California promulgó la SB 1119, una ley de protección infantil para chatbots de compañía que convierte las expectativas de seguridad en controles documentados, información pública y auditorías independientes. El registro legislativo oficial muestra que el gobernador Gavin Newsom aprobó la ley el 10 de septiembre de 2026. La Secretaría de Estado la registró el mismo día como Chapter 190.
La mayoría de las obligaciones operativas comenzarán el 1 de julio de 2027. Los operadores incluidos deberían usar este plazo para definir el alcance de productos, asignar responsables y construir evidencias. La norma no abarca todos los chatbots. Se aplica a chatbots de compañía disponibles para usuarios de California, con exclusiones para sistemas ofrecidos exclusivamente al personal en entornos laborales y determinados usos de educación superior.
La consecuencia de cumplimiento es concreta. Antes de publicar un chatbot incluido nuevo o modificado de forma sustancial, el operador debe evaluar daños razonablemente previsibles para los menores, documentar las mitigaciones y conectar el resultado con la configuración del producto. La ley también crea obligaciones de garantía recurrentes, no solo una revisión inicial.
Qué exige la SB 1119
La ley ofrece dos vías para gestionar la edad. El operador puede determinarla conforme al marco aplicable o aplicar a todos los usuarios determinadas protecciones infantiles. Si se permite el uso por menores, el operador debe publicar una política de seguridad infantil que describa cómo el producto evita los daños incluidos y cómo responde cuando los detecta.
Antes de poner a disposición un chatbot de compañía nuevo o sustancialmente modificado, el operador debe completar una evaluación integral del riesgo infantil. Debe resumir los resultados de las evaluaciones de daños, explicar la metodología, citar referencias públicas e investigación relevante y describir las evaluaciones no públicas. Después debe documentar medidas razonables para mitigar los riesgos identificados.
Los controles de producto son especialmente concretos. Incluyen un protocolo documentado de respuesta a crisis, recordatorios apropiados para la edad, avisos periódicos de que el usuario interactúa con IA, controles parentales, límites de tiempo y ajustes protectores por defecto. La memoria conversacional persistente y las notificaciones se desactivan inicialmente para menores, con excepciones detalladas y control parental. La ley también aborda incentivos dañinos, interés romántico simulado, dependencia emocional, afirmaciones engañosas de conciencia, patrones oscuros, publicidad dirigida y uso innecesario de información infantil.
Las auditorías independientes crean una obligación probatoria
La auditoría inicial de seguridad infantil vence el 1 de enero de 2029 o antes de que el operador ofrezca el chatbot al público por primera vez, si esta fecha es posterior. Después se exige una auditoría independiente cada dos años. También debe realizarse antes de una modificación sustancial cuando la evaluación aplicable muestre un aumento del riesgo infantil.
El auditor evaluará si el operador estableció y siguió las políticas y prácticas exigidas. El informe debe describir controles, mitigaciones, pruebas, desviaciones importantes, altos responsables y metodología. El auditor principal certifica el resultado bajo pena de perjurio. El operador debe conservar la documentación relevante y el informe íntegro durante el despliegue y cinco años adicionales.
En los 30 días hábiles posteriores a recibir una auditoría, el operador debe enviar un resumen al fiscal general de California. El texto contiene otras reglas de plazo y alcance, incluida una disposición temporal para operadores por debajo de un umbral de ingresos. Los equipos deben identificar la provisión exacta aplicable a su organización en vez de asumir que todos comparten las mismas fechas.
Qué deberían construir ahora los operadores
La primera tarea es un inventario defendible de productos. Debe registrar qué experiencias cumplen la definición legal, quién puede acceder, si se admiten menores y qué versiones son modificaciones sustanciales. Cada producto debe vincularse con un responsable, un proceso de lanzamiento y un lugar para las evidencias.
Después hay que convertir la ley en pruebas de control. Una puerta de lanzamiento debe mostrar la evaluación de riesgos, los daños evaluados, las referencias, los resultados de mitigación y el responsable de la decisión. La evidencia de configuración debe demostrar los ajustes reales de memoria, notificaciones, duración de sesiones y control parental. Los procedimientos de incidentes deben preservar conversaciones cuando concurran las condiciones legales y respetar a la vez privacidad y acceso legítimo.
La lista de evidencias de cumplimiento de IA de Maetra ayuda a relacionar una obligación con un responsable, un control y un registro vigente. La guía de registros de auditoría de IA explica cómo conservar decisiones y acciones sin crear un almacén de datos descontrolado.
Límites importantes
La SB 1119 ya fue promulgada, pero la mayor parte del nuevo capítulo de seguridad infantil aún no está vigente. La ley no demuestra que un chatbot actual sea seguro o conforme. Tampoco reemplaza el análisis cuidadoso de definiciones, exenciones, otras normas de California o la legislación federal.
La información independiente de AP y CalMatters corrobora la promulgación y el enfoque de protección infantil. Los requisitos y fechas de este artículo proceden del texto legislativo registrado. Las organizaciones deben usar ese texto y asesoramiento jurídico cualificado para sus decisiones finales de aplicabilidad.
Análisis de Maetra
El cambio importante va de las promesas a operaciones trazables. Una política pública debe conectarse con una evaluación de riesgos. Una mitigación debe conectarse con pruebas. Un cambio de producto debe conectarse con una nueva revisión. Una auditoría debe conectarse con evidencias conservadas y altos responsables identificados.
Esa cadena es útil incluso fuera de California. Los equipos pueden preparar la IA conversacional dirigida a menores como un sistema gobernado por separado, con ajustes más estrictos, puertas de lanzamiento y evidencias de incidentes. La ruta más rápida empieza por el alcance del producto y la responsabilidad del control, y después prueba si las evidencias resisten una revisión independiente.