Saltar al contenido
AI Policy Generator

ENQué me toca

California · Reglamento

Reglamento de la CCPA sobre decisiones automatizadas (ADMT) y evaluaciones de riesgo

VigenteCCPA: ADMT y evaluaciones de riesgo

Resumen

El reglamento de la CCPA exige evaluaciones de riesgo antes de tratamientos de alto riesgo, como usar ADMT para decisiones significativas (crédito, vivienda, educación, empleo y salud). Desde el 1 de enero de 2027, quien use ADMT para esas decisiones debe dar un aviso previo, permitir la exclusión (opt-out) o una apelación humana, y responder a solicitudes de acceso sobre la lógica usada. Los resúmenes de las evaluaciones de 2026 y 2027 se envían a la agencia antes del 1 de abril de 2028.

A quién se dirige

Empresas sujetas a la CCPA: ingresos anuales por encima del umbral legal (unos 26,6 millones USD en 2025, ajustado por inflación), o datos de 100 000 o más residentes u hogares de California, o al menos el 50 % de ingresos por vender o compartir datos personales.

Sanciones

Hasta 2 500 USD por infracción y 7 500 USD por infracción intencional o que afecte a menores (cifras ajustadas por inflación).

Nombre oficial
California Code of Regulations, Title 11, Division 6, Chapter 1 (CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology, and Insurance Regulations)
Referencia oficial
11 CCR §§ 7150-7157 y 7200-7222; aprobado por la OAL el 22 de septiembre de 2025; vigente el 1 de enero de 2026
Autoridad
Agencia de Protección de la Privacidad de California (CalPrivacy / CPPA) y Fiscal General de California
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Evaluación de riesgo antes de usar ADMT u otros tratamientos de alto riesgo11 CCR §§ 7150, 7151, 7152, 7155Vigente1 de enero de 2026Aplica a empresas sujetas a la CCPA (umbral de ingresos, 100.000 residentes o 50 % de ingresos por venta de datos) que usan ADMT para decisiones significativas, infieren rasgos de empleados, candidatos o estudiantes por observación sistemática, tratan datos sensibles o entrenan ADMT o reconocimiento facial. Entrenar modelos con datos propios no basta por sí solo. Para tratamientos iniciados antes de 2026 el plazo es el 31 de diciembre de 2027.Verificado en fuente oficial el 2 de noviembre de 2026
Enviar a la agencia el resumen de las evaluaciones con declaración firmada11 CCR § 7157Aprobada, aplica más adelante1 de abril de 2028Aplica a quien haya hecho evaluaciones de riesgo en 2026 o 2027.Verificado en fuente oficial el 2 de noviembre de 2026
Aviso previo al uso de ADMT11 CCR §§ 7200(b), 7220Aprobada, aplica más adelante1 de enero de 2027Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas sobre crédito, vivienda, educación, empleo o salud.Verificado en fuente oficial el 2 de noviembre de 2026
Permitir la exclusión de la ADMT o una apelación ante una persona11 CCR § 7221Aprobada, aplica más adelante1 de enero de 2027Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas.Verificado en fuente oficial el 2 de noviembre de 2026
Responder a solicitudes de acceso sobre el uso de ADMT11 CCR § 7222Aprobada, aplica más adelante1 de enero de 2027Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas.Verificado en fuente oficial el 2 de noviembre de 2026

Evaluación de riesgo antes de usar ADMT u otros tratamientos de alto riesgo

11 CCR §§ 7150, 7151, 7152, 7155Vigente

Aplicable desde 1 de enero de 2026

Cuándo se relaciona
Aplica a empresas sujetas a la CCPA (umbral de ingresos, 100.000 residentes o 50 % de ingresos por venta de datos) que usan ADMT para decisiones significativas, infieren rasgos de empleados, candidatos o estudiantes por observación sistemática, tratan datos sensibles o entrenan ADMT o reconocimiento facial. Entrenar modelos con datos propios no basta por sí solo. Para tratamientos iniciados antes de 2026 el plazo es el 31 de diciembre de 2027.
Qué prevé la norma
  • Hacer y documentar la evaluación antes de empezar el tratamiento.
  • Describir finalidad específica, datos, beneficios concretos, impactos negativos y salvaguardas; incluir al personal que participa.
  • Que la apruebe una persona con autoridad sobre el tratamiento.
  • Revisarla al menos cada tres años y actualizarla en 45 días si hay un cambio material.
  • Conservarla mientras dure el tratamiento o cinco años desde su realización, lo que sea más largo.
  • Para tratamientos que ya existían antes del 1 de enero de 2026, el plazo es el 31 de diciembre de 2027.
Evidencias habituales
  • Evaluación de riesgo firmada y versionada
  • Lista de participantes y aprobador
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado publicado por CalPrivacy (§§ 7150 y 7155).

Enviar a la agencia el resumen de las evaluaciones con declaración firmada

11 CCR § 7157Aprobada, aplica más adelante

Aplicable desde 1 de abril de 2028

Cuándo se relaciona
Aplica a quien haya hecho evaluaciones de riesgo en 2026 o 2027.
Qué prevé la norma
  • Enviar antes del 1 de abril de 2028 la información exigida sobre las evaluaciones de 2026 y 2027, y después cada 1 de abril.
  • Incluir una declaración firmada por un directivo, bajo pena de perjurio.
  • Entregar la evaluación completa en 30 días si la agencia o el Fiscal General la piden.
Evidencias habituales
  • Formulario enviado y acuse de recibo
  • Declaración firmada
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado (§ 7157(a)(1)).

Aviso previo al uso de ADMT

11 CCR §§ 7200(b), 7220Aprobada, aplica más adelante

Aplicable desde 1 de enero de 2027

Cuándo se relaciona
Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas sobre crédito, vivienda, educación, empleo o salud.
Qué prevé la norma
  • Informar antes de usar la ADMT: finalidad específica, derecho de exclusión o de apelación, derecho de acceso y cómo funciona la ADMT.
  • Explicar en lenguaje llano qué datos afectan al resultado y cómo se decidiría si la persona se excluye.
  • Los usos que empezaron antes de 2027 deben cumplir el 1 de enero de 2027; los nuevos, desde el primer uso.
Evidencias habituales
  • Aviso previo publicado o entregado
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha contrastada con el texto aprobado (§ 7200(b)); contenido del aviso según § 7220.

Permitir la exclusión de la ADMT o una apelación ante una persona

11 CCR § 7221Aprobada, aplica más adelante

Aplicable desde 1 de enero de 2027

Cuándo se relaciona
Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas.
Qué prevé la norma
  • Ofrecer al menos dos formas de exclusión, sin exigir crear una cuenta.
  • O, en su lugar, ofrecer una apelación revisada por una persona con autoridad para cambiar la decisión, si se cumplen las condiciones de la excepción.
  • Indicar en el aviso qué excepción se usa.
Evidencias habituales
  • Formulario de exclusión o de apelación y registro de solicitudes
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado (§§ 7220 y 7221).

Responder a solicitudes de acceso sobre el uso de ADMT

11 CCR § 7222Aprobada, aplica más adelante

Aplicable desde 1 de enero de 2027

Cuándo se relaciona
Aplica a empresas sujetas a la CCPA que usan ADMT para decisiones significativas.
Qué prevé la norma
  • Explicar la finalidad específica (no genérica) para la que se usó la ADMT con esa persona.
  • Explicar la lógica de la ADMT, el resultado obtenido y cómo se usó en la decisión.
Evidencias habituales
  • Plantilla de respuesta de acceso y registro de respuestas
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado (§ 7222).

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)