Compliance de IA en México: marcos regulatorios y lo que ya aplica a tu empresa
La regulación mexicana de inteligencia artificial no es un tema del futuro: es una conversación que ya toca a tu empresa si operas datos personales, automatizas decisiones sobre personas, o vendes a clientes europeos.
En 2026 coexisten tres niveles de obligación: el marco mexicano vigente (LFPDPPP y sus reglamentos), los marcos sectoriales (financiero, salud, telecomunicaciones), y las exigencias de clientes internacionales que piden certificaciones voluntarias.
Qué SÍ aplica ya en México
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) aplica a cualquier sistema de IA que procese datos personales de clientes mexicanos. La consecuencia operativa es concreta: si un agente de IA decide sobre créditos, segmenta clientes, o evalúa currículos, debes explicar cómo lo hace, con qué datos, y permitir al usuario oponerse.
El Instituto Nacional de Transparencia (INAI) tiene facultades de fiscalización específicas sobre decisiones automatizadas. Su criterio es que toda decisión con efectos jurídicos sobre una persona debe ser revisable y explicable.
Para sectores regulados: la CNBV exige trazabilidad de modelos de IA en decisiones crediticias, la COFEPRIS aplica a IA en salud, y el IFT ha publicado criterios sobre IA en servicios de telecomunicaciones.
Lo que NO aplica directamente (pero sí llega)
El AI Act de la Unión Europea no es ley mexicana. Si no tienes clientes europeos ni datos de la UE, no te obliga directamente. Pero si vendes a corporativos europeos, ellos lo exigen contractualmente en cascada, así que termina aplicándose vía cláusula comercial.
La misma dinámica ocurre con la NIST AI RMF y la ISO/IEC 42001:2023: son marcos voluntarios, pero clientes y socios los piden como condición de procurement.
El marco voluntario que sí vale la pena adoptar
ISO/IEC 42001:2023 es el primer estándar internacional de sistema de gestión de IA. Define gobierno, riesgo, cumplimiento y ciclo de vida. Adoptarlo no es obligatorio, pero te da un lenguaje común con auditores, clientes y proveedores.
La implementación típica toma 6-12 meses: inventario de sistemas de IA, evaluación de riesgos, definición de políticas, documentación técnica, y auditoría interna antes de buscar certificación.
Cuatro acciones concretas para empezar
- Inventario: lista todos los sistemas de IA en producción, no solo los obvios. Incluye agentes, scoring, OCR, clasificación, generación de texto.
- Clasificación de riesgo: separa los sistemas según su impacto potencial (alto si afectan derechos, bajo si son operativos internos).
- Política documentada: un documento breve que explique qué IA usas, con qué datos, quién decide sobre ellas, y cómo se auditan.
- Canal de revisión humana: cualquier persona afectada por una decisión automatizada debe poder pedir revisión humana. Esto no es opcional bajo LFPDPPP.
Marco regulatorio que aplica a datos personales
Además de la LFPDPPP, hay lineamientos sectoriales que aplican: la Ley Federal del Trabajo y NOM-035 para IA en RH, las Disposiciones de la CNBV para scoring crediticio, y los criterios del INAI para decisiones automatizadas con efectos jurídicos.
En resumen: no hay una sola ‘ley de IA en México’, pero hay un mosaico de obligaciones que ya están vigentes y se aplican sin necesidad de una ley nueva.
Fuentes
[1] Cámara de Diputados — Ley Federal de Protección de Datos Personales en Posesión de los Particulares — https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
[2] ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system — https://www.iso.org/standard/81230.html
[3] NIST AI Risk Management Framework (AI RMF 1.0) — https://www.nist.gov/itl/ai-risk-management-framework
[4] INAI México — Criterios sobre decisiones automatizadas — https://home.inai.org.mx/
[5] European Commission — AI Act overview (referencia comparativa) — https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
