Las agencias del Gobierno de Puerto Rico están adoptando la inteligencia artificial, y las normas que rigen a los proveedores que la suministran se han acumulado más rápido de lo que la mayoría de esos proveedores advierte. Desde el 29 de septiembre de 2025, la PRITS-POL-0012, la política de inteligencia artificial del Gobierno, obliga a los contratistas y suplidores de sistemas de inteligencia artificial a cumplir requisitos detallados, sustituyó la carta circular de 2023 que la precedió y exige la autorización escrita del Puerto Rico Innovation and Technology Service (“PRITS”) antes de firmar cualquier contrato de inteligencia artificial. La Ley Núm. 40-2024, según enmendada este año, aplica sus estándares mínimos de ciberseguridad, su aviso de incidentes en 48 horas y sus penalidades a todo proveedor de tecnología de información que sirve al Gobierno, y desde el 1 de junio de 2026 el PRITS-REG-001 provee el procedimiento de fiscalización, con inspecciones sin aviso y multas hasta el monto del contrato. La inteligencia artificial agéntica, que actúa sobre sistemas y datos en lugar de limitarse a contestar preguntas, pone a prueba los tres, y los propios términos de la Política la clasifican como de alto riesgo. En esta Alerta Legal resumimos los tres instrumentos, los aplicamos a las implantaciones agénticas e identificamos los términos contractuales que los proveedores deben esperar.
La Política: PRITS-POL-0012
La Política para el uso de inteligencia artificial en el Gobierno de Puerto Rico, emitida al amparo de la Ley Núm. 75-2019, la Ley Núm. 40-2024, la Ley de Gobierno Electrónico y la Ley de Datos Abiertos, y construida sobre el AI Risk Management Framework 1.0 y el Cybersecurity Framework 2.0 del NIST, aplica a las entidades de la Rama Ejecutiva, las corporaciones públicas y los municipios, y a toda persona que hace negocios o tiene contratos con el Gobierno, en cuanto a las funciones públicas que desempeña.[1] Rige todo sistema o servicio de inteligencia artificial que use, desarrolle, adquiera o mantenga un organismo gubernamental o alguien a su nombre, incluidas la inteligencia artificial generativa, los sistemas de apoyo a decisiones y la automatización robótica de procesos con componentes de inteligencia artificial, a lo largo de todo el ciclo de vida del sistema. Dos de sus reglas enmarcan todo lo demás. Todo contrato que involucre servicios de inteligencia artificial debe incluir términos que reflejen y hagan cumplir la Política. Y ningún contrato de un producto o servicio de inteligencia artificial puede finalizarse sin la confirmación documentada de PRITS y su autorización expresa por escrito.
La Política regula luego el sistema mismo. Cada sistema debe clasificarse como de riesgo bajo, moderado o alto según la matriz del Apéndice I, y un sistema que opera de forma autónoma o con intervención humana limitada es de alto riesgo, lo que exige evaluaciones de imparcialidad y sesgo, auditorías periódicas y monitoreo continuo, y permite a PRITS imponer condiciones adicionales. Ciertos usos, como la puntuación social y la vigilancia masiva sin autoridad legal, están prohibidos de plano. La inteligencia artificial debe apoyar y no sustituir el juicio humano, con revisión humana previa en las determinaciones críticas o un mecanismo de apelación posterior. El acceso a los recursos de inteligencia artificial requiere autenticación de múltiples factores en todas las cuentas de usuario y privilegio mínimo para usuarios y procesos, bajo un modelo de confianza cero. Y en la disposición que más importa para los agentes, ningún sistema de inteligencia artificial puede recibir acceso privilegiado o administrativo a la infraestructura de tecnología del Gobierno, incluidas la configuración de sistemas, la creación, modificación o eliminación de cuentas de usuario y los permisos elevados de API; esas funciones deben permanecer bajo control humano directo. La actividad de la inteligencia artificial, incluidos los resultados de sus decisiones cuando sea viable, debe registrarse de forma protegida contra alteración y monitorearse; los incidentes que involucren un sistema de inteligencia artificial deben informarse a la Oficina de Evaluación de Incidentes Cibernéticos de PRITS dentro de los términos de la política de respuesta a incidentes del Gobierno; los datos sensitivos del Gobierno no pueden alimentarse a servicios de inteligencia artificial externos o públicos sin autorización y salvaguardas; y los proveedores de inteligencia artificial en la nube deben contar con la certificación FedRAMP o una equivalente.
Para los proveedores, la Sección 6.6.2 y la lista de verificación de veinte cláusulas del Apéndice II fijan los términos contractuales mínimos: cumplimiento con los estándares de seguridad de PRITS y los marcos reconocidos; titularidad del Gobierno sobre sus datos y sobre todo modelo, análisis o conclusión derivados; ningún uso secundario de los datos del Gobierno; divulgación de los conjuntos de datos de terceros y los modelos preentrenados; métricas de desempeño medibles con el deber de corregir defectos, vulnerabilidades y sesgos algorítmicos; el derecho del Gobierno a probar y auditar el sistema en cualquier momento, sin limitación contractual de “caja negra”; documentación que incluya fichas del modelo y registros de cambios; ninguna funcionalidad oculta; informe pronto a la agencia y a PRITS de incidentes, vulnerabilidades y errores significativos o comportamientos anómalos de la inteligencia artificial; indemnización; límites de responsabilidad que no sean ilusorios, con las violaciones de confidencialidad, la infracción de propiedad intelectual y los incidentes de seguridad mayores excluidos de ellos; ningún cambio de versión mayor sin prueba y aceptación de la agencia; aprobación de la agencia para los subcontratistas que manejen datos sensitivos; la ley de Puerto Rico como ley aplicable; términos de resolución de disputas que no obliguen a la agencia a un foro o arbitraje fuera de Puerto Rico; y obligaciones de terminación y transición. El incumplimiento expone al proveedor a la suspensión o desactivación del sistema, a multas y sanciones bajo la Ley Núm. 40-2024, a la terminación del contrato, a la inhabilitación para contratar y al referido de la conducta intencional o temeraria a las autoridades.
El estatuto y su reglamento
La Ley Núm. 40-2024, Ley de Ciberseguridad del Gobierno de Puerto Rico, según enmendada por la Ley Núm. 140-2026, fija estándares mínimos de ciberseguridad para las agencias y para los proveedores privados de servicios de tecnología de información y comunicaciones, exige a esos proveedores notificar a PRITS y a la agencia contratante dentro de las 48 horas de descubrir un incidente, prohíbe a las entidades cubiertas y a sus agentes, aseguradores y garantizadores pagar rescates, y penaliza al proveedor hallado responsable de obstrucción, negligencia o mala fe en el manejo de un ataque con responsabilidad hasta el monto del contrato más daños y la inhabilitación para contratar con el Gobierno por cinco años.[2] La enmienda de 2026 añadió además el uso de la inteligencia artificial a la capacitación en ciberseguridad que la Ley requiere, y la Asamblea Legislativa exigió por separado divulgar el contenido generado con inteligencia artificial en la propaganda política.[3] Tratamos el aviso de 48 horas en nuestra Alerta Legal del 19 de octubre y la prohibición de pagar rescates en nuestra Alerta Legal del 23 de octubre.
El 26 de mayo de 2026, PRITS adoptó el reglamento que da procedimiento a esas penalidades: el PRITS-REG-001, Reglamento para la Imposición de Multas por Violaciones a los Estándares de Ciberseguridad, vigente desde el 1 de junio de 2026 y adoptado sin el proceso de comentarios públicos de la Ley de Procedimiento Administrativo Uniforme, del que la Ley Núm. 40-2024 lo exime.[4] Define “proveedor de servicios contratados” como toda entidad que provee redes, aplicaciones, programas, infraestructura o medios de seguridad con soporte continuo, sea en las instalaciones de la agencia, en su centro de datos o en el de un tercero, lo que alcanza a los proveedores de nube, de programas como servicio y de inteligencia artificial. Faculta a PRITS a investigar por iniciativa propia o por denuncia de cualquier persona, a exigir contestaciones escritas bajo juramento y documentos, a entrar a cuartos y acceder a equipos donde haya información pública sin anunciarse, y a inspeccionar de forma presencial o virtual; el proveedor solo puede impugnar un requerimiento alegando que excede la autoridad de PRITS, y solo dentro de tres días calendario. Si PRITS encuentra una violación, puede emitir un aviso de incidente con 15 días para corregir o someter un plan de acción correctiva, imponer multas hasta el monto del contrato con independencia de las penalidades contractuales y los daños, tomar control directo de los sistemas afectados a costa del proveedor, cancelar el contrato, declarar nulo un contrato otorgado sin consultar a PRITS que no pueda ajustarse a los estándares, e inhabilitar al proveedor, y a toda entidad que comparta un número significativo de las mismas personas, para contratar y subcontratar con el Gobierno por cinco años. La multa adviene final a los 20 días de notificada si el proveedor no solicita vista, las vistas son públicas salvo que el proveedor demuestre daño, y ni la reconsideración ni la revisión judicial suspenden la orden.
Aplicados a los agentes
Lo que viene
Hay proyectos pendientes que ampliarían la autoridad de PRITS. El P. del S. 68 crearía un Oficial de Inteligencia Artificial del Gobierno adscrito a PRITS y le ordenaría a PRITS fijar la política pública de inteligencia artificial para todo el Gobierno, y una medida de la Cámara exigiría a las agencias obtener la autorización de PRITS antes de usar inteligencia artificial, con multas de hasta $10,000 por incumplimiento.[5] La base federal se mueve en la misma dirección. La guía conjunta de CISA, NSA y cuatro agencias aliadas sobre la adopción cuidadosa de la inteligencia artificial agéntica (1 de mayo de 2026) y la AI Agent Standards Initiative del NIST (febrero de 2026) describen los controles que las agencias llegarán a esperar, y PRITS construyó su Política sobre los marcos del NIST antes de que existiera cualquiera de las dos.[6] Tratamos esa guía, y los términos contractuales que implica para todo comprador de inteligencia artificial agéntica, en nuestro Legal Update del 25 de octubre (en inglés).
Implicaciones prácticas para los proveedores
Continuaremos dando seguimiento a estos desarrollos y publicaremos actualizaciones según se justifique. Si tiene preguntas sobre los asuntos tratados en esta Alerta Legal, puede comunicarse con los abogados de Maceira Zayas con quienes trabaja regularmente.
Notas
Esta publicación ofrece información general sobre desarrollos jurídicos de interés para los clientes y amigos de Maceira Zayas. No es un tratamiento exhaustivo de la materia ni constituye asesoría legal. El lector debe consultar a su abogado antes de actuar sobre cualquier asunto aquí tratado. Los desarrollos posteriores a la fecha de esta Alerta Legal no están reflejados.
