Regulación de IA en México 2026: Lo que Toda Empresa Debe Saber

La regulación de inteligencia artificial en México está en construcción. A diferencia de la Unión Europea — que ya tiene el AI Act en vigor — México aún no tiene una ley específica de IA. Pero eso no significa que las empresas puedan ignorar el tema. El marco regulatorio que se está formando determinará cómo pueden operar los sistemas de IA en los próximos años, y las empresas que se preparen ahora tendrán una ventaja enorme sobre las que esperen a que la ley llegue.

El Marco Legal Actual en México

En 2026, la IA en México está regulada de forma indirecta por estas leyes existentes:

Ley Federal de Protección de Datos Personales (LFPDPPP)

La ley más relevante para sistemas de IA que procesan datos de personas. Cualquier empresa que use IA para analizar datos de clientes, empleados o usuarios está obligada a:

• Obtener consentimiento informado antes de procesar datos con IA
• Explicar cómo los datos son usados en sistemas automatizados
• Garantizar el derecho de los usuarios a conocer decisiones tomadas automáticamente sobre ellos
• Implementar medidas de seguridad proporcionales al riesgo

Ley Federal del Trabajo

Las empresas que usen IA para tomar decisiones sobre empleados (evaluación de desempeño, selección para ascensos, monitoreo de productividad) deben documentar cómo funciona el sistema y garantizar que no exista discriminación algorítmica.

Ley de Instituciones de Crédito

Para el sector financiero: los sistemas de IA usados para evaluación crediticia o detección de fraude deben ser auditables y explicables. Los modelos “caja negra” están siendo cuestionados por la CNBV.

Lo Que Viene: Iniciativas Regulatorias en Proceso

A marzo de 2026, estas son las iniciativas más relevantes en el Congreso mexicano:

• Iniciativa de Ley de IA: En proceso de revisión desde 2025. Plantea una clasificación de sistemas de IA por nivel de riesgo, similar al AI Act europeo.
• Reforma a la LFPDPPP: Para incluir derechos específicos frente a decisiones automatizadas, incluyendo el derecho a explicación y a impugnación.
• Normas sectoriales en salud: COFEPRIS está desarrollando lineamientos específicos para dispositivos médicos que usen IA.

Los 5 Riesgos Legales que ya Existen Hoy

1. Discriminación algorítmica

Si tu sistema de contratación, crédito o atención al cliente toma decisiones que perjudican sistemáticamente a un grupo protegido (género, edad, origen étnico), puedes enfrentar sanciones bajo las leyes antidiscriminación actuales, aunque el sistema sea “automático”.

2. Procesamiento de datos sin consentimiento

Entrenar un modelo de IA con datos de clientes sin su consentimiento explícito viola la LFPDPPP. La multa puede ser de hasta el 2% de los ingresos brutos anuales.

3. Uso de IA en decisiones de empleo

Los sistemas de IA para monitoreo de empleados deben estar documentados en el reglamento interior de trabajo. Sin documentación, el uso puede ser impugnado legalmente.

4. Privacidad en chatbots y asistentes

Los chatbots que recopilan información personal deben cumplir con el aviso de privacidad. Muchas empresas implementan chatbots sin actualizar sus avisos — eso es un incumplimiento.

5. Propiedad intelectual del contenido generado

El marco legal mexicano aún no es claro sobre quién es dueño del contenido generado por IA. Si usas IA para crear contenido comercial, documenta el proceso y las herramientas utilizadas.

Cómo Prepararse Ahora: Marco de Gobernanza IA

Las empresas que están bien posicionadas para la regulación tienen estos elementos en lugar:

1. Inventario de sistemas IA: Documenta todos los sistemas de IA que usas o que proveedores usan en tu nombre, qué datos procesan y qué decisiones toman.
2. Evaluación de impacto: Para cada sistema, evalúa el riesgo para las personas afectadas. Un sistema de recomendación de productos tiene menor riesgo que uno de evaluación crediticia.
3. Auditoría de datos: Verifica que los datos usados para entrenar o alimentar tus sistemas de IA fueron obtenidos con consentimiento.
4. Explicabilidad mínima: Para decisiones que afectan a personas, debes poder explicar —en lenguaje humano— por qué el sistema tomó esa decisión.
5. Mecanismo de impugnación: Las personas afectadas por decisiones automatizadas deben tener una forma de solicitar revisión humana.

El Costo de Ignorar la Regulación

Las empresas que construyen sus sistemas de IA sin considerar la regulación tendrán que refactorizarlos cuando la ley llegue. Ese costo suele ser 3-5 veces mayor que haberlo hecho correctamente desde el inicio. Las que ya operan con un marco de gobernanza solo necesitarán ajustes menores.

Construir IA responsable no es solo cumplimiento regulatorio — es una ventaja competitiva con clientes que valoran la privacidad y la transparencia.

Para diseñar una estrategia de IA que sea tanto efectiva como legalmente robusta, habla con nuestro equipo. Y para el contexto más amplio, revisa nuestra guía de IA para empresas en México.