Este artículo ha sido traducido automáticamente. La versión original está disponible en inglés.
Eric Loomis compareció ante un juez de Wisconsin en 2013 tras haberse declarado culpable de dos delitos menores: intentar huir de un agente de tráfico y conducir un coche sin el consentimiento de su propietario. La fiscalía vinculó el caso a un tiroteo desde un vehículo en marcha en el que él negó haber participado. El informe previo a la sentencia incluía una evaluación de riesgo de COMPAS, una puntuación del 1 al 10 que un algoritmo propietario generaba para estimar su probabilidad de reincidir. La cifra era alta. Sus abogados pidieron examinar la metodología. Les respondieron que era propietaria —pertenecía a una empresa privada llamada Northpointe y no les correspondía inspeccionarla—.
El Tribunal Supremo de Wisconsin resolvió en 2016 que a Loomis se le había respetado el debido proceso aunque ni él ni sus abogados pudieran examinar cómo se había calculado su puntuación. Podía revisar los datos de entrada y la cifra final, aunque no la lógica que los conectaba, y la puntuación no había sido el factor decisivo de su condena. El tribunal exigió que todos los informes de sentencia que en adelante recurrieran a COMPAS incluyeran una advertencia escrita con los problemas conocidos del algoritmo. La advertencia era detallada y honesta, y aun así el tribunal avaló el uso del algoritmo. Si a la defensa se le hubiera ocultado el propio texto de la ley penal aplicable, la crisis del debido proceso habría saltado a la vista; como la regla oculta era un algoritmo, el tribunal la trató como una herramienta.
¿Qué diferencia hay, exactamente, entre una ley secreta y una regla propietaria que funciona como ley?
Qué convierte algo en regulación
Una definición práctica y útil de regulación tiene tres ingredientes: efecto vinculante, cumplimiento obligatorio y consecuencias por el incumplimiento. Según esa definición, una ley que prohíbe la discriminación en los préstamos es una regulación. Pero también lo es, en la práctica, un algoritmo que rechaza automáticamente las solicitudes de crédito de quienes viven en determinados códigos postales, un efecto que no es menos real por no haber detrás una ley firmada.
Lawrence Lessig sostuvo que «el código es ley»: la arquitectura del software moldea la conducta con la misma seguridad que las normas jurídicas. Frank Pasquale ha defendido que hoy los sistemas algorítmicos opacos gobiernan el crédito, el empleo y la reputación sin rendir cuentas. Si un algoritmo ya funciona como regulación, vinculante, obligatoria y con consecuencias, ¿qué rendición de cuentas debería acompañar a ese poder, y por qué no lo acompaña ninguna?
La prueba funcional se aplica sin dificultad a las categorías en las que la autoridad algorítmica ha llegado a tener más consecuencias. Una puntuación de riesgo para la libertad bajo fianza es ineludible: el acusado no puede elegir que no lo puntúen, no puede sustituirla por otra métrica, no puede renunciar a una cifra que pesa mucho en si dormirá en una celda o en casa mientras espera el juicio. Una decisión de crédito algorítmica no tiene detrás a ninguna persona concreta a la que se pueda interrogar, ningún juicio discrecional que cuestionar. El algoritmo genera una regla; la regla produce un resultado; el resultado es definitivo salvo que el solicitante logre abrirse paso en un procedimiento de reclamación que nunca muestra la lógica de puntuación. La retirada de un contenido por moderación es inmediata: la publicación desaparece. La apelación que pueda existir para el usuario corriente se resuelve frente a una norma de contenidos tan genérica como «acoso» o «violencia», que no ofrece una base real para impugnarla.
La regulación formal reúne cuatro criterios de rendición de cuentas de los que carecen estos sistemas. Transparencia: en Estados Unidos, la Ley de Procedimiento Administrativo exige un trámite de aviso y comentarios para la mayoría de las normas vinculantes de las agencias: la norma debe publicarse para recibir comentarios antes de poder obligar a nadie. Debido proceso: el derecho a conocer e impugnar la norma jurídica que se le aplica a uno es un fundamento del gobierno sometido a la ley. Legitimidad democrática: en una democracia constitucional, la autoridad para dictar normas vinculantes procede de procesos de autorización que se remontan a órganos elegidos. Responsabilidad: existen mecanismos para atribuirla cuando el ejercicio del gobierno causa daños.
Los sistemas algorítmicos, tal como se utilizan hoy, no cumplen plenamente ninguno de ellos; como mucho conservan fragmentos de cada uno, según el país y el sector. La objeción habitual es que las Enmiendas Quinta y Decimocuarta, y la rendición de cuentas constitucional en general, vinculan al Estado, no a las empresas privadas. Es correcto desde el punto de vista del derecho constitucional, pero responde a otra pregunta: si los sistemas que ejercen un poder regulador en sentido funcional, a escala de poblaciones enteras, deberían rendir cuentas en proporción a ese poder, y para esa pregunta encaja mejor el marco del derecho administrativo que el constitucional. Nadie necesita que Meta esté sometida a la Carta de Derechos para preguntarse por qué unos sistemas con más alcance de gobierno que la mayoría de los Gobiernos deberían operar con menos rendición de cuentas de la que se le permite a cualquier Gobierno.
La acción estatal y sus límites
La doctrina de la acción estatal sostiene que las garantías constitucionales de la Carta de Derechos limitan a los actores gubernamentales, no a las empresas privadas. Un empleador privado puede restringir la libertad de expresión sin que entre en juego la Primera Enmienda. Una plataforma privada puede retirar publicaciones sin activar las exigencias del debido proceso. Frank Pasquale sostiene que las plataformas dominantes ejercen hoy una «soberanía funcional», al regular mercados y conductas de maneras antes reservadas a los Gobiernos, y que un poder de ese tipo exige una rendición de cuentas al estilo del derecho público. El Reglamento de IA de la UE esquiva de forma implícita el problema de la acción estatal al adoptar un marco funcional: regula los sistemas de IA según lo que hacen y a quién afectan, no según los haya desplegado o no un Gobierno. Juzgar un sistema por su función y no por quién lo gestiona es el marco adecuado para la autoridad algorítmica.La libertad pendiente de una puntuación: COMPAS y la máquina de condenar
COMPAS, siglas de Correctional Offender Management Profiling for Alternative Sanctions, es una herramienta propietaria de evaluación de riesgo desarrollada por Northpointe, hoy Equivant. Produce una puntuación del 1 al 10 que estima la probabilidad de que un acusado reincida. Esa puntuación se ha utilizado en decisiones sobre prisión preventiva, en sentencias y en resoluciones de libertad condicional en varios estados de Estados Unidos.
En 2016, periodistas de ProPublica se ampararon en la ley de registros públicos de Florida para obtener las puntuaciones de COMPAS de más de 7000 acusados del condado de Broward, detenidos en 2013 y 2014, y siguieron quiénes volvieron a ser detenidos en los dos años siguientes. Entre los acusados que no volvieron a ser detenidos, los acusados negros tenían casi el doble de probabilidades que los blancos de haber sido clasificados como de riesgo medio o alto.
Northpointe respondió que las puntuaciones de COMPAS están calibradas: un 7 predice aproximadamente la misma probabilidad de reincidencia sea cual sea la raza del acusado. Los datos respaldaban ambas afirmaciones, porque miden cosas distintas. La de la calibración se refiere a la precisión predictiva en los distintos grupos. La disparidad de falsos positivos se refiere a lo que les ocurre a quienes no reinciden, y entre ellos los señalados por error son negros en una proporción desmesurada. Un algoritmo puede superar una prueba de calibración y aun así producir resultados que recaen con más dureza sobre un grupo demográfico. Elegir qué criterio de equidad importa es una cuestión política, y sin embargo ningún organismo público tomó nunca esa decisión en el caso de COMPAS.
El conflicto está inscrito en las matemáticas, y está demostrado: cuando las tasas base de reincidencia difieren entre grupos, una etiqueta de alto riesgo que tenga la misma capacidad predictiva para cada grupo no puede dar además a ambos las mismas tasas de falsos positivos y de falsos negativos, salvo que las predicciones sean perfectas. No se puede tener todo a la vez. Ninguna metodología mejor habría zanjado la disputa entre ProPublica y Northpointe, y eso vuelve más urgente el argumento de la rendición de cuentas. Si no existe una respuesta puramente técnica a cómo equilibrar los criterios de equidad, alguien tiene que tomar esa decisión, y quien la tome debería responder por ella.
Eric Loomis no había sido condenado por nada violento: se había declarado culpable de huir de un agente y de conducir un coche sin el consentimiento de su propietario, mientras que los cargos relacionados con el tiroteo, que él negaba, fueron sobreseídos pero se «tuvieron en cuenta» al dictar sentencia. Su puntuación de COMPAS salió alta. Impugnó su uso en la sentencia alegando una vulneración del debido proceso: el carácter propietario del algoritmo, argumentó, le impedía cuestionar la validez científica de aquello que el tribunal utilizaba para restringir su libertad.
La respuesta del Tribunal Supremo de Wisconsin, en State v. Loomis, fue que el debido proceso quedaba satisfecho porque el acusado podía verificar la exactitud de los datos de entrada —sus antecedentes penales, sus respuestas al cuestionario previo a la sentencia—. No tenía derecho a saber cómo se ponderaban esos datos entre sí ni cómo la lógica de puntuación los convertía en una cifra.
Tenía derecho a comprobar si los datos introducidos sobre él eran correctos y a discutir la puntuación que salía por el otro extremo. Eso podía detectar un dato erróneo en su expediente, pero no un defecto en la forma en que ese expediente se convertía en una puntuación de riesgo.
Con todo, el tribunal hizo algo digno de mención. Exigió que todo informe previo a la sentencia que se apoyara en COMPAS llevara una advertencia escrita con los límites de su uso y una lista de cautelas: que su funcionamiento se mantiene en secreto, que identifica grupos de alto riesgo y no individuos de alto riesgo, que algunos estudios han planteado si clasifica a los infractores de minorías como de mayor riesgo, que no se había validado con población de Wisconsin y que COMPAS no se desarrolló en absoluto para usarse en las sentencias, sino para decisiones penitenciarias sobre tratamiento, supervisión y libertad condicional.
Después de dejar por escrito lo que podía fallar en el algoritmo, el tribunal avaló igualmente su uso, aunque lo cercó: una puntuación de riesgo no puede utilizarse para decidir si alguien va a prisión ni por cuánto tiempo, y nunca puede ser el factor determinante. Nada en la resolución permitía al acusado ver cómo se había calculado su puntuación.
El Tribunal Supremo de Estados Unidos se negó a admitir el caso en 2017. Si pueden utilizarse herramientas algorítmicas propietarias para restringir la libertad sin ninguna vía para examinar su metodología sigue siendo una pregunta que el máximo tribunal del país no ha respondido.
La imposibilidad matemática de la equidad
Si la tasa base del resultado que interesa (aquí, la reincidencia) difiere entre grupos demográficos, dos demostraciones matemáticas muestran que los criterios de equidad chocan. Una puntuación no puede estar calibrada (una misma puntuación significa el mismo riesgo real en todos los grupos) y dar además a quienes reinciden, y a quienes no, la misma puntuación media en todos los grupos. Una vez que las puntuaciones se dividen en etiquetas de alto y bajo riesgo, esas etiquetas no pueden tener la misma capacidad predictiva para cada grupo (la misma proporción de los señalados acaba reincidiendo) y presentar además las mismas tasas de falsos positivos y de falsos negativos. Ninguno de estos pares de condiciones puede cumplirse a la vez, salvo que las predicciones sean perfectas, cosa que en la práctica nunca son, y ninguna mejora del diseño o de los datos lo sortea: es una propiedad matemática de la situación. La defensa que Northpointe hizo de COMPAS se sostenía en cuanto a la calibración y dejaba intacta la cuestión de la rendición de cuentas: ¿quién decidió qué criterio de equidad debía prevalecer, con qué fundamento y con qué legitimidad? El resultado de imposibilidad no disuelve el debate sobre la equidad. Demuestra que la elección es política, y por eso la protección del secreto propietario es el lugar equivocado para tomarla.La regla invisible: el crédito, la contratación y la vida económica
El derecho no se ha enfrentado como debía a una comparación sencilla. Una empleada de banca que discrimina al conceder préstamos responde de sus actos, al menos en principio. Se la puede citar a declarar, se pueden requerir judicialmente sus correos y revisar sus notas sobre los solicitantes. El razonamiento que hay detrás de sus decisiones puede examinarse en un pleito, contrastarse con la Ley de Vivienda Justa o con la Ley de Igualdad de Oportunidades de Crédito y litigarse hasta obtener un veredicto. Un algoritmo discriminatorio que produce las mismas disparidades raciales en los préstamos no admite nada de eso. Aun así se puede obligar al prestamista a aportar testigos y documentación sobre cómo se construyó y probó el modelo, pero no hay una persona concreta a la que tomar declaración sobre por qué se rechazó a ese solicitante. La regla que generó el resultado es propietaria, y un demandante por lo general solo puede llegar a ella si gana una batalla por la exhibición de pruebas, bajo una orden de confidencialidad, después de convencer a un tribunal de que siquiera es pertinente.
Las puntuaciones FICO, la medida dominante de solvencia en el crédito al consumo estadounidense, se calculan con una fórmula propietaria. FICO publica cinco grandes categorías y su peso aproximado (historial de pagos, 35 %; cantidades adeudadas, 30; antigüedad del historial, 15; crédito nuevo, 10; combinación de tipos de crédito, 10), pero no el modelo en sí. Los consumidores tienen algunos derechos para reclamar sobre la exactitud de los datos de base, como un pago no efectuado o una deuda en cobro, pero ninguno para impugnar cómo se ponderan esos datos entre sí. Esa ponderación es la parte propietaria y, en términos funcionales, es la regla.
En 2023, la Oficina para la Protección Financiera del Consumidor (CFPB), junto con el Departamento de Justicia, la Comisión para la Igualdad de Oportunidades en el Empleo (EEOC) y la Comisión Federal de Comercio (FTC), advirtió de que los sistemas automatizados entrenados con datos históricos pueden perpetuar sesgos ilícitos y automatizar la discriminación. Los barrios todavía muestran el contorno de los mapas del redlining, las líneas rojas con que se negaba el crédito a zonas enteras. Un algoritmo entrenado con datos históricos que usa el código postal como variable no necesita estar diseñado para discriminar. Puede absorber la discriminación de forma pasiva, como una señal heredada. Desde entonces, la respuesta del derecho ha retrocedido. En 2025 la CFPB retiró la guía que confirmaba que los prestamistas que usan modelos complejos y opacos siguen obligados a dar a los solicitantes razones concretas de una denegación; el deber legal se mantiene, pero la guía ha desaparecido. Después, una norma de la CFPB que entró en vigor en 2026, y que hoy está impugnada en los tribunales, declaró que la Ley de Igualdad de Oportunidades de Crédito no autoriza en absoluto las demandas por impacto dispar. Fuera de la vivienda, donde la Ley de Vivienda Justa todavía las permite, eso eliminó la principal herramienta federal concebida precisamente para este problema: demostrar que una regla neutral en apariencia produce resultados discriminatorios cuando existía una alternativa más justa.
HireVue muestra cómo se traduce esto en el empleo. La empresa vendía evaluaciones previas a la contratación basadas en vídeo, que usaban IA para valorar a los candidatos a partir de entrevistas grabadas. Una organización de defensa de la privacidad presentó una denuncia ante la Comisión Federal de Comercio en la que alegaba, entre otras cosas, que HireVue negaba falsamente usar tecnología de reconocimiento facial. HireVue dejó de analizar las expresiones faciales de los candidatos en 2020, y más tarde explicó por qué: según la propia empresa, las señales no verbales, entre ellas las expresiones faciales, solo habían aportado alrededor de una cuarta parte del uno por ciento de capacidad predictiva en la mayoría de los puestos, algo que no compensaba dadas las inquietudes sobre el sesgo. Durante años se había puntuado a los candidatos en parte por sus expresiones y sus movimientos, y nadie fuera de la empresa podía comprobar si aquello era justo.
El caso de iTutorGroup es el ejemplo más descarnado. La EEOC demandó a esta empresa de clases particulares en línea por programar su software de solicitudes para rechazar automáticamente a las candidatas de 55 años o más y a los candidatos de 60 años o más. Más de 200 aspirantes cualificados de Estados Unidos fueron rechazados únicamente por su edad. iTutorGroup aceptó pagar 365 000 dólares para cerrar el caso, a repartir entre los aspirantes que el software había descartado: menos de 1825 dólares por persona, de media, por una oportunidad de empleo perdida. El acuerdo homologado judicialmente exigía también formación contra la discriminación, una nueva política y al menos cinco años de supervisión por parte de la EEOC.
El problema estructural es más difícil de llevar a juicio que cualquier caso individual. Estos sistemas producen errores sistemáticos, con un patrón visible en los datos agregados, que las personas rara vez consiguen impugnar, porque no se les revela la regla que genera el error. Si fueran normas legales, cada una podría impugnarse por su propio texto: conocerías la regla, sabrías cómo se te aplicó, tendrías una acción judicial. Con los algoritmos, el daño es real y está documentado en el agregado, mientras que la regla que lo genera sigue siendo invisible para las personas a las que perjudica.
La ECOA, la Ley de Vivienda Justa y el vacío de transparencia
La doctrina del impacto dispar permite a un demandante impugnar una práctica que produce resultados discriminatorios sin tener que probar intención alguna, si existía una alternativa menos discriminatoria. El Tribunal Supremo ha confirmado que esas demandas son posibles al amparo de la Ley de Vivienda Justa. En los préstamos regidos por la Ley de Igualdad de Oportunidades de Crédito (ECOA), la puerta se ha estrechado: una norma de la CFPB que entró en vigor en 2026 establece que la ECOA no autoriza la responsabilidad por impacto dispar, y la Oficina retiró en 2025 su guía sobre las notificaciones de decisiones adversas tomadas por algoritmos. Allí donde las demandas por impacto dispar sobreviven, el análisis de alternativas menos discriminatorias exige entender el modelo: qué variables usa, cómo se ponderan, qué cambiaría si se excluyeran o se reponderaran algunas. Cuando el modelo es propietario y su desarrollador invoca la protección del secreto comercial, un marco teóricamente al alcance de los demandantes puede volverse muy difícil de utilizar en la práctica.La ley del feed
Meta afirma que su familia de aplicaciones (Facebook, Instagram, Messenger, WhatsApp) tuvo de media unos 3600 millones de personas activas al día en junio de 2026. El planeta entero alberga algo más de 8000 millones. La audiencia diaria de Meta supera la población de cualquier país de la Tierra.
YouTube no da una cifra total; dice que solo sus Shorts atraen a «miles de millones» de usuarios mensuales con sesión iniciada. TikTok anunció 1000 millones de usuarios mensuales en 2021. X, antes Twitter, dejó de comunicar cifras de usuarios en documentos públicos al dejar de cotizar en bolsa, y los cerca de 600 millones de usuarios mensuales que Elon Musk ha reivindicado nunca se han verificado de forma independiente.
No hay que sumarlas. El solapamiento es enorme; la mayoría de quienes usan TikTok también usan Instagram. La cifra de Meta, por sí sola, dice algo concreto. Una empresa privada toma miles de millones de veces al día decisiones vinculantes sobre lo que esos 3600 millones de personas pueden decir, lo que pueden ver, qué contenidos les llegan y cuáles no. Esas decisiones las toman, de forma abrumadora, sistemas algorítmicos. Las políticas escritas son públicas; la maquinaria de ordenación y aplicación que las ejecuta no lo es. La Unión Europea es la gran excepción: desde 2024, la Ley de Servicios Digitales garantiza a los usuarios una decisión motivada, una apelación gratuita y el acceso a organismos independientes de resolución de litigios. La India tiene un comité gubernamental de apelación de reclamaciones cuyas resoluciones las plataformas están obligadas a acatar. En la mayoría de los demás países, un usuario corriente no dispone de ninguna apelación exigible por ley.
La defensa habitual de este estado de cosas es que la moderación de contenidos se parece al criterio editorial, que el director de un periódico que decide qué publicar ejerce el mismo tipo de discrecionalidad que los sistemas de contenidos de Meta. La analogía no resiste el contacto con la escala. Incluso los periódicos más grandes cuentan a sus lectores por millones, no por miles de millones, y ninguno pretende ser una infraestructura pública. Cuando las elecciones, las protestas, las emergencias sanitarias y los registros públicos de miles de millones de personas viven en una plataforma, y los algoritmos de esa plataforma deciden qué voces se amplifican y cuáles se silencian en esos momentos, eso es poder regulador, con efecto vinculante y consecuencias reales. También es obligatorio en la práctica: no se puede participar en estas esferas públicas a una escala comparable a través de ninguna plataforma competidora con otras reglas, porque ninguna alternativa se acerca a ese alcance.
Ninguna ley nacional sobre la expresión se ha aplicado jamás con este alcance. Los Gobiernos tienen la autoridad, pero ninguno ha necesitado nunca construir una infraestructura para hacer cumplir normas sobre la expresión entre 3600 millones de usuarios diarios en decenas de idiomas. Estos sistemas lo han hecho, de forma desigual. Sus políticas están publicadas, pero no lo están las reglas operativas que deciden cada caso: los umbrales, los clasificadores y las señales de ordenación.
El Consejo asesor de contenido de Meta se creó para ejercer un control independiente sobre las decisiones de moderación. El Brennan Center for Justice ha argumentado que el Consejo no puede hacer su trabajo sin acceso a los sistemas algorítmicos de Meta, los que toman la inmensa mayoría de las decisiones sobre qué se amplifica, qué se relega y qué se retira. El Consejo revisa a posteriori una pequeña fracción seleccionada de decisiones. Ni el Consejo ni el público pueden ver la maquinaria que aplica las reglas.
En 2016 y 2017, Facebook se utilizó para difundir discursos de odio contra los rohinyás en Birmania. Los investigadores de la ONU calificaron la plataforma de «instrumento útil para quienes pretenden difundir el odio» y describieron la respuesta de la empresa como lenta e ineficaz; Facebook tenía muy pocos moderadores de contenidos que entendieran el birmano. La plataforma amplificaba contenidos que no estaba preparada para leer. No existía ningún mecanismo de rendición de cuentas capaz de detener, impugnar o siquiera documentar el patrón en tiempo real. La empresa reconoció que había tardado demasiado en actuar.
Las matanzas las perpetró el ejército. En el año siguiente a la campaña que lanzó en agosto de 2017, cerca de 725 000 rohinyás habían huido a Bangladés, y los investigadores de la ONU calificaron de conservadora una estimación de hasta 10 000 muertos. Facebook no causó esa campaña, pero vehiculó el odio que la precedió, y cuando una plataforma no puede leer las publicaciones que amplifica, la incapacidad de moderar empieza a tener el mismo efecto que la decisión de no hacerlo.
La sección 230 y el vacío de la inmunidad
La sección 230 de la Ley de Decencia en las Comunicaciones concede a las plataformas una amplia inmunidad frente a la responsabilidad por los contenidos publicados por terceros y por las decisiones de moderación tomadas de buena fe. El resultado es una estructura jurídica en la que las plataformas apenas responden de lo que publican sus usuarios y no rinden ninguna cuenta pública por las reglas que les aplican. Esa inmunidad se diseñó para un internet que ya no existe, uno de pequeños servicios que alojaban contenidos de usuarios y no de entidades que toman a diario decisiones de gobierno vinculantes para miles de millones de personas. Los actuales intentos de reformar o derogar la sección 230 nacen del mismo problema estructural que identifica este artículo: el desajuste entre el poder que ejercen estos sistemas y los mecanismos de rendición de cuentas que hoy acompañan a ese poder. Si la reforma de la sección 230 es la palanca adecuada, y qué consecuencias imprevistas tendría, es otra discusión.Cuatro cosas que exige la regulación formal
Pongamos los cuatro criterios de la regulación legítima frente a la puntuación para la fianza, la puntuación de crédito, el filtro de contratación y el feed.
Empecemos por la transparencia. El trámite de aviso y comentarios de la Ley de Procedimiento Administrativo existe porque las regulaciones secretas son incompatibles con un tipo de gobierno que requiere consentimiento. No se puede consentir ni impugnar de verdad una regla que nunca se ha visto. Un algoritmo de fianzas le pone un 8 a un acusado. Esa puntuación pesa en si la persona dormirá en casa o en una celda mientras espera el juicio. La regla que genera el 8 no se revela. Puede inferirse, de forma incompleta e imperfecta, si se tiene acceso a grandes conjuntos de datos y a las herramientas estadísticas para desentrañarla mediante ingeniería inversa, lo cual queda muy lejos de la regla publicada que exige el trámite de aviso y comentarios. Cuando un algoritmo de moderación retira una publicación y el usuario recibe una notificación que alude a «violencia» o «acoso», la notificación no describe qué norma se aplicó, cómo se fijó su umbral ni con qué nivel de confianza se activó el algoritmo. La regla solo puede deducirse del patrón acumulado de decisiones de aplicación, retirada a retirada.
La transparencia es la condición previa de todo lo demás, porque nadie puede conocer e impugnar una norma jurídica que no puede ver. Ese derecho a conocer e impugnar es la razón por la que los acusados tienen derecho a conocer los cargos que pesan sobre ellos y por la que los sujetos regulados tienen derecho a participar en la elaboración de normas. Los abogados de Eric Loomis pidieron la metodología utilizada para restringir la libertad de su cliente. El tribunal dijo que no. Los aspirantes de iTutorGroup rechazados automáticamente nunca supieron que se les había aplicado una regla, y mucho menos cuál era. Los usuarios de Facebook que reciben una notificación de retirada se enteran de qué Norma comunitaria han incumplido y de nada sobre dónde se trazó su límite. El debido proceso exige la oportunidad de responder a algo concreto.
Después viene la legitimidad democrática. Los parlamentos se eligen. Las agencias reciben su poder por delegación de los parlamentos, las supervisan cargos electos y están sometidas a los requisitos de procedimiento de la Ley de Procedimiento Administrativo. Sus decisiones pueden impugnarse ante los tribunales federales. Las empresas privadas que despliegan algoritmos que gobiernan el acceso al crédito, al empleo, a la libertad y a la expresión de cientos de millones o miles de millones de personas no tienen una estructura equivalente de rendición de cuentas. Responden ante sus accionistas, no ante las poblaciones que gobiernan. Cuando las decisiones de producto de una empresa se convierten en decisiones de gobierno, una estructura de rendición de cuentas pensada para productos deja de ser suficiente.
Queda la responsabilidad, que es lo que hace exigibles las otras tres. La responsabilidad civil extracontractual, la responsabilidad por productos defectuosos, la rendición de cuentas administrativa: todas existen para atribuir responsabilidades cuando el ejercicio del gobierno causa daños. Frente al daño algorítmico a escala de poblaciones enteras, ninguna funciona como debería. Para certificar una demanda colectiva conforme al procedimiento civil federal hay que demostrar cuestiones de hecho o de derecho comunes a todo el colectivo. Cuando la regla es propietaria y el daño se reparte en millones de pequeños perjuicios individuales, desde préstamos denegados hasta puntuaciones de fianza con falsos positivos o publicaciones silenciadas, el requisito de la cuestión común es estructuralmente difícil de cumplir sin acceso al propio modelo. En conjunto, el daño es enorme. Los casos individuales siguen siendo invisibles para unos mecanismos jurídicos concebidos para resolver casos uno a uno.
Volvamos al acuerdo de iTutorGroup: menos de 1825 dólares por persona, de media, por una oportunidad de empleo perdida. Esa cifra no se aproxima al daño real. La formación y la supervisión que impone el acuerdo obligan a una sola empresa; para cualquier otra que sopese el riesgo, el precio que consta es lo que se paga. Ampliemos la escala: si un algoritmo rechaza a 20 000 aspirantes por motivos discriminatorios y cada caso se resuelve a ese mismo precio, la responsabilidad potencial no llega a 36,5 millones de dólares. Para una empresa cuyos ingresos se cuentan en cientos de millones, eso es un coste más del negocio.
Los cuatro dependen unos de otros: sin transparencia, el debido proceso no tiene nada concreto que impugnar, y sin ninguno de los dos, la responsabilidad es difícil de establecer. El poder regulador algorítmico no tiene hoy ninguno de los cuatro de forma plena.
La respuesta y sus límites
El Reglamento de IA de la UE entró en vigor en agosto de 2024. Es, hasta ahora, el marco regulador más completo construido para hacer frente a la autoridad algorítmica.
Lo que hace es sustancial. El Reglamento clasifica los sistemas de IA por niveles de riesgo. Su lista de alto riesgo, que conlleva toda la carga de cumplimiento, menciona expresamente la calificación crediticia, la contratación y la evaluación del rendimiento, y la justicia penal: herramientas que evalúan el riesgo de que una persona delinca o reincida, e IA que ayuda a los jueces a aplicar la ley. Para estos sistemas, el Reglamento exige evaluaciones de conformidad antes de su despliegue, supervisión humana y transparencia ante las personas afectadas; los organismos públicos y quienes califican la solvencia crediticia deben realizar además una evaluación de impacto en los derechos fundamentales. Las personas sometidas a decisiones de la mayoría de estos sistemas de la lista adquieren un derecho a una explicación cuando una decisión produce efectos jurídicos o repercusiones significativamente adversas en su salud, su seguridad o sus derechos fundamentales. Incumplir las normas sobre alto riesgo puede costar hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial. Esas obligaciones debían aplicarse inicialmente en agosto de 2026; una modificación posterior, ya en vigor, aplazó los requisitos de alto riesgo a diciembre de 2027. El derecho a una explicación mantuvo sobre el papel su fecha de agosto de 2026, pero se vincula a sistemas de alto riesgo cuyas normas de clasificación se aplazaron junto con el resto.
No son requisitos simbólicos. COMPAS, si se desplegara en Europa como uno de los sistemas de alto riesgo de la lista, tendría que pasar una evaluación de conformidad obligatoria y una evaluación de impacto en los derechos fundamentales antes de usarse. El sistema de evaluación por vídeo de HireVue, si se empleara en decisiones de contratación que afectaran a trabajadores radicados en la UE, requeriría supervisión humana y derechos de explicación.
En Estados Unidos, el avance es más fragmentario. Desde 2023, la ciudad de Nueva York exige auditorías de sesgo anuales e independientes, con resultados públicos, para las herramientas automatizadas de decisión laboral que se usen en la contratación o el ascenso para puestos radicados en la ciudad. Desde enero de 2026, Illinois prohíbe usar la IA en decisiones laborales de formas que conduzcan a una discriminación ilícita, veta los códigos postales como indicadores indirectos de características protegidas y obliga a los empleadores a avisar cuando se usa IA en decisiones de contratación o de empleo. Colorado sustituyó su ley de IA, que nunca llegó a aplicarse, por otra más limitada sobre la toma de decisiones automatizada en decisiones de peso, que entra en vigor en enero de 2027: aviso previo al uso, una explicación en lenguaje claro tras una decisión adversa, corrección de los datos inexactos y el derecho a pedir una reconsideración humana significativa.
Son avances reales en un problema que hace cinco años no estaba regulado en serio, pero comparten una limitación estructural. Salvo algunas prohibiciones absolutas, como la del Reglamento de IA de predecir el riesgo de que una persona cometa un delito basándose únicamente en la elaboración de perfiles o en rasgos de personalidad, y la de Illinois sobre el uso discriminatorio, funcionan principalmente mediante normas de diseño, documentación, auditoría y divulgación. Exigen que alguien, ya sea un auditor, un regulador o un equipo de cumplimiento normativo, evalúe si el sistema es justo. En el mejor de los casos dan a la persona gobernada por el sistema una explicación, la corrección de datos erróneos o una segunda revisión a cargo de un humano. Ninguno permite a esa persona inspeccionar la regla en sí. El derecho a una explicación del Reglamento de IA significa que una persona sometida a una decisión de la mayoría de los sistemas de alto riesgo de la lista, cuando esa decisión tiene efectos jurídicos o repercusiones significativamente adversas en su salud, su seguridad o sus derechos fundamentales, debe recibir una explicación. No significa que pueda examinar los pesos del modelo, la composición de los datos de entrenamiento ni la metodología algorítmica. La persona sabe por qué una decisión le fue desfavorable y no obtiene ninguna vía para auditar el sistema que la tomó.
El desfase estructural es un problema aparte. El marco de alto riesgo del Reglamento de IA de la UE se construyó en torno a los sistemas de IA tal como existían aproximadamente entre 2020 y 2022. Cuando el cumplimiento de las normas de alto riesgo sea obligatorio, los sistemas regulados habrán pasado por varios cambios generacionales. Las regulaciones se redactan a lo largo de años; los sistemas algorítmicos se renuevan en meses. El desajuste está en el ritmo de la legislación frente al ritmo de la tecnología; una mejor redacción no lo habría salvado.
La experiencia del RGPD debería moderar las expectativas. Su artículo 22, aplicable desde 2018, dio a las personas en la UE el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que tengan efectos significativos, salvo que la decisión sea necesaria para un contrato, esté autorizada por ley o se base en un consentimiento explícito; otros artículos complementarios añadieron el derecho a información significativa sobre la lógica aplicada. Sobre el papel, es sólido. Las directrices de la UE dicen que una empresa no puede eludirlo «fabricando una participación humana», y el máximo tribunal de la UE lo ha ampliado: en 2023 sostuvo que una puntuación crediticia puede constituir en sí misma una decisión automatizada, y en 2025, que una persona a la que se deniega un crédito tiene derecho a una explicación del procedimiento y los principios que se le aplicaron realmente, y que las objeciones basadas en el secreto comercial debe sopesarlas un tribunal o un regulador en lugar de darlas por buenas porque lo diga la empresa. En la práctica, llegar hasta ahí costó siete años y litigios reiterados. Los derechos de explicación del propio Reglamento de IA merecen la misma cautela.
El artículo 22 del RGPD y un escepticismo aprendido
El artículo 22 del RGPD, aplicable desde 2018, da a las personas en la UE el derecho a no ser objeto de decisiones con consecuencias tomadas de forma puramente automatizada, con excepciones para los contratos, la autorización legal y el consentimiento explícito; los artículos del reglamento sobre transparencia añaden el derecho a información significativa sobre la lógica aplicada. En la práctica, su impacto ha sido limitado. El umbral de lo «únicamente automatizado» invitaba a un atajo, una fina capa de visto bueno humano, aunque las directrices de la UE dicen que una intervención simbólica no cuenta. Los derechos de explicación se disputaron durante años, hasta que el Tribunal de Justicia de la UE dictaminó en 2025 que a las personas se les debe una explicación del procedimiento y los principios realmente aplicados en su propio caso, no una mera descripción genérica ni el algoritmo en bruto. El derecho a explicación del artículo 86 del Reglamento de IA de la UE se redactó teniendo presentes los fracasos del artículo 22. Si el artículo 22 sirve de guía, serán la aplicación y los tribunales los que decidan si la nueva disposición consigue más que la antigua.La paradoja de la rendición de cuentas
Los mecanismos jurídicos de que disponemos para impugnar el ejercicio del gobierno se construyeron para actos individuales de responsables identificables que actúan conforme a reglas explícitas. Una ley la impugna una persona en un caso. Una norma de una agencia se discute mediante el trámite de aviso y comentarios o en un litigio al amparo de la Ley de Procedimiento Administrativo. Una decisión administrativa se recurre ante un órgano de revisión. A un funcionario que discrimina se le puede tomar declaración. Estos mecanismos presuponen una estructura concreta: una decisión singular, una regla explícita, alguien que impugna y puede identificar el daño, un responsable al que se puede interrogar.
El poder regulador algorítmico rompe todos esos supuestos a la vez. Para impugnar una decisión algorítmica ante un tribunal suele hacer falta alguna combinación de tres cosas: la regla que la generó, que es propietaria y por lo general solo puede obtenerse mediante una exhibición de pruebas y bajo una orden de confidencialidad; un contrafactual que muestre qué habría requerido un resultado distinto, difícil de construir sin acceso al modelo o una explicación completa de la empresa; y, en una demanda por discriminación, pruebas de un patrón, lo que exige datos a escala de toda la población que la persona afectada casi con seguridad no tiene.
La respuesta del Tribunal Supremo de Wisconsin fue exigir advertencias por escrito. Una advertencia en el informe previo a la sentencia nombra el problema, y el acusado aún puede impugnar la puntuación con otras pruebas, pero nada en ella le permite examinar el cálculo.
La autorización democrática está ausente en cada punto en el que podría haberse establecido. El Consejo asesor de contenido de Meta no puede acceder al algoritmo que en teoría supervisa. La CFPB puede exigir el modelo de un prestamista en una investigación, pero al prestatario al que puntuó solo se le debe una lista de motivos. El Tribunal Supremo de Wisconsin se negó a ordenar que se abriera COMPAS. En cada momento en que podría haberse impuesto la rendición de cuentas, el interés propietario se trató como una barrera que el gobierno no iba a cruzar. Ninguna ley exigía esa deferencia, y ninguna de esas instancias llevó la cuestión hasta el final.
Lo que hace que valga la pena desplegar sistemas algorítmicos a gran escala es la coherencia en millones de casos, la rapidez y la eliminación de una discrecionalidad humana que produce sus propios fallos discriminatorios. Son exactamente los rasgos que los vuelven ilegibles para los mecanismos de rendición de cuentas que ha desarrollado el derecho. Una empleada de banca o un juez sentenciador con sesgos responden de maneras en que no responde un algoritmo con sesgos, y el sistema jurídico todavía no ha averiguado cómo pedirle al algoritmo las mismas cuentas.
Los marcos que se están construyendo ahora, del Reglamento de IA de la UE a las leyes de Nueva York, Colorado e Illinois, auditan el sistema y explican la decisión. No abren el modelo a la persona a la que puntúa.
Los sistemas algorítmicos pueden producir resultados sistemáticamente discriminatorios durante años antes de que sea posible impugnarlos, porque la impugnación exige un acceso que no se le da a quien impugna. iTutorGroup discriminó a cientos de aspirantes durante todo el tiempo que el sistema estuvo en uso antes de que la EEOC presentara la demanda. HireVue puntuó a candidatos en parte por sus expresiones faciales durante años antes de abandonar esa función por no compensar su valor marginal. COMPAS lleva más de una década usándose en sentencias en varios estados. Cuando llega una impugnación, llega después del daño, y a quienes sufrieron el perjuicio entretanto no los resarce la resolución que acabe llegando.
De vuelta a Wisconsin
Léanse las cautelas que el Tribunal Supremo de Wisconsin exigió en todo informe previo a la sentencia basado en COMPAS, con las palabras del propio tribunal: «Se ha invocado el carácter propietario de COMPAS para impedir la divulgación de información relativa a cómo se ponderan los factores o cómo se determinan las puntuaciones de riesgo». «Puesto que las puntuaciones de evaluación de riesgo de COMPAS se basan en datos de grupo, permiten identificar grupos de infractores de alto riesgo, no a un individuo concreto de alto riesgo». «Algunos estudios sobre las puntuaciones de evaluación de riesgo de COMPAS han planteado dudas sobre si clasifican de manera desproporcionada a los infractores pertenecientes a minorías como personas con mayor riesgo de reincidencia». «Una evaluación de riesgo de COMPAS compara a los acusados con una muestra nacional, pero todavía no se ha completado ningún estudio de validación cruzada para la población de Wisconsin. Las herramientas de evaluación de riesgo deben supervisarse y renormalizarse constantemente para mantener su exactitud, debido a los cambios en las poblaciones y subpoblaciones». Y: «COMPAS no se desarrolló para su uso en las sentencias, sino que estaba destinado a que el Departamento de Instituciones Penitenciarias lo utilizara para tomar decisiones sobre tratamiento, supervisión y libertad condicional».
Son las propias conclusiones del tribunal sobre lo que no se ha probado y lo que podría estar mal. Después de enumerarlas, siguió permitiendo la puntuación en las sentencias, dentro de los límites que había fijado. La advertencia le dice al juez que va a dictar sentencia que esta herramienta podría discriminar, que no se ha validado para el estado, que no se construyó para dictar sentencias y que funciona con reglas que nadie en la sala puede inspeccionar.
El juez puede restar peso a la puntuación, y el acusado puede rebatirla con otras pruebas. Pero nadie, ni el juez, ni el acusado, ni el tribunal de apelación, obtiene una vía para abrir el cálculo en sí.
Aviso sobre IA generativa
Algunos contenidos de esta página se generaron y/o editaron con la ayuda de una IA generativa.
Multimedia
Principales fuentes y referencias
Criminal justice and COMPAS
Julia Angwin, Jeff Larson, Surya Mattu, Lauren Kirchner, «Machine Bias,» ProPublica, May 23, 2016. https://www.propublica.org/article/machine-bias-risk-assessments-in-criminal-sentencing
ProPublica, «How We Analyzed the COMPAS Recidivism Algorithm,» May 23, 2016. https://www.propublica.org/article/how-we-analyzed-the-compas-recidivism-algorithm
«ProPublica Responds to Company’s Critique of Machine Bias Story,» ProPublica, July 29, 2016. https://www.propublica.org/article/propublica-responds-to-companys-critique-of-machine-bias-story
equivant, «Who is equivant?» FAQ (Northpointe, CourtView and Constellation united as equivant on January 9, 2017), archived copy. https://web.archive.org/web/20221201174316/https://www.equivant.com/faq/
State v. Loomis, 2016 WI 68, 371 Wis. 2d 235, 881 N.W.2d 749 (Wis. July 13, 2016), Caselaw Access Project (Harvard Law School Library). https://case.law/caselaw/?reporter=wis-2d&volume=371&case=0235-01
Loomis v. Wisconsin, No. 16-6387, 137 S. Ct. 2290 (cert. denied June 26, 2017), Supreme Court docket. https://www.supremecourt.gov/search.aspx?filename=/docketfiles/16-6387.htm
Alexandra Chouldechova, «Fair prediction with disparate impact: A study of bias in recidivism prediction instruments,» Big Data, vol. 5, no. 2, pp. 153–163, 2017. DOI: 10.1089/big.2016.0047 (preprint on arXiv). https://arxiv.org/abs/1610.07524
Jon Kleinberg, Sendhil Mullainathan, Manish Raghavan, «Inherent trade-offs in the fair determination of risk scores,» Proceedings of the 8th Innovations in Theoretical Computer Science Conference (ITCS 2017), LIPIcs vol. 67, pp. 43:1–43:23. https://drops.dagstuhl.de/storage/00lipics/lipics-vol067-itcs2017/LIPIcs.ITCS.2017.43/LIPIcs.ITCS.2017.43.pdf
Law, regulation and accountability
Lawrence Lessig, Code and Other Laws of Cyberspace. Basic Books, 1999.
Frank Pasquale, The Black Box Society. Harvard University Press, 2015.
Frank Pasquale, «From Territorial to Functional Sovereignty: The Case of Amazon,» LPE Project, December 6, 2017. https://lpeproject.org/blog/from-territorial-to-functional-sovereignty-the-case-of-amazon/
Administrative Procedure Act, 5 U.S.C. § 551 (definitions) and § 553 (rulemaking), Cornell Legal Information Institute. https://www.law.cornell.edu/uscode/text/5/551 · https://www.law.cornell.edu/uscode/text/5/553
«State action,» Wex legal encyclopedia, Cornell Legal Information Institute. https://www.law.cornell.edu/wex/state_action
Federal Rules of Civil Procedure, Rule 23 (class actions), Cornell Legal Information Institute. https://www.law.cornell.edu/rules/frcp/rule_23
Credit and hiring
myFICO, «What’s in my FICO Scores?» https://www.myfico.com/credit-education/whats-in-your-credit-score
CFPB, DOJ Civil Rights Division, EEOC and FTC, «Joint Statement on Enforcement Efforts Against Discrimination and Bias in Automated Systems,» April 2023. https://www.ftc.gov/system/files/ftc_gov/pdf/EEOC-CRT-FTC-CFPB-AI-Joint-Statement%28final%29.pdf
Consumer Financial Protection Bureau, Consumer Financial Protection Circular 2022-03 (May 26, 2022) — withdrawn May 12, 2025 («Interpretive Rules, Policy Statements, and Advisory Opinions; Withdrawal,» 90 FR 20084). https://www.federalregister.gov/documents/2025/05/12/2025-08286/interpretive-rules-policy-statements-and-advisory-opinions-withdrawal
Consumer Financial Protection Bureau, Equal Credit Opportunity Act (Regulation B), final rule, 91 FR 21620 (April 22, 2026; effective July 21, 2026). https://www.federalregister.gov/documents/2026/04/22/2026-07804/equal-credit-opportunity-act-regulation-b
National Fair Housing Alliance et al. v. Consumer Financial Protection Bureau et al. (D.D.C., filed May 27, 2026), challenge to the Regulation B final rule; summarized in Ballard Spahr, Consumer Finance Monitor, June 2, 2026. https://www.consumerfinancemonitor.com/2026/06/02/advocacy-groups-and-private-companies-file-lawsuit-against-revised-ecoa-rule/
Texas Department of Housing and Community Affairs v. Inclusive Communities Project, Inc., 576 U.S. 519 (2015). https://www.law.cornell.edu/supremecourt/text/13-1371
«HireVue drops facial monitoring amid A.I. algorithm audit,» Fortune, January 19, 2021. https://fortune.com/2021/01/19/hirevue-drops-facial-monitoring-amid-a-i-algorithm-audit/
EPIC, «In re HireVue,» FTC complaint, November 6, 2019. https://archive.epic.org/privacy/ftc/hirevue
EEOC, «iTutorGroup to Pay $365,000 to Settle EEOC Discriminatory Hiring Suit,» September 11, 2023. https://www.eeoc.gov/newsroom/itutorgroup-pay-365000-settle-eeoc-discriminatory-hiring-suit
Platforms and speech
Meta Platforms, Inc., Second Quarter 2026 Results, Exhibit 99.1 to Form 8-K, filed July 29, 2026. https://www.sec.gov/Archives/edgar/data/1326801/000162828026050596/meta-06302026xexhibit991.htm
United Nations, «Population» (Global Issues). https://www.un.org/en/global-issues/population
YouTube Official Blog, Press. https://blog.youtube/press/
TikTok Newsroom, «Thanks a billion!» September 27, 2021. https://newsroom.tiktok.com/1-billion-people-on-tiktok?lang=en
«Musk Says X Has 600 Million Monthly Active Users,» Bloomberg Law, 2024. https://news.bloomberglaw.com/tech-and-telecom-law/musk-says-x-has-600-million-monthly-active-users
Meta Transparency Center, Community Standards. https://transparency.meta.com/policies/community-standards/
European Commission, «Digital Services Act: Questions and answers» and «Out-of-court dispute settlement bodies under the Digital Services Act.» https://digital-strategy.ec.europa.eu/en/faqs/digital-services-act-questions-and-answers · https://digital-strategy.ec.europa.eu/en/policies/dsa-out-court-dispute-settlement
Grievance Appellate Committee, Government of India (appeals against intermediaries’ grievance-officer decisions under Rule 3A of the Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021). https://gac.gov.in/
Faiza Patel and Julian Melendi, «Meta’s Oversight Board Needs Access to Facebook’s Algorithms to Do Its Job,» Brennan Center for Justice, June 17, 2024. https://www.brennancenter.org/our-work/analysis-opinion/metas-oversight-board-needs-access-facebooks-algorithms-do-its-job
Report of the Independent International Fact-Finding Mission on Myanmar, UN Doc. A/HRC/39/64, September 12, 2018; and Report of the Detailed Findings of the Independent International Fact-Finding Mission on Myanmar, UN Doc. A/HRC/39/CRP.2, September 17, 2018. https://www.ohchr.org/sites/default/files/Documents/HRBodies/HRCouncil/FFM-Myanmar/A_HRC_39_64.pdf · https://www.ohchr.org/sites/default/files/Documents/HRBodies/HRCouncil/FFM-Myanmar/A_HRC_39_CRP.2.pdf
Communications Decency Act, Section 230, 47 U.S.C. § 230, Cornell Legal Information Institute. https://www.law.cornell.edu/uscode/text/47/230
New rules: EU and US
Regulation (EU) 2024/1689 of the European Parliament and of the Council (EU AI Act), entered into force August 1, 2024; Annex III and Articles 5, 27, 86 and 99 via the AI Act Explorer. https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng · https://artificialintelligenceact.eu/annex/3/ · https://artificialintelligenceact.eu/article/5/ · https://artificialintelligenceact.eu/article/27/ · https://artificialintelligenceact.eu/article/86/ · https://artificialintelligenceact.eu/article/99/
Regulation (EU) 2026/1744 (Digital Omnibus on AI), published in the Official Journal July 24, 2026; summarized in Cooley, «Digital AI Omnibus Delays Key Deadlines, Introduces New Rules,» August 3, 2026. https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/
Regulation (EU) 2016/679 (General Data Protection Regulation), Articles 13–15 and 22, EUR-Lex. https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
Article 29 Data Protection Working Party, Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (WP251rev.01), endorsed by the EDPB. https://ec.europa.eu/newsroom/article29/items/612053
Court of Justice of the EU, C-634/21 SCHUFA Holding (Scoring), December 7, 2023, press release 186/23. https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186en.pdf
Court of Justice of the EU, C-203/22 Dun & Bradstreet Austria, February 27, 2025, press release 22/25. https://curia.europa.eu/jcms/upload/docs/application/pdf/2025-02/cp250022en.pdf
NYC Local Law 144 of 2021 (automated employment decision tools), effective January 1, 2023 (§ 2); enforced by the NYC Department of Consumer and Worker Protection from July 5, 2023. https://legistar.council.nyc.gov/LegislationDetail.aspx?GUID=B051915D-A9AC-451E-81F8-6596032FA3F9&ID=4344524 · https://www.nyc.gov/site/dca/about/automated-employment-decision-tools.page
Illinois Public Act 103-0804, amending the Illinois Human Rights Act to address the use of artificial intelligence in employment decisions, signed August 9, 2024, effective January 1, 2026; summarized in Hunton Andrews Kurth, «Illinois Enacts New Law Regulating Employer Use of Artificial Intelligence,» 2024. https://www.hunton.com/hunton-employment-labor-perspectives/illinois-enacts-new-law-regulating-employer-use-of-artificial-intelligence
Colorado SB 26-189, Automated Decision-Making Technology, signed May 14, 2026, effective January 1, 2027; summarized in Taft, «Colorado Act Legislation: The AI Strikes Back,» May 27, 2026. https://leg.colorado.gov/bills/sb26-189 · https://www.taftlaw.com/news-events/law-bulletins/colorado-act-legislation-the-ai-strikes-back/
