# Reglas de seguridad para compañeros de IA en 2026: qué exigen > SB 243 de California, la ley de Nueva York, el AI Act y el estudio de la FTC, con fechas y fuentes, convertidos en una lista de comprobación para crear compañeros de IA. Source: https://whasp.ai/es/blog/reglas-seguridad-companeros-ia-2026 · 2026-10-20 ## Lo esencial - La SB 243 de California (en vigor desde el 1 de enero de 2026) y el artículo 47 de Nueva York (desde el 5 de noviembre de 2025) exigen un protocolo ante la ideación suicida y las autolesiones; Nueva York exige además un aviso de que no es un humano al inicio y al menos cada tres horas. - El artículo 50.1 del AI Act de la UE exige desde el 2 de agosto de 2026 que los chatbots digan a las personas que hablan con una IA, a más tardar en la primera interacción, con multas de hasta 15 millones de euros o el 3% del volumen de negocio mundial. - El estudio de la FTC sobre siete empresas que ofrecen chatbots de compañía, abierto el 11 de septiembre de 2025, no es una ley, pero sus preguntas muestran lo que te preguntará un regulador. - Estas normas siguen a tu producto y al lugar donde viven tus usuarios, no al canal de mensajería, así que un compañero en WhatsApp queda cubierto igual que uno en una app. - La forma más barata de cumplir es un solo conjunto de hábitos: decir que es una IA, gestionar las autolesiones, comprobar la edad antes de que empiece el chat y llevar registros de ambas cosas. Cuatro cosas marcan la normativa sobre compañeros de IA en octubre de 2026. La SB 243 de California y la ley de compañeros de IA de Nueva York exigen un protocolo ante las autolesiones y un aviso de IA. El AI Act de la UE exige desde el 2 de agosto de 2026 que los chatbots digan que son IA. La FTC estudia los chatbots de compañía. Las obligaciones comunes son pocas: decir que es una IA, gestionar las autolesiones, proteger a los menores y respetar las bajas. Esto no es asesoramiento legal. ## ¿Qué normas sobre compañeros de IA están en vigor en octubre de 2026? Cuatro textos legales regulan directamente a los compañeros de IA o a los chatbots que hablan con personas. Cada uno tiene su propio desencadenante, así que comprueba dónde viven tus usuarios. | Norma | En vigor | Obligación principal de un compañero | | --- | --- | --- | | SB 243 de California (Business and Professions Code 22601 a 22605) | 1 de enero de 2026 | Aviso de IA, protocolo ante autolesiones, salvaguardas para menores, informes anuales desde el 1 de julio de 2027 | | Artículo 47 de la General Business Law de Nueva York | 5 de noviembre de 2025 | Protocolo ante autolesiones con derivación a un servicio de crisis, y aviso de "no es un humano" al inicio y cada tres horas | | AI Act de la UE, artículo 50.1 | 2 de agosto de 2026 | Diseñar el sistema para que se informe a las personas de que interactúan con una IA | | Ley 132/2025 de Italia, artículo 4 | 10 de octubre de 2025 | Consentimiento de uno de los padres para que los menores de 14 años accedan a la IA | El estudio de la FTC no es una norma, así que tiene su propia sección más abajo. Otros estados y países también se mueven; este artículo cubre los textos de arriba. A ninguna de estas leyes le importa el canal. Un compañero que escribe desde un número de WhatsApp queda cubierto igual que uno dentro de una app. ## ¿Qué exige la SB 243 de California? La SB 243 de California regula a los operadores de plataformas de chatbots de compañía. El gobernador Newsom la [firmó el 13 de octubre de 2025](https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB243), y pasó a ser las secciones 22601 a 22605 del Business and Professions Code. Un chatbot de compañía es un sistema de IA con una interfaz de lenguaje natural que da respuestas adaptativas, similares a las humanas, y puede satisfacer las necesidades sociales de un usuario. Quedan excluidos los bots que se usan solo para atención al cliente, operaciones internas, productividad o ayuda técnica, igual que los personajes de videojuegos limitados a temas del juego y los asistentes de voz simples. Un operador es quien pone una plataforma de chatbot de compañía a disposición de un usuario en California. Las obligaciones: - **Aviso de IA.** Si una persona razonable pudiera creer que habla con un humano, muestra un aviso claro y visible de que el chatbot está generado artificialmente y no es humano. - **Protocolo ante autolesiones.** No permitas que el chatbot interactúe con los usuarios salvo que mantengas un protocolo para prevenir la ideación suicida, el suicidio y los contenidos de autolesión. Incluye una derivación a servicios de crisis, y debes publicar sus detalles en tu sitio web. - **Menores conocidos.** Avísales de que hablan con una IA, muestra un recordatorio de pausa al menos cada tres horas por defecto y toma medidas razonables para que el chatbot no produzca imágenes sexualmente explícitas ni diga al menor que mantenga conductas sexuales. - **Advertencia.** Informa a los usuarios, en cualquier formato, de que los chatbots de compañía pueden no ser adecuados para algunos menores. - **Informes.** Desde el 1 de julio de 2027, informa cada año a la Office of Suicide Prevention: cuántas notificaciones de derivación a servicios de crisis enviaste el año anterior y cuáles son tus protocolos. En el informe no va ningún dato personal. La aplicación es privada. Una persona que haya sufrido un perjuicio real (injury in fact) puede reclamar una orden de cesación, la mayor de las cantidades entre los daños reales y $1.000 por infracción, y los honorarios de abogado. ## ¿Qué exige la ley de compañeros de IA de Nueva York? El [artículo 47 de la General Business Law](https://www.nysenate.gov/legislation/laws/GBS/A47) de Nueva York, "Artificial Intelligence Companion Models", llegó con el presupuesto estatal de 2025, [firmado el 9 de mayo de 2025](https://www.nysenate.gov/legislation/bills/2025/S3008). Entró en vigor el día 180 después, el 5 de noviembre de 2025. La definición es más estrecha que la de California. Un compañero de IA simula una relación humana, o similar a la humana, sostenida en el tiempo, haciendo tres cosas: guarda información de interacciones pasadas para personalizar la conversación, hace preguntas emocionales sin que se las pidan y mantiene un diálogo sobre asuntos personales. Quedan excluidos la atención al cliente, la investigación, la ayuda técnica y las herramientas internas. Un personaje que recuerda la semana de tu usuario y le pregunta cómo se siente queda dentro. Se aplican dos obligaciones: - **Protocolo (sección 1701).** Es ilegal operar u ofrecer un compañero de IA sin esfuerzos razonables para detectar y atender la ideación suicida y las autolesiones. Cuando el compañero las detecta, debe avisar al usuario y derivarlo a un servicio de crisis, como la línea 988, una línea de texto para crisis u otro servicio adecuado. - **Aviso (sección 1702).** Al comienzo de cualquier interacción, y al menos cada tres horas en una que continúe, el compañero debe indicar, de palabra o por escrito, que el usuario no se comunica con un humano. El aviso inicial no necesita darse más de una vez al día. Lo hace cumplir el fiscal general, con sanciones civiles de hasta $15.000 al día. ## ¿Qué exige la UE a un compañero de IA? El AI Act de la UE exige que los proveedores diseñen los sistemas de IA que hablan con personas de modo que se les informe de que tratan con una IA. Es el artículo 50.1 del [Reglamento (UE) 2024/1689](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). La obligación solo se excusa cuando resulta obvio para una persona razonablemente informada, atenta y prudente. El artículo 50.5 dice que la información debe ser clara y facilitarse, a más tardar, en la primera interacción. El artículo 50 [se aplica desde el 2 de agosto de 2026](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai). El Digital Omnibus on AI, en vigor desde el 27 de julio de 2026, dio a los sistemas ya comercializados hasta el 2 de diciembre de 2026, pero solo para el marcado legible por máquina del contenido generado del artículo 50.2. No tocó el artículo 50.1. Un proveedor es quien desarrolla un sistema de IA, o lo manda desarrollar, y lo comercializa con su propio nombre, así que una marca de compañeros que llama a una API de modelos es, con toda probabilidad, la proveedora de su producto. Las multas por incumplir la transparencia llegan a 15 millones de euros o al 3% del volumen de negocio mundial, lo que sea mayor, y para las pequeñas empresas la menor de las dos cifras. Un personaje con nombre y foto humanos, que escribe desde un contacto como un amigo, es un caso débil para la excepción de lo "obvio". Avisa. Otras dos normas europeas afectan hoy a los compañeros: - **Protección de datos.** Los chats con un compañero revelan salud, sentimientos y vida sexual, que son categorías especiales del artículo 9 del RGPD y necesitan una excepción, como el consentimiento explícito. El 19 de mayo de 2025, la autoridad de protección de datos de Italia anunció una [multa de 5 millones de euros](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10132048) a Luka Inc., la empresa detrás de Replika, por no tener una base jurídica identificada, tener una política de privacidad inadecuada y no verificar la edad (situación de febrero de 2023). - **Menores en Italia.** La [Ley 132/2025](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg), en vigor desde el 10 de octubre de 2025, exige el consentimiento de uno de los padres para que los menores de 14 años accedan a tecnologías de IA. De los 14 a los 17 años, un menor puede consentir si la información que se le da es fácil de encontrar y de entender. ## ¿Qué está investigando la FTC? El 11 de septiembre de 2025, la Federal Trade Commission (FTC) [ordenó a siete empresas](https://www.ftc.gov/news-events/news/press-releases/2025/09/ftc-launches-inquiry-ai-chatbots-acting-companions) que informaran sobre sus productos de compañía de IA: Alphabet, Character Technologies, Instagram, Meta Platforms, OpenAI, Snap y xAI. La Comisión votó 3 a 0. Las órdenes se apoyan en la Sección 6(b), que permite estudios amplios sin un fin concreto de aplicación de la ley. Las preguntas son una lista de lo que cualquier regulador preguntará a quien crea un compañero: - cómo ganas dinero con la interacción (engagement) - cómo creas y apruebas los personajes - cómo pruebas y monitorizas los efectos negativos, sobre todo en niños - cómo informas a usuarios y padres de los riesgos y de las prácticas con los datos - cómo haces cumplir los límites de edad y tus propias reglas - cómo usas o compartes la información personal de los chats A 19 de octubre de 2026, la página de la FTC sobre el estudio muestra las órdenes y ninguna conclusión. Responde ya esas preguntas sobre tu propio producto, por escrito. ## ¿Cuál es la lista de comprobación para quien crea un compañero? Siete hábitos cubren el núcleo común de estas leyes. Toma en cada caso la regla más estricta y aplícala a todos los usuarios. 1. **Di que es una IA en tres sitios.** La línea about del perfil, el primer mensaje y un recordatorio al menos cada tres horas en un chat que continúa. En whasp el perfil (nombre de hasta 25 caracteres, about de hasta 139) se fija con `PATCH /v1/numbers/{number}`, y los recordatorios corren en tu código. 2. **Construye el camino ante las autolesiones antes del lanzamiento.** Detecta en tu pipeline las expresiones de ideación suicida o autolesión, detén el juego de rol, deriva al 988 en Estados Unidos o a un servicio local en otros países, y pruébalo con frases reales. 3. **Cuenta y registra.** Anota cada derivación a servicios de crisis y cada aviso con la hora. El informe anual de California necesita el recuento de derivaciones desde el 1 de julio de 2027, y un registro es tu prueba si alguien te demanda. 4. **Comprueba la edad antes de que empiece el chat.** Pregúntala en el registro, antes de mostrar el enlace que abre el chat. Un número de mensajería no puede verificar la edad; tu registro sí. Aplica las salvaguardas para menores a cualquiera que sepas que tiene menos de 18 años, y el consentimiento de los padres donde la ley lo pida. 5. **Muestra la advertencia para menores** de que los chatbots de compañía pueden no ser adecuados para algunos menores, en la página de registro. 6. **Publica tu protocolo** en tu sitio web. California lo exige. 7. **Respeta las bajas y las solicitudes de supresión.** [Opt-out y consentimiento para agentes de IA](https://whasp.ai/es/blog/opt-out-consentimiento-agente-ia-whatsapp) explica STOP, registros y conservación. En whasp, el perfil del número lleva el primer aviso y todo lo demás vive en tu webhook, porque whasp deja pasar los mensajes y sus servidores no guardan ninguno. Tu almacén contiene el historial, así que [la memoria de conversación](https://whasp.ai/es/blog/memoria-agente-ia-whatsapp) es también donde ocurre la supresión. Pon también en tu system prompt la línea "soy una IA", como explican los [prompts para un agente de IA en WhatsApp](https://whasp.ai/es/blog/prompts-agente-ia-whatsapp-humano). ## ¿Qué debes hacer ahora? Anota qué reglas activan tus usuarios: California, Nueva York, la UE, los menores. Lanza los siete hábitos antes de tu primer usuario. Las reglas propias de WhatsApp para la IA en la WhatsApp Business Platform (la API de WhatsApp Business) son otra cuestión, y están en [¿Tu bot de IA está permitido en la API de WhatsApp Business?](https://whasp.ai/es/blog/bot-ia-permitido-api-whatsapp-business). Para todo el camino hasta el lanzamiento, mira [cómo lanzar un compañero de IA en WhatsApp](https://whasp.ai/es/blog/lanzar-companero-ia-whatsapp). Este artículo describe los textos de las leyes a 19 de octubre de 2026. No es asesoramiento legal y las leyes cambian. Pide a un abogado que revise tu producto antes de lanzarlo al público. ## Preguntas ### ¿Se aplica la SB 243 de California a un compañero de IA en WhatsApp? Sí, si es un chatbot de compañía ofrecido a usuarios de California. La ley cubre a cualquier operador que ponga una plataforma de chatbot de compañía a disposición de un usuario en California y no dice nada del canal. Quedan excluidos los bots usados solo para atención al cliente, operaciones internas o productividad. ### ¿Tengo que decir a los usuarios que mi compañero de IA es una IA? En la UE, sí, salvo que sea obvio, desde el 2 de agosto de 2026. En Nueva York, al inicio de cualquier interacción y al menos cada tres horas. En California, cuando una persona razonable pudiera creer que es humano, y siempre con los usuarios que sabes que son menores. Decirlo en todas partes es más sencillo. ### ¿Cuáles son las sanciones por incumplir estas leyes? En California, una persona perjudicada puede demandar por la mayor de las cantidades entre los daños reales y $1.000 por infracción, más los honorarios de abogado. En Nueva York, el fiscal general puede reclamar hasta $15.000 al día. Según el AI Act de la UE, un incumplimiento de la transparencia puede llegar a 15 millones de euros o al 3% del volumen de negocio anual mundial, lo que sea mayor. ### ¿Es una ley la investigación de la FTC sobre compañeros de IA? No. Es un estudio bajo la Sección 6(b) de la FTC Act, iniciado el 11 de septiembre de 2025 con órdenes a siete empresas. No tiene un fin sancionador propio, pero muestra las preguntas que preocupan a los reguladores: engagement, pruebas de daños, límites de edad y datos de los chats. ### ¿Necesitan los adolescentes el consentimiento de sus padres para usar un compañero de IA? Depende del país. La Ley 132/2025 de Italia exige el consentimiento de uno de los padres por debajo de los 14 años. El RGPD fija 16 años como edad por defecto para consentir servicios en línea, y cada país de la UE puede bajarla a 13. La SB 243 de California añade salvaguardas para los menores conocidos en lugar de una regla de consentimiento.