La cláusula de VPN de Utah queda bloqueada, por ahora: qué cambia la medida cautelar de Aylo y qué no

Actualización, 6 de octubre de 2026: el fallo que este artículo esperaba ha llegado, con un mes de adelanto. El 24 de septiembre, el juez David Barlow, del Tribunal de Distrito de los Estados Unidos para el Distrito de Utah, concedió la solicitud de Aylo de una medida cautelar preliminar contra la cláusula de ubicación presunta, la parte de la SB 73 que contaba a un usuario de VPN físicamente en Utah como visitante de Utah sin importar la dirección IP que viera el sitio. Su razonamiento cabe en dos frases suyas: la enmienda «exige que entidades como Aylo geolocalicen a los usuarios de su sitio web con perfección para evitar responsabilidad», y «no se discute que la perfección en la geolocalización no es posible en la actualidad».

La medida cautelar es más acotada de lo que sugieren la mayoría de los resúmenes, y las fechas que importaban en septiembre ya no importan en absoluto. Este artículo se ha actualizado de principio a fin: qué bloqueó el juez, qué se negó a bloquear, qué sigue en vigor hoy en Utah y qué iba a pedir a los sitios web la norma de detección del 95% del estado.

Cuando esta pieza se publicó por primera vez el 3 de septiembre, la noticia era una fecha que significaba menos de lo que afirmaban los titulares. Gizmodo y otros informaron de que la primera ley estadounidense dirigida al uso de VPN entraría en vigor ese día. En realidad la SB 73 estaba en vigor desde el 6 de mayo de 2026, y el 3 de septiembre era solo el vencimiento de una tregua judicial: la promesa de Utah de no aplicar la cláusula de VPN contra una sola empresa, Aylo, la operadora de Pornhub, mientras el juez evaluaba la impugnación de la compañía. Esa tregua se prorrogó el 27 de agosto y terminó en el momento en que llegó el fallo.

Esto es lo que dice el proyecto de ley, a quién obliga, qué decidió el tribunal y qué significa todo ello para una persona que usa una VPN.

¿Entró en vigor la ley de VPN de Utah el 3 de septiembre?

No. La confusión viene de mezclar dos documentos.

El primero es la ley en sí. La SB 73, las Enmiendas sobre Verificación de Edad en Línea, fue impulsada por el senador Calvin Musselman y el representante Steve Eliason y firmada por el gobernador Spencer Cox el 19 de marzo de 2026. La sección 22 del texto promulgado fija su fecha de entrada en vigor: el 6 de mayo de 2026, con un puñado de disposiciones fiscales que siguen el 1 de octubre. El lenguaje sobre VPN está en la sección 14, que modifica el Código de Utah 78B-3-1002, y lleva la fecha del 6 de mayo como todo lo demás.

El segundo documento es una estipulación conjunta presentada ante un tribunal federal el 27 de abril de 2026, cinco días después de que Aylo demandara. En ella, la División de Protección al Consumidor de Utah y el Departamento de Comercio de Utah acordaron abstenerse de aplicar la «disposición de ubicación presunta» (Deemed-Location Provision) contra Aylo y sus filiales «hasta el 3 de septiembre de 2026, es decir, 120 días después de la fecha en que la disposición estaba prevista que entrara en vigor». Aylo, por su parte, se comprometió a no modificar su geobloqueo actual en Utah, lo que significa que Pornhub y sus sitios hermanos seguirían bloqueados para las direcciones IP de Utah, como lo están desde 2023.

De ahí sale la fecha del 3 de septiembre. Nunca fue una fecha de entrada en vigor. Era el vencimiento de una promesa de no aplicación hecha a un solo litigante. Y según el expediente judicial, el 27 de agosto las partes presentaron una nueva «Estipulación conjunta de prórroga de la no aplicación», que el tribunal dio por recibida al día siguiente. Como informó XBIZ el 28 de agosto, la prórroga llega hasta el 22 de octubre de 2026 o hasta que el tribunal resuelva la solicitud de medida cautelar de Aylo, lo que ocurra primero. La estipulación justifica el tiempo adicional por un proceso reglamentario de Utah: «este Periodo de Abstención Continuada permite a los demandantes participar en ese proceso reglamentario sin la amenaza de responsabilidad mientras tanto».

Así que la frase exacta era más larga de lo que permite un titular. La cláusula de VPN se convirtió en ley en mayo, se aplicaba sobre el papel a todos los sitios web cubiertos salvo Aylo y nunca, hasta donde muestra el registro público, se aplicó contra nadie por tráfico de VPN. Desde el 24 de septiembre está suspendida de forma preliminar. La orden concede la medida cautelar sobre la propia disposición, sin limitar sus términos a los demandantes, y la Electronic Frontier Foundation la interpreta en el sentido de que la cláusula queda fuera de juego mientras la medida siga vigente.

¿Qué exige realmente la SB 73, y a quién?

Utah exige verificación de edad en los sitios para adultos desde 2023. La SB 73 reconstruye ese régimen: añade la aplicación pública por parte de la División de Protección al Consumidor junto al derecho privado a demandar que ya existía, añade multas, crea un impuesto especial sobre los sitios cubiertos y añade dos párrafos sobre las VPN. Esos dos párrafos, en el texto promulgado, dicen lo siguiente.

La regla de ubicación presunta, nuevo apartado (3) del 78B-3-1002: «Se considera que un individuo accede al sitio web desde este estado si el individuo se encuentra realmente en el estado, con independencia de que el individuo esté usando una red privada virtual, un servidor proxy u otros medios para ocultar o falsear la ubicación geográfica del individuo y hacer que parezca que el individuo accede a un sitio web desde un lugar fuera de este estado».

La prohibición de facilitación, nuevo apartado (4): un sitio cubierto «no puede facilitar ni fomentar el uso de una red privada virtual, un servidor proxy u otros medios para eludir los requisitos de verificación de edad», incluido el hecho de proporcionar «instrucciones sobre cómo usar una red privada virtual o un servidor proxy para acceder al sitio web» o «medios para que los individuos de este estado eludan el geobloqueo o el bloqueo».

Ambas reglas se dirigen a una «entidad comercial que opera un sitio web que contiene una porción sustancial de material nocivo para menores». Porción sustancial tiene una cifra: más del 33 1/3 por ciento del material total del sitio. Un sitio que se presenta como principalmente para adultos, o que usa un dominio de temática adulta, se presume que cruza esa línea.

Las sanciones apuntan a la misma entidad. Según la nueva sección 78B-3-1004, el director de la División puede imponer una multa administrativa de hasta $2,500 por cada infracción, y un tribunal puede añadir una sanción civil de hasta $2,500 por infracción, restitución de beneficios, medidas cautelares y daños reales, más hasta $5,000 por infracción por desobedecer una orden. La sección 78B-3-1002(6) exime a los proveedores de acceso a internet, los buscadores y los proveedores de nube por el mero transporte del tráfico, y el apartado (5) exime el contenido genuino de noticias y de interés público.

Fíjate en lo que falta. No hay definición de «usuario de VPN», ningún deber impuesto a un proveedor de VPN, y ninguna multa, delito ni responsabilidad civil para un individuo que se conecta a través de una VPN. La versión para citar: la SB 73 de Utah no regula a los usuarios de VPN; regula a los sitios web, al declarar que un visitante que está físicamente en Utah cuenta como visitante de Utah sin importar la dirección IP que vea el sitio.

¿Es ilegal usar una VPN en Utah ahora?

No, y tampoco lo era el 6 de mayo. Cada cláusula operativa de la SB 73 nombra a una entidad comercial como la parte obligada. Un residente de Salt Lake City que activa una VPN para usar el Wi-Fi del hotel, conectarse a la red del trabajo, impedir que su ISP perfile su navegación o ver una suscripción de casa mientras viaja no ha hecho nada que la ley contemple.

Lo que la ley cambia es la exposición del sitio web. Antes de la SB 73, un sitio cubierto podía alegar que un visitante que llegaba desde una dirección IP holandesa o canadiense estaba, a sus efectos, en los Países Bajos o en Canadá. Ahora Utah dice que el sitio responde si ese visitante estaba realmente en Utah. Si el sitio puede saberlo es la siguiente pregunta, y es todo el caso.

¿Cómo se supone que un sitio web sabe que estás en Utah si usas una VPN?

En gran medida no puede, y por eso las críticas a la SB 73 llegan desde rincones muy distintos.

La Electronic Frontier Foundation calificó el bloqueo de direcciones VPN como «un juego técnico de golpear topos que probablemente ninguna empresa puede ganar», señalando que los proveedores de VPN añaden direcciones constantemente y que no existe ninguna lista de bloqueo completa. Citada por KUER en mayo, Lia Holland, de Fight for the Future, lo dijo con más crudeza: determinar desde dónde navega el usuario de una VPN de confianza es «literalmente imposible por diseño». NordVPN, preguntada por Gizmodo, describió la ley como una «trampa de responsabilidad» en la que «las plataformas afrontan una exposición financiera real por fallar en una tarea técnica que nadie sabe realizar hoy de forma fiable».

Las razones técnicas no son polémicas. La geolocalización por IP es una inferencia comercial extraída de datos de enrutamiento y registros, no una medición de dónde está un dispositivo, y se equivoca de forma habitual a nivel estatal incluso con conexiones ordinarias. La detección de VPN y proxies depende de listas de direcciones de salida conocidas que van por detrás de la realidad. Y las mismas señales que delatan una VPN de consumo delatan también redes corporativas, redes universitarias, operadores móviles que enrutan el tráfico por pasarelas de otros estados y funciones de privacidad integradas en los navegadores más comunes. Un sitio que bloquea todo lo que parece una VPN bloquea a una gran parte de sus visitantes legítimos, en Utah y en cualquier otro lugar.

Ese es el argumento de Aylo en una frase: la única forma de estar seguro de cumplir en Utah es verificar la edad de todo el mundo, en todas partes, lo que según dijo la empresa al tribunal ahuyentaría hasta al 80 por ciento de sus clientes, o bloquear a cualquiera que pudiera concebiblemente estar en Utah. La respuesta del senador Musselman, citada por KUER, es que «la SB 73 trata de la rendición de cuentas», y que los sitios pueden verificar la edad o confirmar la ubicación «preservando al mismo tiempo las opciones de cifrado para los usuarios».

El tribunal ha dejado ahora constancia de hasta dónde llega realmente esa disputa, y la respuesta es: no muy lejos. De la orden: «La ley exige perfección en la geolocalización, pero las partes coinciden en que los avances tecnológicos actuales no permiten a una entidad (1) detectar perfectamente a los usuarios de VPN/proxy, ni (2) geolocalizar perfectamente desde dónde acceden al sitio todos esos usuarios de VPN/proxy». Utah y Aylo pelearon por todo lo demás en este caso. Por eso no.

La propia respuesta de Utah llegaba por vía reglamentaria, y el texto ya es público. La norma propuesta por la División, R152-78B, publicada en el Utah State Bulletin el 1 de septiembre, define la «ofuscación de la geolocalización» como una VPN, un servidor proxy u otra tecnología que enmascara la ubicación de un dispositivo, y detalla qué significa una detección «comercialmente razonable»: un sistema calculado para identificar con al menos un 95% de precisión si un visitante está en Utah, junto a un estándar separado del 95% para determinar si un visitante es menor de edad. Los sitios pueden analizar «señales latentes», y la norma nombra dos: la latencia de la conexión y la zona horaria configurada en el dispositivo o el navegador. Un visitante marcado como ofuscador recibe un menú de tres opciones: compartir la ubicación de su dispositivo para confirmar que no está en Utah, desactivar la ofuscación y verificar su edad si lo está, o simplemente verificar su edad. Las propias estimaciones de costes de la División van de $0.01 a $0.12 por comprobación de edad y en torno a un centavo por visitante para el filtrado de ubicación.

Léase eso frente al fallo y el calendario se convierte en la historia. La ley, tal como está redactada, exigía perfección; la norma que debía suavizar esa perfección hasta un objetivo del 95% llegó al tribunal demasiado tarde. La nota al pie 73 de la orden lo dice sin rodeos: como la norma propuesta llegó después de los escritos y de la vista oral, «el tribunal no la considera aquí». El plazo de comentarios se cerró el 1 de octubre, con la EFF presentando su oposición. El boletín señala el 8 de octubre como la fecha más temprana en que la norma puede entrar en vigor, a fecha de esta actualización no había aparecido ningún aviso que la hiciera efectiva, y sus disposiciones de ubicación implementan ahora una cláusula que un tribunal federal ha suspendido.

¿Qué falló el juez Barlow el 24 de septiembre?

Aylo Freesites y Aylo Group presentaron la demanda el 22 de abril de 2026 ante el Tribunal de Distrito de los Estados Unidos para el Distrito de Utah, caso 2:26-cv-00340, contra la División de Protección al Consumidor, su directora Katie Hass, el Departamento de Comercio y su directora ejecutiva Margaret Busse. El caso está ante el juez David Barlow. La demanda apunta específicamente a la disposición de ubicación presunta y sostiene, según Deseret News, que la cláusula «transforma lo que nominalmente es una regulación de Utah en un mandato global de facto», en violación de los límites que la Constitución impone a la regulación estatal del comercio interestatal y exterior.

Aylo no impugna la verificación de edad como tal. El Tribunal Supremo zanjó esa cuestión en junio de 2025 en Free Speech Coalition v. Paxton, al confirmar la ley de verificación de edad de Texas. La pretensión de Aylo es más acotada: un estado puede exigir comprobaciones de edad a sus residentes, pero no puede hacer responsable a una empresa extranjera por visitantes a los que no tiene forma fiable de situar dentro del estado.

El 24 de septiembre de 2026, esa pretensión más acotada ganó, en una de sus dos teorías. En una decisión razonada de 40 páginas, el juez Barlow sostuvo que la cláusula de ubicación presunta probablemente viola la cláusula de comercio latente (dormant Commerce Clause), el límite constitucional a que los estados regulen el comercio más allá de sus fronteras, tanto como regulación directa de conducta fuera del estado según la línea ACLU v. Johnson del Décimo Circuito como bajo el test de ponderación de Pike. La ilustración del tribunal es la que conviene recordar: Aylo tiene aproximadamente 28 millones de visitantes mensuales en Estados Unidos, y como la ley exige una certeza que ninguna herramienta puede ofrecer, el único camino seguro sería verificar a todos ellos, estén en Salt Lake City o en Honolulu. Una ley de Utah que obliga a una empresa a tratar a cada estadounidense como un posible habitante de Utah está, concluyó el tribunal, regulando a la nación.

El fiscal general de Utah había alegado que el estado solo exigiría esfuerzos razonables de geolocalización, nunca perfectos. El tribunal lo tomó como sincero y jurídicamente irrelevante: la ley no contiene ningún matiz de razonabilidad, leerlo en el texto exigiría «reescribir, no solo reinterpretar», y el tribunal debe juzgar el texto que aprobó la legislatura, no la política de aplicación que propone el fiscal general. Aylo, por su parte, dijo al tribunal que si la ley estuviera redactada como la defiende el fiscal general, «no estaríamos aquí». Ese intercambio es el mapa más claro de lo que viene: un arreglo legislativo de una sola palabra, alguna forma de «razonable», probablemente pondría fin a la pelea.

El fallo no es una victoria total, y la mayoría de la cobertura aplanó este punto. El juez Barlow rechazó la alegación separada de Aylo de que la cláusula es legislación extraterritorial inadmisible, declinó pronunciarse sobre la cláusula de comercio exterior (Foreign Commerce Clause) y denegó la petición de Aylo de suspender también el deber general de verificación de edad para los visitantes que parecen estar fuera de Utah: «Esta medida no puede concederse». La medida cautelar es preliminar, no una sentencia definitiva, y cubre un apartado de una sola ley.

Un pasaje más merece cita, porque los tribunales federales no suelen decirlo tan claramente. En su sección de antecedentes, la orden señala que las VPN y las herramientas de privacidad de ubicación tienen «fines totalmente legítimos», y los enumera: proteger las comunicaciones en redes públicas, impedir que los sitios web recolecten datos personales y eludir la censura de gobiernos opresivos. Esa frase figura ahora en el registro público del primer caso estadounidense sobre una ley que nombra las VPN.

La cronología, según el expediente y los escritos de las partes:

¿Qué está realmente en vigor hoy en Utah?

Esta es la pregunta que los titulares peor responden, así que aquí va disposición por disposición, a fecha de esta actualización:

De esa tabla se siguen dos cosas. Para una persona con una VPN, el fallo no cambia nada, porque nada en la ley se aplicó nunca a ella. Para los sitios web cubiertos, las obligaciones exigibles hoy son los mismos deberes de verificación de edad que existen en aproximadamente la mitad del país, menos la única cláusula que hacía único a Utah. Si Aylo levantará ahora su bloqueo voluntario de Utah, vigente desde 2023, es una decisión empresarial que la compañía no ha anunciado; la estipulación que congelaba su geobloqueo terminó con el fallo.

¿Qué otros estados están copiando el enfoque de Utah?

La verificación de edad en los sitios para adultos es ya la norma en Estados Unidos. La Age Verification Providers Association contaba al menos 25 estados que habían aprobado leyes de este tipo a febrero de 2026, y los rastreadores actualizados durante el verano sitúan la cifra aún más alta. Utah fue el segundo estado en sumarse, con una ley que entró en vigor el 3 de mayo de 2023 y que llevó a Pornhub a bloquear todo el estado dos días antes. Google Trends mostró que las búsquedas de VPN en Utah se dispararon hasta su máxima popularidad en las primeras horas del 2 de mayo de 2023, como informó Newsweek en su momento. Ese episodio, más que ninguna otra cosa, explica por qué el proyecto de ley de 2026 menciona siquiera las VPN.

Copiar la cláusula de VPN es otra cuestión, y el fallo del 24 de septiembre acaba de hacerla más difícil de recomendar. Legisladores de Michigan propusieron ir mucho más lejos en 2025 con un proyecto que habría obligado a los ISP a bloquear directamente el tráfico de VPN; se estancó en comisión. El proyecto de verificación de edad de Wisconsin contenía originalmente lenguaje sobre VPN que se eliminó en febrero de 2026, antes de que el gobernador vetara el proyecto en abril. La demanda de Aylo afirma que ningún estado había promulgado antes una cláusula de ubicación presunta, y nosotros no encontramos ninguna otra ley promulgada en Estados Unidos que nombre las VPN. Las legislaturas que seguían el caso ya tienen su respuesta: la primera cláusula de ubicación presunta no sobrevivió a su primera solicitud de medida cautelar. La orden incluso esboza lo que sí sobreviviría: una ley que pida esfuerzos razonables de geolocalización en lugar de perfectos. Espera que la próxima ronda de redacción, en la sesión de 2027 de Utah y en otros estados, use esa palabra. California, mientras tanto, está rodeando el problema desde el otro extremo: su Digital Age Assurance Act, efectiva en enero de 2027, hace que el sistema operativo pase a las apps un tramo de edad declarado por los padres, un enfoque que no necesita geolocalización por IP y no menciona las VPN.

¿Qué debería hacer alguien en Utah con su VPN?

Nada, en el sentido de que no ha recaído sobre ti ninguna obligación y no se propone ninguna. Unas cuantas notas prácticas, eso sí, porque los efectos de segundo orden de leyes como esta los sienten los usuarios corrientes y no los sitios a los que apuntan.

1. Mantén la VPN activa para lo que sirve. El cifrado en el Wi-Fi público, una IP estable para la banca y los accesos del trabajo y una barrera entre tu navegación y tu ISP siguen intactos. Si quieres una salida cercana, Le VPN opera un servidor en Salt Lake City junto a sus demás ubicaciones en Estados Unidos, de modo que una conexión desde Utah puede quedarse en Utah.
2. Espera que más sitios cuestionen el tráfico de VPN, en todas partes. La respuesta racional a una regla de responsabilidad sin detección fiable es el sobrebloqueo. Si un sitio que no tiene nada que ver con Utah empieza a rechazar tu conexión VPN, es el reflejo de cumplimiento extendiéndose, no una señal de que tu VPN esté haciendo algo mal. Cambiar de servidor suele bastar.
3. No tomes la ley como un rompecabezas por resolver. La SB 73 prohíbe a los sitios cubiertos enseñar a los visitantes cómo sortear las comprobaciones de edad, y este artículo no va a hacerlo por ellos. La verificación de edad para el contenido adulto es constitucional y ha llegado para quedarse; la cuestión abierta en Utah es solo quién carga con el peso cuando las herramientas no pueden saber dónde está una persona.
4. Vigila la ventana de apelación y la sesión de 2027, no el 22 de octubre. Las fechas que este artículo te decía antes que vigilaras ya están gastadas: el fallo llegó el 24 de septiembre y dejó sin objeto el plazo de la tregua del 22 de octubre. Lo que sigue vivo es si Utah apela ante el Décimo Circuito antes de que su ventana de unos 30 días se cierre en torno al 26 de octubre, si la División finaliza la norma R152-78B ahora que su mitad de ubicación implementa una cláusula bloqueada, y si la legislatura reescribe la ley con un estándar de razonabilidad cuando se reúna a finales de enero.

Si quieres el mapa más amplio de dónde están restringidas las VPN y dónde simplemente están reguladas, nuestra guía país por país sobre la legalidad de las VPN en 2026 lo cubre, y nuestra página sobre Estados Unidos enumera las ubicaciones de servidores en EE. UU. Como paralelo europeo, el regulador francés pasó el año pasado por una batalla muy similar sobre las comprobaciones de edad en sitios para adultos; contamos cómo se desarrolló, incluida la misma dinámica de sobrebloqueo que Utah está importando ahora.

La versión corta para pasar a quien te envíe el titular: la cláusula de VPN de Utah regulaba a los sitios web y no a las personas, un juez federal la ha bloqueado porque exigía una perfección que ninguna tecnología puede ofrecer, el resto de la ley se mantiene, y los próximos movimientos le tocan a Utah, en un tribunal de apelaciones o en la legislatura del año que viene.