Qué obliga hoy a una empresa en México que usa inteligencia artificial
No hay ley de inteligencia artificial. Sí hay una ley de datos con una autoridad que ya sanciona, reglas de terceros en cada sector y marcos que las filiales heredan de su casa matriz.
Tres fuentes de obligación, ninguna llamada "ley de inteligencia artificial"
Autoridad nueva: la Secretaría Anticorrupción y Buen Gobierno. Multas de hasta 320 mil UMA, el doble con datos sensibles. Derecho a oponerse a decisiones automatizadas sin intervención humana.
Caso de referencia
Multa de 42.8 millones de pesos a la Federación Mexicana de Futbol en julio de 2026 por tratar datos biométricos sin consentimiento expreso y por escrito. El error fue de documentación y consentimiento, no un hackeo.
Banca: autorización previa si los datos se procesan fuera de México; aviso si es en el país. Seguros: el secreto se extiende al proveedor y la CNSF puede auditarlo. Telecomunicaciones: 24 meses de registros bajo custodia.
Reglamento europeo de inteligencia artificial para usos de alto riesgo desde el 2 de diciembre de 2027. ISO 42001 como lenguaje de auditores y consultoras. Guía SR 26-2 de la Reserva Federal para bancos de matriz estadounidense.
Lo que obliga hoy
Cada fila dice quién lo impone, qué exige y en qué estado está.
Toda empresa
Protección de datos personales Vigente
Aviso de privacidad; consentimiento expreso y por escrito para datos sensibles; medidas de seguridad proporcionales (artículo 18); aviso inmediato de vulneraciones al titular (artículo 19); derecho de oposición a decisiones automatizadas sin intervención humana (artículo 27); confidencialidad que subsiste al terminar el contrato (artículo 20).
Sanciones Vigente
Multas de hasta 320 mil UMA (alrededor de 37.5 millones de pesos en 2026), el doble con datos sensibles; prisión de tres meses a cinco años en los supuestos penales. Caso de referencia: 42.8 millones de pesos a la Federación Mexicana de Futbol, julio de 2026, por datos biométricos sin consentimiento expreso.
Autoría de lo generado Criterio vigente
Lo generado solo por una máquina no tiene derechos de autor; con participación humana sustancial puede evaluarse. La marca se protege por registro marcario.
Banca y sofomes
Contratación de terceros Vigente
Autorización previa si el procesamiento ocurre fuera de México; aviso si es en territorio nacional; contrato con derecho de acceso de la CNBV, auditoría y confidencialidad; registros resguardados en el país; auditoría al menos cada dos años.
Banca
Datos biométricos Vigente
Los biométricos se usan solo para autenticar; está prohibido vender o transferir esas bases.
Seguros
Contratación de terceros Vigente
Autorización previa para los servicios que la CNSF determine; el secreto se extiende al proveedor; la Comisión puede inspeccionarlo y suspender el servicio; evidencia documentada disponible.
Fintech
Instituciones de tecnología financiera Vigente
Seguridad de la información, contratación de terceros, reporte de incidentes; oficial de cumplimiento obligatorio.
Telecomunicaciones
Registros y padrón de líneas Vigente
Conservar 24 meses de registros de comunicaciones y ubicación de cada línea, protegidos y sin otro uso; secreto de las comunicaciones; padrón con CURP (prohibido guardar biométricos o copias de identificación); aviso de incidentes a la Comisión y a los titulares; remisión expresa a la ley de datos personales.
Salud y farma
Salud digital Vigente
Expediente clínico digital con trazabilidad; registro sanitario cuando el software tiene función clínica; los datos de salud son sensibles.
Sector público como cliente
Encargados y nube Vigente
Contrato de encargado con siete cláusulas mínimas; reglas explícitas para servicios en la nube; subcontratación solo con autorización.
Medios y marcas
Voz e imagen de intérpretes Vigente
Consentimiento previo, escrito y remunerado para usar voz o imagen de artistas intérpretes mediante inteligencia artificial.
Filiales de matriz europea
Reglamento de inteligencia artificial Vigente en la UE
Para usos de alto riesgo (calificación crediticia, tarificación de seguros de vida y salud, empleo): gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos y supervisión humana. Aplicable desde el 2 de diciembre de 2027.
Y qué decimos en su lugar
Ley general de inteligencia artificial No existe
Hay un anteproyecto en el Senado sin dictamen, que además requiere una reforma constitucional previa; 85 iniciativas desde 2023, 67 pendientes (Universidad Anáhuac, julio de 2026).
No hay ley. Hay iniciativas, un plan de gobierno y una autoridad de datos que ya sanciona. Lo que construyas hoy con expediente, mañana ya cumple.
Agencia nacional de inteligencia artificial No existe
Propuesta en una iniciativa de febrero de 2026, en comisiones.
No se menciona.
Plan Nacional de Inteligencia Artificial (2026) Plan, no ley
Política pública dirigida al gobierno federal; propone una "Fábrica de IA" y principios de supervisión humana y explicabilidad. No está en el DOF y no impone obligaciones a privados.
El vocabulario del gobierno ya coincide con el nuestro.
Circular de inteligencia artificial de CNBV, CNSF o Banco de México No existe
Banxico publicó un diagnóstico en junio de 2026: recomienda explicabilidad, auditorías independientes, control de proveedores y apelación humana. Es diagnóstico, no norma.
Tu regulador ya dijo lo que va a pedir. Nosotros lo entregamos desde la fase 1.
Evaluación de impacto obligatoria No para empresas privadas
Sí para sujetos obligados del sector público.
No es obligatoria. La hacemos y la firma Legal porque convierte un proyecto de inteligencia artificial en un proyecto de la empresa.
Regulación de inteligencia artificial en recursos humanos En proceso
Iniciativa de junio de 2026 en comisiones: evaluación de impacto, aviso a trabajadores, prohibición de decisiones de alto impacto solo automatizadas.
El agente que ordena y resume candidatos sin descartarlos ya cumple lo que la iniciativa propone.
Reglamento nuevo de la ley de datos personales No localizado en el DOF
La ley de 2025 obligaba a adecuar reglamentos en 90 días; el de 2011 sigue listado y aplica en lo que no contradiga la ley.
Se cita la ley. Las obligaciones del encargado se toman del reglamento de 2011.
Lo que preguntan Legal y cumplimiento
¿Hay una ley de inteligencia artificial en México que obligue a las empresas?
No. En México no hay ley general de inteligencia artificial: el anteproyecto del Senado no tiene dictamen y requiere antes una reforma constitucional. Lo que sí obliga: la ley de datos personales de 2025, con una autoridad que ya sanciona, y las reglas de contratación de terceros de cada sector.
¿Cómo se atienden los derechos ARCO y el derecho a oponerse a decisiones automatizadas?
Ningún agente decide solo: recaba, ordena y entrega, y una persona revisa antes de cualquier efecto sobre un cliente o un empleado. Así el artículo 27 de la ley de datos personales se cumple por diseño. La bitácora permite ubicar qué datos se consultaron en cada respuesta para atender acceso, rectificación, cancelación u oposición.
¿Qué pasa si hay una vulneración de datos en el sistema?
Se activa el protocolo de incidentes del expediente: qué cuenta como incidente, niveles de gravedad, tiempos de respuesta, quién apaga el sistema, comunicación a cumplimiento y a la autoridad, y análisis posterior. La ley exige avisar de forma inmediata al titular. No prometemos que no ocurra; prometemos qué pasa si ocurre.
¿Qué datos salen de mi perímetro cuando uso inteligencia artificial privada?
Ninguno, cuando el modelo corre en tu equipo dentro de una red segmentada sin salida a internet. Lo sensible y lo confidencial se procesa dentro del perímetro, sin excepción. Lo interno no sensible puede usar nube empresarial con cero retención solo si cumplimiento lo aprueba. Lo público queda libre.
Fuentes primarias
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (texto vigente)
- Ley en Materia de Telecomunicaciones y Radiodifusión (texto vigente)
- Reserva Federal, OCC y FDIC: guía SR 26-2 sobre gestión del riesgo de modelos (17 de abril de 2026)
- Secihti y ATDT: Principios Chapultepec (29 de enero de 2026)
Lo que no pudimos confirmar al 1 de noviembre de 2026: un reglamento nuevo de la ley de datos personales; el texto consolidado de los artículos 318, 326 y 328 de la Circular Única de Bancos; el plazo de adecuación de la reforma biométrica; el criterio de COFEPRIS sobre asistentes clínicos. Se dice "verificado" solo de lo que se leyó en la fuente primaria.
Sesiones de Discovery, sin compromiso
Con tecnología, cumplimiento y dos responsables de proceso. Incluye una demostración sin internet, preparada para tu sector y sin usar datos de tu empresa.
Inventario y obligaciones
Datos en cuatro niveles y primera revisión de lo que exige tu sector.
Tres casos candidatos
Y la propuesta de diagnóstico. El Discovery se acredita contra el diagnóstico.
Programa de clientes fundadores
Tres cupos, con descuento explícito a cambio de un caso publicable y una referencia.
Condiciones
Discovery y piloto de evidencia sin costo, diagnóstico con descuento, a cambio de caso publicable, referencia y retroalimentación. La operación continua se paga siempre a precio de lista.