México atraviesa su momento regulatorio más crítico en materia de datos personales desde que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) entró en vigor en 2010. Las presiones para modernizar ese marco —impulsadas por la expansión de sistemas de inteligencia artificial en el sector privado— colocan a las empresas ante una disyuntiva concreta: adaptar sus estrategias de IA ahora o arriesgar que sus proyectos queden fuera de cumplimiento en un plazo muy breve.
La LFPDPPP de 2010 frente a los usos de IA en 2025
La LFPDPPP fue concebida para regular el tratamiento de datos personales por empresas privadas, con obligaciones centradas en el aviso de privacidad, el consentimiento y los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición). En aquel momento, el procesamiento automatizado de datos a la escala que permite la IA generativa era prácticamente inexistente en el mercado masivo. Quince años después, las empresas utilizan modelos de lenguaje, motores de recomendación y sistemas de scoring crediticio que procesan millones de registros personales con lógicas que el legislador de 2010 no anticipó.
El INAI —el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, autoridad de control en México— ha emitido criterios interpretativos, pero carece de una regulación específica que aborde el tratamiento automatizado de datos con fines de IA, la portabilidad efectiva o la lógica de los modelos de decisión. Esa laguna normativa es precisamente la que el debate de reforma busca cerrar.
Tres presiones concretas que empujan la reforma en el Congreso mexicano
El impulso reformador en México responde a al menos tres vectores identificables. Primero, la adhesión de México al convenio 108+ del Consejo de Europa —el instrumento internacional de protección de datos más antiguo— genera obligaciones de alineación que la LFPDPPP actual no satisface plenamente. Segundo, la proximidad regulatoria con Estados Unidos y Canadá bajo el T-MEC exige demostrar estándares equivalentes de protección para preservar flujos de datos transfronterizos, especialmente relevantes para la industria manufacturera y de servicios que opera en los tres países. Tercero, la proliferación de sistemas de IA en banca, salud y telecomunicaciones ha generado quejas ciudadanas ante el INAI por decisiones automatizadas sin explicación ni recurso efectivo.
Brasil con la LGPD y el artículo 20 como referencia regional inmediata
México no parte de cero al mirar la experiencia regional. Brasil ya cuenta con el artículo 20 de la Lei Geral de Proteção de Dados (LGPD), que reconoce expresamente el derecho del titular a solicitar revisión humana de decisiones tomadas exclusivamente por medios automatizados, incluyendo las que afecten intereses en procesos de definición de perfil. La Autoridade Nacional de Proteção de Dados (ANPD) de Brasil publicó en 2023 un documento de referencia sobre el tema y trabaja actualmente en reglamentación específica para IA. Ese camino —ley general más reglamentación sectorial para IA— es el modelo que observan con atención los técnicos del INAI.
Argentina, por su parte, tiene pendiente la actualización de la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000. La Agencia de Acceso a la Información Pública (AAIP) presentó en 2023 un anteproyecto de reforma que incorpora disposiciones sobre tratamientos automatizados y elaboración de perfiles, pero al cierre de esta edición el texto no había avanzado en el Congreso. Colombia trabaja con la Ley Estatutaria 1581 de 2012 y resoluciones de la Superintendencia de Industria y Comercio, que tampoco contemplan de manera específica los tratamientos basados en IA. En los tres casos, la brecha entre el texto legal vigente y la práctica tecnológica actual es evidente.
Qué cambia para una empresa con operaciones en México si la reforma prospera
Las obligaciones que circulan en los borradores de reforma discutidos en México incluyen, según se informó, requisitos de explicabilidad para decisiones automatizadas con efectos significativos sobre personas, evaluaciones de impacto en privacidad (Privacy Impact Assessments) como condición previa al despliegue de ciertos sistemas de IA, y plazos de notificación de brechas de seguridad más estrictos que los actuales. Para empresas que ya operan con pipelines de datos entrenando modelos, esto implica revisar la base legal de cada tratamiento, verificar si el consentimiento obtenido en los avisos de privacidad actuales cubre usos de IA no especificados, y documentar la lógica de los modelos en términos comprensibles para el titular.
El impacto no es solo compliance formal. Las empresas que utilizan proveedores de IA en la nube —ya sea para modelos de lenguaje, análisis predictivo o automatización de procesos— deben revisar sus contratos de encargado de tratamiento para asegurarse de que las cláusulas reflejen las nuevas obligaciones que una eventual reforma impondría al responsable del dato. Un aviso de privacidad que no mencione el uso de IA para perfilado no sobrevive un requerimiento del INAI bajo un marco actualizado.
Qué monitorear en los próximos 90 días
El calendario legislativo mexicano concentra los meses restantes de 2025 y el primer trimestre de 2026 como la ventana más probable para que un dictamen de reforma tome estado parlamentario. Las empresas con operaciones en México deben seguir de cerca tres hitos: la publicación de eventuales lineamientos del INAI sobre IA (que pueden anticipar obligaciones antes de que haya ley), el avance del convenio 108+ en el Senado mexicano, y la evolución del debate en la ANPD de Brasil, cuyas resoluciones suelen operar como referencia comparada en los trabajos técnicos del INAI.
Nuestro análisis
La narrativa de que la LFPDPPP es una ley “blanda” que tolera usos extensivos de datos personales en IA ha sido, hasta ahora, una lectura interesada del silencio normativo. Ese silencio no es permiso: es riesgo acumulado. El INAI tiene facultades sancionatorias bajo el texto vigente —multas de hasta 320.000 días de salario mínimo general, según el artículo 65 de la LFPDPPP— y puede aplicarlas a tratamientos de IA que vulneren los principios de finalidad, proporcionalidad o consentimiento aunque no exista reglamento específico de IA. Las empresas que han diferido la revisión de sus programas de privacidad bajo el argumento de que “la ley no dice nada sobre IA” están apostando a que el INAI tampoco lo hará. Esa apuesta tiene fecha de vencimiento.
La pregunta que deberían hacerse los equipos legales y de datos en México no es si la reforma llegará, sino si sus proyectos de IA están diseñados para sobrevivirla cuando llegue.
