El 4 de agosto de 2026, la Corte de Apelaciones del Noveno Circuito de EE. UU. anuló la orden de restricción preliminar que desde marzo impedía al navegador agente Perplexity Comet acceder a las cuentas de los usuarios en Amazon. Formalmente, se trata de una disputa entre dos corporaciones sobre compras a través de IA. De hecho, es la primera decisión de apelación que responde a una pregunta importante más allá del comercio de agentes: quién exactamente "accede" al servidor ajeno cuando una automatización envía una solicitud. Y la respuesta de la corte inesperadamente se centró no en el derecho, sino en la arquitectura de la red.
Qué ocurrió: desde la demanda hasta la anulación de la restricción
La cronología de la disputa es la siguiente:
- Noviembre de 2025 — Amazon presenta una demanda contra Perplexity AI, citando la Ley Federal de Fraude y Abuso Informático (CFAA) y su equivalente en California. La reclamación: el agente Comet inicia sesión en las cuentas de los usuarios, revisa productos e inicia compras, es decir, opera en una zona protegida por contraseña sin la autorización de la propia plataforma.
- Antecedentes — según Amazon, la compañía advirtió a Perplexity al menos cinco veces desde noviembre de 2024, en agosto de 2025 estableció una barrera técnica, y Perplexity lanzó una actualización que la eludía en menos de 24 horas. Una crítica adicional: el agente se disfrazaba como una sesión normal de Google Chrome.
- 9 de marzo de 2026 — la jueza Maxine Chesney (Distrito Norte de California) emite una orden de restricción preliminar y ordena destruir los datos obtenidos de Amazon. Su fórmula: el acceso se realizó con el permiso del usuario de Amazon, pero sin la autorización de Amazon.
- 4 de agosto de 2026 — el Noveno Circuito (caso n.º 26-1444) anula la restricción: es poco probable que Amazon gane en cuanto a las reclamaciones de CFAA.
Amazon declaró que no está de acuerdo con la decisión y continuará la disputa. Perplexity respondió que defenderá el derecho de los usuarios a elegir cualquier IA. El caso, sin embargo, no ha desaparecido: el litigio en el tribunal de primera instancia continúa, y Amazon puede solicitar una revisión o apelar a instancias superiores.
El movimiento clave: el agente es una herramienta, no una persona
La CFAA castiga el acceso a un "computador protegido" sin autorización. Toda la disputa se redujo a un solo verbo: quién realizó el acto de acceso. Amazon decía — Perplexity, porque su agente actuaba en la plataforma. Perplexity respondía — el usuario, quien dio la orden al agente.
La corte de apelaciones se posicionó en el segundo argumento y lo formuló claramente: por avanzado que sea un agente, para los fines de la ley "es una herramienta, no una persona". Cuando un usuario encarga a un agente que haga algo en Amazon.com, el acceso a las computadoras de Amazon lo realiza el propio usuario.
Esta es una continuación lógica de la línea del Tribunal Supremo en el caso Van Buren v. Estados Unidos (2021), que restringió la CFAA: la ley castiga la intrusión en lugares donde no hay acceso en absoluto, y no el uso de un acceso legal "fuera de propósito". Un usuario de Amazon tiene una cuenta y el derecho a acceder a ella. La herramienta que utiliza para hacerlo no se convierte en un sujeto de hacking por sí misma.
Por qué la arquitectura del tráfico decidió todo
La parte más interesante de la decisión para los profesionales es la técnica. La corte examinó cómo está físicamente estructurado Comet Assistant, y esto fue lo que determinó el resultado.
El esquema de funcionamiento es el siguiente: el agente toma capturas de pantalla de la ventana del navegador en la máquina del usuario, las envía a los servidores de Perplexity, y desde allí llegan instrucciones de navegación — de vuelta a la computadora del usuario, que ejecuta las acciones. Los servidores de Perplexity no se comunican directamente con los servidores de Amazon. Todo el tráfico que Amazon ve proviene del dispositivo y la dirección IP del propio usuario.
De aquí proviene la conclusión de la corte. Si la solicitud proviene físicamente del usuario, entonces el "acceso" en el sentido de la CFAA lo realizó él.
En qué se diferencia de Power Ventures
Hasta ahora, la historia canónica sobre el acceso de terceros con el consentimiento del usuario era el caso Facebook v. Power Ventures (2016). Allí, la corte decidió que la plataforma puede revocar el acceso a un servicio externo, incluso si los usuarios le han proporcionado voluntariamente sus credenciales. Este precedente fue el que utilizó la jueza de primera instancia, extendiéndolo a los agentes de IA.
El Noveno Circuito separó estos casos por un criterio — y nuevamente por un aspecto arquitectónico. En Power Ventures, los sistemas del propio demandado enviaban mensajes directamente a la plataforma de Facebook, eludiendo la máquina del usuario. Perplexity no tiene tal canal. Diferente topología de tráfico — diferente respuesta a la pregunta "quién accedió".
El sentido práctico de esta distinción es difícil de sobreestimar. Significa que el diseño del sistema — el agente cliente en el dispositivo del usuario o el servicio en servidor que accede a la plataforma desde sí mismo — dejó de ser una elección puramente ingenieril y se convirtió en un argumento legal.
Qué NO hizo la decisión
La corte se esforzó por limitar al máximo el radio de acción y dejó claro que no crea un nuevo régimen legal para la IA de agentes. Lo que quedó fuera de discusión:
- Violación del acuerdo de usuario. Las reclamaciones derivadas del contrato, el delito y las reglas de la plataforma no se cierran con la decisión — pueden presentarse por separado.
- Demandas contra los propios usuarios. Si el acceso lo realiza el usuario, la plataforma puede elegirlo como destinatario de las reclamaciones.
- Arquitecturas de servidor. La conclusión se hizo bajo un esquema específico. Un scraper en la nube o un agente SaaS que accede a la plataforma desde su propia infraestructura no se incluye automáticamente en esta lógica.
- Bloqueos técnicos. Ninguna palabra en la decisión prohíbe a Amazon detectar y cortar la automatización. El derecho a bloquear no ha desaparecido — ha desaparecido la posibilidad de respaldar el bloqueo con un artículo penal.
Esto, por cierto, representa un giro en la imagen habitual: antes, el riesgo legal recaía en quien automatizaba, y la protección técnica se consideraba una segunda línea. Ahora, para las plataformas, la protección técnica se ha convertido en la primera línea.
Qué cambia en la práctica
Para todos los que recopilan datos, automatizan cuentas o construyen agentes, la decisión implica tres conclusiones operativas.
1. El punto de salida del tráfico adquirió peso legal
Antes, la elección entre "dirigir todo a través de nuestro centro de datos" y "trabajar desde direcciones indistinguibles de las del usuario" era una cuestión de viabilidad y costo. Ahora es también una cuestión de quién se considera que realiza la solicitud. La arquitectura en la que la solicitud a la plataforma proviene del lado del usuario resultó ser más defendible en la corte — y a su vez, históricamente, pasa mejor los filtros anti-bots. Este es un caso raro en el que el estímulo legal y técnico coincide y apunta en la misma dirección: hacia proxies residenciales y puntos de salida de usuario en lugar de subredes de servidor. Para tareas neutrales como la monitorización de precios públicos o la verificación de resultados por regiones, todavía son suficientes proxies de centro de datos — allí no hay zona de inicio de sesión ni disputa sobre la cuenta de nadie.
2. La CFAA se debilitó — el contrato y la detección se fortalecieron
No se debe leer la decisión como "ahora se puede". Se eliminó el garrote más pesado — el artículo federal con potencial penal. Quedan el acuerdo de usuario, el bloqueo de cuentas, la demanda civil y, lo más importante, el stack anti-bots. Las plataformas, al perder parte de su palanca legal, compensarán esto con detección: fingerprinting, análisis de comportamiento y agentes firmados. Sobre cómo la industria intenta legalizar "buenos" bots mediante medios técnicos, hemos analizado en el material sobre Web Bot Auth y agentes firmados.
3. El riesgo se trasladó al usuario final
El reverso de la victoria de Perplexity: si actúa el usuario, también responde el usuario. Para los servicios que ofrecen automatización a los clientes como producto, esto es un motivo para comunicar claramente en la documentación de quién es el nombre y desde qué IP se realizan las acciones y qué reglas de las plataformas se ven afectadas.
Qué hacer ahora mismo
- Describe tu topología de acceso. Responde a una pregunta: ¿cuya IP ve la plataforma objetivo en los registros — la de tu servidor o la del usuario? De esto depende tanto la posición legal como el perfil de detección.
- Separa lo público de lo autenticado. La recopilación de páginas abiertas y las acciones dentro de la cuenta ajena son historias fundamentalmente diferentes en términos de riesgo. No es recomendable mezclarlas en un mismo pipeline.
- No te enmascares agresivamente después de una prohibición directa. En este caso, precisamente el eludir la barrera establecida y suplantar al cliente como Chrome le dieron a Amazon los hechos más contundentes. La reclamación de CFAA se desmoronó, pero los demás fundamentos permanecen vivos.
- Elige el tipo de salida según la tarea. La parte práctica — cómo levantar un agente en Playwright o MCP y encaminar correctamente su tráfico — la hemos analizado en detalle en la guía sobre proxies para agentes de IA.
Conclusión
El Noveno Circuito no legalizó la automatización ni otorgó a los agentes un pase para cualquier lugar. Hizo algo más restringido, pero más importante: vinculó el concepto de "acceso" a la fuente física de la solicitud. La herramienta que opera en la máquina del usuario no realiza el acceso — lo realiza la persona. La infraestructura que accede a la plataforma desde sí misma permanece en la zona de viejos riesgos.
Para el mercado, esto significa un desplazamiento del centro de gravedad. La disputa legal sobre si "se puede" se centrará cada vez más en la cuestión ingenieril de "cuya dirección está en el registro". Y la lucha por el acceso finalmente se traslada a donde ha estado todo este tiempo: en la detección anti-bots, el fingerprinting y la calidad de los puntos de salida.
```