La gobernadora de Oregon, Tina Kotek, emitió el 23 de septiembre de 2026 la Executive Order 26-26, titulada Establishing Responsible Artificial Intelligence Procurement Standards for State Government. La orden instruye al Chief Information Officer del estado a desarrollar estándares o criterios para una revisión independiente adecuada de seguridad de modelos de IA frontera y a evaluar si un requisito de apagado de emergencia es viable para modelos comprados o usados por el gobierno estatal de Oregon.
Es una noticia de gobernanza porque convierte la seguridad de IA frontera desde un debate general de política en una pregunta de control de compras. La orden no crea una ley nacional de IA, no regula todo despliegue privado y no prueba por sí sola que un modelo sea seguro. Sí exige a compradores estatales definir qué evidencia debe existir antes de apoyarse en sistemas de IA de mayor riesgo.
KTVZ informó por separado que la EO 26-26 entra en vigor de inmediato, permanece activa hasta que la gobernadora la termine y exige una propuesta de implementación dentro de 90 días.
Qué cambia la EO 26-26
El anuncio de la gobernadora dice que Oregon ya tiene requisitos de uso responsable de IA en el poder ejecutivo, incluidos gestión de riesgos, responsabilidad humana, transparencia y supervisión. La EO 26-26 agrega una capa de compra para modelos frontera. En vez de preguntar solo si una herramienta es útil, el estado debe definir qué cuenta como revisión externa suficiente de seguridad y si una capacidad de apagado de emergencia debería ser parte de los términos de compra.
Eso importa porque las agencias públicas suelen comprar IA mediante canales tecnológicos ordinarios. Una lista general de software puede omitir preguntas específicas de modelos frontera: qué evaluaciones se hicieron, quién las realizó, qué límites quedan, cómo se monitorean capacidades peligrosas, si el modelo puede desactivarse y qué evidencia permanece después del uso.
Por qué la compra es el punto de control
La compra es donde la política se vuelve exigible. Un estado puede pedir model cards, informes de evaluación, historial de incidentes, términos de uso de datos, condiciones de supervisión humana, controles de seguridad y registros de auditoría antes de firmar un contrato. Después de comprar, el poder de negociación es menor y la documentación puede convertirse en una reconstrucción tardía.
Para equipos de gobernanza de IA, la lección operativa es unir evidencia de seguridad a la decisión de compra. La lista de evidencia de cumplimiento de IA de Maetra es relevante porque la evidencia de compra debe nombrar responsable del control, fuente, fecha de vigencia, estado de revisión y disparador de renovación. Un PDF de proveedor no basta si luego nadie posee la decisión.
El posible requisito de apagado también necesita diseño cuidadoso. Sirve solo si los equipos saben quién puede invocarlo, qué sistemas afecta, cómo fallan de forma segura los flujos dependientes y cómo se registra la acción. No debe tratarse como cura mágica para IA insegura. Es un control de emergencia dentro de un sistema más amplio de inventario, política y evidencia.
Qué sigue incierto
La EO 26-26 marca una dirección, no un estándar técnico final. El CIO aún debe definir criterios de revisión y evaluar factibilidad. Las fuentes públicas revisadas aquí no incluyen la propuesta final de implementación, la definición precisa de modelo de IA frontera, lenguaje contractual, formato de auditoría ni lista de compras afectadas.
Los equipos tampoco deberían leer la orden como un régimen de certificación de modelos. La revisión independiente puede mejorar la garantía, pero solo es útil según su alcance, independencia, cobertura de pruebas y calidad de evidencia. El estado aún necesitará revisión específica para usos que afecten beneficios, salud, seguridad, empleo, educación u otras decisiones consecuentes.
Análisis de Maetra
La orden de Oregon apunta a una fase práctica de la gobernanza de IA. La pregunta clave no es si una agencia acepta o rechaza la IA. La pregunta es si puede mostrar por qué aprobó un modelo, qué revisión independiente consideró suficiente, qué puede afectar el modelo, cuándo debe intervenir una persona y cómo puede pausarse si cambia el riesgo.
Las organizaciones fuera del gobierno pueden usar la misma estructura. Agreguen cada sistema de IA y agente comprado a un inventario. Vinculen propietario, acceso a datos, origen del modelo, revisión independiente, límites conocidos, ruta de apagado y frescura de evidencia. La guía de Maetra sobre inventario de agentes de IA es el punto de partida, porque un control de compra falla si nadie puede encontrar después qué se compró, qué puede hacer y quién responde.