Tag: Inteligencia artificial

¿Puedo Ser Acusado de Discrimen en el Trabajo bajo las leyes de Puerto Rico por Haber Usado ChatGPT y Claude para revisar résumés?

En nuestro artículo de hace 2 semanas, hablamos sobre como usar IA para filtrar résumés te expone a leyes que prohiben el discrimen en el trabajo. Hoy queremos enfocarnos en los riesgos que tienes si operas en Puerto Rico bajo una ley que seguramente nadie te mencionará cuando evalúas una herramienta de “screening” automatizado: la Ley Núm. 100 de 30 de junio de 1959, nuestra ley contra el discrimen en el empleo, la cual aplica aunque su texto no contenga la palabra “algoritmo” — y añade consecuencias que las leyes federales y la Unión Europea no tienen.

¿Qué dice la Ley 100 Actualmente?

Antes del 2017, la Ley 100 tenía una herramienta poderosa a favor del empleado, ya que establecía que una acción adversa — como no contratar, no ascender, despedir a una persona— tomada sin justa causa, se presumía discriminatoria. Una vez el empleado activaba esa presunción, la carga pasaba casi por completo al patrono, quien tenía que probar afirmativamente que no hubo discrimen.

Eso cambió con la Ley de Transformación y Flexibilidad Laboral (Ley 4 de 2017), que eliminó esa presunción para alinear a Puerto Rico con el estándar federal conocido como McDonnell Douglas. Hoy, un reclamo bajo la Ley 100 funciona de forma muy parecida a uno federal: el empleado debe establecer un caso preliminar (que pertenece a una clase protegida, que estaba cualificado, que hubo una acción adversa, y que otros en circunstancias similares fuera de esa clase protegida fueron tratados mejor). Si lo logra, el patrono debe articular una razón legítima y no discriminatoria para la decisión. Si el patrono hace esto, la carga vuelve al empleado, quien debe probar que esa razón fue un pretexto.

En resumen, hoy día, la carga de persuadir al tribunal que hubo discrimen recae más sobre el empleado que el patrono.

No obstante, la IA introduce un problema real para un patrono incluso bajo este estándar más favorable. El segundo paso del análisis te exige poder articular una razón legítima para el rechazo. Si tu único proceso fue subir résumés a una herramienta de terceros y dejar que un algoritmo los descartara, ¿cuál es tu razón legítima para rechazarlos? “El sistema le dio menor puntaje” no siempre basta, sobre todo si el candidato puede mostrar —con estadísticas, como permite la teoría de impacto discriminatorio bajo Título VII— que el patrón de rechazos de la herramienta, como por ejemplo, que descarta mayormente mujeres para una posición, correlaciona con una categoría protegida. En ese escenario, la falta de explicación se convierte en la evidencia de pretexto que el empleado necesita para prevalecer

Por otro lado, aunque la carga de la prueba ya no está automáticamente en contra del patrono, la Ley 100 sigue teniendo algo que el Título VII no tiene: penalidades más severas, que veremos a continuación.

¿Cuáles son las penalidades bajo la Ley 100?

La Ley 100 impone responsabilidad civil al patrono por el doble de los daños causados (o entre $500 y $2,000 si los daños no se pueden determinar). Además, la conducta discriminatoria podría constituir un delito menos grave, castigado con multa de hasta $5,000 o cárcel de hasta 90 días, o ambas penas. Nada de esto existe bajo ninguna ley antidiscrimen federal. Por consiguiente, aunque es inusual que estos casos se persigan criminalmente, el usar IA para revisar résumés podría técnicamente exponerte a responsabilidad penal en Puerto Rico. Es una consecuencia que muchos patronos no conocen o anticipan.

¿Cómo está regulado este tema en otras jurisdicciones?

  • Estados Unidos: no existe una ley federal sobre IA en el empleo. En su lugar, hay un mosaico de leyes locales y estatales tales como la Local Law 144 de la ciudad de Nueva York que impone auditorías de sesgo (bias audits), la notificación a un candidato cuando sea entrevistado en video por IA en Illinois, las evaluaciones de riesgo de Colorado, además de las leyes federales antidiscrimen ya existentes (Título VII, ADEA, ADA) por la EEOC, las cuales se interpretan bajo el estándar del caso del Tribunal Supremo de Estados Unidos McDonnell Douglas. Todas estas leyes y ordenanzas pueden reducirse a que permiten el uso de herramientas de IA, pero prepárate para justificarla si alguien la cuestiona y además, conoce los requisitos específicos de cumplimiento que existan en el estado donde trabajas o evaluas candidatos.
  • Unión Europea: si tu empresa trabaja con candidatos o empleados en la Unión Europea, o si simplemente quieres entender hacia dónde va la regulación de IA en el mundo, vale la pena mirar el EU AI Act (Reglamento (UE) 2024/1689), que ya está en vigor, y es probablemente el cuerpo legal más comprensivo en el mundo actualmente sobre la Inteligencia Artificial. El EU AI Act clasifica las herramientas de IA usadas para reclutamiento y selección de personal —incluyendo filtrar solicitudes de empleo y evaluar candidatos— como sistemas de “alto riesgo.” Eso significa que, antes de poder usarse legalmente, la herramienta debe pasar por una evaluación de conformidad, tener documentación técnica, sistemas de gestión de riesgo, mecanismos de supervisión humana, y registrarlos en una base de datos de la UE. Además, el patrono tiene la obligación específica de informar a los trabajadores y sus representantes de la existencia de este sistema antes de utilizarlo. En la Unión Europea, contrario a Puerto Rico y Estados Unidos, un patrono necesita demostrar que su plataforma es segura antes de usarla.

Las diferencias en enfoque son significativas.  Mientras en la UE se certifica la herramienta previo a su uso, en Puerto Rico y Estados Unidos no se exige nada por adelantado, pero se imponen consecuencias legales si la herramienta produce un resultado discriminatorio. 

¿Por Qué Debe Importarte Esto?

Porque usar un IA que discrimina contra candidatos te pone en riesgo de pagar indemnización y, si estás en Puerto Rico, te pone en riesgo de ir a la cárcel.

Piénsalo en términos prácticos: si tu herramienta de IA rechaza desproporcionadamente a candidatos de cierta edad u origen, y un candidato logra probar pretexto —por ejemplo, mostrando que no pudiste explicar de forma coherente por qué el sistema lo descartó, enfrentas la posibilidad de indemnizar a las personas afectadas por el algoritmo y de ser responsable penalmente por haberlo usado. Para un negocio pequeño o una clínica, esa es una exposición realmente significativa que va más allá de lo que anticiparías si sólo miras las leyes federales como referencia o si descansas en que ChatGPT fue hecho “sin intención de discriminar” o porque usaste la herramienta de IA de “buena fe”.

¿Cómo Puedo Cumplir con la Ley?

  1. Ten siempre una razón articulable para cada rechazo. No basta con “el sistema le dio menor puntaje a X candidato.” Debes poder explicar, en términos concretos y relacionados con las cualificaciones del puesto, por qué un candidato no avanzó en el proceso de entrevistas.
  2. Exígele documentación al vendedor. Pregunta si la herramienta ha sido auditada por sesgo, con qué frecuencia, y si te proveen esa documentación. Esa evidencia es lo que te permite cumplir con el paso de “articular una razón legítima” si te cuestionan.
  3. Guarda un registro de cada decisión. Qué datos entraron, qué puntaje o resultado produjo el sistema, y qué revisión humana se hizo antes de las decisiones finales. Esa bitácora es tu evidencia si algún día tienes que defender el proceso.
  4. Notifica a los candidatos que usas IA en el proceso. Es buena práctica en Puerto Rico y ya es obligatorio bajo el EU AI Act si tienes candidatos o empleados en Europa.
  5. Haz una evaluación de riesgo antes de adoptar la herramienta, no después de la primera querella. Pregúntate: ¿con qué datos fue entrenada? ¿Qué categorías protegidas podría estar afectando indirectamente? Recuerda que la Ley 100 protege, entre otras, edad, raza, color, sexo, orientación sexual, identidad de género, origen social o nacional, condición social, afiliación política, ideas políticas o religiosas, ser víctima de violencia doméstica/agresión sexual/acecho, condición de veterano, estado civil, y hasta ciertos peinados y texturas de cabello asociadas a identidades raciales u orígenes nacionales particulares.
  6. Revisa el contrato con el vendedor. ¿Quién asume responsabilidad si la herramienta produce un resultado discriminatorio? Negocia esa cláusula si puedes.

En Resumen

Desde la reforma laboral de 2017, la Ley 100 ya no te coloca en una posición probatoria peor que la ley federal — el análisis hoy se parece bastante al estándar de McDonnell Douglas. Lo que sí distingue a Puerto Rico es lo que pasa si pierdes: daños dobles automáticos y la posibilidad de responsabilidad penal, ninguno de los cuales existe bajo el Título VII. Recuerda además que si no puedes explicar por qué tu herramienta rechazó a un candidato, podrías estar violando la ley. Finalmente, recuerda que necesitas mantener documentados tus procesos, asegurarte que sean supervisados por personas, y que puedas explicar y justificar cada decisión. Conoce y formaliza tus procesos antes que necesites hacerlo frente a una agencia gubernamental o un tribunal.

¿Piensas que tus procesos de contratación actuales con IA te dejarían expuesto a responsabilidad legal bajo la Ley 100 si un candidato presenta una querella hoy, o simplemente quieres asegurarte de tener procesos que cumplen con la ley? Conversemos. Agenda una consulta aquí.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.