Tag: Puerto Rico

¿Debería Puerto Rico prohibir la inteligencia artificial en las escuelas?

La ciudad de Nueva York acabo de hacerlo con 600,000 estudiantes.

El 2 de septiembre de 2026, la ciudad de Nueva York, a través de su Alcalde Zohran Mamdani y Canciller de escuelas (“Schools Chancellor”, cargo equivalente al de secretario de educación de la ciudad) Kamar Samuels, hizo algo que ningún sistema educativo estadounidense había hecho antes: pausar la implementación de tecnología en el salón de clase. Esto se hizo cuando ambos  anunciaron una moratoria de 1 año en el uso de inteligencia artificial generativa (“GAI”, por sus siglas en inglés) en las escuelas públicas de esta ciudad. En la práctica, esto significa que, para este año escolar 2026-27 que acaba de comenzar, los aproximadamente 600 mil estudiantes que cursan desde 2-K hasta octavo grado no podrán usar inteligencia artificial generativa dirigida a estudiantes, y los chatbots de compañía quedan prohibidos en todos los grados.

Desde el punto de vista legal, quizás lo más impresionante de este anuncio es que Nueva York no aprobó ninguna ley para imponer su moratoria. El alcalde y el canciller simplemente tomaron una decisión administrativa sobre qué software será utilizado en los equipos escolares, y con esta decisión, dos terceras partes del sistema educativo público cambiaron de la noche a la mañana.

Esta decisión nos lleva a preguntarnos: ¿hay otras jurisdicciones aprobando leyes sobre cómo se usa la IA en el salón de clases, o simplemente se están implementando estas nuevas tecnologías mediante memorandos o decisiones administrativas? Y, ya que escribimos desde Puerto Rico, nos preguntamos: ¿qué modelo sigue -o podría seguir- nuestra isla?

Antes de responder estas preguntas, comencemos con un resumen del anuncio de Mamdani y Samuels.

¿Qué hizo realmente Nueva York?

La moratoria anunciada es mucho más detallada que lo que dicen los titulares, ya que no es una prohibición total, sino una que establece el siguiente sistema:

  • De 2-K a Octavo Grado: Hay una prohibición total de usar GAI dirigida a estudiantes. Además, los chatbots de compañía (“companion chatbots”) quedan prohidos en todos los graods, incluyendo escuela superior.
  • Escuela Superior: Se enseñará 2 veces al año un módulo de 45 minutos sobre alfabetización en IA que cubrirá aspectos fundamentales, sesgos (“bias”), ética e impactos en las profesiones. En otras palabras, se enseñará sobre IA, no con IA. Aunque están fuera de la moratoria general, la prohibición de chatbots de compañía sí les aplica.
  • Programa Piloto: Hasta 50 mil estudiantes de escuela secundaria (aproximadamente 5% de la matrícula) tendrán acceso a un programa piloto con 5 herramientas de IA aprobadas (Quill, Edia, Brisk Teaching, Playlab e Intel AI-Ready Schools) bajo límites estrictos de tiempo y supervisión de profesores.
  • Topes en el uso de pantallas: para estudiantes de segundo grado o menos, se restringirá el uso individual de pantallas (“1:1 screen time”), lo cual hasta ahora no ha sido comunicado en detalle, y se recomiendan hasta 30 minutos diarios de tercero a quinto grado y 45 minutos de sexto a octavo.
  • Se creó una “Coalición de Tecnología en Escuelas” que se reunirá durante el año y publicará recomendaciones. Sobre esto, el canciller Samuels expresó en el comunicado de la alcaldía: “[n]os mantenemos firmes en nuestra convicción de que la innovación no significa más tecnología, y durante el próximo año, lideraremos con evidencia para asegurar que la tecnología sirva al aprendizaje, y no al revés”.
  • Excepciones importantes: podrá seguirse usando IA en programas de apoyo para estudiantes con discapacidades, estudiantes multilingües y programas vocacionales. Además, los maestros podrán seguir usando IA para la planificación de sus clases y trabajo administrativo.

En resumen, la ciudad de Nueva York no creó una nueva política “por miedo” a la tecnología, sino que estableció una que distingue entre IA como una herramienta “que los adultos pueden usar”, IA como una “materia de estudio para estudiantes” e IA como una “cosa que le habla directamente a un niño de 9 años”, prohibiendo únicamente esta última categoría. 

¿Cómo se usa la IA en los salones de la Unión Europea?

La  Unión Europea aprobó el EU AI Act (“EUAIA“) , el estatuto sobre IA más desarrollado en el mundo, y el mismo regula la IA en educación, entre otras materias. El EUAIA no le dice a una escuela desde qué grado puede usar IA. Lo que hace es regular el producto: impone obligaciones a quien lo desarrolla y vende, y obligaciones adicionales a quien lo implementa, incluyendo la escuela misma.

El EUAIA tiene 3 disposiciones legales sobre este tema:

  • El artículo 5(1)(f) prohíbe desarrollar, comercializar o usar sistemas de IA que infieran emociones de personas naturales basadas en datos biométricos en centros educativos y en el ámbito laboral, dando excepciones muy estrechas para propósitos médicos y de seguridad. Por consiguiente, en la Unión Europea, es ilegal que un vendedor ofrezca a una escuela un sistema de cámaras que vigile si los estudiantes están activamente participando en una clase.
  • El Anexo III del EUAIA clasifica a los sistemas de IA usados en educación como unos de alto riesgo, especialmente aquellos que determinan acceso a la educación, evalúan resultados de aprendizaje -incluida la orientación del proceso de aprendizaje-, evalúan el nivel educativo apropiado y monitorean conductas prohibidas durante un examen. La determinación de alto riesgo no quiere decir que el producto está prohibido, sino que estará altamente reglamentado. A partir del 2 de agosto de 2026, los proveedores tienen que mantener documentación técnica, sistemas de manejo de riesgo, marcado CE, registrarse en una base de datos de la UE y tener supervisión humana. Por otro lado, los responsables del despligue de sistemas (entre los cuales se encuentran las escuelas) necesitan asegurarse de que exista supervisión humana adecuada, mantener registros por al menos 6 meses, notificar a las personas cuando son afectadas por un sistema de alto riesgo y, si son entidades públicas, realizar evaluaciones de impacto a los derechos fundamentales.
  • El Artículo 50 del EUAIA añade requisitos de transparencia en todos los niveles. Los usuarios tienen que ser informados de que están usando un chatbot, de que el contenido que están leyendo es generado por IA, y de que se usan sistemas de reconocimiento de emociones.

El EUAIA castiga estas violaciones con multas que llegan hasta 15 millones de euros o 3% del total de sus ingresos mundiales anuales, o hasta 35 millones de euros o 7% de sus ingresos mundiales anuales cuando se usen prácticas prohibidas, aplicándose siempre la cantidad mayor.

En resumen, la respuesta en la UE a la pregunta de “¿puede usar un chatbot un estudiante de segundo grado?” es “esa es decisión de la escuela. Sin embargo, hay un régimen de cumplimiento que hará costosa la implementación de tecnología educativa mala y hará ilegal el uso de software que lee las emociones”.

¿Qué ha hecho China al respecto?

En mayo de 2025, el Ministerio de Educación chino emitió unas guías para reglamentar la GAI en escuelas elementales y secundarias parecidas a la anunciada en la ciudad de Nueva York. Por ejemplo:

  •  Estudiantes de escuela elemental tienen prohibido usar independientemente herramientas de contenido GAI abiertas.
  • Estudiantes de escuela intermedia pueden explorar y analizar la estructura lógica del contenido generado por IA, y entender cómo funcionan estos sistemas. 
  • Estudiantes de escuela superior pueden usar aprendizaje por indagación (“inquiry-based learning”) sobre los principios técnicos de IA y hasta desarrollar y optimizar modelos de IA.

Por otro lado, está prohibido para todos los estudiantes presentar trabajo generado por IA como propio, usar IA para hacer trampa, o depender excesivamente de la tecnología en tareas creativas sin aplicar pensamiento crítico. Además, la IA no puede directamente evaluar a los estudiantes o responder preguntas de exámenes. 

¿Cómo está regulado en Puerto Rico el uso de IA en las escuelas y colegios?

Al día de hoy, no existe ninguna ley en Puerto Rico que reglamente la IA en las escuelas. Aunque hay varias leyes aprobadas en Puerto Rico sobre IA, como la ley 163 de 2026 que cubrimos anteriormente, al día de hoy, no existe ninguna ley que regule cómo se puede usar la IA en un salón de clases.

Sin embargo, el Departamento de Educación de Puerto Rico (“DE”) aprobó recientemente una política que apunta en una dirección opuesta a la de Nueva York. Aprobada en diciembre de 2025 y publicada en enero de 2026, la Guía Para el Uso de la Inteligencia Artificial en el Aprendizaje Estudiantil (“Guía“) nombra en su página 1 a Microsoft Copilot como la plataforma oficial del salón de clases para estudiantes de 13 años en adelante. Además, la Guía declara que sólo podrán usarse cuentas institucionales cuando se usen los equipos y sistemas de IA del DE y, en su página 23, establece que estudiantes menores de 13 años o estudiantes mayores con rezagos académicos o diversidad funcional podrán usar Aceleradores de Aprendizaje, y requiere que las herramientas de IA cumplan con leyes de protección de datos federales y estatales a través de la Oficina de Sistemas de Información. Además, dispone que se le instruirá a los estudiantes a no entrar información personal sensitiva o que identifique a otras personas. La Guía cita varias fuentes de referencia, como, por ejemplo, recomendaciones del Departamento de Educación de Estados Unidos y las Recomendaciones de Ética en el uso de IA de la UNESCO. 

Al comparar la Guía contra NYC, hay un contraste claro. Por ejemplo, la Guía establece que los estudiantes de al menos 13 años pueden usar IA, edad que probablemente fue tomada de la ley federal COPPA, la cual impone requisitos de consentimiento parental verificable a operadores de páginas de internet y servicios en línea que están dirigidas a niños o recopilan información personal de niños menores de 13 años. COPPA no fija una edad mínima para que un menor use una herramienta: sólo impone obligaciones al operador que recopila sus datos. Es decir, la Guía parece haber tomado prestado aquí un umbral diseñado para otro problema. Sin embargo, NYC establece su línea en octavo grado, lo cual, en promedio, quiere decir a los 14 años, y contrario a Puerto Rico, establece prohibiciones, no permisos. 

La Guía trata fundamentalmente sobre cómo los estudiantes pueden usar IA. NYC busca contestar si los estudiantes pueden usar IA.

Por otro lado, además de la Guía, en la legislatura de Puerto Rico se han debatido al menos 4 proyectos de ley sobre el uso de IA en la educación, aunque, al momento de escribirse este artículo (9 de septiembre de 2026), ninguno se ha convertido en ley. Estos son:

MedidaPresentadaAuspiciador¿Qué hace?Estado
P. de la C. 4272025-03-20Rep. Tatiana Pérez Ramírez (PNP) y Rep. José F. Aponte Hernández (PNP)Programa piloto de 3 años para implementar tutores de inglés conversacional de IA en 25 escuelas según lo aprobó la Cámara; el informe del Senado lo reduce a 21 y añade que comience desde Pre-Kinder a tercer grado.Aprobado en la Cámara el 12 de mayo de 2025. Comisión de Ciencia, Tecnología e Inteligencia Artificial del Senado rindió informe con enmiendas el 10 de marzo de 2026; en Reglas y Calendario del Senado.
P. del S. 3482025-02-19Sen. Brenda Pérez Soto(PNP) con 3 coautores: Karen Román Rodríguez(PNP), Gregorio Matías Rosario (PNP) y Rafael Santos Ortiz (PNP)Establece la IA como herramienta de educación y trabajo a través del DE, establece oficial de cumplimiento, programa piloto en 2 escuelas superiores por región. No fija límite de grado o de edad para el uso de IA.Aprobado por el Senado 24-0 y por la Cámara 50-0 en reconsideración el 27 de enero de 2026. El Senado rechazó enmiendas de la Cámara el 5 de febrero de 2026. En Comité de Conferencia.
P. del S. 8202025-10-16Sen. Brenda Pérez Soto (PNP)Establece programa de alfabetización mediática y digital a través de los grados Kinder al 12, incluyendo algoritmos, IA y deepfakes.Aprobado por el Senado el 26 de marzo de 2026. Comisión de Educación de la Cámara rindió informe el 11 de junio de 2026, el cual fue retirado el 25 de junio de 2026 y devuelto a Comisión.
P. de la C. 9682025-11-07Rep. José F. Aponte Hernández (PNP)Requiere que el DE y todas las escuelas privadas establezcan políticas de ética en el uso de IA.En Comisión de Educación desde el 10 de noviembre de 2025.

Antes de explicar cada proyecto de ley, debemos señalar 2 cosas significativas de entrada:

  1. Tanto la Cámara como el Senado presentaron proyectos de implementación de IA (el 348 y 427) a principios de 2025, para luego presentar varios meses después unos proyectos de gobernanza (el 820 y 968). Esto llama la atención porque, este orden en el que primero se adopta una tecnología y luego se aprueba su gobernanza obligaría a Puerto Rico a simplemente “gobernar” lo que “ya compró”, y no establecer primero “si es necesario comprar” y “qué comprar” antes de adquirirlo. Y, no es que falte voluntad legislativa: el 348 fue aprobado por unanimidad en ambos cuerpos, pero aún así lleva 7 meses detenido en el Comité de Conferencia porque los 2 cuerpos no logran acordar el texto.
  2. Parece haber discrepancias sobre la edad. Aunque la Cámara no fijó una edad mínima en el 427, la Comisión de Ciencia, Tecnología e Inteligencia Artificial del Senado añadió que comenzara en los grados pre K a 3er grado. Sin embargo, esta es la misma Comisión que informó el 348, cuyo plan piloto comienza en escuela superior. Tenemos por ende una misma comisión, con 2 proyectos de ley, brindando 2 respuestas opuestas a la misma pregunta, sin ninguna explicación sobre cómo llegó a las edades y grados que propone en cada uno.  

Ahora, Farrant te Explica cada Proyecto de Ley:

P de la C. 427 – Tutores de IA que el Senado quiere desde Pre-Kinder.

El 12 de mayo de 2025, la Cámara de Representantes de Puerto Rico aprobó el P. de la C. 427, titulado Ley para la Implementación de la Inteligencia Artificial en el Programa de Inglés del Sistema Público de Enseñanza en Puerto Rico.Presentado por los representantes PNP Tatiana Pérez Ramírez y José Aponte Hernández, el mismo ordena la creación de un programa piloto de 3 años para integrar una herramienta de IA que ayude a mejorar el aprendizaje del inglés conversacional en las escuelas públicas de Puerto Rico, el cual será administrado por el DE en colaboración con el PRITS.

El texto que aprobó la Cámara establecía que el programa piloto sería para 25 escuelas y no fijaba ningún nivel escolar. El entirillado del informe del Senado del 10 de marzo de 2026 lo cambió a 21  escuelas (3 por región), y añadió que el programa piloto comenzará en los grados de Pre Kinder a tercero. Esas edades contrastan marcadamente con la moratoria de Nueva York, que prohíbe que estudiantes entre segundo y octavo grado usen IA conversacional, y con China, que prohíbe que los estudiantes de escuela elemental usen GAI. De aprobarse con la enmienda del Senado, el 427  establecería que, desde pre kinder, los estudiantes puertorriqueños interactuarán con GAI en el salón de clases.

Este proyecto de ley es muy diferente a lo que han hecho la ciudad de Nueva York, Bruselas y Beijing, ya que propone:

  • Programa piloto de 3 años dando prioridad a escuelas rurales y difíciles de alcanzar, y estudiantes con bajos resultados en pruebas estandarizadas de inglés. El programa comenzaría con un proceso de 6 meses para seleccionar las escuelas y herramientas y entrenar maestros, seguidos de 3 años de uso de las herramientas con monitoreo continuo, para luego hacer una evaluación del programa.
  • Requerir que las herramientas de IA seleccionadas sean capaces de interactuar en tiempo real y con personalización, brindar funciones de retroalimentación inmediata en pronunciación, gramática y fluidez, y ser compatibles con dispositivos electrónicos disponibles en las escuelas públicas.
  • Crear un Comité de Evaluación designado por el Secretario de Educación.
  • Proveer informes anuales a la Legislatura y Gobernadora.

Por otro lado, el Artículo 7 del 427 aprobado por la Cámara requería que la herramienta de IA se seleccione “luego del debido proceso de evaluación y licitación”, y titula el artículo “Herramientas a utilizarse; licitación”. El entirillado del Senado eliminó las palabras “y licitación” tanto del título como del cuerpo, dejando solamente el “debido proceso de evaluación”. Como personas que creemos en el cumplimiento de la ley y la transparencia gubernamental, nos preocupa esta eliminación, especialmente cuando se está seleccionando aquí un sistema que educará a niños de 4 años en 21 escuelas públicas.

Asimismo, llama la atención que el 427 no dice nada sobre si se permitirá el uso de sistemas de IA que midan o infieran emociones de personas naturales basadas en datos biométricos, práctica prohibida bajo el Artículo 5 de la EUAIA.

P. del S. 348 – Ley de Inteligencia Artificial como herramienta de trabajo e instruccional para estudiantes y maestros en el Departamento de Educación de Puerto Rico.

Este proyecto, presentado por la Senadora PNP Brenda Pérez Soto 3 semanas antes que el 427, es más amplio que éste, aunque su plan piloto sí arranca en escuela superior. Sobre el uso de IA en general, no fija edad o grado alguno. De hecho, sus artículos 3 y 5 autorizan la IA en todo el Departamento de Educación.  

De convertirse en ley, este proyecto permitirá la implementación de IA en todos los cursos como herramienta de instrucción, no sólo en la enseñanza del inglés. Además, el Proyecto propone:

  • Crear el puesto de Oficial de Cumplimiento, designado por el Secretario de Educación y encargado de vigilar el cumplimiento de esta ley.
  • Crear una unidad de innovación tecnológica e IA adscrita a la Subsecretaría para Asuntos Académicos y Programáticos.
  • Establecer un Plan Piloto en 2 escuelas superiores por región educativa. Una de las escuelas deberá ser una designada oficialmente como escuela en plan de mejoramiento y otra que no esté bajo esa designación. Aquí es importante destacar que el Artículo 7 describe el plan piloto como uno para “evaluar e implementar estrategias educativas y administrativas que propicien la mejora del rendimiento académico en el nivel superior”, aunque nunca menciona la IA. En un proyecto sobre IA, es notable que el único artículo que menciona niveles escolares no dice que el piloto será de IA.
  • Obligar a orientar a las comunidades escolares, incluyendo padres, madres o encargados, sobre el uso ético y responsable de IA. 

Este proyecto, el cual ya fue aprobado por Cámara y Senado, pero cuyas enmiendas fueron rechazadas por el Senado el 5 de febrero de 2026 y desde entonces está en Comité de Conferencia, llama la atención por lo siguiente:

  1. El Artículo 3(b) establece que la IA se utilizará como herramienta para apoyar y complementar el trabajo de los maestros y añade, entre paréntesis, “no será para reemplazarlos”. Es la única de las 4 medidas que dice esto expresamente, aunque colocar una aclaración entre paréntesis dentro de una declaración de política pública es una técnica legislativa muy inusual.
  2. El Plan Piloto del Artículo 7 será en escuelas superiores y no en Pre Kinder, como está actualmente el 427. Pero, como señalamos, ese artículo no menciona la IA, y el resto del proyecto no fija grado alguno.  
  3. El  Artículo 3(e)(5) requiere que la IA sea usada para “Identificar estudiantes en posible riesgo de fracaso: estudiantes que necesitan apoyo adicional”. Esto seguramente se haría mediante la elaboración de perfiles predictivos de riesgo en menores de edad, práctica que la Unión Europea ha clasificado como una actividad de alto riesgo en su Anexo III, ya que estaría creando un sistema de IA que sería usado para evaluar resultados académicos o determinar acceso a la educación. Operar un sistema así en la Unión Europea requeriría cumplir con obligaciones de documentación, registros, supervisión humana y una evaluación de impacto a los derechos fundamentales. Sin embargo, en el 348, esto es una simple cláusula que no establece estándares de medición, ningún requisito de supervisión humana, proceso de apelación, o regla que prohíba que este resultado de la IA siga al estudiante a través de su historial y expediente académico. Aunque los sistemas de identificación de estudiantes en riesgo pueden ayudar a prevenir mayores problemas, pueden también convertirse en sistemas de “rastreo y monitoreo por algoritmo”.

Para finalizar, no podemos dejar pasar lo irónico que resulta el hecho de que ambos cuerpos legislativos hayan aprobado un proyecto de ley para transformar la educación en Puerto Rico con una palabra en su título – instruccional – que no es reconocidapor el Diccionario de la Real Academia Española. Esto no es un tecnicismo inevitable, ya que lo están tomando del término instructional design de los Estados Unidos. Nuestro idioma cuenta con la palabra “instructivo”, que sí está en el diccionario. Peor aún es la sintaxis: la frase “herramienta de trabajo e instruccional” coordina con la conjunción “e”, un complemento preposicional con un adjetivo. En español natural, esta frase podría ser reemplazada por “herramienta de trabajo e instrucción”, o “herramienta laboral y didáctica”. Esperamos que esto pueda corregirse.  

P. del S. 820 – Ley de Alfabetización Mediática e Informacional de Puerto Rico.

El 820 también fue presentado por la senadora PNP Brenda Pérez Soto. De aprobarse, requerirá al Departamento de Educación crear un currículo que busque lograr la alfabetización mediática, digital y estadística en los estudiantes de escuelas públicas de Puerto Rico, para que puedan desarrollar competencias esenciales de pensamiento crítico, evaluación de información, análisis de datos y uso de tecnología. 

El 820 además establece que se enfatizará esta enseñanza en las asignaturas de español, estudios sociales, ciencias y matemáticas, comenzando en o antes de los próximos 2 años académicos.  

El curso busca que los estudiantes desarrollen su alfabetización en la:

  •  Evaluación crítica de fuentes y verificación de información.
  • Identificación de desinformación y manipulación, ya sea información falsa, deepfakes, imágenes manipuladas, titulares sensacionalistas (clickbait) y otras formas de contenido alterado.
  • Comprensión básica del funcionamiento de algoritmos e inteligencia artificial.
  • Verificación de hechos y corroboración, aplicación de metodologías de fact-checking, uso de herramientas de verificación digital, búsqueda inversa de imágenes, consulta de múltiples fuentes confiables y triangulación de información para confirmar veracidad. 
  • Producción ética y responsable de contenido digital, incluyendo precisión de los hechos, cita adecuada de fuentes, y responsabilidad en la difusión de información.
  • Respeto a la privacidad, propiedad intelectual y derechos digitales.
  • Desarrollo de hábitos saludables en el uso de la tecnología.
  • Interpretación de datos, identificación de representaciones estadísticas potencialmente engañosas y análisis crítico de información cuantitativa.

La implementación se apoyará en un programa continuo de formación docente, y se otorgarán certificaciones, microcredenciales u otras constancias verificables que contarán como horas de desarrollo profesional.

Este Proyecto es el más cercano al anunciado por la ciudad de Nueva York, ya que busca lograr que los estudiantes conozcan y entiendan los sistemas algorítmicos independientemente de si los usan o no en clase. Su exposición de motivos, además, hace su propio ejercicio de derecho comparado, citando la Ley AB 873 de California (2023) y su expansión de 2024, y las estrategias de Finlandia, Suecia y Canadá.

Por otro lado, su debilidad es similar a la del 968, ya que no se asignan fondos a este, simplemente ordenando al DE en su Artículo 10 a implementarlo mediante “la optimización de recursos humanos, tecnológicos, financieros e infraestructura existente en el Departamento de Educación, maximizando el uso de plataformas virtuales de bajo costo o gratuitas, recursos educativos abiertos, alianzas colaborativas con universidades y organizaciones sin fines de lucro, y capacitación en modalidades híbridas y virtuales que reduzcan costos operativos”. Asimismo, guarda silencio sobre cómo se establecerán currículos apropiados para la edad, o a qué edad se comenzarán, lo cual es una omisión curiosa, ya que la premisa del proyecto de ley es que las etapas de desarrollo de los niños los hacen vulnerables a la manipulación.

P. de la C. 968 – Ley sobre el uso ético de la inteligencia artificial en instituciones educativas de Puerto Rico.

Este proyecto de gobernanza fue presentado por el Representante PNP José Aponte Hernández. El mismo es muy diferente al 427, ya que no ordena la implementación de ninguna herramienta. Por el contrario, exige al DE que promulgue e implemente políticas sobre el uso ético de IA en escuelas públicas y velar por su cumplimiento. Del mismo modo, obliga a todas las instituciones educativas privadas registradas bajo la Ley 212 de 2018 a promulgar e implementar políticas similares en sus respectivas entidades académicas y registrar las mismas en el Departamento de Estado de Puerto Rico dentro de un término no mayor de 180 días luego de la aprobación de la ley.

El 968 establece que toda política deberá incluir los siguientes principios generales:

  • Seguridad y protección.
  • Autonomía.
  • Privacidad.
  • Transparencia y explicabilidad.
  • Diversidad e inclusión.
  • Responsabilidad y rendición de cuentas.

El Artículo 6 también requiere que, “previo a la integración de sistemas de inteligencia artificial en las escuelas públicas e instituciones de educación privada, y subsiguientemente cada año escolar, los estudiantes y el personal docente y no docente serán orientados y capacitados sobre la ética y la utilización responsable de las tecnologías de la IA en la enseñanza, incluyendo las políticas adoptadas.”

Al revisar el 968, este llama la atención por ser un proyecto de ley que requerirá tener una política con ciertos principios. Sin embargo, no dice nada sobre qué constituye una política que no cumpla con la ley, quién las revisará, o qué ocurre cuando una institución presenta una política deficiente. El 968 tampoco establece penalidades ni permite acciones civiles privadas para obligar cumplimiento. Por otro lado, no establece las edades en las que una institución educativa podrá implementar IA, dejándolo al criterio de cada escuela o colegio. Sin embargo, por el lado positivo, es el único de los 4 proyectos de ley que busca reglamentar los colegios privados.

Hay además una disposición que merece atención especial. El principio de Privacidad establecido en el Artículo 5 dispone que “se garantizará la implementación del consentimiento informado del usuario”. Pero, en un salón de clases, el usuario del sistema de IA es el propio estudiante, y el proyecto no dice nada sobre quién consiente cuando el usuario es menor de edad: no remite al Código Civil o a ninguna otra norma legal. Tal como está redactado, un colegio podría cumplir con este principio pidiéndole consentimiento informado a un estudiante de 14 años. Esta es quizás la disposición más importante en las 4 medidas y, según escrita, no le garantiza nada a un padre o madre.

¿Por qué debe importarte esto?

  • Porque vale la pena examinar cómo estos proyectos buscan identificar estudiantes en riesgo. Por ejemplo, el P. del S. 348 sólo le dedica 1 cláusula. Sin embargo, la Unión Europea clasifica esto como un uso de IA de alto riesgo que requiere documentación, supervisión humana, y una evaluación de impacto a los derechos fundamentales. Si una versión de este proyecto de ley pasa, esta disposición probablemente será la que traiga el mayor riesgo de impactar negativamente a un estudiante, y actualmente no tiene ningún estándar de precisión o proceso de apelación.
  • Porque si trabajas en una escuela privada, necesitas, como mínimo, leer hoy el P. de la C. 968. Si en un colegio están creando una política sobre IA, conviene que la prepares – o revises tus políticas existentes – siguiendo los 6 principios establecidos en el Proyecto.
  • Porque es posible que vendedores de productos educativos en Puerto Rico ya estén obligados a cumplir con leyes muy diferentes. Por ejemplo, una compañía que busca cumplir con las obligaciones de aplicaciones de alto riesgo establecidas en la EUAIA creará un producto muy diferente al que podría estar permitido en Puerto Rico. Si estás considerando un suplidor de un producto para tu institución educativa, recomendamos preguntar si su sistema cumple con el Anexo III para así saber cuán seriamente toman estos requisitos, aun si la ley local no lo exige.
  • Porque si te interesa que los padres puedan consentir sobre qué programas educativos usan sus hijos, debes leer con cuidado el 968. Este es el único proyecto que habla de consentimiento informado, pero se lo pide al “usuario”, es decir, al estudiante, y no dice quién consiente por un menor. Si esta disposición se elimina, lo único que quedará para los padres serán las encuestas de percepción que ordena el Artículo 8 del 427 una vez terminado el piloto.  
  • Porque Puerto Rico necesita definir a qué edad sus niños podrán interactuar con la IA. Aunque la Guía dice “13 o más” como regla general, el 427 comenzaría en Pre Kinder si prevalece la enmienda del Senado; el 348 no fija límite de grado alguno para el uso de IA, y el 968 lo deja al criterio de cada institución educativa. Por consiguiente, no hay ninguna respuesta o posición definitiva a una pregunta que Nueva York, Beijing y Bruselas han considerado como fundamental.
  • Porque Puerto Rico parece estar trazando un curso diferente al consenso actual. Las similitudes entre NYC, China y la UE están mandando una fuerte señal ya que, estos 3 sistemas, con políticas muy diferentes, han concluido independientemente que sus estudiantes más jóvenes no deben estar hablando en el salón de clase con chatbots. Estos hallazgos deben considerarse cuando se discuta la aprobación de una  ley local.

En Conclusión

La moratoria de la ciudad de Nueva York es significativa porque fue hecha por una simple decisión administrativa, sin ninguna ley.  Esto fue similar a lo que hizo el DE en la Guía, la cual encaminó a Puerto Rico por un rumbo muy diferente a NYC.

No puede concluirse hoy que un enfoque es mejor que el otro. Hay argumentos válidos para concluir que una moratoria de 1 año protege el desarrollo del niño, y otros que dirán que el sacar la IA de los salones ensancha la brecha entre estudiantes cuyas familias le permiten accederla desde su casa y las que no. El 427 busca cerrar esta brecha, y eso es una meta legítima.

Sin embargo, en el caso de Puerto Rico, lo que actualmente no se puede sostener y necesita considerarse es el hecho de que ambos cuerpos legislativos presentaron proyectos de ley para implementar IA en los salones de clase sin establecer primero un sistema de gobernanza. Y las consecuencias de esto ya se están viendo: el proyecto más avanzado lleva 7 meses en Comité de Conferencia luego de haber sido aprobado por unanimidad en Cámara y Senado, precisamente porque no hay acuerdo sobre qué debe decir. 

El orden que proponemos es el que usó la UE, al prohibir la inferencia de emociones en el salón de clase antes de que llegaran los productos en el salón, y es lo que está haciendo este año la ciudad de Nueva York, al poner una moratoria, crear una coalición, colectar evidencia, y luego tomar una decisión informada.

Finalmente, si la legislatura puertorriqueña quiere tener un impacto duradero en la educación respecto a este tema, va a tener que legislarlo, y no dejarlo al arbitrio de cada escuela. Al legislar, nos parece esencial comenzar por la gobernanza y los principios, y luego de que estos sean aprobados, comenzar con su implementación. Esto evitaría aprobar un proyecto de ley que permita a un estudiante de kinder estar hablando y aprendiendo con un chatbot en el salón de clases todo el día, para luego buscar aprobar una ley que diga si esto es apropiado o no, y cómo debe hacerse.

Si tu escuela o compañía de productos educativos desea entender qué estándares aplican en Puerto Rico, o si quiere implementar una política de gobernanza sobre el uso de IA en su institución, puedes reservar una consulta hoy con nosotros. Estamos disponibles para ayudarte.

¿Puedo Ser Acusado de Discrimen en el Trabajo bajo las leyes de Puerto Rico por Haber Usado ChatGPT y Claude para revisar résumés?

En nuestro artículo de hace 2 semanas, hablamos sobre como usar IA para filtrar résumés te expone a leyes que prohiben el discrimen en el trabajo. Hoy queremos enfocarnos en los riesgos que tienes si operas en Puerto Rico bajo una ley que seguramente nadie te mencionará cuando evalúas una herramienta de “screening” automatizado: la Ley Núm. 100 de 30 de junio de 1959, nuestra ley contra el discrimen en el empleo, la cual aplica aunque su texto no contenga la palabra “algoritmo” — y añade consecuencias que las leyes federales y la Unión Europea no tienen.

¿Qué dice la Ley 100 Actualmente?

Antes del 2017, la Ley 100 tenía una herramienta poderosa a favor del empleado, ya que establecía que una acción adversa — como no contratar, no ascender, despedir a una persona— tomada sin justa causa, se presumía discriminatoria. Una vez el empleado activaba esa presunción, la carga pasaba casi por completo al patrono, quien tenía que probar afirmativamente que no hubo discrimen.

Eso cambió con la Ley de Transformación y Flexibilidad Laboral (Ley 4 de 2017), que eliminó esa presunción para alinear a Puerto Rico con el estándar federal conocido como McDonnell Douglas. Hoy, un reclamo bajo la Ley 100 funciona de forma muy parecida a uno federal: el empleado debe establecer un caso preliminar (que pertenece a una clase protegida, que estaba cualificado, que hubo una acción adversa, y que otros en circunstancias similares fuera de esa clase protegida fueron tratados mejor). Si lo logra, el patrono debe articular una razón legítima y no discriminatoria para la decisión. Si el patrono hace esto, la carga vuelve al empleado, quien debe probar que esa razón fue un pretexto.

En resumen, hoy día, la carga de persuadir al tribunal que hubo discrimen recae más sobre el empleado que el patrono.

No obstante, la IA introduce un problema real para un patrono incluso bajo este estándar más favorable. El segundo paso del análisis te exige poder articular una razón legítima para el rechazo. Si tu único proceso fue subir résumés a una herramienta de terceros y dejar que un algoritmo los descartara, ¿cuál es tu razón legítima para rechazarlos? “El sistema le dio menor puntaje” no siempre basta, sobre todo si el candidato puede mostrar —con estadísticas, como permite la teoría de impacto discriminatorio bajo Título VII— que el patrón de rechazos de la herramienta, como por ejemplo, que descarta mayormente mujeres para una posición, correlaciona con una categoría protegida. En ese escenario, la falta de explicación se convierte en la evidencia de pretexto que el empleado necesita para prevalecer

Por otro lado, aunque la carga de la prueba ya no está automáticamente en contra del patrono, la Ley 100 sigue teniendo algo que el Título VII no tiene: penalidades más severas, que veremos a continuación.

¿Cuáles son las penalidades bajo la Ley 100?

La Ley 100 impone responsabilidad civil al patrono por el doble de los daños causados (o entre $500 y $2,000 si los daños no se pueden determinar). Además, la conducta discriminatoria podría constituir un delito menos grave, castigado con multa de hasta $5,000 o cárcel de hasta 90 días, o ambas penas. Nada de esto existe bajo ninguna ley antidiscrimen federal. Por consiguiente, aunque es inusual que estos casos se persigan criminalmente, el usar IA para revisar résumés podría técnicamente exponerte a responsabilidad penal en Puerto Rico. Es una consecuencia que muchos patronos no conocen o anticipan.

¿Cómo está regulado este tema en otras jurisdicciones?

  • Estados Unidos: no existe una ley federal sobre IA en el empleo. En su lugar, hay un mosaico de leyes locales y estatales tales como la Local Law 144 de la ciudad de Nueva York que impone auditorías de sesgo (bias audits), la notificación a un candidato cuando sea entrevistado en video por IA en Illinois, las evaluaciones de riesgo de Colorado, además de las leyes federales antidiscrimen ya existentes (Título VII, ADEA, ADA) por la EEOC, las cuales se interpretan bajo el estándar del caso del Tribunal Supremo de Estados Unidos McDonnell Douglas. Todas estas leyes y ordenanzas pueden reducirse a que permiten el uso de herramientas de IA, pero prepárate para justificarla si alguien la cuestiona y además, conoce los requisitos específicos de cumplimiento que existan en el estado donde trabajas o evaluas candidatos.
  • Unión Europea: si tu empresa trabaja con candidatos o empleados en la Unión Europea, o si simplemente quieres entender hacia dónde va la regulación de IA en el mundo, vale la pena mirar el EU AI Act (Reglamento (UE) 2024/1689), que ya está en vigor, y es probablemente el cuerpo legal más comprensivo en el mundo actualmente sobre la Inteligencia Artificial. El EU AI Act clasifica las herramientas de IA usadas para reclutamiento y selección de personal —incluyendo filtrar solicitudes de empleo y evaluar candidatos— como sistemas de “alto riesgo.” Eso significa que, antes de poder usarse legalmente, la herramienta debe pasar por una evaluación de conformidad, tener documentación técnica, sistemas de gestión de riesgo, mecanismos de supervisión humana, y registrarlos en una base de datos de la UE. Además, el patrono tiene la obligación específica de informar a los trabajadores y sus representantes de la existencia de este sistema antes de utilizarlo. En la Unión Europea, contrario a Puerto Rico y Estados Unidos, un patrono necesita demostrar que su plataforma es segura antes de usarla.

Las diferencias en enfoque son significativas.  Mientras en la UE se certifica la herramienta previo a su uso, en Puerto Rico y Estados Unidos no se exige nada por adelantado, pero se imponen consecuencias legales si la herramienta produce un resultado discriminatorio. 

¿Por Qué Debe Importarte Esto?

Porque usar un IA que discrimina contra candidatos te pone en riesgo de pagar indemnización y, si estás en Puerto Rico, te pone en riesgo de ir a la cárcel.

Piénsalo en términos prácticos: si tu herramienta de IA rechaza desproporcionadamente a candidatos de cierta edad u origen, y un candidato logra probar pretexto —por ejemplo, mostrando que no pudiste explicar de forma coherente por qué el sistema lo descartó, enfrentas la posibilidad de indemnizar a las personas afectadas por el algoritmo y de ser responsable penalmente por haberlo usado. Para un negocio pequeño o una clínica, esa es una exposición realmente significativa que va más allá de lo que anticiparías si sólo miras las leyes federales como referencia o si descansas en que ChatGPT fue hecho “sin intención de discriminar” o porque usaste la herramienta de IA de “buena fe”.

¿Cómo Puedo Cumplir con la Ley?

  1. Ten siempre una razón articulable para cada rechazo. No basta con “el sistema le dio menor puntaje a X candidato.” Debes poder explicar, en términos concretos y relacionados con las cualificaciones del puesto, por qué un candidato no avanzó en el proceso de entrevistas.
  2. Exígele documentación al vendedor. Pregunta si la herramienta ha sido auditada por sesgo, con qué frecuencia, y si te proveen esa documentación. Esa evidencia es lo que te permite cumplir con el paso de “articular una razón legítima” si te cuestionan.
  3. Guarda un registro de cada decisión. Qué datos entraron, qué puntaje o resultado produjo el sistema, y qué revisión humana se hizo antes de las decisiones finales. Esa bitácora es tu evidencia si algún día tienes que defender el proceso.
  4. Notifica a los candidatos que usas IA en el proceso. Es buena práctica en Puerto Rico y ya es obligatorio bajo el EU AI Act si tienes candidatos o empleados en Europa.
  5. Haz una evaluación de riesgo antes de adoptar la herramienta, no después de la primera querella. Pregúntate: ¿con qué datos fue entrenada? ¿Qué categorías protegidas podría estar afectando indirectamente? Recuerda que la Ley 100 protege, entre otras, edad, raza, color, sexo, orientación sexual, identidad de género, origen social o nacional, condición social, afiliación política, ideas políticas o religiosas, ser víctima de violencia doméstica/agresión sexual/acecho, condición de veterano, estado civil, y hasta ciertos peinados y texturas de cabello asociadas a identidades raciales u orígenes nacionales particulares.
  6. Revisa el contrato con el vendedor. ¿Quién asume responsabilidad si la herramienta produce un resultado discriminatorio? Negocia esa cláusula si puedes.

En Resumen

Desde la reforma laboral de 2017, la Ley 100 ya no te coloca en una posición probatoria peor que la ley federal — el análisis hoy se parece bastante al estándar de McDonnell Douglas. Lo que sí distingue a Puerto Rico es lo que pasa si pierdes: daños dobles automáticos y la posibilidad de responsabilidad penal, ninguno de los cuales existe bajo el Título VII. Recuerda además que si no puedes explicar por qué tu herramienta rechazó a un candidato, podrías estar violando la ley. Finalmente, recuerda que necesitas mantener documentados tus procesos, asegurarte que sean supervisados por personas, y que puedas explicar y justificar cada decisión. Conoce y formaliza tus procesos antes que necesites hacerlo frente a una agencia gubernamental o un tribunal.

¿Piensas que tus procesos de contratación actuales con IA te dejarían expuesto a responsabilidad legal bajo la Ley 100 si un candidato presenta una querella hoy, o simplemente quieres asegurarte de tener procesos que cumplen con la ley? Conversemos. Agenda una consulta aquí.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Puedo usar ChatGPT para poner a Bad Bunny en promociones de mi negocio en las redes sociales?

¿Estás dispuesto a pagar $100,000 por promocionar tu negocio?

Mientras escribo este artículo, las redes sociales en Puerto Rico han explotado con el anuncio del cierre de la gira mundial de Bad Bunny el 22 y 23 de agosto en el Estadio Hiram Bithorn. La cantidad de posts sobre este anuncio y conciertos me recordaron las diversas promociones publicadas en Facebook, Instagram y TikTok en los pasados meses por muchos restaurantes, barras y negocios pequeños de Puerto Rico, la cual consistía de una foto de Bad Bunny supuestamente comiendo en su restaurante, o tomándose una cerveza en la barra. El detalle es que Bad Bunny nunca comió o bebió en esos lugares, y mucho menos se retrató en ellos. Eran imágenes generadas con herramientas de Inteligencia Artificial como ChatGPT o Claude, publicadas sin su consentimiento, y con un propósito clarísimo: promocionar un negocio y atraer clientes usando la imagen de quizás la persona actualmente más reconocida del país. Ningún negocio le pagó licencia, pidió permiso, o tuvo que responder a preguntas sobre las promociones.

Hace apenas unos meses, en Puerto Rico no era claro si ese tipo de imagen generada por IA violaba algún derecho de la persona cuya imagen era utilizada. Sin embargo, hoy día, esta pregunta ha sido contestada.

El pasado 2 de julio de 2026, la Gobernadora Jenniffer González firmó la Ley Núm. 163-2026, la cual enmienda la “Ley del Derecho sobre la Propia Imagen” (Ley 139-2011) para atender directamente el problema de los “deepfakes” en Puerto Rico. Aquí te explico qué cambió con esta nueva ley, qué sigue igual, y cómo compara ésta con lo que están haciendo otros estados de EE.UU. y la Unión Europea.

¿Qué Cambió Exactamente?

La Ley 139 llevaba 15 años protegiendo tu “Imagen” — definida como tu nombre, fotografía, retrato, voz, firma o cualquier representación que te identifique — contra el uso comercial no autorizado por terceras personas. El problema es que esa ley fue pasada en el 2011 pensando en fotografías, videos y grabaciones reales, no en contenido generado por algoritmos y sistemas de IA.

La Ley 163 atendió esa laguna enmendando el Artículo 2(c) de la Ley 139, cambiando su definición de “Imagen” para incluir expresamente representaciones generadas a través de Inteligencia Artificial Generativa: contenido audiovisual, auditivo o multimedia creado por algoritmos o modelos de IA, en forma digital, clonada, simulada o alterada, que reproduzca o emule —total o parcialmente— tu apariencia, voz, movimiento, gestos o cualquier otro atributo identificable.

En otras palabras, aunque no cambió la prohibición en Puerto Rico del uso no autorizado de tu imagen que reconoció nuestro Tribunal Supremo en el caso Vigoreaux Lorenzana vs. Quiznos, el cual estableció que el uso no autorizado de la imagen de una persona para fines comerciales constituye una violación al derecho a la intimidad y al derecho patrimonial de publicidad, la Ley 163 sí cambió el objeto protegido — ahora un deepfake cae dentro de esa protección tanto como una fotografía real. Esas fotos de Bad Bunny comiendo en un restaurante boricua, que antes vivían en una zona gris, hoy día son “deepfakes” que encajan directamente en la definición de “Imagen” del Artículo 2(c), y por tanto, violan la ley.

¿Cómo Funciona esta Ley en la Práctica?

Para que un deepfake sea sancionable bajo la Ley 163, tiene que cumplir con el mismo requisito que siempre ha existido en el Artículo 3: uso con fines comerciales, mercantiles o publicitarios, sin tu consentimiento. Esto es clave — la ley no prohíbe todos los deepfakes, sino específicamente aquellos que explotan tu imagen para vender, anunciar o promocionar algo.

Si se cumple ese requisito, el Artículo 4, además de permitirte solicitar un interdicto en un tribunal para prohibir la difusión de los deepfakes, da 2 posibles remedios:

  • Daños compensatorios, calculados según el beneficio que obtuvo el infractor, lo que tú dejaste de ganar, o el menoscabo causado — los cuales el tribunal puede triplicar si la violación fue intencional o de mala fe.
  • Daños estatutarios, entre $750 y $20,000 por violación, cantidad que el tribunal puede aumentar hasta $100,000 por violación si hubo intención o negligencia crasa.

A esto se suman las costas y honorarios de abogado a tu favor si ganas el caso, y el hecho de que estos remedios son adicionales a cualquier otro remedio disponible bajo una ley estatal o federal.

Los derechos concedidos por esta ley duran hasta 25 años después de tu muerte (Artículo 6), tienes sólo 1 año desde que conociste o debiste conocer los hechos para demandar (Artículo 7), y hay excepciones para noticias, sátira, parodia, crítica académica y personas accesorias (Artículo 8). Un dato importante para quienes trabajan con medios digitales: el Artículo 10 exime de responsabilidad a plataformas y medios que publiquen el deepfake, a menos que se demuestre que sabían que el uso no estaba autorizado — es un estándar de conocimiento, no responsabilidad estricta.

¿Cómo Compara la ley de Puerto Rico con Otras Jurisdicciones?

Puerto Rico no es el único lugar enfrentando este problema, y a continuación, presentamos como otros lugares lo están atendiendo con distintos enfoques:

  • California (AB 1836 y AB 2602): California decidió legislar específicamente sobre “réplicas digitales” en el contexto del entretenimiento. La AB 1836 extiende el derecho de publicidad póstumo para cubrir réplicas digitales de personas fallecidas, con daños mínimos de $10,000. Por otro lado, la AB 2602 invalida cláusulas contractuales que permiten usar una réplica digital de un actor, artista o intérprete (“performer”) vivo sin su consentimiento informado y representación legal adecuada. Es un enfoque nacido de disputas laborales en Hollywood, enfocado en actores y su industria, no en la población general.
  • Nueva York: tomó dos rutas paralelas. Primero, expandió su ley de derecho de publicidad póstumo (Civil Rights Law § 50-f) para cubrir réplicas digitales de artistas fallecidos domiciliados en el estado, y por separado aprobó la “Digital Replica Contracts Act” (General Obligations Law § 5-302), la cual invalida cláusulas contractuales que permiten sustituir la actuación real de un performer vivo por una réplica digital sin representación legal adecuada. Segundo — y esto es más novedoso — aprobó la “Synthetic Performer Disclosure Law” (General Business Law § 396-b), la cual entró en vigor el 9 de junio de 2026, que exige divulgación conspicua cuando un anuncio usa un “performer sintético” generado por IA, e impone multas civiles de $1,000 por la primera violación y $5,000 por cada una subsiguiente. Es un enfoque de transparencia y de contrato, no solo de daños.
  • Maryland y Washington D.C.: vale la pena mirar también hacia jurisdicciones que se han quedado atrás. Maryland no tiene derecho de publicidad —ni estatutario ni de common law— y su única ley de deepfakes vigente (SB 141 de 2026) regula exclusivamente el contexto electoral, no el comercial; un proyecto que sí habría cubierto usos comerciales de IA (HB 1425/SB 905) no logró aprobarse y sigue pendiente como HB 184, el cual no ha sido aprobado al momento de la redacción de este artículo. Por otro lado, Washington D.C. tampoco tiene un estatuto específico, y acciones por daños sufridos por deepfakes se basan en la doctrina de “misappropriation” bajo common law (Vassiliades v. Garfinckel’s, Brooks Bros., 492 A.2d 580 (D.C. 1985)), que exige probar que el demandado se benefició de tu identidad y que ésta tiene un valor público o comercial reconocible, o bajo estatutos de robo de identidad o fraude — un estándar más incierto que una causa de acción estatutaria clara como la de la Ley 139 de 2011 de Puerto Rico. Para un negocio en Maryland o D.C., esto significa que un deepfake no autorizado que está siendo usado para fines comerciales es mucho más difícil de detener o sancionar legalmente que en Puerto Rico, California o Nueva York.
  • Unión Europea (EU AI Act, Artículo 50): aquí la lógica es completamente distinta a la de Puerto Rico y California. La UE no crea una causa de acción por daños; en su lugar, impone una obligación de transparencia. Quien despliegue una IA que genere o manipule contenido de imagen, audio o video que constituya un deepfake debe divulgar que ese contenido fue generado o alterado artificialmente, salvo que forme parte de una obra evidentemente artística, satírica o de ficción, en cuyo caso la divulgación puede ser más discreta. El incumplimiento puede acarrear multas de hasta 15 millones de euros o 3% de la facturación mundial de la empresa, lo que sea mayor.

Al revisar estas leyes, vemos contrastes claros: California y Puerto Rico responden estableciendo con causas de acción privadas y daños económicos después de la publicación; Nueva York añade una capa de divulgación obligatoria en publicidad; la UE regula desde el lado del despliegue tecnológico, exigiendo que se etiquete el contenido sintético independientemente de si hay o no un reclamo de imagen; y Maryland y D.C. muestran el otro extremo — jurisdicciones sin marco claro, donde un negocio o una persona afectada tiene que apoyarse en doctrina de common law incierta, sin daños estatutarios predefinidos ni un plazo de prescripción codificado. Un negocio con presencia en varias de estas jurisdicciones enfrenta niveles de exposición y de protección legal muy distintos según dónde ocurra el uso no autorizado.

¿Por Qué Debe Importarte Esto?

Porque si tu negocio decide usar ChatGPT o Claude esta semana para generar contenido publicitario con imágenes de Bad Bunny generadas por IA, podrías conocer al “Conejo Malo” formalmente cuando te demande a ti y a todos los restaurantes y bares que usaron su imagen generada por IA, ya que ahora tiene una herramienta legal clara para hacerlo, y podrías tener que pagarle daños estatutarios de hasta $100,000 por violación si el uso fue intencional. Y no hace falta que sea una figura de la talla de Bad Bunny — el mismo riesgo aplica si usas la imagen generada por IA de cualquier persona identificable, sea famosa o no.

Además, si eres una figura pública, un influencer, o simplemente alguien con presencia digital en Puerto Rico, esta ley te da una herramienta legal concreta —y con daños estatutarios significativos— para actuar contra el uso no autorizado de tu imagen sintética con fines comerciales.

¿Cómo Puedo Cumplir con la Ley?

  • Si usas herramientas de IA generativa en tu marketing, verifica que el contenido producido no reproduzca de forma reconocible la apariencia, voz o gestos de una persona real sin su consentimiento.
  • Obtén consentimiento escrito específico antes de crear o usar cualquier representación generada por IA de un empleado, cliente, o figura pública en materiales comerciales o publicitarios.
  • Si trabajas con plataformas o medios digitales, documenta tu proceso de revisión de contenido — el Artículo 10 de la Ley 139 te protege solamente si puedes demostrar que no sabías del uso no autorizado.
  • Si operas también en California o Nueva York, revisa por separado los requisitos contractuales (AB 2602) y de divulgación en publicidad de esos estados — no son intercambiables con el estándar de Puerto Rico.
  • Si tu negocio opera en Maryland o Washington D.C., ten presente que ahí no existe una causa de acción estatutaria clara para deepfakes comerciales — cualquier reclamo se interpretará bajo la doctrina de common law, así que la prevención (con consentimiento documentado) importa aún más que en jurisdicciones con leyes expresas.
  • Si tu contenido llega a audiencias en la Unión Europea, evalúa si necesitas cumplir con los requisitos de divulgación bajo el Artículo 50 del EU AI Act, independientemente si haya o no un reclamo contra el uso de la imagen.

En Resumen

La Ley 163 no crea un derecho nuevo, sólo actualiza uno que Puerto Rico ya tenía desde 2011 para cubrir expresamente el contenido generado por Inteligencia Artificial. La aplicación principal sigue siendo la misma: prohibir el uso comercial o publicitario sin consentimiento. Lo que cambia es que ahora no hace falta debatir si un deepfake “cuenta” como imagen — la ley lo dice explícitamente. Si tu negocio produce o distribuye contenido con IA generativa, este es el momento de revisar tus procesos de consentimiento y divulgación, antes de que sea un tribunal quien te lo señale.

¿Tu negocio usa herramientas de IA generativa en su publicidad o contenido de marca? Agenda una consulta con nosotros hoy para conocer más sobre tu negocio, sus promociones, y asegurarnos que tu contenido cumple con todas las leyes aplicables. 

OFERTA ESPECIAL PARA NUESTROS LECTORES DE PUERTO RICO

¿Trabajas para una empresa puertorriqueña que usa imágenes generadas por IA en sus promociones y quieres saber si estás cumpliendo con la ley? Por un tiempo limitado, puedes programar una evaluación de 15 minutos GRATIS para conversar sobre tus promociones siguiendo este link

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración. Las leyes citadas para redactar este artículo estaban vigentes al 15 de agosto de 2026.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Can I Use AI to Review Résumés and Hire Employees?

You’re hiring for several positions. You get 105 résumés for a single role and you don’t have time to read them all. You mention your situation to a colleague and they say: “use ChatGPT” or “there’s an AI tool that screens résumés for you.” It sounds perfect. You save hours, cut down on administrative tasks, get to the candidates who actually fit the role faster, and you can return to your “real” work more quickly.

However, there is an important question almost nobody asks before uploading résumés to an AI tool for screening: who’s responsible if the AI discriminatorily screens out candidates, even if you never intended it to discriminate?

The short answer: you are. The employer. Not the company that sold you the software.

Why Isn’t This Just an AI Problem?

U.S. employment and discrimination laws — Title VII of the Civil Rights Act, the Age Discrimination in Employment Act (ADEA), the Americans with Disabilities Act (ADA) — weren’t written with algorithms in mind, but they don’t need to be updated to apply. What matters under these laws isn’t how a decision to screen out a candidate was made, but whether the outcome had a disparate impact on a protected category, which can include sex, race, age, national origin, or disability, among others.

AI tools known as “Automated Employment Decision Tools” (“AEDTs”) can filter résumés by keyword, score video interviews by analyzing speech patterns and facial expressions, and rank candidates, among other tasks. The problem is that these systems are built by “training” them on historical hiring data, and if that data reflects past biases — for example, fewer women hired into engineering roles — the tool can replicate that bias at scale, quietly, with no one noticing it until a complaint arrives.

New York City was one of the first jurisdictions to regulate this. Its AEDT law (Local Law 144) requires that, before using one of these tools, an employer must conduct an independent bias audit, publish the results, and notify candidates that AI is being used in the process — and giving them the option to request an alternative process. That audit must calculate selection rates and “impact ratios” by sex, race/ethnicity, and intersectional categories. The law applies even if the AI is only used at an early stage of the process, such as scheduling interviews, and not for the final hiring decision.

Illinois has its own law (the AI Video Interview Act), which requires notifying candidates when AI is used to analyze video interviews. Colorado, under its privacy law rules, requires risk assessments and an opt-out right when an “AEDT” is used with legal or significant effects on a person. California is moving in the same direction with its regulations under CCPA.

As of this publication, Puerto Rico does not have a specific law on bias audits for AI hiring tools. That doesn’t relieve you of responsibility, though. On one hand, federal law still applies, and the Equal Employment Opportunity Commission (EEOC) has made clear that employers are responsible for the discriminatory impact of the tools they use, regardless of who programmed them. On the other hand, our own Law No. 100 of June 30, 1959, which prohibits discrimination in employment, applies here too, even though it doesn’t contain the word “algorithm.” In our next article, we’ll discuss in detail how a violation of Law 100 could bring serious consequences.

Why Should You Care?

Because liability for discrimination generated by AI is yours, not the software vendor’s. If you buy or subscribe to an AI tool to filter résumés and that tool ends up disproportionately screening out candidates over 40, women, or people with names the system (incorrectly) associates with lower English proficiency, you’ll be the employer sued — not the software company.

Think about it from the practical standpoint of a small business or a clinic in Puerto Rico:

  • You don’t have a large legal department to review these software contracts.
  • You probably don’t know what data the tool was trained on.
  • It’s easy to assume that “if a big company sells it, it must be legal to use this way, no further questions asked.”

That last point is the most common mistake. No AI tool comes with a guarantee of legal compliance for your jurisdiction and your industry. The responsibility for making sure your hiring process doesn’t discriminate — whether AI is involved or not — is still yours.

There’s also an additional practical problem: if a rejected candidate asks why they weren’t selected, or files a complaint, can you explain how the process worked? If your only answer is “ChatGPT decided who we should select,” that’s not a legal defense. In fact, it’s evidence that there was no adequate human oversight.

How Can I Comply with the Law?

This doesn’t mean you should avoid AI in your hiring process. It means you need to use it with the same controls you’d apply to any important employment decision, with some of them being:

  1. Investigate the tool before using it. Ask the vendor whether an independent bias audit has been done, when the most recent one was, and whether they’re willing to share those results with your candidates if asked.
  2. Never let the AI have the final word. Use the tool to organize or prioritize, not to automatically reject candidates without human review. A human being should be able to explain and justify every decision.
  3. Notify candidates. Even though Puerto Rico doesn’t yet require it by law, it’s good practice — and a legal defense — to disclose in the job posting that AI technology will be used as part of the evaluation process.
  4. Document the process. Keep records of which tool you used, what criteria the system applied, and what human review took place before each rejection. If no one ever asks, you’ve lost nothing. If they do ask, that documentation is your defense.
  5. Have an alternative process. If a candidate doesn’t want their application evaluated by AI, set up a process where a person reviews their résumé directly.
  6. Review your vendor contract. Who’s responsible if the tool produces a discriminatory outcome? Do you have the right to audit how it works? These clauses are rarely negotiated, but you should try.

The Bottom Line

AI can genuinely save you time in the hiring process, and there’s nothing wrong with using it. The problem isn’t the technology — it’s treating it as if it were neutral, infallible, or someone else’s responsibility. If an AI tool screens out candidates in discriminatory ways, the law holds you, the employer, responsible. Use it as a support tool, keep human oversight on every decision, document your process, and verify — before you buy, not after a complaint — what controls the tool you’re using actually has.

Are you using or considering using AI in your hiring process and aren’t sure whether your current process exposes you to legal risk? Let’s talk. Schedule a consultation here.

About the Author

Jaime Farrant is admitted to practice law in Puerto Rico, New York, Maryland and the District of Columbia. This article is for informational purposes only and does not constitute legal advice or create an attorney-client relationship.

ADVERTISING MATERIAL. This article constitutes advertising as defined by the professional conduct rules in New York (22 NYCRR 1200.7.1 and 1200.7.3), Maryland (Rule 19-307.1 and 19-307.2), and the District of Columbia (D.C. Rules of Professional Conduct 7.1), and the Puerto Rico Rules of Professional Conduct (Rules 7.1-7.3). It is not solicitation of prospective clients known to need legal services in a particular matter. Instead, it is general information directed to the public about the practice of law and available legal services. No attorney-client relationship is created by your reading of this article or by contacting the author. Consult qualified counsel in each jurisdiction with specific situations.

Tu Vendedor de Cámaras de Seguridad Quiere Añadir Una a Tu Baño – ¿Vale la Pena Arriesgar 3 Años de Cárcel por Esto?

Un vendedor de sistemas de seguridad te ofrece un buen negocio: un paquete completo de cámaras para tu oficina o clínica, incluyendo unidades para “cada cuarto” — baños incluidos. ¿Lo debes aceptar esta oferta? La respuesta sencilla es “No“.

Instalar una cámara en un baño no está en una zona gris. En la mayoría de los estados, es un delito específico, una acción civil, o ambos — sin importar si eres dueño del local, si los empleados consintieron a un “monitoreo general” en el trabajo, o si tu intención era puramente prevenir robos.

Todo Tipo de Leyes y Reglamentos Están en Contra de la Oferta de Tu Vendedor

Las leyes de vigilancia por video en Estados Unidos son en práctica un mosaico de estatutos, pero entre ellas hay un principio casi universal: las personas tienen una expectativa razonable de intimidad en espacios donde pueden estar desnudas o parcialmente desvestidas — baños, vestidores y áreas de cambio encabezan esa lista en casi toda jurisdicción.

Las siguientes capas de ley aplican aquí:

1. El vacío de la Ley Federal de Interceptación de Comunicaciones (Wiretap Act) y ECPA no te ayuda aquí. La mayoría de las cámaras de seguridad no graban audio, por lo que generalmente quedan fuera del alcance del Wiretap Act y el Electronic Communications Privacy Act (“ECPA”), ya que esas leyes regulan comunicaciones, no videos silenciosos. Algunos dueños de negocios piensan que “si no hay audio, no hay problema con ECPA” y asumen que eso significa que el video no está regulado. No es así. El silencio en ECPA sobre el video sin audio solo significa que tienes que buscar en otras leyes – y las leyes estatales llenan ese vacío rápidamente, especialmente para los baños.

2. Las leyes estatales prohíben específicamente grabar en baños y áreas de cambio. California, por ejemplo, prohíbe expresamente grabar video en baños, vestidores y lugares donde las personas se cambian de ropa. Muchos estados tienen estatutos similares de “video voyerismo” o “vigilancia ilegal” que criminalizan grabar — o incluso sólo instalar equipo de grabación — en un lugar donde alguien tiene una expectativa razonable de intimidad, sin importar si el material se ve o se usa alguna vez. Estos son frecuentemente delitos graves, y el consentimiento tuyo como dueño del negocio es irrelevante; lo que importa es el consentimiento (o conocimiento) de la persona grabada.

3. Los entornos de salud y otros sectores regulados añaden otra capa. Si diriges una oficina médica, una cámara en el baño también genera problemas colaterales inmediatos: pacientes o empleados visibles en cámara dentro de un baño implica violaciones de dignidad e intimidad que van mucho más allá de las salvaguardas técnicas de HIPAA — es el tipo de situación que termina en una querella ante una junta licenciadora, una noticia en los medios, o ambas.

4. Incluso sin un estatuto específico, el derecho civil común (common law) te alcanzará. Toda jurisdicción en Estados Unidos reconoce alguna versión de la acción de intrusión a la soledad (intrusion upon seclusion): intrusión intencional en los asuntos privados de alguien de una manera que resultaría “sumamente ofensiva para una persona razonable.” Una cámara en el baño es el ejemplo clásico que los tribunales usan para ilustrar este daño. Eso significa que incluso en un estado sin un estatuto criminal específico, un empleado, paciente o cliente que descubra la cámara puede demandarte civilmente — y los jurados tienden a tener poca tolerancia con este tipo de situación.

¿Qué Dicen la Constitución y el Código Penal de Puerto Rico?

Si operas en Puerto Rico, tu exposición es posiblemente mayor que en los 50 estados, ya que el derecho a la intimidad aquí no depende de un mosaico de estatutos estatales y agravios de derecho común. Está escrito directamente en la Constitución.

El Artículo II, Sección 8 de la Constitución de Puerto Rico dispone: “Toda persona tiene derecho a protección de ley contra ataques abusivos a su honra, a su reputación y a su vida privada o familiar.” Más aún, contrario a Estados Unidos, el Tribunal Supremo de Puerto Rico ha resuelto que este derecho constitucgional aplica directamente entre partes privadas, no solo contra la acción gubernamental. En Arroyo v. Rattan Specialties, Inc., 117 D.P.R. 35 (1986), el Tribunal resolvió que el derecho a la intimidad opera ex propio vigore — por su propia fuerza — y puede ser invocado por un ciudadano privado contra otro, incluyendo un patrono contra un empleado. Eso significa que una disputa por una cámara en el baño en Puerto Rico no necesita un estatuto separado para convertirse en una violación constitucional; la propia Constitución resuelve la controversia.

El Código Penal de Puerto Rico respalda esto con una disposición criminal específica. El Artículo 168 del Código Penal de Puerto Rico, titulado “Grabación ilegal de imágenes”, tipifica como delito que cualquier persona, sin justificación legal o sin un propósito investigativo legítimo, utilice equipo electrónico o digital de video — con o sin audio — para realizar vigilancia secreta en lugares privados, o en cualquier otro lugar donde se reconozca una expectativa razonable de intimidad. Un baño es un ejemplo tan claro de esto como puede existir. La convicción por este delito conlleva una pena de reclusión de 3 años, y si la parte convicta es una corporación (o cualquier persona jurídica), enfrenta una multa criminal de hasta $10,000, además de responsabilidad civil.

En conjunto, son 3 problemas legales independientes que se acumulan por aceptar la oferta del vendedor: una violación constitucional a la intimidad que no necesita un estatuto adicional para existir, un estatuto criminal específico que nombra la conducta, y responsabilidad civil por daños. No existe una versión de “no pensamos que esto aplicara” que sobreviva esta situación.

¿Cuánto Te Costará “Hacerlo Mal”?

Si estás comprometido con “proteger” todas las áreas de tu negocio, incluyendo los baños, enfrentas múltiples riesgos y costos reales, particularmente:

  • Responsabilidad criminal: Muchas leyes estatales de video voyerismo o vigilancia ilegal son delitos graves, conllevan multas y posible cárcel para la persona que instala u opera el equipo — que podrías ser tú, personalmente, no sólo “el negocio.”
  • Daños civiles: Las reclamaciones de intrusión a la soledad, entre otras reclamaciones de daños y perjuicios, pueden resultar en daños compensatorios, y los tribunales en Estados Unidos han permitido daños punitivos cuando la conducta se considera grave — una cámara en el baño está cerca de ser el caso paradigmático.
  • Reclamaciones laborales: Si la persona grabada es un empleado, esto podría surgir como una acción legal o administrativa por ambiente hostil de trabajo o despido injustificado si sigue alguna acción disciplinaria tras el descubrimiento.
  • Costo reputacional: A diferencia de una notificación de brecha de datos, este es el tipo de historia que sale en las noticias locales con el nombre de tu negocio en el titular. No hay multa regulatoria que cueste más que la confianza de clientes y pacientes que esto destruye.

¿Por Qué Debe Importarte Esto?

Porque aunque pienses que la oferta que te están haciendo suena razonable, podrías terminar en un gran problema. “Negocio completamente cubierto y protegido” suena como buena práctica de seguridad, y la mayoría de los dueños de negocios que instalan estos sistemas no están tratando de hacer nada invasivo — simplemente están pensando en problemas con entregas, robos, hurto en tiendas y responsabilidad por caídas. Sin embargo, tu buena intención no importa para la mayoría de estos estatutos, y tampoco le importará a un jurado. La ley no pregunta si tuviste buenas intenciones; pregunta si una persona razonable consideraría sumamente ofensivo ser grabada en ese espacio. En un baño, la respuesta ya está decidida.

Este es también un buen momento para auditar todo tu plan de cámaras y seguridad, más allá del baño — porque esa misma conversación con el vendedor es una buena oportunidad para pensar en dónde las cámaras son legalmente correctas (entradas, área de ventas, pasillos, estacionamientos) versus dónde cruzan la línea (baños, áreas de descanso usadas por madres lactantes, oficinas privadas con expectativa de confidencialidad).

¿Qué Puedes Hacer para Cumplir?

  1. Rechaza rotundamente cualquier cámara para baño, vestidor o área de lactancia. No existe aviso, formulario de consentimiento, o rótulo que arregle esto. No la instales, y no dejes que un vendedor la incluya en un paquete “por si acaso cambias de opinión.”
  2. Mapea la ubicación de tus cámaras contra las zonas de expectativa de intimidad. Entradas, cajas registradoras, almacenes, estacionamientos y áreas comunes de trabajo generalmente están bien. Baños, vestidores y oficinas privadas no lo están.
  3. Pon tu política de monitoreo por escrito. Para las cámaras que sí instales, prepara una política escrita — revisada por un abogado — que divulgue ubicaciones, propósito y retención ayuda a establecer aviso y reduce el riesgo de una reclamación relacionada con monitoreo por parte del personal.
  4. Verifica el estatuto específico de tu estado. Las leyes de video voyerismo y vigilancia ilegal varían — algunas cubren sólo propósitos “de gratificación sexual,” otras cubren cualquier grabación en un espacio privado sin importar el propósito. Si operas en Puerto Rico, la disposición aplicable es el Artículo 168 del Código Penal, la cual es más amplia que muchos estatutos estatales ya que no está limitado a un requisito de propósito sexual.
  5. Entrena a quien maneje el material grabado. Los controles de acceso y los límites de retención para material de cámaras legítimo también importan — quién puede verlo, cuánto tiempo se guarda, y cómo se protege.

En Resumen

Dile que sí a las cámaras. Dile que no a las unidades para el baño — siempre, sin excepciones, sin importar cómo se empaquete la oferta o qué tan buen descuento incluya. Esta es una de las pocas áreas del derecho a la intimidad donde no existe una manera de cumplir con la ley; la única respuesta correcta es no instalarla.

Si estás armando un plan de cámaras de seguridad para tu oficina, clínica o negocio de venta al detal y quieres una revisión de cumplimiento antes de firmar nada, reserva una consulta — mejor preguntar antes de instalar las cámaras que después.

Esta publicación es para propósitos informativos generales y no constituye asesoramiento legal. Las leyes sobre cámaras y vigilancia varían según el estado; consulta con un abogado sobre las reglas que aplican a tu ubicación e industria específica.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

¿Podría un Correo Electrónico Enviado a tu Paciente por Gmail Costarte $73,000 en Multas?

¿Podría un solo correo electrónico — enviado desde tu cuenta personal de Gmail a un paciente, sin ninguna filtración, sin hacker, y sin datos expuestos en ningún lugar — costarle a tu consultorio decenas de miles de dólares en multas? Bajo HIPAA, la respuesta es sí. La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) del Departamento de Salud y Servicios Humanos de los Estados Unidos de hecho ha multado en el pasado a una entidad cubierta específicamente por no tener un Acuerdo de Asociado de Negocio (BAA) vigente antes de permitir que los datos de un paciente fluyeran a través de un proveedor — sin que se requiriera ninguna filtración. Ese tipo de violación puede costar entre $1,461 y $73,011, y en casos de negligencia intencional, hasta $2,190,294 por incidente. Si tu consultorio está en Puerto Rico, hay una consideración adicional: el mismo mensaje enviado por correo electrónico puede activar un segundo y separado reloj de notificación bajo la ley de Puerto Rico — uno que se mueve más rápido que los plazos de HIPAA. Si tu consultorio le envía correos electrónicos a pacientes desde una cuenta de correo personal y gratuita, este es un riesgo que estás asumiendo cada vez que presionas “enviar.”

No es la Cuenta. Es el Uso.

HIPAA (la Ley de Portabilidad y Responsabilidad del Seguro Médico, por sus siglas en inglés) no dice en ningún lugar que “no tendrás una cuenta de correo gratuita.” Muchas entidades cubiertas y asociados de negocio usan Gmail, Yahoo u Outlook para programar citas, enviar ofertas de mercadeo, o correspondencia general que no incluye información de salud protegida (“PHI,” por sus siglas en inglés), sin infringir jamás la ley. El riesgo de violación aparece en el momento en que el PHI — nombres de pacientes vinculados a diagnósticos, detalles de tratamiento, información de facturación, o cualquier otro dato que pudiera identificar el estado de salud de alguien — viaja a través de esa cuenta sin las protecciones adecuadas.

Así que, aunque es incorrecto decir que “el correo gratuito viola HIPAA,” sí es correcto decir que usar correo electrónico gratuito de nivel consumidor para transmitir o almacenar PHI sin las salvaguardas y los acuerdos correctos es lo que genera exposición ante HIPAA.

La Penalidad — Hasta $2.19 Millones, Pero la Mayoría de los Casos Son Mucho Menores

Las multas civiles de HIPAA se evalúan en cuatro niveles, según el grado de responsabilidad de la entidad cubierta — no es una tarifa fija por “usar el proveedor de correo equivocado”:

  • Nivel 1 (Falta de conocimiento): de $145 a aproximadamente $36,505 por violación, por año — para consultorios que genuinamente no tenían manera razonable de saber que la configuración no cumplía.
  • Nivel 2 (Causa razonable): de $1,461 hasta $73,011 por violación, por año — aquí es donde suelen ubicarse la mayoría de las situaciones de “correo gratuito, sin BAA,” ya que un análisis de riesgo básico normalmente habría señalado el problema.
  • Nivel 3 (Negligencia intencional, corregida): de $14,602 hasta $73,011 por violación, por año — para consultorios que conocían el riesgo y no actuaron, pero lo corrigieron una vez señalado.
  • Nivel 4 (Negligencia intencional, no corregida en 30 días): de $73,011 hasta $2,190,294 por violación, por año — el nivel más severo, para consultorios que sabían y simplemente continuaron.

Y la OCR no es la única fuente de exposición: los gobiernos estatales tienen autoridad independiente para imponer sus propias sanciones relacionadas con HIPAA (hasta $25,000 por categoría de violación, por año), y una filtración que afecte a pacientes en varios estados puede desencadenar acciones simultáneas en múltiples estados, además de lo que imponga la OCR.

Por Qué las Cuentas de Correo Gratuitas Son Riesgosas para el PHI

Existen varias realidades estructurales que hacen que los servicios de correo para consumidores sean poco adecuados para manejar PHI:

1. No hay Acuerdo de Asociado de Negocio (BAA). Bajo las Reglas de Privacidad y Seguridad de HIPAA, cualquier proveedor que cree, reciba, mantenga o transmita PHI en nombre de una entidad cubierta es un “asociado de negocio” y debe firmar un BAA — un contrato que detalla cómo protegerá esos datos. Google y Microsoft sí ofrecen BAAs para sus servicios empresariales de pago (Proton Workspace, Google Workspace, Microsoft 365 con el plan adecuado), pero las cuentas estándar y gratuitas de Gmail, Yahoo y Outlook para consumidores están explícitamente excluidas de esos términos de BAA. Si el PHI se transmite a través de una cuenta gratuita, no existe un contrato conforme a la ley HIPAA que lo respalde.

2. Falta de garantías de cifrado. La Regla de Seguridad de HIPAA exige especificaciones de implementación “abordables” en torno al cifrado del PHI electrónico (ePHI), tanto en reposo como en tránsito. Las cuentas de correo gratuitas generalmente cifran los datos en tránsito entre los principales proveedores (mediante TLS), pero no hay garantía de cifrado de extremo a extremo (“end to end”), ni requisitos de registro de auditoría, ni certeza sobre cuánto tiempo permanecen los mensajes sin cifrar en un servidor o en la bandeja de entrada, enviados o papelera de alguien.

3. No tienen controles de acceso ni registros de auditoría. HIPAA exige que las entidades cubiertas implementen controles de acceso, controles de auditoría y controles de integridad sobre el ePHI. Una bandeja de entrada personal gratuita no ofrece permisos de usuario granulares, registro de actividad, ni la capacidad de demostrar — durante una investigación de la OCR — exactamente quién accedió a un mensaje y cuándo.

4. La seguridad del dispositivo y de la cuenta depende únicamente de ti. Las cuentas gratuitas a menudo se acceden desde teléfonos personales, computadoras compartidas o dispositivos sin gestión. Si ese dispositivo se pierde, es robado o se ve comprometido, no existe una política empresarial de gestión de dispositivos móviles (MDM), capacidad de borrado remoto, ni supervisión centralizada de TI para contener las consecuencias.

Qué Realmente Activa la Aplicación de la Ley

La OCR no busca activamente consultorios que simplemente tengan una cuenta de Gmail. Las acciones de cumplimiento suelen seguir un patrón: ocurre una filtración, el consultorio la reporta o un paciente presenta una queja, y la investigación de la OCR revela que el PHI se enviaba habitualmente por correo electrónico de consumo sin seguridad, sin BAA, sin cifrado y sin un análisis de riesgo documentado. La cuenta de correo suele ser solo el vehículo; la violación subyacente suele ser una falla más amplia en realizar un análisis de riesgo requerido o implementar salvaguardas razonables bajo la Regla de Seguridad.

Puerto Rico Añade un Segundo Reloj — Mucho Más Rápido

Si tu consultorio opera en Puerto Rico, HIPAA no es el único marco legal que le aplica. Dos estatutos de Puerto Rico que hemos cubierto en publicaciones anteriores se superponen directamente sobre un error de correo electrónico bajo HIPAA:

La Ley de Notificación de Violaciones de Seguridad de Puerto Rico (Ley 111 de 2005) enumera explícitamente “información médica protegida por HIPAA” como una de las categorías de información personal protegida bajo su propia definición. Esto significa que una exposición de PHI a través de correo electrónico sin seguridad no es solo un problema de HIPAA — también es una posible violación bajo la propia ley de violaciones de seguridad de Puerto Rico. Y el plazo de cumplimiento bajo esta ley es más corto que el de HIPAA: mientras HIPAA exige notificar a las personas afectadas “sin demora injustificada” y a más tardar en 60 días, la Ley 111 exige por separado informar al DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de un plazo improrrogable de 10 días de haber detectado la violación de seguridad — un reloj mucho más corto que corre paralelamente a tus obligaciones federales. Un consultorio que sólo esté rastreando el plazo de 60 días de HIPAA podría fácilmente incumplir el plazo de 10 días de Puerto Rico sin darse cuenta de que una segunda ley estaba en juego.

La Ley de Notificación de Política de Privacidad de Puerto Rico (Ley 39 de 2012) y su Reglamento 8568 del DACO exigen que todo negocio que recopile información personal de residentes de Puerto Rico — incluyendo consultorios médicos — publique una política de privacidad clara y precisa. La buena noticia aquí: el Artículo 4 de la Ley 39 específicamente dispone que, cuando una ley federal como HIPAA ya rige las prácticas de privacidad de una industria, la ley de Puerto Rico se interpreta de manera consistente con ese marco federal, en lugar de imponer un estándar contradictorio adicional. En la práctica, esto significa que tu Aviso de Prácticas de Privacidad de HIPAA hace gran parte del trabajo necesario — pero la política de privacidad del sitio web de tu consultorio aún necesita satisfacer de forma independiente los elementos de divulgación específicos del Reglamento 8568 (como la manera en que tu sitio responde a las señales de “Do Not Track” y cómo notificas a los pacientes sobre cambios en tus políticas), cosas que un Aviso de Prácticas de Privacidad de HIPAA no está diseñado para cubrir.

¿Por Qué Debería Importarte Esto?

  • Un consultorio que cumple con HIPAA en papel aún puede estar expuesto específicamente en Puerto Rico. Si sólo has evaluado tu cumplimiento contra los requisitos federales de HIPAA, el reloj separado de 10 días del DACO bajo la Ley 111 es una brecha fácil e invisible — no aparece en una evaluación de riesgo de HIPAA, porque no es un requisito de HIPAA en absoluto.
  • Los hábitos del área de recepción suelen ser la verdadera exposición, no la infraestructura de TI. La mayoría de los consultorios que terminan en esta situación no tienen una filtración de datos sofisticada — tienen a un recepcionista o proveedor que, durante años, ha estado enviando resultados de laboratorio o detalles de citas desde una cuenta personal de Gmail porque es conveniente.
  • La solución cuesta mucho menos que la multa. Un plan de correo electrónico empresarial correctamente configurado y respaldado por un BAA (ProtonMail Workspace, Google Workspace o Microsoft 365 Business) cuesta unos pocos dólares por usuario al mes — una cifra insignificante comparada con incluso una sola multa de Nivel 2 de HIPAA.
  • “No lo sabíamos” es cada vez más difícil de argumentar. A medida que la orientación sobre correo electrónico y HIPAA se hace más pública (incluso a través de publicaciones como ésta), la OCR tiene más base para tratar el incumplimiento de un consultorio como Nivel 2 “causa razonable” en lugar de Nivel 1 “falta de conocimiento” — lo cual, por sí solo, puede elevar sustancialmente el rango de la penalidad.

¿Está Tu Consultorio Manejando el Correo Electrónico de los Pacientes de la Forma Correcta? Esto es lo Que Puedes Hacer Hoy.

Si tu consultorio necesita enviar PHI por correo electrónico, esto es lo que realmente te mantiene del lado correcto tanto de HIPAA como de la ley de Puerto Rico:

  • Usa correo electrónico de nivel empresarial con un BAA firmado (por ejemplo, ProtonMail Workspace, Google Workspace o los planes de Microsoft 365 Business/Enterprise, todos ofrecen BAAs).
  • Habilita el cifrado para los mensajes que contengan PHI.
  • Implementa controles de acceso para que solo el personal autorizado pueda ver los mensajes que contienen PHI.
  • Capacita al personal sobre qué se puede y qué no se puede enviar por correo electrónico, y cuándo usar en su lugar un portal seguro para pacientes.
  • Realiza un análisis de riesgo de HIPAA que aborde específicamente cómo se usa el correo electrónico en tu flujo de trabajo.
  • Conoce tus plazos específicos de Puerto Rico por separado de tus plazos de HIPAA — construye un plan de notificación que tome en cuenta el reloj de 10 días del DACO bajo la Ley 111, no solo el límite de 60 días de HIPAA.
  • Asegúrate de que la política de privacidad de tu sitio web satisfaga los requisitos específicos del Reglamento 8568(divulgación de “Do Not Track,” notificación de enmiendas a la política) de forma independiente de tu Aviso de Prácticas de Privacidad de HIPAA.
  • Considera una solución dedicada de mensajería segura o portal para pacientes en lugar del correo electrónico para cualquier información sensible.

En Resumen

No dejes que el titular te asuste pensando que tu cuenta personal de Gmail es automáticamente una violación de cumplimiento — así no funciona HIPAA. Sin embargo, tampoco dejes que la ausencia de una señal de alerta obvia te lleve a la complacencia. En el momento en que el PHI entra a esa bandeja de entrada sin un BAA, cifrado o controles de acceso adecuados, has creado un riesgo regulatorio, financiero y de confianza real — uno sobre el cual la OCR puede actuar incluso sin que ocurra jamás una filtración, y uno que, en Puerto Rico, puede activar un segundo reloj de notificación más rápido que la mayoría de los consultorios no conocen o saben que les aplica. La solución no es complicada: mantén el PHI fuera del correo electrónico de nivel consumidor por completo, o invierte en una plataforma empresarial correctamente configurada y respaldada por un BAA, diseñada para ello.

Si quieres asegurarte de que los hábitos de correo electrónico, la política de privacidad, y el plan de notificación de violaciones de seguridad de tu consultorio realmente cumplan con HIPAA y la ley de Puerto Rico, puedes reservar una consulta con nosotros hoy. Te ayudaremos a cerrar la brecha antes de que una queja de un paciente, una auditoría de la OCR, o un plazo de 10 días incumplido te obligue a actuar bajo mucha presión.

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.

Una Agencia de Puerto Rico Expuso 1 Millón de Números de Seguro Social y Dijo Que No Pasó Nada. ¿Qué Harías Tú Si Esto Le Pasa a Tu Negocio?

¿Puede una agencia gubernamental simplemente decidir que una exposición de datos no cuenta como una violación de seguridad — y desentenderse de sus deberes de notificación por esa decisión? Esto es precisamente lo que está ocurriendo actualmente en Puerto Rico. Periodistas investigativos del Centro de Periodismo Investigativo y ProPublica recientemente publicaron un artículo donde informaron que el CRIM (el Centro de Recaudación de Ingresos Municipales de Puerto Rico) tenía una brecha de seguridad en su herramienta pública de mapeo de propiedades, el Catastro Digital, que permitía que cualquier persona que entendiera cómo el sitio solicitaba datos pudiera descargar información personal sin protección — incluyendo los números de Seguro Social de aproximadamente 1 millón de personas — sin necesitar nunca un nombre de usuario o contraseña.

Los periodistas notificaron directamente al CRIM a mediados de junio, con detalles específicos sobre el servidor y las carpetas exactas involucradas. El director ejecutivo del CRIM negó públicamente que hubiera ocurrido alguna violación de seguridad, dijo que la agencia no notificaría a los ciudadanos afectados porque ninguna información protegida estaba “en riesgo,” y — por separado — nunca reportó el incidente al Negociado de Innovación y Tecnología de Puerto Rico (“PRITS”), la agencia de ciberseguridad del gobierno de Puerto Rico, a pesar de un requisito legal de hacerlo. Sea cual sea la posición que finalmente adopte el CRIM, este es un caso de estudio real y útil sobre lo que exigen las leyes de Puerto Rico cuando se expone información personal — y lo que ocurre cuando una entidad entiende que esto no ocurrió.

Aquí Aplican 2 Leyes de Puerto Rico Que Apuntan en Direcciones Diferentes

Esta historia es una buena ilustración de algo que vale la pena entender claramente: Puerto Rico tiene dos estatutos separados que regulan incidentes como éste, y no conducen al mismo lugar.

  1. La Ley de Ciberseguridad de Puerto Rico, Ley Número 40 del 18 de enero de 2024 (“Ley 40”) — La Ley 40 aplica a agencias gubernamentales y contratistas del gobierno. El CRIM es una agencia gubernamental, por lo que esta obligada a cumplir con la Ley 40: establecer estándares mínimos de ciberseguridad, realizar evaluaciones de riesgo anuales obligatorias, y — central a esta historia — establecer un protocolo que requiere que las agencias informen a PRITS (el Negociado de Innovación y Tecnología de Puerto Rico) sobre cualquier incidente de seguridad sospechoso. Según CPI y ProPublica, el CRIM no hizo esto en este caso.
  2. La Ley 111 de 2005 (la Ley de Notificación de Violaciones de Seguridad de Puerto Rico) — la ley de notificación de violaciones de seguridad cubierta en nuestra publicación anterior sobre Oriental y Evertec — aplica ampliamente. Su definición de “entidad” incluye agencias, juntas, comisiones e instrumentalidades de las tres ramas del gobierno de Puerto Rico, no solo negocios privados. Así que el CRIM, como agencia gubernamental, parece estar tan cubierto por la Ley 111 como lo estuvo Oriental Bank. El disparador de la ley — acceso no autorizado a un archivo de información personal que contenga un nombre junto con un número de Seguro Social, legible sin cifrado especial — corresponde directamente con lo que se reporta ocurrió aquí.

Estos estatutos difieren en cuanto a que agencia tiene jurisdicción en caso que ocurra una violación. Bajo el Artículo 7 de la Ley 111, cuando ocurre una violación de seguridad en una agencia gubernamental o corporación pública, la jurisdicción no recae en el DACO (la agencia que atiende el caso de Oriental Bank y los que involucren entidades privadas), sino que va a la Oficina del Procurador del Ciudadano, quien está obligado a designar un procurador especializado para el caso. Esta es una vía de cumplimiento significativamente distinta a los casos del sector privado cubiertos anteriormente.

“Yo No Dirijo una Agencia Gubernamental. ¿Por Qué Debe Importarme Esto?”

Si eres dueño de un negocio y estás pensando “no soy una agencia gubernamental, así que esto no me aplica” — aquí hay algunas razones por las cuales esta historia sigue siendo directamente relevante para ti:

  • Si tienes contratos con el Gobierno de Puerto Rico, sus municipios, o corporaciones públicas, la Ley 40 puede aplicarte — el Artículo 2 de la Ley extiende sus requisitos de ciberseguridad a contratistas privados, pero únicamente con respecto a las funciones o servicios públicos que realices y a los datos generados a partir de esa relación con el gobierno, no a tu negocio en general. Si realizas cualquier trabajo de cara al gobierno, vale la pena saber exactamente dónde se traza esa línea en tus contratos.
  • “No creemos que sea una violación de seguridad” no es una estrategia de cumplimiento — es una apuesta. El disparador de notificación en la Ley 111 es el acceso no autorizado a información personal protegida, no la caracterización que la propia empresa (o agencia) haga del incidente. Si tu negocio adopta la posición de que una exposición “no cuenta,” estás haciendo un juicio legal que un regulador, un tribunal, o un periodista investigativo podrían no estar de acuerdo contigo en el futuro. Para ese momento, podrías estar expuesto a penalidades y reclamaciones civiles que pudieron evitarse.
  • Que un tercero descubra el problema es peor que descubrirlo tú mismo. El CRIM no descubrió esto — lo hicieron periodistas, le dieron detalles específicos a la agencia, y ésta lo neegó públicamente. Si la violación de seguridad de tu negocio es descubierta por un cliente, un competidor, o un periodista en lugar de tus técnicos de sistemas, la historia se convierte tanto en la respuesta como en el incidente mismo.
  • La exposición a través de proveedores o plataformas no se limita a “hackeos” evidentes. Esto no fue una intrusión sofisticada — fue una herramienta de cara al público que simplemente no protegió adecuadamente el acceso a la información personal subyacente. La misma categoría de riesgo existe en cualquier lugar donde un negocio exponga formularios, APIs, tableros, o reportes descargables al público sin verificar exactamente qué datos pueden realmente devolver esas herramientas.
  • Una respuesta pública lenta o defensiva agrava la exposición. Sea cual sea el resultado legal de este caso, el escrutinio reputacional y regulatorio que sigue a una negación — en lugar de una respuesta pronta y transparente — tiende a ser peor que el incidente subyacente, especialmente una vez que la historia ya es pública.

¿Está Tu Negocio Preparado Si Algo Similar le Sucede?

  • Trata la pregunta “¿es esto una violación de seguridad?” como un asunto legal, no de relaciones públicas. Analiza cualquier exposición a través de las definiciones reales de la Ley 111 y la Ley 40 antes de decidir si necesitas notificar una agencia o tus clientes — no según cómo pudiera verse el incidente en un titular de noticias.
  • Verifica qué información devuelven tus herramientas de cara al público, no sólo lo que muestran por defecto (“default”). Una interfaz de búsqueda que “no muestra” datos sensitivos en sus resultados normales aún puede exponer esos datos a través de la estructura subyacente de solicitud, exactamente como se reportó aquí.
  • Sepa qué regulador tiene jurisdicción antes de que ocurra un incidente. Los negocios privados responden ante el DACO; las agencias gubernamentales y corporaciones públicas responden ante el Procurador del Ciudadano. Conocer el proceso de antemano evita perder tiempo averiguándolo durante un incidente activo.
  • Determina cómo la Ley 40 podría aplicarte. Si alguno de tus negocios maneja datos como parte de sus obligaciones bajo un contrato con el gobierno de Puerto Rico, necesitas saber cómo — y si — esta ley alcanza esa parte específica de tu trabajo.
  • Construye un árbol de decisiones de notificación con anticipación, para que responder a la pregunta “¿fue esto una violación de seguridad?” no se decida de forma reactiva, bajo escrutinio, por quien sea que esté atendiendo las llamadas de la prensa ese día.

En Resumen

Esta historia es un ejemplo en tiempo real de lo que ocurre cuando una entidad pública o privada adopta la posición de que una exposición no es una violación de seguridad legalmente significativa, en lugar de analizar la situación a través de las leyes y reglamentos potencialmente aplicables. La ley de Puerto Rico no deja la respuesta a la pregunta “¿fue esto una violación de seguridad?” únicamente a la discreción de la entidad que posee los datos — la Ley 111 la define, la Ley 40 añade obligaciones separadas para las agencias gubernamentales y sus contratistas, y ninguno de los dos marcos desaparece sólo porque un ejecutivo diga que no pasó nada.

Para cualquier negocio — no sólo agencias gubernamentales — la lección es la misma que en nuestra publicación anterior: conoce tus obligaciones, conoce tu regulador, y no dejes que la primera vez que pienses seriamente sobre éstos sea el día en que un periodista llame preguntando por qué un millón de números de Seguro Social eran descargables desde tu página web sin una contraseña.

Si quieres asegurarte de que tu negocio cumpla con las leyes de seguridad de datos y notificación de violaciones de seguridad de Puerto Rico y Estados Unidos, reserva una consulta con nosotros hoy. Te ayudaremos a construir un árbol de decisiones, términos contractuales con proveedores, y un plan de acción antes de que un incidente te obligue a crear y ejecutar uno bajo presión.

[2026-07-16]

Sobre el Autor

Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia. La práctica legal en cualquier otro estado está limitada al derecho de inmigración.

MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.