Leyes de contratación con IA por estado en 2026: manual de cumplimiento

Las leyes estatales de EE. UU. sobre contratación con IA comparten cuatro deberes recurrentes: avisar a los candidatos cuando se usa IA, no dejar que la herramienta discrimine (el impacto dispar cuenta, la intención no), mantener a una persona con verdadera autoridad de anulación dentro del proceso, y estar preparado para explicar y permitir apelar una decisión adversa. Domina esa intersección y estarás cubierto sin importar hacia dónde se rompa el mosaico la próxima vez. Si llevas un equipo pequeño que usa IA en algún punto de la contratación y no tienes asesoría laboral, esta es la versión “qué hago el lunes”, no una exégesis del texto legal.

Un apunte rápido antes de que cunda el pánico: esto no es asesoría legal. Es un mapa operativo para fundadores y equipos de People de una sola persona que leyeron una alerta legal alarmante y quieren un checklist.

¿Entró en vigor la AI Act de Colorado?

No. La AI Act original de Colorado (SB 24-205) nunca llegó a aplicarse. Un tribunal federal paralizó su aplicación el 27 de abril de 2026, después de que xAI demandara el 9 de abril y el Departamento de Justicia de EE. UU. (DOJ) interviniera. Luego Colorado derogó y reemplazó todo el texto con la SB 26-189, firmada el 14 de mayo de 2026, que entra en vigor el 1 de enero de 2027, no el 30 de junio de 2026.

Si leíste un explicativo de 2024 o principios de 2025 que llamaba a Colorado “la primera ley estatal integral de EE. UU. sobre IA de alto riesgo”, con un deber de cuidado razonable, evaluaciones de impacto anuales y programas obligatorios de gestión de riesgos, esa versión está muerta. El reemplazo es un régimen mucho más ligero, de aviso y transparencia. Como lo expresó Crowell & Moring, Colorado pulsó el botón de reinicio.

Esto te importa por dos razones. Primera: no construyas un plan de cumplimiento alrededor de una ley que ya no existe. Segunda: desconfía de cualquier “rastreador de IA en los 50 estados” que siga describiendo la SB 24-205 como vigente, porque muchos lo hacen.

El vacío federal se fracturó en un mosaico

Nunca existió una única ley federal de contratación con IA que cumplir. Lo que llenó el hueco fue un blanco en movimiento: algunos estados avanzaron, el gobierno federal contraatacó y el terreno sigue cambiando.

El 11 de diciembre de 2025, una orden ejecutiva federal, “Ensuring a National Policy Framework for AI”, creó un Grupo de Trabajo de Litigios sobre IA en el DOJ cuya misión es impugnar las leyes estatales de IA. Ese grupo es la razón por la que el DOJ se sumó a la demanda de xAI contra Colorado. Es el primer movimiento federal concreto para invalidar una ley estatal de IA.

Es tentador leer eso como “Washington va a desplazar todo esto, así que puedo esperar”. Es una apuesta arriesgada. La orden busca desplazar la ley estatal pero, como señala Sidley, hoy por hoy no desplaza expresamente las leyes estatales que de otro modo serían lícitas, y trae excepciones. Y lo más importante: el derecho antidiscriminatorio se sostiene por debajo de cada ley de IA y no va a ninguna parte. El Título VII, la EEOC y las leyes estatales de derechos civiles ya hacen ilegal discriminar en la contratación, con o sin una ley específica de IA en vigor. La exposición existe sin importar qué ley de IA sobreviva en los tribunales.

El mapa estatal que de verdad importa para la contratación

Olvida la hoja de cálculo de los 50 estados. Para contratar a mediados de 2026, cuatro jurisdicciones llevan el peso.

Illinois es la que ya está vigente

La HB 3773 de Illinois reformó la Illinois Human Rights Act con efecto el 1 de enero de 2026. Los empleadores deben avisar a aspirantes y empleados cuando se usa IA en decisiones de contratación, la discriminación impulsada por IA es ahora una violación explícita de derechos civiles, y queda prohibido usar el código postal como sustituto de una clase protegida.

No hay exención por número de empleados. Sigue la cobertura de la Human Rights Act, aplicada por el Illinois Department of Human Rights, con sanciones civiles de hasta 5000 dólares por infracción para conductas dolosas o reiteradas. Si empleas o contratas en Illinois, esta regla ya te aplica.

Colorado, reescrita y aterrizando en 2027

La nueva SB 26-189 elimina la maquinaria pesada: los programas obligatorios de gestión de riesgos, las evaluaciones de impacto anuales, la autodeclaración de discriminación algorítmica. Lo que queda es un núcleo de aviso y transparencia: los implementadores deben dar un aviso previo al uso claro, ofrecer una explicación en lenguaje sencillo dentro de los 30 días de una decisión con resultado adverso, y ofrecer un derecho a revisión humana significativa por parte de alguien con autoridad para anular el sistema y que no se limite a estampar el visto bueno.

“Consumidor” incluye expresamente a los empleados y aspirantes a empleo en Colorado. La aplicación corre únicamente a cargo del fiscal general de Colorado, como práctica comercial engañosa, con un período de subsanación de 60 días. No hay acción privada. Y, de forma notable, la exención para pequeñas empresas que existía en la ley original fue eliminada.

California, Nueva York y un toque de atención desde Nueva Jersey

Las reglas ADMT de la CCPA de California se finalizaron en otoño de 2025 y entran en vigor el 1 de enero de 2027, sumando aviso previo al uso, exclusión voluntaria y derechos de acceso a las “decisiones significativas” automatizadas, el empleo incluido.

La Local Law 144 de la ciudad de Nueva York exige desde 2023 auditorías de sesgo anuales e independientes de las herramientas automatizadas de decisión de empleo. No leas la baja aplicación como bajo riesgo: una auditoría del contralor del estado de Nueva York de diciembre de 2025 concluyó que la aplicación era débil, justo el tipo de brecha que se cierra rápido en cuanto recibe atención política.

Y la División de Derechos Civiles de Nueva Jersey emitió reglas en diciembre de 2025 que hacen a los empleadores responsables de la discriminación algorítmica sin importar la intención ni el uso de un proveedor externo. Lo que nos lleva a la trampa que la mayoría de los equipos reducidos pasan por alto.

La trampa del trabajo remoto multiestatal

Una startup totalmente remota de 30 personas con sede en Texas contrata a un candidato que vive en Illinois. Los deberes de aviso de Illinois aplican, aunque la empresa no tenga oficina allí. Es la residencia del candidato, no tu sede, lo que activa la regla. Contrata en CO, IL, CA y Nueva York, y puedes activar cuatro regímenes distintos desde un solo grupo de aspirantes. Por eso “somos demasiado pequeños” y “no estamos en ese estado” son ambos cimientos endebles.

¿Usar un ATS con IA me hace responsable aunque el modelo lo construyera el proveedor?

Sí. Estas leyes asignan deberes al implementador, el empleador que usa la herramienta, no solo al desarrollador que la construyó. Las reglas de Nueva Jersey lo dicen explícitamente: la responsabilidad se aplica sin importar el uso de un proveedor externo. El litigio en curso Mobley v. Workday, que cubrimos en la demanda contra Workday por contratación con IA, pone a prueba si un proveedor de contratación con IA puede ser demandado como “agente” de los empleadores, pero no elimina en nada tu propia exposición como la empresa que pulsó el botón. No puedes externalizar la responsabilidad a tu ATS.

El suelo antidiscriminatorio que sobrevive a cada reinicio

Esta es la parte que no cambia cuando una ley se paraliza, se reescribe o se desplaza. Debajo de todas las leyes específicas de IA se sostiene el derecho antidiscriminatorio ordinario: el Título VII, las directrices de la EEOC y las leyes estatales de derechos civiles. El impacto dispar cuenta, lo que significa que una herramienta que descarta a un grupo protegido a una tasa mayor puede ser ilegal aunque nadie tuviera la intención de discriminar.

Este es el cimiento duradero. Las herramientas de cribado con IA no son riesgos teóricos aquí. En la investigación de SHRM de 2025, el 19 % de las organizaciones que usan IA o automatización en la contratación dijeron que sus herramientas habían pasado por alto o descartado a candidatos cualificados. Si tu herramienta hace eso en función de una característica protegida, la ley de IA es casi irrelevante. Desglosamos cómo ocurre esto mecánicamente en cómo el sesgo en la contratación con IA crea una exclusión a escala de toda la industria y en el bucle fatal de la contratación con IA.

El manual de cumplimiento en 5 pasos para equipos sin departamento legal

Quita las diferencias entre leyes y se repite el mismo puñado de deberes. Construye para la intersección y estarás cubierto en todo el mosaico. Nada de esto requiere un consultor de cumplimiento ni un proveedor de auditorías de sesgo.

1. Declara que usas IA. Dile a los candidatos con claridad, en el flujo de candidatura o en un aviso de la oferta, que herramientas de IA asisten tu proceso de contratación. Este es el deber vigente hoy en Illinois y el deber de aviso previo al uso de 2027 en Colorado y California. También es una victoria en confianza: una encuesta de Pew Research de 2023 halló que el 66 % de los estadounidenses no querría postularse a un empleador que usa IA para ayudar a tomar decisiones de contratación, así que decir “la IA nos ayuda a organizar las candidaturas; las personas toman cada decisión” tranquiliza, no alarma.

2. Mantén a una persona en el proceso con verdadera autoridad de anulación. No un visto bueno automático. Una persona con nombre que revisa y puede anular la herramienta. Este es el estándar explícito de la SB 26-189 de Colorado y la respuesta práctica a cualquier reclamación de “el algoritmo me rechazó”.

3. Registra cada avance y cada rechazo. Cuando alguien solicite una explicación de un resultado adverso (la divulgación en lenguaje sencillo de 30 días de Colorado) o ejerza su derecho de apelación, el registro tiene que existir ya. Reconstruir un rastro de auditoría después de una queja es como se lastiman los equipos pequeños.

4. No dejes que la herramienta decida. Haz que la IA sea asistente, no autónoma. La herramienta clasifica, resume y saca a la luz; una persona decide. Esta única decisión de arquitectura reduce el riesgo en todas las leyes del mosaico a la vez.

5. Está preparado para explicar y permitir apelar. Ten una vía simple para que un candidato pregunte “por qué” y solicite una nueva revisión humana. Si hiciste los pasos 2 y 3, esto se reduce sobre todo a señalar los registros que ya conservas.

¿Estoy exento si tengo menos de 50 empleados?

Probablemente no, y no deberías planificar contando con ello. Illinois no tiene exención por número de empleados. La SB 26-189 que reemplaza a Colorado eliminó la exención para pequeñas empresas que existía en la ley original. Incluso bajo aquella ley original, los implementadores de menos de 50 empleados a tiempo completo seguían debiendo aviso previo a la decisión, explicaciones de la acción adversa y derechos de apelación. La lección de cada versión: no construyas tu estrategia sobre ser demasiado pequeño para importar.

Para un contexto más amplio, el volumen de IA en la contratación es exactamente la razón por la que los reguladores se están moviendo. SHRM halló que el 43 % de las organizaciones usó IA en tareas de RR. HH. en 2025, frente al 26 % de 2024, y entre las empresas que usan IA en la contratación, el 82 % la aplica a la revisión de currículums. Esto ya es algo generalizado, y la ley se está poniendo al día.

Por qué “asistente, no autónoma” es la arquitectura más segura

Si lees los cuatro deberes lado a lado, describen una única forma de producto: IA que ayuda a una persona a decidir, con la decisión registrada y el candidato informado. Resulta que así es exactamente como está construido Kit.

Ninguna candidatura se rechaza automáticamente por IA en Kit. Una persona con autoridad de anulación toma la disposición final antes de rechazar a nadie, lo que encaja directamente con la definición de “revisión humana significativa” de Colorado y neutraliza la reclamación de “la IA me discriminó” en Illinois y Nueva Jersey. La divulgación al candidato está integrada en el flujo, lo que satisface el deber de aviso vigente de Illinois y los avisos previos al uso de 2027. Y cada avance y cada rechazo quedan registrados, así que cuando se solicita una explicación o una apelación, el rastro de auditoría ya existe, sin necesidad de una suite de gobernanza. Esta es la misma postura que describimos para el régimen de la UE en la AI Act de la UE y la contratación de alto riesgo; la capa estatal de EE. UU. rima con ella porque ambas premian la misma arquitectura. Si eres nuevo en la categoría, qué es realmente un ATS nativo de IA explica el modelo asistente a fondo.

Para que quede claro, ningún ATS puede hacerte “conforme” con una ley concreta, y no confíes en uno que afirme que puede. Lo que hace la arquitectura correcta es ponerte del lado duradero del núcleo común, para que la próxima paralización, reescritura u orden ejecutiva no te deje corriendo a apagar incendios.

Qué hacer esta semana

El mosaico seguirá cambiando. Colorado demostró que una “primera ley amplia” puede desvanecerse en un solo período judicial, y el grupo de trabajo federal garantiza más turbulencias. Pero el núcleo duradero es estable: declara, mantén a una persona decidiendo, registra las decisiones, deja que la IA asista sin decidir, y está preparado para explicar. Monta esos cinco una vez y dejas de perseguir titulares.

No necesitas un departamento de cumplimiento. Necesitas un proceso de contratación donde la IA asiste, las personas deciden y cada decisión queda registrada. Empieza tu prueba gratuita y el manual es el valor por defecto, no un proyecto.