Tag: ia

¿Puedo usar ChatGPT para poner a Bad Bunny en promociones de mi negocio en las redes sociales?

Posted by Jaime Farrant on with 0 Comment

¿Estás dispuesto a pagar $100,000 por promocionar tu negocio?

Mientras escribo este artículo, las redes sociales en Puerto Rico han explotado con el anuncio del cierre de la gira mundial de Bad Bunny el 22 y 23 de agosto en el Estadio Hiram Bithorn. La cantidad de posts sobre este anuncio y conciertos me recordaron las diversas promociones publicadas en Facebook, Instagram y TikTok en los pasados meses por muchos restaurantes, barras y negocios pequeños de Puerto Rico, la cual consistía de una foto de Bad Bunny supuestamente comiendo en su restaurante, o tomándose una cerveza en la barra. El detalle es que Bad Bunny nunca comió o bebió en esos lugares, y mucho menos se retrató en ellos. Eran imágenes generadas con herramientas de Inteligencia Artificial como ChatGPT o Claude, publicadas sin su consentimiento, y con un propósito clarísimo: promocionar un negocio y atraer clientes usando la imagen de quizás la persona actualmente más reconocida del país. Ningún negocio le pagó licencia, pidió permiso, o tuvo que responder a preguntas sobre las promociones.

Hace apenas unos meses, en Puerto Rico no era claro si ese tipo de imagen generada por IA violaba algún derecho de la persona cuya imagen era utilizada. Sin embargo, hoy día, esta pregunta ha sido contestada.

El pasado 2 de julio de 2026, la Gobernadora Jenniffer González firmó la Ley Núm. 163-2026, la cual enmienda la “Ley del Derecho sobre la Propia Imagen” (Ley 139-2011) para atender directamente el problema de los “deepfakes” en Puerto Rico. Aquí te explico qué cambió con esta nueva ley, qué sigue igual, y cómo compara ésta con lo que están haciendo otros estados de EE.UU. y la Unión Europea.

¿Qué Cambió Exactamente?

La Ley 139 llevaba 15 años protegiendo tu “Imagen” — definida como tu nombre, fotografía, retrato, voz, firma o cualquier representación que te identifique — contra el uso comercial no autorizado por terceras personas. El problema es que esa ley fue pasada en el 2011 pensando en fotografías, videos y grabaciones reales, no en contenido generado por algoritmos y sistemas de IA.

La Ley 163 atendió esa laguna enmendando el Artículo 2(c) de la Ley 139, cambiando su definición de “Imagen” para incluir expresamente representaciones generadas a través de Inteligencia Artificial Generativa: contenido audiovisual, auditivo o multimedia creado por algoritmos o modelos de IA, en forma digital, clonada, simulada o alterada, que reproduzca o emule —total o parcialmente— tu apariencia, voz, movimiento, gestos o cualquier otro atributo identificable.

En otras palabras, aunque no cambió la prohibición en Puerto Rico del uso no autorizado de tu imagen que reconoció nuestro Tribunal Supremo en el caso Vigoreaux Lorenzana vs. Quiznos, el cual estableció que el uso no autorizado de la imagen de una persona para fines comerciales constituye una violación al derecho a la intimidad y al derecho patrimonial de publicidad, la Ley 163 sí cambió el objeto protegido — ahora un deepfake cae dentro de esa protección tanto como una fotografía real. Esas fotos de Bad Bunny comiendo en un restaurante boricua, que antes vivían en una zona gris, hoy día son “deepfakes” que encajan directamente en la definición de “Imagen” del Artículo 2(c), y por tanto, violan la ley.

¿Cómo Funciona esta Ley en la Práctica?

Para que un deepfake sea sancionable bajo la Ley 163, tiene que cumplir con el mismo requisito que siempre ha existido en el Artículo 3: uso con fines comerciales, mercantiles o publicitarios, sin tu consentimiento. Esto es clave — la ley no prohíbe todos los deepfakes, sino específicamente aquellos que explotan tu imagen para vender, anunciar o promocionar algo.

Si se cumple ese requisito, el Artículo 4, además de permitirte solicitar un interdicto en un tribunal para prohibir la difusión de los deepfakes, da 2 posibles remedios:

  • Daños compensatorios, calculados según el beneficio que obtuvo el infractor, lo que tú dejaste de ganar, o el menoscabo causado — los cuales el tribunal puede triplicar si la violación fue intencional o de mala fe.
  • Daños estatutarios, entre $750 y $20,000 por violación, cantidad que el tribunal puede aumentar hasta $100,000 por violación si hubo intención o negligencia crasa.

A esto se suman las costas y honorarios de abogado a tu favor si ganas el caso, y el hecho de que estos remedios son adicionales a cualquier otro remedio disponible bajo una ley estatal o federal.

Los derechos concedidos por esta ley duran hasta 25 años después de tu muerte (Artículo 6), tienes sólo 1 año desde que conociste o debiste conocer los hechos para demandar (Artículo 7), y hay excepciones para noticias, sátira, parodia, crítica académica y personas accesorias (Artículo 8). Un dato importante para quienes trabajan con medios digitales: el Artículo 10 exime de responsabilidad a plataformas y medios que publiquen el deepfake, a menos que se demuestre que sabían que el uso no estaba autorizado — es un estándar de conocimiento, no responsabilidad estricta.

¿Cómo Compara la ley de Puerto Rico con Otras Jurisdicciones?

Puerto Rico no es el único lugar enfrentando este problema, y a continuación, presentamos como otros lugares lo están atendiendo con distintos enfoques:

  • California (AB 1836 y AB 2602): California decidió legislar específicamente sobre “réplicas digitales” en el contexto del entretenimiento. La AB 1836 extiende el derecho de publicidad póstumo para cubrir réplicas digitales de personas fallecidas, con daños mínimos de $10,000. Por otro lado, la AB 2602 invalida cláusulas contractuales que permiten usar una réplica digital de un actor, artista o intérprete (“performer”) vivo sin su consentimiento informado y representación legal adecuada. Es un enfoque nacido de disputas laborales en Hollywood, enfocado en actores y su industria, no en la población general.
  • Nueva York: tomó dos rutas paralelas. Primero, expandió su ley de derecho de publicidad póstumo (Civil Rights Law § 50-f) para cubrir réplicas digitales de artistas fallecidos domiciliados en el estado, y por separado aprobó la “Digital Replica Contracts Act” (General Obligations Law § 5-302), la cual invalida cláusulas contractuales que permiten sustituir la actuación real de un performer vivo por una réplica digital sin representación legal adecuada. Segundo — y esto es más novedoso — aprobó la “Synthetic Performer Disclosure Law” (General Business Law § 396-b), la cual entró en vigor el 9 de junio de 2026, que exige divulgación conspicua cuando un anuncio usa un “performer sintético” generado por IA, e impone multas civiles de $1,000 por la primera violación y $5,000 por cada una subsiguiente. Es un enfoque de transparencia y de contrato, no solo de daños.
  • Maryland y Washington D.C.: vale la pena mirar también hacia jurisdicciones que se han quedado atrás. Maryland no tiene derecho de publicidad —ni estatutario ni de common law— y su única ley de deepfakes vigente (SB 141 de 2026) regula exclusivamente el contexto electoral, no el comercial; un proyecto que sí habría cubierto usos comerciales de IA (HB 1425/SB 905) no logró aprobarse y sigue pendiente como HB 184, el cual no ha sido aprobado al momento de la redacción de este artículo. Por otro lado, Washington D.C. tampoco tiene un estatuto específico, y acciones por daños sufridos por deepfakes se basan en la doctrina de “misappropriation” bajo common law (Vassiliades v. Garfinckel’s, Brooks Bros., 492 A.2d 580 (D.C. 1985)), que exige probar que el demandado se benefició de tu identidad y que ésta tiene un valor público o comercial reconocible, o bajo estatutos de robo de identidad o fraude — un estándar más incierto que una causa de acción estatutaria clara como la de la Ley 139 de 2011 de Puerto Rico. Para un negocio en Maryland o D.C., esto significa que un deepfake no autorizado que está siendo usado para fines comerciales es mucho más difícil de detener o sancionar legalmente que en Puerto Rico, California o Nueva York.
  • Unión Europea (EU AI Act, Artículo 50): aquí la lógica es completamente distinta a la de Puerto Rico y California. La UE no crea una causa de acción por daños; en su lugar, impone una obligación de transparencia. Quien despliegue una IA que genere o manipule contenido de imagen, audio o video que constituya un deepfake debe divulgar que ese contenido fue generado o alterado artificialmente, salvo que forme parte de una obra evidentemente artística, satírica o de ficción, en cuyo caso la divulgación puede ser más discreta. El incumplimiento puede acarrear multas de hasta 15 millones de euros o 3% de la facturación mundial de la empresa, lo que sea mayor.

Al revisar estas leyes, vemos contrastes claros: California y Puerto Rico responden estableciendo con causas de acción privadas y daños económicos después de la publicación; Nueva York añade una capa de divulgación obligatoria en publicidad; la UE regula desde el lado del despliegue tecnológico, exigiendo que se etiquete el contenido sintético independientemente de si hay o no un reclamo de imagen; y Maryland y D.C. muestran el otro extremo — jurisdicciones sin marco claro, donde un negocio o una persona afectada tiene que apoyarse en doctrina de common law incierta, sin daños estatutarios predefinidos ni un plazo de prescripción codificado. Un negocio con presencia en varias de estas jurisdicciones enfrenta niveles de exposición y de protección legal muy distintos según dónde ocurra el uso no autorizado.

¿Por Qué Debe Importarte Esto?

Porque si tu negocio decide usar ChatGPT o Claude esta semana para generar contenido publicitario con imágenes de Bad Bunny generadas por IA, podrías conocer al “Conejo Malo” formalmente cuando te demande a ti y a todos los restaurantes y bares que usaron su imagen generada por IA, ya que ahora tiene una herramienta legal clara para hacerlo, y podrías tener que pagarle daños estatutarios de hasta $100,000 por violación si el uso fue intencional. Y no hace falta que sea una figura de la talla de Bad Bunny — el mismo riesgo aplica si usas la imagen generada por IA de cualquier persona identificable, sea famosa o no.

Además, si eres una figura pública, un influencer, o simplemente alguien con presencia digital en Puerto Rico, esta ley te da una herramienta legal concreta —y con daños estatutarios significativos— para actuar contra el uso no autorizado de tu imagen sintética con fines comerciales.

¿Cómo Puedo Cumplir con la Ley?

  • Si usas herramientas de IA generativa en tu marketing, verifica que el contenido producido no reproduzca de forma reconocible la apariencia, voz o gestos de una persona real sin su consentimiento.
  • Obtén consentimiento escrito específico antes de crear o usar cualquier representación generada por IA de un empleado, cliente, o figura pública en materiales comerciales o publicitarios.
  • Si trabajas con plataformas o medios digitales, documenta tu proceso de revisión de contenido — el Artículo 10 de la Ley 139 te protege solamente si puedes demostrar que no sabías del uso no autorizado.
  • Si operas también en California o Nueva York, revisa por separado los requisitos contractuales (AB 2602) y de divulgación en publicidad de esos estados — no son intercambiables con el estándar de Puerto Rico.
  • Si tu negocio opera en Maryland o Washington D.C., ten presente que ahí no existe una causa de acción estatutaria clara para deepfakes comerciales — cualquier reclamo se interpretará bajo la doctrina de common law, así que la prevención (con consentimiento documentado) importa aún más que en jurisdicciones con leyes expresas.
  • Si tu contenido llega a audiencias en la Unión Europea, evalúa si necesitas cumplir con los requisitos de divulgación bajo el Artículo 50 del EU AI Act, independientemente si haya o no un reclamo contra el uso de la imagen.

En Resumen

La Ley 163 no crea un derecho nuevo, sólo actualiza uno que Puerto Rico ya tenía desde 2011 para cubrir expresamente el contenido generado por Inteligencia Artificial. La aplicación principal sigue siendo la misma: prohibir el uso comercial o publicitario sin consentimiento. Lo que cambia es que ahora no hace falta debatir si un deepfake “cuenta” como imagen — la ley lo dice explícitamente. Si tu negocio produce o distribuye contenido con IA generativa, este es el momento de revisar tus procesos de consentimiento y divulgación, antes de que sea un tribunal quien te lo señale.

¿Tu negocio usa herramientas de IA generativa en su publicidad o contenido de marca? Agenda una consulta con nosotros hoy para conocer más sobre tu negocio, sus promociones, y asegurarnos que tu contenido cumple con todas las leyes aplicables. 

OFERTA ESPECIAL PARA NUESTROS LECTORES DE PUERTO RICO

¿Trabajas para una empresa puertorriqueña que usa imágenes generadas por IA en sus promociones y quieres saber si estás cumpliendo con la ley? Por un tiempo limitado, puedes programar una evaluación de 15 minutos GRATIS para conversar sobre tus promociones siguiendo este link. 

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración. Las leyes citadas para redactar este artículo estaban vigentes al 15 de agosto de 2026.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Puedo Usar Inteligencia Artificial Para Revisar Resumés y Contratar Empleados?

Posted by Jaime Farrant on

Estás contratando empleados para varias posiciones. Te llegan 105 resumés para un solo puesto y no tienes tiempo de leerlos todos. Comentas a un colega tu situación y te responde: “usa ChatGPT” o “hay una herramienta de IA que revisa los resumes por ti.” Suena perfecto. Ahorras horas, reduces tu trabajo administrativo, y llegas más rápido a los candidatos que realmente encajan con la plaza, y puedes volver a tu trabajo “normal”.

Sin embargo, aquí está la pregunta que casi nadie se hace antes de subir los resumes a la IA para que los evalúe: ¿quién responde si la IA descarta candidatos de forma discriminatoria, aunque tú nunca hayas querido que discrimine?

La respuesta corta: tú. El patrono. No la empresa que vendió el software.

¿Por Qué Esto No Es Sólo un Problema de la IA?

Las leyes de empleo y discriminación en Estados Unidos —el Título VII de la Ley de Derechos Civiles, la Ley de Discrimen por Edad en el Empleo (ADEA), la Ley de Estadounidenses con Discapacidades (ADA)— no se escribieron pensando en algoritmos, pero no necesitan actualizarse para aplicar. Lo que importa para estas leyes no es cómo se tomó la decisión de descartar a un candidato, sino si el resultado tuvo un impacto discriminatorio (“disparate impact”) sobre una categoría protegida, las cuales pueden incluir sexo, raza, edad, origen nacional o discapacidad, entre otras.

Las herramientas de IA conocidas como “Automated Employment Decision Tools” (“AEDT”, por sus siglas en inglés) puede filtrar resumés buscando palabras clave, calificar entrevistas en video analizando patrones de habla y expresiones faciales, o darle puntaje a los candidatos. El problema es que estos sistemas son preparados “enseñándoles” datos históricos de contratación, y si esos datos reflejan sesgos pasados —por ejemplo, menos mujeres contratadas en roles de ingeniería— la herramienta puede replicar ese sesgo a gran escala, de forma silenciosa y sin que nadie lo note hasta que llegue una querella.

La ciudad de Nueva York fue una de las primeras jurisdicciones en regular esta situación. Su ley de AEDT (Local Law 144) exige que, antes de usar una de estas herramientas, el patrono realice una auditoría de sesgo (“bias audit”) independiente, publique los resultados, y notifique a los candidatos que se está usando IA en el proceso — y darles la opción de solicitar un proceso alterno. Esa auditoría debe calcular tasas de selección e “impact ratios” por categoría de sexo, raza/etnicidad y categorías interseccionales. Esta ley aplica aunque la IA sólo se use para una etapa temprana del proceso, como agendar entrevistas, y no para la decisión final de contratación.

Illinois tiene su propia ley (AI Video Interview Act), la cual exige notificar a los candidatos cuando se usa IA para analizar entrevistas en video. Colorado, bajo las reglas de su ley de privacidad, exige evaluaciones de riesgo y derecho a exclusión (opt-out) cuando se usa “AEDT” con efectos legales o significativos sobre una persona. California está avanzando en la misma dirección con sus regulaciones bajo la CCPA.

Al momento de esta publicación, Puerto Rico no tiene una ley específica sobre auditorías de sesgo en herramientas de IA para contratación. Sin embargo, esto no te libera de responsabilidad. Por un lado, las leyes federales sí aplican, y la Comisión de Igualdad de Oportunidades en el Empleo (EEOC) ha dejado claro que los patronos son responsables por el impacto discriminatorio de las herramientas que usan, sin importar quién las programó. Por otro lado, nuestra Ley Núm. 100 de 30 de junio de 1959 contra el discrimen en el empleo aplica en estos casos, aún cuando la misma no contiene la palabra “algoritmo”. En la segunda parte de este artículo, discutiremos en detalle como una violación a la Ley 100 podría traerte serias consecuencias.

¿Por Qué Debe Importarte Esto?

Porque la responsabilidad por el discrimen que genere la IA es tuya y no del vendedor del software. Si compras o te suscribes a una herramienta de IA para filtrar currículums y esa herramienta termina descartando desproporcionadamente a candidatos mayores de 40 años, mujeres, o personas con nombres que el sistema asocia (erróneamente) con menor competencia en inglés, tú serás el patrono demandado, no la empresa de software.

Piénsalo desde el punto de vista práctico de un negocio pequeño o una clínica en Puerto Rico:

  • No tienes un departamento legal grande para revisar estos contratos de software.
  • Probablemente no sabes qué datos usó la herramienta para “entrenarse.”
  • Es fácil asumir que “si lo vende una empresa grande, debe ser legal usarlo así, sin más.”

Ese último punto es el error más común. Ninguna herramienta de IA viene con garantía de cumplimiento legal para tu jurisdicción y tu industria. La responsabilidad de verificar que el proceso de contratación no discrimine —usando IA o no— sigue siendo tuya.

Además, hay un problema práctico adicional: si un candidato rechazado solicita saber por qué no fue seleccionado, o presenta una querella, ¿puedes explicar cómo funcionó el proceso? Si tu única respuesta es “ChatGPT lo decidió,” eso no es una defensa legal. Es, de hecho, evidencia de que no hubo supervisión humana adecuada.

¿Cómo Puedo Cumplir con la Ley?

Esto no significa que debas evitar la IA en tu proceso de contratación. Significa que debes usarla con los mismos controles que aplicarías a cualquier decisión de empleo importante.

  1. Investiga la herramienta antes de usarla. Pregúntale al vendedor si se ha hecho una auditoría de sesgo independiente, cuándo fue la más reciente, y si están dispuestos a compartir esos resultados con tus candidatos si te lo piden.
  2. Nunca dejes que la IA tenga la última palabra. Usa la herramienta para organizar o priorizar, no para descartar automáticamente sin revisión humana. Un ser humano debe poder explicar y justificar cada decisión de exclusión.
  3. Notifica a los candidatos. Aunque Puerto Rico no lo exija todavía por ley, es una buena práctica —y una defensa legal— informar en la oferta de empleo que se usará tecnología de IA en parte del proceso de evaluación.
  4. Documenta el proceso. Guarda registros de qué herramienta usaste, qué criterios aplicó el sistema, y qué revisión humana se hizo antes de cada rechazo. Si nunca te preguntan, no perdiste nada. Si te preguntan, esa documentación es tu defensa.
  5. Ten un proceso alterno. Si un candidato no quiere que su solicitud sea evaluada por IA, establece un proceso en el que una persona revisa su currículum directamente.
  6. Revisa el contrato con tu vendedor. ¿Quién es responsable si la herramienta produce un resultado discriminatorio? ¿Tienes derecho a auditar cómo funciona? Estas cláusulas casi nunca se negocian, pero debes intentarlo.

En Resumen

La IA puede ahorrarte tiempo real en el proceso de contratación, y no hay nada malo en usarla. El problema no es la tecnología —es tratarla como si fuera neutral, infalible, o responsabilidad de otro. Si una herramienta de IA descarta candidatos de formas discriminatorias, la ley te ve a ti, el patrono, como el responsable. Úsala como una herramienta de apoyo, mantén supervisión humana en cada decisión, documenta tu proceso, y verifica —antes de comprar, no después de una querella— qué controles tiene la herramienta que estás utilizando.

¿Estás usando o considerando usar IA en tu proceso de contratación y no sabes si tu proceso actual te expone a riesgos legales? Conversemos. Agenda una consulta aquí.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

Posted by Jaime Farrant on with 0 Comment

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.