IA en la legislación mexicana: qué reglas aplican mientras no hay ley especial

México no cuenta con una ley general de inteligencia artificial. Esa ausencia suele leerse como vacío regulatorio, y no lo es. Una empresa que opera un modelo de lenguaje para atención a clientes, un motor de scoring crediticio o un sistema de visión por computadora en una planta ya está sujeta a obligaciones de protección de datos, propiedad intelectual, competencia económica, relaciones de consumo, materia laboral y, según la industria, a la supervisión de un regulador especializado.

La discusión útil para un consejo de administración no es si habrá una ley de IA, sino qué normas vigentes ya alcanzan a los sistemas que la empresa está desplegando este trimestre.

Lo que ya regula a la IA sin nombrarla

El derecho mexicano opera en buena medida bajo neutralidad tecnológica: las obligaciones se imponen sobre conductas y resultados, no sobre la herramienta empleada. Un aviso de privacidad incompleto es igual de deficiente si el tratamiento lo realiza una hoja de cálculo o una red neuronal. Una práctica comercial engañosa lo es aunque la genere un modelo.

Se han presentado en el Congreso diversas iniciativas en materia de inteligencia artificial, con enfoques que van desde una ley marco hasta reformas puntuales en materia penal y de datos. Ninguna ha culminado en una ley general vigente. La ruta más discutida pasa por precisar la facultad del Congreso para legislar sobre la materia, lo que anticipa un proceso de varios periodos legislativos.

En paralelo, el Ejecutivo federal ha concentrado la política digital y de telecomunicaciones en una agencia especializada, y el rediseño institucional de los últimos años reasignó funciones que antes correspondían a órganos autónomos. Para efectos prácticos, la autoridad ante la cual se responde en materia de datos personales y de servicios digitales cambió de nombre y de adscripción; las obligaciones sustantivas siguen ahí.

Datos personales: el frente más inmediato

La mayoría de los proyectos de IA en empresas mexicanas tocan datos personales, y ahí la exposición es concreta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, actualizada en 2025, mantiene los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad. Entrenar un modelo con la base de clientes es una finalidad distinta a la de prestar el servicio contratado, y debe informarse como tal.

Tres puntos concentran el riesgo. Primero, el aviso de privacidad: si no contempla el entrenamiento, la elaboración de perfiles o la toma de decisiones automatizadas, el tratamiento carece de base. Segundo, las transferencias y remisiones: contratar un proveedor de modelos alojado en el extranjero exige definir si actúa como encargado y documentar la relación por escrito. Tercero, el ejercicio de derechos ARCO frente a un modelo ya entrenado, donde la cancelación de un dato no equivale a borrarlo de los parámetros del sistema.

El tratamiento de datos sensibles, biométricos o de menores eleva el estándar y, en varios supuestos, exige consentimiento expreso. Si el sistema produce decisiones con efectos jurídicos o económicos relevantes sobre una persona, conviene prever intervención humana revisable y un registro de la lógica aplicada, aunque la ley no lo detalle con el nivel de granularidad del marco europeo.

Propiedad intelectual y contenidos generados por modelos

La Ley Federal del Derecho de Autor protege obras de creación humana. Un contenido generado íntegramente por un sistema, sin aportación creativa de una persona, difícilmente encuadra como obra protegible, y la respuesta cambia cuando existe selección, edición y arreglo humanos suficientes. La calificación depende del caso concreto y de la evidencia que se conserve sobre el proceso de creación.

El entrenamiento con obras de terceros es el punto abierto. El marco mexicano no contempla una excepción general de minería de textos y datos comparable a la de otras jurisdicciones, de modo que el uso de repositorios protegidos sin licencia genera exposición. En contratos con proveedores de modelos conviene exigir declaraciones sobre la procedencia de los datos de entrenamiento e indemnización por reclamaciones de terceros.

La Ley Federal de Protección a la Propiedad Industrial ofrece una vía menos explorada: prompts, conjuntos de datos curados y configuraciones de modelo pueden protegerse como secretos industriales, siempre que exista información documentada y medidas razonables de resguardo. Subir información confidencial a herramientas públicas sin control contractual puede comprometer ese carácter secreto.

El uso de voz e imagen de personas reales en contenidos sintéticos activa otro bloque: responsabilidad civil por daño moral, legislación local en materia de derechos de la personalidad y, cuando hay contenido íntimo o fines fraudulentos, tipos penales federales y estatales.

Contratos, responsabilidad y sectores regulados

Frente a un cliente, la empresa responde por el resultado de sus sistemas conforme a las reglas ordinarias del Código Civil Federal y del Código de Comercio. Delegar una decisión en un modelo no traslada la responsabilidad al proveedor, salvo que el contrato lo prevea con claridad y el proveedor tenga capacidad real de responder. Las licencias estándar de las grandes plataformas suelen limitar fuertemente su responsabilidad, algo que merece revisión antes de la firma y no después del incidente.

Hacia el consumidor, la Ley Federal de Protección al Consumidor exige información veraz y prohíbe la publicidad engañosa, incluida la generada automáticamente. En materia de competencia, los sistemas de fijación dinámica de precios pueden derivar en conductas sancionables bajo la Ley Federal de Competencia Económica cuando facilitan coordinación entre competidores.

En el terreno laboral, la Ley Federal del Trabajo y la normatividad en materia de riesgos psicosociales acotan el monitoreo de personas trabajadoras y la automatización de decisiones de contratación o desempeño. Un filtro algorítmico de candidatos que produzca efectos discriminatorios genera exposición constitucional y laboral con independencia de la intención del empleador.

Cada renglón admite matices. La calificación de un sistema, el régimen aplicable y la autoridad competente dependen del diseño concreto, del sector y del papel que la empresa asuma como desarrollador, integrador o simple usuario.

Un primer paso ordenado

Antes de esperar una ley, conviene saber qué hay dentro de casa. La secuencia que mejor funciona en empresas medianas es la siguiente:

1. Inventariar los sistemas de IA en uso, incluidos los que áreas operativas contrataron sin pasar por jurídico.
2. Clasificarlos según si tratan datos personales, alimentan decisiones sobre personas o producen contenido de cara al público.
3. Revisar el aviso de privacidad y los contratos con proveedores, con atención a titularidad de datos, entrenamiento con información del cliente e indemnizaciones.
4. Definir por escrito qué información no puede cargarse en herramientas externas y qué decisiones exigen revisión humana documentada.
5. Dejar rastro: bitácoras de versiones, criterios de validación y evidencia de la intervención humana en resultados relevantes.

Las empresas mexicanas que exportan servicios o tienen matriz en Europa enfrentan además el efecto extraterritorial del reglamento europeo de inteligencia artificial, con plazos de cumplimiento escalonados. En esos casos el diseño de gobernanza suele construirse sobre el estándar más exigente, y no sobre el mínimo local.

Una revisión de dos o tres semanas sobre el inventario de sistemas y los contratos vigentes suele ser suficiente para identificar dónde está la exposición real. A partir de ahí, la discusión sobre políticas internas deja de ser abstracta.