Ley de IA de Colorado

Resumen ejecutivo

Por qué la Ley de IA de Colorado es el caso de prueba de la tensión federal-estatal de IA en Estados Unidos

El encuadre más habitual de la Ley de IA de Colorado la describe como la primera ley estatal integral de IA en Estados Unidos, modelada sobre el Reglamento de IA de la UE, enfocada en la prevención de la discriminación algorítmica. El encuadre es correcto y estructuralmente incompleto. La Ley de IA de Colorado se ha convertido en el caso de prueba sobre si los estados pueden construir regulación integral de IA al estilo UE que sobreviva a la presión política, legal y federal de preempción que emergió tras la transición de enero de 2025 en la política federal de IA.

La narrativa dominante lee la ley como un análogo a nivel estatal del Reglamento de IA de la UE — basada en riesgo, prescriptiva, enfocada en desarrolladores y desplegadores de sistemas de IA de alto riesgo, con obligaciones detalladas de gobernanza. La lectura es exacta en cuanto al texto estatutario. Lo que pierde es que la ley en realidad no ha entrado en vigor en términos operativos, y puede que nunca entre en vigor en su forma actual. Tres procesos concurrentes están reconfigurando el marco: una demora estatutaria de cinco meses (SB 25B-004, firmada el 28 de agosto de 2025), un borrador de marco de reemplazo del grupo de trabajo del Gobernador (el KILO draft, marzo de 2026) y una suspensión federal de la aplicación (concedida el 27 de abril de 2026). El estatuto tal como se promulgó está operativamente suspendido; el estatuto tal como eventualmente aplicará sigue bajo construcción.

Lo que la Ley de IA de Colorado es en realidad, entonces, es el canario en la mina de carbón para la regulación integral estatal de IA en Estados Unidos. Testó si un estado podría aprobar un marco al estilo del Reglamento de IA de la UE. La respuesta fue sí — la ley se promulgó en mayo de 2024 con apoyo bipartidista, tras negociación extensa, con defensas afirmativas para organizaciones que adoptan marcos reconocidos de gestión del riesgo. Ahora está testando si tal marco puede sobrevivir los vientos en contra políticos y legales que enfrenta la regulación integral estatal de IA en el entorno federal post-enero 2025. La respuesta no está aún determinada.

La tensión política es real y estructuralmente específica. La EO federal de Trump 14281 (Restoring Equality of Opportunity and Meritocracy, principios de 2025) dirige a las agencias federales a deenfatizar la aplicación del disparate-impact en las leyes de derechos civiles. La Ley de IA de Colorado se construye en torno a la prevención de la discriminación algorítmica, definida para incluir disparate impact. Las dos medidas no son directamente contradictorias — la ley de Colorado continúa vinculando con independencia de las prioridades federales de aplicación — pero crean una postura federal coherente que desfavorece la teoría subyacente de la ley. La EO de Trump de diciembre de 2025 que estableció la AI Litigation Task Force se diseñó en parte para crear la infraestructura de litigio para impugnar leyes como la Ley de IA de Colorado. La suspensión del tribunal federal de abril de 2026 es el primer fruto de ese entorno, aunque la propia suspensión se concedió por moción conjunta de las partes en lugar de por motivos de preempción federal.

Para las organizaciones que operan en Colorado o afectan a consumidores de Colorado, la realidad operativa es que la Ley de IA de Colorado sigue siendo la referencia legal para la gobernanza de IA en el estado, pero sus obligaciones concretas pueden ser sustancialmente diferentes para cuando la aplicación efectivamente comience. El trabajo de cumplimiento continúa durante la suspensión porque:

• Las obligaciones sustantivas de SB 24-205 no han cambiado a menos que y hasta que KILO u otro reemplazo se promulgue
• La fecha de entrada en vigor del 30 de junio de 2026 se mantiene a menos que se demore más
• Construir hacia la defensa afirmativa (alineamiento con NIST AI RMF o ISO/IEC 42001) preserva el valor de opción a través de los tres posibles desenlaces (entrar en vigor tal cual, enmendar/reemplazar, o ser enjoined)
• El Colorado Attorney General tiene autoridad exclusiva de aplicación, pero el marco de la Colorado Consumer Protection Act persiste con independencia de los detalles de SB 24-205

El resto de esta referencia trata la ley como promulgada, con el contexto operativo y político que conforma cómo aplicará efectivamente.

—

Ámbito subjetivo y objetivo

A quién se dirige. La ley distingue entre dos categorías de entidades reguladas, con obligaciones diferentes aplicando a cada una.

Desarrolladores son personas que hacen negocios en Colorado que desarrollan o modifican intencionalmente y sustancialmente un sistema de IA que es o se convierte en un sistema de IA de alto riesgo. Los desarrolladores son responsables de la documentación técnica que sigue al sistema en el despliegue.

Desplegadores son personas que hacen negocios en Colorado que usan un sistema de IA de alto riesgo para tomar una decisión consecuente que afecta a los consumidores de Colorado. Los desplegadores soportan las obligaciones de gestión del riesgo, evaluación de impacto y notificación al consumidor.

Las organizaciones pueden ser tanto desarrollador como desplegador para diferentes sistemas de IA — para la IA que construyen internamente y despliegan ellas mismas, ambos conjuntos de obligaciones aplican.

Ámbito material. La ley cubre sistemas de IA de alto riesgo usados para tomar o influenciar sustancialmente decisiones consecuentes que afectan a los consumidores de Colorado. Las dos definiciones interactúan:

• Una decisión consecuente afecta el acceso a o los términos de: empleo u oportunidad de empleo, educación u oportunidad educativa, servicios financieros o de préstamo, servicios gubernamentales esenciales, servicios de salud, vivienda, seguros o servicios legales.
• Un sistema de IA de alto riesgo es un sistema de IA que, cuando se despliega, toma o es un factor sustancial en la toma de una decisión consecuente.

La combinación produce una población de sistemas de IA regulados que se solapa sustancialmente pero no idénticamente con la categoría de alto riesgo del Reglamento de IA de la UE y con las herramientas automatizadas de decisión de empleo de NYC LL144. Colorado es más amplio que NYC LL144 (que cubre solo empleo) y más estrecho que el Reglamento de IA de la UE (que cubre un rango más amplio de usos de alto riesgo).

Exenciones. Varias categorías están excluidas del cumplimiento completo:

• Desplegadores pequeños con menos de 50 empleados que no usan el sistema de IA para entrenarlo con los datos del desplegador
• Aseguradoras sujetas al §10-3-1104.9 de los Colorado Revised Statutes (cubiertas por separado bajo reglas específicas de IA en seguros)
• Bancos federalmente regulados sujetos a regulación bancaria federal
• Sistemas de IA usados únicamente para investigación no desplegada contra consumidores de Colorado
• Sistemas de IA usados estrechamente para ciberseguridad, detección de fraude o anti-spam donde no toman decisiones consecuentes sobre los consumidores

La exención de desplegador pequeño es particularmente significativa: elimina una fracción sustancial de pequeños negocios del alcance de la ley mientras mantiene a los desplegadores empresariales completamente cubiertos.

—

Obligaciones de los desarrolladores

Los desarrolladores de sistemas de IA de alto riesgo vendidos o licenciados a desplegadores de Colorado tienen tres obligaciones principales una vez que SB 24-205 entre en vigor.

Cuidado razonable para prevenir la discriminación algorítmica. Los desarrolladores deben usar cuidado razonable para proteger a los consumidores de cualquier riesgo conocido o razonablemente previsible de discriminación algorítmica que surja de los usos previstos del sistema de IA de alto riesgo. El estándar es cuidado, no responsabilidad estricta — los desarrolladores no son estrictamente responsables de cualquier discriminación algorítmica, sino de los fallos en el ejercicio del cuidado razonable.

Documentación proporcionada a los desplegadores. Los desarrolladores deben proporcionar a los desplegadores documentación exhaustiva antes de que el desplegador ponga el sistema en servicio, incluyendo:

• Una declaración general que describa los usos razonablemente previsibles y los usos dañinos o inapropiados conocidos del sistema de IA de alto riesgo
• Documentación que describa el tipo de datos usados para entrenar el sistema, las limitaciones del sistema, el propósito del sistema y los beneficios y usos previstos
• Documentación que describa cómo se evaluó el sistema de IA de alto riesgo en cuanto a rendimiento y mitigación de la discriminación algorítmica, incluidas las divulgaciones de cualquier fuente de datos conocida
• Documentación que describa las medidas de gobernanza de datos usadas para cubrir los conjuntos de datos de entrenamiento y las medidas usadas para examinar la idoneidad de las fuentes de datos, los posibles sesgos y la mitigación apropiada
• Documentación que describa los outputs previstos del sistema
• Documentación que describa las medidas que el desarrollador ha tomado para mitigar los riesgos conocidos o razonablemente previsibles de discriminación algorítmica que pueden surgir del despliegue del sistema de IA de alto riesgo
• Documentación que describa cómo el sistema de IA de alto riesgo debería usarse, no usarse y monitorearse

El conjunto de documentación es sustancial y es el equivalente del lado del desarrollador a la documentación técnica del Reglamento de IA de la UE bajo el artículo 11. En la práctica, la documentación es el par model card y dataset card hacia el que ha estado convergiendo el ecosistema de gobernanza de IA.

Notificación de discriminación algorítmica. Los desarrolladores deben notificar al Colorado Attorney General y a todos los desplegadores conocidos dentro de los 90 días siguientes al descubrimiento de que su sistema de IA ha causado o es razonablemente probable que cause discriminación algorítmica. Esta es una obligación sustantiva de reporte de incidentes específica a daños de discriminación.

—

Obligaciones de los desplegadores

Los desplegadores soportan la carga de cumplimiento más pesada bajo la ley. Aplican seis obligaciones principales:

Política y programa de gestión del riesgo. Los desplegadores deben implementar y mantener una política y programa de gestión del riesgo que cubra el despliegue de sistemas de IA de alto riesgo. El programa debe especificar e implementar los principios, procesos y personal que se usarán para identificar y mitigar la discriminación algorítmica. La ley reconoce explícitamente el NIST AI Risk Management Framework y la ISO/IEC 42001 como marcos aceptables de gestión del riesgo; el alineamiento del desplegador con cualquiera de los dos crea una presunción rebatible de cumplimiento.

Evaluación de impacto antes del despliegue. Antes de desplegar un sistema de IA de alto riesgo, los desplegadores deben realizar una evaluación de impacto que evalúe el propósito del sistema, el contexto de despliegue, las categorías de datos procesados, la evaluación de riesgos de discriminación algorítmica, las medidas de mitigación aplicadas y el plan de monitorización post-despliegue.

Evaluación de impacto anual. Después del despliegue, los desplegadores deben realizar una evaluación de impacto anual, más una evaluación de impacto adicional cada vez que haya una modificación intencional y sustancial del sistema de IA de alto riesgo.

Notificación al consumidor previa a la decisión. Los desplegadores deben notificar a los consumidores cuando un sistema de IA de alto riesgo se usa para tomar una decisión consecuente sobre ellos. La notificación debe incluir el propósito del sistema de IA, la naturaleza de la decisión consecuente, la información de contacto para el desplegador, las instrucciones sobre cómo acceder a descripciones en lenguaje plano de cómo funciona el sistema de IA y las instrucciones sobre cómo optar por no usar el sistema de IA en la decisión consecuente cuando esté disponible la opción de exclusión.

Notificación de decisión adversa. Cuando se haya usado un sistema de IA de alto riesgo en una decisión consecuente adversa a un consumidor, el desplegador debe proporcionar divulgaciones adicionales que incluyan la razón principal de la decisión adversa, instrucciones sobre cómo el consumidor puede corregir cualquier dato personal incorrecto que el sistema de IA usó e instrucciones sobre cómo el consumidor puede apelar la decisión adversa y tener una revisión humana de la decisión cuando sea factible.

Divulgación pública en el sitio web. Los desplegadores deben publicar en su sitio web público una declaración que resuma los tipos de sistemas de IA de alto riesgo que despliegan actualmente o han desplegado, cómo gestionan el riesgo de discriminación algorítmica y los arreglos de gobernanza de datos que aplican.

—

La defensa afirmativa y el papel de NIST AI RMF / ISO/IEC 42001

Una característica estructuralmente importante de la Ley de IA de Colorado es la defensa afirmativa disponible para las organizaciones que identifican y remedian proactivamente las violaciones y que pueden demostrar el alineamiento con marcos reconocidos de gestión del riesgo de IA.

La defensa afirmativa opera de la siguiente manera:

• Una organización que descubre una violación mediante revisión interna, auditoría externa u otros medios razonables
• Y que reporta y remedia con prontitud la violación
• Y cuyo programa de gestión del riesgo de IA cumple sustancialmente con el NIST AI Risk Management Framework, la ISO/IEC 42001 u otro marco de gestión del riesgo reconocido nacional o internacionalmente

…se presume que ha ejercido cuidado razonable para los efectos de la ley. La presunción es rebatible, pero la organización que ha hecho el trabajo ha desplazado la carga probatoria.

El reconocimiento estatutario explícito de NIST AI RMF e ISO/IEC 42001 es la característica más significativa operativamente de la ley para la industria de aseguramiento y certificación de IA. Las organizaciones que han invertido en cualquiera de los dos marcos — particularmente las que sostienen certificación acreditada ISO/IEC 42001 — entran al cumplimiento de la Ley de IA de Colorado desde una posición estructuralmente ventajosa. El mismo marco que satisface el Reglamento de IA de la UE, la atestación NIST y el alineamiento con el Código de Conducta de Hiroshima también produce la defensa afirmativa bajo la ley de Colorado.

Esta es la razón estructural por la que la certificación ISO/IEC 42001 se ha vuelto comercialmente material en Estados Unidos a pesar de la ausencia de estatuto federal integral de IA: las leyes estatales de IA como la de Colorado crean incentivos legales concretos para la certificación.

—

Aplicación y sanciones

Autoridad de aplicación. El Colorado Attorney General tiene autoridad exclusiva de aplicación bajo SB 24-205. No hay private right of action — los consumidores no pueden demandar directamente a desarrolladores o desplegadores bajo la ley. Conservan los derechos que tengan bajo otras leyes de Colorado (protección del consumidor, derechos civiles, empleo, vivienda) con independencia de la ley.

Estructura de sanciones. Las violaciones se tratan como prácticas comerciales desleales bajo la Colorado Consumer Protection Act. Las sanciones pueden alcanzar $20.000 por violación, con sanciones adicionales para casos de consumidores mayores. El Attorney General tiene discreción para buscar tutela cautelar, restitución y otros remedios equitativos.

Periodo de cura durante la fase transitoria. Durante el periodo transitorio (originalmente del 1 de julio de 2025 al 1 de febrero de 2026, ahora extendido hasta el 30 de junio de 2026), si el Attorney General o un district attorney determina que una cura es posible, deben emitir notificación y permitir 60 días para curar antes de iniciar la aplicación. Después de la fecha de entrada en vigor, no se manda un periodo de cura estatutario en la ley promulgada (aunque el Attorney General conserva discreción).

Suspensión actual (abril 2026). La suspensión del tribunal federal concedida el 27 de abril de 2026 detiene la actividad de aplicación del Attorney General y el litigio pendiente en espera de: (a) que el Colorado Attorney General promulgue las reglas de implementación bajo SB 24-205 o legislación sucesora, y (b) la resolución de la moción inminente del demandante para una preliminary injunction. La suspensión no invalida la ley; pausa la aplicación operativa mientras los procesos legislativos y de rulemaking continúan.

—

El KILO draft y la reconstrucción legislativa

En marzo de 2026, el Grupo de Trabajo de Política de IA del Gobernador Polis publicó un borrador de marco que derogaría y sustituiría gran parte de SB 24-205. El borrador (referido informalmente como KILO draft) refleja la presión sostenida de más de 150 representantes de la industria durante la sesión especial de agosto de 2025 y el compromiso de stakeholders posterior. Sus principales cambios propuestos incluyen:

• Cambio de gobernanza prescriptiva a divulgación y transparencia. Las auditorías obligatorias de sesgo, las evaluaciones de impacto completas y los programas detallados de gestión del riesgo se sustituirían por obligaciones más ligeras de divulgación, notificaciones al consumidor en lenguaje plano, disposiciones de revisión humana y requisitos de mantenimiento de registros
• Definición más estrecha de sistema de IA de alto riesgo. El borrador estrecharía los criterios de qué califica como un sistema cubierto de alto riesgo
• Obligaciones reducidas para los desplegadores. Carga de cumplimiento menor, particularmente para los desplegadores de mid-market
• Exenciones expandidas. Categorías adicionales más allá de los desplegadores pequeños, las aseguradoras y los bancos federalmente regulados
• Fecha de entrada en vigor objetivo: 1 de enero de 2027 si se promulga por la General Assembly

A mayo de 2026, el KILO draft no se ha introducido formalmente en la General Assembly. Su aprobación es incierta. Tres escenarios son ahora operativamente relevantes:

1. Entrar en vigor tal cual el 30 de junio de 2026 si no hay más acción legislativa y la suspensión del tribunal federal se levanta antes de entonces.
2. Enmendada o reemplazada por KILO o legislación alternativa, con nueva fecha de entrada en vigor 1 de enero de 2027 o posterior.
3. Enjoined por motivos constitucionales o de preempción mediante el litigio federal que produjo la suspensión de abril de 2026.

Para la planificación de cumplimiento, la postura racional es construir hacia las obligaciones sustantivas de SB 24-205 tal como se promulgó mientras se monitorean de cerca los desarrollos legislativos y de litigio. Las organizaciones que construyen alineamiento con NIST AI RMF o ISO/IEC 42001 ahora satisfacen la defensa afirmativa bajo SB 24-205 y también satisfarían cualquier marco sucesor razonablemente anticipado, incluido KILO si se promulga.

—

Hoja de ruta de implementación a 12 meses

Para las organizaciones que operan en Colorado o afectan a consumidores de Colorado, la postura racional de cumplimiento es construir hacia las obligaciones sustantivas de SB 24-205 mientras se preserva el valor de opción a través de los tres escenarios regulatorios (entrar en vigor tal cual, reemplazo por KILO, enjoinment). La hoja de ruta a continuación estructura ese trabajo en cuatro fases.

🗺️ Fase 1 — Meses 0–3 · Fundamentos e inventario

• Inventario de sistemas de IA a través de todas las unidades de negocio, identificando los sistemas que toman o influyen sustancialmente en las decisiones consecuentes que afectan a los consumidores de Colorado
• Mapeo desarrollador/desplegador para cada sistema de IA (las organizaciones a menudo son ambos para diferentes sistemas)
• Análisis de brechas frente a NIST AI RMF e ISO/IEC 42001 para definir el alcance del trabajo de defensa afirmativa
• Línea base de gobernanza — designar un líder responsable de IA, establecer política de IA, documentar las prácticas existentes de gestión del riesgo
• Revisión de documentación de vendors — exigir model cards, documentación de datasets y evidencia de mitigación de sesgo a los vendors de IA de tercera parte

🗺️ Fase 2 — Meses 3–6 · Programa de gestión del riesgo

• Política y programa de gestión del riesgo estructurado en torno a NIST AI RMF o ISO/IEC 42001
• Evaluaciones de impacto previas al despliegue para cada sistema de IA de alto riesgo en alcance
• Evaluación de discriminación algorítmica con metodología de pruebas documentada y acciones de remediación
• Gobernanza de datos documentación para fuentes de datos de entrenamiento, idoneidad, sesgos y mitigación
• Arquitectura de supervisión humana para decisiones consecuentes, con rutas de escalada y autoridad de override

🗺️ Fase 3 — Meses 6–9 · Obligaciones de cara al consumidor y divulgación

• Plantillas de notificación al consumidor previa a la decisión y flujos de entrega
• Notificación de decisión adversa con razón principal, instrucciones de corrección y rutas de revisión humana
• Divulgación pública en el sitio web que resuma los sistemas de IA de alto riesgo desplegados y la gestión del riesgo de discriminación
• Descripciones en lenguaje plano de cómo funciona cada sistema de IA, accesibles desde las notificaciones al consumidor
• Mecanismos de opt-out donde las decisiones consecuentes lo permitan

🗺️ Fase 4 — Meses 9–12 · Certificación y cumplimiento continuo

• Auditoría independiente o evaluación pre-certificación validando la madurez del programa de gestión del riesgo
• Inicio de certificación acreditada ISO/IEC 42001 — el posicionamiento más fuerte de defensa afirmativa
• Cadencia de evaluación de impacto anual establecida con disparadores de calendario
• Reporte de incidentes flujo de trabajo para notificación de discriminación algorítmica al Colorado AG y a desplegadores conocidos dentro de 90 días
• Monitorización continua integrada con ciclos de revisión por la dirección

🎯 Resultado

Para el mes 12, las organizaciones han construido la defensa afirmativa bajo SB 24-205 (alineamiento con NIST AI RMF o ISO/IEC 42001 con gobernanza documentada), la base de conformidad del Reglamento de IA de la UE (documentación sustancialmente solapada) y un sistema de gestión portable que escala a otras leyes estatales de IA de EE.UU. (Utah, Texas, NYC LL144) y regímenes internacionales (Reino Unido, Canadá, UE).

—

Intersecciones con otros regímenes

Cinco intersecciones determinan cómo opera la Ley de IA de Colorado dentro de la arquitectura regulatoria más amplia de IA estadounidense e internacional.

Arquitectura federal de IA de Estados Unidos. La Ley de IA de Colorado opera dentro del régimen de tres capas de IA de Estados Unidos descrito en nuestra página de referencia de Órdenes Ejecutivas de IA de Estados Unidos. Coexiste con las EOs Biden supervivientes (14141, 14144) y está en tensión activa con la capa federal Trump, particularmente la EO 14281 sobre disparate impact y la EO de preempción estatal de diciembre de 2025 que estableció la AI Litigation Task Force. La suspensión del tribunal federal de abril de 2026 refleja esta tensión materializándose en forma de litigio.

Reglamento de IA de la UE. Colorado toma estructuralmente del marco de alto riesgo del Reglamento de IA de la UE. Las organizaciones sujetas a ambos regímenes pueden construir programas de cumplimiento que satisfagan a ambos, con los requisitos de documentación técnica del Reglamento de IA cubriendo en gran medida las obligaciones de documentación del desarrollador de Colorado y las evaluaciones de impacto en derechos fundamentales del Reglamento de IA cubriendo en gran medida las evaluaciones de impacto del desplegador de Colorado.

NIST AI Risk Management Framework. Reconocido explícitamente en el estatuto como un marco aceptable de gestión del riesgo que sostiene la defensa afirmativa. Colorado trata el alineamiento con NIST AI RMF como evidencia sustantiva de cumplimiento.

ISO/IEC 42001. Reconocida explícitamente en el estatuto junto con NIST AI RMF. La certificación acreditada ISO/IEC 42001 es el posicionamiento más fuerte disponible para las organizaciones sujetas a la ley porque combina la estructura de sistema de gestión con la validación acreditada de tercera parte.

Otras leyes estatales de IA. Colorado es la primera ley estatal integral de IA pero ya no es la única. Utah AI Policy Act, NYC LL144 para AEDTs, Texas AI en sanidad, Tennessee deepfakes, Illinois IA en empleo y otras interactúan todas con Colorado para las organizaciones que operan a través de múltiples estados. El trabajo de cumplimiento converge cada vez más en torno a NIST AI RMF e ISO/IEC 42001 como el denominador sustantivo común a través de los regímenes estatales.

—

## ⚖️ Cómo opera Zertia frente al régimen de la Ley de IA de Colorado

Pensado para el cumplimiento de la Ley de IA de Colorado desde el primer día

Acreditaciones y membresías: 🎖️ Acreditada por ANAB (EE.UU.) · 🎖️ Proceso UKAS (Reino Unido) · 🎖️ Proceso ENAC (UE) · 🏛️ Miembro IAPP · 🏛️ Miembro INCITS · 🏛️ Miembro UKAI · 📜 Firmante EU AI Pact

Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, con oficinas en Boston, Madrid y Londres, y acreditación ANAB en Estados Unidos. El reconocimiento explícito de la Ley de IA de Colorado de la ISO/IEC 42001 y NIST AI RMF como marcos aceptables de gestión del riesgo que sostienen la defensa afirmativa hace que la certificación acreditada y el aseguramiento basado en estándares sean directamente materiales para la estrategia de cumplimiento de Colorado.

Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. La certificación acreditada ISO/IEC 42001 es el activo de cumplimiento de la Ley de IA de Colorado más significativo operativamente disponible. El estatuto reconoce el alineamiento con ISO/IEC 42001 como evidencia sustantiva de cumplimiento que sostiene la defensa afirmativa; la acreditación ANAB (sostenida por Zertia) es la acreditación estadounidense reconocida que da a la certificación peso evidencial completo en Colorado. AIUC-1 proporciona aseguramiento técnico a nivel de agente para vendors de IA que despliegan agentes en entornos empresariales afectados por Colorado donde la legislación estatal de IA y los estándares de procurement Fortune 1000 aplican simultáneamente.

Marcos y Regulación — Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Riesgos ISO/IEC 23894, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. La Atestación NIST AI RMF es el segundo pilar del posicionamiento de defensa afirmativa de Colorado (junto con ISO/IEC 42001). Las Evaluaciones de Impacto Algorítmico se estructuran para satisfacer las obligaciones de evaluación de impacto del desplegador bajo SB 24-205 (despliegue inicial, revisión anual y disparadores de modificación sustancial), con documentación que sobrevive a los cambios de escenario (entrar en vigor tal cual, reemplazo por KILO o enjoinment).

Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Auditorías independientes estructuradas en torno a la definición de sistema de IA de alto riesgo, con evidencia de auditoría que sostiene las obligaciones de documentación del desarrollador (model cards, dataset cards) y los requisitos de evaluación de impacto del desplegador simultáneamente.

Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Los programas tratan explícitamente la Ley de IA de Colorado, incluida la estructura de defensa afirmativa, la tensión federal-estatal, el escenario del KILO draft y las implicaciones prácticas de construir programas de cumplimiento durante la suspensión judicial actual. Particularmente relevante para los equipos legales, de cumplimiento y de riesgo que construyen gobernanza de IA afectada por Colorado para empleadores, proveedores de salud, firmas de servicios financieros, aseguradoras y organizaciones educativas.

Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS (Reino Unido) y ENAC (España/UE). Miembro de IAPP, INCITS y UKAI. Firmante del EU AI Pact.

🎯 Pasa a la acción

🔍 Diagnostica tu brecha	📊 Construye la defensa
Evaluación Pre-Certificación →	Certificación ISO/IEC 42001 →
Mapea tu gobernanza actual de IA frente a las obligaciones de SB 24-205 y las líneas base de NIST AI RMF / ISO/IEC 42001. Output: informe de brechas y hoja de ruta a 12 meses.	El posicionamiento más fuerte de defensa afirmativa bajo la Ley de IA de Colorado. Certificación acreditada por ANAB con reconocimiento internacional vía IAF MLA.

Discutir cumplimiento de la Ley de IA de Colorado y posicionamiento de defensa afirmativa →

—