La Oficina de IA de Utah exige recibos firmados para los sistemas sandbox designados

Los proveedores designados por la Oficina de Política de Inteligencia Artificial de Utah deben generar y entregar un recibo firmado criptográficamente para cada inferencia de IA o evaluación de control cubierta como condición para unirse al Laboratorio de Aprendizaje de IA del estado y permanecer en él, dijo Glacis Technologies en un anuncio de la empresa publicado el 5 de octubre de 2026. Los recibos se ajustan a OVERT (Evidencia de Verificación Observable para la Confianza en Tiempo de Ejecución), un estándar técnico abierto para evidencia verificable de operaciones de IA que Glacis creó y publica bajo un convenio de patente libre de regalías.

Según el acuerdo, la oficina decide qué proveedores, sistemas y eventos están cubiertos, y escribe el requisito en el propio acuerdo de cada proveedor con el estado; Glacis proporciona la emisión de recibos, materiales de verificación e incorporación, y otras evidencias pueden acompañar a un recibo pero no pueden sustituirlo, dijo la empresa. La página de evaluadores externos del estado registra el memorando de entendimiento de Glacis firmado el 10 de agosto de 2026, con un plazo de 12 meses, y la empresa describe el acuerdo como anunciado el 5 de octubre. Joe Braidwood, autor de la publicación, dijo que es la primera vez que un regulador ha incorporado OVERT en un requisito de participación.

Qué registran los recibos

Un recibo registra la decisión reportada por un control sobre un evento cubierto y la hora en que se tomó la decisión, y se firma en el momento del evento. Según el anuncio, cualquiera que posea los materiales de verificación puede confirmar que el registro no ha sido alterado y que proviene de la clave de firma esperada. Como ejemplo, el anuncio describe un asistente clínico configurado para dirigir ciertas solicitudes a un clínico en lugar de responderlas él mismo: el recibo conserva la decisión reportada por el control sobre una solicitud específica, proporcionando al evaluador un registro firmado para examinar en lugar de un resumen elaborado por el proveedor.

La empresa y el estado describen el mismo límite de lo que establece un recibo. Un recibo verificado muestra que un control se ejecutó, que reportó una decisión y que el registro no se modificó posteriormente; no muestra que la decisión fuera correcta, que una derivación llegó a un clínico, o que un paciente recibió la atención adecuada, y no certifica seguridad, efectividad ni cumplimiento legal.

La página de evaluadores de Utah expone la versión estatal del mecanismo bajo una categoría que llama Atestación en Tiempo de Ejecución: las empresas que la oficina seleccione deben producir un recibo digital a prueba de manipulaciones cada vez que se ejecute una verificación de seguridad especificada, y la página indica que dicho recibo muestra que la verificación se ejecutó sin demostrar que la IA sea segura o que la empresa haya cumplido la ley. El acuerdo no obliga a los proveedores a entregar pesos del modelo, indicaciones crudas, salidas crudas ni datos de pacientes, porque un recibo puede vincularse a un evento mediante un hash u otro identificador que no contiene contenido.

Marco de Evaluadores de Utah y Términos del Sandbox

La Oficina de Política de Inteligencia Artificial, parte del Departamento de Comercio de Utah, ha firmado memorandos de entendimiento con seis organizaciones independientes que pueden revisar una propuesta antes de su aprobación y supervisar el trabajo de un piloto mientras se lleva a cabo. Los evaluadores informan a la oficina, que conserva cada decisión sobre si un piloto inicia, continúa o se detiene, y los criterios de evaluación se están finalizando con cada organización.

La página de evaluadores enumera a Coalition for Health AI, firmado el 2 de octubre de 2026; al Stanford Clinical Excellence Research Center, firmado el 30 de septiembre de 2026; a Clarion AI Partners y mpathic, cada uno firmado el 29 de septiembre de 2026; a Vega Health, firmado el 28 de septiembre de 2026; y a Glacis Technologies, firmado el 10 de agosto de 2026. Cada memorando tiene un plazo de 12 meses, y las entradas para Coalition for Health AI, Stanford CERC, mpathic y Vega Health indican que el plazo se renueva cada año.

Según las salvaguardas publicadas por la oficina, la empresa evaluada paga al evaluador directamente, el estado no paga las evaluaciones, y los recibos de atestación son gratuitos para las empresas obligadas a producirlos. Los evaluadores deben certificar que cada evaluación sea independiente, informar cualquier preocupación de seguridad del paciente a la oficina, haya o no la empresa cumpla, y abrir su trabajo a auditorías de la oficina, y una certificación que no coincida con los hallazgos reales es motivo para pausar, revertir o terminar un piloto. Ningún evaluador tiene un rol exclusivo, y los acuerdos con los evaluadores no otorgan alivio regulatorio.

El nombre legal del programa sandbox es Artificial Intelligence Learning Laboratory, según la descripción general del sandbox del estado. Un participante firma un acuerdo con la oficina y con la agencia que ya regula su sector; el acuerdo puede ajustar cómo se aplica una regla específica durante un período de prueba limitado, mientras que todos los demás requisitos legales permanecen vigentes, y la aceptación no constituye un respaldo ni una aprobación por parte del Estado de Utah. Un primer período de prueba no puede exceder los 12 meses, y una empresa puede solicitar hasta dos extensiones de 12 meses antes de que el acuerdo finalice y se apliquen plenamente las reglas ordinarias. Cada acuerdo debe detallar el alcance de la prueba, las salvaguardas que la empresa debe mantener en funcionamiento, la regla específica que se ajusta, las divulgaciones adeudadas a los usuarios y los informes sobre los cuales se realizan auditorías de la oficina. La oficina puede retirar a un participante de inmediato por infringir la ley o el acuerdo, y puede terminar un acuerdo en cualquier momento.

La oficina también ha firmado cinco acuerdos que amplían el laboratorio, según un comunicado de la oficina: acuerdos piloto con Expect Fitness para terapia física del suelo pélvico, August AI para recargas rutinarias de recetas y Nolla Health para tratamiento del acné, junto a acuerdos marco con University of Utah Health e Intermountain Health que establecen los términos para aprobar futuros pilotos de IA dentro de cada sistema de salud.

Transferencia pendiente de la administración de OVERT

Glacis publicó OVERT 1.0 en marzo de 2026 y la versión 1.1 en junio de 2026; el texto de la especificación es libre de copiar y adaptar bajo una licencia Creative Commons Attribution 4.0, y el convenio de patentes libre de regalías publicado en junio permanece sin cambios.

En una publicación del 21 de septiembre de 2026, la empresa dijo que Brenton Hill de la Coalition for Health AI, Ken Johnston de la AIGovOps Foundation y Braidwood firmaron un Acuerdo de Administración y Continuidad de OVERT el 14 de septiembre de 2026, bajo el cual la coalición y la fundación se convertirían en co‑administradores con un voto cada uno y Glacis sería un editor sin derecho a voto que no puede alterar los criterios de conformidad. Glacis declaró que compite con su propia implementación de OVERT y posee un interés comercial en el estándar. Braidwood escribió que un requisito que nombre el formato privado de una empresa es más débil que uno que nombre un estándar abierto, porque un regulador puede verificar un recibo sin depender de la empresa que lo emitió.

La transferencia de administración aún no está en vigor, dijo la empresa: entra en vigor en una fecha registrada en un certificado de inicio separado firmado por las tres partes, y ese certificado no ha sido firmado. No se puede aprobar ninguna publicación sin un período de comentarios públicos de al menos 30 días y el acuerdo de ambos co‑administradores, y se prevé que la operación del registro se aleje de Glacis dentro de los 90 días posteriores al inicio.