La ley de VPN de Utah no entró en vigor hoy: qué hace realmente la SB 73 con los usuarios de VPN

Si esta semana leíste la prensa tecnológica, viste alguna versión del mismo titular: la primera ley estadounidense dirigida al uso de VPN entra en vigor el 3 de septiembre. Esa es la fecha que Gizmodo puso en su titular del 31 de agosto, y es la fecha que se propagó por foros y redes sociales durante el fin de semana. También es errónea, en dos direcciones a la vez.

El Proyecto de Ley 73 del Senado de Utah está en vigor desde el 6 de mayo de 2026. Su disposición sobre VPN lleva cuatro meses siendo ley. Lo que estaba previsto que terminara el 3 de septiembre no era la latencia de la ley, sino una tregua judicial: la promesa de Utah de no aplicar la cláusula de VPN contra una sola empresa, Aylo, la operadora de Pornhub, mientras un juez federal evalúa la impugnación de la compañía. Y esa tregua se prorrogó el 27 de agosto, una semana antes de que se publicaran los titulares. Hoy no cambió nada para nadie en Utah con una app de VPN en el teléfono.

Esto es lo que dice el proyecto de ley, a quién obliga, en qué punto está el caso y qué significa todo ello para una persona que usa una VPN.

¿Entró en vigor la ley de VPN de Utah el 3 de septiembre?

No. La confusión viene de mezclar dos documentos.

El primero es la ley en sí. La SB 73, las Enmiendas sobre Verificación de Edad en Línea, fue impulsada por el senador Calvin Musselman y el representante Steve Eliason y firmada por el gobernador Spencer Cox el 19 de marzo de 2026. La sección 22 del texto promulgado fija su fecha de entrada en vigor: el 6 de mayo de 2026, con un puñado de disposiciones fiscales que siguen el 1 de octubre. El lenguaje sobre VPN está en la sección 14, que modifica el Código de Utah 78B-3-1002, y lleva la fecha del 6 de mayo como todo lo demás.

El segundo documento es una estipulación conjunta presentada ante un tribunal federal el 27 de abril de 2026, cinco días después de que Aylo demandara. En ella, la División de Protección al Consumidor de Utah y el Departamento de Comercio de Utah acordaron abstenerse de aplicar la «disposición de ubicación presunta» (Deemed-Location Provision) contra Aylo y sus filiales «hasta el 3 de septiembre de 2026, es decir, 120 días después de la fecha en que la disposición estaba prevista que entrara en vigor». Aylo, por su parte, se comprometió a no modificar su geobloqueo actual en Utah, lo que significa que Pornhub y sus sitios hermanos seguirían bloqueados para las direcciones IP de Utah, como lo están desde 2023.

De ahí sale la fecha del 3 de septiembre. Nunca fue una fecha de entrada en vigor. Era el vencimiento de una promesa de no aplicación hecha a un solo litigante. Y según el expediente judicial, el 27 de agosto las partes presentaron una nueva «Estipulación conjunta de prórroga de la no aplicación», que el tribunal dio por recibida al día siguiente. Como informó XBIZ el 28 de agosto, la prórroga llega hasta el 22 de octubre de 2026 o hasta que el tribunal resuelva la solicitud de medida cautelar de Aylo, lo que ocurra primero. La estipulación justifica el tiempo adicional por un proceso reglamentario de Utah: «este Periodo de Abstención Continuada permite a los demandantes participar en ese proceso reglamentario sin la amenaza de responsabilidad mientras tanto».

Así que la frase exacta es más larga de lo que permite un titular. La cláusula de VPN es ley, y lo es desde mayo. Utah ha prometido no usarla contra Aylo hasta finales de octubre. Para cualquier otro sitio web cubierto, la cláusula se aplica técnicamente desde el 6 de mayo, aunque no encontramos ningún registro público de que la División haya abierto una acción de aplicación contra ningún sitio por tráfico de VPN.

¿Qué exige realmente la SB 73, y a quién?

Utah exige verificación de edad en los sitios para adultos desde 2023. La SB 73 reconstruye ese régimen: añade la aplicación pública por parte de la División de Protección al Consumidor junto al derecho privado a demandar que ya existía, añade multas, crea un impuesto especial sobre los sitios cubiertos y añade dos párrafos sobre las VPN. Esos dos párrafos, en el texto promulgado, dicen lo siguiente.

La regla de ubicación presunta, nuevo apartado (3) del 78B-3-1002: «Se considera que un individuo accede al sitio web desde este estado si el individuo se encuentra realmente en el estado, con independencia de que el individuo esté usando una red privada virtual, un servidor proxy u otros medios para ocultar o falsear la ubicación geográfica del individuo y hacer que parezca que el individuo accede a un sitio web desde un lugar fuera de este estado».

La prohibición de facilitación, nuevo apartado (4): un sitio cubierto «no puede facilitar ni fomentar el uso de una red privada virtual, un servidor proxy u otros medios para eludir los requisitos de verificación de edad», incluido el hecho de proporcionar «instrucciones sobre cómo usar una red privada virtual o un servidor proxy para acceder al sitio web» o «medios para que los individuos de este estado eludan el geobloqueo o el bloqueo».

Ambas reglas se dirigen a una «entidad comercial que opera un sitio web que contiene una porción sustancial de material nocivo para menores». Porción sustancial tiene una cifra: más del 33 1/3 por ciento del material total del sitio. Un sitio que se presenta como principalmente para adultos, o que usa un dominio de temática adulta, se presume que cruza esa línea.

Las sanciones apuntan a la misma entidad. Según la nueva sección 78B-3-1004, el director de la División puede imponer una multa administrativa de hasta $2,500 por cada infracción, y un tribunal puede añadir una sanción civil de hasta $2,500 por infracción, restitución de beneficios, medidas cautelares y daños reales, más hasta $5,000 por infracción por desobedecer una orden. La sección 78B-3-1002(6) exime a los proveedores de acceso a internet, los buscadores y los proveedores de nube por el mero transporte del tráfico, y el apartado (5) exime el contenido genuino de noticias y de interés público.

Fíjate en lo que falta. No hay definición de «usuario de VPN», ningún deber impuesto a un proveedor de VPN, y ninguna multa, delito ni responsabilidad civil para un individuo que se conecta a través de una VPN. La versión para citar: la SB 73 de Utah no regula a los usuarios de VPN; regula a los sitios web, al declarar que un visitante que está físicamente en Utah cuenta como visitante de Utah sin importar la dirección IP que vea el sitio.

¿Es ilegal usar una VPN en Utah ahora?

No, y tampoco lo era el 6 de mayo. Cada cláusula operativa de la SB 73 nombra a una entidad comercial como la parte obligada. Un residente de Salt Lake City que activa una VPN para usar el Wi-Fi del hotel, conectarse a la red del trabajo, impedir que su ISP perfile su navegación o ver una suscripción de casa mientras viaja no ha hecho nada que la ley contemple.

Lo que la ley cambia es la exposición del sitio web. Antes de la SB 73, un sitio cubierto podía alegar que un visitante que llegaba desde una dirección IP holandesa o canadiense estaba, a sus efectos, en los Países Bajos o en Canadá. Ahora Utah dice que el sitio responde si ese visitante estaba realmente en Utah. Si el sitio puede saberlo es la siguiente pregunta, y es todo el caso.

¿Cómo se supone que un sitio web sabe que estás en Utah si usas una VPN?

En gran medida no puede, y por eso las críticas a la SB 73 llegan desde rincones muy distintos.

La Electronic Frontier Foundation calificó el bloqueo de direcciones VPN como «un juego técnico de golpear topos que probablemente ninguna empresa puede ganar», señalando que los proveedores de VPN añaden direcciones constantemente y que no existe ninguna lista de bloqueo completa. Citada por KUER en mayo, Lia Holland, de Fight for the Future, lo dijo con más crudeza: determinar desde dónde navega el usuario de una VPN de confianza es «literalmente imposible por diseño». NordVPN, preguntada por Gizmodo, describió la ley como una «trampa de responsabilidad» en la que «las plataformas afrontan una exposición financiera real por fallar en una tarea técnica que nadie sabe realizar hoy de forma fiable».

Las razones técnicas no son polémicas. La geolocalización por IP es una inferencia comercial extraída de datos de enrutamiento y registros, no una medición de dónde está un dispositivo, y se equivoca de forma habitual a nivel estatal incluso con conexiones ordinarias. La detección de VPN y proxies depende de listas de direcciones de salida conocidas que van por detrás de la realidad. Y las mismas señales que delatan una VPN de consumo delatan también redes corporativas, redes universitarias, operadores móviles que enrutan el tráfico por pasarelas de otros estados y funciones de privacidad integradas en los navegadores más comunes. Un sitio que bloquea todo lo que parece una VPN bloquea a una gran parte de sus visitantes legítimos, en Utah y en cualquier otro lugar.

Ese es el argumento de Aylo en una frase: la única forma de estar seguro de cumplir en Utah es verificar la edad de todo el mundo, en todas partes, lo que según dijo la empresa al tribunal ahuyentaría hasta al 80 por ciento de sus clientes, o bloquear a cualquiera que pudiera concebiblemente estar en Utah. La respuesta del senador Musselman, citada por KUER, es que «la SB 73 trata de la rendición de cuentas», y que los sitios pueden verificar la edad o confirmar la ubicación «preservando al mismo tiempo las opciones de cifrado para los usuarios».

La propia respuesta de Utah está llegando por vía reglamentaria. La SB 73 autoriza a la División a fijar estándares de verificación de edad mediante una norma, con un puerto seguro para los sitios que los cumplan. La norma propuesta por la División, R152-78B, está abierta a comentarios públicos hasta el 1 de octubre y se espera que entre en vigor el 8 de octubre, y según XBIZ incluye estándares sobre la «ofuscación de la geolocalización». Lo que esos estándares exijan a un sitio decidirá si la cláusula de ubicación presunta es un objetivo de cumplimiento viable o uno imposible.

¿De qué trata la demanda de Aylo y cuándo fallará el juez?

Aylo Freesites y Aylo Group presentaron la demanda el 22 de abril de 2026 ante el Tribunal de Distrito de los Estados Unidos para el Distrito de Utah, caso 2:26-cv-00340, contra la División de Protección al Consumidor, su directora Katie Hass, el Departamento de Comercio y su directora ejecutiva Margaret Busse. El caso está ante el juez David Barlow. La demanda apunta específicamente a la disposición de ubicación presunta y sostiene, según Deseret News, que la cláusula «transforma lo que nominalmente es una regulación de Utah en un mandato global de facto», en violación de los límites que la Constitución impone a la regulación estatal del comercio interestatal y exterior.

Aylo no impugna la verificación de edad como tal. El Tribunal Supremo zanjó esa cuestión en junio de 2025 en Free Speech Coalition v. Paxton, al confirmar la ley de verificación de edad de Texas. La pretensión de Aylo es más acotada: un estado puede exigir comprobaciones de edad a sus residentes, pero no puede hacer responsable a una empresa extranjera por visitantes a los que no tiene forma fiable de situar dentro del estado.

La cronología hasta ahora, según el expediente y los escritos de las partes:

No hay fecha anunciada para el fallo sobre la medida cautelar. La transcripción de la audiencia del 30 de julio se presentó el 27 de agosto, y las partes plantearon la prórroga en torno a dejar que la norma se apruebe antes de que el caso avance. Espera las próximas noticias reales en octubre, no en septiembre.

¿Qué otros estados están copiando el enfoque de Utah?

La verificación de edad en los sitios para adultos es ya la norma en Estados Unidos. La Age Verification Providers Association contaba al menos 25 estados que habían aprobado leyes de este tipo a febrero de 2026, y los rastreadores actualizados durante el verano sitúan la cifra aún más alta. Utah fue el segundo estado en sumarse, con una ley que entró en vigor el 3 de mayo de 2023 y que llevó a Pornhub a bloquear todo el estado dos días antes. Google Trends mostró que las búsquedas de VPN en Utah se dispararon hasta su máxima popularidad en las primeras horas del 2 de mayo de 2023, como informó Newsweek en su momento. Ese episodio, más que ninguna otra cosa, explica por qué el proyecto de ley de 2026 menciona siquiera las VPN.

Copiar la cláusula de VPN es otra cuestión. Legisladores de Michigan propusieron ir mucho más lejos en 2025 con un proyecto que habría obligado a los ISP a bloquear directamente el tráfico de VPN; se estancó en comisión. El proyecto de verificación de edad de Wisconsin contenía originalmente lenguaje sobre VPN que se eliminó en febrero de 2026, antes de que el gobernador vetara el proyecto en abril. La demanda de Aylo afirma que ningún estado había promulgado antes una cláusula de ubicación presunta, y nosotros no encontramos ninguna otra ley promulgada en Estados Unidos que nombre las VPN. Las legislaturas que, según se informa, siguen el caso están esperando a ver si la cláusula de ubicación presunta sobrevive a la solicitud de medida cautelar antes de redactar las suyas. En ese sentido Utah es un caso de prueba: el resultado en el tribunal del juez Barlow se leerá en dos docenas de capitales más.

¿Qué debería hacer alguien en Utah con su VPN?

Nada, en el sentido de que no ha recaído sobre ti ninguna obligación y no se propone ninguna. Unas cuantas notas prácticas, eso sí, porque los efectos de segundo orden de leyes como esta los sienten los usuarios corrientes y no los sitios a los que apuntan.

1. Mantén la VPN activa para lo que sirve. El cifrado en el Wi-Fi público, una IP estable para la banca y los accesos del trabajo y una barrera entre tu navegación y tu ISP siguen intactos. Si quieres una salida cercana, Le VPN opera un servidor en Salt Lake City junto a sus demás ubicaciones en Estados Unidos, de modo que una conexión desde Utah puede quedarse en Utah.
2. Espera que más sitios cuestionen el tráfico de VPN, en todas partes. La respuesta racional a una regla de responsabilidad sin detección fiable es el sobrebloqueo. Si un sitio que no tiene nada que ver con Utah empieza a rechazar tu conexión VPN, es el reflejo de cumplimiento extendiéndose, no una señal de que tu VPN esté haciendo algo mal. Cambiar de servidor suele bastar.
3. No tomes la ley como un rompecabezas por resolver. La SB 73 prohíbe a los sitios cubiertos enseñar a los visitantes cómo sortear las comprobaciones de edad, y este artículo no va a hacerlo por ellos. La verificación de edad para el contenido adulto es constitucional y ha llegado para quedarse; la cuestión abierta en Utah es solo quién carga con el peso cuando las herramientas no pueden saber dónde está una persona.
4. Vigila octubre, no septiembre. El plazo de comentarios sobre la norma es el 1 de octubre, la norma puede entrar en vigor el 8 de octubre y la tregua de aplicación con Aylo termina el 22 de octubre salvo que el tribunal falle antes. Cualquiera de esas fechas podría cambiar el panorama práctico, y ninguna ocurrió esta semana.

Si quieres el mapa más amplio de dónde están restringidas las VPN y dónde simplemente están reguladas, nuestra guía país por país sobre la legalidad de las VPN en 2026 lo cubre, y nuestra página sobre Estados Unidos enumera las ubicaciones de servidores en EE. UU. Como paralelo europeo, el regulador francés pasó el año pasado por una batalla muy similar sobre las comprobaciones de edad en sitios para adultos; contamos cómo se desarrolló, incluida la misma dinámica de sobrebloqueo que Utah está importando ahora.

La versión corta para pasar a quien te envíe el titular: la ley de VPN de Utah es real, está en vigor desde mayo, regula a los sitios web y no a las personas, y la próxima fecha que importa es el 22 de octubre.