening: who’s responsible if the AI discriminatorily screens out candidates, even if you never intended it to discriminate?

The short answer: you are. The employer. Not the company that sold you the software.

Why Isn’t This Just an AI Problem?

U.S. employment and discrimination laws — Title VII of the Civil Rights Act, the Age Discrimination in Employment Act (ADEA), the Americans with Disabilities Act (ADA) — weren’t written with algorithms in mind, but they don’t need to be updated to apply. What matters under these laws isn’t how a decision to screen out a candidate was made, but whether the outcome had a disparate impact on a protected category, which can include sex, race, age, national origin, or disability, among others.

AI tools known as “Automated Employment Decision Tools” (“AEDTs”) can filter résumés by keyword, score video interviews by analyzing speech patterns and facial expressions, and rank candidates, among other tasks. The problem is that these systems are built by “training” them on historical hiring data, and if that data reflects past biases — for example, fewer women hired into engineering roles — the tool can replicate that bias at scale, quietly, with no one noticing it until a complaint arrives.

New York City was one of the first jurisdictions to regulate this. Its AEDT law (Local Law 144) requires that, before using one of these tools, an employer must conduct an independent bias audit, publish the results, and notify candidates that AI is being used in the process — and giving them the option to request an alternative process. That audit must calculate selection rates and “impact ratios” by sex, race/ethnicity, and intersectional categories. The law applies even if the AI is only used at an early stage of the process, such as scheduling interviews, and not for the final hiring decision.

Illinois has its own law (the AI Video Interview Act), which requires notifying candidates when AI is used to analyze video interviews. Colorado, under its privacy law rules, requires risk assessments and an opt-out right when an “AEDT” is used with legal or significant effects on a person. California is moving in the same direction with its regulations under CCPA.

As of this publication, Puerto Rico does not have a specific law on bias audits for AI hiring tools. That doesn’t relieve you of responsibility, though. On one hand, federal law still applies, and the Equal Employment Opportunity Commission (EEOC) has made clear that employers are responsible for the discriminatory impact of the tools they use, regardless of who programmed them. On the other hand, our own Law No. 100 of June 30, 1959, which prohibits discrimination in employment, applies here too, even though it doesn’t contain the word “algorithm.” In our next article, we’ll discuss in detail how a violation of Law 100 could bring serious consequences.

Why Should You Care?

Because liability for discrimination generated by AI is yours, not the software vendor’s. If you buy or subscribe to an AI tool to filter résumés and that tool ends up disproportionately screening out candidates over 40, women, or people with names the system (incorrectly) associates with lower English proficiency, you’ll be the employer sued — not the software company.

Think about it from the practical standpoint of a small business or a clinic in Puerto Rico:

  • You don’t have a large legal department to review these software contracts.
  • You probably don’t know what data the tool was trained on.
  • It’s easy to assume that “if a big company sells it, it must be legal to use this way, no further questions asked.”

That last point is the most common mistake. No AI tool comes with a guarantee of legal compliance for your jurisdiction and your industry. The responsibility for making sure your hiring process doesn’t discriminate — whether AI is involved or not — is still yours.

There’s also an additional practical problem: if a rejected candidate asks why they weren’t selected, or files a complaint, can you explain how the process worked? If your only answer is “ChatGPT decided who we should select,” that’s not a legal defense. In fact, it’s evidence that there was no adequate human oversight.

How Can I Comply with the Law?

This doesn’t mean you should avoid AI in your hiring process. It means you need to use it with the same controls you’d apply to any important employment decision, with some of them being:

  1. Investigate the tool before using it. Ask the vendor whether an independent bias audit has been done, when the most recent one was, and whether they’re willing to share those results with your candidates if asked.
  2. Never let the AI have the final word. Use the tool to organize or prioritize, not to automatically reject candidates without human review. A human being should be able to explain and justify every decision.
  3. Notify candidates. Even though Puerto Rico doesn’t yet require it by law, it’s good practice — and a legal defense — to disclose in the job posting that AI technology will be used as part of the evaluation process.
  4. Document the process. Keep records of which tool you used, what criteria the system applied, and what human review took place before each rejection. If no one ever asks, you’ve lost nothing. If they do ask, that documentation is your defense.
  5. Have an alternative process. If a candidate doesn’t want their application evaluated by AI, set up a process where a person reviews their résumé directly.
  6. Review your vendor contract. Who’s responsible if the tool produces a discriminatory outcome? Do you have the right to audit how it works? These clauses are rarely negotiated, but you should try.

The Bottom Line

AI can genuinely save you time in the hiring process, and there’s nothing wrong with using it. The problem isn’t the technology — it’s treating it as if it were neutral, infallible, or someone else’s responsibility. If an AI tool screens out candidates in discriminatory ways, the law holds you, the employer, responsible. Use it as a support tool, keep human oversight on every decision, document your process, and verify — before you buy, not after a complaint — what controls the tool you’re using actually has.

Are you using or considering using AI in your hiring process and aren’t sure whether your current process exposes you to legal risk? Let’s talk. Schedule a consultation here.

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.