El 24 de septiembre de 2026, el juez federal en Utah, David Barlow, suspendió la parte de la ley SB 73 que requería que los sitios identificaran la ubicación real del visitante, incluso a través de VPN o proxy. El principal argumento del tribunal se formuló casi de manera ingenieril: no existe una geolocalización ideal por IP en la actualidad, y la ley exigía precisamente eso. A finales de octubre, el Ofcom británico debe emitir sus recomendaciones sobre la detección de VPN. A continuación, analizamos lo que decidió el tribunal, cómo se diferencia de la posición del Reino Unido y qué cambia para aquellos que trabajan con servicios dependientes de la geolocalización, scraping y proxies.
Qué decidió el tribunal en Utah
La demanda fue presentada por Aylo (propietario de Pornhub y otros sitios para adultos), caso Aylo Freesites Ltd v. Utah, nº 2:26-cv-00340. Se vio afectada una norma: la sección 78B-3-1002(3), añadida por enmiendas de 2026. Esta consideraba a un visitante que se encontraba físicamente en Utah como residente del estado, incluso si su ubicación estaba oculta por VPN o proxy. El sitio era responsable de dicho usuario.
El tribunal emitió una orden judicial preliminar. Los principales argumentos fueron:
- No hay una cláusula de "esfuerzos razonables" en la norma. Formalmente, el sitio es responsable de cada usuario que se le escape, es decir, debe geolocalizar a todos sin errores. Ambas partes coincidieron en que la geolocalización ideal es imposible.
- Carga sobre el comercio fuera del estado. Dado que no se puede distinguir con precisión a un residente de Utah detrás de una VPN de un residente de Seattle o Shanghái, el sitio tendría que verificar la edad de todos los visitantes del mundo. En la decisión se menciona una cifra: Aylo tendría que verificar 28 millones de usuarios. El tribunal consideró que esto probablemente viola la llamada cláusula de comercio "dormant" de la Constitución de EE. UU. (dormant Commerce Clause).
- El estado tiene formas menos gravosas de proteger a los menores.
Utah argumentó que la ley no exige perfección, sino medidas razonables: el probable uso de VPN se puede calcular, y la ubicación se puede deducir de la configuración del dispositivo y la actividad de la cuenta. El tribunal respondió que analiza el texto de la ley, aprobado por la legislatura, y no cómo el fiscal general propone aplicarla.
Qué se mantiene en vigor
- La obligación principal de los sitios para adultos de verificar la edad "por métodos razonables" sigue vigente.
- La prohibición a dichos sitios de informar cómo eludir la verificación a través de VPN, que Aylo no impugnó, también se mantiene.
- No se pueden aplicar las reglas de ejecución R152-78B, publicadas el 1 de septiembre y que podrían entrar en vigor el 8 de octubre, mientras dure la prohibición del tribunal.
- Las partes acordaron posponer el proceso hasta el final de la sesión legislativa de Utah en 2027: se espera que la ley sea reescrita.
Contexto: las leyes de verificación de edad para contenido para adultos han sido aprobadas en 27 estados de EE. UU. (hasta agosto de 2026), pero solo Utah intentó obligar directamente a los sitios a identificar a los usuarios detrás de VPN. Cómo se veía esta norma antes del tribunal y por qué empujaba a los sitios a bloquear IP de manera masiva, lo analizamos en el artículo sobre el SCREEN Act y Utah SB 73.
Por qué la IP no indica dónde está la persona
La conclusión del tribunal es técnicamente correcta y va mucho más allá de los sitios para adultos. La geolocalización por IP es una estimación probabilística basada en una base de datos, no una medición. El sitio solo ve la dirección desde la que llegó la solicitud. Si el tráfico pasa a través de una VPN o proxy, esta es la dirección del servidor intermedio o del dispositivo ajeno.
Aún sin VPN, la precisión no es alta. Según los datos de MaxMind (una de las bases de datos geográficas más grandes), para EE. UU. en un radio de 50 km, se determina correctamente alrededor del 60% de las direcciones IP, otro 33% están vinculadas a la ciudad, pero fallan en más de 50 km, y para 7% no hay datos a nivel de ciudad. La empresa aclara que no garantiza la precisión en el futuro.
El error se compone de varias capas:
- Vinculación de bloques a la región de registro. Un proveedor puede registrar un bloque en una ciudad y distribuirlo a sus abonados en otra.
- NAT móvil. En los operadores móviles, muchos abonados comparten una misma IP pública, y la salida a Internet a menudo se realiza a través de un nodo en otra región.
- Redes corporativas y nubes. Un empleado en Utah con una VPN de oficina aparece como un usuario de la sede en California o de un centro de datos.
- Retraso en la actualización de bases. Los bloques cambian entre proveedores y países, y las bases tardan semanas en actualizarse.
Por lo tanto, cualquier exigencia de "determinar con precisión" se enfrenta a la física de la red. El tribunal de Utah se convirtió, de hecho, en el primer tribunal que documentó esto en una decisión sobre VPN.
El Reino Unido sigue un camino diferente
En el Reino Unido, la verificación de edad según la Ley de Seguridad en Línea está en vigor desde el 25 de julio de 2025, con multas que alcanzan los £18 millones o el 10% de los ingresos globales. La reacción de los usuarios fue inmediata: las registraciones de Proton VPN desde el Reino Unido aumentaron un 1400% el día en que entraron en vigor las reglas, y la aplicación superó brevemente a ChatGPT en la App Store británica.
La posición de las autoridades es, sin embargo, más cautelosa que la estadounidense:
- El 15 de julio de 2026, la ministra de tecnología, Liz Kendall, declaró en el parlamento que el gobierno no prohibirá las VPN ni introducirá verificación de edad para ellas.
- Ofcom afirma claramente que la ley no le otorga el derecho de exigir el bloqueo de VPN.
- En un informe de julio de 2026, el regulador reconoció que ningún método de verificación de edad elimina completamente el elusión, y recomienda un enfoque de múltiples niveles que involucre tiendas de aplicaciones y control a nivel de dispositivo.
- Al mismo tiempo, se ha encargado a Ofcom que antes de finales de octubre de 2026 emita recomendaciones sobre lo que los servicios pueden hacer para detectar y prevenir el uso de VPN.
Es decir, el modelo británico no es "geolocaliza perfectamente bajo amenaza de multa", sino "toma medidas razonables". Los análisis de la industria ya describen para los servicios un esquema de tres estados: usuario claramente del Reino Unido (aplicamos requisitos), claramente no del Reino Unido (fuera de la ley) y "ubicación no verificable" — una decisión separada sobre el riesgo, por ejemplo, verificar la edad de todos en este grupo.
Cómo los sitios detectarán VPN y proxies
Ni el tribunal estadounidense ni el regulador británico anulan el hecho de que los sitios continuarán marcando tráfico sospechoso. El conjunto típico de señales es:
- ASN de hosting. Las direcciones de rangos de nubes y centros de datos (AWS, Hetzner, OVH, M247 y similares) son las primeras en ser marcadas: los usuarios domésticos normales no provienen de ellas.
- Listas de servidores VPN. Muchos VPN publican las direcciones de sus servidores, y las demás son fáciles de recopilar al conectarse al servicio.
- Densidad de usuarios en IP. Cientos de cuentas diferentes desde una misma dirección en poco tiempo indican un nodo de salida.
- Incongruencias. La zona horaria del navegador, el idioma del sistema, la distribución, la localización de la tarjeta de pago frente al país de la IP.
- Señales de comportamiento y de cuenta — exactamente a lo que se refirió Utah en el tribunal.
Es importante que todos estos métodos proporcionan probabilidades, no pruebas. Los falsos positivos son inevitables: se ven afectados empleados con VPN corporativas, abonados de operadores móviles, viajeros y sistemas automatizados que necesitan geolocalización para negocios.
Qué significa esto para los negocios que trabajan con geolocalización
La decisión afecta a los sitios para adultos, pero las consecuencias son más amplias. La geolocalización por IP se utiliza para la fijación de precios, licencias de contenido, antifraude, verificación publicitaria y monitoreo de resultados. Algunas conclusiones prácticas.
Si usted es propietario de un servicio
- No construya el cumplimiento de requisitos sobre una sola base de datos geográfica. Incluso sin VPN, cada tercera dirección en EE. UU. puede estar vinculada a una ciudad incorrecta. Para decisiones con consecuencias legales, se necesita un registro de qué "medidas razonables" ha tomado.
- Considere un tercer estado "no sé". El binario "nuestro región / no nuestro" funciona mal con tráfico móvil y corporativo.
- Verifique múltiples fuentes. Diferentes bases pueden diferir en la misma dirección. Cómo se diferencian IPQS, Scamalytics, IPinfo y otros verificadores, lo comparamos en direcciones reales.
Si usted recopila datos o verifica publicidad por regiones
- Las direcciones de centros de datos serán las primeras en ser bloqueadas. La ola de leyes sobre verificación de edad y las recomendaciones de los reguladores empujan a los sitios a bloquear ASN de hosting por completo. Para tareas donde necesita ver el sitio a través de los ojos de un usuario local, son adecuados proxies residenciales con selección de país y ciudad: la dirección pertenece a un proveedor doméstico de la región necesaria.
- Las direcciones móviles son más resistentes a los bloqueos, pero peores en precisión de ciudad. Debido al NAT del operador, el sitio ve una dirección única para muchos abonados, por lo que bloquearla es costoso. Si la región es importante y no la ciudad exacta, los proxies móviles son una opción confiable.
- Verifique dónde "está" su IP en varias bases. El sitio puede estar utilizando una base diferente a la de su verificador y ver otra región. Antes de una recopilación masiva, realice solicitudes de prueba y compare qué versión local devuelve el sitio objetivo.
- Mantenga la huella del navegador en concordancia con la IP. La zona horaria, el idioma y la localización deben coincidir con el país de salida: las incongruencias se detectan con más frecuencia que la IP misma.
Qué sigue
Los próximos eventos a los que hay que estar atentos:
- Finales de octubre de 2026 — recomendaciones de Ofcom sobre la detección de VPN. La pregunta principal: ¿habrá métodos técnicos específicos en ellas o permanecerá la fórmula de "medidas razonables"?
- Sesión legislativa de Utah de 2027 — es probable que la ley se reescriba con una cláusula sobre esfuerzos razonables. Entonces, la disputa se trasladará de "¿se puede exigir la perfección?" a "¿qué se considera razonable?".
- Otros estados — EFF ya ha declarado que impugnará iniciativas similares, pero las leyes de verificación de edad continúan expandiéndose incluso a las redes sociales.
Conclusión
El tribunal en Utah confirmó lo que los ingenieros de redes sabían desde hace tiempo: la IP es una pista sobre la ubicación, no una prueba de ella. Los legisladores pueden exigir a los sitios medidas razonables, pero no una geolocalización perfecta. Para los negocios, esto significa dos cosas. Los propietarios de servicios deben construir la lógica de geolocalización con un margen de error y un tercer estado de "no sé". Y aquellos que necesiten acceso honesto a los resultados locales tendrán que vigilar aún más la calidad de las direcciones: bajo la presión de los reguladores, los sitios bloquearán con más frecuencia los centros de datos y confiarán en primer lugar en IP residenciales y móviles.